Recap ICTRecht praat over privacy: dit zijn de highlights

Donderdag 12 november stond voor ICTRecht Groningen in het teken van het evenement ‘ICTRecht Praat over Privacy’. Een grote en enthousiaste groep privacy professionals van allerlei verschillende organisaties in Noord-Nederland kwam samen om met elkaar de diepte in te gaan op privacy vlak. Centraal stonden de focusgebieden van de Autoriteit Persoonsgegevens (AP): AI, digitale weerbaarheid en massasurveillance. Want hoe ga je daar als FG of privacy officer in de praktijk mee om?

Onze host Sanne Haumersen ging allereerst in gesprek met Peter Kager. Daarna volgde een paneldiscussie waaraan Arjen Deenen (FG bij DUO en het ministerie van Onderwijs, Cultuur en Wetenschap), Lubna Bouzariat-Faraouni (FG bij de gemeente Groningen en het Zorg- en Veiligheidshuis Groningen) en onze eigen collega's Ardine Siepman en Sten Demon deelnamen. In deze blog lees je de belangrijkste take-aways van het event!

Privacy College Tour met Peter

Van "mag het?" naar privacy governance

De rol van de FG is de afgelopen jaren flink veranderd. Rond 2018 kwam de FG vaak een organisatie binnen met de opdracht om "privacy" maar te regelen. De FG hield alle ballen hoog en kwam nauwelijks toe aan de wettelijke FG-taken. Bij kleinere organisaties zie je dat nog steeds. Peter kijkt daar pragmatisch naar: ondersteunen is goed, maar er moet wel een oplossing voor de lange termijn komen.

Inmiddels gaat het steeds minder over de vraag "mag dit van de AVG?" en steeds meer over "hoe richten we onze privacy governance in?" Privacy is meer dan de FG alleen. Het gaat om het privacy denken en doen in de hele organisatie. Peter tipt de aanwezigen daarom: “Bespreek aan het begin van de samenwerking wat de organisatie aan je heeft als FG of PO”.

Peter krijgt vaak "dit mag niet van de wet" te horen. Hij gaat liever het gesprek aan. Er mag namelijk heel veel, zolang je het goed onderbouwt. Ook bij massasurveillance maakt de FG een belangenafweging tussen veiligheid en privacy. Hij snapt de kritiek: privacy wordt na grote nieuwsgebeurtenissen vaak als eerste ingeleverd.

AI: behandel het als iedere andere software

Uit de zaal kwam de vraag hoe Peter grip houdt op AI. Zijn antwoord: hij behandelt AI als ieder ander ‘stuk software’. Hij wil weten wat het doet en waar de gegevens naartoe gaan. Het verschil met de ‘klassieke’ big tech is vooral dat we vaak niet begrijpen, of zelfs niet willen begrijpen, hoe AI werkt.

Daarom is zijn vuistregel helder: als je niet kunt uitleggen hoe een AI-systeem werkt, kun je dat ook niet uitleggen aan de mensen van wie je de gegevens erin stopt. Zoek als privacy professional dus mensen die AI in begrijpelijke taal kunnen uitleggen. Neem een organisatie die een AI-assistent aan de volledige Microsoft-omgeving wil koppelen: weet je eigenlijk wat daar allemaal in staat?

Shadow-IT voorkom je volgens Peter nooit helemaal. Vraag daarom liever waarom mensen een tool gebruiken. En is iemand met de vraag "mag dit?" naar je toe gekomen? Dan is dat goed nieuws: diegene heeft al zelf nagedacht, dus je kunt direct het gesprek aangaan.

Bewustwording: zichtbaar zijn en een echte crisis

“De beste bewustwording is geen crisissimulatie, maar een echte crisis”, zo stelde Peter. Krijgt een concurrent een boete, dan kijken organisaties daarna vaak kritisch naar de eigen organisatie. Een nieuwswaardig datalek is bovendien het moment om te laten zien wat je als FG waard bent. Zo bouw je een vertrouwensband met bestuurders op, en dus ook "wisselgeld" voor als je eens een minder welkom advies geeft.

