Medewerkers van de gemeenten Utrechtse Heuvelrug, Bunnik, De Bilt en Wijk bij Duurstede ontmaskerden begin dit jaar een hacker. Niet in het echt maar in de AVG Escaperoom Challenge van Brooklyn Partners. De vier gemeenten kozen voor deze serious game om medewerkers bewuster te maken van het onderwerp privacy en informatiebeveiliging. Serena Kramer, privacy officer bij de gemeente Utrechtse Heuvelrug, vertelt over het daverende succes.
Lees ook het artikel van iBestuur over de ervaring van de Gemeente Utrechtse Heuvelrug.
De projectgroep privacy en informatiebeveiliging benadrukt de prettige en integere samenwerking met Brooklyn Partners. Ze voelden zich gesteund en ook de inbreng van eigen ideeën werden op een positieve manier vertaald naar een programma wat zij binnen de gemeente weer naar iedereen kunnen uitzetten.
De reden van de vier gemeenten om de AVG Escaperoom van Brooklyn Partners in te zetten was tweeledig. Enerzijds wilden de gemeenten hun medewerkers duidelijk maken waar ze moeten zijn met vragen of problemen rond privacy. En ten tweede wilden ze hen op een leuke manier de tien meest belangrijke punten uit de Algemene Verordening Gegevensbescherming (AVG) bijbrengen.
‘Beide doelen hebben we met de AVG Escaperoom Challenge ruimschoots bereikt,’ zegt Kramer tevreden. ‘Collega’s die ik nog nooit had ontmoet, kennen me nu en weten me te vinden met vragen over privacy. Potentiële datalekken worden nu veel vaker gerapporteerd. En ook de burgemeester en wethouders zijn betrokken, o.a. door hun rol in de speciaal voor onze gemeente gemaakte introductiefilmpjes. Maar daarnaast is er ook veel gelachen en geleerd’
Angst
De challenge maakte het onderwerp privacy voor iedereen toegankelijk. Kramer: ‘Ik merkte dat collega’s daar behoefte aan hadden. Ze zitten niet te wachten op ingewikkelde juridische uitleg. Dan haken ze af. Ze willen heel concreet weten: als we het zo doen, dan doen we het goed. Er heerste ook veel angst rond privacy. Nu we met de Escaperoom de grote lijnen hebben neergezet – zo moet het, als er wat is neem contact met ons op – is veel van die angst verdwenen.’
Concrete handvatten
Ambtenaren werken met gevoelige gegevens en veel van hun werk heeft met privacy te maken.
“Sommigen hadden het gevoel dat ze hun werk niet meer konden doen. Maar er waren ook medewerkers die meenden dat ze niets met de AVG te maken hadden. Die dachten: ik zit in de buitendienst, dat raakt mij toch niet. Maar ondertussen hebben ze wel een iPad met veel persoonsgegevens erop. Privacy raakt iedereen in de gemeente. Dankzij de Escaperoom hebben we de medewerkers concrete handvatten gegeven.“
Serena Kramer, privacy officer bij de gemeente Utrechtse Heuvelrug
Keuzes onder tijdsdruk
De Cyber Ecaperoom Challenge heeft veel bewustzijn gecreëerd volgens Kramer. Medewerkers gaan nadenken, weten waar ze op moeten letten, bij wie ze moeten zijn en voelen wanneer het spannend wordt. En iedereen weet het: ik moet die onbekende USB-stick niet gebruiken, maar ik wil toch verder met mijn werk. Zodra ergens druk achter zit, is de verleiding groot om van de regels af te wijken. Dan kunnen mensen rare dingen doen. De Cyber Escaperoom dwingt medewerkers om onder tijdsdruk keuzes te maken, net als in het echt. Na de sessies in de Escaperoom ontstonden ook allerlei discussies tussen collega’s onderling. Bijvoorbeeld over onveilige wachtwoorden, die gedeeltelijk van social mediaprofielen te herleiden zijn. Maar ook AVG-inhoudelijk: hoe deel je nou veilig gevoelige informatie met andere instanties? Of heel praktisch: hoe nodig je externen uit voor een afspraak zonder persoonsgegevens te delen?
Competitie
Volgens Kramer heeft ook de communicatie rond het project veel losgemaakt. ‘We hadden zelf een trailer gemaakt, die we draaiden in de kantine en op intranet. Dat is mede de kracht van deze methode. Door het iets persoonlijks van onze gemeente te maken, gaat het nog meer leven. Op intranet hebben we foto’s van de teams met hun escaperoomscores gezet. Andere collega’s reageren daar weer op. Zo kreeg je een interne competitie die de deelname nog verder verhoogde. Iedereen wilde gewoon meedoen.’
Best practise
Kramer kijkt razend enthousiast terug op het hele proces. ‘Er is hier veel waardering voor deze creatieve manier van de organisatie activeren; zo’n combinatie van leren en een sensationele activiteit voor medewerkers. Op onze interne social media heeft dertig procent van de organisatie de berichtgeving erover geliked. Utrechtse Heuvelrug laat hier in een best practice zien hoe je medewerkers kunt activeren voor een lastig onderwerp als privacy. Daar ben ik enorm trots op.’
Escaperoom van Brooklyn Partners
Veel gemeenten zetten met de Escaperoom een eerste grote stap met het onder de aandacht brengen van privacy en, daar direct aan verbonden, informatiebeveiliging. Vaak hebben organisaties al een promotiecampagne rondom privacy gedaan en hebben medewerkers al een e-learning gevolgd. Toch kennen medewerkers de relatief nieuwe functie van privacy officer en functionaris gegevensbescherming vaak niet. En ze weten niet hoe ze vraagstukken rondom privacy moeten aanpakken. Door in teams actief te experimenteren met de materie, leren medewerkers veel meer dan via traditionele kanalen als e-learning en posters. De concepten van Brooklyn Partners, waarin medewerkers zelf aan de slag gaan in een serious game, zijn gebaseerd op Kolb’s Experiential Learning Cycle.
