In aanloop naar de deadline van 25 mei werd er door veel bedrijven bij medewerkers vooral gehamerd op het voorkomen van boetes om er zo voor te zorgen dat de nieuwe wetgeving wordt gevolgd. Daarnaast werd er gericht gestuurd op het bouwen aan overzichten (data mapping) en processen (privacy by design & default). Het gevaar hierbij is dat het management precies weet wat er moet gebeuren om aan de wetgeving te voldoen, maar dat de medewerkers dit niet (meer) weten.

Aangezien er sinds de invoering minder aandacht is voor de AVG wordt de kans groot dat medewerkers weer terugvallen in oude patronen en bijvoorbeeld gevoelige data verspreiden. Gaat dat mis, terwijl klanten en consumenten door de AVG juist verwachten dat er extra voorzichtig wordt gehandeld, dan kan dat een flinke aanslag zijn op de reputatie van een organisatie.

Intrinsieke behoefte aan cultuurverandering

Volgens Matthijs Onder de Linden, Data Protection Officer (DPO) bij Redmore Group, moeten medewerkers zélf de behoefte voelen om zich op zo’n manier te gedragen dat ze continu de nieuwe wet naleven, zonder hierbij na te denken over een mogelijke repressie. Zij moeten het als taak en onderdeel van hun werk zien om elkaar te motiveren en aan te spreken wanneer de AVG niet wordt nageleefd. Leidinggevenden spelen een belangrijke rol in het creëren van deze intrinsieke behoefte en cultuurverandering.

Wat is de belangrijkste les sinds 25 mei? Ook al draait compliance voornamelijk om het voldoen aan wet- en regelgeving, toch is het heel belangrijk om medewerkers te stimuleren in de gedachte dat de privacywet veel meer is dan alleen een richtlijn. In de praktijk komt het er  op neer dat het management zo’n negentig procent van de tijd bezig is met aanmoedigen en tien procent met politieagent spelen. Alleen zo wordt respect voor privacy- en databescherming een vast onderdeel van de dagelijkse bedrijfsvoering en wordt er niet alleen gehandeld uit angst voor een boete of reprimandes.