Artikel 25 (Privacy by default or design) in de General Data Protection Regulation (GDPR) is in de AVG vertaald in Gegevensbescherming door ontwerp en door standaardinstellingen (AVG Artikel 25). De tekst van het artikel is misschien niet eenvoudig te lezen, maar legt vooral de nadruk op het eerst goed nadenken over het beoogde doel van de verwerking en de vraag wat de minimale gegevensset is die je voor dat doel nodig hebt, voordat je aan de slag gaat met een oplossing (functionaliteit in een programma, app of webformulier).
Dus niet: "goh, als we dat gegevens ook meteen meenemen is dat wel handig want dan kunnen we meteen ... ". Dat laatste - de gretigheid om zaken efficiënter te regelen - zonder goed over de consequenties na te denken, is een extra verwerking met extra risico's op privacyschendingen. De stap om de vereiste expliciete toestemming te vragen (het is immers een andere verwerking dan die waarvoor eerder toestemming is gegeven) wordt veelal "vergeten". Reden genoeg voor de EDPB (European Data Protection Board zie deze pagina) om daarvoor een guideline te ontwikkelen die organisaties handvatten biedt, maar ook interessant is voor betrokkenen. Die Richtlijn is vertaald in het Nederlands en kun je via deze link raadplegen/downloaden.
EDPB, Minimale gegevensverwerking, Privacy by default, Privacy by design, Richtlijnen, Toestemming