Definitie: Privacy by design betekent dat je de bescherming van persoonsgegevens vanaf het eerste ontwerp in software, processen en producten inbouwt, in plaats van achteraf toe te voegen. In de AVG is dit vastgelegd in artikel 25, samen met privacy by default: de privacyvriendelijkste instelling is standaard.
In het kort
- Artikel 25 van de AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen bij het ontwerp en de standaardinstellingen van systemen.
- Het concept is ontwikkeld door Ann Cavoukian, voormalig Information and Privacy Commissioner van de Canadese provincie Ontario, die er zeven grondbeginselen voor formuleerde.
- Praktische maatregelen zijn onder meer dataminimalisatie, rollen en rechten, versleuteling, bewaartermijnen en logging.
- Privacy by design is goedkoper en betrouwbaarder dan privacy achteraf toevoegen aan een bestaand systeem.
Wat is privacy by design?
Privacy by design is een manier van ontwerpen waarbij privacy een vast uitgangspunt is, net als gebruiksgemak of beveiliging. Bij elke keuze in een systeem stel je de vraag: welke persoonsgegevens zijn hiervoor echt nodig, wie mag ze zien, hoe lang bewaren we ze en hoe beschermen we ze?
Privacy by design is geen eenmalige controle, maar een werkwijze die je bij elke uitbreiding opnieuw toepast. Het tegenovergestelde is privacy achteraf: eerst bouwen, dan kijken of het aan de regels voldoet. Dat leidt vaak tot dure aanpassingen, of tot systemen waarin te veel gegevens zijn opgeslagen die je eigenlijk niet nodig had.
Privacy by design en privacy by default
Artikel 25 van de AVG heet “gegevensbescherming door ontwerp en door standaardinstellingen”. Het bevat twee verplichtingen:
- Privacy by design. Bij het ontwerpen van een systeem of proces neem je maatregelen die de beginselen van de AVG effectief uitvoeren, zoals dataminimalisatie. Je kijkt daarbij naar de stand van de techniek, de kosten en de risico’s voor betrokkenen.
- Privacy by default. Standaard worden alleen de persoonsgegevens verwerkt die nodig zijn voor het doel. Gegevens zijn standaard niet voor een onbeperkt aantal mensen toegankelijk. Een gebruiker hoeft dus niet zelf instellingen aan te passen om zijn privacy te beschermen.
De zeven beginselen van Ann Cavoukian
Het concept privacy by design werd in de jaren negentig ontwikkeld door Ann Cavoukian. Zij beschreef zeven grondbeginselen:
- Proactief, niet reactief. Voorkom privacyproblemen in plaats van ze achteraf op te lossen.
- Privacy als standaardinstelling. Persoonsgegevens zijn automatisch beschermd, zonder actie van de gebruiker.
- Privacy ingebed in het ontwerp. Privacy is een onderdeel van het systeem, geen toevoeging.
- Volledige functionaliteit. Privacy en functionaliteit gaan samen; het is geen keuze tussen het een of het ander.
- Bescherming gedurende de hele levenscyclus, van verzamelen tot verwijderen.
- Zichtbaarheid en transparantie. Het is duidelijk wat er met gegevens gebeurt, en dat is controleerbaar.
- Respect voor de gebruiker. De belangen van de betrokkene staan centraal.
Praktische maatregelen in software
| Maatregel | Wat het betekent |
|---|---|
| Dataminimalisatie | Vraag en bewaar alleen gegevens die nodig zijn voor het doel |
| Rollen en rechten | Medewerkers zien alleen de gegevens die ze voor hun taak nodig hebben |
| Versleuteling | Gegevens zijn versleuteld tijdens verzending en waar nodig in opslag |
| Pseudonimisering | Gegevens worden losgekoppeld van directe identificatie waar dat kan |
| Bewaartermijnen | Gegevens worden automatisch verwijderd of geanonimiseerd na een vaste termijn |
| Logging | Vastleggen wie welke gegevens heeft ingezien of gewijzigd |
| Privacyvriendelijke standaardinstellingen | Optionele gegevensdeling staat standaard uit |
| Rechten van betrokkenen | Inzage, correctie en verwijdering zijn technisch mogelijk |
| Verwerkersafspraken | Externe diensten die gegevens verwerken, zijn vastgelegd en beoordeeld |
Wat is een DPIA?
Een DPIA, of gegevensbeschermingseffectbeoordeling, is een analyse van de privacyrisico’s van een verwerking en de maatregelen om die risico’s te beperken. Volgens de AVG is een DPIA verplicht als een verwerking waarschijnlijk een hoog risico oplevert voor de betrokkenen, bijvoorbeeld bij grootschalige verwerking van gevoelige gegevens, stelselmatige monitoring of geautomatiseerde besluitvorming met grote gevolgen. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA in elk geval nodig is. Ook als een DPIA niet verplicht is, helpt de werkwijze om bewust keuzes te maken.
Privacy by design in een softwareproject
- Breng in kaart welke persoonsgegevens het systeem verwerkt, van wie, voor welk doel en op welke grondslag.
- Schrap wat niet nodig is. Elk veld in een formulier moet een reden hebben.
- Bepaal rollen en rechten voordat de schermen worden ontworpen.
