AI-tools die documenten samenvatten, software die klantgedrag analyseert, slimme apparatuur op kantoor en clouddiensten waarin grote hoeveelheden bedrijfsinformatie worden verwerkt. Nieuwe technologie kan processen veranderen en medewerkers nieuwe mogelijkheden geven, maar zorgt tegelijkertijd voor nieuwe vragen over persoonsgegevens.
Welke gegevens worden precies verzameld? Waar worden ze opgeslagen? Wie kan erbij? Worden gegevens gebruikt om een AI-model verder te trainen? En wat gebeurt er wanneer een leverancier de dienstverlening wijzigt?
Privacy zou daarom niet pas aan bod moeten komen wanneer een nieuwe toepassing al door de hele organisatie wordt gebruikt. Door vooraf te onderzoeken welke persoonsgegevens worden verwerkt en welke risico's daarbij ontstaan, kunnen problemen eerder worden herkend. Dat betekent overigens niet dat iedere nieuwe technologie automatisch een groot privacyrisico vormt. De aard van de gegevens, het doel, de schaal en de manier waarop de technologie wordt ingezet zijn bepalend.
Bij de introductie van nieuwe software gaat de aandacht vaak als eerste naar functionaliteit. Kan het systeem wat medewerkers nodig hebben? Is het gebruiksvriendelijk? En kan het worden gekoppeld aan bestaande processen?
Voeg daar vanaf het begin privacyvragen aan toe. Breng in kaart welke persoonsgegevens worden ingevoerd, verzameld of gegenereerd. Maak daarbij onderscheid tussen bijvoorbeeld algemene contactgegevens, financiële informatie en bijzondere persoonsgegevens.
Vraag vervolgens waarom deze gegevens nodig zijn. Dataminimalisatie is een belangrijk uitgangspunt binnen de AVG: verzamel en verwerk niet meer persoonsgegevens dan noodzakelijk is voor het beoogde doel.
Dit is bijvoorbeeld relevant bij AI. Een medewerker kan een handige generatieve AI-toepassing gebruiken om teksten samen te vatten, maar daarbij ongemerkt klantgegevens, personeelsinformatie of andere vertrouwelijke informatie invoeren. Een organisatie moet daarom niet alleen naar de leverancier kijken, maar ook afspraken maken over hoe medewerkers de technologie mogen gebruiken.
Veel moderne toepassingen draaien geheel of gedeeltelijk bij externe leveranciers. Dat betekent dat persoonsgegevens de eigen IT-omgeving kunnen verlaten.
Controleer daarom vooraf welke partijen betrokken zijn bij de verwerking. Waar worden persoonsgegevens opgeslagen? Worden andere leveranciers als subverwerkers ingeschakeld? Welke afspraken bestaan er over verwijdering en bewaartermijnen? En gebruikt een aanbieder gegevens uitsluitend om de afgesproken dienst te leveren of mogelijk ook voor andere doeleinden?
Ook internationale doorgifte verdient aandacht. Het feit dat een leverancier een bekend internationaal bedrijf is, betekent niet automatisch dat iedere verwerking zonder aanvullende beoordeling past binnen de AVG.
Leg relevante afspraken vast en zorg dat iemand binnen de organisatie verantwoordelijk blijft voor het beheer van leveranciers. Privacyrisico's kunnen namelijk ook veranderen nadat een contract is afgesloten, bijvoorbeeld wanneer een leverancier nieuwe functies introduceert of zijn voorwaarden aanpast.
Een Data Protection Impact Assessment, meestal afgekort tot DPIA, is een instrument waarmee vooraf de privacyrisico's van een gegevensverwerking worden onderzocht.
Een belangrijk onderscheid is dat een DPIA niet automatisch verplicht is zodra een organisatie nieuwe technologie gebruikt. Onder de AVG is een DPIA vereist wanneer een voorgenomen verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van mensen. Juist bij nieuwe technologie kan daarvan sprake zijn, afhankelijk van de aard, omvang, context en doeleinden van de verwerking.
