NL Publicatieblad van de Europese Unie C 463/10

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming inzake persoonsinformatiebeheersystemen

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website www.edps.europa.eu)

(2016/C 463/10)

Dit advies verkent het concept van technologieën en ecosystemen die beogen individuen de controle te geven over het delen van hun persoonsgegevens („persoonsinformatiebeheersystemen” of kortweg „PIBS”).

Onze visie is het creëren van een nieuwe werkelijkheid waar individuen hun online-identiteit beheren en er controle over hebben. Ons streven is om het huidige, op de aanbieders gerichte systeem om te vormen tot een op mensen gericht systeem dat individuen beschermt tegen de onrechtmatige verwerking van hun gegevens en tegen indringende tracerings- en profileringstechnieken die fundamentele gegevensbeschermingsbeginselen beogen te omzeilen.

Deze nieuwe werkelijkheid zal worden gefaciliteerd door het gemoderniseerde EU-regelgevingskader en de mogelijkheden die geboden worden door een krachtige, geïntegreerde tenuitvoerlegging door alle betrokken toezichthoudende en regulerende autoriteiten.

De onlangs aangenomen algemene verordening gegevensbescherming („AVG”) versterkt en moderniseert het regelgevingskader, zodat dit in het tijdperk van big data effectief blijft door het vertrouwen van individuen in de onlineomgeving en de digitale eengemaakte markt te versterken. De nieuwe regels, waaronder die inzake grotere transparantie en krachtige rechten op toegang en overdraagbaarheid van gegevens, beogen de gebruikers meer controle over hun gegevens te geven en kunnen ook bijdragen aan efficiëntere markten voor persoonsgegevens, waarvan zowel consumenten als bedrijven profiteren.

Ons meest recente advies betrof de effectieve uitoefening van grondrechten in het tijdperk van big data. Dat advies belichtte de huidige marktomstandigheden en ondernemingspraktijken die een obstakel vormen voor een effectieve uitoefening van het recht van individuen op de bescherming van hun persoonsgegevens en andere grondrechten, en riep op tot het opvoeren van de gezamenlijke, consistente handhaving van de wetgeving op het gebied van mededinging en consumenten- en gegevensbescherming. Wij hopen dat deze geïntensiveerde handhaving marktomstandigheden zal doen ontstaan waarin privacyvriendelijke diensten kunnen floreren. De benadering in dit advies is erop gericht de grondrechten in onze digitale wereld te versterken en tegelijkertijd nieuwe kansen te creëren voor bedrijven om innovatieve diensten op basis van persoonsgegevens te ontwikkelen, die op wederzijds vertrouwen zijn gebouwd. De PIBS beloven niet alleen een nieuwe technische architectuur en organisatie voor gegevensbeheer te bieden, maar ook vertrouwenskaders en, als gevolg daarvan, alternatieve ondernemingsmodellen voor de verzameling en verwerking van persoonsgegevens in het tijdperk van big data, op een wijze die de Europese wetgeving inzake persoonsgegevensbescherming meer eerbiedigt.

In dit advies zetten wij kort uiteen wat PIBS zijn, welke problemen zij zouden moeten oplossen, en op welke wijze. Vervolgens analyseren wij hoe zij kunnen bijdragen tot een betere bescherming van persoonsgegevens en aan welke uitdagingen zij het hoofd moeten bieden. Ten slotte identificeren wij de mogelijkheden om voort te bouwen op de kansen die zij bieden. Willen nieuwe ondernemingsmodellen voor gegevensbescherming floreren, dan zijn er misschien aanvullende prikkels nodig voor de aanbieders ervan. In het bijzonder moet worden onderzocht welke beleidsinitiatieven de verwerkingsverantwoordelijken zouden kunnen motiveren om deze wijze van gegevensverstrekking te accepteren. Voorts zou het initiatief van overheidsdiensten om PIBS als gegevensbron te accepteren in plaats van directe gegevensverzameling, de kritische massa voor de acceptatie van PIBS kunnen vergroten.

Het opkomende landschap van PIBS, die erop gericht zijn om individuen en consumenten de controle over hun persoonsgegevens terug te geven, verdient nadere overweging, ondersteuning en verder onderzoek met het oog op het bijdragen aan een duurzaam en ethisch gebruik van big data en de effectieve uitvoering van de beginselen van de onlangs aangenomen AVG.

