“Als je het recht op privacy schendt, raak je al snel aan de fundamenten van de Nederlandse rechtsorde”, aldus Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, die de dag aftrapt. Vroeger was privacy vrij overzichtelijk: de lichamelijke integriteit en het eigen huis behoorden tot het privédomein. Communicatie en je actuele locatie waren moeilijk om te achterhalen. Nu is alles gedigitaliseerd. Per dag wordt privacy belangrijker, doordat software goedkoper en sneller is geworden.
“Als je het recht op privacy schendt, raak je al snel aan de fundamenten van de Nederlandse rechtsorde”, aldus Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, die de dag aftrapt. Vroeger was privacy vrij overzichtelijk: de lichamelijke integriteit en het eigen huis behoorden tot het privédomein. Communicatie en je actuele locatie waren moeilijk om te achterhalen. Nu is alles gedigitaliseerd. Per dag wordt privacy belangrijker, doordat software goedkoper en sneller is geworden. Deze ontwikkelingen vragen om wetgeving, zoals de Algemene Verordening Gegevensbescherming (AVG), die bij de tijd is en kaders stelt om eindeloze gegevensdeling in te perken.
Alleen gelaten worden
De AVG is de Europese verordening die ervoor zorgt dat alle inwoners van de Europese Unie dezelfde privacy rechten krijgen. Bedrijven en overheden die gegevens verwerken over personen binnen de EU, kunnen vanaf 25 mei 2018 beboet worden als de regels niet in acht worden genomen. Bedrijven die op grote schaal persoonsgegevens verwerken en alle overheidsinstellingen moeten een Functionaris Gegevensbescherming (F G) benoemen. Deze FG is een interne toezichthouder die binnen een organisatie de bescherming van de privacy van burgers bevordert. Daarnaast moeten deze organisaties een register opstellen, waarin wordt bijgehouden welke persoonsgegevens worden verzameld. Organisaties moet kunnen verantwoorden hoe zij omgaan met de persoonsgegevens. De burger heeft het recht hier zelf op toe te zien door een inzageverzoek te doen en de gegevens te wijzigen. Alles met als doel de privacy van inwoners van de EU te beschermen. “De vrijheid om ‘alleen gelaten te worden’ moet alleen worden prijsgegeven als iemand dat zelf wil”, aldus de voorzitter van de privacywaakhond.
Verkeersborden op het dak
Waar Aleid Wolfsen blij is met de nieuwe privacywet, plaatst prof. mr. Gerrit-Jan Zwenne enkele kritische kanttekeningen. De Leidse hoogleraar Recht en de Informatiemaatschappij spreekt over fundamentele tekortkomingen van de nieuwe verordening. Hij vergelijkt de AVG met de maatregelen die de ANWB voorstelde in de jaren ’30 van de vorige eeuw. Er moesten verkeersborden op de daken worden geplaatst, zodat deze zichtbaar zouden zijn vanuit het luchtruim. De vliegende auto had namelijk de toekomst, aldus de ANWB, en ongelukken moesten worden voorkomen. Kortom, de AVG bereidt voor op een wereld die nog onbekend is, waarvan we niet weten hoe die eruitziet. Een van de verkeersborden is volgens Zwenne het recht op data portabiliteit. Dit recht om persoonsgegevens van de ene naar de andere organisatie over te laten zetten, zou volgens hem juist kunnen leiden tot meer risico’s op inbreuk op privacy. “Gaan we niet een oplossing bedenken die uiteindelijk minder goed is voor de privacybescherming?” Ook het recht op vergetelheid schiet zijn doel voorbij. “Een absoluut vergeetrecht is niet alleen onhoudbaar, maar ook onwenselijk”, aldus de professor. Het wissen van het verleden is in de historie vaker voorgekomen, maar is het een goed idee om dit nu actief te gaan faciliteren?
Niets te verbergen
Na de kritische kanttekeningen van prof. mr. Zwenne, wordt de zaal uitgedaagd om mee te doen aan een privacyexperiment. Niek van der H. – zoals hij zich voorstelt – daagt de aanwezigen uit om hun smartphones ontgrendeld door te geven naar rechts. “We gaan door tot het ongemakkelijk wordt.” Een vrijwilliger meldt zich om op het podium vragen te beantwoorden over de foto’s, WhatsAppberichten, recente locaties en de browsegeschiedenis van haar buurvrouw. Al snel ontstaat een duidelijk beeld van de eigenaar van de telefoon. Als daarna geen van de aanwezigen meer durft mee te doen aan het experiment, is het doel van de act duidelijk bereikt. Blijkbaar is er meer te verbergen dan gedacht.
