Privacy by design: privacy inbouwen vanaf de eerste schets
Stel je bouwt een huis. Je kunt achteraf een extra slot op de voordeur schroeven en dikke gordijnen ophangen tegen nieuwsgierige blikken van de straat. Maar je kunt ook, al bij het tekenen van de plattegrond, bepalen waar de ramen komen, hoe dik de muren zijn en welke kamers zichtbaar zijn voor buitenstaanders. Dat tweede idee is de kern van privacy by design: privacybescherming is geen los onderdeel dat je er achteraf bij plakt, maar een uitgangspunt dat vanaf het begin meebepaalt hoe een systeem, app of dienst wordt gebouwd.
In de digitale wereld betekent dit dat de bouwers van bijvoorbeeld een zorg-app, een slimme thermostaat of een overheidswebsite al bij de eerste schetsen nadenken over vragen als: welke persoonsgegevens hebben we eigenlijk nodig, wie mag erbij, en hoe zorgen we dat er zo min mogelijk gegevens worden verzameld en bewaard? Het begrip is inmiddels geen vrijblijvend ideaal meer. Sinds de Europese privacywet AVG (Algemene Verordening Gegevensbescherming, internationaal bekend als GDPR) in 2018 van kracht werd, is het voor veel organisaties een wettelijke verplichting.
Wat is het precies?
De term werd in de jaren negentig geïntroduceerd door Ann Cavoukian, destijds privacytoezichthouder (Information and Privacy Commissioner) van de Canadese provincie Ontario. Zij werkte het idee later, rond 2009, uit in zeven grondbeginselen, waaronder "proactief in plaats van reactief" en "privacy als standaardinstelling": een systeem moet standaard al privacyvriendelijk zijn, zonder dat de gebruiker daar zelf iets voor hoeft in te stellen. Deze beginselen zijn sindsdien overgenomen in wetgeving en technische richtlijnen wereldwijd, waaronder de Europese AVG.
In de praktijk vertaalt privacy by design zich naar concrete, hanteerbare bouwstenen. De Nederlandse hoogleraar Jaap-Henk Hoepman, verbonden aan de Radboud Universiteit, onderscheidt acht zogeheten privacy-ontwerpstrategieën. De belangrijkste daarvan zijn:
- Minimaliseren: verzamel zo min mogelijk gegevens, en alleen wat strikt nodig is voor het doel van de dienst.
- Verbergen: maak gegevens onherleidbaar met encryptie (het onleesbaar maken van data voor iedereen zonder de juiste sleutel) of door gebruikers niet onnodig identificeerbaar te maken.
- Scheiden: houd gegevens die samen een compleet profiel van iemand zouden vormen niet op één plek bij elkaar.
- Informeren en controle geven: laat gebruikers zien welke gegevens worden verzameld en geef ze zeggenschap daarover, bijvoorbeeld via instellingen die ze zelf kunnen aanpassen.
Daarnaast bestaan er specifieke technieken om dit in software af te dwingen. Pseudonimisering vervangt namen door codes, zodat gegevens niet direct tot een persoon te herleiden zijn. Differential privacy voegt bewust een beetje statistische ruis toe aan een dataset, zodat je er nog wel algemene patronen uit kunt halen ("30 procent van de gebruikers reist met de trein") maar niet kunt achterhalen wat één specifiek persoon deed. Federated learning laat een algoritme leren van gegevens op iemands eigen telefoon, zonder dat die ruwe gegevens ooit naar een centrale server worden gestuurd; alleen de geleerde patronen worden gedeeld.
Wat wil men ermee bereiken?
Het belangrijkste doel is simpel: voorkomen is beter dan genezen. Een datalek van gegevens die nooit zijn verzameld, kan niet gebeuren. Door al bij het ontwerp na te denken over privacy, wordt het risico op misbruik, discriminatie of ongewenste doorverkoop van persoonsgegevens kleiner, in plaats van dat er achteraf noodgrepen nodig zijn.
Er speelt ook een juridisch motief mee. Artikel 25 van de AVG verplicht organisaties in de EU tot "gegevensbescherming door ontwerp en door standaardinstellingen". Wie hier niet aan voldoet, riskeert boetes van de toezichthouder. Daarnaast is er een vertrouwensmotief: gebruikers en burgers geven eerder gegevens vrij aan diensten waarvan ze weten dat er zorgvuldig mee wordt omgegaan.
Tot slot is er een praktisch, economisch argument. Privacy achteraf inbouwen in een bestaand systeem is vaak duurder en omslachtiger dan het er vanaf het begin in meenemen. Net als bij toegankelijkheid of veiligheid geldt: hoe later in het proces je het toevoegt, hoe meer het kost om fouten te herstellen.
