Privacy by design & default

Gegevensbescherming door ontwerp en standaardinstellingen.

De Algemene Verordening Gegevensbescherming verplicht in artikel 25 gegevensbescherming door ontwerp en standaardinstellingen. In de praktijk houdt dit in dat de verwerkingsverantwoordelijke in de ontwerpfase van producten, diensten en beleid moet nadenken over gegevensbescherming. Daarnaast moeten de standaardinstellingen van bijvoorbeeld apps en formulieren zo privacy-vriendelijk mogelijk worden ingesteld.

De verwerkingsverantwoordelijke dient bij het toepassen van privacy by design & default rekening te houden met de stand van de techniek, de kosten van uitvoering en de aard, omvang, context en het doel van de verwerking. Daarbij moeten mogelijke risico’s voor betrokkenen en de kans daarop, worden meegewogen. Dit houdt dus in dat bij het verwerken van uitkeringsgegevens zwaardere maatregelen genomen dienen te worden dan voor het versturen van nieuwsbrieven.

Al met al houdt het in dat de verwerkingsverantwoordelijke bij het verwerken van persoonsgegevens passende technische- en organisatorische maatregelen moet nemen ter bescherming van de persoonsgegevens van betrokkenen.

Wat is privacy by design?

Letterlijk betekent privacy by design gegevensbescherming door ontwerp. Dit houdt in dat er bij het ontwerpen van een product, dienst of beleid aandacht moet zijn voor gegevensbescherming. In het ontwikkelproces moeten privacy-verhogende maatregelen (ook wel privacy enhancing technologies) worden toegepast. Het idee hierachter is om zo vroeg mogelijk na te denken over gegevensbescherming, zodat het wordt ingebed in de organisatieprocessen. Het is namelijk veel lastiger om passende maatregelen later in het proces toe te voegen

Deze maatregelen zijn bedoeld om de gegevensbeschermingsbeginselen uit artikel 5 AVG te waarborgen. Voorbeelden van deze beginselen zijn bijvoorbeeld minimale gegevensverwerking, integriteit en vertrouwelijkheid. Deze maatregelen gaan verder dan enkel het beveiligen van de daadwerkelijke persoonsgegevens. Het is bijvoorbeeld van toepassing op de persoonsgegevens zelf, de bewaartermijnen, de opslag en de toegankelijkheid.

Bij het toepassen van privacy by design kun je jezelf een aantal vragen stellen: Zijn deze gegevens echt noodzakelijk voor het doel wat ik wil bereiken of is geanonimiseerde data wellicht een goed alternatief? Wie moeten er toegang hebben tot deze gegevens voor het uitoefenen van hun taak? Hoe zorgen we dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor het vastgestelde doel?

Pseudonimisering (let op, dit zijn nog steeds persoonsgegevens) en encryptie zijn goede voorbeelden van technische privacy by design maatregelen. Bij organisatorische maatregelen kun je denken aan het trainen van medewerkers of het implementeren van een autorisatiematrix.

Wat is privacy by default?

Privacy by default is eigenlijk een onderdeel van privacy by design. Privacy by default betekent letterlijk dat de verwerkingsverantwoordelijke zorg moet dragen dat de standaardinstelling van een programma, app, website, dienst of apparaat altijd de meest privacy-vriendelijke optie kiest. Denk bijvoorbeeld aan het ‘lege’ vakje bij de vraag of betrokkenen de nieuwsbrief willen ontvangen. In beginsel is het antwoord nee, tenzij betrokkene zelf akkoord geeft door het vakje aan te vinken. Deze opt-in is een vereiste vanuit de telecommunicatiewet, maar ook aan de hand van AVG-beginselen kunnen we dergelijke vereisten afleiden.

Het belang van privacy by default laat zich het makkelijkst uitleggen aan de hand van een profiel op social media. Een profiel dient standaard te worden afgeschermd voor de buitenwereld, tenzij de gebruiker zelf de toegang tot (delen van) het profiel vrijgeeft. Het is belangrijk dat de standaardinstellingen zo privacy-vriendelijk mogelijk zijn, omdat veel gebruikers niet de moeite nemen om de instellingen te wijzigen. Op die manier beschermt de verwerkingsverantwoordelijke de betrokkene tegen ongewenste openbaarmaking en kan hij of zij zelf beslissen welke persoonsgegevens openbaar worden gedeeld.

Waarom is dit voor jouw organisatie belangrijk?

Zoals eerder genoemd is de toepassing van privacy by design & default een verplichting vanuit de AVG. Het niet nakomen van deze verplichting brengt grote risico’s met zich mee voor betrokkenen en de organisatie. Daarnaast is het een stuk eenvoudiger (en dus goedkoper) om privacy by design & default in de ontwerpfase toe te passen, dan de maatregelen met terugwerkende kracht te moeten implementeren. 

Hulp nodig?

Mocht je geen idee hebben waar te beginnen, maar ben je je inmiddels bewust van het toepassen van privacy by design & default binnen jouw organisatie?  Lex Digitalis is een fullservicebureau op het gebied van privacy, data en cybersecurity. Ook op het gebied van privacy by design & default kan Lex Digitalis u adviseren en ondersteunen. U kunt daarover contact met mij opnemen (06 –43 41 30 86 of Leandra.Beerendonk@lexdigitalis.nl) of met een van mijn collega’s. We kunnen altijd vrijblijvend even sparren.