I. PIBS: GEGEVENS DELEN, VOORDELEN DELEN?

1. De huidige omstandigheden waarin persoonsgegevens worden verwerkt, zijn vaak oneerlijk ten opzichte van de individuen wier gegevens het betreft. De wettelijke voorwaarden en technische instrumenten bemoeilijken de uitoefening van de rechten die individuen hebben en stellen de verwerkingsverantwoordelijken in staat om hun aansprakelijkheid te beperken. Gegevensmakelaars, reclamenetwerken, sociaalnetwerkaanbieders en andere bedrijven beschikken over steeds completere dossiers over de individuen die deelnemen aan de huidige digitale samenleving en individuen verliezen de controle over de digitale voetafdrukken die zij achterlaten. Individuen die benaderd, geprofileerd en beoordeeld worden door bedrijven waarover zij geen controle hebben of waarvan zij zelfs het bestaan niet kennen, kunnen zich hulpeloos voelen en moeten mogelijkheden krijgen om controle over hun identiteit uit te oefenen. Zelfs in gevallen waarin zij enige vorm van formele „kennisgeving” hebben gehad of de kans hebben gekregen om „akkoord te gaan” met algemene voorwaarden, ontdekken individuen vaak dat zij in een systeem zitten dat ontworpen is om maximaal munt te slaan uit persoonsgegevens, waardoor individuen geen echte keuze of controle meer hebben.

2. De mededeling van de Europese Commissie inzake big data (1) beschrijft een plan van maatregelen die gezamenlijk gericht zijn op persoonsgegevens- en consumentenbescherming. Hierin wordt met name het gebruik van „persoonlijke dataruimten” aanbevolen als gebruikersgerichte, veilige en beveiligde plaatsen voor het opslaan van en het eventueel aan anderen bieden van toegang tot persoonsgegevens. Wij onderschrijven de visie dat innovatieve digitale instrumenten en ondernemingsmodellen op basis van de „empowerment” van individuen aanmoediging verdienen. Hierdoor kunnen individuen profiteren van het delen van gegevens, dat wil zeggen deelnemen aan het gebruik en de verspreiding van hun persoonsgegevens.

3. In ons advies „Aanpak van de uitdagingen van big data” (2) hebben wij betoogd dat wij de juridische verplichting van effectieve toestemming moeten aanvullen met werkelijke, praktische controle over persoonsinformatie. Wij hebben betoogd dat „het bieden van toegangsrechten, in plaats van een administratieve last, een kenmerk van de aan klanten geboden diensten kan worden”, en dat organisaties die big data exploiteren „bereid moeten zijn om het geld dat zij genereren met de verwerking van persoonsgegevens te delen met de individuen wier gegevens het betreft”. In dat kader hebben wij opgemerkt dat „persoonlijke dataruimten kunnen helpen een aantal van de zorgen over het verlies van individuele controle over persoonsgegevens weg te nemen”. De onlangs aangekomen algemene gegevensbeschermingsverordening („AVG”) (3) heeft de wettelijke eisen voor toestemming versterkt (4) en effectieve, moderne beginselen van gegevensbescherming door ontwerp en door standaardinstellingen (5) geïntroduceerd, naast een nieuw recht op de overdraagbaarheid van gegevens (6). Wil het nieuwe gegevensbeschermingskader zijn belofte waarmaken, dan hebben wij praktische instrumenten nodig waarmee individuen hun rechten op een gemakkelijke, gebruiksvriendelijke wijze kunnen uitoefenen.

4. Dit advies verkent nieuwe technologieën en ecosystemen die beogen individuen de controle te geven over het verzamelen en delen van hun persoonsgegevens. Wij noemen dit concept „persoonsinformatiebeheersysteem” (kortweg „PIBS”) (7). Het PIBS-concept biedt een nieuwe benadering waarbij individuen houders zijn van hun eigen persoonsinformatie. Het kan zorgen voor een paradigmaverschuiving in het beheer en de verwerking van persoonsgegevens die sociale en economische gevolgen heeft. In contrast hiermee wordt het landschap van onlinediensten momenteel gekenmerkt door een klein aantal dienstverleners die de markt domineren door munt te slaan uit de persoonsgegevens van gebruikers in ruil voor „gratis” diensten. Dit gaat vaak gepaard met een ongelijke machtsverhouding, waarbij de klant slechts kan kiezen tussen „slikken of stikken”, en met informatieasymmetrie tussen de dienstverleners en gebruikers, met weinig tot geen transparantie voor de individuen over wat er met hun persoonsgegevens gebeurt.

