Privacy in de praktijk: van AVG-verplichting naar privacy by design

Sinds 2018 is de Algemene verordening gegevensbescherming van toepassing. De meeste organisaties hebben sindsdien veel gedaan. Er is een register van verwerkingen, een functionaris gegevensbescherming, een privacyverklaring en er zijn verwerkersovereenkomsten afgesloten. Op papier is het in orde.

In de praktijk ziet het er vaak anders uit. Formulieren vragen meer gegevens dan nodig. Medewerkers hebben toegang tot dossiers die zij voor hun werk niet nodig hebben. Gegevens worden langer bewaard dan de bewaartermijn toestaat, omdat niemand ze verwijdert. In dit artikel beschrijf ik hoe u privacy onderdeel maakt van processen en systemen, en niet alleen van documenten.

Wat de AVG eigenlijk vraagt

De AVG bevat een aantal beginselen die in artikel 5 zijn vastgelegd. Gegevens moeten worden verwerkt voor een welbepaald doel. Er mogen niet meer gegevens worden verwerkt dan nodig. Gegevens mogen niet langer worden bewaard dan nodig. En de organisatie moet kunnen aantonen dat zij zich aan die beginselen houdt.

Artikel 25 gaat een stap verder. Het verplicht organisaties om die beginselen al in het ontwerp van processen en systemen in te bouwen: gegevensbescherming door ontwerp. Daarnaast moeten de standaardinstellingen zo zijn dat alleen de noodzakelijke gegevens worden verwerkt: gegevensbescherming door standaardinstellingen. De Europese toezichthouders hebben in richtsnoeren uitgewerkt wat dat betekent (EDPB, 2020). De kern: privacy is een ontwerpeis, geen controle achteraf.

Privacy by design: waar komt het vandaan?

Het begrip privacy by design werd bekend door Cavoukian (2009), toen informatie- en privacycommissaris van de Canadese provincie Ontario. Zij formuleerde zeven principes. Privacy moet proactief zijn in plaats van reactief, de standaardinstelling zijn, in het ontwerp zijn ingebouwd, volledige functionaliteit bieden zonder onnodige afruil, gegevens gedurende de hele levenscyclus beschermen, transparant zijn en de betrokkene centraal stellen.

Die principes zijn waardevol, maar abstract. Spiekermann en Cranor (2009) lieten zien dat ontwerpers concrete handvatten nodig hebben om privacy in systemen te bouwen. Zij onderscheidden twee benaderingen: privacy door beleid, waarbij regels bepalen wat met gegevens mag, en privacy door architectuur, waarbij het systeem zo is ontworpen dat privacyrisico’s niet kunnen ontstaan. De tweede benadering is sterker, omdat zij niet afhangt van naleving.

Acht ontwerpstrategieën

Hoepman (2014) vertaalde privacy by design naar acht ontwerpstrategieën. Ze zijn bruikbaar voor iedereen die processen of systemen ontwerpt, niet alleen voor privacyspecialisten.

Strategie	Wat het inhoudt	Voorbeeld
Minimaliseren	Verwerk zo weinig mogelijk persoonsgegevens	Vraag in een formulier alleen wat voor de beslissing nodig is
Verbergen	Maak persoonsgegevens onzichtbaar voor wie ze niet nodig heeft	Versleuteling en beperkte toegangsrechten
Scheiden	Verwerk gegevens zo veel mogelijk gescheiden	Geen koppeling van bestanden zonder noodzaak
Aggregeren	Verwerk gegevens op een zo hoog mogelijk niveau	Rapportages op groepsniveau in plaats van per persoon
Informeren	Wees transparant over de verwerking	Heldere uitleg op het moment dat gegevens worden gevraagd
Zeggenschap	Geef betrokkenen controle over hun gegevens	Inzage en correctie via een portaal
Afdwingen	Leg privacybeleid vast en dwing het af	Bewaartermijnen die automatisch worden toegepast
Aantonen	Laat zien dat u zich aan de regels houdt	Logging en periodieke controles

De eerste vier strategieën gaan over de gegevens zelf en zijn het krachtigst. Wat u niet verzamelt, kan ook niet uitlekken. De laatste vier gaan over de processen eromheen en zijn nodig om de rest waar te maken.

Waarom mensen zich anders gedragen dan zij zeggen

Acquisti, Brandimarte en Loewenstein (2015) wijzen erop dat mensen hun privacy belangrijk vinden, maar in de praktijk vaak gegevens afstaan zonder erbij na te denken. Hun gedrag wordt sterk beïnvloed door de context en door de standaardinstellingen. Dat heeft twee gevolgen. Voor burgers en klanten betekent het dat de organisatie een verantwoordelijkheid heeft: wie kiest voor privacyvriendelijke standaardinstellingen, beschermt mensen die er zelf niet aan denken. Voor medewerkers betekent het dat regels alleen niet genoeg zijn. Maak het goede gedrag de makkelijkste keuze, bijvoorbeeld door toegangsrechten standaard te beperken.

