Privacy by change-management
Een privacyverklaring zou geen statisch juridisch document moeten zijn, maar een levend document dat aantoonbaar meebeweegt met de manier waarop persoonsgegevens worden verwerkt.
Waarom een jaarlijkse controle alleen niet genoeg is
Veel privacyverklaringen beschrijven de situatie op het moment waarop zij zijn opgesteld. Ondertussen verandert een applicatie verder. Er worden nieuwe koppelingen gemaakt, gegevens worden anders gecombineerd, een externe dienst wordt toegevoegd of bewaartermijnen veranderen. De tekst van de privacyverklaring kan daardoor ongemerkt achterlopen op de feitelijke gegevensverwerking.
Dat probleem ontstaat niet alleen wanneer nieuwe persoonsgegevens worden vastgelegd. Ook de manier waarop bestaande gegevens worden gebruikt kan wezenlijk veranderen. Twee bestaande gegevensverzamelingen aan elkaar koppelen kan privacytechnisch bijvoorbeeld veel ingrijpender zijn dan het toevoegen van een nieuw veld.
Privacy als onderdeel van change management
Onze uitgangsgedachte is daarom eenvoudig: beoordeel privacy niet pas achteraf, maar op het moment dat een systeemwijziging wordt ontworpen of uitgevoerd. Iedere relevante wijziging krijgt daarmee naast een functionele en technische beoordeling ook een privacybeoordeling.
Wij noemen dat privacy by change-management: privacy wordt een vast onderdeel van het wijzigingsproces en de privacyverklaring wordt behandeld als een levend document.
Drie niveaus van privacy-impact
Niet iedere wijziging rechtvaardigt een privacy-audit. Daarom onderscheiden wij drie niveaus van privacy-impact: de mate waarin een wijziging invloed heeft op de manier waarop persoonsgegevens worden verzameld, gebruikt, gekoppeld, gedeeld, geanalyseerd, bewaard of verwijderd.
De wijziging verandert de verwerking van persoonsgegevens niet. Denk bijvoorbeeld aan een visuele aanpassing, een andere sortering of een technische optimalisatie zonder gevolgen voor de gegevensverwerking.
De verwerking verandert, maar het doel, de grondslag, de categorieën betrokkenen en de hoofdlijnen van de verwerking blijven in essentie gelijk. De wijziging wordt vastgelegd en er wordt beoordeeld of de privacyverklaring, bewaartermijnen of andere privacy-afspraken moeten worden aangepast.
De aard, het doel, de context of de gevolgen van de verwerking veranderen merkbaar. Dat kan bijvoorbeeld het geval zijn bij een nieuw verwerkingsdoel, een nieuwe gegevensbron, het koppelen van gegevensverzamelingen, profilering, gegevensverstrekking aan een nieuwe externe partij, structureel langere bewaring of een wezenlijke wijziging in wie toegang heeft tot persoonsgegevens. In dat geval volgt een afzonderlijke privacy-audit.
De term privacy-impact is geen formele classificatie uit de AVG, maar een praktisch beoordelingsmodel dat wij gebruiken om privacy consequent onderdeel te maken van change management.
Waar kijken we bij een wijziging naar?
De privacybeoordeling richt zich niet alleen op het datamodel. We kijken naar de volledige gegevensverwerking. Onder meer de volgende vragen zijn relevant:
- Worden nieuwe persoonsgegevens verzameld?
- Worden bestaande persoonsgegevens voor een nieuw doel gebruikt?
- Worden gegevens die eerder los stonden aan elkaar gekoppeld?
- Worden gegevens gedeeld met een nieuwe leverancier of externe dienst?
- Ontstaat nieuwe profilering, analyse of geautomatiseerde besluitvorming?
- Verandert de bewaartermijn of de manier waarop gegevens worden verwijderd of geanonimiseerd?
- Moet de privacyverklaring of het bewaarbeleid worden aangepast?
De rol van een privacy-audit
Bij een wezenlijke wijziging wordt een afzonderlijke privacy-audit uitgevoerd en geregistreerd. Daarnaast is een periodieke audit nuttig om te controleren of de feitelijke werking van de applicatie nog overeenkomt met het beschreven privacybeleid.
Zo'n audit kan onder meer het datamodel, gegevensstromen, bewaartermijnen, externe koppelingen en de privacyverklaring met elkaar vergelijken. Het resultaat is niet alleen een conclusie, maar ook een controleerbaar spoor van wat is beoordeeld en welke vervolgacties eventueel nodig zijn.
Kan AI helpen bij zo'n audit?
Kunstmatige intelligentie kan worden ingezet om grote hoeveelheden technische en functionele informatie systematisch met elkaar te vergelijken. Dat kan helpen om inconsistenties te vinden die bij een handmatige controle gemakkelijk over het hoofd worden gezien.
AI maakt een audit echter niet automatisch onafhankelijk. De kracht ervan ligt vooral in de volledigheid en consistentie van de controle. De verantwoordelijkheid voor de beoordeling, de conclusies en de opvolging blijft bij de organisatie zelf.
Een openbaar auditrapport maakt het aantoonbaar
Een privacybeleid wordt sterker wanneer niet alleen wordt gezegd dat controles plaatsvinden, maar ook aantoonbaar wordt gemaakt dat dit gebeurt. Daarom kan van periodieke audits een toegankelijk samenvattend rapport worden gepubliceerd met bijvoorbeeld de auditdatum, onderzochte onderdelen, geconstateerde afwijkingen of risico's en de genomen of voorgenomen maatregelen.
Daarmee verandert privacy van een statische verklaring in een beheerst proces: wijzigingen worden beoordeeld, wezenlijke veranderingen worden geaudit en de privacyverklaring beweegt mee met de werkelijkheid van het systeem.
Wat levert privacy by change-management op?
De belangrijkste winst is niet een langer privacydocument, maar een beter bestuurbaar proces. Privacy wordt onderdeel van dezelfde discipline waarmee een organisatie ook functionaliteit, beveiliging, architectuur en datakwaliteit beheert.
Voor organisaties die serieus werk maken van datamanagement is dat een logische stap. Persoonsgegevens zijn immers ook data. Als definities, eigenaarschap, kwaliteit, herkomst en lifecycle belangrijk zijn voor andere data, dan verdient privacy dezelfde structurele aandacht.
Hoe past datamanagers.nl dit zelf toe?
Onze privacyverklaring beschrijft niet alleen de huidige verwerking en bewaartermijnen, maar ook hoe wijzigingen en periodieke privacy-audits onderdeel zijn van het beheer van de applicatie.