Na een training wil je iedereen snel zijn certificaat sturen. Dat gebeurt vaak in één keer: een mail aan de hele groep, twintig pdf's als bijlage of één gedeelde map met alle bestanden. Juist in die haast ontstaan de fouten die je achteraf moet uitleggen.
Waarom dit onder de privacyregels valt
Een certificaat bevat persoonsgegevens: de naam, vaak een geboortedatum, de opleiding en de datum van het resultaat. Een e-mailadres is ook een persoonsgegeven. De Autoriteit Persoonsgegevens omschrijft een datalek als toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Als eerste voorbeeld noemt de AP persoonsgegevens die aan een verkeerde geadresseerde zijn verstuurd.
Bij het uitreiken komt dat neer op drie bekende situaties:
- Een mail aan de groep met alle adressen in het aan- of cc-veld. Iedere deelnemer ziet de adressen van de anderen.
- Het certificaat van de ene deelnemer in de mail aan de andere. Meestal door een verschoven rij in een spreadsheet.
- Alle certificaten in één bijlage of één gedeelde map. Wie de map opent, ziet wie er heeft deelgenomen en wie wat heeft behaald.
Bij de laatste twee lekt meer dan een adres. Uit een groep waarin de een een certificaat kreeg en de ander alleen een deelnamebewijs, valt af te leiden wie de toets niet heeft gehaald. Dat is gevoeliger dan het lijkt.
Eén mail per deelnemer
De eenvoudigste maatregel is ook de beste: elke deelnemer krijgt een eigen mail met alleen zijn eigen certificaat. Dan komt een adres nooit bij een ander terecht en treft een verkeerde bijlage hooguit één persoon.
Bcc is geen goede vervanging. Het werkt zolang je het juiste veld kiest, maar één verkeerde klik zet alle adressen alsnog in beeld. Met bcc krijgt bovendien iedereen dezelfde bijlage, dus het probleem van de pdf's los je er niet mee op.
Werk je vanuit een spreadsheet, controleer dan vóór het versturen of naam, e-mailadres en bestand per rij bij elkaar horen. Zet de naam van de deelnemer in de bestandsnaam van de pdf. Dan valt een verschuiving meteen op. Stuur eerst een proefmail aan jezelf.
Certificaat Uitreiken stuurt om die reden elke deelnemer een aparte mail met zijn eigen pdf en een link naar zijn eigen controlepagina.
Niet meer gegevens dan nodig
Hoe minder er op het certificaat staat, hoe kleiner de schade als het misgaat. Een geboortedatum helpt om naamgenoten uit elkaar te houden, maar zet hem er alleen op als iemand hem nodig heeft om het certificaat te controleren. Een cijferlijst per onderdeel kan vaak beter in een aparte bijlage die de deelnemer zelf doorstuurt als hij dat wil. In wat er op een certificaat moet staan lees je wat er echt op hoort en in persoonsgegevens op certificaten waarom het burgerservicenummer er nooit op hoort.
Als het toch misgaat
Een verstuurde mail haal je niet terug. Wat je wel kunt doen, staat in het stappenplan van de AP:
- Breng in kaart wat er is gebeurd. Welke gegevens, van hoeveel deelnemers, naar wie.
- Beperk de schade. Vraag de verkeerde ontvanger de mail en de bijlage te verwijderen en dat te bevestigen. De AP wijst erop dat zo'n bevestiging geen volledige zekerheid geeft, maar dat je haar wel mag meewegen.
- Beoordeel of je het lek moet melden en of je de deelnemers moet informeren.
- Leg het voorval vast in je eigen datalekregister.
Over het melden zegt de AVG in artikel 33 dat je een datalek zonder onredelijke vertraging en zo mogelijk uiterlijk 72 uur nadat je ervan weet meldt bij de Autoriteit Persoonsgegevens. Dat hoeft niet als het niet waarschijnlijk is dat het lek een risico oplevert voor de mensen om wie het gaat. Meld je later dan 72 uur, dan geef je de reden van de vertraging. Levert het lek waarschijnlijk een hoog risico op, dan moet je volgens artikel 34 ook de deelnemers zelf onverwijld informeren.
Of een rondmail met twintig zichtbare adressen een risico oplevert, beoordeel je zelf. De AP noemt factoren als de aard en de gevoeligheid van de gegevens, het aantal betrokkenen en de vraag wie de ontvanger is. Een verkeerde collega binnen je eigen organisatie weegt anders dan een onbekende. Twijfel je, schrijf dan je afweging op.
Vastleggen is in elk geval verplicht. Artikel 33, vijfde lid, vraagt dat je elk datalek documenteert met de feiten, de gevolgen en de maatregelen die je hebt genomen. Ook de lekken die je niet meldt.
De certificaatmail is geen nieuwsbrief
De laatste valkuil zit in de inhoud. Het is verleidelijk om onder het certificaat meteen de vervolgtraining aan te prijzen. Daarmee wordt de mail deels reclame en dan gelden de regels voor ongevraagde communicatie uit artikel 11.7 van de Telecommunicatiewet.
Dat artikel kent een uitzondering voor eigen klanten. Je mag hun e-mailadres gebruiken voor eigen gelijksoortige producten of diensten, als je hun bij het verzamelen van het adres en in elk bericht de gelegenheid geeft zich kosteloos en eenvoudig af te melden. Heeft de werkgever de training gekocht, dan is de deelnemer niet zonder meer jouw klant. Houd de certificaatmail daarom zakelijk: het certificaat, de controlelink en een adres voor vragen. Een aanbod stuur je apart, aan mensen die daarvoor hebben gekozen.
Kort samengevat
Eén mail per deelnemer, alleen zijn eigen certificaat, zo weinig gegevens als het doel toelaat en geen reclame erbij. Gaat het toch mis, handel dan snel, beoordeel of je binnen 72 uur moet melden en schrijf op wat er is gebeurd. Vraagt de werkgever na afloop om de uitslagen, lees dan eerst resultaten delen met de werkgever van een deelnemer.