In deze serie blogs geven wij aan wat de tien belangrijkste veranderingen zijn die de nieuwe Europese privacywet, de Algemene Verordening Gegevensbescherming (AVG) met zich meebrengt.
In dit blog: wat is privacy by design en privacy by default?
Wat schrijft de AVG voor over privacy by design en by default?
De AVG verplicht organisaties om, kort gezegd: waar dat toepasselijk is, passende technische en organisatorische maatregelen te nemen om privacy by design en privacy by default toe te passen op de verwerking van persoonsgegevens.
Wat is privacy by design en privacy by default?
Er is geen exacte definitie te geven van privacy by design en privacy by default.
Maar waar het in feite op neer komt is dat er bij het verwerken van persoonsgegevens extra aandacht wordt gegeven aan de bescherming en beveiliging van die gegevens en aan het toepassen van de privacyregels.
Wat is privacy by design?
Privacy by design houdt samengevat in dat de privacyregels bij het (door)ontwikkelen van systemen waar persoonsgegevens in worden verwerkt, zoveel mogelijk worden toegepast. De privacyregels zitten dan als het ware verwerkt in het systeem.
Voorbeelden die de AVG in ieder geval noemt zijn: het pseudonimiseren en het minimaliseren van de hoeveelheid persoonsgegevens.
Wat is privacy by default?
Privacy by default houdt samengevat in dat wordt nagegaan waar binnen de organisatie technische en organisatorische maatregelen kunnen worden genomen om te zorgen dat alleen persoonsgegevens worden gebruikt die noodzakelijk zijn voor de doeleinden waarvoor ze worden verzameld.
Dit slaat op zowel de hoeveelheid persoonsgegevens, de omvang van het gebruik daarvan (wie heeft er toegang tot de gegevens?), als om hoe lang de persoonsgegevens worden opgeslagen (worden ze niet langer dan noodzakelijk bewaard?).
De nieuwe privacywet noemt als voorbeeld van privacy by default dat de persoonsgegevens niet beschikbaar worden gesteld aan een onbeperkt publiek (bijvoorbeeld via het internet) zonder tussenkomst van de betrokken persoon.
Zorg dat gegevens van leden achter een log-in zitten en niet voor iedereen zichtbaar zijn.
Hoe moet ik privacy by design en privacy by default toepassen?
De verplichting om, waar mogelijk, privacy by default en privacy by design toe te passen is nieuw. De markt zal invulling moeten gaan geven aan de manier waarop privacy by design en privacy by default wordt toegepast.
Wij noemen een aantal volgende voorbeelden voor hoe het kan worden toegepast:
- Welke persoonsgegevens heeft uw organisatie echt nodig? Als de gegevens niet echt nodig zijn, verzamel ze dan niet.
Voorbeeld: Op het contactformulier van een website wordt gevraagd om de naam, het geslacht, adres, mobiele telefoonnummer en de geboortedatum van de persoon die het invult. Het geslacht is niet noodzakelijk om met de persoon te kunnen communiceren en de geboortedatum ook niet. Het contactformulier moet worden aangepast zodat de gegevens niet worden opgevraagd.
- Wie heeft toegang tot welke persoonsgegevens? Wie heeft daar, uit hoofde van zijn of haar functie noodzakelijkerwijs toegang toe?
Voorbeeld: een bedrijf heeft een database met gegevens van consumenten. De receptionist heeft toegang tot de database omdat het handig kan zijn als klanten bellen met vragen. Maar in de praktijk maakt de receptionist geen gebruik van de gegevens uit de database en worden telefoontjes doorgestuurd naar de marketingafdeling. De toegang is dus niet noodzakelijk. De toegangsrechten worden aangepast zodat de receptionist geen toegang meer heeft.
- Welke persoonsgegevens worden openbaar gemaakt voor het publiek? Is dat nodig?
Voorbeeld: een sportvereniging zet de namen, foto's, geboortedata van alle leden op de website. Deze gegevens worden niet achter een inlog-scherm beschikbaar gesteld, maar zijn toegankelijk voor een onbeperkt publiek. De vereniging moet zorgen dat de gegevens alleen voor de andere leden inzichtelijk zijn. Bij voorkeur worden de gegevens ook alleen maar zichtbaar voor de leden voor wie dat relevant is, bijvoorbeeld alleen maar voor de leden uit hetzelfde team.
- (Hoe) kunnen de persoonsgegevens worden gepseudonimiseerd?
Voorbeeld: een huisartsenpraktijk maakt gebruik van een systeem om met patiënten afspraken te maken. Voor het inplannen van de afspraak wordt in plaats van de naam van de patiënten een patiëntnummer gebruikt, zodat als een onbevoegde persoon toegang zou krijgen tot het systeem, de patiënt niet meteen kan worden herleid.
Wat betekent dat ik het “waar mogelijk” moet toepassen?
Dit betekent dat moet worden gekeken waar het kan worden toegepast.
Bij het toepassen van privacy by design en privacy by default mag rekening worden gehouden met de beschikbare technische mogelijkheden, de kosten, de hoeveelheid persoonsgegevens, het soort persoonsgegevens, de context waarin ze worden gebruikt en de doeleinden van het gebruik en de betrokken risico’s.
Met andere woorden: bij eenvoudige, niet-risicovolle stromen persoonsgegevens (bijvoorbeeld een database met NAW gegevens van consumenten die producten op een website kopen) ligt het minder voor de hand om vergaande privacy by design en by default maatregelen te nemen dan bij omvangrijke, risicovolle stromen persoonlijke informatie zoals bijvoorbeeld een systeem waarin medische gegevens van patiënten worden vastgelegd en uitgewisseld.
Als privacy by design en default kán worden toegepast, moet dat worden gedaan.
Actie:
waar mogelijk, privacy by design en by default toepassen.