Waarde uit data halen en tegelijkertijd privacy waarborgen? Het kan met Privacy-Enhancing Technology! Deze verzameling aan technologische methodieken helpt om gevoelige data privacy-veilig te verwerken. Echter, het effectief implementeren van PET in jouw dienstverlening tover je niet zomaar uit de hoge hoed. In deze blog geef ik vier richtlijnen voor organisaties om de uitdagingen bij het toepassen van PET op een goede manier aan te gaan.

Waar hebben we het precies over?

Binnen organisaties wordt voor allerlei processen en soorten dienstverlening data gebruikt, bijvoorbeeld om besluitvorming te optimaliseren. Wanneer daarbij persoonsgegevens worden verwerkt, zoals leeftijd, adres of een BSN, is het van belang dat de privacy van personen gewaarborgd blijft. De AVG verbiedt om zomaar allerlei gegevens te verzamelen en op te slaan, maar toch zullen er voor bepaalde doeleinden altijd nog persoonsgegevens nodig blijven, bijvoorbeeld in de zorg en bij overheden. In dergelijke situaties wordt de meerwaarde van Privacy-Enhancing Tech duidelijk.

PET is een parapluterm voor een breed scala aan toepassingen die elk op hun eigen manier de privacy van individuen verbetert in het proces van verzameling, opslag, en gebruik van data. De toepassingen zijn in te delen in grofweg drie groepen: 1) Gegevensverduistering of gegevensmaskering; 2) Cryptografie; 3) Decentrale analyse.

Gegevensverduistering kan bijvoorbeeld gerealiseerd worden door middel van pseudonimisering. Dit is een methode waarbij dataelementen worden verwijderd die gebruikt zouden kunnen worden om iemand te identificeren en vervangen door een pseudoniem. Een ander voorbeeld is differential privacy, waarbij ‘noise’ aan de ruwe data wordt toegevoegd om persoonlijke gegevens te maskeren.

Een tweede groep PETs maakt gebruik van cryptografie. Aan de data zelf wordt niets veranderd, maar deze wordt versleuteld zodat de data kan worden gebruikt zonder zichtbaar te zijn voor de gebruiker. De laatste jaren zijn grote stappen gezet in de ontwikkeling van geavanceerde cryptografische toepassingen zoals ‘homomorphic encryption’ en ‘multi-party computation’.

De derde groep maakt gebruik van decentrale analyse om privacy te verbeteren. ‘Federated learning’ technologie maakt het bijvoorbeeld mogelijk om machine learning van één model iteratief te laten plaatsvinden bij verschillende databronnen. De data hoeft op die manier niet in een centrale database te worden verzameld en opgeslagen.

Uitgebreidere informatie en meer voorbeelden van PET-toepassingen vind je in dit rapport van OECD.

Waarom PET gebruiken?

Soms is het gebruik van persoonlijk data essentieel, zoals bij overheidsdiensten en in de zorg, in andere gevallen biedt data kansen voor verbeterde efficiëntie of accuraatheid. Tegelijkertijd is het waarborgen van de privacy van individuen van groot belang, ook voor organisaties. Privacy is immers een belangrijke waarde, de AVG-wetgeving stelt eisen en imagoschade dient te worden voorkomen. Adequate risicobeheersing is hierin dus noodzakelijk. PET-toepassingen vormen een oplossingsrichting voor het beschermen van persoonlijke gegevens. Met behulp van PET kunnen namelijk gegevens zoals leeftijd, adres en BSN worden verwerkt zonder deze daadwerkelijk zichtbaar te maken voor de verwerker. Hoewel deze technologie vrijwel altijd zorgt voor een verlies aan efficiëntie, door de extra benodigde rekenkracht, weegt het behoud van privacy in veel gevallen op tegen de kosten. Bovendien zijn PETs de laatste jaren al fors toegenomen in efficiëntie.

