• Home
• Nieuws

Domijn: “Testdata maskeren is noodzakelijk bij AVG”

Geplaatst door CorporatieMedia op Monday 11 December 2017

Vanaf 25 mei moeten persoonsgegevens wettelijk nog beter beschermd zijn. Daarom maakt woningcorporatie Domijn uit Enschede sinds kort gebruik van geanonimiseerde testdata. Hoe pakt de Twentse corporatie dit aan? Informatiemanager IT Frank te Velde vertelt.

 “Als organisatie word je steeds afhankelijker van systemen,” begint Frank het gesprek. “Deze worden complexer, en datzelfde geldt voor het applicatielandschap. Je wilt niet het risico lopen dat wanneer software wordt geïmplementeerd of geüpdatet, mensen hun werk niet meer kunnen doen. Testen is daarom van cruciaal belang om de continuïteit van de bedrijfsvoering te borgen.”

Tweetrapsraket
Frank ziet testen bij Domijn als een tweetrapsraket. “Eerst kijken wij of alles technisch gezien werkt. Dit wordt vooral door applicatieconsultants gedaan, die kijken of mensen bijvoorbeeld kunnen inloggen en kunnen rondklikken. Daarna gaan de kerngebruikers ermee aan de slag. Die kijken of ze met de nieuwe toevoegingen of updates nog steeds hun werk kunnen doen. Hier komen de meeste issues naar voren, wat optimalisatie en een nieuwe test betekent net zolang totdat het goed werkt.”

Rol van de kerngebruiker
De rol van de kerngebruiker is in de laatste jaren steeds belangrijker geworden bij de corporatie uit Enschede. “Vroeger was het: ‘het werkt’, dus wij gaan ermee live. Maar er werd soms onvoldoende  gekeken of er écht mee gewerkt kon worden. Nu wachten wij op de ‘go’ van de kerngebruikers voordat wij ermee aan de slag gaan.” Domijn heeft hier een drietal proceseigenaren voor aangesteld. “Zij kijken of het afdelingsoverschrijdende proces goed blijft lopen door de nieuwe software of update. Zij hebben de verantwoording en het overzicht om het effect voor de hele organisatie te zien.”

Herkenbare situaties met geanonimiseerde data
Frank legt uit dat de corporatie tijdens het testen herkenbare situaties wil creëren voor de medewerkers. Domijn gebruikt daarvoor gegevens uit haar eigen systemen, zoals namen, adressen en telefoonnummers van klanten. “Zo’n herkenbare situatie zorgt ervoor dat de kerngebruikers fouten en verbeterpunten sneller signaleren. Een bijzondere achternaam – bijvoorbeeld iemand met een umlaut op de ‘o’ – kan voor problemen zorgen, en dat pik je er niet uit als iedereen ‘Piet Jansen’ wordt genoemd. Echter is het in het kader van de AVG belangrijk dat het testen wordt gedaan met geanonimiseerde testdata.”

AVG
In de Algemene verordening gegevensbescherming (AVG) – die mei volgend jaar van kracht gaat – staat namelijk dat deze data geanonimiseerd moet zijn. “De datum is dichterbij dan je denkt. Daarom gingen wij in april van dit jaar in gesprek met CEPO. Zij hebben ons in contact gebracht met EntrD. De oplossing is gevonden door bestaande data door elkaar heen te gooien. Dat betekent bijvoorbeeld dat gegevens worden gegroepeerd op basis van gezinssamenstelling en inkomensgroepen – wat belangrijk is voor passend toewijzen – maar verder wel willekeurig zijn. Meneer A die normaal op adres X woont, verblijft tijdens de tests op adres Y waar normaal Mevrouw B woont. Zo blijft de herkenbare situatie gewaarborgd waardoor wij goed kunnen blijven testen, en zijn gegevens niet terug te traceren.”

Archief
Tijdens de pilot heeft Domijn zich gericht op de meest basale informatie. “De namen, adressen, woonplaatsen, geboortedatums, e-mailadressen en bankrekeningnummers zijn daarbij meegenomen. In de volgende versies willen wij de gegevens nog verder anonimiseren. Bijvoorbeeld het archief met brieven en contracten dat gelinkt is aan een huurder is nog niet geanonimiseerd. Dat zou in de toekomst kunnen door dit te vervangen met een blanco document waarop staat dat de koppeling werkt, zonder de echte documenten te linken. Het is daarbij goed zoeken naar een balans tussen wat moet en wat ‘nice to have’ is.”

Tikkende klok
Frank sluit af door te stellen dat testen nooit af is. “Daarom willen wij in de toekomst extra opties blijven toevoegen aan geanonimiseerd testen. Wetswijzigingen en software updates zorgen ervoor dat dit speelveld continu in beweging is, en daarom moet het structureel belegd worden binnen de organisatie. En daarbij: we hebben nog slechts een half jaar voordat de AVG van kracht gaat. De tijd om actie te ondernemen begint nu dus echt te dringen.”

Bron: Johan van den Beld | CorporatieMedia – 6 december 2017