Privacy by design
Bijgewerkt op · Door Maarten van den Bos
Privacy by design is het principe dat een organisatie de bescherming van persoonsgegevens al in het ontwerp van een product, dienst of proces inbouwt, in plaats van achteraf. Het is een wettelijke plicht uit artikel 25 van de AVG. Daarbij hoort privacy by default: de standaardinstellingen verwerken alleen de persoonsgegevens die voor het doel nodig zijn.
Wat is privacy by design?
Privacy by design betekent “privacy door ontwerp”. De Autoriteit Persoonsgegevens (AP) omschrijft het als ervoor zorgen dat je al bij het ontwerpen van producten en diensten persoonsgegevens goed beschermt, en dat je de gegevens niet langer bewaart dan nodig is voor het doel van de verwerking.
De Algemene verordening gegevensbescherming (AVG) maakt dit tot een plicht. Artikel 25 heet “Gegevensbescherming door ontwerp en door standaardinstellingen”. Het artikel verplicht de verwerkingsverantwoordelijke, de organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt, om passende technische en organisatorische maatregelen te nemen. De wet noemt pseudonimisering als voorbeeld van zo’n maatregel en minimale gegevensverwerking als voorbeeld van een beginsel dat de maatregelen moeten waarmaken.
Privacy by design heeft een tweelingbegrip: privacy by default, “privacy door standaardinstellingen”. Volgens de AP houdt dat in dat de standaardinstellingen van een product of dienst privacyvriendelijk zijn.
Privacy by design gaat over persoonsgegevens en de rechten van mensen. Security by design gaat over het veilig ontwerpen van systemen in het algemeen. De 2 overlappen, want zonder goede informatiebeveiliging zijn persoonsgegevens ook niet beschermd.
Hoe werkt privacy by design?
Privacy by design werkt via 2 verplichtingen uit artikel 25 van de AVG, die in elke fase van een project terugkomen.
| Privacy by design (artikel 25 lid 1) | Privacy by default (artikel 25 lid 2) | |
|---|---|---|
| Kern | Gegevensbescherming inbouwen bij het bepalen van de verwerkingsmiddelen en tijdens de verwerking | Standaard alleen de persoonsgegevens verwerken die voor het doel nodig zijn |
| Waar het om gaat | Maatregelen zoals pseudonimisering en minimale gegevensverwerking | Hoeveelheid gegevens, mate van verwerking, bewaartermijn en toegankelijkheid |
| Voorbeeld van de AP | Gegevens niet langer bewaren dan nodig | Het vakje “Ja, ik wil aanbiedingen ontvangen” niet vooraf aanvinken |
Artikel 25 lid 2 bepaalt ook dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal mensen toegankelijk worden gemaakt. Een profiel dat standaard openbaar is, botst daarmee.
In een project ziet privacy by design er zo uit:
- Bepaal het doel van de verwerking en welke persoonsgegevens daarvoor echt nodig zijn.
- Weeg de risico’s voor de betrokkenen, rekening houdend met de stand van de techniek en de kosten.
- Kies maatregelen, zoals pseudonimisering, encryptie en beperkte toegangsrechten via IAM.
- Stel de standaardinstellingen zo in dat alleen het noodzakelijke wordt verzameld en gedeeld.
- Leg vast welke keuzes je hebt gemaakt, zodat je ze kunt verantwoorden.
De Europese privacytoezichthouders (EDPB) hebben artikel 25 uitgewerkt in richtsnoeren 4/2019. De definitieve versie is vastgesteld op 20 oktober 2020 (bron: EDPB, 2020).
Voorbeeld uit de praktijk
Op 1 september 2023 legde de Ierse privacytoezichthouder Data Protection Commission (DPC) TikTok boetes op van in totaal 345 miljoen euro. Het onderzoek ging over de verwerking van gegevens van kinderen in 2020, waaronder instellingen die standaard openbaar waren (“public-by-default”). De DPC stelde onder meer overtredingen vast van artikel 25 lid 1 en lid 2 van de AVG (bron: Data Protection Commission, 2023). Het besluit volgde op een bindend besluit van de EDPB.
Het voorbeeld laat zien waarom de standaardinstelling telt: een account dat bij aanmaak openbaar is, maakt gegevens toegankelijk voor een onbeperkt aantal mensen, precies wat artikel 25 lid 2 wil voorkomen.
Een overtreding van artikel 25 valt onder artikel 83 lid 4 van de AVG. De toezichthouder kan dan een boete opleggen tot 10 miljoen euro of, voor een onderneming, tot 2 procent van de wereldwijde jaaromzet als dat hoger is (bron: AVG, artikel 83).
