GDPR (22) De toekomst – Privacy by design

13 februari 2018

Een mooi onderwerp om onze lange wandeling doorheen het landschap van de data privacy mee af te sluiten, is ‘Gegevensbescherming door ontwerp’ (beter gekend met de Engelse term ‘privacy by design’). De wetgever wil immers dat alle verwerkers bij hun toekomstige plannen voor het verwerken van persoonsgegevens vanaf het begin rekening houden met het recht op privacy.

De opstellers van de GDPR gaan ervan uit dat we een soort van privacy-reflex krijgen. De vereisten van de wetgeving worden dan een natuurlijk en vanzelfsprekend onderdeel van het bouwen van een applicatie of het inrichten van een website, maar even goed van het organiseren van een enquête of het opzetten van wetenschappelijk onderzoek.

Als het niet nodig is, kunnen we persoonsgegevens beter niet verzamelen en verwerken. En als er wel een goede reden voor is, moeten we de verwerkingen beperken tot wat strikt noodzakelijk is. Bij alle nieuwe initiatieven is dus een denkoefening nodig.

  • Tijdens de analyse voor een nieuwe applicatie of bij het ontwerpen van een database was het vroeger misschien aangewezen eerder wat meer attributen of velden aan een bestand toe te voegen (‘voor je weet nooit’). Nu komt het er eerder op aan het aantal gegevens zo beperkt mogelijk te houden, gericht op de specifieke doelstelling.
  • In een databank kan best meteen opgeslagen worden wanneer een bepaald gegeven verouderd is of achterhaald of gewoonweg niet langer meer bewaard mag worden. Op die manier is het niet moeilijk gegevens systematisch te wissen als we ze niet meer nodig hebben of als we de juistheid ervan niet langer kunnen garanderen.

Een toepassing kan in de toekomst ook best meteen functionaliteit bevatten om de rechten van de betrokkenen te garanderen en de praktische invulling daarvan gemakkelijker te maken.

  • Overal waar in een toepassing persoonsgegevens aan betrokkenen gevraagd worden, moet tegelijk informatie beschikbaar zijn over het doel, de duur van de verwerking, de risico’s en de beschermingsmaatregelen. Een app voor een smartphone die bijvoorbeeld sportprestaties registreert, moet de betrokkene voor het eerste gebruik voldoende inlichtingen geven over de informatie die op de achtergrond wordt verzameld en opgeslagen en over de bedoelingen van de bouwer van de app hiermee. Dit moet handig kunnen ingebouwd worden in de userinterface voor apps.
  • Op dezelfde manier moet iedereen die op een website informatie tracht te vergaren, meteen duidelijke achtergrondinformatie verstrekken over de verwerking. Die informatie moet tijdig gegeven worden. Verschillende mogelijke doelstellingen moeten maximaal van elkaar gescheiden worden.
  • Een toepassing kan in de toekomst ook best functionaliteit bevatten die de betrokkenen de mogelijkheid geeft hun gegevens op te vragen en, als de situatie dat toelaat, ze te corrigeren, aan te vullen of te wissen. Dit is uiteraard enkel mogelijk als er geen conflicten tussen de rechten van de betrokkene en andere belangen zijn.

Privacy by design houdt ook in dat je meteen bij het ontwerpen van een toepassing nadenkt over manieren om de gegevens zo goed mogelijk te beschermen. Zo kan je bijvoorbeeld de toepassing zo bouwen dat overal waar mogelijk gebruikt gemaakt wordt van encryptie. Een website kan van encryptieprotocols als https gebruik maken, datauitwisseling kan gebeuren via geëncrypteerde kanalen en met geëncrypteerde bestanden. Als data na verwerking nog een tijdje bewaard moeten worden, kan dat eveneens in geëncrypteerde vorm gebeuren, bijvoorbeeld in een beveiligd digitaal archief. Al deze maatregelen verminderen het risico dat data publiek gemaakt worden of in verkeerde handen vallen. Als ze vanaf het ontwerp in overweging genomen worden, zijn de kosten veel minder dan wanneer later aanpassingen moeten gebeuren. Een maatregel die in sommige omstandigheden ook kan overwogen worden is het pseudonimiseren van gegevens. Zoals vroeger aangehaald, houdt dit in dat je de directe verwijzingen naar concrete personen uit de bestanden weghaalt. Ook daardoor vermindert het risico op inbreuken als er toch iets misloopt met een bestand.

Tenslotte vermelden we ook nog de term ‘privacy by default’. Hiermee wordt bedoeld dat in alle toepassingen waar de gebruiker keuzes kan maken om optioneel al dan niet gegevens openbaar te tonen, met anderen te delen of beschikbaar te stellen voor bepaalde vormen van verwerking of voor latere communicatie, de standaard instellingen altijd de meest veilige moeten zijn. Alleen door een actieve ingreep van de gebruiker (bijvoorbeeld het invullen van een vinkje of het klikken op een knop voor toestemming) worden deze instellingen aangepast.

U ziet, er zijn allerlei manieren waarop de privacy zo goed als mogelijk gewaarborgd kan worden en de GDPR spoort iedereen aan deze altijd maximaal toe te passen. Data privacy is dus geen eenmalig onderwerp voor een actueel project, dat we daarna weer kunnen vergeten. Het is een blijvende bekommernis.

De toekomst zal moeten uitwijzen hoe grote en kleine bedrijven, de individuele betrokkenen (misschien aangespoord door consumentenorganisaties of vakbonden), de toezichthoudende autoriteiten en de EU zelf met de GDPR zullen omgaan. Rechtbanken zullen zich ongetwijfeld over ingewikkelde geschillen moeten buigen. Het is dus moeilijk te voorspellen hoe de vele vragen die er momenteel nog zijn, zullen beantwoord worden. Maar één ding is duidelijk, data privacy is een begrip om rekening mee te houden en zal dat hoogstwaarschijnlijk ook zo blijven.

Dus ook al zijn we met deze aflevering aan het einde van deze blog gekomen, er zullen ongetwijfeld nog wel gelegenheden volgen om nieuws te vertellen, verdere tips te geven of te rapporteren over interessante discussies of ontwikkelingen. Intussen hoop ik dat ik met deze teksten een stukje heb kunnen bijdragen om het thema data privacy de aandacht te geven die het in onze maatschappij verdient. Binnen Group Joos maken we er in elk geval een punt van klaar te zijn om de persoonsgegevens van onze klanten, van onze contactpersonen en bezoekers en van onze eigen medewerkers te benaderen met het respect dat ze verdienen.

 

Viktor D’Huys is ICT-manager en binnen Group Joos onder meer verantwoordelijk voor informatiebeveiliging. Hij coördineert het GDPR-project. Hij is Certified Information Security Manager (ISACA) en Certified Information Privacy Professional/Europe (IAPP).

Hebt u nog vragen of wil u reageren, neem gerust contact op met ons via gdpr@groupjoos.com

LOADING