Privacy by Design is een van de meest onduidelijke bepalingen uit de nieuwe privacy wetgeving en – misschien wel mede daardoor – de grootste uitdaging ervan. Ook in de Nationale Privacy Benchmark werd de invoering van Privacy by Design by far als de meest uitdagende eis beoordeeld. Waarom zou dat zijn? Dat begint volgens mij al met de vraag: Wat is Privacy by Design?
Het liefste zou ik hier een ronkende definitie opnemen, die in het vakgebied geldt als de standaard. Maar die ontbreekt. Met wat googelen vind je veel meningen, een paar klepels die klokken zoeken en zelfs een fors aantal miskleunen.
Ik ben geen wetenschapper en kan u niet zeggen wat de juiste definitie van Privacy by Design is. Ik herken echter wel onzin als ik dit hoor. Daarom 9 mythes over Privacy by Design die ik graag zou willen ‘busten’.
Mythe 1: Privacy by Design is iets technisch
Alhoewel de naam anders doet vermoeden is Privacy by Design niet technisch. Hoogstens komt er later wat techniek bij. Privacy by Design begint vooral bij organisatorische vragen als: Hoe maak ik verstandig gebruik van persoonsgegevens?
Hoe je dat doet? Verzamel niet wat je niet nodig hebt en gooi weg wat je niet gebruikt. Wordt geen ‘privacy hoarder’. Dat wat je dan nog nodig heb, moet je goed beschermen. En ja, dan is er techniek die je kan helpen.
Mythe 2: Encryptie of anonimisering is toch hetzelfde als Privacy by Design
Niet bepaald. Encryptie en anonimisering kunnen je helpen om de informatie die je nodig hebt en de persoonsgegevens die je verwerkt, netjes te beschermen. Maar voordat je deze technieken inzet, moet je jezelf de vraag stellen: Welke gegevens heb ik echt nodig? Kan ik, door persoonsgegevens minder te verzamelen, slimmer te gebruiken en eerder weg te gooien, misschien wel voorkomen dat ik moet investeren in encryptie en anonimiseren? Vooral ook als je weet dat encryptie niet zomaar een pleister is die je op iedere wond kun plakken. En bovendien vaak niet bepaald met de knip van een vinger is in te regelen.
Mythe 3: Privacy by Design doe je bij nieuwe processen en systemen
Deze mythe wordt in de hand gewerkt door wetgeving en uitleg van velen. Net als bij de Privacy Impact Assessments (PIA) wordt wel eens gezegd dat Privacy by Design alleen bij nieuwe processen of systemen hoeft te worden toegepast. Net alsof de bestaande bedrijfsvoering op orde is. Not. Eigenlijk zou Privacy by Redesign een veel betere term zijn. Natuurlijk moet je goed nadenken bij het privacy vriendelijk ontwerpen van nieuwe processen en systemen. Maar vergeet vooral de bestaande processen en systemen niet. Deze moeten vaak nog een tijd mee en er valt nog zeker een en ander aan te verbeteren.
Mythe 4: Invoering van Privacy by Design is een project
Dit zou betekenen dat Privacy by Design een concreet eindproduct heeft. Maar dat geloof ik niet. Privacy by Design is meer een kunde, roeping of way-of-life zo u wilt. Privacy by Design vraagt er om dat mensen binnen hun eigen proces en werkomgeving nadenken over waarom ze dingen doen zoals ze die doen. Deze vaardigheid moet worden onderhouden en kan niet als project worden ‘geïmplementeerd’. Bovendien is het privacy vakgebied nog te weinig volwassen om te voorspellen dat er geen wijzigingen in wet- en regelgeving meer plaatsvinden, of in de praktische toepassing ervan.
Mythe 5: Privacy by Design is echt iets voor specialisten
Busted! Privacy by Design is iets voor alle medewerkers. Of u nu kwaliteitsmedewerker bent, ICT-er, proceseigenaar, bestuurder, HR medewerker auditor, office manager of… Iedereen heeft het vermogen om kritisch te kijken naar de eigen werkwijze en zichzelf kritische vragen te stellen. Bijvoorbeeld: Waarom gooi ik de oude CVs niet weg? Waar gebruiken we de BSN voor? Wat noteren mijn medewerkers eigenlijk over onze klanten in het CRM? Waarom mailen we zoveel gevoelige gegevens?
