Privacy by design en privacy by default zijn termen die sinds de intrede van de Algemene verordening gegevensbescherming (AVG) een stuk populairder zijn geworden. Bijzonder is dat niet, want op grond van artikel 25 AVG zijn verwerkingsverantwoordelijken verplicht rekening te houden met ‘gegevensbescherming door ontwerp en door standaardinstellingen’. Dat deze principes van belang zijn voor iedereen die persoonsgegevens verwerkt, staat als een paal boven water. Maar wat houden ze nou precies in? In deze blog leg ik dat uit!
Privacy by design
Privacy by design moet al een rol spelen vanaf het moment dat een product of dienst (waarbij persoonsgegevens worden verwerkt) wordt ontworpen: van gezondheidsapp tot webshop. Dit betekent in de praktijk dat met technische en organisatorische maatregelen de beginselen uit de AVG, zoals de vertrouwelijkheid van gegevens, moeten worden nageleefd. Daarnaast moet hiermee aan de regels uit de AVG worden voldaan en moeten de rechten van betrokkenen (de personen wiens gegevens worden verwerkt) worden beschermd. Dit kan bijvoorbeeld met een duidelijke privacyverklaring die betrokkenen goed informeert over hun rechten.
Privacy by design is erg breed. Voorbeelden zijn het automatisch pseudonimiseren van persoonsgegevens en het onderhouden van goede beveiligingssystemen: typisch technische maatregelen. Het verplichten van privacy trainingen aan personeel daarentegen is een voorbeeld van een organisatorische maatregel. Privacy bij design komt dus niet alleen uit de technische hoek. Uit artikel 25 AVG blijkt dat bij het nemen van maatregelen rekening moet worden gehouden met onder andere de uitvoeringskosten, de context en het doel van de verwerking, en de waarschijnlijkheid en ernst van de risico’s. Dit betekent dat bij het verwerken van medische gegevens meer en zwaardere maatregelen worden verwacht dan bij het per e-mail versturen van een nieuwsbrief.
Hoe later in het proces nog dingen moeten worden gewijzigd, hoe lastiger het wordt. Door het principe van privacy by design vanaf het begin mee te nemen, kan dus een hoop werk worden bespaard!
Privacy by default, less is more!
Privacy by default-maatregelen zien op het beginsel van ‘minimale gegevensverwerking’. Dit beginsel heeft vier aspecten. Om te beginnen moeten bij een verwerking zo min mogelijk persoonsgegevens worden verzameld. Deze gegevens mogen vervolgens niet verder worden verwerkt dan noodzakelijk. Ook mogen de verzamelde persoonsgegevens niet langer worden bewaard dan nodig is. Tot slot is het belangrijk dat persoonsgegevens niet zomaar voor een onbeperkt aantal personen toegankelijk worden gemaakt. Het doel van de verwerking is hierbij essentieel; op grond hiervan wordt beoordeeld wat passende maatregelen zijn. Ook privacy by default kent zowel technische als organisatorische maatregelen.
Bij technische maatregelen is het vooral belangrijk dat standaard de meest privacy-vriendelijke instellingen zijn geselecteerd. Bijvoorbeeld een social media platform waarbij profielen automatisch zijn afgeschermd, of een forum waarbij gebruikers standaard onder een alias reageren. Ook wanneer een organisatie third-party of kant-en-klare software gebruikt, is het handig om te kijken wat deze software allemaal verwerkt. Misschien kunnen daar nog enkele onnodige functies worden uitgeschakeld. Dit houdt echter niet in dat er geen andere opties kunnen worden aangeboden. Gebruikers mogen bijvoorbeeld nog steeds de keuze krijgen een profiel openbaar te maken of onder hun echte naam te reageren, zolang de standaardoptie maar zo privacy-vriendelijk mogelijk is.
Bij het nemen van passende organisatorische maatregelen is vooral de interne toegang tot gegevens van belang. In een organisatie zullen bijvoorbeeld niet alle afdelingen het gehele dossier van een persoon nodig hebben. Een autorisatiebeleid, het vastleggen van welke personen welke persoonsgegevens mogen gebruiken, is een mooi voorbeeld van een organisatorische privacy by default-maatregel.
Voor privacy by default geldt dus: less is more! Zorg ervoor dat standaard alleen de persoonsgegevens worden verzameld en verwerkt die écht noodzakelijk zijn, en laat gebruikers zelf kiezen of ze gebruik willen maken van mogelijkheden die verder gaan dan dat.
Goed begin is het halve werk?
Het scheelt veel werk wanneer vanaf het begin van een ontwerp rekening wordt gehouden met privacy by design en by default. Maar ook nadat een proces is ontworpen, bestaan er maatregelen om ervoor te zorgen dat deze principes worden nageleefd. Denk aan voorlichting van medewerkers, of een kritische blik op de standaardinstellingen van software. Houd hierbij altijd het hoofddoel van de verwerking in het oog.
Meer lezen over dit onderwerp? Lees verder:
