Blogserie AVG: Privacy by design en privacy by default

maandag 8 januari 2018

 

De top 10 veranderingen van de AVG


In deze serie blogs geven wij aan wat de tien belangrijkste veranderingen zijn die de nieuwe Europese privacywet, de "Algemene Verordening Gegevensbescherming (AVG)" met zich meebrengt.

1. Bewerkersovereenkomsten uitbreiden
2. Nieuwe regels over gegevens van kinderen
3. Datamap aanleggen
4. Toestemmingseisen worden strenger
5. Regels over profilering
6. Soms is een Privacy Impact Assessment (PIA) verplicht
7. Soms is een Functionaris Gegevensbescherming (FG) verplicht
8. Het recht op "dataportabiliteit"
9. Waar mogelijk "privacy by design" en "privacy by default" toepassen
10. De privacyverklaring moet uitgebreider

In dit blog: wanneer is uw organisatie verplicht een "Functionaris Gegevensbescherming" te benoemen?

 

Nummer 9: privacy by design en privacy by default


Wat schrijft de nieuwe privacywet hier over voor?

De nieuwe privacywet (de Algemene Verordening Gegevensbescherming, of “AVG”) verplicht uw organisatie om, kort gezegd: waar dat toepasselijk is, passende technische en organisatorische maatregelen te nemen om “privacy by design” en “privacy by default” toe te passen op de “stromen” persoonsgegevens.

Wat zijn “privacy by design” en “privacy by default”?

Er is geen exacte definitie te geven van privacy by design en privacy by default.

Maar waar het in feite op neer komt is dat er bij het verwerken van persoonsgegevens extra aandacht wordt gegeven aan de bescherming (beveiliging) van die gegevens en aan het toepassen van de privacyregels.

Privacy by design houdt samengevat in dat de privacyregels bij het (door)ontwikkelen van systemen waar persoonsgegevens in worden verwerkt, zoveel mogelijk worden toegepast. De privacyregels zitten dan als het ware verwerkt in het systeem.

Voorbeelden die de wet in ieder geval noemt zijn: het pseudonimiseren en het minimaliseren van de hoeveelheid persoonsgegevens.

Privacy by default houdt samengevat in dat wordt nagegaan waar binnen de organisatie technische en organisatorische maatregelen kunnen worden genomen om te zorgen dat alleen persoonsgegevens worden gebruikt die noodzakelijk zijn voor de doeleinden waarvoor ze worden verzameld. Dit slaat op zowel de hoeveelheid persoonsgegevens, de omvang van het gebruik daarvan (wie heeft er toegang tot de gegevens), als om hoe lang de persoonsgegevens worden opgeslagen (niet langer dan noodzakelijk).

De nieuwe privacywet noemt als voorbeeld van privacy by default dat de persoonsgegevens niet beschikbaar worden gesteld aan een onbeperkt publiek (bijvoorbeeld via het internet) zonder tussenkomst van de betrokken persoon.


Hoe moet ik privacy by design en privacy by default toepassen?

De verplichting om, waar mogelijk, privacy by default en privacy by design toe te passen is nieuw. De markt zal invulling moeten gaan geven aan het toepassen van privacy by design en privacy by default.

Wij noemen een aantal volgende voorbeelden voor hoe het kan worden toegepast:

  • Welke persoonsgegevens heeft uw organisatie echt nodig? Als de gegevens niet echt nodig zijn, verzamel ze dan niet.

Voorbeeld: Op het contactformulier van een website wordt gevraagd om de naam, het geslacht, adres, mobiele telefoonnummer en de geboortedatum van de persoon die het invult. Het geslacht is niet noodzakelijk om met de persoon te kunnen communiceren en de geboortedatum ook niet. Het contactformulier moet worden aangepast zodat de gegevens niet worden opgevraagd.

  •  Wie heeft toegang tot welke persoonsgegevens? Wie heeft daar, uit hoofde van zijn of haar functie noodzakelijkerwijs toegang toe?

Voorbeeld: een bedrijf heeft een database met gegevens van consumenten. De receptionist heeft toegang tot de database omdat het handig kan zijn als klanten bellen met vragen. Maar in de praktijk maakt de receptionist geen gebruik van de gegevens uit de database en worden telefoontjes doorgestuurd naar de marketingafdeling. De toegang is dus niet noodzakelijk. De toegangsrechten worden aangepast zodat de receptionist geen toegang meer heeft. 

  • Welke persoonsgegevens worden openbaar gemaakt voor het publiek? Is dat nodig?

Voorbeeld: een sportvereniging zet de namen, foto's, geboortedata van alle leden op de website. Deze gegevens worden niet achter een inlog-scherm beschikbaar gesteld, maar zijn toegankelijk voor een onbeperkt publiek. De vereniging moet zorgen dat de gegevens alleen voor de andere leden inzichtelijk zijn. Bij voorkeur worden de gegevens ook alleen maar zichtbaar voor de leden voor wie dat relevant is, bijvoorbeeld alleen maar voor de leden uit hetzelfde team.

  • (Hoe) kunnen de persoonsgegevens worden gepseudonimiseerd?

Voorbeeld: een huisartsenpraktijk maakt gebruik van een systeem om met patiënten afspraken te maken. Voor het inplannen van de afspraak wordt in plaats van de naam van de patiënten een patiëntnummer gebruikt, zodat als een onbevoegde persoon toegang zou krijgen tot het systeem, de patiënt niet meteen kan worden herleid.

 

Wat betekent dat ik het “waar mogelijk” moet toepassen?

Bij het toepassen van privacy by design en privacy by default mag rekening worden gehouden met de beschikbare technische mogelijkheden, de kosten, de hoeveelheid persoonsgegevens, het soort persoonsgegevens, de context waarin ze worden gebruikt en de doeleinden van het gebruik en de betrokken risico’s.

Met andere woorden: bij eenvoudige, niet-risicovolle stromen persoonsgegevens (bijvoorbeeld een database met NAW gegevens van consumenten die producten op een website kopen) ligt het minder voor de hand om vergaande privacy by design en by default maatregelen te nemen dan bij omvangrijke, risicovolle stromen persoonlijke informatie zoals bijvoorbeeld een systeem waarin medische gegevens van patiënten worden vastgelegd en uitgewisseld.

 

 

Plaats uw commentaar