Universiteit Leiden buigt nieuwe wetgeving om van verplichting naar kans
Wat begon als een wettelijke plicht vanuit de AVG groeit bij de Universiteit Leiden uit tot een kans om structureel te verbeteren. Dit komt door een bewuste verschuiving in aanpak en mindset: van het louter naleven van compliance naar het actief omarmen van kansen. VertX hielp de universiteit bij haar AVG-reis.
De Universiteit Leiden is met bijna 34.000 studenten een van de grootste universiteiten van ons land. Ze is bovendien een van de oudste van Nederland: op 8 februari 1575 werd de universiteit opgericht door Willem van Oranje, als dank voor het moedige verzet van de stad tijdens het beleg van Leiden.
Enkele honderden jaren later staat de universiteit voor uitdagingen van een geheel andere aard. Met de in mei 2018 ingegane Algemene verordening gegevensbescherming (AVG) moet de universiteit persoonsgegevens compliant verwerken. Organisaties met meer dan 250 medewerkers zijn verplicht een verwerkingsregister bij te houden, waarin staat welke gegevens worden verwerkt, met welk doel, wie toegang heeft en hoe ze worden beveiligd.
Voor de Universiteit Leiden betekende dit dat honderden verwerkingen opnieuw in kaart moesten worden gebracht, verspreid over alle afdelingen en faculteiten – een flinke klus voor de data- en privacyteams van de academische instelling.
Van compliance naar verbetering
Op weg naar volledige compliance koos de Universiteit Leiden ervoor om de verplichting juist te benutten als kans voor verbetering. “De noodzaak voor het register van verwerkingen werd gezien als een kans om structureel te verbeteren”, zegt Tijn Küppers, Consultant bij VertX.
“Het register van verwerkingen is niet alleen een wettelijke verplichting, maar ook een middel om grip te krijgen: meer inzicht in bewaartermijnen, duidelijkheid over systemen en een kleinere kans op datalekken. Ook komen processen nog scherper in beeld, worden risico’s beter beheersbaar en worden medewerkers zich nog bewuster van hoe ze omgaan met privacy en gegevensbescherming.”
Verandermanagement
Een van de belangrijkste uitdagingen tijdens de transitie was het meekrijgen van alle medewerkers. “Zoals bij veel verplichtingen is er in het begin weerstand. Niet iedereen ziet meteen de meerwaarde”, blikt Küppers terug.
“Maar door het gesprek aan te gaan, te laten zien wat het register van verwerkingen oplevert en kennishouders actief te betrekken, ontstaat gaandeweg draagvlak. Zodra duidelijk wordt dat het register van verwerkingen een centraal overzicht en inzicht in risico’s geeft, verandert de houding.”
Toekomstbestendiger
Inmiddels zijn meer dan 300 verwerkingen centraal vastgelegd in de GRC-tooling Trustbound. Daarmee verdwijnt de versnippering van losse Excel-lijstjes, waarin de verwerkingen eerst waren vastgelegd. Dat levert inzichten op die verder gaan dan wetgeving: hoe processen en systemen aan elkaar gekoppeld zijn, waar de risico’s liggen en – misschien nog belangrijker – meer bewustwording bij medewerkers.
Dat leidde tot een vliegwieleffect, waarbij verbeteringen werden vastgesteld en uitgerold naar de teams. “Nieuwe inzichten ontstaan en mensen ontdekken kansen om processen te verbeteren en risico’s te verkleinen. Dit soort verbeteringen maakt de universiteit toekomstbestendiger”, zegt Küppers.
Volgens Küppers, die vanuit zijn rol bij VertX organisaties in diverse sectoren begeleidt bij procesverbeteringen, biedt deze casus een algemene les: “Of het nu gaat om AVG, arbo, milieuwetgeving of financiële rapportages: vaak blijkt een verplichting niet alleen een last, maar juist een kans om duurzaam vooruitgang te boeken.”