Voorbeelden waarbij extra aandacht nodig kan zijn, zijn grootschalige verwerking van gevoelige gegevens, bepaalde vormen van profilering en geautomatiseerde besluitvorming of stelselmatige monitoring.
Het beoordelen van de noodzaak van een DPIA hoort daarom vroeg in een project thuis. Is een DPIA vereist, dan moet deze worden uitgevoerd voordat met de betreffende verwerking wordt begonnen.
Een DPIA heeft weinig waarde wanneer deze uitsluitend wordt uitgevoerd om een vinkje op een compliancelijst te kunnen zetten. Het doel is juist om te begrijpen welke gevolgen een verwerking voor mensen kan hebben en vervolgens passende maatregelen te nemen.
Daarbij wordt onder meer gekeken naar de geplande verwerking, de noodzaak en proportionaliteit daarvan en de risico's voor betrokkenen. Vervolgens kunnen maatregelen worden bepaald waarmee die risico's worden beperkt.
Denk bijvoorbeeld aan het verzamelen van minder gegevens, het verkorten van bewaartermijnen, het beperken van toegang of het aanpassen van een functionaliteit.
Organisaties die hiervoor intern onvoldoende kennis of capaciteit beschikbaar hebben, kunnen externe ondersteuning overwegen, bijvoorbeeld in de vorm van DPIA as a service. Uitbesteden neemt de verantwoordelijkheid van de organisatie echter niet weg. De organisatie moet zelf begrijpen welke persoonsgegevens worden verwerkt, waarom dat gebeurt en welke maatregelen worden genomen.
Blijkt uit een verplichte DPIA dat er ondanks de voorgenomen maatregelen een hoog restrisico blijft bestaan, dan kan voorafgaande raadpleging van de bevoegde toezichthouder noodzakelijk zijn.
Het is meestal gemakkelijker om privacy tijdens de ontwikkeling of selectie van technologie mee te nemen dan achteraf een volledig ingericht proces te moeten aanpassen.
Dit sluit aan bij het principe van gegevensbescherming door ontwerp en door standaardinstellingen. Denk bij de inrichting bijvoorbeeld aan minimale toegangsrechten. Niet iedere medewerker hoeft alle beschikbare persoonsgegevens te kunnen bekijken omdat dat technisch mogelijk is.
Ook pseudonimisering kan in bepaalde situaties relevant zijn. Daarbij worden identificerende gegevens zo verwerkt dat informatie zonder aanvullende gegevens niet direct aan een specifieke persoon kan worden gekoppeld. Pseudonimisering maakt gegevens echter niet automatisch anoniem. De AVG kan dus nog steeds van toepassing zijn.
Encryptie, logging, authenticatie en goed rechtenbeheer kunnen eveneens onderdeel zijn van de maatregelen. Welke combinatie passend is, hangt af van het risico en de specifieke verwerking.
Privacy stopt niet bij het moment waarop persoonsgegevens worden verzameld. Kijk naar de volledige levenscyclus.
Hoe lang blijven gegevens bewaard? Worden ze automatisch verwijderd wanneer ze niet meer nodig zijn? Wat gebeurt er met gegevens wanneer een medewerker uit dienst gaat of een klantrelatie eindigt? Kunnen gegevens uit back-ups of gekoppelde systemen worden verwijderd wanneer dat noodzakelijk is?
Nieuwe technologie kan deze vragen ingewikkelder maken. Een applicatie kan informatie bijvoorbeeld kopiëren naar verschillende omgevingen of gegevens gebruiken om nieuwe analyses en afgeleide informatie te produceren.
Maak daarom vóór ingebruikname duidelijk hoe gegevens door het systeem bewegen. Een eenvoudige gegevensstroom kan daarbij al veel inzicht geven: waar komen gegevens binnen, welke systemen verwerken ze, met welke partijen worden ze gedeeld en waar eindigen ze?
AI verdient binnen privacybeleid een eigen plek, omdat dergelijke toepassingen op verschillende manieren met persoonsgegevens kunnen werken. Dat geldt niet alleen voor systemen die rechtstreeks persoonsgegevens analyseren, maar ook voor algemene AI-tools die medewerkers zelfstandig gebruiken.
