Process mining en privacy

Met behulp van processminingtechnologie kan men exact onderzoeken hoe processen daadwerkelijk verlopen in een organisatie. Bij deze vorm van analyse is het essentieel dat alle bedrijfsgegevens worden verzameld. Toch moeten bedrijven voorzichtig zijn, want sommige procesgegevens zijn van nature privacygevoelig.

Denk hierbij aan documentatie over de onboarding van een nieuwe medewerker, een analyse van een verzekeringsclaim voor een klant of de logs van een compliance-gestuurd IT-proces. Zelfs IoT-apparaten vormen al een risico door de informatie die ze indirect vrij kunnen geven over locaties, gewoontes of prestaties van gebruikers op de werkplek.

De-identificatie

Om de privacy van betrokkenen te beschermen, moet men persoonlijk identificeerbare informatie de-identificeren. Daarbij heb je de keuze tussen anonimisering en pseudonimisering. Anonimisering gaat het verst door het verwijderen van direct identificeerbare informatie, maar is wel nadelig voor de miningresultaten. Pseudonimisering wil zeggen dat persoonlijke data alleen toe te schrijven zijn aan specifieke individuen met behulp van bijkomende informatie.

Generalisering is nog een andere mogelijke manier van de-identificatie. Hierbij worden specifieke attributen binnen event logs samengevat in algemenere waarden. Dat betekent echter wel dat variaties en sterke afwijkingen bij process mining niet worden opgemerkt, waardoor deze minder accuraat wordt.

Her-identificatie

Vooral het risico op zogenaamde heridentificatie, waarbij persoonsgegevens tijdens de loganalyse toch aan specifieke individuen kunnen worden toegeschreven, moet worden vermeden. Hoe groter die kans, hoe verder men moet gaan om de gegevens te anonimiseren. Een solide datagovernancebeleid is hierbij dus raadzaam. De gouden regel is dat er altijd een gezond evenwicht moet bestaan tussen de potentiële opbrengst van de processminingactiviteit en het risico op heridentificatie.

Daarnaast is het ook aangewezen om de interne controlemechanismen voor het beschermen van privacyrechten te documenteren. De AVG legt hiervoor al forse verplichtingen op aan datacontrollers en -verwerkers. Ook moeten organisaties audits ondergaan en, indien gevraagd, hun maatregelen kunnen aantonen.

Er staan dus verschillende technologieën en best practices ter beschikking om ieders privacy te beschermen. Het is in het belang van de gehele bedrijfssector om die gezamenlijk te omarmen.