7.13. Economische rechtvaardiging van PET-investeringen

Als medebestuurder van het College bescherming persoonsgegevens heb ik ervaren dat het uiterst moeilijk is organisaties ervan te overtuigen dat de bescherming van persoonsgegevens door middel van PET noodzakelijk is en voordelen oplevert. Dit proces verloopt allereerst moeizaam omdat veel informatici nog nooit over minimalisatie van persoonsgegevens hebben nagedacht, maar ook omdat bedrijfs- of economische modellen ontbreken waaruit blijkt dat een PET-investering financiële voordelen kan opleveren. Voordat een bedrijf besluit om PET toe te passen is het essentieel dat het begrijpt hoeveel een dergelijk proces gaat kosten en wat voor financiële en andere kwantitatieve en kwalitatieve baten het oplevert.1 Bovendien zijn de kosten een negatieve adoptiefactor voor PET.

Om te onderzoeken of er een positieve business case is voor de toepassing van PET binnen een organisatie, moeten drie kernvragen worden beantwoord. Deze vragen zijn:

Er is sprake van een positieve businesscase als de beantwoording van bovenstaande vragen leidt tot de conclusie dat de toepassing van PET in de betrokken organisatie wenselijk en financieel haalbaar is en voordelen oplevert. De positieve businesscase is dan de zakelijke rechtvaardiging van de toepassing van PET.3 Het niet kunnen kwantificeren van de voordelen behoeft geen belemmering te zijn voor een positieve business case. Voor de besluitvorming is nochtans vooral van belang dat de organisatie een goed inzicht heeft in de 'Return On Investment' (ROI). ROI is door Purser gedefinieerd als: "It is a measure of a company's ability to use its assets effectively to generate additional value."4

Cardholm merkt hierover op dat:

Er zijn verschillende versies van de ROI-formule en dat leidt tot verschillende interpretaties van de verkregen resultaten. De meest gangbare formule is:

Netto-opbrengsten staat voor opbrengsten verminderd met kosten, terwijl onder totale kosten wordt verstaan de initiële, lopende en de terugkerende kosten. ROI wordt doorgaans over het eerste jaar van de investering berekend, omdat in het bedrijfsleven als standaard geldt dat ondernemingen investeringen in het eerste jaar proberen terug te verdienen.6 Zelfs bij een positieve business case, zullen PET-investeringen met andere bedrijfsprojecten moeten concurreren. Als geen financiële middelen of personeel beschikbaar zijn of als het management geen tijd kan vrijmaken om in PET te investeren, kan dit remmend werken. Of een PET-project hoog op de lijst van prioriteiten eindigt, hangt af van het relatieve belang dat het management aan het PET-project hecht. Het management zal daarbij een kosten-batenafweging moeten maken, want: "To maximize the expected benefit from investment to protect information, a firm should spend only a small fraction of the expected loss due to a security breach."7