Wat is Privacy by Design?
Privacy by Design is het principe dat de bescherming van persoonsgegevens vanaf de eerste ontwerpstap in systemen, processen en producten wordt ingebouwd, in plaats van achteraf als losse maatregel te worden toegevoegd. Privacy wordt daarmee een eis in de architectuur, de techniek en de besluitvorming, net als functionaliteit of beschikbaarheid. In Europa is het geen vrijblijvend advies: artikel 25 van de AVG verplicht elke verwerkingsverantwoordelijke tot gegevensbescherming door ontwerp en door standaardinstellingen.
🧠 Waar komt Privacy by Design vandaan?
Het begrip is in de jaren negentig ontwikkeld door Ann Cavoukian, destijds Information and Privacy Commissioner van de Canadese provincie Ontario. In 2009 vatte zij het samen in zeven grondbeginselen. In oktober 2010 nam de internationale conferentie van privacytoezichthouders in Jeruzalem unaniem een resolutie aan die Privacy by Design erkende als essentieel onderdeel van privacybescherming.
| Grondbeginsel | Betekenis in de praktijk |
|---|---|
| Proactief, niet reactief | Privacyrisico’s voorkomen voordat ze ontstaan, in plaats van incidenten achteraf herstellen |
| Privacy als standaardinstelling | De gegevens van de gebruiker zijn beschermd zonder dat hij daar zelf iets voor hoeft te doen |
| Privacy ingebed in het ontwerp | Privacy is onderdeel van de architectuur, geen latere toevoeging |
| Volledige functionaliteit (positive-sum) | Geen schijnkeuze tussen privacy en functionaliteit of veiligheid; beide zijn haalbaar |
| End-to-end beveiliging | Bescherming over de hele levenscyclus, van verzameling tot vernietiging |
| Zichtbaarheid en transparantie | Werking en afspraken zijn controleerbaar voor betrokkenen en toezichthouders |
| Respect voor de gebruiker | Gebruikersgerichte keuzes, duidelijke informatie en sterke standaardinstellingen |
De AVG neemt deze zeven beginselen niet letterlijk over. Artikel 25 codificeert de kern ervan in juridische termen en koppelt die aan de beginselen uit artikel 5, zoals dataminimalisatie en opslagbeperking.
⚖️ Wat eist artikel 25 van de AVG precies?
De AVG geldt sinds 25 mei 2018. Artikel 25 bevat drie leden:
- Lid 1, by design - de verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen, zoals pseudonimisering, die de gegevensbeschermingsbeginselen effectief uitvoeren. Dat geldt al bij het bepalen van de middelen (het ontwerp en de inkoop) én tijdens de verwerking zelf. Daarbij weegt hij de stand van de techniek, de uitvoeringskosten, de aard en context van de verwerking en de risico’s voor betrokkenen.
- Lid 2, by default - standaard worden alleen gegevens verwerkt die voor het specifieke doel nodig zijn. Dat geldt voor de hoeveelheid verzamelde gegevens, de mate van verwerking, de bewaartermijn en de toegankelijkheid. Persoonsgegevens mogen standaard niet voor een onbepaald aantal personen toegankelijk zijn.
- Lid 3, certificering - een goedgekeurd certificeringsmechanisme (artikel 42) kan helpen om naleving aan te tonen.
De Europese toezichthouders (EDPB) werkten dit uit in Richtlijnen 4/2019, waarvan de definitieve versie 2.0 op 20 oktober 2020 werd vastgesteld. Overtreding van artikel 25 valt onder artikel 83 lid 4: een boete tot € 10 miljoen of 2% van de wereldwijde jaaromzet, als dat hoger is. In Nederland houdt de Autoriteit Persoonsgegevens toezicht.
Let op: de verplichting ligt bij de verwerkingsverantwoordelijke, niet bij de leverancier. Leveranciers worden alleen aangemoedigd. In de praktijk vertaalt een fabriek of gemeente artikel 25 dus naar eisen in het bestek bij de inkoop van een SCADA-, toegangs- of camerasysteem.
