Privacy by default en agile werken

Privacy by design en privacy by default: beide begrippen worden in de AVG genoemd. Ze zijn dan ook nauw aan elkaar verwant. En ze zijn belangrijk, want goede standaardinstellingen bij de verwerking van persoonsgegevens zijn belangrijk om maximale privacy aan de gebruikers te garanderen. Dit belang neemt alleen maar toe, omdat ook het privacybewustzijn bij de Nederlander toeneemt.

Privacy by default betekent dat de standaardinstellingen van een website, app, dienst of apparaat de privacy van de gebruiker maximaal respecteren. In het Nederlands noemen we dat ‘gegevensbescherming door standaardinstellingen’.

Privacy by default is bijvoorbeeld dat een organisatie geen opt-out gebruikt, maar een opt-in. Pas als iemand zich ergens voor heeft aangemeld, ontvangt hij informatie (opt-in). Dat gebeurt niet automatisch totdat degene zich afmeldt (opt-out).

We spreken van privacy by design als bij het ontwikkelen van informatiesystemen en diensten rekening wordt gehouden met de privacyaspecten van de verwerking van persoonsgegevens.

Methoden van softwareontwikkeling

Privacy by design en privacy by default hangen nauw samen met de ontwikkeling van software. Als privacyverantwoordelijke zul je, als het goed is, vanaf het begin betrokken worden bij de ontwikkeling van nieuwe software. Daarom is het handig als je bekend bent met de belangrijkste softwareontwikkelmethoden.

Traditioneel projectmanagement: de watervalmethode

Dit is de oudste methode voor projectmanagement. Hierbij worden de analyse, het opstellen van specificaties, de ontwikkeling zelf en het testen sequentieel benaderd. Zo’n project kent een aantal mijlpalen; bij elke mijlpaal wordt een deel van het project afgesloten en aanvaard. Vervolgens wordt naar de volgende mijlpaal gewerkt. De bekendste methode is Prince 2, maar ook PM2 en ISO 21500 vallen onder de watervalmethode.

Agile en scrum

Agile werd begin deze eeuw ontwikkeld door een aantal IT’ers, die zagen dat de softwareontwikkeling gebaseerd op uitgebreide beschrijvingen in documenten niet werkte. Hun ideeën schreven ze op in het ‘Agile Manifesto’. De belangrijkste punten uit dat document zijn:

Werkende software is belangrijker dan uitgebreide documentatie;

Mensen en interactie zijn belangrijker dan processen en tools;

Samenwerking is belangrijker dan contractonderhandelingen;

Reageren op veranderingen is belangrijker dan een plan volgen.

Scrum is een ontwikkelmethode die gebaseerd op dit manifest. Scrum is dus een toepassing van Agile. Met scrum wordt een complex project opgedeeld, aan de hand van zogenaamde user stories, in kleinere taken. Centraal in de ontwikkeling staat de sprint. De ‘product owner’ beslist wat wordt gerealiseerd, de ‘scrum master’ bewaakt het proces. Hij stelt prioriteiten, wijst taken toe en zorgt voor de dag- of weekstart. De periode waarin de taken worden uitgevoerd, noemen we een sprint. Die beslaat meestal één tot vier weken.

Tijdens een sprint worden verschillende bijeenkomsten gehouden. Allereerst de sprintplanning aan het begin van de sprint. Omdat deze een korte periode beslaat, is deze goed te plannen. Aan het einde van de sprint worden de resultaten gedeeld in een review. Dan vindt ook het zogenaamde retrospectief plaats: wat is goed gegaan, wat kan beter?

Tijdens de sprint vinden, meestal dagelijks, zogenaamde stand-ups van een minuut of vijftien plaats. Elk teamlid zegt wat hij heeft gedaan, waarmee hij bezig is en wat hij gaat doen. Elke taak kent drie stadia: to do, doing en done. Die worden met gekleurde plakbriefjes bijgehouden op het zogenaamde Kanbanbord, waarop status en vorderingen duidelijk zichtbaar zijn.

Het doel is om aan het einde van de bijeenkomsten een minimaal levensvatbaar product op te leveren, dat op basis van klantwensen en klantgebruik verder wordt uitgebouwd.

