AVG-training: reageren op echte verzoeken van betrokkenen

Een AVG-opleiding voor medewerkers moet hen voorbereiden op echte situaties. Denk aan het inzageverzoek dat telefonisch binnenkomt, de beller die informatie over een derde eist en de identiteit die u moet controleren zonder te kwetsen. Kort antwoord: de medewerker herkent het verzoek, controleert de identiteit evenredig, geeft niets over een derde prijs en draagt over aan de juiste persoon.

De verordening speelt zich niet alleen af op de juridische afdeling. Ze speelt zich af aan het loket, aan de receptie, bij de klantendienst, in het gesprek. Dit artikel presenteert de nuttige regels en daarna een methode om ze hardop te trainen.

Wat moet een medewerker dagelijks van de AVG weten?

Een medewerker hoeft Verordening (EU) 2016/679 niet te kunnen opzeggen. Hij moet enkele ijkpunten onthouden die de juiste reflex activeren.

• Een verzoek om inzage kan overal binnenkomen. Per e-mail, per brief, via een formulier, maar ook mondeling. De tekst van artikel 12 voorziet in geen bijzondere formaliteit.
• De termijn is kort. Volgens artikel 12, lid 3, antwoordt de verwerkingsverantwoordelijke uiterlijk binnen een maand na ontvangst. Die termijn kan met twee maanden worden verlengd als de complexiteit of het aantal verzoeken dat vereist. De persoon moet daarover binnen de eerste maand worden geïnformeerd.
• De identiteit controleert u bij twijfel. Artikel 12, lid 6, staat toe aanvullende informatie te vragen wanneer er redelijke twijfel bestaat over de identiteit van de verzoeker.
• Derden zijn beschermd. Het recht om een kopie te verkrijgen mag geen afbreuk doen aan de rechten en vrijheden van anderen (artikel 15, lid 4).

De verordening vertrouwt ook de bewustmaking en opleiding van het personeel toe aan de functionaris voor gegevensbescherming (artikel 39, lid 1, punt b). De opleiding van medewerkers hoort dus bij de governance.

Hoe reageert u op een telefonisch inzageverzoek?

De Franse toezichthouder CNIL beschrijft op haar website hoe u op een verzoek om inzage antwoordt, zonder specifiek het telefoongeval te behandelen. Ze noemt het verzoek ter plaatse, het schriftelijke verzoek en het elektronische verzoek. Mondeling gaat het erom het verzoek niet te laten verloren gaan.

Hier een leidraad in vijf stappen.

1. Het verzoek herkennen. ‘Als ik het goed begrijp, wilt u een kopie van de gegevens die wij over u hebben.’
2. Het in behandeling nemen. ‘Ik registreer het nu meteen. U krijgt binnen een maand antwoord.’
3. De identiteit evenredig controleren. Zie de volgende paragraaf.
4. Doorverwijzen naar de interne procedure. ‘Ik geef uw verzoek door aan het team dat deze verzoeken behandelt, dat bij u terugkomt.’
5. Vastleggen. Datum van het gesprek, aard van het verzoek, persoon aan wie is doorgegeven. De termijn telt vanaf de ontvangst.

De medewerker deelt de gegevens zelf niet telefonisch mee. Hij zegt ook niet ‘wij hebben niets over u’ zonder verificatie. Het antwoordcircuit is van het aangewezen team, dat de systemen en de uitzonderingen kent.

De identiteit van de beller controleren zonder te overdrijven

De CNIL herinnert eraan dat het niet nodig is om uit principe een identiteitsbewijs te vragen. De identiteit kan met elk middel worden vastgesteld, bijvoorbeeld een klantnummer. Bij redelijke twijfel kan een bewijsstuk worden gevraagd. Het controleniveau hangt af van de aard van het verzoek en de gevoeligheid van de gegevens.

Aan de telefoon ziet de medewerker zijn gesprekspartner niet en beschikt hij niet altijd over een geauthenticeerde omgeving. Die context kan een grondiger controle rechtvaardigen voor gevoelige gegevens. Ze moet evenredig blijven, zonder meer gegevens te verzamelen dan nodig.

Bruikbare zinnen:

‘Om uw gegevens te beschermen, moet ik zeker zijn dat ik met de betrokken persoon spreek. Kunt u mij uw klantnummer geven?’

‘Ik kan die informatie niet telefonisch meedelen. Ik bel u terug op het nummer in uw dossier.’

Het terugbellen volgt de logica uit het artikel over de terugbelprocedure via een onafhankelijk kanaal. Identiteitsvragen hebben hun grenzen: sommige informatie is openbaar. Het artikel over het controleren van de identiteit van een beller werkt ze uit.

Wat antwoordt u een beller die informatie over iemand anders wil?

Dit is de situatie met het hoogste risico. Een partner, een naaste, een ‘collega van de persoon’, een zogenaamde officiële dienst vragen om een adres, een nummer of een status. De CNIL noemt het voorbeeld van de partner of de collega bij haar controle van de rechten van derden.

Een kwaadwillende kan dit kanaal gebruiken om een oplichting voor te bereiden: hoe meer details hij over een persoon krijgt, hoe geloofwaardiger het volgende gesprek. Stel een beller die zich voorstelt als de adviseur van een klant. Hij vraagt ‘alleen maar’ een geboortedatum om ‘een dossier af te ronden’.