🔐 Hoe verhoudt Privacy by Design zich tot Security by Design?
| Aspect | Privacy by Design | Security by Design |
|---|---|---|
| Beschermt | Persoonsgegevens en de rechten van betrokkenen | Alle informatie, systemen en processen |
| Wettelijke basis | Artikel 25 AVG (sinds 2018) | Bijlage I van de Cyber Resilience Act voor producten met digitale elementen (volledig van toepassing vanaf 11 december 2027) |
| Verplicht voor | Verwerkingsverantwoordelijke | Fabrikant van het product |
| Typische technieken | Dataminimalisatie, pseudonimisering, bewaartermijnen, transparantie | Hardening, segmentatie, patchen, secure boot |
| Gedeelde technieken | Encryptie, Toegangsbeheer, Logging | Idem |
| Managementsysteem | ISO/IEC 27701 | ISO 27001, IEC 62443 |
Beide principes zijn complementair: zonder goede beveiliging is privacy niet te garanderen (artikel 32 AVG eist passende beveiliging), maar een goed beveiligd systeem kan nog steeds te veel gegevens verzamelen. Binnen de Nederlandse overheid zitten beide in NORA en de BIO. IEC 62443 bevat zelf geen privacy-eisen, maar de zones en toegangsregels uit die norm zijn wel bruikbare bouwstenen.
🧱 Welke ontwerpstrategieën en maatregelen horen erbij?
De Nederlandse onderzoeker Jaap-Henk Hoepman (Radboud Universiteit) beschreef in 2014 acht privacy-ontwerpstrategieën. Ze maken het principe concreet voor architecten:
| Strategie | Vraag in het ontwerp | Voorbeeldmaatregel |
|---|---|---|
| Minimaliseren | Hebben we dit gegeven echt nodig? | Geen naam, alleen een functierol op een operatorscherm |
| Verbergen | Wie kan het zien of koppelen? | Encryptie, pseudonimisering, gezichten onherkenbaar maken |
| Scheiden | Moet het centraal staan? | Verwerking lokaal op de edge |
| Aggregeren | Is detail per persoon nodig? | Alleen ploeggemiddelden doorsturen |
| Informeren | Weten betrokkenen wat er gebeurt? | Duidelijke informatie bij camera’s en in het personeelsreglement |
| Controleren | Hebben betrokkenen invloed? | Inzage en correctie mogelijk maken |
| Afdwingen | Wordt het beleid technisch afgedwongen? | RBAC, automatische verwijdering na de bewaartermijn |
| Aantonen | Kunnen we naleving bewijzen? | DPIA, verwerkingsregister, audit-logging |
Pseudonimisering verlaagt het risico, maar gepseudonimiseerde gegevens blijven persoonsgegevens. Alleen werkelijk geanonimiseerde gegevens vallen buiten de AVG.
🏭 Waar raakt Privacy by Design OT-omgevingen?
OT draait om machines en processen, maar steeds meer systemen leggen ook gedrag van mensen vast:
- Operatoridentiteit - een MES of elektronisch batchrecord registreert wie welke handeling deed. Die gegevens zijn nodig voor kwaliteit en traceerbaarheid, maar niet om individuele prestaties te vergelijken.
- Camera’s en Vision AI - een camera die een productielijn bewaakt, filmt vaak ook medewerkers. Gezichten maskeren of beelden op de edge verwerken voorkomt dat ruwe beelden het netwerk verlaten.
- RFID-badges en locatiebepaling - handig voor veiligheid en evacuatie, maar een locatiesysteem kan ongemerkt een personeelsvolgsysteem worden.
- Gebouwautomatisering - toegangslogs, aanwezigheidssensoren en slimme meters zeggen veel over het gedrag van medewerkers of bewoners.
- Historian en datalakes - procesdata met gebruikers-ID’s worden vaak jarenlang bewaard, terwijl de bewaartermijn voor persoonsgegevens veel korter kan zijn.
De koppeling van OT aan IT- en cloudplatforms maakt die gegevens breder toegankelijk, en dat is precies waar lid 2 van artikel 25 (toegankelijkheid) op ziet.
🛠️ Hoe past u Privacy by Design toe in een IT/OT-project?
- Inventariseer welke persoonsgegevens het nieuwe systeem verwerkt, ook indirecte zoals gebruikers-ID’s, IP-adressen en beeldmateriaal.
- Leg het doel vast per gegevensstroom en schrap wat niet nodig is.
- Beoordeel het risico. Een DPIA (artikel 35 AVG) is verplicht bij een waarschijnlijk hoog risico. De lijst van de Autoriteit Persoonsgegevens noemt onder meer grootschalig of stelselmatig cameratoezicht en het controleren van werknemers. Een privacy-dreigingsmodel, als aanvulling op Threat Modeling en een risicobeoordeling, helpt daarbij.
- Neem eisen op in het bestek: standaard uitgeschakelde gegevensdeling, rolgebaseerde toegang volgens Least Privilege, configureerbare bewaartermijnen en exportfuncties voor inzageverzoeken.
