Privacy Policy: interne regels

[PowerFlower]

Wie een beetje serieus is met online, zal al snel aan de slag moeten met een privacy policy (al was het maar omdat je die nodig hebt om bijvoorbeeld Facebook apps te mogen gebruiken, maar natuurlijk ook vanwege de wet- en regelgeving).

Nu kun je die nog wel aardig inelkaar copy/pasten, maar wanneer je hem publiceert, ben je natuurlijk ook zelf de verplichting aangegaan je daar aan te houden.

Ik liep hier de afgelopen week tegenaan: mijn sites zijn niet in de EU gevestigd; dus op zich hoeven we ons helemaal niet aan allerlei complexe privacy/cookiewetten te houden. Maar als we een serieus en betrouwbaar bedrijf willen zijn, ook naar onze bezoekers in EU en US, dan moeten we natuurlijk wel degelijk een serieuze, solide Privacy Policy hebben.

Daarmee is het plotseling een belofte van ons, aan onze bezoekers geworden. En het is in de praktijk best lastig je zelf daar aan te houden.

Ik ben dus wat rond gaan vragen bij verschillende mensen of ze, naast de externe, gepubliceerde Privacy Policy, ook een interne policy hebben om er daadwerkelijk voor te zorgen dat die niet overschreden wordt.

Tot mijn verbazing was de reactie overwegend "dat is wel een goed punt eigenlijk, die zouden we moeten hebben!"

Helaas kon ik een interne policy dus niet even copy/pasten

Heeft iemand hier daar wel eens over nagedacht? Hebben jullie toevallig voorbeelden van een interne policy, die aansluit op een externe? Of hoe doen jullie dat anders?

[Fiber]

Kun je de interne privacy policy van Tweakers niet kopiëren...?

[Chrotenise]

Fiber schreef op donderdag 09 mei 2013 @ 14:21:
Kun je de interne privacy policy van Tweakers niet kopiëren...?

Misschien is dat juist een van de bedrijven die zei dat ze er een moesten hebben

[PowerFlower]

Fiber schreef op donderdag 09 mei 2013 @ 14:21:
Kun je de interne privacy policy van Tweakers niet kopiëren...?

Nee, want zo letterlijk bedoelde ik het niet. We hebben (bij mijn werkgever, wat != GoT) een hele specifieke privacy policy, zoals iedereen dat zou moeten hebben. Want dat verschilt nogal van site tot site en is niet iets dat je zomaar zou moeten kopieren: het schept een verplichting, en daar moet je je vervolgens wel aan kunnen houden. Vandaar dat ik opzoek ben naar voorbeelden die navolging verdienen, om het wat duidelijk te stellen, niet dat iemand die zomaar zou kunnen copy/pasten natuurlijk

[zeef]

Fiber schreef op donderdag 09 mei 2013 @ 14:21:
Kun je de interne privacy policy van Tweakers niet kopiëren...?

Die is copyrighted.

[Remy]

Een interne privacy policy kan in eerste instantie misschien wat 'strak' overkomen. Een aanzet daartoe in de vorm van 'online gedragsregels' of 'online gedragscode' kan dan al een stap zijn die beter behapbaar is voor iedereen.

Na een tijdje kunnen die regels, na review, verder gevormd worden in een serieuzere interne privacy policy

[PowerFlower]

Klopt, de term waar we nu mee werken is dan ook "guidelines"

Er is alleen een zekere mate van shock & awe voor nodig, want op dit moment ben ik een van de drie mensen (op een afdeling van 120+) die het überhaupt belangrijk vind.

Maar... voorbeelden?

[Fiber]

PowerFlower schreef op woensdag 15 mei 2013 @ 11:25:
Klopt, de term waar we nu mee werken is dan ook "guidelines"

Er is alleen een zekere mate van shock & awe voor nodig...

Ah, op zo'n manier...

[Orion84]

Staan de maatregelen om te zorgen dat je klant-data niet verkeerd behandeld wordt doorgaans niet beschreven in je interne security policies (en/of guidelines, procedures, standards en what not)?

Dat is in elk geval wel mijn ervaring bij mijn eigen werkgever en andere grote bedrijven.

Er is een privacy policy die beschrijft wat er verzameld wordt en hoe daar mee wordt omgegaan (rechten en plichten van verzamelaar, verwerker en onderwerp). Daar staat dus ook al in beschreven wat de plichten van het verzamelende/verwerkende bedrijf zijn.

Daarnaast zijn er vaak één of meer security policies die beschrijven hoe gevoelige data beschermd moet worden.

Ter ondersteuning van die policies hebben we dan ook nog verschillende guideline documenten voor specifieke doelgroepen / onderwerpen.

Wellicht helpt dat je om de voorbeelden te vinden die je zoekt?

Remy schreef op woensdag 15 mei 2013 @ 09:21:
Een interne privacy policy kan in eerste instantie misschien wat 'strak' overkomen. Een aanzet daartoe in de vorm van 'online gedragsregels' of 'online gedragscode' kan dan al een stap zijn die beter behapbaar is voor iedereen.

