[column] Sorry seems to be the hardest word. Ook na een datalek

Je bedrijf wordt gehackt. Criminelen dringen je systemen binnen en gaan ervandoor met klantgegevens. Je organisatie is het slachtoffer van een misdrijf. En toch zijn het vervolgens je klanten die boos zijn op jou. Ergens voelt dat een beetje onrechtvaardig. Jij hebt die gegevens immers niet op straat gezet. Jij hebt geen hacker uitgenodigd. Misschien voldeed je beveiliging zelfs keurig aan alle normen. Wat moet je dan zeggen? Sorry?

Het antwoord daarop blijkt verrassender dan je misschien dacht. Ik las onlangs over de bachelorscriptie van Noa Melkman van de Universiteit van Amsterdam. Haar onderzoek naar crisiscommunicatie na een cyberaanval won de scriptieblogwedstrijd van SWOCC. Melkman onderzocht wat er gebeurt wanneer een gehackte organisatie verantwoordelijkheid neemt óf juist benadrukt dat de aanval buiten haar controle lag.

Ze liet 128 Nederlanders een bericht lezen over een fictief online boekingsplatform waar klantgegevens waren buitgemaakt. De ene groep kreeg een reactie waarin de organisatie verantwoordelijkheid nam en excuses aanbood. De andere las dat de aanval buiten de controle van het bedrijf lag en dat het aan de beveiligingsnormen voldeed. Dat laatste klinkt natuurlijk best verdedigbaar. Wij hebben ons aan de regels gehouden, iemand anders heeft bij ons ingebroken, wij zijn dus ook slachtoffer. Alleen werden consumenten dáár juist aantoonbaar bozer van.

Een bedrijf kan slachtoffer én verantwoordelijk zijn

Dat vind ik het interessante aan Melkmans onderzoek. Ze legt een ongemakkelijke spanning bloot. Een bedrijf kan slachtoffer zijn van een misdrijf en tegelijkertijd verantwoordelijkheid dragen voor de gevolgen ervan. Dat onderscheid lijkt in crisiscommunicatie nogal eens verloren te gaan. We verwarren verantwoordelijkheid nemen gemakkelijk met schuld bekennen. Vervolgens krijg je verklaringen over hoe geraffineerd de aanval was, dat systemen aan standaarden voldeden en dat externe deskundigen onderzoek doen.

Allemaal relevant. Alleen zit er aan de andere kant iemand die zojuist heeft gehoord dat persoonlijke informatie mogelijk in handen van criminelen is gekomen. Die wil vooral weten wat het voor haar betekent, wat de organisatie gaat doen en of die organisatie begrijpt wat haar is overkomen. Misschien is het daarom niet zo ingewikkeld dat een welgemeend sorry beter werkt dan damage control. En toch lijkt sorry in het bedrijfsleven soms – inderdaad – the hardest word.

Waarom vinden we sorry zo moeilijk?

De juridische reflex speelt ongetwijfeld een rol. Wie excuses aanbiedt, zou daarmee schuld bekennen en mogelijk aansprakelijkheid erkennen. Maar verantwoordelijkheid nemen is iets anders dan juridisch aansprakelijkheid erkennen. Misschien hopen organisaties vooral dat de publiciteitsstorm overwaait. Maar hope is not a strategy, leerde ongeveer iedere bestuurder ooit tijdens een strategiesessie.

Soms is er een praktische reden om terughoudend te zijn. Na een cyberaanval is aanvankelijk vaak onduidelijk hoe groot het lek is, welke gegevens zijn buitgemaakt en wie moet worden gewaarschuwd. Na de hack bij Odido bleek hoe lastig het kan zijn om snel de volledige omvang vast te stellen. Bij Clinical Diagnostics ontstond juist veel onrust over de informatievoorziening aan cliënten, patiënten en zorgorganisaties. Voorzichtig communiceren zolang feiten nog worden onderzocht is verstandig. Stil blijven is iets anders.

Klantdata komt met een rekening

Voor mij raakt dit aan een groter onderwerp binnen datagedreven marketing. We praten graag over wat klantdata mogelijk maakt: personalisatie, relevantere communicatie, betere customer journeys en AI die slimmere beslissingen kan nemen. Terecht. Data kan enorme waarde creëren. Maar het hébben van klantdata schept ook een dure morele verplichting.

Het zijn geen records in een database. Het zijn gegevens van mensen die erop moeten kunnen vertrouwen dat een organisatie daar zorgvuldig mee omgaat. Soms weten die mensen nauwelijks welke informatie een organisatie (nog) over hen bezit. Bij iedere discussie over data hoort daarom ook de vraag waarom je ze nodig hebt, hoe lang je ze bewaart, wie erbij kan en hoe goed je ze beschermt. Want als iets verkeerd gaat met persoonsdata van mensen die niet eens weten dat je iets van hen bewaart is een vluchtig sorry niet genoeg. Dan moet je uitleggen wat er fout ging, verantwoordelijkheid nemen en laten zien waarom mensen erop mogen vertrouwen dat het niet opnieuw gebeurt.

Pak het draaiboek eens uit de kast

Voorkomen blijft beter dan genezen. Goede beveiliging, dataminimalisatie en heldere procedures zijn geen IT-hygiëne ergens onderin de organisatie. Voor organisaties die serieus werk maken van datagedreven marketing zijn ze onderdeel van de licence to operate. Maar Melkmans onderzoek zette mij ook om een andere reden aan het denken. Bij veel organisaties ligt ergens een crisisdraaiboek. Misschien is dit een goed moment om dat weer eens open te slaan of te bellen met het crisiscommunicatiebureau waar dat misschien ligt.

En dus niet pas nadat iemand met een hoodie op een duister forum meldt dat die je klantendatabase bezit. Bel vooral niet pas uitgebreid met je crisisadviseurs wanneer de crisis al gaande is. Bespreek scenario’s vooraf en op het juiste niveau: dit is Chefsache . Wat communiceer je als de omvang nog onbekend is? Wanneer neem je verantwoordelijkheid? Wie spreekt namens de organisatie? En wat hebben de mensen van wie de gegevens zijn op dat moment van je nodig? Evalueer die scenario’s ook. Cybercriminaliteit en technologie veranderen, maar onze verwachtingen van organisaties veranderen mee. Melkmans onderzoek voegt daar een belangrijk inzicht aan toe: denk niet alleen na over wat juridisch en feitelijk correct is om te zeggen, maar ook over hoe degene van wie je de gegevens beheert jouw reactie ervaart.

Dat klinkt misschien als een communicatieles. Ik denk dat het vooral een les in oprechte klantgerichtheid is. Wie de voordelen van klantdata wil, moet ook verantwoordelijkheid dragen wanneer het misgaat. De hackers kunnen dan nog steeds de daders zijn. Maar je klant heeft zijn gegevens aan jou toevertrouwd, niet aan de hackers.

Over de auteur : Noor Cloo is Voorzitter van DDMA en Algemeen directeur / CEO Loyalty Management NL bij Loyalty Management NL / Air Miles.“