Wat voor weer wordt het vandaag? Start een weer-app en je krijgt het actuele weerbericht voor de locatie waar je je nu bevindt. Boek uit en toe aan een nieuwe? ‘Anderen die hetzelfde boek hebben gelezen, adviseren u deze nieuwe titel. Accepteer onze cookies en u krijgt de volledige functionele website’. Van eenvoudige, dagelijks voorbeelden tot en met fundamenteel onderzoek: gegevens zijn belangrijk voor innovatie, waarde-creatie en personalisatie.
Een deel van die gegevens zijn persoonlijke gegevens. Gegevens die mij kunnen identificeren, die over mij gaan, of door mij zijn gemaakt. Om alle voordelen van gegevensverwerking mogelijk te maken, moet er vertrouwen zijn. Vertrouwen in degene met wie ik mijn gegevens deel, en vertrouwen in de beveiliging van die gegevens.
Wetgeving helpt mee om dat vertrouwen te onderbouwen. Want er kan en mag wel veel met gegevens, maar dan moeten er een aantal zaken goed geregeld zijn. In Nederland hebben we nu de Wet bescherming persoonsgegevens (WBP). De WBP wordt per 25 mei 2018 vervangen door de nieuwe Algemene verordening gegevensbescherming (AVG). De AVG is de Nederlandse implementatie van de Europese General Data Protection Regulation (GDPR), welke in 2016 door de EU is aangenomen.
Recht op privacy
In Nederland is het recht op privacy in Artikel 10 van de grondwet opgenomen. De AVG is een belangrijke stap voor de fundamentele principes privacy, beveiliging, compliance en transparantie. Onze privacyrechten worden erin beschermd, en we krijgen meer mogelijkheden om controle te houden over onze persoonlijke gegevens.
Ook laat de wet ruimte voor belangrijke en positieve mogelijkheden van gegevens. Voor mij, als individu, is het belangrijk te weten welke rechten de AVG aan mij geeft. Voor bedrijven die persoonlijke gegevens verwerken, is het belangrijk te weten wat de regelgeving aan verplichtingen brengt. De handhaving van de AVG gaat over een jaar echt beginnen. Daarom werken bedrijven nu aan de invoering van maatregelen waarmee aan de verplichtingen is te voldoen.
Moeten en willen
Organisaties die persoonlijke gegevens verzamelen of verwerken, kunnen de AVG zien als een extern opgelegde verplichting. Dat is natuurlijk prima, iedereen moet sowieso aan de wet voldoen. Maar een organisatie kan zich ook differentiëren, door de gedachte achter de wet te internaliseren en leidend te maken, namelijk dat veiligheid, transparantie en rechten voor het individu wiens gegevens worden verzameld en verwerkt, vooropstaan.
De voorwaarden en verplichtingen uit de AVG ondersteunen het maatschappelijk en zakelijk vertrouwen in technologie. We kunnen wel naar de AVG kijken als een extern opgelegde verplichting, maar we moeten er vooral ook naar kijken als de door onszelf, en door gebruikers van onze technologie gevraagde zekerheden. En dan is het logisch om aan de AVG te wíllen voldoen.
Begin nu
Hoe dan ook, in elk geval moeten we beginnen. Of eigenlijk al begonnen zijn. Want alle organisaties die persoonlijke gegevens verwerken van EU-ingezetenen, moeten rekening houden met de AVG. De Autoriteit Persoonsgegevens (AP) gaat toezicht houden op de AVG en helpt met tien basisstappen voor de voorbereiding.
De AVG is geen eenvoudige wetgeving. En voor een aantal clausules zijn de duidingen en interpretaties nog niet eensgezind. Wat wel helder is, is dat er meer nadruk ligt op de eigen verantwoordelijkheid van organisaties. Zo moet men kunnen aantonen dat er zorgvuldig met persoonsgegevens wordt omgaan (accountability). De AP noemt dat een documentatieplicht. U moet bijhouden en aantonen dat de verwerking van persoonsgegevens in uw organisatie in overeenstemming met de AVG verloopt. Ook hier geldt dat het enerzijds móet, maar anderzijds ook dat transparantie over het goed regelen een positieve waarde is richting uw klanten. Positief concurreren op veiligheid en transparantie, daar wordt iedereen in de markt beter van.
Uit de documentatieplicht volgt dat verwerkers van persoonsgegevens een goed en volledig overzicht moeten hebben van de systemen die de gegevens verwerken. En men moet een goed beeld hebben van toegang tot die systemen, de handelingen op de gegevens, en inzicht in de kwaliteit van de beveiliging van die systemen.
Alles van waarde
‘Alles van waarde is weerloos’, stelde Lucebert. Maar met de moderne beveiligingsmogelijkheden zijn deze waardevolle gegevens zeker niet meer weerloos. Oude digitale beveiliging richtte zich op de voordeur van systemen. Moderne beveiliging richt zich daarnaast ook op de gegevens zelf. Beschermen, detecteren en reageren is het adagio.
De AVG gaat wat van ons vergen. Tijd, geld, en middelen. Maar de AVG is vooral een nodige modernisering van de wetgeving, die een kans biedt om maatschappelijk vertrouwen in technologie te versterken, en een gelegenheid de beveiliging van waardevolle gegevens te verbeteren.
Hans Bos, national technology officer Microsoft Nederland
