fruit

citroen

fruit

peer

Feiten 3 van 10: “Het is niet altijd mogelijk om het risico van her-identificatie te verlagen onder een eerder bepaalde drempel en tegelijkertijd een betekenisvolle data set te behouden voor specifieke verwerkingen.”

Anonimiseren is een proces dat zoekt naar de juiste balans tussen het reduceren van risico op her-identificatie enerzijds, en de bruikbaarheid van datasets voor de beoogde doelbinding anderzijds. Echter zijn, afhankelijk van de context en de oorsprong van de data, de her-identificatie risico’s onvoldoende te verminderen en beheersbaar.

Een situatie kan voorvallen wanneer een totaal aantal van mogelijke individuen te smal is gedefinieerd. Zodra er categorieën in de data grote verschillen kennen tussen individuen dan is Singling Out mogelijk.

Her-identificatie en Singling Out, alleen bij gegevensmisbruik?

Her-identificatie of Singling Out gebeurt sneller dan je denkt. Er hoeft ook zeker niet altijd sprake te zijn van (bewust) misbruik van gegevens of een ongevraagde inbraak op gegevens. Het gevaar komt dus absoluut niet alleen van buitenaf!

Op basis van voorgaand genoemde smalle selectie is het bijvoorbeeld eenvoudig herkenbaar aan de hand van de koppeling van een database met vingerafdrukken, verkregen voor toegang doeleinden. Minder herkenbaar is het door combinatiemogelijkheden en / of stapeling van een groot aantal demografische attributen of locatie data.

Stapeling van gegevens uit verschillende gegevensbronnen, vanuit verschillende eigenaren en met verschillende doelbinding maakt Singling Out zo simpel dat het een aan zekerheid grenzende waarschijnlijkheid wordt. Gegevens Stapeling is veelal onzichtbaar voor de interne organisatie, het is dus cruciaal om probate maatregelen te treffen en deze periodiek ook te toetsen aan effectiviteit.

Bewust onbekwaam, Onbewust bekwaam, Onbewust onbekwaam?

Hoe je het ook wendt of keert, deze processen zijn beheersbaar te maken.

Zorg allereerst voor toestemming voor de verwerking van gegevens, geef direct duidelijkheid in het doel van de vastlegging(en). Zorg voor goed gedocumenteerde systemen en processen. Leg niet alleen de data vast in de applicaties zelf, maar ook wáár die data wordt opgeslagen. Zorg voor eigenaarschap en richt de juiste verantwoordelijkheden in. Last-but-not-least: zorg voor een werkend de-escalatie protocol wanneer er iets fout (dreigt) te gaan.

Is het tijd voor de Autoriteit Data Management?

De Autoriteit Persoonsgegevens (AP) komt in 2016 voort uit het College Bescherming Persoonsgegevens (CPB), de opvolger van de Registratiekamer in 2001. Met de naamswijziging in 2016 kreeg de AP ook de bevoegdheid tot het opleggen van boetes. In januari van dit jaar is Algoritmetoezicht AP ook van start gegaan. Het toezicht op algoritmes stond al langer op het verlanglijstje, dus het Algoritmetoezicht was geen verrassing. (https://autoriteitpersoonsgegevens.nl/nl/nieuws/algoritmetoezicht-ap-van-start).

De rode draad is het gebruik van Persoonsgegevens en toezicht. Met de introductie van de Wet Bescherming Persoonsgegevens ook op naleving van de wetgeving.Persoonsgegevens zijn hierbij te beschouwen als alle gegevens die op welke wijze dan ook zijn te relateren aan een identificeerbare persoon, die nog in leven moet zijn.

Autoriteit Persoonsgegevens AP

Waarom is er nog geen Autoriteit Data Management?

De Wet bescherming persoonsgegevens gaat niet uit van “eigenaarschap”, maar gaat uit van het verbruik, het “verwerken”. Met dit verwerken wordt bedoeld alle handelingen, van registreren en opslaan, tot bewerken, kopiëren, wijzigen, aanvullen en wissen. Als partij A de adresbestanden van B gebruikt voor het versturen van bijvoorbeeld spam, dan valt partij A onder de regels van deze wetgeving. Ook gegevens als telefoonnummers en IP-adressen kunnen persoonsgegevens zijn, zelfs als er niets anders vastgelegd is.

U voelt het al aankomen: Waarom dan geen Autoriteit Data Management (ADM) of Governance (ADG)? De enige verklaring is dat er op dit moment nog geen expliciete wetgeving is, maar die was er voor 2016 ook nog niet, en toen hadden we al wel het CPB.

Een kwestie van tijd?

Is dan het ontbreken van een rechtstreekse link met Persoonsgegevens een valide ontsnapping? Nee, want in de definitie van “verwerken” hebben we te maken met een oneindig breed spectrum van impliciete gegevens, objecten en context.

De schier eindeloze mogelijkheden en toepassingen van data-integratie maken de oprichting en de noodzaak van de Autoriteit Data Management slechts een kwestie van tijd. Wij zijn in ieder geval helemaal voorbereid en klaar voor het gesprek. Vooruitzien is regeren toch, of is regeren vooruitzien?