VINT-onderzoekers pleiten voor privacy by design-benadering

Data-gedreven organisaties en instellingen moeten van meet af aan adequate privacymaatregelen nemen en consumenten hierin proactief en eenvoudig inzicht geven. Dit is voor een groot deel een design- en technologiekwestie. Privacy moet ingebakken zijn in het ontwerp. Dit concluderen onderzoekers van VINT, onderdeel van Sogeti, in het rapport Privacy, technologie en de wet. De onderzoekers geven zeven aanbevelingen voor de omgang met grote hoeveelheden data in relatie tot privacy.

De explosieve groei van digitale persoonlijke informatie geeft organisaties de mogelijkheid het gedrag van mensen constant te monitoren en te voorspellen. Deze ontwikkeling van big data en zijn toepassingen zetten privacy op scherp. Volgens schrijver Gabriel García Márquez heeft elk mens drie soorten levens: een publiek leven, een privéleven en een geheim leven. VINT pleit voor een goede balans tussen de belangen van organisaties en individuen zodat iedereen kan profiteren van big data.

De eerste ontkenning van de relevantie van de digitale-privacydiscussie kwam van Scott McNealy, indertijd ceo van Sun Microsystems.

‘You already have zero privacy – get over it’.

Dit zei McNealy in 1999 bij de introductie van Jini, software bedoeld om een groot aantal verschillende devices aan elkaar te koppelen. Een decennium later, aan het begin van 2010, nam Mark Zuckerberg, de ceo van Facebook, een vergelijkbare positie in door in een interview met TechCrunch te stellen dat privacy niet langer de sociale norm was:

‘Toen we in 2003 begonnen met Facebook op mijn kamer in Harvard vroegen we ons af of mensen wel informatie op internet zouden gaan zetten. Maar in een paar jaar tijd waren de normen rondom privacy compleet veranderd. En wij gaan gewoon met onze tijd mee.’

Privacy by design

Bedrijven en instellingen moeten volgens de onderzoekers hun verantwoordelijkheid nemen bij het omgaan met big data. Dat moet beginnen voordat verzameling en verwerking van data plaatsvindt en door te handelen op basis van privacy by design, het van meet af aan inbouwen van bescherming van persoonsgegevens. Zo kunnen organisaties zich afvragen met welk doel welke informatie wordt verzameld. Moet de smart meter van een energiebedrijf elke seconde of elke vijftien seconden data verzamelen? Dat maakt veel uit. De universiteit van München heeft zo’n meter gehackt om te zien welke informatie je eruit kan destilleren. Door de fluctuaties in het energieverbruik werd duidelijk welke tv in gebruik was, en zelfs welk tv-programma werd bekeken.

Personally Identifiable Information – klik om te vergroten

Personally Identifiable Information – klik om te vergroten


Nieuwe olie

Privacy beschermen in een tijdperk waarin persoonlijke informatie de nieuwe olie is van onze economie vraagt volgens de onderzoekers om adequate wetgeving. Voorlopig schiet de wetgeving echter tekort omdat geavanceerde technologie ver vooruitloopt. Ook de veelal juridische verschillen in de regio’s en landen overal ter wereld zullen harmonisatie en uniformiteit van wet- en regelgeving niet versnellen.

Zeven aanbevelingen

De onderzoekers zetten zeven aanbevelingen op een rij die organisaties en individuen vandaag al helpen bij verantwoord gebruik van persoonlijke informatie:

  1. Ga proactief en preventief te werk door uit te gaan van het principe van privacy-by-design. Bepaal van meet af aan aan welke voorwaarden verzameling en inzet van persoonlijke informatie moet voldoen. Wacht niet tot een privacy-inbreuk zich voordoet.
  2. Maak privacygarantie tot standaard-instelling. Individuen hoeven zich niet te bekommeren om de bescherming van privacy. Zorg ervoor dat maximale privacy wordt gegarandeerd.
  3. Integreer privacy in het ontwerp van it-systemen. Bij het ontwerpen van bedrijfsapplicaties moeten privacy-eisen van meet af onderdeel zijn van het ontwerp en de architectuur van it-systemen. Privacy is een essentiële component van de functionaliteit van applicaties.
  4. Ga uit van volledige functionaliteit in relatie tot privacy. Het gaat hierbij om het volledig inbedden van legitieme privacybelangen in de functionaliteit van systemen. Vermijd valse tegenstellingen als privacy versus security. Organisaties moeten aantonen dat allebei mogelijk is.
  5. Creëer end-to-end security door de tijd heen. Aan het einde van een proces of levenscyclus moeten alle gegevens veilig worden opgeslagen of op een gewenst tijdstip worden vernietigd. Organisaties moeten ervoor zorgen dat oplossingen op deze manier volledig dichtgetimmerd zijn.
  6. Openheid zou de rode draad moeten zijn. Voor alle betrokkenen moet duidelijk zijn wat er precies gebeurt met persoonlijke informatie. Wie dat wil controleren, is in staat dit op een eenvoudige manier altijd en overal te doen.
  7. Ga respectvol om met de privacy van het individu. Organisaties moeten zorgen voor een goede interactie met hun stakeholders. Op het juiste moment op een eenvoudige manier duidelijk maken wat er gebeurt. Dat zorgt voor de opbouw van een vertrouwensrelatie.

