NL Publicatieblad van de Europese Unie C 67/13

Samenvatting van het advies van de Europese Toezichthouder voor gegevensbescherming inzake „Het hoofd bieden aan de uitdagingen van big data: een oproep tot transparantie, gebruikerscontrole, ingebouwde gegevensbescherming en verantwoording”

(De volledige tekst van dit advies is beschikbaar in het Engels, het Frans en het Duits op de EDPS-website www.edps.europa.eu)

(2016/C 67/05)

„Het recht om met rust te worden gelaten is in feite het begin van alle vrijheid” (1).

Big data, mits op verantwoorde wijze uitgevoerd, kan voor de maatschappij en natuurlijke personen belangrijke voordelen en nuttige effecten opleveren, niet alleen op het gebied van gezondheid, wetenschappelijk onderzoek, het milieu en andere specifieke terreinen. Er bestaan echter ernstige zorgen over de daadwerkelijke en potentiële gevolgen van de verwerking van enorme hoeveelheden gegevens voor de rechten en vrijheden van natuurlijke personen, met inbegrip van hun recht op bescherming van de persoonlijke levenssfeer. De uitdagingen en risico’s van big data vereisen derhalve een effectievere gegevensbescherming.

De technologie mag onze waarden en rechten niet dicteren, maar evenmin mag het bevorderen van innovatie en het behoud van fundamentele rechten als hiermee onverenigbaar worden beschouwd. Nieuwe ondernemingsmodellen die nieuwe mogelijkheden benutten voor het massaal verzamelen, direct verzenden, combineren en hergebruiken van persoonsinformatie voor onvoorziene doeleinden, hebben de beginselen van de gegevensbescherming opnieuw onder druk gezet, hetgeen noopt tot een zorgvuldige overweging van de manier waarop deze toegepast worden.

De Europese gegevensbeschermingswetgeving is ontwikkeld om onze fundamentele rechten en waarden, met inbegrip van ons recht op bescherming van de persoonlijke levenssfeer, te beschermen. De vraag is niet zozeer of de gegevensbeschermingswetgeving moet worden toegepast op big data, maar meer hoe deze op innovatieve wijze moet worden toegepast in nieuwe omgevingen. Onze huidige beginselen voor gegevensbescherming, met inbegrip van transparantie, evenredigheid en doelbinding, vormen het uitgangspunt. Wij zullen onze fundamentele rechten in de wereld van big data dynamischer moeten beschermen. Deze moeten echter worden aangevuld met „nieuwe” beginselen die in de loop der tijd ontwikkeld zijn, zoals het verantwoordingsbeginsel en „privacy by design and by default” (ingebouwde privacy en privacy door standaardinstellingen). Het EU-pakket voor de hervorming van de gegevensbescherming zal het regelgevingskader naar verwachting versterken en moderniseren (2).

De EU is voornemens om de groei en het concurrentievermogen te maximaliseren door big data te benutten. De digitale eengemaakte markt kan echter de datagestuurde technologieën en ondernemingsmodellen, die in andere delen van de wereld gemeengoed zijn geworden in de economie, niet kritiekloos importeren. In plaats daarvan moet de EU een voortrekkersrol spelen bij het ontwikkelen van persoonsgegevensverwerking waarvoor bedrijven verantwoordingsplichtig zijn. Het internet heeft zich op zodanige wijze ontwikkeld dat „surveillance” — het traceren van het gedrag van mensen — voor een aantal van de meest succesvolle bedrijven als onmisbaar verdienmodel wordt beschouwd. Deze ontwikkeling noopt tot een kritische beoordeling en een zoektocht naar andere opties.

In elk geval geldt, ongeacht de gekozen ondernemingsmodellen, dat organisaties die grote hoeveelheden persoonsgegevens verwerken, zich aan de toepasselijke gegevensbeschermingswetgeving moeten houden. De Europese Toezichthouder voor gegevensbescherming is van mening dat een verantwoorde en duurzame ontwikkeling van big data gestoeld moet zijn op vier essentiële elementen:

— organisaties moeten veel transparanter zijn over hoe zij persoonsgegevens verwerken;

— gebruikers een grotere mate van controle bieden over de manier waarop hun gegevens worden gebruikt;

— gebruiksvriendelijke gegevensbescherming inbouwen in hun producten en diensten, en

— een grotere verantwoordingsplicht krijgen voor wat zij doen.

Als het gaat om transparantie geldt dat natuurlijke personen duidelijke informatie moeten krijgen over welke gegevens verwerkt worden, met inbegrip van geobserveerde en over hen afgeleide gegevens; zij moeten beter geïnformeerd worden over hoe en voor welke doeleinden hun informatie wordt gebruikt, met inbegrip van de logica die gebruikt wordt in algoritmes om aannames en voorspellingen over hen te doen.