Voorbeelden uit de praktijk
Een bekend voorbeeld is de berichten-app Signal, die al sinds de jaren 2013-2014 end-to-end encryptie standaard toepast: berichten zijn onderweg alleen leesbaar voor verzender en ontvanger, ook Signal zelf kan ze niet inzien. De organisatie achter de app, de Signal Foundation, opgericht in 2018 door Moxie Marlinspike en Brian Acton, verzamelt bovendien bewust zo weinig mogelijk metadata, zoals wie met wie contact heeft.
Apple introduceerde in 2016 met iOS 10 "differential privacy" om gebruiksstatistieken van bijvoorbeeld het toetsenbord en emoji-gebruik te verzamelen, zonder dat individuele gebruikers herkenbaar zijn in die data.
Ook overheden passen de techniek toe: het Amerikaanse Census Bureau gebruikte differential privacy bij de volkstelling van 2020, om te voorkomen dat gepubliceerde statistieken herleid konden worden tot individuele huishoudens.
Een Nederlands voorbeeld laat vooral zien wat er misgaat zónder privacy by design: bij de kinderopvangtoeslagaffaire van de Belastingdienst bleek dat jarenlang gebruik werd gemaakt van risicoprofielen die onder meer nationaliteit meewogen, wat tot onterechte fraudeverdenkingen leidde. De Autoriteit Persoonsgegevens concludeerde dat deze gegevensverwerking onrechtmatig was en legde in 2021 een boete op. De affaire wordt in Nederland nu vaak aangehaald als argument om privacyoverwegingen standaard vroeg in de ontwikkeling van overheidssystemen mee te nemen.
Ten slotte publiceerde de internationale standaardisatieorganisatie ISO in 2023 de norm ISO 31700-1, de eerste ISO-standaard die specifiek beschrijft hoe fabrikanten privacy by design kunnen toepassen op consumentenproducten en -diensten, van slimme speakers tot fitness-apps.
Hoe ver is de techniek?
Privacy by design is geen enkele technologie die "af" kan zijn, maar een ontwerpfilosofie die met wisselend succes wordt toegepast. Sinds de AVG in 2018 is het in de EU wettelijk verplicht, maar de naleving loopt sterk uiteen: sommige organisaties bouwen privacy grondig in, andere volstaan met een cookiebanner die formeel aan de regels voldoet zonder dat de onderliggende dataverzameling wezenlijk is aangepast, ook wel "privacy theater" genoemd.
Sommige onderliggende technieken zijn inmiddels volwassen en draaien op grote schaal, zoals differential privacy bij Apple en het Amerikaanse Census Bureau. Andere technieken, zoals homomorfe encryptie (rekenen op versleutelde data zonder deze te ontsleutelen), zijn nog relatief traag en kostbaar in gebruik en worden vooral in onderzoek en pilots toegepast.
Een blijvend spanningsveld is de opkomst van kunstmatige intelligentie. AI-systemen worden doorgaans getraind op grote hoeveelheden data, terwijl privacy by design juist aanstuurt op dataminimalisatie. Hoe dit spanningsveld het beste kan worden opgelost, is nog volop onderwerp van onderzoek en discussie, ook bij toezichthouders.
Wie werken eraan?
Ann Cavoukian bleef na haar functie in Ontario actief pleiten voor het concept, onder meer via een eigen kenniscentrum. Binnen de Europese Unie houdt de European Data Protection Board (EDPB), het samenwerkingsverband van nationale privacytoezichthouders, toezicht op de toepassing van de AVG-regels, waaronder artikel 25. In Nederland is de Autoriteit Persoonsgegevens (AP) de nationale toezichthouder die hierop handhaaft.
Op standaardisatiegebied werken ISO en, in de Verenigde Staten, het National Institute of Standards and Technology (NIST) aan raamwerken; NIST publiceerde in 2020 een eigen Privacy Framework.
In de wetenschap wordt op meerdere plekken onderzoek gedaan naar privacy-engineering: de Digital Security-groep van de Radboud Universiteit in Nijmegen, met onderzoekers als Jaap-Henk Hoepman, en de COSIC-onderzoeksgroep van de KU Leuven, onder leiding van cryptograaf Bart Preneel, gericht op beveiliging en cryptografie. Het concept differential privacy wordt doorgaans toegeschreven aan onder meer informatica-onderzoeker Cynthia Dwork.
Onder de bedrijven die privacy by design nadrukkelijk als uitgangspunt noemen, vallen techbedrijven als Apple en Signal, evenals kleinere privacygerichte aanbieders van zoekmachines en e-mail. Grote clouddienstverleners zoals Google en Microsoft ontwikkelen eigen privacy-technieken en nemen deel aan standaardisatietrajecten, al blijft er publiek debat over hoe ver hun toepassing van het principe in de praktijk reikt.