Dataminimalisatie en pseudonimisering

Hoe neem ik privacy mee bij het ontwikkelen van een dienst of in mijn dagelijkse werkzaamheden? En welke bijpassende securitymaatregelen zijn er in een specifiek geval geschikt? Denk je nu “wat een goede vragen, maar ik heb geen idee”, geen nood! Wij, Sophia van het privacyteam en Helma van het securityteam, nemen je in deze en de komende blogposts mee en leggen uit hoe je beide aspecten volgens Privacy by Design tackelt. Privacy by Design betekent dat je privacybescherming bij het ontwerp van je systeem of dienst meeneemt. Een belangrijk onderdeel van Privacy by Design is het beveiligen van je persoonsgegevens met securitymaatregelen. In dit artikel behandelen we dataminimalisatie pseudonimisering: niet

Wat is dataminimalisatie?

Als je gegevens over personen niet anoniem kunt verzamelen, zijn er andere maatregelen om ervoor te zorgen dat je ze op een veilige manier verwerkt. De eerste twee daarvan zijn dataminimalisatie en pseudonimisering, en die behandelen we in dit artikel.

Dataminimalisatie gaat er, net zoals anonimisering, vanuit dat je niet kan kwijtraken wat je niet verzamelt. Als je dus persoonsgegevens moet verwerken, verwerk er dan niet meer dan je echt nodig hebt om je doel te bereiken. Klinkt simpel, toch? Het hoeft inderdaad niet ingewikkeld te zijn, als je je bewust bent van je doelen en verwerkingen, en bereid bent daar kritisch naar te kijken. Als je doel is om erachter te komen hoe tevreden de bezoekers van een evenement waren, is het bijvoorbeeld niet nodig om naar hun gender te vragen. We kennen ook allemaal wel de webformulieren die vragen naar je geboortedatum, telefoonnummer en de naam van je eerste jeugdliefde, terwijl je alleen een nieuwe toiletborstel aan het bestellen bent. Voor de functionaliteit van sommige applicaties is het zelfs helemaal niet nodig om de naam of het e-mailadres van een gebruiker te weten en kan je volstaan met een willekeurig identificatienummer om de gebruiker van andere gebruikers te onderscheiden.

Pseudonimisering: niet weten over wie de gegevens gaan.

Dat brengt ons op de volgende maatregel: pseudonimisering. Dit betekent dat je niet weet over wie bepaalde gegevens gaan, doordat je de gegevens waaruit dat zou blijken, verbergt. Een voorbeeld (waar de maatregel zijn naam aan ontleent) is het gebruiken van een pseudoniem om (een set) gegevens aan te koppelen, in plaats van iemands echte naam. Je hebt bij pseudonimisering dus aanvullende data nodig om erachter te komen van wie gegevens zijn. Deze aanvullende data kunnen bij een collega aanwezig zijn, bij je leidinggevende of bij een ander team. Belangrijk is dat je geen toegang hebt tot meer gegevens dan nodig is om je werk te kunnen doen. Als je bijvoorbeeld informatie nodig hebt over het gebruik van een applicatie kan het genoeg zijn om een overzicht van het type gebruikers en leeftijdscategorieën te ontvangen, in plaats van de hele gebruikerslijst.

Een ander voorbeeld van samenhang tussen dataminimalisatie en pseudonimisering: je werkt voor een onderzoek naar reistijd en de relatie met studiesucces daadwerkelijk met de reistijd in plaats van met postcode (maximaal vier cijfers) of plaatsnaam. Nadat je de reistijd hebt uitgerekend, gooi je rekengegevens (postcode, plaatsnaam) weg. Daarmee voldoe je aan dataminimalisatie èn er is minder kans op onbedoelde bijeffecten, zoals stigmatisering van studenten uit een bepaald postcodegebied. Dit is een vorm van pseudonimisering die helpt bij het beschermen van personen uit een bepaalde groep.

Wegvallende bescherming

Als je gegevens niet kunt beschermen, moet je ze niet verzamelen. Zorg er daarom voor dat je gegevens altijd zo verzamelt dat  er beschermingsmaatregelen zijn die passen bij het risico dat je loopt. Soms is daar een speciale applicatie voor nodig. Zulke applicaties bieden betere bescherming dan bijvoorbeeld een los Excelbestand. Het is ook van belang om gegevens niet zomaar uit zo’n applicatie te halen (export maken en mailen, USB-stick, etc.), omdat dan die bescherming wegvalt. Zorg dus dat iedereen die dat nodig heeft toegang tot de applicatie krijgt (met de juiste autorisaties).

Tips voor dataminimalisatie en pseudonimisatie

• Verzamel minder
  Bepaal van tevoren goed welke gegevens je wel en niet  nodig hebt, en stel voor beide categorieën lijsten op. Bijvoorbeeld: vraag niet naar geboortedatum als je alleen de leeftijd nodig hebt. Gooi gegevens die je onbedoeld ontvangt meteen weg.
• Bewaar minder
  Je kunt niet alleen dataminimalisatie toepassen bij het verzamelen van gegevens, maar ook als je ze al hebt. Verwijder en vernietig gegevens die je niet langer nodig hebt. Er zijn technieken om dit geautomatiseerd te doen op een bepaald moment.
• Gebruik categorieën
  Verwerk niet de gegevens zelf, zoals geboortedatum of adres, maar categoriseer de gegevens en toon alleen de categorieën, zoals leeftijdscategorie of woonplaats. Zo maak je groepsprofielen. Vergeet niet om bij gegevens over kleine aantallen een drempelwaarde te bepalen voordat bepaalde informatie wordt getoond. Denk aan rapportages van Effectory op afdelingsniveau.
• Houd de sleutel apart
  Als je pseudonimiseert, is het van belang dat derden de manier van pseudonimisering (de “sleutel”) niet kennen. Bewaar gegevens en sleutel niet bij elkaar.
• Voeg ruis toe
  Je maakt gegevens abstracter door het detail te verminderen (gebruik niet de precieze waarde maar een benadering van de waarde), bijvoorbeeld door niet precieze locatiegegevens te gebruiken.

Vraag hulp

​​​​​​​Pseudonimiseren is – net als anonimiseren – vaak een taak voor de techneut. Vraag dus om ondersteuning zodat je de juiste keuzes maakt.

Na de eerste stappen van het framework anonimiseren, data minimaliseren en pseudonimiseren heb je daadwerkelijk gegevens verzameld. Die moeten adequaat en op het juiste risiconiveau worden beschermd. De belangrijkste bescherming is encryptie. Meer informatie hierover vind je in dit artikel.