Gebruikerscontrole zal ervoor helpen zorgen dat natuurlijke personen beter in staat zijn om ongerechtvaardigde vooroordelen te signaleren en fouten aan de kaak te stellen. Deze controle zal bijdragen aan het voorkomen van een secundair gebruik van gegevens voor doeleinden die niet aan hun legitieme verwachtingen voldoen. Met een nieuwe generatie gebruikerscontrole zal aan natuurlijke personen in voorkomende gevallen een echte, en beter geïnformeerde, keuze worden geboden en krijgen zij zelf meer mogelijkheden om hun persoonsgegevens beter te gebruiken.

Krachtige rechten op toegang en op gegevensoverdraagbaarheid en effectieve opt-outmechanismen kunnen dienen als voorwaarde om gebruikers meer controle over hun gegevens te bieden, en kunnen ook een bijdrage leveren aan de ontwikkeling van nieuwe ondernemingsmodellen en een efficiënter en transparanter gebruik van persoonsgegevens.

Door gegevensbescherming in te bouwen in het ontwerp van hun systemen en processen en door de gegevensbescherming aan te passen om echte transparantie en gebruikerscontrole mogelijk te maken, zullen verantwoordingsplichtige verantwoordelijken ook kunnen profiteren van de voordelen van big data, terwijl zij tegelijkertijd zorgen dat de waardigheid en vrijheden van natuurlijke personen worden gerespecteerd.

Maar gegevensbescherming is slechts een deel van het antwoord. De EU moet de beschikbare moderne instrumenten op een coherentere wijze inzetten, onder meer op het gebied van consumentenbescherming, de voorkoming van kartelvorming en onderzoek en ontwikkeling, om te zorgen voor waarborgen en keuze op de markt, waar privacyvriendelijke diensten kunnen floreren.

Om het hoofd te bieden aan de uitdagingen van big data, moeten we innovatie mogelijk maken en tegelijkertijd de fundamentele rechten beschermen. Het is nu aan de bedrijven en andere organisaties die veel moeite investeren in het vinden van innovatieve wegen om gebruik te maken van persoonsgegevens om met dezelfde innovatieve mindset de gegevensbeschermingswetgeving te implementeren.

Voortbouwend op eerdere bijdragen van de academische wereld en een groot aantal toezichthouders en stakeholders, wil de EDPS een nieuw open en geïnformeerd debat binnen en buiten de EU stimuleren door de civiele samenleving, ontwikkelaars, het bedrijfsleven, academici, overheidsinstanties en toezichthouders op betere wijze te betrekken bij hoe het creatieve potentieel van de industrie het best kan worden benut om de wet uit te voeren en onze privacy en andere fundamentele rechten optimaal te waarborgen.

6. Volgende stappen: de beginselen in de praktijk brengen

Om aan de uitdagingen van big data het hoofd te bieden, moeten wij innovatie mogelijk maken en tegelijkertijd de fundamentele rechten beschermen. Ter verwezenlijking hiervan moeten de gevestigde beginselen van de Europese gegevensbeschermingswetgeving worden gehandhaafd, maar op nieuwe manieren worden toegepast.

6.1. Toekomstgerichte regulering

De onderhandelingen over de voorgestelde algemene verordening inzake gegevensbescherming bevinden zich in de laatste fase. Wij hebben bij de EU-wetgevers aangedrongen op het vaststellen van een pakket voor de hervorming van gegevensbescherming dat het regelgevingskader versterkt en moderniseert zodat het in het tijdperk van big data effectief blijft door het vertrouwen van natuurlijke personen in de onlineomgeving en de digitale eengemaakte markt te versterken (3).

In Advies 3/2015, dat vergezeld ging van aanbevelingen voor een volledige tekst van de voorgestelde verordening, hebben wij duidelijk gemaakt dat onze huidige gegevensbeschermingsbeginselen, met inbegrip van noodzakelijkheid, evenredigheid, minimalisering van de gegevensverwerking, doelbinding en transparantie, de belangrijkste beginselen moeten blijven. Ze vormen het uitgangspunt dat we nodig hebben om onze fundamentele rechten in een wereld van big data te beschermen (4).

Tegelijkertijd moeten deze beginselen worden versterkt en effectiever worden toegepast, en op een meer moderne, flexibele, creatieve en innovatieve wijze. Ze moeten ook worden aangevuld met nieuwe beginselen, zoals het beginsel van een verantwoordingsplicht, gegevensbescherming en „privacy by design and by default”.

Een grotere transparantie, krachtige rechten op toegang en gegevensoverdraagbaarheid en effectieve opt-outmechanismen kunnen fungeren als voorwaarden om gebruikers meer controle over hun gegevens te bieden en kunnen ook bijdragen aan efficiëntere markten voor persoonsgegevens, waarvan zowel consumenten als bedrijven profiteren.