Na een tijdje kunnen die regels, na review, verder gevormd worden in een serieuzere interne privacy policy

Online gedragsregels gaan natuurlijk maar helpen bij een heel beperkt deel van de verplichtingen die je als bedrijf hebt om de privacy van je klanten te waarborgen. Althans: zaken als veilige systemen waar persoonsgegevens in staat, geen business modellen die in strijd zijn met privacy regels etc. lijken me niet iets wat je gaat terugvinden in online gedragsregels.

[ Voor 40% gewijzigd door Orion84 op 15-05-2013 12:17 ]

[PowerFlower]

Goed punt. Het komt ook doordat we een ad-driven media bedrijf zijn; dat wil zeggen, online is de meest directe manier dat we klantcontact hebben, we hebben verder geen directe "klanten" namelijk. En dus ook geen regels over de beveiliging van klantgegevens, etc. waar we dit aan op kunnen hangen.

Fiber schreef op woensdag 15 mei 2013 @ 11:53:
Ah, op zo'n manier...

[afbeelding]

Fiber, dit is niet de HK he

[Fiber]

PowerFlower schreef op woensdag 15 mei 2013 @ 13:00:
[...]
Fiber, dit is niet de HK he

Ik weet het, maar ik denk wel dat dit een illustratie is van hoe die andere 117+ medewerkers op je afdeling over dit 'probleem' denken...

[Orion84]

PowerFlower schreef op woensdag 15 mei 2013 @ 13:00:
Goed punt. Het komt ook doordat we een ad-driven media bedrijf zijn; dat wil zeggen, online is de meest directe manier dat we klantcontact hebben, we hebben verder geen directe "klanten" namelijk. En dus ook geen regels over de beveiliging van klantgegevens, etc. waar we dit aan op kunnen hangen.

Jullie echte klanten zijn natuurlijk de bedrijven waar jullie advertentie/media diensten aan leveren, maar het privacy stuk gaat denk ik dus vooral over de klanten van jullie klanten, de doelgroep van de advertenties dus?

In plaats van klant-data kan je ook gewoon persoonsgegevens lezen in mijn post.

Maar sowieso is mijn ervaring natuurlijk wel met een wat ander slag bedrijven dan een relatief klein en modern online advertentie-media bedrijf zoals dat waar jij werkt.

De interne policies / guidelines hangen natuurlijk wel heel sterk af van wat je precies allemaal aan activiteiten doet die raken aan het werken met persoonsgegevens. Bij ons is er bijvoorbeeld een specifieke guideline voor marketing activiteiten en aan welke regels dat gebonden is. Wat in feite een marketingspecifieke, gedetailleerde uitleg is van de verplichtingen zoals die zijn vastgelegd in de externe privacy policy. En zo zijn er nog een aantal specifieke guidelines (naast wat er op IT Security gebied al is vastgelegd).

Dat is (als ik je goed begrijp) ook wat jij zoekt: een vertaling van de verplichtingen die je aangaat in de privacy policy zoals je die extern publiceert, naar wat dat inhoudt voor het werk wat je medewerkers doen. Dat verschilt natuurlijk per medewerker/functie. Iemand die een marketing strategie bedenkt moet op een ander niveau nadenken over wat binnen de policy valt dan de engineer/devver die de website ontwerpt/bouwt waar de gegevens verwerkt worden. De een moet goed nadenken wat wel en niet verzameld/verwerkt mag worden, de ander moet vooral zorgen dat de data die verzameld en verwerkt wordt op een veilige manier behandeld wordt.

[PowerFlower]

Orion84 schreef op woensdag 15 mei 2013 @ 13:29:
Maar sowieso is mijn ervaring natuurlijk wel met een wat ander slag bedrijven dan een relatief klein en modern online advertentie-media bedrijf zoals dat waar jij werkt.

Klein en modern zijn we helaas niet, online van een televisiezender Het zit dan ook volstrekt niet in het DNA van het bedrijf om te begrijpen wat je moet doen met die enorme hoeveelheden gebruikersdata die we plotseling binnenkrijgen.

[Orion84]

Ah, my bad

Je zou het (in plaats van in een droge policy) ook eerst eens in de vorm van een awareness campagne kunnen gieten. Campagnes bouwen zit in jullie bloed (toch?) en dat lijkt me een goede optie om de medewerkers bewust te maken van de beloften die aan gebruikers wordt gedaan en de rol die zij spelen in het nakomen van die belofte.

Daaraan parallel kan je dan een aantal concrete guidelines beschikbaar stellen die direct aansluiten op het dagelijks werk van de belangrijkste betrokken functies binnen het bedrijf.

Dus niet "jullie moeten je aan X, Y en Z houden want anders!!!11~~~", maar "We beloven X, Y en Z aan onze klanten/gebruikers, we hebben jullie hulp nodig om die belofte na te komen, weten wat jij kan doen? Zie guideline".