We kopen software in en bouwen zelf niets. Geldt artikel 25 dan voor ons?

Ja. Lid 1 legt de verplichting bij de verwerkingsverantwoordelijke op het moment dat de verwerkingsmiddelen worden bepaald, en het kiezen van software is zo'n moment. Overweging 78 zegt dat producenten worden gestimuleerd om gegevensbescherming in hun producten in te bouwen, maar de verplichting blijft bij u: u moet bij de keuze en het gebruik van de toepassing nagaan of u met de ingebouwde maatregelen en instellingen aan de AVG kunt voldoen.

Wat is het verschil tussen 'door ontwerp' en 'door standaardinstellingen'?

Door ontwerp (lid 1) gaat over de maatregelen die u inbouwt bij het bepalen van de middelen en tijdens de verwerking, zoals pseudonimisering, zodat de beginselen van de AVG werkelijk worden uitgevoerd. Door standaardinstellingen (lid 2) gaat over de instellingen zoals ze staan als niemand iets aanpast: standaard worden alleen de gegevens verwerkt die voor het specifieke doel nodig zijn, in hoeveelheid, mate van verwerking, bewaartermijn en toegankelijkheid. Het eerste gaat dus over hoe het systeem is gebouwd, het tweede over hoe het uit de doos staat.

Onze app laat gebruikers hun profiel delen. Wat vraagt artikel 25 daarover?

Lid 2 zegt dat persoonsgegevens standaard niet zonder menselijke tussenkomst voor een onbeperkt aantal personen toegankelijk mogen worden gemaakt. Het delen van een profiel met iedereen moet dus een bewuste handeling van de gebruiker zijn, en de standaardstand moet beperkt zijn. Overweging 78 noemt daarbij transparantie over wat er met de gegevens gebeurt en de mogelijkheid voor de betrokkene om daar zelf controle over te houden.

Artikel 25: Gegevensbescherming door ontwerp en door standaardinstellingenAI-relevant

Praxikon houdt artikel 25 (Gegevensbescherming door ontwerp en door standaardinstellingen) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 25 vraagt van de verwerkingsverantwoordelijke dat gegevensbescherming van het begin af aan in een systeem of proces wordt ingebouwd, en niet achteraf wordt toegevoegd. Al bij het bepalen van de middelen, dus bij het ontwerp of de keuze van bijvoorbeeld software of een AI-model, en ook tijdens de verwerking zelf treft u passende maatregelen, zoals pseudonimisering, die de beginselen van de AVG zoals minimale gegevensverwerking werkelijk uitvoeren (lid 1). Daarnaast moeten de standaardinstellingen zo staan dat alleen de gegevens worden verwerkt die voor elk specifiek doel nodig zijn: dat gaat over de hoeveelheid gegevens, de mate van verwerking, de bewaartermijn en de toegankelijkheid (lid 2). Standaard mogen persoonsgegevens niet zonder tussenkomst van de persoon zelf voor een onbeperkt aantal mensen toegankelijk zijn (lid 2). Het artikel bestaat omdat u moet kunnen aantonen dat u de AVG naleeft, en daarvoor horen intern beleid en maatregelen in het ontwerp en de standaardinstellingen zelf te zitten, zoals minimale gegevensverwerking en zo vroeg mogelijke pseudonimisering (overweging 78).

Kernbegrip: Gegevensbescherming door ontwerp en door standaardinstellingen: privacybescherming zit ingebouwd in het systeem zelf, en de meest beperkte instelling is de standaard

Raakt direct:verwerkingsverantwoordelijkebetrokkene

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Raakvlak met de AI Act

Privacy by design vult de AI Act-eisen voor nauwkeurigheid en cybersecurity (Art. 15) aan. Beide vereisen ingebouwde bescherming.

AI Act Art. 15 →

Officiële tekst

Rekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, de omvang, de context en het doel van de verwerking alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen welke aan de verwerking zijn verbonden, treft de verwerkingsverantwoordelijke, zowel bij de bepaling van de verwerkingsmiddelen als bij de verwerking zelf, passende technische en organisatorische maatregelen, zoals pseudonimisering, die zijn opgesteld met als doel de gegevensbeschermingsbeginselen, zoals minimale gegevensverwerking, op een doeltreffende manier uit te voeren en de nodige waarborgen in de verwerking in te bouwen ter naleving van de voorschriften van deze verordening en ter bescherming van de rechten van de betrokkenen.

De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om ervoor te zorgen dat in beginsel alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Die verplichting geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. Deze maatregelen zorgen met name ervoor dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt.

Een overeenkomstig artikel 42 goedgekeurd certificeringsmechanisme kan worden gebruikt als element om aan te tonen dat aan de voorschriften van de leden 1 en 2 van dit artikel is voldaan.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Neem gegevensbescherming mee op het moment dat u een systeem, dienst of werkwijze ontwerpt of inkoopt, en niet pas als het al draait (lid 1). Kies maatregelen zoals pseudonimisering en minimale gegevensverwerking, en weeg daarbij de stand van de techniek, de uitvoeringskosten en het risico voor betrokkenen (lid 1). Zet standaardinstellingen zo dat per doel alleen de nodige gegevens worden verzameld, verwerkt, bewaard en toegankelijk gemaakt, en dat gegevens niet standaard voor een onbeperkt aantal mensen zichtbaar zijn (lid 2).

Betrokkene

U mag erop rekenen dat een dienst standaard alleen de gegevens verwerkt die voor het doel nodig zijn, en dat uw gegevens niet zonder uw eigen handeling voor een onbeperkt aantal mensen zichtbaar worden (lid 2).

Compliance checklist

Bij het ontwerp of de inkoop van elk nieuw systeem of proces is vastgelegd welke gegevensbeschermingsmaatregelen zijn ingebouwd voordat de verwerking start (lid 1).De keuze van maatregelen, zoals pseudonimisering, is onderbouwd met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en het doel van de verwerking en het risico voor betrokkenen (lid 1, overweging 78).Per doel is vastgelegd welke persoonsgegevens noodzakelijk zijn, en standaard worden alleen die gegevens verzameld (lid 2).Standaardinstellingen beperken ook de mate van verwerking, de bewaartermijn en wie toegang heeft (lid 2).Persoonsgegevens zijn standaard niet zonder handeling van de persoon zelf toegankelijk voor een onbeperkt aantal mensen, bijvoorbeeld via een openbaar profiel (lid 2).De betrokkene kan zien wat het systeem met zijn persoonsgegevens doet en heeft daar waar mogelijk zelf controle over (overweging 78).Bij aanbestedingen en leverancierskeuzes zijn de beginselen van gegevensbescherming door ontwerp en door standaardinstellingen meegewogen (overweging 78).Als een goedgekeurd certificeringsmechanisme volgens artikel 42 wordt gebruikt, is dat vastgelegd als element om naleving van lid 1 en 2 aan te tonen (lid 3).

Gerelateerde overwegingen

(78)

Ter bescherming van de rechten en vrijheden van natuurlijke personen in verband met de verwerking van persoonsgegevens zijn passende technische en organisatorische maatregelen nodig om te waarborgen d...

Kruisverwijzingen

Art. 42: Certificering

Veelgestelde vragen

← Art. 24: Verantwoordelijkheid van de verwerkingsverantwoordelijke Art. 26: Gezamenlijke verwerkingsverantwoordelijken →

Samenhang

Thema’s waarin dit terugkomt

Privacy by design en risicobeheer by design

De tegenhanger in de andere wet