Ten slotte vormen de verbreding van het toepassingsgebied van de EU-wetgeving inzake gegevensbescherming tot organisaties die zich op natuurlijke personen in de EU richten, en de toekenning aan Europese gegevensbeschermingsautoriteiten van bevoegdheden tot toepassing van betekenisvolle remedies, met inbegrip van effectieve boeten, zoals die waarin de voorgestelde verordening zou voorzien, belangrijke voorwaarden voor een effectieve handhaving van onze wetgeving in een mondiale omgeving. Het hervormingsproces speelt in dit opzicht een sleutelrol.

Om te waarborgen dat de regels op effectieve wijze gehandhaafd worden, moeten onafhankelijke gegevensbeschermingsautoriteiten niet alleen worden voorzien van juridische bevoegdheden en krachtige instrumenten, maar ook van de middelen die nodig zijn om hun capaciteit af te stemmen op de groei van datagestuurde activiteiten.

6.2. Hoe de EDPS dit debat zal stimuleren

Een goede regulering, hoewel van wezenlijk belang, is niet afdoende. Bedrijven en andere organisaties die veel moeite besteden aan het vinden van innovatieve wegen om gebruik te maken van persoonsgegevens, moeten met dezelfde innovatieve mindset de gegevensbeschermingsbeginselen implementeren. Gegevensbeschermingsautoriteiten dienen op hun beurt een effectieve naleving af te dwingen en te belonen en overbodig(e) bureaucratie en papierwerk voorkomen.

Zoals aangekondigd in zijn Strategie 2015-2019, streeft de EDPS ernaar om deze inspanningen te helpen bevorderen.

Wij zijn voornemens om een externe ethische adviesgroep in het leven te roepen die bestaat uit vooraanstaande, onafhankelijke persoonlijkheden met een gecombineerde ervaring in meerdere disciplines die „de relaties tussen de mensenrechten, technologie, markten en ondernemingsmodellen in de 21e eeuw kunnen verkennen”, de impact van big data grondig kunnen analyseren, de daaruit voortvloeiende veranderingen in onze samenleving kunnen evalueren en kunnen helpen om aan te geven welke kwesties voorwerp van een politiek proces zouden moeten zijn (5).

Ook zullen wij een model ontwikkelen voor een eerlijk informatiebeleid van EU-organen die onlinediensten aanbieden, welk beleid kan bijdragen tot goede praktijken voor alle voor de verwerking verantwoordelijken.

Ten slotte zullen wij discussies faciliteren om bijvoorbeeld goede praktijken te identificeren, te stimuleren en te bevorderen om de transparantie en gebruikerscontrole te vergroten en mogelijkheden voor opslagplaatsen voor persoonsgegevens en gegevensoverdraagbaarheid te verkennen. De EDPS is voornemens om een workshop over de bescherming van big data te organiseren voor beleidsmakers en personen die omgaan met grote hoeveelheden persoonsinformatie bij de EU-instellingen en externe deskundigen, om vast te stellen op welke punten verdere specifieke advisering of sturing nodig is en om het werk van het Internet Privacy Engineering Network („IPEN”) als interdisciplinair kenniscentrum voor technici en privacydeskundigen te vergemakkelijken.

Gedaan te Brussel, 19 november 2015. Giovanni BUTTARELLI Europese Toezichthouder voor gegevensbescherming

(1) Public Utilities Commission v. Pollak, 343 U.S. 451, 467 (1952) (met een afwijkend standpunt van rechter William O. Douglas).

(2) Op 25 januari 2012 heeft de Europese Commissie een pakket voor de hervorming van het Europese gegevensbeschermingskader aangenomen. Dit pakket bestaat uit i) een „mededeling” (COM(2012) 9 definitief), ii) een voorstel voor een algemene verordening betreffende gegevensbescherming (de „voorgestelde verordening”) (COM(2012) 11 definitief), en iii) een voorstel voor een „richtlijn” betreffende gegevensbescherming op het gebied van de vervolging van strafbare feiten (COM(2012) 10 definitief).

(3) EDPS-advies 3/2015

(4) We moeten de verleiding weerstaan om het huidige beschermingsniveau af te zwakken in een poging om tegemoet te komen aan een geconstateerde behoefte aan een minder stringente benadering van regelgeving als het om big data gaat. Gegevensbescherming moet blijven gelden voor de verwerking in haar totaliteit, waartoe niet alleen het gebruik van de gegevens, maar ook de verzameling ervan behoort. Ook is er geen rechtvaardiging voor algemene uitzonderingen voor de verwerking van pseudonieme gegevens of voor het verwerken van publiekelijk beschikbare gegevens. De definitie van persoonsgegevens moet gehandhaafd blijven, maar kan wel enige verduidelijking in de tekst van de verordening zelf gebruiken. Deze moet namelijk alle gegevens bestrijken die betrekking hebben op een natuurlijke persoon die geïdentificeerd of eruit gepikt wordt of kan worden, ongeacht of dat door de voor de verwerking verantwoordelijke of door een andere partij gebeurt.

(5) EDPS-advies 4/2015.