Privacy by default

Hoe neem ik privacy mee bij het ontwikkelen van een dienst of in mijn dagelijkse werkzaamheden? En welke bijpassende securitymaatregelen zijn er in een specifiek geval geschikt? Denk je nu “wat een goede vragen, maar ik heb geen idee”, geen nood! Wij, Sophia van het privacyteam en Helma van het securityteam, nemen je in deze en de komende blogposts mee en leggen uit hoe je beide aspecten volgens Privacy by Design tackelt. Privacy by Design betekent dat je privacybescherming bij het ontwerp van je systeem of dienst meeneemt. Een belangrijk onderdeel van Privacy by Design is het beveiligen van je persoonsgegevens met securitymaatregelen. In dit artikel behandelen we privacy by default.

Wat is Privacy by Default?

De Privacy by Design-principes komen uit de koker van Ann Cavoukian. Zij geeft aan dat Privacy de default moet zijn, het is de essentie van Privacy by Design:

“I say don't rely just on laws and regulatory compliance. Bake it into the code, into the technology, into the design of your operations, into your policies.”

Bij Privacy by Default zorg je ervoor dat de instellingen van een dienst of activiteit standaard (‘by default’) zo zijn, dat persoonsgegevens automatisch worden beschermd zonder dat mensen daar iets voor hoeven te doen. Zo verwerk je alleen gegevens voor zover dat noodzakelijk is voor je doel. Het is dus eigenlijk een toepassing van het beginsel van dataminimalisatie gefocust op de standaardinstellingen of standaardinrichting van een dienst of proces. Je moet hier rekening houden wanneer je bepaalt:

• Hoeveel gegevens je gaat verwerken, bijvoorbeeld hoeveel soorten gegevens en op welk detailniveau.
• De manier waarop je gegevens gaat verwerken. Als je bijvoorbeeld voor een doel leeftijden nodig hebt, mag je deze niet zomaar ook voor een ander doel gebruiken.
• Hoe lang je de gegevens gaat verwerken. Het uitgangspunt is: alleen zo lang je de gegevens echt nodig hebt.
• Wie er toegang hebben tot de gegevens.

Actieve keuze

Een voorbeeld van zo’n standaardinstelling: berichten die gebruikers op een sociaal platform plaatsen zijn standaard niet openbaar zichtbaar of vindbaar in zoekresultaten van zoekmachines zoals Google. Voor sommige platformen is het immers helemaal niet nodig dat berichten zichtbaar of vindbaar zijn voor mensen die zelf geen gebruiker op het platform zijn. Denk aan platforms die gericht zijn op het bespreken van gevoelige informatie (bijvoorbeeld lotgenoten van een bepaalde ziekte). Een ander voorbeeld is het toepassen van data masking in een applicatie. Zo kan de ene medewerker wel een bsn of compleet creditcardnummer lezen, terwijl een andere medewerker een asterisk ziet in plaats van die getallen (612****). Het is wel mogelijk om mensen de mogelijkheid te bieden meer van hun gegevens te delen dan strikt noodzakelijk, maar dit moet een actieve keuze zijn, en niet de standaardinstelling.

Security levert ook een bijdrage aan Privacy by Default; bijvoorbeeld de inhoud van de chats van WhatsApp zijn standaard versleuteld; je hoeft daar zelf niets voor in te stellen. Eigenlijk valt dit technisch gezien meer onder ‘Security by Default’, maar met een gelijk effect. Hetzelfde geldt voor adequaat toegangsbeheer.

Cookies 

Waar het toepassen van Privacy by Default nog wel eens misgaat, is bij het inrichten van een cookiebanner. De optie om onnodige cookies te plaatsen, zoals tracking cookies die worden gebruikt om je op basis van gedrag advertenties te kunnen tonen, moeten volgens Privacy by Default standaard uitstaan. Omdat er in de online advertentiemarkt ontzettend veel geld omgaat, kleuren organisaties langs de randjes om zoveel mogelijk inkomsten te houden. Bij veel websites is het nog zo dat je zelf alle tracking cookies moet uitzetten, omdat ze standaard gewoon worden geplaatst, soms zelfs al voordat je ze kan weigeren.

Dark Patterns

Dit kan nog verder gaan, als websites ‘dark patterns’ gebruiken om je gedrag op zo’n manier te beïnvloeden dat je keuzes maakt die eigenlijk niet je bedoeling waren. Dit gebeurt bijvoorbeeld door een grote, groene knop voor accepteren van cookies te tonen ten opzichte van een kleine, verstopte weigerknop, of door je te overladen en te verwarren met allemaal knoppen en opties. Op deze manier proberen organisaties ervoor te zorgen dat je zo veel mogelijk gegevens afstaat, in plaats van juist te voorkomen dat ze onnodige gegevens verwerken.

Als je zelf wilt ervaren welke invloed de slechte inrichting van een website kan hebben, kun je proberen een formulier in te vullen op userinyerface.com.

Tips

• Check of je bij het implementeren van functionaliteit en securitytechnieken voldoende hebt gekeken naar het meenemen van standaardinstellingen voor privacy: “privacy first”.
• Geef de gebruiker de keuze tot opt-in als je meer wilt verzamelen dan strikt noodzakelijk, in plaats van opt-out (cookies afwijzen, de gebruiker zelf laten kiezen welke gegevens hij in een profiel wil tonen).
• Geef de gebruiker controle via een dashboard in het account met de mogelijkheid tot inzage (welke gegevens zijn er, hoe ze worden verwerkt, waarvoor en met wie dit wordt gedeeld, correctie en verwijdering).
• Zorg ervoor dat je transparant bent over wat je doet met persoonsgegevens, zodat gebruikers begrijpen wat er gebeurt en waarom. Ze mogen later niet verrast zijn met wat er met de gegevens wordt gedaan. Verwerk dus geen extra gegevens tenzij de betrokkene daar zonder druk toestemming voor heeft gegeven.
• Leg vast welke personen in een organisatie welke persoonsgegevens mogen gebruiken.
• Een aantal concrete tips:
  • Vraag niet om de geboortedatum als je kunt volstaan met leeftijd.
  • Toon een pasfoto alleen in die modules van een applicatie waar de foto noodzakelijk is voor identificatie, voor het onderwijs bijvoorbeeld in de module voor aan- en afwezigheidsregistratie en niet in het bibliotheeksysteem.
  • Pseudonimiseer data zodra dat kan.
  • Verwijder persoonsgegevens automatisch zodra dat kan.
  • Blokkeer de toegang tot gegevens automatisch zodra iemand geen toegang meer nodig heeft.
  • Laat waar mogelijk de gebruiker kiezen of bepaalde gegevens voor een bepaald doel mogen worden gebruikt.
  • Zorg voor toegang op basis van need-to-know, least privilege.
  • Gebruik voor analytics van websites het privacyvriendelijk in te richten PiwikPro en niet b.v. Google Analytics.
  • Kies voor (leveranciers met) opslaglocaties in de EU.
  • Zorg ervoor dat gebruikers van software niet zelf onnodige functies moeten uitschakelen.

In dit artikel gaan we kijken naar hoe je weer van je gegevens afkomt als je er klaar mee bent: verwijderen en bewaartermijnen.