De Avg uitgelegd: privacy by design en privacy by default
In de serie Avg uitgelegd nemen we de belangrijkste begrippen uit de Avg onder de loep. Tip: wil je de basis nog eens doornemen? Begin dan bij het artikel over 10 vragen en antwoorden over de Avg. In onderstaand artikel gaan we in op de begrippen privacy by design en privacy by default.
Is er een verschil tussen privacy by design en privacy by default?
De begrippen privacy by design en privacy by default worden vaak in één adem genoemd, maar hebben verschillende betekenissen. Wat de begrippen met elkaar gemeen hebben, is dat ze beide expliciet genoemd worden in de Avg. Dit gebeurt overigens eveneens in één adem in de titel van de relevante bepaling: ‘Gegevensbescherming door ontwerp en door standaardinstellingen’.
Zijn deze begrippen voor mij relevant?
De Avg verplicht ‘verwerkingsverantwoordelijken’ om invulling te geven aan deze begrippen (zie voor een uitgebreidere uitleg over het begrip ‘verantwoordelijke’ onze 10 vragen en antwoorden over de Avg). De ‘verwerkingsverantwoordelijke’ is vanuit de ICT-leverancier gezien normaal gesproken: de klant.
Toch zullen deze begrippen ook écht tot in het DNA van ICT-leveranciers moeten doordringen. Al is het maar omdat klanten hierom gaan vragen (al dan niet gedwongen door het risico op boetes). Daar komt bij dat het veel duurder is om privacy by design met terugwerkende kracht door te voeren dan hier bij de ontwikkeling van producten en diensten al rekening mee te houden.
Wat is privacy by design?
De letterlijke vertaling van privacy by design is: gegevensbescherming door ontwerp. Het idee is om al in een vroeg stadium zowel technisch als organisatorisch een zorgvuldige omgang met persoonsgegevens af te dwingen. Het houdt in dat er al bij de ontwikkeling van producten en diensten aandacht moet zijn voor privacy. In het bijzonder bij ICT-producten en -diensten gaat het erom dat al in het ontwikkelproces gebruik gemaakt wordt van privacy-verhogende maatregelen (ook wel privacy enhancing technologies of PET genoemd).
Verschillende aspecten spelen hierbij een rol. Je kunt je bijvoorbeeld afvragen of het voor het product of de dienst écht nodig is om persoonsgegevens te verwerken of dat er bijvoorbeeld ook gewerkt kan worden met volledig geanonimiseerde gegevens. Als er dan toch persoonsgegevens verwerkt gaan worden, is het van belang om na te denken over de beveiliging van deze gegevens. Dat kan bijvoorbeeld door pseudonimiseren (anders dan bij anonimiseren worden de gepseudonimiseerde gegevens nog steeds gezien als persoonsgegevens), door encryptie en met behulp van acces control.
Ook bewaartermijnen en het faciliteren van de rechten van de betrokkenen zijn van belang om privacy-proof te opereren. Daarnaast zijn data-minimalisatie en privacy by default onderdelen van privacy by design. Deze termen lichten we hieronder toe.
Data-minimalisatie
Een belangrijk onderdeel van privacy by design is data-minimalisatie. In het ontwerp moet gewaarborgd worden dat er niet méér persoonsgegevens verwerkt worden dan strikt noodzakelijk voor het doel van de verwerking.
Denk bijvoorbeeld aan het inrichten van een online-bestelproces. De vraag naar het adres zal mogelijk noodzakelijk zijn om een product te kunnen afleveren. Een geboortedatum is daarvoor hoogstwaarschijnlijk niet noodzakelijk. Maak dus niet klakkeloos een veld aan waarin je vraagt naar de geboortedatum, maar sta stil bij de vraag of dit persoonsgegeven wel écht nodig is. En als je dan toch vraagt naar de geboortedatum voor bijvoorbeeld marketingdoeleinden, dan mag dat geen verplicht veld zijn en moet duidelijk zijn wat de gevolgen zijn van het wel of niet invullen van het veld (zie hiervoor het ‘De Avg uitgelegd’ artikel over transparantie).
Wat is privacy by default?
Privacy by default kan gezien worden als een onderdeel van privacy by design. Privacy by default vereist dat de standaardinstellingen altijd zo privacy-vriendelijk mogelijk zijn.
Er moet voor gezorgd worden dat persoonsgegevens nooit standaard openbaar zichtbaar zijn. Het meest sprekende voorbeeld is wellicht een profiel op social media. Dit mag wel openbaar zijn, maar slechts als een gebruiker daar eerst zélf actief voor kiest. De social media-toepassing zal in de standaardinstellingen de gebruikersprofielen zoveel mogelijk moeten afschermen. Dit principe van het afschermen van persoonsgegevens geldt voor alle ICT-toepassingen: van browser-instellingen tot een bedrijfs-app.
Vergelijk het met nieuwsbrieven. De Telecommunicatiewet vereist dat sprake is van een ‘opt-in’ voor nieuwsbrieven; je moet je actief voor een nieuwsbrief aanmelden en deze mag dus niet standaard aangevinkt staan. Zo is het ook met privacy: deze moet standaard zo hoog mogelijk zijn en je moet mensen actief laten kiezen voor het breder laten delen van hun gegevens.
Hoe maak ik dit inzichtelijk binnen mijn organisatie?
Om de begrippen privacy by design en privacy by default in één oogopslag te kunnen uitleggen binnen je eigen organisatie, zou je bijvoorbeeld gebruik kunnen maken van het Privacy by Design Framework. Deze tool is ontwikkeld door Privacy Company en mede mogelijk gemaakt door het SIDN Fonds. Door het schema te doorlopen, krijg je een beeld van de manier waarop jouw organisatie invulling kan geven aan privacy by design.
Hoe maken IT-leverancier en IT-afnemer hierover afspraken?
IT-leveranciers die werken conform de door de autoriteit persoonsgegevens goedgekeurde privacy gedragscode (Data Pro Code) gaan in een vroeg stadium het gesprek aan met hun klant. Ook leveranciers die niet bij de Data Pro Code zijn aangesloten kunnen gebruik maken van de bij de Data Pro Code behorende verwerkersovereenkomst. Die overeenkomst biedt handvatten om het gesprek met elkaar aan te gaan over bijvoorbeeld beveiliging, encryptie of hoe de IT-leverancier ondersteunt bij het invulling geven aan rechten van betrokkenen. Het is goed om als klant te vragen of de IT-leverancier hierbij is aangesloten en veel klanten doen dat ook. Laat ook zien dat je privacy serieus neemt!
Vragen?
Heb je vragen over dit onderwerp of andere vragen over de Avg? Neem dan contact op met onze juristen. Ben je geen lid van NLdigital? Dan vertellen we je graag in een vrijblijvend kennismakingsgesprek wat we voor jouw bedrijf kunnen betekenen.
Gerelateerde artikelen
3 gevaarlijke mythes over privacy en hoe je ze effectief ontkracht
Een datalekkenprotocol: waarom is dat belangrijk?
