Analist A vervangt namen door pseudoniemen. Analist B maakt ze zwart. Beide volgen dezelfde GDPR-regel voor hetzelfde documenttype — of zo denken ze.
Uw audit vindt beide methoden in één dataset. De auditor vraagt: "Wat is uw standaardprocedure voor persoonsnamen?" U kunt geen antwoord geven. Er zijn twee procedures, niet één.
Dit is configuratiedrift. Het tast de verdedigbaarheid van uw GDPR-naleving aan.
Waarom configuratiedrift ontstaat
PII-tools geven gebruikers keuzes. Entiteitstypen selecteren. Methoden kiezen. Drempelwaarden aanpassen. Dit is flexibiliteit die krachtige tools bieden.
Maar flexibiliteit zonder governance creëert drift. Elke analist maakt andere keuzes. Verloop en onboarding verergeren het. Nieuwe medewerkers volgen hun eigen interpretatie van het proceduredocument. Het document zelf raakt verouderd na beleidsupdates.
De juridische kwetsbaarheid
GDPR Artikel 32 vereist "passende technische en organisatorische maatregelen." Een DPA-audit beoordeelt of die maatregelen consistent zijn.
"Elke analist configureert zijn eigen instellingen" is geen maatregel. Het is een afwezigheid van maatregel. Een auditor die twee methoden vindt voor het omgaan met dezelfde PII in dezelfde dataset, documenter inconsistentie. Die inconsistentie is bewijs van ontbrekende technische controle.
Presets als technische maatregel
De oplossing voor configuratiedrift is niet meer training. Het is minder keuze.
Anonym.legal's preset-systeem laat DPO's configuraties vergrendelen:
- De DPO creëert en publiceert een preset: "GDPR-Standaard-v3"
- Teamleden zien de preset in hun interface
- De entiteitstypen en methode zijn vergrendeld
- Individuele configuratie is niet mogelijk
Elke verwerkte sessie registreert welke preset werd gebruikt. Auditors zien een consistente configuratiegeschiedenis over alle sessies.
Presetversiebeheer
Wanneer beleid verandert — bijv. IP-adressen worden toegevoegd aan de vereiste entiteitsset — maakt de DPO een nieuwe presetversie aan. Auditlogboeken registreren per sessie welke versie werd gebruikt. Als een dataset later wordt betwist, kunt u reconstrueren welke precieze configuratie werd toegepast.
Dit is het audittrail dat GDPR Artikel 5(2) — het verantwoordelijkheidsbeginsel — vereist.