Hoe pas je de bovengenoemde zeven principes vervolgens toe? Wij geven je een aantal handvatten:
1. Aanwezigheid van persoonsgegevens
Beoordeel bij de ontwikkeling van een nieuw product of nieuwe dienst of er sprake is van aanwezigheid van persoonsgegevens. Is dit het geval, neem dan de privacyrichtlijnen in acht, zoals de rechtmatigheid, doelbinding en minimale gegevensverwerking.
Lees meer over deze en andere belangrijke privacyrichtlijnen.
2. Risico’s en rechtmatigheid
Schat de risico’s in en beoordeel de rechtmatigheid van de gegevensverwerking. Dit kan bijvoorbeeld aan de hand van een Data Protection Impact Assessment (DPIA) als de verwerking een hoog risico kan inhouden voor de betrokkene.
3. Implementeer risicobeperkende maatregelen
Nadat de privacyrisico’s in kaart zijn gebracht dienen organisaties passende maatregelen te nemen om de betreffende risico’s te beperken. Voorbeelden van mogelijk geschikte maatregelen en waarborgen zijn, afhankelijk van de context en het risico van de gegevensverwerking, pseudonimisering van persoonsgegevens & betrokkenen informatie verstrekken over de opslag van persoonsgegevens.
Een andere mogelijk geschikte maatregel is toegangscontrole op persoonsgegevens waarbij gebruikersinstellingen standaard zijn gerelateerd aan de toegangsrechten en rollen van een medewerker. Concreet betekent dit dat een medewerker alleen toegang krijgt tot persoonsgegevens die nodig zijn voor zijn of haar functie. In een autorisatiematrix kan worden beschreven welke medewerker welke rechten heeft en waarom.
Als eenmaal de maatregelen zijn gedefinieerd is het van belang om een plan op te stellen, zodat deze maatregelen ook daadwerkelijk worden geïmplementeerd en daarop gemonitord kan worden. Wat kan in dit plan staan? De te nemen acties, wie deze acties moeten verrichten, de deadline en de status van de acties. Vergeet ook niet regelmatig de gegevensverwerking te evalueren en te beoordelen om de persoonsgegevens gedurende de gehele levenscyclus te kunnen beschermen.
4. Zorg voor een goed ingericht proces
Wil een organisatie op een juiste manier uitvoering geven aan de principes van privacy by design, dan is het essentieel dat medewerkers de beginselen van gegevensbescherming en de rechten en vrijheden van betrokkenen begrijpen. Zorg ervoor dat IT architecten, ontwikkelaars, business-, product- en proceseigenaren, maar ook inkopers en hoger management voldoende kennis hebben van privacy by design. Het raakt immers alle lagen van de organisatie. Richt daarnaast op de juiste plekken in de organisatie triggers in om privacy by design goed te kunnen borgen. Denk bijvoorbeeld aan een aanbestedingsproces, projectvoortbrengingsproces of change proces.
Kansen
Door privacy by design toe te passen, ben je als organisatie bewust van mogelijke gevolgen voor de privacy van betrokkenen en verhoog je de kwaliteit van privacybescherming. Bovendien verkleint de toepassing van privacy by design niet alleen de kans op privacyschending, maar ook het risico op boetes en schadeclaims. Daarnaast biedt het kansen om klantvertrouwen op te bouwen. Kortom: een win-win situatie!
Versterking nodig van een privacy & informatiebeveiliging professional?
Heeft jouw organisatie hulp nodig bij de toepassing van privacy by design of een ander privacyvraagstuk? Ons team van interim privacy & security counsels staat voor je klaar.
