Print:

Designstrategieën voor een privacyvriendelijk IT-systeem

Steffie Bom, Tekstschrijver

LinkedIn profiel

Interview met Jaap-Henk Hoepman, Wetenschappelijk Directeur Privacy & Identity Lab

De Europese Privacy Verordening (EPV) bepaalt dat een IT-systeem moet voldoen aan de regels zoals opgenomen in de EPV. Kortom, gedurende het hele ontwikkelingsproces van producten en diensten moet rekening gehouden worden met privacy. “Makkelijker gezegd dan gedaan”, aldus Hoepman. “IT-systemen worden immers niet ontwikkeld door juristen maar IT’ers. Voor hen is het lastig een vertaalslag te maken tussen het juridische en de IT. Om hen hierin te ondersteunen hebben wij acht privacydesignstrategieën ontwikkeld. Per strategie hebben we de regels zoals die zijn opgenomen in de Wet Bescherming Persoonsgegevens (Wbp) en de EPV vertaald naar technische methodes en doelen, die voor de ontwerpers beter te begrijpen zijn.”

Strategie: Dataminimalisatie

De meest fundamentele privacydesignstrategie is die van dataminimalisatie. “Organisaties moeten het aantal persoonsgegevens dat zij verwerken zo minimaal mogelijk houden. Alleen de informatie die nodig is voor het doel waarvoor je het systeem ontwerpt, mag verwerkt worden. Door data te selecteren voordat je deze verwerkt, data te anonimiseren of te pseudonimiseren kun je systemen hierop inrichten”, legt Hoepman uit.

Strategie: scheiden persoonsgegevens

Een andere designstrategie is die van het scheiden van persoonsgegevens. Dit hangt ook samen met profilering, ofwel het verzamelen, analyseren en combineren van gegevens met als doel iemand in te delen in een bepaalde categorie. Dit is niet zonder meer toegestaan. “Er zijn meerdere methodes om gegevens te scheiden. Als organisatie kun je bijvoorbeeld persoonsgegevens die voor verschillende doelen worden verzameld, in gescheiden databases opslaan. Ook kun je in plaats van een gecentraliseerd systeem een gedecentraliseerd systeem ontwikkelen.”

Rol privacy officer

Het gros van de IT-systemen voldoet op dit moment niet aan de wettelijke regels op het gebied van privacy. Volgens Hoepman is het midden- en kleinbedrijf zich hier niet altijd van bewust. Er zijn ook bedrijven die zich er wel van bewust zijn, maar de kennis en resources niet hebben om het up-to-date te brengen. Dat vergt immers een behoorlijke investering. Volgens Hoepman ligt hier een grote rol voor privacy officers weggelegd. “Privacy officers zijn verantwoordelijk voor het privacybeleid en moeten ervoor zorgen dat privacy ook daadwerkelijk wordt ingebed in alle systemen. Ook met het oog op de sinds 1 januari geldende meldplicht datalekken. Het hebben van gegevens is tegenwoordig een additioneel risico. Als je de gegevens niet nodig hebt, verzamel ze dan ook niet. Zo verminder je risico’s en ook operationele kosten.”

Issues

Dat een bestaand IT-systeem niet van de een op de andere dag ‘privacy proof’ kan worden gemaakt, realiseert Hoepman zich terdege. Daarbij kan het aanpassen of aanschaffen van een nieuw systeem een zeer kostbare aangelegenheid zijn, zeker als het businessmodel van een organisatie gebaseerd is op het gebruiken van persoonsgegevens. Daar komt bij dat organisaties voor wat betreft de IT vaak afhankelijk zijn van leveranciers en software. Een softwarepakket verzamelt in de meeste gevallen meer gegevens dan een organisatie nodig heeft. Aanpassen kan doorgaans niet.

“Dit is zeker een issue en ik heb hier ook niet direct een oplossing voor. Realiseer je echter wel dat klanten steeds vaker vragen om een privacyvriendelijk systeem. Het is dus niet alleen een vereiste vanuit de wet maar ook een sterke wens vanuit de markt. Het kan echt van meerwaarde zijn voor een organisatie.”

Vooruit denken

Wat Hoepman met name belangrijk vindt is dat een organisatie vooruit kijkt. Het maakt daarbij niet uit of het gaat om het ontwerpen van nieuwe systemen of het aanpassen van bestaande systemen. “Stel jezelf de vraag waar een systeem over vijf of tien jaar voor gebruikt gaat worden? Kan de dienst of het product binnen dit systeem meegroeien? Stel een aantal mogelijke scenario’s op en ontwerp op basis hiervan een basisarchitectuur die met het product en de organisatie mee kan groeien.” Natuurlijk kan niemand in de toekomst kijken, maar dat mag geen excuus zijn om de verantwoordelijkheden op het gebied van privacy af te wentelen.

Tijdens het Nationaal Dataprotectie & Privacycongres op 14 september a.s. vertelt Jaap-Henk Hoepman in een afsluitende key-note meer over de acht privacydesignstrategiën die hij en zijn team hebben ontwikkeld.

Wij gebruiken cookies om IIR.nl gemakkelijk te maken. Bezoekt u onze website, dan gaat u akkoord met deze cookies meer informatie

De cookie-instellingen op deze website zijn ingesteld op 'toestaan cookies "om u de beste surfervaring mogelijk. Als u doorgaat met deze website te gebruiken zonder het wijzigen van uw cookie-instellingen of u klikt op "Accepteren" hieronder dan bent u akkoord met deze instellingen.

Sluiten