Privacy gaat iedereen wat aan

Privacy by Design en Privacy by Default

- 15 March 2018

Er is één onderwerp dat momenteel stevig de boventoon voert in het cybersecurity-debat: Privacy. Dat is niet vreemd, in de gehele sector staan de neuzen in de aanloop naar de invoering van de GDPR immers één kant op: naar 25 mei, de datum waarop die nieuwe Europese privacywetgeving van kracht zal zijn.

Het perspectief vanuit overheden en organisaties is echter niet de enige aanleiding dat privacy zo hoog op de agenda’s staat. Of het nou gaat om de bestaande en op korte termijn veranderende privacywetgeving, de zorgen die Nederlanders zich over het onderwerp maken, of bijvoorbeeld de aanstaande gemeenteraadsverkiezingen: het onderwerp duikt overal op. En hoewel we de rol van privacy in gemeentelijke politiek niet willen onderschatten, zijn in dat laatste geval niet zozeer de plannen op raadsniveau interessant, maar denken we vooral aan die extra stem die we op 21 maart uit mogen brengen: bij het raadgevend referendum over de veelbesproken Sleepwet.

'Sleepwet'

Op 21 maart stemt Nederland namelijk over de Wet op de Inlichtingen- en Veiligheidsdiensten, in de volksmond ook wel Sleepwet genoemd. In deze vernieuwde wet is een uitbreiding opgenomen van de middelen die de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en militaire tegenhanger MIVD mogen inzetten.

De naam sleepwet komt voort uit het feit dat er een zogenaamd 'sleepnet' kan worden ingezet om massaal online communicatie af te luisteren, ook van niet verdachte burgers. Er mag bijvoorbeeld een gehele wijk afgeluisterd worden wanneer er een verdacht persoon in woont. Ook mogen alle geautomatiseerde apparaten, zoals telefoon, computer of smart-tv, worden gehackt, mag er een geheime DNA-databank aangelegd worden en zal verzamelde data met buitenlandse diensten gedeeld worden, ook zonder analyse. 

Het laat zich raden wat de invloed van deze Sleepwet op onze privacy is. Volgens de een is de nieuwe wet noodzakelijk om ons tegen terroristische aanslagen te beveiligen, volgens anderen wordt onze privacy teveel op het spel gezet. Lees hier daarom een handig overzicht met 12 vragen en antwoorden van de Volkskrant of kijk deze recente video van 1Vandaag, en lees hier een goed betoog van Amnesty.

Aanvullende leestip: GeenPeil brengt het gehele debat over de Sleepwet in kaart, met heldere voors en tegens en alle relevante nieuws- en mediaberichten tot het raadgevend referendum op 21 maart.

General Data Protection Regulation

Terug naar de GDPR en de kop van dit artikel. Ook bij FERM is er het afgelopen jaar veel aandacht geweest richting 25 mei 2018 en de invoering van de nieuwe wetgeving. We schreven over de lopende informatiecampagne van de Autoriteit Persoonsgegevens, keken naar de invloed van de GDPR voor ons als individuele consumenten, en deelden we een stappenplan in de voorbereiding.

Over dat laatste onderdeel zijn enkele vragen, specifiek met betrekking tot de twee verschillende varianten van privacy die steevast in stukken over de GDPR opduiken: Privacy by Design en Privacy by Default. Wat betekenen deze termen, wat zijn de verschillen en hoe zijn beide onderdeel van de wetgeving?

Privacy by design

'Privacy by design' staat letterlijk voor privacy door ontwerp en houdt in dat er bij de ontwikkeling van producten en diensten zoals een systeem voor informatie of administratie rekening gehouden wordt met het belang van privacy. Concreet doe je dat door aandacht te besteden aan 'privacy enhancing technologies' (kortweg PET), ofwel door privacyverhogende maatregelen te nemen: in ieder stap van een proces waarbij gegevens verwerkt zullen worden, moet in de juiste beveiliging voorzien zijn om die gegevens te beschermen. 

Het belangrijkste gewin van een ontwerp dat vanuit de basis al rekening houdt met de behoeften (en wetten!) van privacybescherming, is dat je onvoorziene kosten en tijdrovende aanpassingen voorkomt.

Daar komt in de tweede plaats een stukje dataminimalisatie bij kijken. Het uitgangspunt is dat je zo min mogelijk persoonsgegevens verwerkt en dus louter de gegevens verwerkt die voor het betreffende doel benodigd zijn. Dat geldt ook voor de duur van de verwerking: gegevens worden niet langer opgeslagen dan dat ze voor dat vastgestelde doel van relevantie zijn, inhakend op het recht van de natuurlijke persoon om 'vergeten' te worden zoals we hier al bespraken.

Privacy by default

'Privacy by default' (default = standaard) kun je zien als de fabrieksinstelling met betrekking tot privacy: als uitgangspunt nemen dat alle technische maar ook organisatorische maatregelen genomen zijn om persoonsgegevens op een veilige en verantwoorde wijze te verwerken.

Dat kan heel specifiek gaan om software die automatisch rekening houdt met een opslagtermijn en zorgt voor de adequate verwijdering van gegevens wanneer ze niet langer nodig zijn. Of een app die de locatie van de gebruiker niet registreert als dat voor het functioneren van de applicatie helemaal niet nodig is. Maar dat laatste kun je ook algemener toepassen. Een informatiesysteem dat zuiver en alleen de benodigde gegevens verzamelt, bijvoorbeeld. En privacybeperkende stappen standaard ('by default') uitschakelt, zo simpel als het automatische vinkje 'Ja, ik wil deze nieuwsbrief ontvangen'. 

Beide varianten zijn uiteraard nauw aan elkaar verbonden, maar er zijn dus verschillen. Privacy by design heeft vooral betrekking op de ontwikkeling van nieuwe producten en diensten, terwijl privacy by default van invloed is op alle onderdelen van de dagelijkse werkzaamheden die te maken hebben met de verwerking van persoonsgegevens. Je kunt privacy by default dan ook zien als een soort fabrieksinstelling van de mentaliteit van een organisatie: bij alle relevante onderdelen van de dagelijkse werkzaamheden de juiste aandacht voor bescherming van privacygevoelige gegevens. Het verplicht organisaties om de gegevens van gebruikers te beschermen door hen standaard de meest privacyvriendelijke optie te geven, en waar mogelijk altijd om toestemming te vragen om bepaalde gegevens te verzamelen of te delen. Bovendien geeft privacy by default aan de gebruikers zelf de mogelijkheid om gegevens al dan niet af te staan. 

                  Tip: kijk ook eens op hulpbijprivacy.nl van de Autoriteit Persoonsgegevens