De paniek sloeg toe richting 25 mei: dé dag van de invoering van de Algemene Verordening Gegevensbescherming. Tandartsen, scholen, sportclubs, ze wisten 'ineens' niet meer hoe ze het aan moesten pakken met al die persoonsgegevens. En dat gold niet minder voor vele Nederlandse gemeenten, houders van persoonsgegevens bij uitstek. Maar in Den Haag hield men het hoofd koel door het spelen van een serieus spelletje.

Door: Quita Hendrison

Irith Kist trad ruim een jaar geleden aan als functionaris gegevensbescherming (FG) van de gemeente Den Haag. Het eerste wat ze deed was uitgebreid op verkenningstocht gaan. "Onze gemeente telt 43 panden en 8000 collega's. Dan heb je niet meteen een goed beeld van de bekendheid met de AVG. Daar moet je voor achter je bureau vandaan. Dat beeld bleek heel divers: van collega's die 100 procent op de hoogte waren tot mensen die nog helemaal niet wisten wat ze met de nieuwe wetgeving aan moesten. Wat ik wel overal aantrof was het besef van het belang om integer met persoonsgegevens om te gaan. Het ontbrak alleen aan voldoende kennis en handvatten om daadwerkelijk AVG-proof aan het werk te kunnen. Wanneer is er sprake van een datalek, wanneer moet ik melden bij de Autoriteit Persoonsgegevens, dat soort basiskennis, daar was behoefte aan."

Serious gaming

Maar zonder bewustwording over de nieuwe privacyregels valt kennis in het luchtledige. Bewustwording is daarom een van de punten uit het tien-stappenplan van de Autoriteit Persoonsgegevens (In tien stappen voorbereid op de AVG). Samen met CISO (chief information security officer) Dick Brandt stelde Kist een bewustwordingscampagne samen van lezingen, workshops en zelfs een speciaal privacyspreekuur. Kers op de taart is een heus spel: een serious game. Bij serious gaming gaat het altijd om iets anders dan om louter vermaak. Het doel van een serious game is bijvoorbeeld werving en selectie, informeren, communiceren of het verwerven van inzicht. Irith Kist: "Onze CISO had al ervaring met serious gaming. En in het bombardement van tools die we vanuit de markt kregen zaten allerlei producten van game-ontwikkelaars. We waren snel overtuigd van de meerwaarde: een spel is laagdrempelig en prikkelend. We hebben gekozen voor deze specifieke game omdat hij aan de ene kant simpel is: het is een interactieve app die je op al je apparaten makkelijk kunt installeren. En aan de andere kant heel volledig. Als je een van de vijftien vragen fout hebt ga je terug naar af en kun je via hulplijnen allerlei achtergrondinformatie en tips krijgen. Het leereffect is daardoor groot."

Ambassadeurs

Het oorspronkelijke AVG awarness-spel is niet specifiek gericht op gemeenten, maar kan in allerlei organisaties worden ingezet. "De CISO en ik hebben de inhoud aangepast op de gemeente Den Haag, dat zou ik ook andere gemeenten aanraden. Wij hebben dankbaar 'gebruikgemaakt' van G4-trainees Joep van de Spoel en Alma Rasidkadic om dit voor onze gemeente goed in elkaar te zetten. Elke gemeente heeft immers z'n eigen procedures, bijvoorbeeld voor het melden van datalekken. Ook in de communicatie rond het spel moet je maatwerk maken. Zo heeft onze communicatieadviseur Maite Le Loux niet alleen een fantastische naam voor het spel bedacht, Gegevensweg?!, maar daar ook een mooie campagne omheen gemaakt. Op elke locatie hing een banner die echt op dat specifieke kantoor sloeg. Zoals "Laat jij je gegevens niet wegwaaien?" voor het altijd winderige Scheveningen. En om het breed in de organisatie uit te zetten hebben we er geen opdracht vanuit de directie van gemaakt, maar hebben we ambassadeurs aangesteld die elk verantwoordelijk waren voor een team van spelers."

En met succes: uit de recente evaluatie bleek dat in drie maanden tijd zo'n duizend Haagse gemeenteambtenaren het spel hebben gespeeld. "Dat is echt veel," stelt Irith Kist tevreden vast. "We kijken overigens niet op persoonsniveau wie wat scoort, maar kunnen wel zien hoe de verdeling van deelnemers over de verschillende diensten is. En dan zien we dat die een dwarsdoorsnede van de organisatie vertegenwoordigen. Dus niet alleen collega's die er vanuit hun dienst al mee bezig zijn."

Steeds meer invulling

Met de resultaten in de hand staat er voor komende september een tweede release op de rol. "Op basis van versie 1 gaan we aanpassen en verdiepen. En we gebruiken de resultaten ook weer voor de workshops en andere onderdelen van de brede campagne. Het is een palet waarin elk stukje waardevol is. Want het hield natuurlijk niet op na 25 mei, sterker nog: daarna is het pas echt begonnen. De AVG wordt nog weleens vergeleken met de millenniumbug, een soort big bang, maar die vergelijking gaat niet op. Bij de AVG gaat het om kaderwetgeving die steeds meer invulling zal krijgen: er komt jurisprudentie, we krijgen meer en meer te maken met privacy by design en privacy by default. We zullen de aandacht vast moeten houden en stappen blijven zetten. Waarin we van controle steeds meer naar inhoud gaan. De AVG is een kans om nog meer die betrouwbare overheid te zijn die de burgers van ons verwachten."