Bedrijfsgegevens verzamelen bij werknemers – wat met de privacy?

In hun voortdurende streven naar meer efficiëntie – nodig om concurrenten het hoofd te bieden – verkennen steeds meer bedrijven de mogelijkheden van process mining. Met behulp van process-miningtechnologie kan men onderzoeken hoe processen werkelijk verlopen in een organisatie – in plaats van ervan uit te gaan dat ze worden uitgevoerd zoals voorgeschreven of gepland. Daarbij is het van cruciaal belang dat alle bedrijfsgegevens worden verzameld, waardoor de vraagt rijst of de privacy van de werknemers niet in het gedrang komt.

Process mining staat nog in de kinderschoenen, maar groeit snel dankzij steeds betere oplossingen voor het blootleggen, monitoren en verbeteren van processen door data te gebruiken uit de zogenaamde event logs van informatiesystemen (zoals ERP- of WMS-software, bijvoorbeeld). Aan de hand van die data is het makkelijker om bottlenecks in de processen te identificeren – en zelfs te voorspellen! Op basis daarvan kan men vervolgens ingrepen bedenken die voor verbetering kunnen zorgen.

Sommige bedrijfsprocessen, zoals bijvoorbeeld het onboarden van een nieuwe medewerker, het verwerken van een verzekeringsclaim of het beantwoorden van specifieke klantvragen, zijn vaak gekoppeld aan individuele dossiers. En daarom is het zaak om de juiste balans te vinden tussen alle voordelen van process mining en het belang van privacy.

Overal persoonlijke gegevens

Belangrijk om weten is dat process mining altijd start vanuit zogenaamde “event logs”.  Hierin wordt informatie opgeslagen over personen of apparaten die een actie op gang brengen of uitvoeren. Organisaties kunnen deze event logs gebruiken om processen te verbeteren op basis van feiten in plaats van fictie. Maar event logs kunnen daarnaast ook persoonlijke gegevens bevatten en deze dus ook ontsluiten als men ermee aan de slag gaat.

Daarbij gaat het bijvoorbeeld over het analyseren van klantprocessen, zoals verzekeringsclaims, callcenteractiviteiten of de motivatie voor het al dan niet toekennen van een leningaanvraag bijvoorbeeld. Ook compliance-gestuurde processen, die bijvoorbeeld dienen om de organisatie voor te bereiden op data-inbreuken, en fraudedetectie kunnen gevoelige event-loggegevens bevatten. De beschrijving van het traject dat een patiënt in een ziekenhuis aflegt bevat niet zelden privacygevoelige event logs.

En dan zijn er nog de IoT-apparaten, die steeds vaker gebruikt worden op de werkplek. Ze verzamelen enorme hoeveelheden informatie in realtime, die deel kunnen uitmaken van een event log. Daarnaast kunnen ze ook indirect persoonlijk identificeerbare informatie vrijgeven, zoals locaties, gewoontes, prestaties en fysiologische kenmerken. Deze attributen worden gedefinieerd als “quasi-identifiers”, wat betekent dat ze op zichzelf misschien niet volstaan om individuen te identificeren, maar wel in combinatie met andere gegevensbronnen.

De-identificatiemethoden om privacy te waarborgen

Om de privacy van personeelsleden, klanten of andere betrokkenen te beschermen moet men persoonlijk identificeerbare informatie best de-identificeren. Daarbij heb je de keuze tussen anonimisering en pseudonimisering. Anonimisering gaat het verst door het verwijderen van direct identificeerbare informatie, maar dit is wel nadelig voor de resultaten van de mining. Pseudonimisering wil zeggen dat persoonlijke data alleen toe te schrijven zijn aan specifieke individuen met behulp van bijkomende informatie.

Generalisering is nog een andere mogelijke manier van de-identificatie. Hierbij worden specifieke attributen binnen event logs samengevat in algemenere of bredere waarden. Dat betekent echter wel dat variaties en sterke afwijkingen bij process mining niet worden opgemerkt, waardoor die minder accuraat wordt.

Opletten voor her-identificatie

Vooral het risico op zogenaamde her-identificatie, waarbij die persoonsgegevens toch aan specifieke individuen kunnen worden toegeschreven zodra men de gegevens in de event logs begint te analyseren, moet worden vermeden. Hoe groter die kans, hoe verder men moet gaan om de gegevens te anonimiseren.

Een degelijk data-governancebeleid is dus aangewezen. Een gouden regel hierbij is dat er altijd een gezond evenwicht moet bestaan tussen de potentiële opbrengst van de process-miningactiviteit en het risico op her-identificatie. Tot slot is het ook aangewezen om de interne controlemechanismen voor het beschermen van privacyrechten te documenteren. De AVG legt forse verplichtingen op aan data-controllers en -verwerkers om dergelijke zaken goed vast te leggen. Meer nog: organisaties moeten soms audits ondergaan en, als de toezichthouders daarom vragen, hun maatregelen kunnen aantonen.

Process mining en dataprivacy gaan prima samen

Process mining kan een organisatie uitgebreide inzichten bieden in hun processen, wat tot de verbetering ervan kan leiden. Daarbij moet men er voortdurend op toezien dat er een goede balans bestaat tussen het nut ervan enerzijds en het waarborgen van de privacy van iedereen die deel uitmaakt van die processen anderzijds. Er staan verschillende technologieën en best practices ter beschikking om ieders privacy te beschermen. Het is in het belang van de sector en alle betrokken leveranciers om die te omarmen.

Maxime Vermeir is Head of Customer Innovation, ABBYY