Stel daarom praktische regels op. Welke informatie mag een medewerker invoeren? Welke toepassingen zijn goedgekeurd? Mag een AI-systeem worden gebruikt voor beoordelingen van sollicitanten of medewerkers? En wanneer moet een menselijke beoordeling plaatsvinden?
Daarbij kunnen naast de AVG ook andere wettelijke regels relevant zijn. De regelgeving rond AI is in ontwikkeling en de verplichtingen kunnen verschillen afhankelijk van de toepassing en de rol van de organisatie.
Voorkom daarom een algemeen beleid waarin alle AI wordt verboden of juist zonder voorwaarden wordt toegestaan. Maak onderscheid tussen toepassingen en beoordeel de risico's per gebruikssituatie.
Privacybeleid werkt alleen wanneer duidelijk is wie beslissingen neemt. IT kijkt misschien naar technische beveiliging, juridische medewerkers naar contracten en privacyregels, terwijl een operationeel team vooral geïnteresseerd is in functionaliteit.
Breng deze perspectieven bij elkaar voordat een nieuwe technologie wordt aangeschaft.
Afhankelijk van de organisatie kan ook een Functionaris Gegevensbescherming (FG) betrokken zijn. Niet iedere organisatie is verplicht een FG aan te stellen. De AVG stelt hiervoor specifieke criteria. Wanneer een FG verplicht is of vrijwillig wordt aangesteld, moet diens onafhankelijke positie goed worden geborgd.
Organisaties kunnen bij vragen over privacy governance of de rol van een FG bijvoorbeeld expertise inwinnen bij een gespecialiseerde partij zoals DPO Consultancy. Ook hierbij geldt dat externe ondersteuning de eigen verantwoordelijkheid voor naleving van privacyregels niet vervangt.
Technische maatregelen en juridische documenten zijn onvoldoende wanneer medewerkers niet weten hoe zij in de dagelijkse praktijk met persoonsgegevens moeten omgaan.
Training hoeft daarbij niet uitsluitend te bestaan uit een jaarlijkse presentatie over de AVG. Praktische situaties werken vaak beter. Wat doe je als je per ongeluk een document naar de verkeerde ontvanger stuurt? Welke informatie mag in een AI-tool worden ingevoerd? Wat moet je doen wanneer een laptop wordt gestolen? En bij wie meld je een mogelijk datalek?
Zorg daarnaast voor een duidelijke route waarmee medewerkers vragen en incidenten kunnen melden. Hoe gemakkelijker dat is, hoe kleiner de drempel om een mogelijke fout tijdig te bespreken.
Een organisatie waarin medewerkers bang zijn om fouten te melden, kan juist waardevolle tijd verliezen wanneer zich een beveiligingsincident voordoet.
Een privacybeoordeling bij aanschaf is geen garantie dat een toepassing drie jaar later nog precies dezelfde risico's heeft. Software verandert, leveranciers voegen functies toe en organisaties gaan toepassingen soms op andere manieren gebruiken dan oorspronkelijk gepland.
Plan daarom periodieke evaluaties voor technologie waarmee persoonsgegevens worden verwerkt. Controleer bijvoorbeeld of toegangsrechten nog kloppen, gegevens niet langer worden bewaard dan nodig en nieuwe functionaliteiten geen andere gegevensverwerking introduceren.
Ook een bestaande DPIA kan opnieuw aandacht vragen wanneer de verwerking of de bijbehorende risico's wezenlijk veranderen.
Privacyrisico's bij nieuwe technologie aanpakken betekent daarmee vooral dat privacy onderdeel wordt van de volledige levenscyclus van technologie. Van selectie en ontwerp tot dagelijks gebruik, evaluatie en uiteindelijk het beëindigen van een systeem. Door vooraf de juiste vragen te stellen en verantwoordelijkheden duidelijk te beleggen, kan een organisatie technologische vernieuwing benutten zonder gegevensbescherming als sluitpost te behandelen.