5. Het basisidee achter het PIBS-concept is het transformeren van het huidige op de aanbieders gerichte systeem tot een systeem dat gericht is op individuen, die hun online-identiteit kunnen beheren en er controle over hebben (8). In beginsel moeten individuen kunnen beslissen of en met wie zij hun persoonsgegevens delen, voor welke doeleinden en gedurende hoe lang, en moeten zij hun persoonsgegevens kunnen traceren en desgewenst kunnen besluiten om deze terug te halen. Het is de moeite waard om te onderzoeken hoe PIBS kunnen helpen om een aantal zorgen over het verlies van de controle van individuen over persoonsgegevens weg te nemen, die geïdentificeerd zijn als een van de belangrijkste zorgen met betrekking tot big data (9).

6. Deze aanpak is gericht op het versterken van de grondrechten in onze digitale wereld en op het tegelijkertijd scheppen van nieuwe kansen voor ondernemingen om innovatieve diensten op basis van persoonsgegevens te ontwikkelen, die op wederzijds vertrouwen zijn gebouwd. De PIBS beloven een nieuwe technische architectuur en organisatie voor gegevensbeheer te bieden waarmee vertrouwenskaders worden gebouwd. Zij hopen in het tijdperk van big data alternatieve ondernemingsmodellen mogelijk te maken voor de verzameling en verwerking van persoonsgegevens, en wel op een wijze die de Europese gegevensbeschermingswetgeving meer eerbiedigt.

7. In dit advies zetten wij kort uiteen wat PIBS zijn, welke problemen zij beogen op te lossen, en op welke wijze (10). Wij analyseren hoe zij kunnen helpen om persoonsgegevens beter te beschermen en aan welke uitdagingen zij het hoofd moeten bieden. Ten slotte identificeren wij mogelijkheden om voort te bouwen op de kansen die zij bieden.

IV. CONCLUSIES EN VOLGENDE STAPPEN

4.1. Naar een volledige toepassing van de AVG — Kansen

54. Zoals hierboven is opgemerkt, heeft de EU-wetgever onlangs een hervormingspakket op het gebied van gegevensbescherming aangenomen dat het regelgevingskader versterkt en moderniseert, zodat dit in het tijdperk van big data effectief blijft.

55. De nieuwe AVG, met regels inzake een grotere transparantie en krachtige rechten op toegang en overdraagbaarheid van gegevens, zou moeten helpen om individuen meer controle over hun gegevens te geven en kan ook bijdragen aan efficiëntere markten voor persoonsgegevens, waarvan zowel consumenten als bedrijven profiteren.

56. De gedragscodes en certificeringsregelingen waarin de AVG voorziet, zijn prioritaire instrumenten die specifieke zichtbaarheid geven aan en een rol wegleggen voor technologie en producten die — net als PIBS — ten doel hebben om de wetgeving inzake persoonsgegevensbescherming effectiever te implementeren op praktisch niveau.

57. De PIBS staan echter voor de overstijgende moeilijkheid om te penetreren in een markt die gedomineerd is door onlinediensten op basis van ondernemingsmodellen en technische architecturen waarbij individuen geen controle over hun gegevens hebben, zoals uitgelegd in punt 3.9. De overgang naar een situatie waarbij individuen effectief de mogelijkheid hebben om aan een dienstverlener toegang tot bepaalde gegevens in hun PIBS te bieden in plaats van de gegevens direct aan de dienstverlener door te geven, zal aanvullende prikkels voor de dienstverleners vereisen. De Commissie kan gebruikmaken van de door haar aangekondigde initiatieven op het gebied van datastromen en –eigendom (11) om te onderzoeken welke aanvullende beleidsinitiatieven de verwerkingsverantwoordelijken zouden kunnen motiveren om deze vorm van gegevensverstrekking te accepteren. Voorts zou een initiatief waarbij overheidsdiensten PIBS als databron accepteren in plaats van directe gegevensverzameling, de kritische massa voor de acceptatie van PIBS kunnen vergroten.

58. Deze analyse zou kunnen worden aangevuld door maatregelen gericht op het leggen van de technische, maatschappelijke en economische funderingen, waaronder standaardiseringinspanningen, economische prikkels en bevordering van onderzoeks- en proefprojecten.

59. De overheden van de Europese Unie en de lidstaten en de projecten die zij medefinancieren, zijn de eerste plaatsen waar deze perspectiefverandering moet worden getest en bevorderd en hopelijk kan worden gerealiseerd.

4.2. Ondersteuning van PIBS en de onderliggende technologie op weg naar effectieve gegevensbescherming

60. Goede regelgeving, hoewel van cruciaal belang, is op zichzelf niet voldoende. Zoals wij reeds vermeldden in ons advies „Aanpak van de uitdagingen van big data” (12), moeten bedrijven en andere organisaties die veel moeite doen om innovatieve manieren voor het gebruik van persoonsgegevens te vinden dezelfde innovatieve mindset toepassen bij het uitvoeren van de gegevensbeschermingsbeginselen.

