GDPR – Privacy by Design

“Privacy by Design” en “Privacy by Default” zijn veelbesproken onderwerpen met betrekking tot gegevensbescherming. De eerste gedachten over “Privacy by Design” werden geuit in de jaren 70 en werden in de jaren 90 opgenomen in de RL 95/46/EG gegevensbeschermingsrichtlijn. Volgens overweging 46 in deze Richtlijn moeten er al tijdens de planning van een verwerking systeem technische en organisatorische maatregelen (TOM) worden genomen om de gegevensveiligheid te beschermen.

De term “Privacy by Design” betekent niets meer dan “gegevensbescherming door technologie-ontwerp.” Hierachter zit de gedachte dat gegevensbescherming in gegevensverwerkingsprocedures het beste kan worden nageleefd wanneer deze al bij de creatie in de technologie is geïntegreerd. Desondanks is er nog steeds onzekerheid over wat “Privacy by Design” betekent en hoe men het kan implementeren. Dit komt enerzijds door onvolledige implementatie van de Richtlijn in enkele lidstaten en anderzijds doordat het principe “Privacy by Design” in de Algemene Verordening Gegevensbescherming staat, dat de huidige aanpak in de gegevensbeschermingsrichtlijnen vereist dat verantwoordelijken al bij de definitie van de middelen voor verwerking TOT’s meenemen om te voldoen aan de basis en eisen van “Privacy by Design”. Wetgeving laat volledig open welke exacte beschermingsmaatregelen moeten worden genomen. Als voorbeeld kan men enkel pseudonimisering noemen. Meer details worden niet gegeven in overweging 78 van de verordening. In andere delen van de wet worden in ieder geval versleuteling genoemd, evenals anonimisering van gegevens als mogelijke beschermingsmaatregelen. Verder moeten gebruikersauthenticatie en technische uitvoering van het recht op bezwaar worden overwogen. Bovendien kan men bij het selecteren van voorzorgsmaatregelen andere normen, zoals ISO-normen, gebruiken. Bij het maken van een keuze in individuele gevallen moet men ervoor zorgen dat de stand van de techniek en redelijke implementatiekosten worden meegenomen.

Naast de genoemde criteria moeten het type, de omvang, de omstandigheden en het doel van de verwerking in aanmerking worden genomen. Dit moet worden afgewogen tegen de verschillende waarschijnlijkheid van optreden en de ernst van de risico’s die verbonden zijn aan de verwerking. De tekst van de wet leidt tot de conclusie dat vaak meerdere beschermingsmaatregelen met elkaar moeten worden gebruikt om aan de wettelijke vereisten te voldoen. In de praktijk wordt deze afweging al in een vroeg ontwikkelingsstadium uitgevoerd bij het nemen van technologische beslissingen. Erkende certificering kan voor autoriteiten dienen als een indicator dat de verantwoordelijke personen hebben voldaan aan de wettelijke vereisten van “Privacy by Design”.