Normity

Privacy by default is de verplichting uit de AVG (artikel 25) om bij een nieuwe dienst of instelling standaard de meest privacy-vriendelijke optie aan te houden. De gebruiker kan actief kiezen voor meer deling, maar moet nooit actief moeten kiezen voor minder. Denk aan vinkjes die standaard uit staan bij nieuwsbrieven of tracking.

Ja. Artikel 25 AVG verplicht verwerkingsverantwoordelijken om standaardinstellingen zo in te regelen dat alleen persoonsgegevens worden verwerkt die strikt noodzakelijk zijn voor het specifieke doel. Afwijkingen vereisen een actieve keuze (opt-in) door de betrokkene. Dit geldt voor zowel digitale diensten als fysieke processen.

Privacy by design gaat over het hele ontwerpproces: privacy zit er vanaf de eerste schets in. Privacy by default gaat specifiek over de standaardinstellingen: bij aanvang mogen alleen de minimaal noodzakelijke gegevens worden verwerkt, totdat de betrokkene zelf meer toestaat.

Bij cookies betekent privacy by default: alleen functionele en strikt noodzakelijke cookies staan vooraf actief. Tracking-, analytics- en marketingcookies staan standaard uit en worden pas geactiveerd na actieve toestemming. Standaard 'accepteer alles'-knoppen zonder gelijkwaardige 'weiger alles'-optie zijn in strijd met de AVG.

Voorbeelden: nieuwsbrief-inschrijving is standaard uit; profielgegevens zijn standaard niet publiek zichtbaar; profielfoto's zijn niet standaard openbaar; automatische location sharing staat uit; opslag van betaalgegevens voor volgende transacties staat uit; delen met derden staat uit. De gebruiker kan actief opt-in kiezen.

Een systeem dat standaard meer gegevens verwerkt dan nodig, moet worden aangepast. Begin met een inventarisatie: welke instellingen leiden tot meer verwerking? Maak van opt-out een opt-in. Voor bestaande gebruikers: laat ze expliciet her-instellen bij eerstvolgende login (of op een ander natuurlijk moment). Documenteer de aanpak in je privacy management.

Toetsen gebeurt via DPIA's, privacy-reviews bij nieuwe features en audits. Concreet: check per formulier of een veld optioneel zou kunnen zijn. Check per vinkje of het standaard uit hoort te staan. Check per cookie of deze pas na toestemming wordt geplaatst. Moderne tools kunnen automatisch scannen op privacy-issues in web- en app-ontwerp.

De Functionaris voor de Gegevensbescherming (FG) of Data Protection Officer (DPO) toetst of privacy by default correct wordt toegepast, adviseert ontwerpers en werkt mee aan DPIA's. De FG heeft geen vetorecht, maar moet worden geraadpleegd bij significante beslissingen. Het advies wordt vastgelegd, ook als de directie ervan afwijkt.