Privacy by design voor iedereen
Het is niet makkelijk om in te schatten wat de privacyrisico’s zijn van je nieuwe app, apparaat of dienst en wat je kunt doen om je toepassing privacyvriendelijk in te richten. Om dat goed te doen, heb je zowel juridische als technische kennis nodig. Om je daarmee te helpen, heeft Privacy Company – met steun van SIDN fonds en in nauwe samenwerking met SURF (de ICT-organisatie voor het hoger onderwijs en onderzoek) – een nieuwe website gebouwd: de Privacy Designer. Op de website staan gratis, praktisch toepasbare tools en een duidelijke uitleg van veel privacybegrippen.
Inventariseer privacyrisico’s met de Risk Mapper
De Risk Mapper bestaat uit een lijst van 25 vragen over je product of dienst. Door de vragen te beantwoorden, kun je zien of je waarschijnlijk een DPIA (Data Protection Impact Assessment) uit moet voeren, zoals bedoeld in artikel 35 van de Algemene Verordening Gegevensbescherming (AVG). Je krijgt een inschatting wat waarschijnlijk de drie belangrijkste privacyrisico’s zijn van jouw product of dienst, en welke Privacy by Design-strategieën je het beste kunt toepassen om die risico’s te verkleinen. De inschatting is gebaseerd op de criteria die de Autoriteit Persoonsgegevens heeft gepubliceerd, en op de algemene uitleg van de EU toezichthouders in hun richtsnoeren voor DPIAs
Maak je product of dienst privacyvriendelijker met de Design Builder
Via de Design Builder word je stap voor stap door de negen verschillende privacyontwerpstrategieën geloodst, en krijg je inzage in tactieken en technieken die je kunt toepassen om jouw dienst privacyvriendelijker te maken. Als eindresultaat heb je een document waarmee je kunt aantonen dat je goed hebt nagedacht in de ontwerpfase over de risico’s van je voorgenomen verwerking van persoonsgegevens.
Niet alleen technische maatregelen
Bij de woorden 'Privacy by Design' denk je misschien aan technische maatregelen zoals gescheiden opslaan, verbergen, versleutelen of aggregeren. Maar dat hoeft niet. Je kunt de verwerking van persoonsgegevens ook op andere manieren privacyvriendelijk maken. Nuffic, de organisatie voor internationalisering van het onderwijs, deed onlangs een aanbesteding voor een nieuw uitzendbureau. De personeelsmedewerkers vroegen zich af of ze zich niet per ongeluk lieten leiden door hun eigen vooroordelen en alle kandidaten wel een eerlijke kans kregen. Daarom wilden ze de CV’s van kandidaten voortaan ‘anoniem’ bekijken, dus zonder naam, geboortedatum, leeftijd, geboorteplaats en gender. Nuffic stelde anonimisering als eis in de aanbesteding. Niet echt ‘anoniem’ natuurlijk, want het uitzendbureau weet nog steeds wie ze naar Nuffic sturen, maar wel onherkenbaar gemaakt voor Nuffic. Het winnende uitzendbureau heeft een procedure ontworpen om de CV’s nu op die manier algemener te maken voor Nuffic, en het uitzendbureau kan dat nu ook voor alle andere opdrachtgevers. Met een relatief eenvoudige organisatorische maatregel heeft Nuffic dus veel meer bereikt dan alleen het privacyvriendelijker maken van de eigen processen. Natuurlijk is alleen het anonimiseren van de CV’s niet voldoende: alle medewerkers zijn aangemoedigd om hun eigen vooroordelen te onderzoeken en te verminderen, bijvoorbeeld door de implicit bias test van Harvard te doen.
Ontwikkeling van de privacy designer
Privacy Company gelooft in Do It Yourself: om via de tools een deel van het advieswerk overbodig te maken. Natuurlijk wil Privacy Company graag adviseren, maar iedereen zou de beginselen van de wet moeten kunnen begrijpen en toepassen. Maar hoe maak je zulke tools? Hoe voorkom je dat je in democratisch overleg een kameel ontwerpt terwijl je eigenlijk een paard wilde?
Sinds begin 2018 zijn medewerkers van SURF en Privacy Company in overleg over de opzet van de privacydesigner en de interactieve tools. Het team bestond uit juristen, privacy experts, programmeurs en ontwerpers. Het startpunt was het Privacy by Design Framework; een handige (en gratis) kaart met uitleg over zeven beginselen voor privacyvriendelijke verwerkingen. Risico is op papier makkelijk te vertalen in de formule; kans (dat het risico zich voordoet) maal impact (de ernst van de gevolgen voor de betrokkene). Maar in de dagelijkse dataprotectiepraktijk merk je dat het inschatten van de risico’s geen 'hard science' is en dat je geen zinvolle tool kunt bouwen die de risicoberekening op die manier invult. De risicoberekening in de Privacy Designer loopt op een andere manier, in lijn met de criteria voor het uitvoeren van een DPIA van de AP en de andere dataprotectietoezichthouders in de EU. Maar op basis van summiere feiten kun je tot een heel andere beoordeling komen van de ernst van de risico’s. Daarom bevat de Privacy Designer een disclaimer; je kunt geen bindend advies ontlenen aan het invullen van de vragen. Door het invullen van de Risk Mapper krijg je in ieder geval een indruk van de mogelijke risico’s, en kun je uitleg vinden over passende maatregelen.
Privacy van de privacy designer
En hoe privacyvriendelijk is de privacydesigner dan? Dat heeft het ontwikkelteam niet op het laatste moment besproken. Vanaf dag 1 was duidelijk dat er géén tracking cookies geplaatst of gelezen mochten worden, en dat de website géén bedrijfsvertrouwelijke informatie mocht verzamelen. De tools moesten écht gratis zijn, voor iedereen, zonder tegenprestatie. Het uitvoeren van die mooie beginselen ging niet zonder slag of stoot. Omdat we de antwoorden en uitslag niet verzamelen, is het lastiger om de tools te verbeteren. We wilden liefst helemaal geen cookies op de website, behalve telcookies van onze eigen server om het aantal bezoekers te turven. Maar zonder cookies riskeer je dat gebruikers tijdens het invullen alle data kwijtraken, omdat de server niet weet met wie hij praat. Uiteindelijk hebben we gekozen voor een Progressive Web App, die de berekeningen op jouw apparaat uitvoert, zonder terugkoppeling naar Privacy Company of SURF. We lossen het gebrek aan informatie op door je enquêtevragen voor te leggen.
Los daarvan horen we heel graag wat er goed ging, en wat niet. Vertel het ons graag via info@privacycompany.eu
Ga naar de Privacy Designer