| Een Privacy Award voor IRMA De jury voor de Nationale Privacy Award heeft initiatieven voor nieuwe privacyproducten beoordeeld op impact, toegevoegde waarde voor de consument en de businesscase. In welke mate kan een product zelfstandig van waarde zijn? Het ontwikkelen van privacyproducten wordt gezien als het werk van een milieuorganisatie. Het draagt bij aan een betere wereld, maar een product moet ook zonder subsidie kunnen bestaan. Onder de vijf genomineerden stak IRMA (I Reveal My Attributes) erboven uit. IRMA is een applicatie waarin bijvoorbeeld het bankrekeningnummer, adresgegevens of andere persoonlijke gegevens door de eigenaar worden toegevoegd aan een digitale kluis. De informatie wordt niet online gestald, maar op een lokaal apparaat, zoals een smartphone. De digitale kluis is beveiligd met een QR-code en een pincode. De kracht van dit product is dat de eigenaar door middel van een app specifieke attributen kan delen met andere partijen. Zo heeft de eigenaar controle over zijn eigen gegevens én de afnemers weten zeker dat de gegevens actueel zijn. |
Privacy by design
De laatste spreker op de Nationale Privacy Conferentie is universitair hoofddocent Privacy by design Jaap-Henk Hoepman.1
Hij stelt dat het belangrijk is privacyaspecten vanaf het begin mee te nemen in het ontwikkelen van een systeem waarin gegevens worden verwerkt. Als privacy niet bij het ontwerp wordt meegenomen, dan moeten er op een later moment dure aanpassingen worden gemaakt. In de praktijk betekent dit vaak dat privacy het aflegt tegen andere belangen, zoals geld en gebruiksgemak.
Er zijn factoren die de betrokkenheid van privacy in het ontwikkelproces van digitale systemen bedreigen. Een voorbeeld hiervan is de afstand tussen een jurist en een software developer. De software developer denkt vaak binair en de jurist in vijftig tinten grijs. De jurist, degene die de wet uitlegt, zou de ontwerper van het systeem tegemoet moeten komen. De techneut heeft handvatten nodig om privacy in het ontwerp van de software mee te kunnen nemen. Het is daarom van belang dat de ontwerpers en adviseurs elkaars taal begrijpen.
Hoepman onderscheidt twee typen strategieën om privacy by design toe te passen, namelijk procesgerichte en datagerichte strategie. Tijdens het proces van de verwerking is het van belang om de betrokkenen te informeren en hen controle te geven over de data. Als de betrokkenen niet weten dat hun gegevens worden gebruikt, kunnen zij ook geen controle uitoefenen. Daarnaast kan gedurende het ontwikkelproces de privacyvriendelijke werking worden afgedwongen. Dit kan door medewerkers alleen toegang te geven tot gegevens, als zij die daadwerkelijk nodig hebben voor hun werk. Ten slotte dient gedurende de ontwerpcyclus nagedacht te worden over het aantonen van de privacyvriendelijke werking. Pas dan kan iemand die zijn persoonlijke gegevens afgeeft, er daadwerkelijk op vertrouwen dat zijn gegevens veilig zijn.
De datagerichte strategie sluit aan bij een belangrijk principe uit de AVG, namelijk het minimaliseren van dataverwerking. Door van tevoren vast te stellen welke data nodig zijn voor het bereiken van de doelstellingen, kan de verwerking van persoonsgegevens zo veel mogelijk worden beperkt. Daarnaast is het mogelijk om persoonsgegevens minder herleidbaar te maken. Door persoonsgegevens gescheiden van elkaar op te slaan, is het moeilijker een persoon te achterhalen. Door gegevens te abstraheren, bijvoorbeeld het opslaan van een leeftijd in plaats van de geboortedatum, wordt gedetailleerde verwerking van persoonsgegevens beperkt. De inbreuk op de privacy bij een hack of een datalek, is dan ook minder groot. Ten slotte moet voorkomen worden dat persoonsgegevens openbaar of bekend worden door ze goed te beschermen door middel van beveiligingsmaatregelen.
Privacytechnieken
Jaap-Henk Hoepman ziet Polymorphic Enscription Scenario als een techniek die de privacy in de toekomst een grote dienst gaat bewijzen. Normaal gesproken moet bij het versleutelen van data van tevoren bekend zijn wie later toegang tot de data moet krijgen. In de toekomst zal dat niet meer nodig zijn. Doormiddel van deze techniek kan één bronhouder beslissen welke gegevens worden vrijgegeven. Zo kan de regie over persoonsgegevens worden gelegd bij de eigenaar van de gegevens. Kortom, de burger bepaalt in de toekomst welke gegevens met wie worden gedeeld.
Conclusie
Privacy is een onderwerp dat in de komende jaren veel aandacht zal blijven krijgen. Door de invoering van de AVG op 25 mei 2018 staat het nu op de agenda, maar het echte werk moet nog komen. Het is van belang dat er binnen de samenleving, de overheid en in het bedrijfsleven voortdurend gereflecteerd wordt op privacy. Welke gegevens worden verzameld, gedeeld en bewaard en met welk doel wordt die informatie gebruikt? Kan de techniek helpen om privacy van mensen te beschermen? Met deze vragen kan elke medewerker in elke werksituatie aan de slag.
julian.wassink@dongen.nl, Julian Wassink is privacy officer bij de gemeente Dongen
Noot
