Privacy by design en privacy by default zijn twee fundamentele principes uit de Algemene Verordening Gegevensbescherming (AVG). Ze vereisen dat privacy geen bijzaak is, maar vanaf het begin integraal wordt meegenomen in alle processen, systemen en diensten die persoonsgegevens verwerken. Het is belangrijk om het onderscheid tussen deze twee begrippen goed te begrijpen om ze correct toe te passen in de dagelijkse praktijk.

Privacy by design

Privacy by design betekent kortgezegd dat privacy vanaf het allereerste moment meegenomen moet worden in ontwikkelingsfase van een bepaalde dienst of product. Dit vraagt om een bewuste manier van omgaan met data: alleen gegevens verzamelen die écht noodzakelijk zijn en vanaf de eerste schets direct passende technische en organisatorische maatregelen treffen om de persoonsgegevens te beschermen.

Privacy by default

Privacy by default richt zich op de standaardinstellingen binnen processen, software en systemen. Als een gebruiker zelf niks aanpast, mogen er geen overbodige gegevens gedeeld of ontvangen worden. De meest privacy vriendelijke stand moet automatisch gekozen worden. Een goed voorbeeld hiervan is een nieuwsbrief voor marketingdoeleinden: de gebruiker moet actief een handeling verrichten om deze aan te zetten, het uitgangspunt is dat deze uitstaat.

Betrokkenen centraal, ondernemer aan zet

Deze basisprincipes zijn ontworpen om de betrokkenen extra bescherming te bieden. Het is dan ook aan de ondernemers om deze principes daadwerkelijk en aantoonbaar te implementeren in hun systemen en processen. Privacy by design vraagt om een fundamentele verandering in denken en doen: niet pas achteraf tot privacy maatregelen over gaan, maar vooraf investeren in kennis, technologie en tijd.

Door het principe van privacy by default moeten bestaande digitale processen continue kritisch worden geëvalueerd. Zijn alle standaardinstellingen echt privacy vriendelijk? In veel gevallen vereist dit handmatige aanpassingen in systemen, overleggen met (software)leveranciers of zelfs een complete herinrichting van processen.

Juridische complicaties

De AVG stelt dat beide principes verplicht zijn, maar laat ruimte voor interpretatie over hoe hieraan voldaan kan worden. Er is namelijk geen uitputtende lijst met eisen die afgestreept kan worden. Hierdoor is het van belang dat processen en systemen regelmatig gecontroleerd en aangepast worden om compliant te blijven in een snel veranderend digitaal landschap.

Ondernemers die privacy by design en privacy by default standard integreren, beperken hun risico’s en beschermen hun klanten. Een grondige privacy-check van verschillende processen, systemen en software is dan ook het logische startpunt voor iedere gezonde bedrijfsvoering.

Neem contact op

Heeft u hulp nodig met het uitvoeren van een privacy-check of wilt u graag eens sparren  over de fundamentele beginselen van de AVG? Neem gerust contact op via privacy@jurato.nl voor een vrijblijvende kop koffie!