Hoe je privacy in de vingers krijgt

Toen CIP de vraag kreeg: “Kunnen jullie eens eenvoudig opschrijven hoe dat nou moet, met die privacy” waren we in eerste instantie wat verbaasd dat zo’n vraag zo prominent naar boven kwam, nota bene uit de CIP community. Maar als je even verder denkt dan kom je er al snel achter dat de vraag zeker niet uit naïviteit voortkomt, maar uit de wirwar aan informatie en opvattingen over ‘de privacy’. Er was duidelijk behoefte aan een handreiking die richting geeft aan het praktisch vormgeven van privacy-bewust handelen.
Door goed doordacht met privacy om te gaan kun je als organisatie laten zien dat je de cliënten serieus neemt. In de markt zijn er al bedrijven die hun privacybeleid bewust in hun marketinguitingen etaleren. Ook overheidsorganisaties doen er goed aan om duidelijk te maken hoe zij de privacy van hun cliënten waarborgen. Dit draagt sterk bij aan het vertrouwen van burgers in de overheidsdienstverlening, een belangrijke waarde, nu vrijwel alle dienstverlening over het internet verloopt.
De vraag naar verduidelijking heeft uiteindelijk geleid tot wat we nu noemen: Grip op Privacy.

Deze figuur toont welke handreikingen met Grip op Privacy worden geboden aan verschillende bloedgroepen binnen de organisatie:

Privacy Baseline: doen we het goed als organisatie?

In de Privacy Baseline staan handvatten en overwegingen bij het praktisch handelen voorop. Doelstelling van deze Privacy Baseline is de regelgeving toegankelijker te maken: in dit document zijn de eisen van de Wbp vertaald naar concrete, hanteerbare normen (criteria) die duidelijk aangeven waar organisaties wat moeten regelen in hun privacybeleid, de uitvoering en de controle erop: deze Privacy Baseline biedt concrete handvatten voor de juiste omgang met persoonsgegevens.
Organisaties die voldoen aan deze Privacy Baseline voldoen aan de voorschriften van de Wbp en de ‘ACT-doelstellingen’. ACT is in de baseline geïntroduceerd als het geheel van doelstellingen betrekking hebbende op Afscherming, Corrigeerbaarheid en Transparantie. De baseline helpt bij de borging van de privacy van burgers en het voorkomen van rode kaarten, bindende aanwijzingen of boetes vanuit de Autoriteit Persoonsgegevens. Wanneer je aan de Privacy Baseline voldoet, dan voldoe je ook aan de Wbp.

Hoe voorkomen we reparatiekosten achteraf?

De handleiding Privacy by Design maakt de ontwerpers van software en gegevensverwerkende processen bewust van het belang van privacy en biedt handvaten om de bescherming van de privacy mee te nemen in het ontwerp.
De handleiding richt zich op een proactieve aanpak. Daarmee voorkom je dat achteraf allerlei maatregelen moeizaam moeten worden ingebouwd die ook nog eens hoge kosten genereren. De handleiding ondersteunt zowel het formele als het creatieve proces om te komen tot een ontwerp, waarmee de ACT-doelen worden gerealiseerd en een betere bedrijfsvoering het resultaat is.

Hoe stuur ik mijn organisatie naar privacy-bewust handelen?

Voldoen aan de wettelijke voorschriften is één doel, maar niet het enige. En bovendien: hoe doe je zoiets en hoe borg je dat? Privacy Governance gaat daarover en koppelt de baseline-criteria aan een speciaal daarop gebaseerd Privacy volwassenheidsmodel. Door privacy actief te hanteren als kwalitatief element in de bedrijfsvoering, kunnen organisaties privacy benutten om de dienstverlening aan de klanten op een hoger peil te brengen en zo stapsgewijs en ‘natuurlijk’ naar een hoger niveau van volwassenheid te komen. Samen met afgestemde Privacy Quickscan en een nog te ontwikkelen Privacy QuickFix maakt dit document tot een praktische handleiding voor het vaststellen, groeien en borgen van de privacy volwassenheid in organisaties. We zoeken nog naar sponsors voor de ontwikkeling van een privacy-app.

Over CIP
Het Centrum Informatiebeveiliging en Privacybescherming (CIP) is een publiek-private netwerkorganisatie voor kennisdeling en krachtenbundeling op het gebied van informatieveiligheid. Meer dan 1500 mensen uit ca. 200 overheidsorganisaties maken deel uit van het netwerk. Een 80-tal grotere en kleinere marktpartijen zijn als kennispartner verbonden door middel van een samenwerkingsconvenant.
Door het delen van kennis willen we bijdragen aan een grotere weerbaarheid van de overheid die steeds meer ‘e-overheid’ wordt, met alle kwetsbaarheden van dien. CIP organiseert door het jaar heen tal van kennisbijeenkomsten, waaronder een tweetal grotere conferenties. Daarnaast wordt kennis uit het gehele netwerk vastgelegd in nuttige producten. Voor allen, door allen. Enkele voorbeelden daarvan:

• Grip op Secure Software Development – SSD: normenkaders voor veilige software en mobiele apps.
• Grip-op-Privacy (in dit artikel uitgebreid toegelicht).
• Uitingen die bruikbaar zijn in bewustzijnscampagnes of gewoon los inzetbaar: e-Learning en filmmateriaal, de zg. CIP-Casts.
• Workshops Grip-op-Privacy De serious game “Crisis” in een basisvariant en een gemeentevariant.
• Virtueel samenwerken voor de deelnemers in het CIP-netwerk m.b.v. de site https://cip.pleio.nl/.

Het materiaal is voor iedereen vrij toegankelijk onder een open source licentie op www.cip-overheid.nl. Op deze site vindt u het complete aanbod.