Cultuurverandering grootste struikelblok voor managers bij AVG-compliance
8 augustus 2018 -
Voor de invoering van de algemene verordening gegevensbescherming (AVG) was het vizier van bedrijven gericht op voldoen aan de richtlijn van deze nieuwe privacywet.
Die focus ebde na de officiële deadline op 25 mei weg omdat de meeste organisaties tot op zekere hoogte compliant waren. Ondanks de grote hoeveelheid aandacht die door compliance officers is besteed aan de AVG is het de vraag of medewerkers twee maanden na invoering nog steeds aandacht hebben voor deze nieuwe regelgeving en, belangrijker nog, het zien als een levensstijl. Volgens Matthijs Onder de Linden, Data Protection Officer (DPO) bij Redmore Group, is de aandachtspanne voor dit onderwerp van korte duur. Daarom is het cruciaal dat het management zich focust op een blijvende gedragsverandering.
De weg kwijt
In aanloop naar de deadline van 25 mei werd er door veel bedrijven bij medewerkers vooral gehamerd op het voorkomen van boetes om er zo voor te zorgen dat de nieuwe wetgeving wordt gevolgd. Daarnaast werd er gericht gestuurd op het bouwen aan overzichten (data mapping) en processen (privacy by design & default). Het gevaar hierbij is dat het management precies weet wat er moet gebeuren om aan de wetgeving te voldoen, maar dat de medewerkers dit niet (meer) weten.
Reputatieschade
Inmiddels zijn er al een paar maanden verstreken en moet het duidelijk zijn dat focussen op de angst voor het krijgen van een boete niet de juiste manier is om compliant te worden. Omdat er vanaf de officiële deadline minder aandacht is voor de AVG wordt de kans groot dat medewerkers weer terugvallen in hun oude patroon en bijvoorbeeld gevoelige data verspreiden. Gaat dat mis, terwijl klanten en consumenten door de AVG juist verwachten dat er extra voorzichtig wordt gehandeld, dan kan dat een flinke aanslag zijn op de reputatie van een organisatie.
Intrinsieke behoefte
Medewerkers moeten zélf de behoefte voelen om zich op zo’n manier te gedragen dat ze continu de nieuwe wet naleven, zonder hierbij na te denken over een mogelijke repressie. Zij moeten het als taak en onderdeel van hun werk zien om elkaar te motiveren en aan te spreken wanneer de AVG niet wordt nageleefd. De manager speelt een belangrijke rol in het creëren van deze intrinsieke behoefte en cultuurverandering.
Politieagent versus coach
Wat is de belangrijkste les na 25 mei? Al draait compliance voornamelijk om het voldoen aan wet- en regelgeving, toch is het heel erg belangrijk om medewerkers te stimuleren in de gedachte dat de privacywet veel meer is dan alleen een richtlijn. In de praktijk komt het er dan ook op neer dat het management zo’n negentig procent van de tijd bezig is met aanmoedigen en tien procent met politieagent spelen. Alleen zo wordt respect voor privacy- en databescherming een vast onderdeel van de dagelijkse bedrijfsvoering en wordt er niet alleen gehandeld uit angst voor een boete of reprimandes van het management: de enige manier om als bedrijf compliant te blijven.
