GDPR, OOK VOOR ONS?

25 mei 2018: een datum die bij veel bedrijven met rood omcirkeld staat in de agenda. Dan treedt namelijk de nieuwe GDPR-regelgeving in werking. Om er zo goed mogelijk op voorbereid te zijn, was Merak vragende partij voor een externe audit door Infosentry – gespecialiseerd in informatieveiligheid en privacy. De conclusie? Met minimale inspanningen kon Merak een volwassen privacymanagementsysteem op poten zetten, volledig in lijn met het bestaande informatieveiligheidsmanagementsysteem.

GDPR in vijf punten

GDPR is de opvolger van de richtlijnen die in 1995 zijn goedgekeurd en van waaruit alle Europese lidstaten hun nationale privacywetgeving hebben opgesteld.

• Verantwoordelijken van informatieverwerking én informatieverwerkers moeten technische en organisatorische maatregelen nemen om data te beschermen tegen datalekken en hackers.
• Bedrijven dienen toestemming te vragen aan betrokkenen om gegevens te mogen verzamelen en gebruiken.
• De gegevens die bedrijven verzamelen moeten een doel hebben, en dat doel dient duidelijk gecommuniceerd te worden. Dat impliceert dat de verklaringen aangepast moeten worden in duidelijke, begrijpbare taal.
• Datalekken moeten binnen de 72 uur worden gemeld aan de privacycommissie.
• Iedereen heeft het recht om aan bedrijven te vragen over welke persoonlijke gegevens ze beschikken en om die informatie te verwijderen.

Infosentry is met 25 consultants onderdeel van Cronos Group, het grootste IT-consultancybedrijf van België, en auditeert bedrijven, doet assessments en implementatieprojecten, en helpt bedrijven bij het behalen van ISO-certificaten. “Merak vroeg ons om een onafhankelijke, externe beoordeling uit te voeren”, aldus Cedric Brosens, Governance, Risk & Compliance Consultant bij Infosentry. “Ze wilden weten waar ze stonden, wat GDPR voor hen betekende en wat de gaps waren die ze nog moesten wegwerken tegen 25 mei, de dag dat de GDPR officieel in werking treedt.”

Opportuniteit

Brosens bezocht de Merak-vestigingen in Schelle, Mechelen en Vilvoorde, waar de belangrijkste activiteiten van Merak plaatsvinden. De hele organisatie werd grondig doorgelicht, van HR en Marketing tot Legal en het Scanningsdepartement. Ongeveer elke dienst kwam aan bod om een zo breed mogelijk beeld te krijgen van de toepassingen van de GDPR op Merak. De audit nam een zestal dagen in beslag.

Brosens: “Het waren heel intensieve gesprekken met de verantwoordelijke van elke dienst. Wat mij meteen opviel is hoe informatieveiligheid ingebakken zit in de bedrijfscultuur van Merak. Daarnaast was iedereen ruimdenkend en zagen ze de GDPR niet als een last, maar wel als een opportuniteit. Naast het gegeven om compliant te zijn, was het voor iedereen bij Merak ook een manier om hun processen verder te optimaliseren.”

Concreet actieplan

“Ik heb vooral naar de maturiteit voor de GDPR gekeken”, gaat Brosens verder. “Merak is al ISO 9001- en 27001-gecertificeerd, een groot voordeel. Maar de nieuwe regelgeving heeft specifieke zaken waarvoor Merak nog stappen moest zetten. Die heb ik in kaart gebracht en in een rapport gegoten, waarna ik er een actieplan aan koppelde waar Merak mee aan de slag kon. De aanbevelingen werden goed onthaald en er werd meteen gekeken hoe Merak ze kon oplossen en integreren in de bestaande processen. De meeste zaken waren quick wins en kleine bijsturingen. Het was een positieve conclusie met een pragmatische actielijst die op korte tijd en op een efficiënte manier met minimale inspanningen kon worden geïmplementeerd in een privacymanagementsysteem in lijn met het bestaande informatiemanagementsysteem.”

100 procent GDPR-compliant?

Volgens Brosens is het een utopie dat bedrijven honderd procent GDPR-compliant kunnen zijn. “Daarvoor zijn er te veel nuances en onduidelijkheden in de regelgeving. Maar Merak gaat wel in de buurt komen en heeft alleszins de juiste maatregelen getroffen om de privacy van klanten zo goed mogelijk te beschermen en waarborgen.”