AVG-opleiding voor medewerkers op de vloer (Benelux)

Principes overleven de balie niet

De meeste AVG-opleidingen voor frontlijnmedewerkers openen met de principes: rechtmatigheid, doelbinding, minimale gegevensverwerking, de rechten van de betrokkene. Ze kloppen, en ze helpen de receptionist niet die zes mensen in de rij heeft wanneer een beller vraagt of meneer Peeters in kamer 214 logeert.

Wat frontlijnmedewerkers tegenkomen, is geen principe maar een moment: een paspoort op een bureau, een klant die wil zien wat het klantenprogramma over hem bijhoudt, een chauffeur aan de laadkade die het nummer van een collega vraagt, een scanner met een dag aan leverhandtekeningen die zoek is. De opleiding moet de reactie aanleren, niet de theorie. "Dit zijn de principes" is bewustmaking. "Een gast vraagt je net om alles te wissen wat het hotel over hem heeft: wat doe je?" is instructie.

De wet wijst dezelfde kant uit. Volgens de artikelen 29 en 32, lid 4, van de AVG mag wie onder het gezag van de organisatie toegang heeft tot persoonsgegevens, die alleen op haar instructies verwerken. Instructies die iemand aan de balie niet kan toepassen, zijn moeilijk instructies te noemen.

Vier momenten, één juiste reactie per moment

In hotels, winkels, restaurants en magazijnen vallen de momenten met persoonsgegevens op vier plekken. Bouw de opleiding daarrond, met voorbeelden van de eigen vestiging.

Vier tot vijf scenario's per moment, elk met de reactie en de reden, volstaan voor een opleiding die in een pauze past. De reden telt: mensen onthouden een regel die ze begrijpen, en ze passen hem toe op het geval dat de opleiding niet voorzag.

Hoe een datalek eruitziet op de vloer

Voor frontlijnmedewerkers ziet een datalek er zelden uit als een hack. Het is een verloren handscanner met de leverhandtekeningen van de dag, een afgedrukte gastenlijst die in de lobby blijft liggen, een mail met elke klant van het klantenprogramma in het veld "Aan", of een USB-stick in een vergaderzaal.

Artikel 33 vraagt dat de organisatie de toezichthouder (de Gegevensbeschermingsautoriteit in België, de Autoriteit Persoonsgegevens in Nederland) binnen 72 uur nadat ze kennis kreeg van een inbreuk op de hoogte brengt, tenzij het onwaarschijnlijk is dat de inbreuk een risico voor mensen inhoudt. Europese richtsnoeren lezen kennisname als een redelijke mate van zekerheid dat er een inbreuk is. De organisatie, dat is ook de persoon aan de balie: een vondst die tot het einde van de dienst in een broekzak blijft, eet een deel van die 72 uur op.

De reactie op de vloer is elke keer dezelfde: probeer het niet zelf op te lossen, wis niets, verwittig meteen de verantwoordelijke van dienst, en schrijf op wat je zag en wanneer. Beslissen of het een meldplichtig datalek is, is de taak van het privacycontact, niet van de medewerker.

Verzoeken van klanten geef je door, je handelt ze niet af

Klanten en gasten hebben rechten: hun gegevens inzien (artikel 15), ze laten verbeteren, en in sommige gevallen ze laten wissen (artikel 17). De organisatie moet zonder onnodige vertraging antwoorden, en uiterlijk binnen een maand (artikel 12, lid 3).

De reactie op de vloer is niet het verzoek beantwoorden, maar het goed ontvangen. Weiger het niet en voer het niet ter plekke uit. Noteer wie het vroeg, wat de vraag was en hoe de persoon bereikbaar is, en geef het dezelfde dag door aan het aangewezen privacycontact. Een medewerker die een klantenaccount wist omdat een gast erom vroeg, nam een beslissing die de organisatie moest nemen, en wiste misschien gegevens die ze moet bewaren.

Hetzelfde geldt voor collega's. Een oud-medewerker die naar zijn personeelsdossier vraagt, of een ouder die wil weten wanneer een tiener werkt, is een vraag voor het kantoor.

Noem de persoon, niet de afdeling

"Escaleer naar de DPO" werkt niet op vestiging 47 om zeven uur 's ochtends als het hoofdkantoor dicht is. De opleiding moet zeggen wie, via welk kanaal en tegen wanneer, voor deze vestiging: eerst de verantwoordelijke van dienst, dan het aangewezen privacycontact, met een telefoonnummer dat opneemt. Zet het op het laatste scherm van elk scenario.

Voor een netwerk blijft die structuur staan, met een lokale eerste stap. De medewerker verwittigt de verantwoordelijke van dienst; die verwittigt het privacycontact; het privacycontact beslist. Drie namen, per vestiging in de opleiding gezet, werken beter dan één algemene mailbox.

Registratie, herhaling en de versie

De AVG vraagt dat de organisatie de naleving kan aantonen (artikel 5, lid 2), en tot de taken van een functionaris voor gegevensbescherming hoort de opleiding van het personeel (artikel 39). Wanneer een toezichthouder naar een incident kijkt, vraagt hij wat de betrokken mensen te horen kregen, wanneer, en of het de geldende versie van de procedure was.

Dat maakt de registratie per persoon: wie welke cursus afrondde, op welke datum, in welke versie. De AVG legt geen herhalingsinterval vast, dus leg je er zelf een vast en koppel je herhalingen aan verandering: een nieuwe kassa of een nieuw reservatiesysteem, een nieuwe procedure na een incident, nieuwe richtsnoeren van de toezichthouder. Hoe vaak opleiding herhaald moet worden beschrijft hoe je een interval kiest en haalt.

Hoe Aristotl het aanpakt

Aristotl zet je privacyprocedure, de regels voor gevonden voorwerpen en de stappen bij een datalek om in cursussen van 3-5 minuten die medewerkers op hun eigen telefoon volgen, opgebouwd als scenario's met een kennischeck op het einde. Niets bereikt de vloer voor je team het nakijkt en publiceert. Elke persoon krijgt de cursus in de taal die hij leest, vertaald vanuit één masterversie, en dat telt wanneer het housekeepingteam vier talen spreekt en de procedure er maar in één bestaat.

Medewerkers stappen in via een link of QR-code per vestiging of team, zonder bedrijfsmail, zodat de cursus uitzendkrachten en seizoenskrachten voor hun eerste dienst bereikt. Voltooiing wordt vastgelegd per persoon, per vestiging en per versie van de cursus, en is per vestiging zichtbaar in het platform: de registratie die je nodig hebt wanneer iemand vraagt wat de betrokken mensen te horen kregen.

Wat het niet vervangt: het oordeel van je privacycontact over de vraag of een incident gemeld moet worden, en de procedure waarvan je organisatie eigenaar is.

Kies het moment dat je vestigingen het vaakst tegenkomen, schrijf de ene juiste reactie en de naam om te bellen op, en ga na of iedereen van de eerste dienst van morgen beide kan zeggen.