Privacy by design in de praktijk van een security-professional
Privacy by design is werk voor meerdere rollen samen. De privacy officer en de functionaris gegevensbescherming (data protection officer) adviseren over het doel, de benodigde gegevens en de bewaartermijnen. De security architect vertaalt dat naar technische maatregelen, zoals pseudonimisering, versleuteling en rolgebaseerde toegang.
In de praktijk komt privacy by design vaak aan bod bij de inkoop van software, het bouwen van een app of het opzetten van een nieuwe klantdatabase. De security-professional let dan op data security: wie kan bij de gegevens, hoe lang blijven ze bewaard en hoe zijn ze beveiligd. De privacy officer let op de vraag of de gegevens wel nodig zijn. Wie beide kanten wil leren, vindt opleidingen bij privacy officer opleidingen.
Veelgestelde vragen
Wat betekent privacy by design?
Privacy by design betekent dat een organisatie de bescherming van persoonsgegevens al bij het ontwerp van een product, dienst of proces inbouwt. Volgens de Autoriteit Persoonsgegevens hoort daarbij dat je gegevens niet langer bewaart dan nodig is voor het doel. Het is een wettelijke plicht uit artikel 25 van de AVG.
Wat staat er in de AVG over privacy by design?
Artikel 25 van de AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen, zoals pseudonimisering, om de privacybeginselen waar te maken. Lid 2 regelt privacy by default: standaard alleen de nodige gegevens verwerken. Een overtreding kan een boete opleveren tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet.
Wat is het verschil tussen privacy by design en privacy by default?
Privacy by design gaat over het ontwerp: bescherming van persoonsgegevens inbouwen vanaf het begin. Privacy by default gaat over de standaardinstellingen: die moeten privacyvriendelijk zijn, zodat alleen de nodige gegevens worden verwerkt. Een voorbeeld van de Autoriteit Persoonsgegevens is een app die geen locatie registreert als dat niet nodig is.
Wat is het verschil tussen privacy by design en security by design?
Privacy by design beschermt persoonsgegevens en de rechten van mensen, en is een plicht uit artikel 25 van de AVG. Security by design beschermt systemen en gegevens in het algemeen tegen aanvallen en fouten. Ze vullen elkaar aan: zonder goede beveiliging kan een organisatie persoonsgegevens niet beschermen.
Bronnen
- Autoriteit Persoonsgegevens: Verantwoordingsplicht (privacy by design en default)
- Verordening (EU) 2016/679 (AVG), artikel 25 en artikel 83
- EDPB: Guidelines 4/2019 on Article 25 Data Protection by Design and by Default (2020)
- Data Protection Commission (Ierland): DPC announces 345 million euro fine of TikTok (2023)
Gerelateerde begrippen
- Security by design
Security by design is een ontwerpprincipe waarbij beveiliging vanaf de ontwerpfase wordt meegenomen in een applicatie, product of dienst, in plaats van achteraf te worden toegevoegd. Risicoanalyse, beveiligingseisen en veilige standaardinstellingen horen dan bij elke stap van de ontwikkeling. De Europese Cyber Resilience Act maakt deze aanpak voor digitale producten verplicht.
- Informatiebeveiliging
Informatiebeveiliging is het geheel van maatregelen om informatie te beschermen tegen verlies, diefstal, misbruik en ongewenste wijzigingen. Het gaat om digitale en papieren informatie, om systemen en om de mensen die ermee werken. Het doel is dat informatie beschikbaar, juist en vertrouwelijk blijft. Die 3 eisen heten samen de CIA-triade.
- Encryptie
Encryptie is het versleutelen van gegevens, zodat ze onleesbaar worden voor iedereen die de juiste sleutel niet heeft. Een algoritme zet leesbare tekst om in een reeks willekeurige tekens. Alleen met de sleutel kan de ontvanger de gegevens weer ontsleutelen. Encryptie beschermt berichten, bestanden, wachtwoorden en internetverbindingen.
- IAM (identity and access management)
IAM staat voor identity and access management: het geheel van beleid, processen en systemen waarmee een organisatie bepaalt wie toegang krijgt tot welke systemen en gegevens. IAM zorgt dat elke medewerker een eigen account heeft, alleen de rechten krijgt die nodig zijn voor het werk en die rechten weer kwijtraakt bij een andere functie of vertrek.
- Data security
Data security is het beschermen van digitale gegevens tegen ongeoorloofde toegang, wijziging, diefstal en verlies, gedurende hun hele levenscyclus. Het richt zich op de data zelf, waar die ook staat: op een server, in de cloud of op een laptop. Bekende maatregelen zijn versleuteling, toegangsbeheer, labeling van vertrouwelijke informatie en back-ups.
- Privacy officer worden: opleiding, taken en salaris