Veel organisaties zijn niet goed voorbereid op de Meldplicht Datalekken, die 1 januari 2016 is ingegaan. Dat blijkt uit het periodieke Privacy Governance-onderzoek van PwC.
Het onderzoek toont aan dat organisaties zich wel verantwoordelijker voelen voor de bescherming van persoonsgegevens van hun klanten en werknemers. Zo wordt privacy inmiddels door een meerderheid gezien als een gedeelde verantwoordelijkheid tussen business, juristen en IT. "Er wordt substantieel intensiever samengewerkt in vergelijking met vorig jaar", zegt Bram van Tiel, security- en privacyspecialist bij PwC. "Tegelijkertijd voldoen veel organisaties nog niet aan de nieuwe privacyregelgeving."
Er is een stroom aan nieuwe en aangescherpte privacyregelgeving. Zo zijn sinds januari organisaties verplicht om datalekken te melden. "Doen ze dat niet of niet tijdig, dan riskeren ze een boete van maximaal 820.000 euro", licht Van Tiel toe. Daarnaast heeft het Europese Hof van Justitie in oktober 2015 het Safe Harbor-verdrag met de VS, waarin staat hoe Amerikaanse bedrijven gegevens moeten opslaan zodat ze aan de Europese privacywetgeving voldoen, ongeldig verklaard. "Bedrijven die deze constructie gebruiken, staan voor een fors probleem. Ze moeten een geïntegreerde technische en juridische oplossing bedenken die wel tegemoetkomt aan de eisen van Europese toezichthouders."
De Europese regels ter bescherming van persoonsgegevens worden op dit moment hervormd tot één Europese wet: de algemene verordening gegevensbescherming (AVG). Hiermee komen verschillen tussen de wetgeving in de verschillende lidstaten op termijn te vervallen. Boetes kunnen oplopen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet. Op basis van de AVG krijgt iedereen het 'recht om vergeten te worden'. Ook moeten organisaties voldoen aan de principes van 'privacy by design'. Dit betekent dat ze bij de ontwikkeling van nieuwe producten en diensten al vooraf moeten nadenken hoe ze de privacy van gebruikers gaan beschermen. Dit geldt ook voor de aanschaf van een nieuw informatiesysteem of een wijziging in de organisatie. Maar liefst 40 procent houdt nog geen rekening met dit principe.
Slechts een kwart beoordeelt de eigen privacy-praktijk als 'volwassen'. Van Tiel: "Veel organisaties hebben beperkt inzicht in plekken waar persoonsgegevens worden verwerkt. De IT-omgevingen zijn complex en op directieniveau voelt men de urgentie onvoldoende. Met als gevolg dat er te weinig tijd en capaciteit wordt vrijgemaakt om aan de nieuwe regels te voldoen."