Met de komst van de AVG wordt het een verplichting voor de Verantwoordelijke om data protection by design en data protection by default toe te passen. Ook wel privacy by design en privacy by default genoemde. Wat betekenen deze termen en hoe gaat een organisatie daarmee om?
Data protection by design hetzelfde als privacy by design?
Data protection by design en data protection by default lijken veel op privacy by design (PbD) en privacy by default, de principes overlappen elkaar grotendeels. In de literatuur worden beide principes (data protection by design en privacy by design) onder dezelfde noemer geschaard. Op deze website worden beide termen door elkaar gebruikt. Met beide termen wordt gedoeld op het principe dat is terug te vinden in artikel 25 van de AVG. In het Nederlands ook wel “Gegevensbescherming door ontwerp en door standaardinstellingen” genoemd.
Wat data protection by design inhoudt
Data protection by design houdt in dat de Verantwoordelijke bij de start van de verwerking van persoonsgegevens al passende maatregelen neemt ten behoeve van een aantal principes. Dit zijn de zogenaamde gegevensbeschermingsbeginselen. Hierbij kan je denken aan data minimalisatie en opslagbeperking (zie artikel 5 AVG).
Dit betekent dat de organisatie die voornemens is om persoonsgegevens te verwerken bij de fase van planning en ontwerp nadenkt over maatregelen om tegemoet te komen aan de gegevensbeschermingsbeginselen. Een voorbeeld dat gegeven wordt in de AVG betreft pseudonimisering.
De verantwoordelijk moet bij het nemen van de maatregelen rekening houden met de volgende aspecten:
- de omvang en de aard van de verwerking (hoeveel gegevens worden er verwerkt en zijn dit gevoelige gegevens);
- het doel van de verwerking;
- de kosten om de maatregelen te implementeren (in principe zou je duizenden euro’s aan beveiligingsmaatregelen kunnen spenderen; de kosten moeten nog in verhouding zijn met de risico’s)
- de risico’s voor de rechten en vrijheden van de betrokkenen.
Niet meer verwerken dan noodzakelijk!
De AVG schrijft verder voor dat de Verantwoordelijke de maatregelen neemt (technisch en organisatorisch) waarmee niet meer gegevens worden verwerkt dan strikt noodzakelijk voor de specifieke doelen. Dit wil echter niet zeggen dat minder persoonsgegevens verwerken altijd een goede zaak is. In sommige gevallen worden personen beter geholpen of beschermd wanneer meer persoonsgegevens worden verwerkt.
Voorbeeld van meer persoonsgegevens verwerken: denk aan de apotheek die naast uw nieuw voorgeschreven medicijn ook nog uw overige medicijnen doorloopt om er zeker van te zijn dat de nieuwe medicijnen niet conflicteren met de oude medicijnen.
Standaard ingesteld (data protection by default)
Data protection by default (ook wel privacy by default) houdt in dat de maatregelen integraal zijn verwerkt en standaard zijn ingesteld. Maatregelen mogen dus niet optioneel zijn, maar staan daadwerkelijk als standaard ingesteld.
De Autoriteit Persoonsgegevens geeft drie voorbeelden van data protection by default (privacy by default):
- bij het aanbieden van een mobiele app wordt de locatie van (toekomstige) gebruikers niet gevraagd of geregistreerd als dat niet nodig is;
- in het bestelproces van een webwinkel wordt het vakje ‘Ja, ik wil op de hoogte gehouden worden van acties en nieuws’ niet vooraf aangevinkt’
- bij het abonneren op een nieuwsbrief worden niet meer gegevens gevraagd dan nodig is.
Gebruik van een privacy impact assessment bij PbD
Privacy Impact Assessments (PIA’s) vormen een onderdeel van het werken volgens privacy by design. Met een PIA identificeer je in een vroegtijdig stadium waar de risico’s voor de betrokkenen zich vinden. Aan de hand van die risico’s worden (mitigerende) maatregelen bedacht om. Door het uitvoeren van een PIA wordt er nagedacht over privacy (by design) en tegelijkertijd awareness gecreëerd rond het principe privacy by design in een organisatie.
Voordelen privacy by design
Privacy by design heeft een aantal voordelen die deels al zijn benoemd.
Met het toepassen van privacy by design worden in eerste instantie de (privacy)risico’s voor betrokkenen verkleind en wordt er meer vertrouwen gecreëerd in de organisatie/processen.
Verder helpt het toepassen van privacy by design bij het creëren van awareness in de organisatie zelf. Waardoor (potentiële) problemen eerder worden gesignaleerd en opgepakt. Dit resulteert in maatregelen die vaak minder kostbaar en complex zijn, omdat de maatregelen in een designfase reeds aan bod komen.
Het laatste niet onbelangrijke voordeel van privacy by design: compliance aan de AVG. Aangezien privacy door ontwerp onderdeel wordt van de processen en de organisatie, zal een organisatie eerder voldoen aan de eisen die de AVG stelt. Daarmee wordt ook de kans op overtredingen van de AVG (zoals datalekken) verkleind.
Voor een praktische toepassing van Privacy by Design in de ICT kan het “Blauwe boekje” van Jaap-Henk Hoepman uitkomst bieden: Privacyontwerpstrategieën.
Voor vragen en advies over de implementatie van Privacy by Design in uw organisatie, kunt u ons een bericht sturen.