We sloten de Privacy College Tour met Peter af met AI-gegenereerde verzoeken en klachten die steeds vaker bij FG's binnenkomen. Peter vindt dat geen slechte ontwikkeling: burgers hebben zo een middel om hun rechten uit te oefenen. Zijn tip: doorgrond de reden achter het verzoek en pak gewoon eens de telefoon op. Arjen vulde vanuit het publiek aan: wees transparant, bijvoorbeeld met een omgeving zoals Mijn DUO waar betrokkenen zelf hun gegevens kunnen inzien. Daarmee voorkom je ongetwijfeld een hoop inzageverzoeken.

En tenslotte Peter’s persoonlijke advies: neem je werk niet altijd even serieus. Een grapje tussendoor mag best!

Paneldiscussie: cameratoezicht, AI en de rol van de FG

We trapten af met een casus uit Zeeland, waar een gemeente onlangs concludeerde dat cameratoezicht op zichzelf onvoldoende is, terwijl Groningen het juist uitbreidt rond oud en nieuw. Lubna stelt dan steeds dezelfde vraag: wat doen we nog meer behalve cameratoezicht? Cameratoezicht is één onderdeel van een pakket aan maatregelen. De FG kijkt vanuit het perspectief van de inwoner. Is een minder vergaand middel voldoende? Kies dan ook dat middel en laat zien welke afwegingen je hebt gemaakt.

AI en geautomatiseerde besluitvorming ontwikkelen zich razendsnel. Ardine pleit voor voorzichtigheid en probeert eerder bij processen betrokken te raken. Arjen zorgt dat de juiste mensen aan tafel zitten en dat de governance klopt, met een DPIA en een IAMA of FRIA. Lubna stelt de kernvragen: wat is het risico als het misgaat, en kunnen we de betrokkene uitleggen waarom een besluit is genomen? Kan het ook zonder AI en minder ingrijpend, vraag je dan af of AI echt nodig is.

Welke rol heeft de FG in het bereiken van betere compliance? In een kleine organisatie spreek je collega's zelf aan, in een grote organisatie ben je meer toezichthouder. Lubna benadrukt dat je op elk niveau een ander gesprek voert. In de uitvoering ben je een helpende hand, aan de bestuurstafel gaat het over financiële risico's en maatschappelijke impact. Ga daarom op de afdeling luisteren en vertaal dat terug naar het bestuur. Blijf uit de negatieve sfeer: niet wijzen met het vingertje, maar samen de middenweg zoeken. De belangrijkste soft skill volgens Sten? Heel veel vragen stellen.

Over het gebruik van AI door privacy professionals zelf liepen de meningen uiteen. Sten werkt er naar eigen zeggen veel efficiënter door. Arjen gebruikt AI vooral om jurisprudentie te vinden en schrijft er weinig mee: AI mist de nuance van risicomanagement en kent de organisatie niet. Ardine ziet dat AI nog geen goede DPIA's oplevert en wil medewerkers trainen in wat wel en niet kan. Arjen is stellig: een DPIA door AI laten doen, slaat de plank mis. Aan tafel wil je de mensen die het proces kennen. Een DPIA is in essentie risicomanagement en het afwegen van grondrechten, geen op zichzelf staand juridisch document. Daar moeten mensen aan te pas komen.

Afsluiting: drie adviezen om mee te nemen

Het panel sloot af met een aantal adviezen voor iedere FG en privacy professional:

• Betrek de juiste mensen: privacy is geen solo-sport van de FG;

• Gebruik tooling: zet hulpmiddelen slim in, maar blijf zelf toetsen; en

• Wees kritisch, maar ook bereikbaar en toegankelijk: probeer privacy vooral leuk te maken.

Bedankt aan alle sprekers en deelnemers voor de interessante middag! Wil je bij de volgende editie zijn? Schrijf je in voor onze nieuwsbrief en blijf op de hoogte.