Wat is Privacy by Design

Privacy by Design

Privacy by Design is een methode die uitgaat van het principe dat er in een vroeg stadium nagedacht wordt over het goede gebruik van persoonsgegevens binnen een organisatie, de noodzaak van het gebruik van deze gegevens en de bescherming ervan. Door al bij het ontwikkelen van systemen privacy en bescherming van persoonsgegevens in te bouwen is de kans op het succes ervan het grootst.

Het concept van Privacy by Design is niet nieuw. Dr. Ann Cavoukian, Informatie en Privacy Functionaris van Ontario, Canada, heeft sinds de jaren negentig hierover gecommuniceerd. “Voor een organisatie is het noodzakelijk om een systeem te ontwikkelen dat zowel voldoet aan de beveiliging van gegevens als de bescherming van persoonsgegevens. In plaats van het achteraf behandelen van privacy issues, vraagt privacy by design een proactieve en prescriptieve oplossing die is verankerd in elke vezel van de organisatie.

“We live in an era of enhanced surveillance: data mining, behavioral profiling, targeted and discriminatory practices and cloud computing. If we want to preserve the privacy that so many of our freedoms rest upon, beyond the next decade, we need to commit to a new approach, and we need to do it now.” Dr. Ann Cavoukian, Information and Privacy Commissioner, Province of Ontario, Canada

Een goede en verantwoorde omgang met persoonsgegevens is een essentieel element van een vertrouwensrelatie tussen klant en organisatie, zo blijkt ook uit het rapport ‘Burgers en hun privacy’ van het CBP. Door al tijdens de ontwikkeling van informatiesystemen aandacht te schenken aan privacyverhogende maatregelen (Privacy Enhancing Technologies of PET) kan op een effectieve manier zorgvuldige en verantwoorde omgang met persoonsgegevens technisch worden afgedwongen.

Bij het ontwerpen van systemen is het uitgangspunt vaak een effectief en efficiënt gebruik van gegevens. Voor het gebruik van persoonsgegevens moet ook aan de eisen van de Wet bescherming persoonsgegevens (Wbp) worden voldaan.

Artikel 13 uit de Wbp stelt onder meer dat de verantwoordelijke passende technische en organisatorische maatregelen moet treffen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige gebruik én dat deze maatregelen erop gericht moeten zijn onnodige verzameling en verder gebruik van persoonsgegevens te voorkomen.

En zo stelt bijvoorbeeld artikel 11 uit de Wbp onder andere dat persoonsgegevens alleen verwerkt mogen worden voor het doel waarvoor zij verzameld of verwerkt worden én dat er niet meer gegevens dan strikt noodzakelijk verzameld en gebruikt mogen worden.

Voor gemeentes bestaat de Wet GBA waarin de specificaties van gegevensverwerkingen vanuit het GBA beschreven staan.