- Betrek de ondernemingsraad. Artikel 27 lid 1 van de Wet op de ondernemingsraden geeft instemmingsrecht bij regelingen over persoonsgegevens van werknemers (onderdeel k) en bij systemen die aanwezigheid, gedrag of prestaties kunnen waarnemen (onderdeel l).
- Test en documenteer de standaardinstellingen bij oplevering en leg ze vast in het verwerkingsregister.
| Gegevenstype in OT | Gangbare praktijk |
|---|---|
| Camerabeelden voor beveiliging | In de regel maximaal 4 weken bewaren, langer alleen bij een incident |
| Toegangslogs van gebouwen | Kort bewaren en alleen inzien bij een incident |
| Operator-ID in batchrecords | Bewaren zolang de kwaliteits- of productwetgeving dat eist |
| Ruwe beelden van Vision AI | Op de edge verwerken, alleen het resultaat opslaan |
📏 Welke normen helpen bij Privacy by Design?
- ISO 31700-1:2023 - de eerste internationale norm specifiek voor privacy by design, gericht op consumentenproducten en -diensten (januari 2023), met een deel 2 met use cases.
- ISO/IEC 27701 - het privacy-informatiebeheersysteem. De editie van 2019 was een uitbreiding op ISO 27001; sinds de editie van 2025 is het een zelfstandig certificeerbare norm.
- EDPB-richtlijnen 4/2019 - de gezaghebbende uitleg van artikel 25.
Daarnaast vragen nieuwe EU-regels om dezelfde denkwijze: de AI Act voor AI-systemen zoals vision-toepassingen en de Data Act voor gegevens uit verbonden producten.
❓ Veelgestelde vragen
Is Privacy by Design wettelijk verplicht?
Ja. Artikel 25 van de AVG verplicht elke verwerkingsverantwoordelijke sinds 25 mei 2018 tot gegevensbescherming door ontwerp en door standaardinstellingen. Overtreding kan een boete opleveren tot € 10 miljoen of 2% van de wereldwijde jaaromzet.
Wat is het verschil tussen privacy by design en privacy by default?
Privacy by design betekent dat privacybescherming in het ontwerp en de verwerking zelf wordt ingebouwd. Privacy by default betekent dat de standaardinstellingen alleen de noodzakelijke gegevens verwerken, zonder dat de gebruiker iets hoeft aan te passen. Beide staan in artikel 25 van de AVG.
Wat zijn de zeven principes van Privacy by Design?
De zeven principes van Ann Cavoukian zijn: proactief in plaats van reactief, privacy als standaardinstelling, privacy ingebed in het ontwerp, volledige functionaliteit, end-to-end beveiliging, zichtbaarheid en transparantie, en respect voor de gebruiker. De AVG neemt ze niet letterlijk over, maar artikel 25 bouwt erop voort.
Geldt Privacy by Design ook voor OT-systemen?
Ja, zodra een OT-systeem persoonsgegevens verwerkt, zoals operatorlogins, camerabeelden of badgeregistraties, geldt artikel 25 van de AVG. Privacy by Design in OT betekent vooral minder identificerende gegevens vastleggen, ze kort bewaren en de toegang beperken.
Is een leverancier verplicht om Privacy by Design toe te passen?
Artikel 25 van de AVG legt de plicht bij de verwerkingsverantwoordelijke, niet bij de leverancier. Daarom moet de afnemer privacy-eisen in het bestek opnemen. Voor de beveiliging van producten met digitale elementen geldt daarnaast de Cyber Resilience Act, die wel de fabrikant verplicht.
Is een DPIA altijd nodig bij Privacy by Design?
Nee, een DPIA is volgens artikel 35 van de AVG alleen verplicht bij een waarschijnlijk hoog risico, zoals grootschalig cameratoezicht of het monitoren van werknemers. Ook zonder DPIA moet u bij elk ontwerp aantonen dat u passende maatregelen voor Privacy by Design hebt genomen.
📌 Samengevat
Privacy by Design betekent dat u persoonsgegevens beschermt vanaf de tekentafel, en artikel 25 van de AVG maakt dat sinds 2018 verplicht.
Het principe van Ann Cavoukian is in Europa verankerd als gegevensbescherming door ontwerp en door standaardinstellingen. Met strategieën als minimaliseren, verbergen, scheiden en aggregeren, met eisen in het bestek en met instemming van de ondernemingsraad maakt u ook OT-systemen met camera’s, badges en operatorlogins privacyvriendelijk. Zo voldoet u aan de AVG en voorkomt u datalekken en reputatieschade.