Privacy by design and by default

Bij het ontwerpen van een informatiesysteem moet rekening gehouden worden met privacy. Ook bij het verwerken van persoonsgegevens in een informatiesysteem moet hier rekening mee gehouden worden. Decentrale overheden moeten ingevolge de Algemene verordening gegevensbescherming (AVG) interne beleidsmaatregelen omtrent privacy nemen. Ook moeten zij maatregelen toepassen die voldoen aan de beginselen van gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen (privacy by design and privacy by default).

Privacy by design and by default

Technische en organisatorische maatregelen moeten worden genomen gedurende het gehele proces van het verwerken van persoonsgegevens (art. 25 AVG). Dus zowel op het tijdstip van de bepaling van het verwerkingsmiddel, als tijdens het verwerken zelf. Het doel van deze technische en organisatorische maatregelen is om de gegevensbeschermingsbeginselen op een doeltreffende manier uit te voeren. Bijvoorbeeld minimale gegevensverwerking. Daarnaast moeten de nodige waarborgen in de verwerking ingebouwd worden ter naleving van de AVG en ter bescherming van de rechten van de betrokkenen.

Op de themapagina privacy vindt u meer informatie over privacy en de Algemene verordening gegevensbescherming.

Technische en organisatorische maatregelen

Bij technische en organisatorische maatregelen kunt u denken aan:

• het pseudonimiseren;
• transparantie met betrekking tot de functies en de verwerking van de persoonsgegevens;
• het in staat stellen van de betrokkene om controle uit te oefenen op de informatieverwerking en;
• het in staat stellen van de verwerkingsverantwoordelijke om beveiligingskenmerken te creëren en te verbeteren.

Standaardinstellingen

Een decentrale overheid moet als verwerkingsverantwoordelijke passende technische en organisatorische maatregelen treffen om ervoor te zorgen dat in beginsel alléén persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifieke doel van verwerking (art. 25 lid 2 AVG). Dit geldt voor de hoeveelheid verzamelde gegevens, de mate waarin zij worden verwerkt, de periode waarvoor zij opgeslagen worden en de toegankelijkheid van de gegevens. In beginsel mogen de gegevens zonder menselijke tussenkomst niet voor een onbeperkt aantal personen toegankelijk gemaakt worden.

Certificeringsmechanisme

Een certificeringsmechanisme dat ingevolge artikel 42 AVG is goedgekeurd, zou gebruikt kunnen worden als element om aan te tonen dat aan de voorschriften voor gegevensverwerking door ontwerp en door standaardinstellingen voldaan is.

MEER WETEN OVER DE AVG?

Kijk ook op onze themapagina  of  Stel direct uw vraag