Makkelijker gezegd dan gedaan

Hoe duidelijk de voordelen van PET ook zijn, de daadwerkelijke implementatie ervan binnen organisaties heeft een aantal uitdagingen. Allereerst gaat het bij de meeste PET-toepassingen om tamelijk complexe technologie die menig leek boven de pet gaat. Daarbij komt dat er verschillende PET-toepassingen zijn die elk op een specifieke manier privacy verbeteren. Kun je voor jouw casus het beste homomorphic encryption, differential privacy of toch liever federated learning gebruiken? Om deze vraag goed te kunnen beantwoorden is begrip van de specifieke privacy-enhancing technology nodig.

Echter, je bent er nog niet, wanneer je het technologisch op een rijtje hebt. Het gebruik van PETs roept ook juridische vragen op. Gelden regels met betrekking tot het verwerken van persoonsgegevens in dezelfde mate wanneer PET is geïmplementeerd? Aan welke eisen moet een PET implementatie precies voldoen zodat dit niet meer het geval is? Ben je eigenlijk verplicht om bepaalde toepassingen al te gebruiken? Ook op organisatorisch gebied zijn er een aantal uitdagingen. Allereerst is een PET-implementatie, hoe goed bedoeld ook, gedoemd te mislukken wanneer de organisatie een onvolwassen data infrastructuur heeft. Inzicht in en grip op de datastromen van, naar en binnen de organisatie is noodzakelijk om privacy goed te kunnen waarborgen. Daarnaast is er voldoende capaciteit (fte) nodig om de implementatie zorgvuldig te laten plaatsvinden.

Vier richtlijnen

Hoe ga je binnen je organisatie op een goede manier om met alle technische, juridische en organisatorische uitdagingen rondom de implementatie van PET? Hierbij mijn ideeën voor vier algemene richtlijnen die van belang zijn:

1. Data minimalisatie blijft uitgangspositie

Het feit dat Privacy-Enhancing Technology de privacy-veiligheid van persoonlijke gegevens verbetert, geeft geen vrijbrief om dan maar zoveel mogelijk data te verzamelen. De beste manier om persoonsgegevens privacy-veilig te houden blijft het zo min mogelijk verwerken en opslaan ervan. Met data minimalisatie als uitgangspositie, kunnen PETs vervolgens ingezet worden wanneer persoonsgegevens écht nodig zijn voor de dienstverlening. Principes als proportionaliteit en subsidiariteit, zoals beschreven in de AVG, blijven dus van belang.

2. Samenwerking als sleutel

Samenwerking in de keten en coöperatie met kennispartners is de sleutel tot een effectieve implementatie van PET. Samenwerking met PET leveranciers is nodig om externe, specialistische expertise te exploiteren. Daarnaast is samenwerking met dataleveranciers en modelleveranciers van belang om interoperabiliteit met de gewenste PET-toepassing te borgen.

3. Aandacht voor (human) resources

Om voldoende aansluiting te hebben met externe expertise, zal er alsnog ook intern voldoende knowhow opgebouwd moeten worden om PET duurzaam toe te kunnen passen. Training van data science teams kan daaraan bijdragen. Ook kunnen workshops ingezet worden om breder in de organisatie draagvlak te creëren voor implementatie van deze technologie en het realiseren van voldoende capaciteit.

4. Een integraal perspectief

Uiteindelijk is een perspectief op de organisatie als geheel van belang voor een effectieve implementatie van PET. Wanneer de algehele veiligheid van systemen wankelt, personeel slecht getraind of onbetrouwbaar is of onvoldoende privacy maatregelen getroffen zijn, zal privacy van individuen alsnog onvoldoende gewaarborgd zijn. Organisaties doen er dus goed aan te investeren in volwassen data governance en een serieus privacy beleid. Kortom, stoppen met gooien!

Als founding member van MyData zet InnoValor Advies zich in voor de privacy en autonomie van individuen. Meer weten over Privacy-Enhancing Tech? Benieuwd wat dit voor jouw organisatie kan betekenen? Neem contact op!