De voordelen van scrum zijn allereerst dat de time-to-market veel sneller is. Bij traditionele projectmanagementmethoden als Prince 2 worden het resultaat en de voordelen pas gerealiseerd nadat het project is afgesloten. Bij scrum is er al feedback terwijl het product nog in ontwikkeling is.

Een tweede voordeel is dat bij agile ontwikkeling kleine bedragen ter beschikking worden gesteld voor nieuwe producten of nieuwe productfunctionaliteiten. Bovendien ligt de focus op kleine productverbeteringen die worden uitgevoerd door dedicated teams, en niet op grootschalige projecten.

AVG inpassen in de projectmanagementmethoden

De AVG valt goed in te passen in de watervalmethode. Immers, de analyse en het opstellen van specificatie gebeurt volgtijdig; de specificaties zullen dus een AVG-deel bevatten, met daarin de aanpassingen van de bedrijfsprocessen op basis van het privacybeleid. Het is aanvullend op de andere productspecificaties. Tegelijkertijd is het ook een controle op de rechtmatigheid van de verwerkingen die in de productspecificaties zijn genoemd. Tevens wordt in het AVG-deel van de productspecificatie een inschatting gemaakt van de risico’s van deze verwerkingen.

De AVG-specificaties kunnen tegelijkertijd met, maar ook na de andere productspecificaties worden opgesteld. Het voordeel van gelijktijdigheid is dat er een wisselwerking tussen de productspecificaties en de AVG-specificaties ontstaat. Als de AVG-specificaties worden opgesteld na de productspecificaties, dan kan dit leiden tot aanpassingen van de productspecificaties. Als er agile of met scrums wordt gewerkt, dan wordt de AVG niet als een risico beschouwd. Niet als risico op vertraging van het hele project en niet als risico voor negatieve impact op de business. AVG-compliance wordt beschouwd als een te bereiken doel dat in de ‘backlog’, de lijst met taken die uitgevoerd moeten worden, is opgenomen.

Het voortschrijdend inzicht over de verwerking van persoonsgegevens en de veranderingen daardoor in de productontwikkeling is onderdeel van de kennisopbouw en de productverbetering. Daarom is het dus het efficiëntst om de AVG meteen mee te nemen in de ontwikkeling. In elke stap, in elke sprint worden de AVG-vereisten meegenomen.

Op businessniveau zijn er als het om persoonsgegevens gaat twee belangrijke startvragen. Allereerst: is de verwerking van de persoonsgegevens rechtmatig of kan deze rechtmatig gemaakt worden? Als de verwerking dat niet is, dan is elke investering in sprints weggegooid geld.

Ten tweede: is een DPIA noodzakelijk? Als in de loop van de sprints blijkt dat het risico zo groot is geworden dat niet alleen een DPIA noodzakelijk, maar zelfs een voorafgaande raadpleging van de AP, dan is er het risico dat alle sprints voor niets zijn uitgevoerd.

Het is daarom verstandig de verwerking op voorhand te beoordelen op rechtmatigheid en de risico’s die bij de verwerking optreden in kaart te brengen. Dit kan als een taak in de backlog wordt opgenomen. Mocht tijdens de sprints blijken dat bepaalde persoonsgegevens niet rechtmatig kunnen worden verwerkt, dan moet een alternatief worden gezocht of een andere beslissing worden genomen over deze verwerking. Let op: dit is een deelbeslissing en geen beslissing over het volledige product. Bovendien worden de meest belangrijke verwerkingen bij een goede prioritering als eerste opgeleverd. Risico en rechtmatigheid worden dus vroeg in het traject beoordeeld.

AVG-aspecten bij de productontwikkeling

Bij productontwikkeling moet rekening worden gehouden met de verplichtingen uit de AVG, zoals de beveiliging van de gegevens. De processen, invoerschermen en algoritmes moeten zo worden ontwikkeld dat de gegevensbescherming maximaal is. Er moeten daarbij niet te veel gegevens worden gevraagd of geëxporteerd. Ook moet de verwerking rechtmatig zijn, gebaseerd op een van de zes grondslagen uit de AVG. De concrete grondslag wordt hier bepaald.

De beginselen van het verwerken van de gegevens moeten reeds in de productontwikkeling worden toegepast. Zo moeten niet meer gegevens worden verwerkt dan noodzakelijk, het beginsel van dataminimalisatie. De verzamelde gegevens moeten tevens in verhouding staan tot het doel waarvoor ze worden verwerkt; het proportionaliteitsbeginsel.