The right to be forgotten

Wie het in de digitale context over privacy heeft, noemt in een adem de bescherming van persoonlijke gegevens (data protection, Datenschutz, informatique et libertés) en omgekeerd. We kunnen nog zo veel data willen beschermen, vaak is het misschien het handigst om ze maar gewoon te wissen. De DeleteMe-app van Abine kan volgens de onderzoekers worden opgevat als een implementatie van the right to be forgotten, dat onder meer de Europese Unie voor onze digitale wereld propageert. De verschillen in regio’s en landen overal ter wereld zijn nog groot, maar harmonisatie en uniformering van wet- en regelgeving worden steeds meer nagestreefd.

Menno van Doorn, directeur VINT:

‘Persoonlijke gegevens zijn het nieuwe betaalmiddel. Organisaties die dat betaalmiddel accepteren, moeten volledig transparant en veilig omgaan met deze informatie. Niet alleen consumenten hebben nog geen idee welke privacygevoelige informatie uit big data wordt gedestilleerd, en welke voorspellingen daarmee worden gedaan. Ook organisaties hebben onvoldoende idee. Dat levert schrikreacties op als de impact duidelijk wordt.’

Voor- en nadelen

De onderzoekers gaan ook in op de voor- en nadelen van big data. Beter kunnen voorspellen en selecteren is in zijn algemeenheid de grote winst die met big data geboekt kan worden. Voor organisaties liggen de kansen voor het oprapen: fraudedetectie, efficiëntere energievoorziening, aanbiedingen op maat, epidemieën van tevoren zien aankomen, ga zo maar door. Iedereen profiteert, zou je denken, maar welke gegevens worden er en passant allemaal verzameld door digitale volgsystemen en wat gebeurt ermee? Hebben we daar nog wel zicht op en controle over? Dat is de hamvraag.

Een ding staat volgens de onderzoekers als een paal boven water: wie op zoek gaat naar de aan- en uitknop voor privacy, kan lang zoeken. Het is volgens hen veel belangrijker de juiste richting te kiezen, om zo over de volle breedte te kunnen profiteren van big data. Waar we op moeten koersen is gewin voor iedereen. Dat kan het beste door de privacy-issues te onderkennen, ze in detail bloot te leggen en in alle openheid in geaccepteerde banen te leiden.

Koppelen

Big data is volgens VINT per definitie niet privacy-vriendelijk. Zelfs wanneer er is geanonimiseerd, bepaalde kerngegevens zijn verwijderd of de data zijn versleuteld, is het op basis van de verbanden in verschillende big data-verzamelingen – online en offline – toch goed mogelijk om specifieke informatie te koppelen aan een individu, computer of ander persoonlijk device. Over ons allemaal worden de meest uiteenlopende gegevens verzameld. Dat gebeurt onder andere door media, overheidsinstellingen, energieleveranciers, luchtvaartmaatschappijen, kredietorganisaties, de retailsector, telecombedrijven, kabelmaatschappijen, verzekeraars, banken, ziekenhuizen, artsen, apotheken, zoekmachines, commerciële websites en sociale netwerken.

Informatiemakelaars, waaronder kredietbureaus en de advertentie-industrie, gebruiken en combineren deze gegevens, en zo komen ze terecht bij bijvoorbeeld banken, marketeers, media, overheden, juridische organisaties, individuen, wetshandhavers en werkgevers. Het gaat hier om online en offline data, afkomstig van individuen, hun computers of andere devices.

PIT’s

Toepassingsgebieden voor de privacy by design-benadering zijn de zogenoemde privacy-invasive technologies (PIT’s). Het gaat hierbij met name om:

  • camerabewaking
  • biometrische herkenning
  • smart meters en het smart grid
  • mobiele devices en communicatie
  • near field communications
  • RFID en sensors
  • redesigning IP geolocation data
  • remote home health care
  • big data en data analytics

Naast PIT’s zijn er ook PET’s (privacy-enhancing technologies). De angst voor big data wordt vooral gevoed doordat er sprake is van een ongelijke strijd: grote instituten versus de eindgebruiker. De constatering dat informatie zonder toestemming wordt gebruikt en het fenomeen dat systemen zelf beslissen, zonder menselijke tussenkomst, boezemt consumenten en burgers ook angst in.

