Blog door Robert Grandia, Advocatenkantoor Legalz

Wanneer de AVG op 25 mei 2018 van kracht wordt, bent u wettelijk verplicht om privacybescherming in de software in te bouwen. De verantwoordelijkheid hiervoor ligt in de meeste gevallen bij de klant. De klant is namelijk ‘gegevensverantwoordelijke’ en bepaalt het doel en de middelen van de verwerking van persoonsgegevens. De klant zal de vraag echter vaak terugleggen bij de leverancier van zijn software, platform, website of app. Wat betekent de AVG eigenlijk voor uw software en welke stappen kunt u daarvoor nemen?

Wat betekent de AVG voor mijn software?
De gegevensverantwoordelijke moet volgens de AVG passende technische en organisatorische maatregelen treffen om persoonsgegevens te beschermen. Dit geldt zowel bij de bepaling van de verwerkingsmiddelen (denk aan software) als bij de verwerking zelf. De maatregelen moeten ervoor zorgen dat alleen persoonsgegevens worden verwerkt die noodzakelijk zijn voor elk specifiek doel van de verwerking. Dit geldt voor de hoeveelheid verzamelde persoonsgegevens, de mate waarin zij worden verwerkt, de termijn waarvoor zij worden opgeslagen en de toegankelijkheid daarvan. De maatregelen moeten er ook voor zorgen dat persoonsgegevens “in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal natuurlijke personen toegankelijk worden gemaakt”.

Privacy by default en privacy by design
Persoonsgegevens dient u te beschermen door middel van ontwerp (privacy by design) en door standaardinstellingen (privacy by default). Om privacy by default en privacy by design mogelijk te maken, moet privacybescherming een integraal deel zijn van de ontwerpkeuzes en de inrichting van software. Al in de architectuur moet vastliggen dat niet meer gegevens worden verwerkt dan noodzakelijk voor het doel en dat ze niet langer dan noodzakelijk worden bewaard. Daarnaast moet het voor betrokkenen mogelijk zijn om hun persoonsgegevens in te zien, te corrigeren en te wissen.

Een belangrijke rol om privacy by design te bereiken, is weggelegd voor beveiligingsmaatregelen. Denk daarbij aan acces control door het toekennen van gedifferentieerde autorisaties van onderscheiden gebruikers (need to know/need to access), maar ook aan algemene maatregelen zoals firewalls en encryptie van data of anonimisering ervan. De verplichting tot privacy by design geldt niet alleen voor nieuw ontwikkelde software, maar ook voor bestaande software. Applicaties die al sinds jaar en dag draaien moeten dus kritisch worden doorgelicht om te zien of deze voldoen aan de nieuwe regels rond privacybescherming. Een potentieel kostbaar karweitje, omdat achteraf aanpassen vaak vele malen duurder is.

Welke stappen kan ik als klant nemen om aan de AVG te voldoen?
Afnemers van software dienen zich bij de uitvraag of keuze voor software te beraden op de wijze waarop privacy by design voor hun organisatie en werkwijze wordt vertaald naar de software. Voor praktische handvatten kunt u bijvoorbeeld aansluiten bij publicaties als de Handleiding Privacy by Design van het Centrum voor Informatiebeveiliging en Privacybescherming. Ook bestaande applicaties moeten langs de maatlat worden gelegd.

Welke stappen kan ik als leverancier nemen om aan de AVG te voldoen?
Ook leveranciers doen er goed aan zich te beraden op de vraag of hun software AVG-proof is. Daarnaast geldt dat ontwikkelaars zich de wijze van softwareontwikkeling volgens de principes van privacy by design eigen dienen te maken. Ook hebben ze awareness en kennis nodig om software te maken die voldoet aan de eisen van hun klant en van de AVG.

Wilt u sparren over de eisen die de AVG stelt aan software? Neem direct contact op met Legalz of bekijk wat wij nog meer voor u kunnen betekenen op het gebied van de AVG.