61. De bijdrage die technologie in het PIBS-model levert, is van fundamenteel belang. PIBS kunnen worden gebruikt om de benaderingen voor gegevensbescherming door ontwerp en de technologieën waarop zij steunen, te testen. Relevante onderzoeksonderwerpen waarvoor adequate ondersteuning en investeringen nodig zijn, zijn onder meer: interoperabel en privacyvriendelijk identiteitsbeheer; autorisatiemechanismen; data-interoperabiliteit; gegevensbeveiliging; en mechanismen voor de automatische uitvoering van tussen individuen en andere partijen gesloten „contracten”. Dit alles zal mede mogelijk worden gemaakt door cryptografie en encryptie en worden bevorderd door de goedkope beschikbaarheid van computingvermogen. In deze beginfase is gedecideerde steun van beleidsmakers, zoals de Commissie, voor fundamenteel en toegepast onderzoek op deze technologiegebieden noodzakelijk om de mogelijkheden die zich nu voordoen, niet kwijt te raken.

62. Ter bevordering van onderzoek en ontwikkeling en de inzet op de markt op het gebied van PIBS, adviseren wij de Commissie plannen te maken voor de mogelijke synergie met andere gebieden van de strategie voor de digitale interne markt, zoals cloudcomputing en het internet der dingen. Op deze manier kunnen proefprojecten worden uitgevoerd voor het opzetten en testen van de interactie tussen clouddiensten en IoT en PIBS.

4.3. Hoe de EDPS dit debat zal stimuleren

63. De EDPS wil een bijdrage leveren aan de bevordering van de private en publieke inspanningen in de hierboven geschetste richting. Wij zullen de gesprekken hierover blijven faciliteren, onder meer door de organisatie van evenementen/workshops, met het oog op het identificeren, stimuleren en bevorderen van de beste praktijken ter vergroting van de transparantie en gebruikerscontrole en ter verkenning van de mogelijkheden die PIBS bieden. Ook zullen wij het werk van het Internet Privacy Engineering Network (IPEN) als interdisciplinair kenniscentrum voor engineers en deskundigen op het gebied van de persoonlijke levenssfeer blijven faciliteren. In dit kader zullen wij een platform blijven bieden voor partijen die PIBS ontwikkelen en bevorderen opdat geprofiteerd kan worden van uitwisselingen met specialisten in andere technologieën en gegevensbescherming.

Gedaan te Marrakesh, 20 oktober 2016. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) Mededeling COM(2014) 442 inzake een bloeiende dataeconomie: https://ec.europa.eu/digital-single-market/en/news/communication-data-driven-economy

(2) Advies 7/2015 van de Europese Toezichthouder voor gegevensbescherming: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf, en meer bepaald afdeling 3.

(3) Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB L 119 van 4.5.2016, blz. 1).

(4) Zie onder meer artikel 6, lid 1, onder a), de artikelen 7 en 8 en de overwegingen 42-43 AVG.

(5) Artikel 25 AVG.

(6) Artikel 20 AVG.

(7) Verwante concepten zijn onder meer „persoonlijke dataopslagplaatsen”, „persoonlijke dataruimten” of „persoonlijke datakluizen”. Wij gebruiken in dit advies de term „PIBS”, aangezien dit de beste manier lijkt te zijn om het concept op een algemene en eenvoudig te begrijpen wijze te beschrijven. De afkorting „PIBS” zoals in dit advies gebruikt kan zowel naar het enkelvoud als het meervoud verwijzen: persoonsinformatiebeheersysteem of persoonsinformatiebeheersystemen.

(8) Zie overweging 7 AVG: „Natuurlijke personen dienen controle over hun eigen persoonsgegevens te hebben”. Zie bijvoorbeeld ook Doc Searls, The Intention Economy: When Customers Take Charge (Boston: Harvard Business Review Press, 2012).

(9) Zie bijvoorbeeld Ira S. Rubinstein, „Big Data: The End of Privacy or a New Beginning?”, International Data Privacy Law, 2013, vol. 3, nr. 2.

(10) Zie bijvoorbeeld het rapport inzake persoonlijke dataruimten dat de Universiteit van Cambridge voor de Europese Commissie heeft opgesteld: https://ec.europa.eu/digital-single-market/en/news/study-personal-data-stores-conducted-cambridge-university-judge-business-school

(11) Mededeling: Digitising European Industry — Reaping the full benefits of a Digital Single Market http://europa.eu/rapid/press-release_MEMO-16-1409_en.htm

(12) Advies 7/2015 van de Europese Toezichthouder voor gegevensbescherming, reeds aangehaald.