Het proces achter de menselijke fout

Gemeenten publiceren nog steeds onbedoeld persoonsgegevens van inwoners. Uit recent onderzoek van de NOS blijkt dat in honderden openbare documenten onder meer adressen, telefoonnummers, nummers van identiteitsbewijzen en burgerservicenummers te vinden waren. In 255 documenten werden bsn’s aangetroffen, in één document stonden de persoonsgegevens van 43 inwoners en in een ander incident werden de namen en adressen van 133 inwoners gepubliceerd. 

De gebruikelijke verklaring is snel gevonden: een menselijke fout. Maar daarmee kijken we vooral naar het moment waarop het misging en niet naar het proces dat eraan voorafging. Wanneer een organisatie afhankelijk is van één medewerker die op het juiste moment alle gevoelige gegevens moet herkennen, verwijderen en controleren, is niet alleen die medewerker kwetsbaar. Dan is vooral het proces kwetsbaar.

Persoonsgegevens beschermen mag geen toeval zijn

Gemeenten moeten grote aantallen documenten openbaar maken. Deze documenten worden opgesteld, aangevuld, opgeslagen, beoordeeld, mogelijk geanonimiseerd, gecontroleerd en uiteindelijk gepubliceerd. Daarbij zijn verschillende medewerkers, afdelingen, systemen en leveranciers betrokken en kan er op ieder overdrachtsmoment iets misgaan. 

Veel gemeenten gebruiken inmiddels software om persoonsgegevens automatisch te herkennen en onleesbaar te maken. Daarna voert een medewerker meestal nog een controle uit. Echter, in de praktijk blijkt dat gevoelige gegevens toch nog steeds gepubliceerd worden. 

Software kan een waardevol hulpmiddel zijn, maar is geen vervanging voor een goed ingericht proces. Zolang niet duidelijk is wie verantwoordelijk is voor het volledige proces, welke gegevens noodzakelijk zijn, aan welke voorwaarden een document moet voldoen en wie uiteindelijk toestemming geeft, blijft de kwaliteit afhankelijk van individuele oplettendheid.

Van goede bedoelingen naar betrouwbare resultaten

Een niet-optimaal proces wordt door automatisering niet vanzelf beter. Bestaande onduidelijkheden, onnodige stappen en risico’s worden vaak alleen sneller uitgevoerd. Daarom is het belangrijk om vóór digitalisering het proces goed in kaart te brengen, te verbeteren en medewerkers te laten begrijpen hoe het proces werkt en wat hun rol daarin is. 

Dat gaat dus om meer dan het maken van een procesbeschrijving of het vastleggen van een werkinstructie. Het gaat over de manier waarop een organisatie haar processen identificeert, ontwerpt, beheerst en verbetert. Samen noemen wij dat procesmanagement. Processen vormen daarbij het hulpmiddel om strategische doelen om te zetten in concrete resultaten en daarop te sturen. 

In dit geval is het strategische doel duidelijk: persoonsgegevens van inwoners moeten aantoonbaar worden beschermd, terwijl de organisatie tegelijkertijd aan haar verplichtingen rondom openbaarmaking voldoet. Procesmanagement verbindt dat doel aan de dagelijkse uitvoering en maakt zichtbaar:

• welke stappen worden uitgevoerd; 
• welke gegevens door het proces bewegen; 
• welke systemen worden gebruikt;
• wie verantwoordelijk is; 
• welke controles nodig zijn; 
• hoe afwijkingen worden gesignaleerd; 
• waar risico’s ontstaan; 
• en hoe de organisatie van fouten leert. 

Daarmee kan procesmanagement en het juist toepassen hiervan beleid, privacy, informatiebeheer, technologie en uitvoering bij elkaar brengen. Dat is noodzakelijk, omdat deze problemen rondom data en gegevens ook niet binnen één afdeling, functie of systeem kunnen worden opgelost.

Maak eigenaarschap concreet 

Bij processen die over afdelingen en systemen heen lopen, voelt vaak iedereen zich verantwoordelijk voor zijn eigen stap. Tegelijkertijd voelt niemand zich volledig verantwoordelijk voor het eindresultaat en wordt er bij het publiceren vanuit gegaan dat alle voorgaande stapppen goed zijn uitgevoerd. Daarom moet duidelijk zijn wie verantwoordelijk is voor het functioneren van het proces in zijn geheel. 

Dat betektent onder andere dat organisaties afspraken moeten maken over:

• de eigenaar van het publicatieproces; 
• eenduidige criteria voor wat wel en niet openbaar mag worden gemaakt;
• verantwoordelijkheden en bevoegdheden bij controles; 
• de behandeling van afwijkingen en twijfelgevallen; 
• en de momenten waarop publicatie moet worden tegengehouden. 

Procesrollen en verantwoordelijkeden zijn daarmee geen administratieve formaliteit, maar vormen noodzakelijke voorwaarden om risico’s beheersbaar te maken en de kans op menselijke fouten te verminderen.

Van incident naar grip

Een goed ingericht proces sluit fouten niet volledig uit, maar zorgt er wel voor dat afwijkingen snel zichtbaar worden en tot verbetering leiden. Door te monitoren waar en waarom persoonsgegevens toch worden gepubliceerd, kan een organisatie gericht bijsturen. Dat vraagt om een werkende PDCA-cyclus waarbij afspraken worden gemaakt en uitgevoerd, resultaten worden gecontroleerd en verbeteringen worden doorgevoerd.

Zo verschuift de aandacht van reageren op afzonderlijke incidenten naar structurele grip op het proces. Het feit dat er geen gegevens meer gelekt worden is dan geen toeval, maar het resultaat van een organisatie die gericht stuurt, leert van afwijkingen en haar processen blijvend verbetert.