Privacy by Design is voor iedereen. Als iedereen zich af en toe de vraag zou stellen: ‘Wat zou ik er van vinden als ik wist dat dit met mijn persoonsgegevens ook zou gebeuren?’, dan hebben we veel bereikt!
En OK, als u over deze dingen nadenkt en een specialist hierbij uitnodigt, kan deze u de spiegel voorhouden en kritische vragen stellen. Zo krijgt u vanzelf weer nieuwe ideeën. Soms zijn dit ideeën die niet direct te realiseren zijn, maar er zijn ook altijd dingen waar u vandaag al wat mee kunt doen.
Mythe 6: Privacy by Design kan nu nog niet
We hoeven niet te wachten tot de nieuwe wetgeving in 2018: u kunt vandaag al aan de slag. U hoeft ook niet te wachten op nieuwe processen of systemen. Kijk goed wat u binnen bestaande processen kunt veranderen en verbeteren. Aan de slag!
Mythe 7: Privacy by Design wordt niets, we willen toch Big Data?
Privacy gaat over data minimalisatie en Big Data gaat over verzamelen en uit veel data nieuwe informatie halen. En ook dat kan je privacy vriendelijk doen. Deze mythe lijkt op het eerste oog misschien waar, maar is het niet. Big Data heeft immers niet tot doel om te weten wat Henk en Ingrid doen (data), maar wel waar alle Henks en Ingrids van deze wereld in zijn geïnteresseerd (informatie). En ja, big data kent voor privacy fundamentele vragen zoals: Mag ik gegevens wel gebruiken voor dit doel en wie mag er bij? Maar die vragen zijn bespreekbaar en te realiseren, als je werkt vanuit een Big Data strategie, waarbij ook over privacy is nagedacht.
Mythe 8: Over Privacy by Design kan je alleen praten, je kan eigenlijk niets concreet doen
Praten over Privacy by Design gaat inderdaad prima. Maar je kan ook echt iets doen. Vandaag al. Niet te moeilijk nadenken, maar kritisch kijken naar je eigen werkwijze: Wat mailen we eigenlijk allemaal en naar wie? Welke persoonsgegevens bewaren we wel, maar hebben we eigenlijk niet meer nodig? Waarom vragen we eigenlijk gegevens als we er niets mee doen?
Hele concrete dingen, toch?
Mythe 9: Privacy by Design past niet bij Agile
Integendeel. Privacy by Design past uitstekend bij Agile. Toegegeven: in een Agile ontwikkelproces is nauwelijks tijd om een privacy officer mee te laten kijken. Maar Agile teams zijn wel uitstekend te sturen door voortdurend bij de ontwikkeling te toetsen op privacy vriendelijke principes.
Denk bij deze privacy vriendelijke principes aan onderstaande voorbeelden (sorry, ze zijn een beetje technisch, maar als de titel van deze mythe u aansprak, kan dat vast):
1 Verzamel zo min mogelijk. Als je een (persoons)gegeven niet nodig hebt, vraag dit dan niet.
2 Bij toetsvragen: vraagt u om een inhoudelijk antwoord, of legt u vast of aan de toetsvraag wordt voldaan? Voorbeeld: vraagt u bij een inkomenstoets naar het inkomen en toetst u of deze een drempel overschrijdt, of vraagt u of iemand meer of minder verdient dan de drempelwaarde? Bij het laatste legt u weliswaar een persoonsgegeven vast, maar deze is veel minder gevoelig.
3 Maak bij gegevensverzamelingen zoveel mogelijk gebruik van raadplegingen uit originele bronnen. Voorkom dat lokale of eigen kopieën worden gemaakt.
4 Denk na hoe bij rapportages een scheiding kan worden gemaakt tussen persoonsgegevens en andere gegevens.
5 Bedenk welke onderdelen van een proces of systeem binnen een bewaarverplichting vallen en hoe u binnen de bewaarverplichting weg kan gooien wat daar niet binnen valt. Overigens ben ik ook al tevreden als er sowieso wat weg wordt gegooid (‘Verwijderen? Daar hebben we nog niet over nagedacht, we hebben dit systeem nog maar 4 jaar’).
In de Privacy Podcast vertelt Frank van Vonderen u alles wat u moet weten over Privacy by Design. Wilt u op de hoogte gehouden worden van de laatste ontwikkelingen op privacy gebied? Abonneer u dan op de Privacy Podcast in iTunes!