Een DPIA die iets oplevert

Bij verwerkingen met een hoog risico is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht (artikel 35 AVG). In veel organisaties wordt die DPIA uitgevoerd als het systeem al is gekozen en het project bijna klaar is. De DPIA wordt dan een document dat een genomen besluit bevestigt, en hooguit een paar aanvullende maatregelen oplevert.

Een DPIA is het meest waard als zij vroeg wordt uitgevoerd, in de fase waarin nog keuzes open liggen. Dan kan zij de vraag beantwoorden of deze gegevens echt nodig zijn, of er een minder ingrijpende manier is om het doel te bereiken en welke ontwerpstrategieën het risico verkleinen. Zie de DPIA daarom als ontwerpinstrument, niet als afvinklijst. Dat sluit aan bij wat ik schreef in De verkeerde volgorde: eerst het proces en de eisen, dan pas het systeem.

Vijf stappen om privacy in de praktijk te brengen

1. Begin bij het proces

Breng per proces in kaart welke persoonsgegevens worden verwerkt, voor welk doel en door wie. Het register van verwerkingen is daarvoor een startpunt, maar vaak te abstract. Kijk naar het werkelijke werk: welke velden worden ingevuld, welke lijsten worden bijgehouden, welke gegevens worden gedeeld?

2. Minimaliseer eerst

Loop per proces na welke gegevens echt nodig zijn. Schrap wat niet nodig is uit formulieren, systemen en rapportages. Dat is de goedkoopste en krachtigste maatregel.

3. Neem privacy op in de architectuurtoets

Maak privacy-eisen onderdeel van de architectuurprincipes en van de toets bij nieuwe projecten. Zo worden de ontwerpstrategieën vanzelf meegenomen. Over zo’n toets schreef ik in Onder architectuur werken.

4. Automatiseer wat kan

Bewaartermijnen, toegangsrechten en logging werken het best als ze automatisch worden toegepast. Een bewaartermijn die afhangt van een medewerker die eraan denkt, wordt zelden nageleefd.

5. Beleg het eigenaarschap in de lijn

De functionaris gegevensbescherming houdt toezicht, maar de proceseigenaar is verantwoordelijk voor de verwerking in zijn of haar proces. Die rolverdeling beschreef ik in Informatiebeveiliging en privacy zijn een bestuursvraagstuk.

Checklist: zit privacy in uw processen of alleen in uw documenten?

Aandachtspunt	Toetsvraag
Doel	Is per proces duidelijk voor welk doel persoonsgegevens worden verwerkt?
Minimalisatie	Zijn formulieren en systemen nagelopen op gegevens die niet nodig zijn?
Toegang	Hebben medewerkers alleen toegang tot de gegevens die zij voor hun werk nodig hebben?
Bewaren	Worden bewaartermijnen automatisch toegepast?
DPIA	Wordt de DPIA uitgevoerd op een moment dat zij het ontwerp nog kan beïnvloeden?
Eigenaarschap	Weten proceseigenaren dat zij verantwoordelijk zijn voor de verwerking in hun proces?

Veelgestelde vragen

Wat is privacy by design?

Privacy by design betekent dat privacy vanaf het begin wordt ingebouwd in het ontwerp van processen en systemen, in plaats van achteraf te worden toegevoegd. De AVG verplicht hiertoe in artikel 25, onder de naam gegevensbescherming door ontwerp en door standaardinstellingen.

Wanneer is een DPIA verplicht?

Een DPIA is verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, bijvoorbeeld bij grootschalige verwerking van bijzondere persoonsgegevens of stelselmatige monitoring. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA altijd verplicht is.

Wat is dataminimalisatie?

Dataminimalisatie betekent dat een organisatie niet meer persoonsgegevens verwerkt dan nodig is voor het doel. Het is een van de beginselen van de AVG en een van de krachtigste manieren om privacyrisico’s te verkleinen: gegevens die niet worden verzameld, kunnen ook niet uitlekken.

Bronnen

• Acquisti, A., Brandimarte, L., & Loewenstein, G. (2015). Privacy and human behavior in the age of information. Science, 347(6221), 509–514.
• Cavoukian, A. (2009). Privacy by design: The 7 foundational principles. Information and Privacy Commissioner of Ontario.
• European Data Protection Board. (2020). Guidelines 4/2019 on Article 25: Data protection by design and by default (versie 2.0).
• Hoepman, J.-H. (2014). Privacy design strategies. In N. Cuppens-Boulahia, F. Cuppens, S. Jajodia, A. Abou El Kalam, & T. Sans (Red.), ICT systems security and privacy protection (pp. 446–459). Springer.
• Spiekermann, S., & Cranor, L. F. (2009). Engineering privacy. IEEE Transactions on Software Engineering, 35(1), 67–82.
• Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 (Algemene verordening gegevensbescherming).