Het antwoord past in drie zinnen.

‘Ik kan geen informatie over een ander persoon meedelen.’

‘Als die persoon dat wil, kan hij rechtstreeks contact met ons opnemen.’

‘Ik geef u de procedure voor officiële verzoeken.’

De medewerker hoeft niet te discussiëren, noch uit te leggen waarom hij weigert. Hoe meer hij zich verantwoordt, hoe meer houvast hij geeft aan aandringen. Zie ons artikel over onder druk nee zeggen aan de telefoon.

De veelgemaakte fouten van medewerkers

• Meteen antwoorden om vriendelijk te zijn. Een gegeven doorgeven ‘om te helpen’ is precies het geval dat u moet vermijden.
• Het verzoek negeren bij gebrek aan formulier. Een mondeling verzoek bestaat. De termijn loopt ook als niemand het heeft genoteerd.
• Systematisch een identiteitsbewijs eisen. De CNIL geeft aan dat dat zonder redelijke twijfel niet nodig is.
• Bevestigen of ontkennen dat iemand klant is. Zelfs die informatie onthult een gegeven over een derde.
• Een onbedoelde openbaarmaking niet melden. Een gegeven dat aan de verkeerde gesprekspartner is gegeven, moet meteen aan de betrokken dienst worden doorgegeven. Een datalek kan een melding aan de toezichthouder binnen 72 uur vereisen, vanaf het moment dat de organisatie ervan weet.

Medewerkers trainen met rollenspel

Weten dat u de identiteit moet controleren, zegt niet hoe u dat hardop doet, tegenover iemand die geïrriteerd is. E-learning brengt het kader over. Het laat het ongemak van de weigering, de verleiding om te helpen en het aandringen van de beller buiten beeld. Toch zijn dat de drie krachten die tot toegeven leiden. Onze pagina over de verplichte compliancetrainingen legt uit waarom dit verschil algemeen is. Het artikel over voltooiing en bekwaamheid bevestigt het.

Een AVG-oefenscenario duurt enkele minuten. De persona, gespeeld door een AI, is een gehaaste beller die informatie vraagt over zijn voormalige zakenpartner. De trainer stelt zijn mate van aandringen in. De lerende moet weigeren, doorverwijzen en niets bevestigen.

Met Face Up schrijven de trainers hun scenario's op basis van hun eigen gevallen, geholpen door een ontwerpassistent. De lerende spreekt, met stem of video. Zijn debriefing toont de bereikte doelen, de sterke punten en de verbeterpunten. Ze bevat ook een actieplan en citaten. Hij kan opnieuw spelen.

Het interne circuit organiseren zodat de medewerker er niet alleen voor staat

Een geslaagde opleiding volstaat niet als de medewerker niet weet aan wie hij moet doorgeven. Voordat u de gesprekken traint, controleert u of het circuit bestaat en bekend is.

• Een aangewezen ingang. Een adres, een formulier of een benoemde contactpersoon voor verzoeken over rechten.
• Een duidelijke regel voor mondelinge verzoeken. Wie het gesprek noteert, in welk hulpmiddel, met welke informatie.
• Een standaardboodschap. Een doorgeefzin die elke medewerker kan zeggen zonder te improviseren.
• Een kanaal voor het melden van incidenten. Om een per vergissing gegeven inlichting te melden, zonder angst voor sancties.

De medewerker in de frontlinie voelt zich dan gesteund. Hij kan met overtuiging weigeren, omdat hij weet dat het vervolg wordt opgepakt. De controle van de rechten van derden, het opstellen van het antwoord en een eventuele gemotiveerde weigering blijven de taak van het aangewezen team.

Debriefingschema

• Heeft hij het inzageverzoek herkend en de termijn aangekondigd?
• Heeft hij de identiteit evenredig gecontroleerd?
• Heeft hij alle informatie over een derde geweigerd, zonder ze te bevestigen of te ontkennen?
• Heeft hij doorverwezen naar de interne procedure?
• Heeft hij vermeden zich lang te verantwoorden?
• Heeft hij eraan gedacht het gesprek vast te leggen?

Veelgestelde vragen

Is een telefonisch inzageverzoek geldig?

Artikel 12 van de AVG voorziet in geen bijzondere formaliteit voor het verzoek. Het voorzichtigst is het te behandelen als ontvangen vanaf het gesprek en het vast te leggen. Uw functionaris voor gegevensbescherming kan een interne regel vastleggen, bijvoorbeeld een schriftelijke bevestiging.

Moet u altijd een identiteitsbewijs vragen?

Nee. Volgens de CNIL kan de identiteit met elk middel worden vastgesteld, en wordt een bewijsstuk alleen gevraagd bij redelijke twijfel. Het controleniveau hangt af van de gevoeligheid van de gevraagde gegevens.

Wat is de antwoordtermijn?

Een maand na ontvangst, volgens artikel 12, lid 3, met twee maanden te verlengen als het verzoek complex is of er veel zijn. De persoon moet binnen de eerste maand over de verlenging worden geïnformeerd.

Om uw teams in deze gesprekken te trainen op uw echte gevallen, reserveer een demo. U kunt ook ons artikel over de AML-training lezen, dat een ander gesprek onder regelgevende druk behandelt.