De verwerking van persoonsgegevens brengt risico’s met zich mee, zoals een mogelijk datalek. Een deel van deze risico’s moeten worden opgevangen door IT-development. Een ander deel wordt ondervangen op organisatorisch vlak, bijvoorbeeld door de toegang tot de persoonsgegevens goed te regelen en de procedures die de veiligheid van de persoonsgegevens waarborgen.

Bij de ontwikkeling moet ook rekening worden gehouden met het verstrekken van informatie aan de betrokkenen. Welke informatie wordt gegeven, waar wordt de informatie gegeven en op welk tijdstip wordt de informatie verstrekt?

Als laatste noem ik als AVG-verplichting de rechten van de betrokkenen. Hoe zijn deze gewaarborgd in de ontwikkeling van het nieuwe product of de nieuwe dienst? Het is het efficiëntst om deze rechten meteen in het product in te bouwen, zoals ook de identificatie van de betrokkene, het recht op gegevenswissing en de mogelijkheid om toestemming in te trekken.

De slimme meter: privacy by default?

De zogenaamde slimme meter heeft in Nederland een vlucht genomen. Inmiddels zijn er al rond de 6,2 miljoen slimme meters geplaatst. De Europese privacywaakhond, de EDPS, heeft gewaarschuwd voor het gebruik van deze slimme meters. Een netwerk van slimme meters leent zich uitermate goed voor massasurveillance van burgers. Ook kunnen personen worden geprofileerd en gevolgd met slimme meters. Met een intervalperiode van vijftien minuten is redelijk precies te achterhalen wanneer bewoners op vakantie zijn. Met kortere intervallen is zelfs het gebruik van bepaalde apparaten te achterhalen. Eerder stelden onderzoekers al vast dat aan de hand van het energieverbruik kan worden afgeleid naar welke televisieprogramma’s mensen kijken.

Veel mensen zijn zich niet bewust van alle persoonlijke data die via slimme meters wordt verwerkt, hoe organisaties hiervan gebruikmaken en welke impact dit op hun privacy kan hebben. ‘Wanneer ze niet weten dat persoonlijke data worden verwerkt, is het onmogelijk voor ze om er een geïnformeerde beslissing over te nemen. Zodra een slimme meter met ingeschakelde connectiviteit is aangesloten, kan het voor gebruikers lastig zijn om het verzamelen van metergegevens te voorkomen,’ aldus de toezichthouder.

‘EDPS: Slimme meter te gebruiken voor massasurveillance’. Security.NL, www.security.nl/posting/627971/EDPS%3A+slimme+meter+te+gebruiken+voor+massasurveillance.

De EDPS merkt op dat informatie over realtime energieverbruik grote commerciële waarde kan hebben. Als niet voldoende beschermingsmaatregelen worden getroffen, bijvoorbeeld dat alleen toegestane partijen deze data voor de opgegeven doelen mogen gebruiken, dan kan het gebruik van slimme meters leiden tot het volgen van het dagelijkse leven van mensen in hun eigen woning. Bedrijven zouden zo uitgebreide profielen kunnen maken, gebaseerd op de geregistreerde huiselijke activiteiten.

In bepaalde gevallen zouden profielen zelfs kunnen worden verrijkt met persoonlijke data van smart homes en andere online- en offlinebronnen. Deze profielen zijn vervolgens voor allerlei doeleinden te gebruiken. Ook politie, belastingautoriteiten, verzekeringsmaatschappijen en werkgevers zouden interesse kunnen hebben in informatie over het persoonlijke energieverbruik, zo merkt de EDPS op.

Een netwerk van slimme meters met tweewegcommunicatie zou zelfs onderdeel van een infrastructuur voor massasurveillance kunnen worden. Via een eenvoudige firmware-update is dit al te bereiken, waarbij de meet- en verzendperiodes worden ingekort. De EDPS adviseert dan ook om gebruikers zelf langere meettijden te laten kiezen en de optie te geven bepaalde features van hun slimme meter in of uit te schakelen. Ook het gebruik van verschillende ‘privacy enhancing technologies’ (PETs) kan de risico’s die met het uitlezen van het energieverbruik samenhangen, verminderen.