Effectiviteit van PET-typen – klik om te vergroten

Effectiviteit van PET-typen – klik om te vergroten


Vijf principes

Zowel de Amerikaanse Code of Fair Information Practices als de Swedish Data Act stoelen op vijf principes van goede omgang met persoonlijke informatie:

  1. er mogen geen geheime gegevensverzamelingen zijn;
  2. personen moeten kunnen nagaan wat er over hen verzameld is en hoe dat wordt gebruikt;
  3. gebruik van data voor andere doeleinden mag alleen nadat de persoon in kwestie toestemming heeft verleend;
  4. een persoon moet zijn personally identifiable information (PII) kunnen corrigeren of amenderen;
  5. elke organisatie die PII creëert, beheert, gebruikt of verspreidt, moet de betrouwbaarheid van die data garanderen voor het beoogde gebruik en zorgen dat de informatie niet kan worden misbruikt.

Wetgeving

De eerste privacywet stamt uit 1361, toen in Engeland gluren en afluisteren strafbaar werd gesteld. In Nederland hebben we de Wet bescherming persoonsgegevens, Duitsland heeft zijn Datenschutzgesetz en de Europese Unie heeft haar Data Protection Directive.

Desondanks is privacy op internet niet goed beschermd, vindt de Europese Commissie, die nieuwe regels heeft opgesteld. Het kan nog wel tot 2015 duren voordat de Europese regels echt van kracht worden. Het is de bedoeling dat dan de zogeheten algemene dataprotectieverordening EU-breed wordt aangenomen. Dat is niet langer een richtlijn voor nationale wetgeving, maar een Europese ‘wet’ die in Nederland in de plaats treedt van onze Wet bescherming persoonsgegevens.

De nieuwe EU-verordening stelt nieuwe, strenge eisen aan organisaties die persoonsgegevens verwerken. Maar daarop vooruitlopend wordt het in Nederland dit jaar al een stuk strenger. Dat is volgens de onderzoekers nodig, want de huidige wet dateert uit 1995 en is sterk verouderd. De belangrijkste veranderingen zijn:

  • consumenten moeten expliciet toestemming geven voor het gebruik van hun gegevens;
  • bedrijven moeten hun privacybeleid in duidelijke taal weergeven;
  • consumenten krijgen het zogeheten recht om vergeten te worden.

Boetes

Bedrijven die zich niet aan de regels houden, kunnen boetes krijgen die oplopen tot 2 procent van de omzet. Bij grote bedrijven kan het om tientallen of zelfs honderden miljoenen euro’s gaan. In Amerika werkt de AppRights-beweging aan een initiatiefwet, The application privacy, protection, and security (apps) act of 2013, die de verzameling van data via mobiele devices en apps moet regelen. Dit zien we nu steeds meer. Onder meer Mozilla bedient zich van pictogrammen, bijvoorbeeld om aan te geven of een website gegevens deelt, verkoopt of zonder gerechtelijk bevel aan de overheid doorspeelt en hoe lang gegevens worden bewaard.

Privacy is een fundamenteel mensenrecht en moet daarom een kerncompetentie worden voor elke organisatie. Er is een groeiende roep om privacy by design. Organisaties moeten zich daarvan bewust zijn en hierop voorbereid zijn. Dat betekent fundamentele kennis opbouwen en de operatie ernaar inrichten. Big data is een realiteit; er zit bijzonder veel waarde in, maar de gegevensverzameling voedt ook het onbehagen inzake schendingen van de privacy. BTG-leden kunnen op de website Privacychecker.nl eenvoudig hun privacybeleid tegen het licht houden.

BTG: Verbinding, verbreding en verdieping

Branchevereniging ICT en Telecommunicatie Grootgebruikers (BTG) behartigt de belangen van Nederlandse bedrijven en instellingen door kennis over te dragen en ervaringen uit te wisselen o.a. tijdens events

BTG in beeld en geluid

Expertsessies

  • Geen evenementen
  • Magazine

    BTG in Business - Voorjaar 2022
    Lees de laatste editie

    Meld je aan voor onze nieuwsbrief!

    Op de hoogte blijven van evenementen en het laatste nieuws? Schrijf je dan nu in voor onze nieuwsbrief.
    • Dit veld is bedoeld voor validatiedoeleinden en moet niet worden gewijzigd.