- Kies hosting en diensten bewust. Waar staan de gegevens, en welke partijen hebben er toegang toe?
- Leg bewaartermijnen vast en bouw het verwijderen in.
- Maak rechten van betrokkenen uitvoerbaar, zoals een export of verwijdering op verzoek.
- Voer een DPIA uit als de verwerking een hoog risico kan opleveren, bijvoorbeeld bij gevoelige gegevens of grootschalige monitoring.
- Test en controleer of de maatregelen werken, ook na latere uitbreidingen.
Voorbeelden van privacy by design
- Een offerteformulier vraagt alleen naam, e-mailadres en de aanvraag. Geboortedatum en adres worden pas gevraagd als het nodig is voor de opdracht.
- Een klantportaal toont elke klant alleen zijn eigen documenten. Medewerkers zien alleen klanten van hun eigen team.
- Een planningssysteem toont monteurs het adres van een opdracht pas op de dag van uitvoering, en verbergt het na afronding.
- Een sollicitatiesysteem verwijdert gegevens van afgewezen kandidaten automatisch na vier weken, tenzij de kandidaat toestemming geeft om ze langer te bewaren.
- Een nieuwsbrief heeft de optie voor extra marketing standaard uitgevinkt.
- Een rapportage toont totalen en trends zonder namen, omdat het management die niet nodig heeft.
Privacy by design en AI
Bij toepassingen met AI krijgt privacy by design een extra laag. Een taalmodel krijgt vaak tekst te verwerken waarin persoonsgegevens staan, zoals mails, notities of documenten. Ga daarom na:
- Welke gegevens gaan naar de AI-dienst? Stuur alleen wat nodig is voor de taak, en verwijder of vervang namen waar dat kan.
- Waar wordt het verwerkt? Binnen of buiten de Europese Unie, en onder welke voorwaarden?
- Wordt de invoer gebruikt voor training? Veel zakelijke diensten bieden afspraken waarin dat is uitgesloten.
- Wordt de uitvoer bewaard? En zo ja, hoe lang en door wie?
Waarom privacy by design loont
- Lagere kosten. Aanpassingen in het ontwerp zijn goedkoper dan aanpassingen in een werkend systeem.
- Minder risico. Minder opgeslagen gegevens betekent minder schade bij een datalek.
- Vertrouwen. Klanten en medewerkers weten dat er zorgvuldig met hun gegevens wordt omgegaan.
- Naleving. De AVG vraagt erom, en de Autoriteit Persoonsgegevens kan boetes opleggen bij overtredingen.
- Eenvoudiger systeem. Minder gegevens en duidelijke rechten maken software vaak ook overzichtelijker.
Veelgemaakte fouten
- Gegevens verzamelen “voor het geval dat”. Elk extra veld is extra verantwoordelijkheid.
- Iedereen beheerder maken. Brede rechten zijn handig tijdens de bouw, maar worden vaak niet meer ingeperkt.
- Geen bewaartermijn. Zonder automatische verwijdering blijven gegevens jarenlang staan.
- Testen met echte klantgegevens. Gebruik testgegevens of geanonimiseerde kopieën in ontwikkel- en testomgevingen.
- Externe diensten vergeten. Een formulierentool, mailingdienst of AI-koppeling verwerkt ook persoonsgegevens en hoort in de afweging.
Wat betekent dit voor jouw project?
Als ik naar een proces kijk, vraag ik wat er binnenkomt, wie ermee verder moet en welke informatie die persoon nodig heeft. Die laatste vraag is in feite privacy by design: niet iedereen hoeft alles te zien. In de blauwdruk leg ik rollen en afhankelijkheden vast, zodat duidelijk is wie welke gegevens ziet voordat er gebouwd wordt.
Bij TaskZen, een klant- en werkomgeving, draait het om de vraag wie een bericht ziet, wie moet reageren en wat aandacht vraagt. Dat zijn dezelfde vragen die bepalen welke gegevens bij welke gebruiker terechtkomen.
Wil je zeker weten dat je nieuwe applicatie vanaf het begin zorgvuldig met persoonsgegevens omgaat? Stuur me voor wie het is, welke gegevens erin komen en wie ermee werkt. Dan bepalen we samen de logische eerste stap.
Veelgestelde vragen over privacy by design
Wat is privacy by design?
Privacy by design betekent dat je de bescherming van persoonsgegevens vanaf het eerste ontwerp inbouwt in software, processen en producten, in plaats van achteraf. In de AVG staat dit in artikel 25.
Wat is het verschil tussen privacy by design en privacy by default?
Privacy by design gaat over het ontwerp: je bouwt maatregelen zoals dataminimalisatie en rechten in. Privacy by default gaat over de standaardinstellingen: standaard worden alleen de gegevens verwerkt die nodig zijn.
Is privacy by design verplicht?
Ja. Artikel 25 van de AVG verplicht organisaties die persoonsgegevens verwerken om gegevensbescherming door ontwerp en door standaardinstellingen toe te passen, passend bij de risico’s van de verwerking.
Verwante termen
AVG · DPIA · Maatwerk software · Webapplicatie · Klantportaal · Datamigratie · Interne tool
← Terug naar de kennisbank