6.7 Tips voor HR-medewerkers bij gemeenten

Verzamel niet méér persoonsgegevens dan nodig is voor het doel (bijv. geen BSN opslaan in dossiers waar dat niet vereist is). Ook niet als een medewerker bijvoorbeeld uit zichzelf meer gegevens over diens ziekte doorgeeft.

Zorg dat alleen medewerkers die de gegevens echt nodig hebben (bijv. HR, salarisadministratie) deze kunnen raadplegen.

Houd autorisaties up-to-date.

Verstuur geen persoonsgegevens per mail maar gebruik een portaal of een beveiligde mailapplicatie.

De HR-afdeling heeft ook een verantwoordelijkheid dat leidinggevenden en anderen die met persoonsgegevens werken de basisregels van de AVG kennen. Zorg ervoor dat daar bewustwording wordt gecreëerd.

Praktijkvoorbeeld: monitoring met Microsoft Data Loss Prevention (DLP)

Om gevoelige klantgegevens te beschermen, nam een landelijke bank Microsoft
Data Loss Prevention (DLP) in gebruik, geïntegreerd met Office 365/E5-licenties. Voor de invoering nam de bank de volgende stappen.

De Office365 complianceteams werkten samen met regionale security officers in wat zij een Global DLP Use Case Board noemden. In dit gremium werden eenduidige regels vastgesteld die bepaalden wanneer gedrag grensoverschrijdend was en tot een melding zou leiden.
De gebruikers kregen zogenaamde DLP-‘policy tips’ direct in hun Microsoft 365-apps. Bij mogelijke overtredingen werden medewerkers bewust gemaakt van hun gedrag zonder dat dit direct leidde tot blokkade of alarm. Via Microsoft Purview kregen de beheerders een overzicht van de alerts voor grensoverschrijdend gedrag. Zij monitoren de incidenten binnen duidelijke kaders, met respect voor privacy van medewerkers.

De bank gebruikte DLP doelgericht, niet als totaalcontrole. De monitoring is gericht op bescherming van klantdata, niet op privégedrag van medewerkers. Daarmee werd voldaan aan het beginsel van doelbinding en proportionaliteit.
De bank was transparant: het beleid werd uitgerold met awareness bij medewerkers en bood hen directe feedback bij potentieel risicogedrag.