Privacy wordt in haar praktische uitvoering heel vaak benaderd vanuit 2 invalhoeken, te weten de technische invalshoek en de juridische invalshoek.

Dit is heel goed te merken aan de achtergrond van vele DPO’s, die ofwel een achtergrond hebben in informatica, aangevuld met bijkomende certificaten zoals CISO ofwel een juridische achtergrond hebben, al dan niet met een specialisatie in IT-recht.

Nochtans is privacy en het beschermen van de persoonsgegevens meer dan enkel maar regels of informatica.

Uit de praktijk blijkt dat het blokkeringspunt, niet altijd het gebrek aan regels is of dat de genomen beveiligingsmaatregelen en de geïmplementeerde informatica-architectuur ontoereikend is, maar wel de mensen zelf.

Regels

Zoals de meesten intussen reeds weten is in Europa de basiswetgeving dat de verwerking van persoonsgegevens regelt de Algemene Verordening Gegevensbescherming (AVG), of in het Engels General Data Protection Regulation (GDPR).

Deze regelgeving is de opvolger van de Europese Richtlijn 95/46, die per lidstaat waarop ze van toepassing was werd omgezet in nationale rechtsregels, hetgeen tot verschillen kon leiden inzake het beschermingsniveau voor burgers tussen lidstaten.

Bovenop de GDPR kunnen lidstaten nog bijkomende nationale regels hebben ter bescherming van de privacy van haar burgers, of kunnen zij voor een specifiek onderwerp expliciet bijzondere modaliteiten aangeven waaraan dient te worden voldaan.

Zo kan bijvoorbeeld een nationale wet aangeven wie de verwerkingsverantwoordelijke voor een bepaald domein is.

Echter wetten en regels moeten geïmplementeerd en nageleefd worden door mensen.

Wanneer deze mensen, om welke reden dan ook, afzien van de naleving van deze regels, dan zal de uitkomst een beperkte tot geen bescherming van de privacy van de mensen zijn.

Techniek

Als we spreken over techniek dan praten we in essentie over informatica, en de maatregelen die al dan niet worden genomen om de gegevens die geregistreerd zijn in deze IT-systemen te beschermen.

De brick-and-mortal technieken en beveiligingen zullen we hier buiten beschouwing laten, zoals bijvoorbeeld de constructie van een vault, van een data-center of van een archief.

Er zijn verschillende manieren om digitaal geregistreerde persoonsgegevens te beschermen.

Maar ook hier zal de efficiëntie doorgaans afhankelijk zijn van andere dan de louter technische factoren.

Hierbij kunnen we denken aan het beschikbare budget, de mogelijke integratie in de reeds aanwezige IT-systemen of de reeds gebruikte technologieën waarmee men ervaring en kennis over heeft, terwijl betere beveiligingstechnieken nieuwe kennis en ervaringen vereisen die men niet heeft of niet kan of wilt ontwikkelen.

Organisatie

De hierboven genoemde aspecten geven niet altijd het ganse verhaal weer.

In sommige gevallen worden inbreuken op de privacy en de persoonsgegevens van mensen bepaald door de structuur van de organisatie.

Dit kan zich bijvoorbeeld voordoen bij een onlogische rapportagelijn in de hiërarchie van de organisatie en de organisatie van de werkzaamheden binnen de organisatie zelf.

Bijvoorbeeld medewerkers die moeten rapporteren aan een hiërarchische overste die geen bevoegdheid heeft inzake persoonsgegevens, maar toch alle details eist inclusief de persoonsgegevens van de behandelde dossiers, van de werkzaamheden van zijn medewerkers.

Dit is niet in overeenstemming met het principe van minimale gegevenstoegang; de noodzaak om te weten.

Een dergelijke issue kan de mooie intenties teniet doen, die men doorgaans kan lezen in beleidsverklaringen.

Cultuur

Uit de hierboven aangehaalde elementen kan men intussen reeds afleiden dat het bestaan van regels en het implementeren van IT-systemen niet volstaan om de privacy van de mensen te beschermen.

Evenals de werkwijze van de organisatie is de toepassing van de regels en de implementatie van de benodigde IT-systemen afhankelijk van de beslissingen van mensen.

Het soort beslissingen mensen nemen wordt mede bepaald door de cultuur van een organisatie.

Zo zal een organisatie met een sterke nadruk op winst en het nemen van risico’s minder geneigd kunnen zijn om uitgaven te doen voor betere en veiligere IT-systemen en – configuraties dan een organisatie dat minder geneigd is om risico’s te nemen en meer geneigd is om te opteren voor veiligere IT-systemen.

Ook de prioriteiten van een organisatie kunnen hierbij een rol spelen.

In sommige organisaties worden soms grotere projecten inzake het beschermen van persoonsgegevens naar de achtergrond geschoven, wegens te ingrijpend of om redenen dat de kans dat er zich een inbreuk op persoonsgegevens zal voordoen miniem is.

Men focust zich daarom op snelle quick-wins, en dit om aan te kunnen tonen dat men het beschermen van persoonsgegevens ernstig neemt. Maar deze quick-wins hebben in de praktijk maar een zeer beperkte impact, terwijl use-cases waar er zich inbreuken voordoen of kunnen voordoen met een enorme impact nauwelijks of helemaal niet worden aangepakt.

Uit al deze elementen valt het niet moeilijk op te maken dat privacy een multi-disciplinaire materie is, en dat het zich louter baseren op regelgeving of op techniek niet volstaat.

Vandaar dat de beste aanpak om de privacy van mensen te beschermen een holistische aanpak is, waar men rekening houdt met alle belangrijke aspecten.

Bloep, 11 januari 2026.