Normity

Privacy by design (ook wel Data Protection by Design) is een ontwerpprincipe uit de AVG (artikel 25) dat privacy al vanaf de eerste schets van een product, dienst of proces meeneemt, in plaats van achteraf toe te voegen. De zeven grondprincipes — onder andere dataminimalisatie, transparantie en end-to-end beveiliging — zijn oorspronkelijk ontwikkeld door Ann Cavoukian in 1995.

Ja. Onder artikel 25 AVG zijn verwerkingsverantwoordelijken verplicht passende technische en organisatorische maatregelen te nemen die privacy borgen vanaf het ontwerp en standaard ('by design and by default'). Dat geldt voor elk nieuw systeem, elke nieuwe dienst en elke nieuwe verwerking. De Autoriteit Persoonsgegevens toetst hierop.

Privacy by design gaat over het hele ontwerpproces: privacy zit er vanaf de eerste schets in. Privacy by default gaat specifiek over de standaardinstellingen: bij aanvang mogen alleen de minimaal noodzakelijke gegevens worden verwerkt, totdat de betrokkene zelf meer toestaat. Beide zijn verplicht onder AVG artikel 25.

De zeven principes van Cavoukian: 1) proactief, niet reactief, 2) privacy als standaardinstelling, 3) privacy ingebed in het ontwerp, 4) volledige functionaliteit (positive-sum, niet zero-sum), 5) end-to-end beveiliging, 6) zichtbaarheid en transparantie, 7) respect voor de privacy van gebruikers. Samen vormen ze een ontwerpfilosofie.

Begin met een DPIA of privacy-scan vóór het ontwerp. Inventariseer welke persoonsgegevens nodig zijn en minimaliseer. Werk standaardinstellingen uit naar de meest privacy-vriendelijke optie. Kies architectuurkeuzes die pseudonimisering en encryptie ondersteunen. Documenteer afwegingen en betrek privacy-experts vanaf het begin, niet als review achteraf.

Een DPIA (Data Protection Impact Assessment) is een voorgeschreven risicoanalyse voor verwerkingen met hoge privacyrisico's. De DPIA is een belangrijke uitvoering van privacy by design: je identificeert risico's voor betrokkenen, weegt maatregelen af en documenteert waarom je ontwerpkeuzes hebt gemaakt. Vaak verplicht bij grootschalige verwerking, monitoring of nieuwe technologie.

Pseudonimisering (gegevens koppelen via ID zonder directe identificatie), encryptie (bij opslag en transport), dataminimalisatie (alleen wat nodig is), access control (wie mag wat), logging en monitoring (misbruik detecteren), automatische verwijdering na bewaartermijn en safe defaults bij cookies en tracking. De AVG noemt deze expliciet als voorbeelden.

ISO 27701 bevat privacy by design als expliciete control. Een ISO 27701-gecertificeerde organisatie kan aantoonbaar maken dat privacy in het ontwerpproces is meegenomen. Dat is ook belangrijk voor AVG-compliance: privacy by design is geen eenmalig project, maar een structurele werkwijze die systematisch moet worden geborgd.