Gevolgen van de Algemene Verordening Gegevensbescherming voor de architect in de digitale wereld

Momenteel worden privacy advocaten overstelpt met werk. Een oorzaak zijn successen van privacy-activisten zoals Maximillian Schrems, die ervoor zorgde dat het Europese Hof een streep heeft gezet door het Safe Harbor-verdrag met de Verenigde Staten. In Nederland heeft de meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid van de Autoriteit Persoonsgegevens tot veel aanvragen geleid. De nieuwe Algemene Verordening Gegevensbescherming (AVG) zorgt voor een nieuwe golf van vragen. Dit als gevolg veranderingen ten aanzien van verantwoordelijkheden enaansprakelijkheden. Dit vereist aanpassingen van bestaande overeenkomsten, waaronder de verwerkingsovereenkomsten. Gaan deze ontwikkelingen ook gevolgen krijgen voor het werk van de architect?

De AVG gaat zeker impact krijgen op de wijze waarop architecten hun werkzaamheden uitvoeren en de hoeveelheid werk. Met name het artikel 25: “Gegevensbescherming door ontwerp (Privacy by Design) en door standaardinstellingen (Privacy by Default)”, gaat van invloed zijn op de architect. Er worden passende technische en organisatorische maatregelen vereist om te voorkomen dat persoonsgegevens op een onrechtmatige manier worden verwerkt. De verordening spreekt een voorkeur uit voor technische maatregelen, ook bekend onder de term privacy enhancing technologies (PET). Technische maatregelen zijn in de regel moeilijker te omzeilen, maar deze kunnen niet voor alle vraagstukken een oplossing bieden. Privacy by Design zonder organisatorische maatregelen is daarom onmogelijk.

Elke organisatie moet zelf afwegen wat passende maatregelen zijn, rekening houdend met de stand van de techniek, de uitvoeringskosten en een reeks factoren die gegroepeerd kunnen worden in het begrip risico. Risico is een begrip dat 73 keer in de AVG wordt gebruikt. Verantwoordelijken voor de verwerking van persoonsgegevens moeten er voor zorgen dat risico’s worden beoordeeld, er maatregelen worden getroffen, en dat de werking van deze maatregelen kan worden aangetoond. Het is daarom van belang dat risicomanagement op een volwassen en integrale wijze toegepast gaat worden. De ISO 31000 Risicomanagement standaard is een voorbeeld van een raamwerk dat daarbij kan helpen. Het bestaande architectuurproces zal op het gekozen risicomanagement raamwerk afgestemd moeten worden, waarbij architecten een rol kunnen vervullen bij de identificatie en analyse van risico’s en de beoordeling van mogelijke maatregelen. In de vervolgstappen zal een architect in staat moeten zijn om passende oplossingen voor privacy requirements te kunnen selecteren, deze tegen elkaar te kunnen afwegen, en de impact te kunnen inschatten. Dit stelt eisen aan de kennis van de betrokken architect.

Het is geen ondenkbare situatie dat de realisatie van privacy requirements in bestaande IT systemen niet mogelijk is, te kostbaar is, of leidt tot een onbeheersbaar systeemlandschap. Dan is een strategische heroriëntatie vereist, gevolgd door veranderprojecten. De vereisten uit de verordening kunnen een organisatie ook doen besluiten om marketing, dienstverlening en/of andere processen structureel anders te gaan inrichten. Mogelijk wordt dit gezien de aangescherpte eisen ten aanzien van direct marketing en profilering zelfs noodzakelijk. Hierbij zou gebruik gemaakt kunnen worden van nieuwe concepten als personal data stores and user managed access. Dit zijn nog onvolwassen markten, wat vereist dat met zo een minimaal mogelijke impact kan worden overgestapt op die oplossingen en standaarden, die wel een dominante marktpositie verkrijgen. Dit door het toepassen van flexibele architecturen.

Flexibiliteit moet er voor gaan zorgen dat er invulling aan nieuwe verplichte privacy-requirements wordt gegeven en waarbij de impact op bestaande systemen en processen zo klein mogelijk blijft. IT systemen moeten bijvoorbeeld nieuwe lagen gaan bevatten, die op basis van autorisatieregels, data kunnen filteren en transformeren. Hiermee kunnen persoonsgegevens worden uitgefilterd en gemaskeerd, die voor de uitvoering van een bepaalde activiteit niet noodzakelijk zijn. Deze lagen vereisen fijnmazige autorisatiemodellen, die met bestaande of nog in ontwikkeling zijnde identificatie- authenticatie- en autorisatiemechanismen te koppelen zijn. Er is dus geen gebrek aan nieuwe architectuurvraagstukken.

Het is niet mogelijk om in dit korte schrijven de complete impact van de AVG  te behandelen, op de werkzaamheden van de architect. Op basis van de aangestipte onderwerpen zijn de volgende conclusies te trekken: ook voor de architect komt er veel werk aan; werkzaamheden moeten op de AGV worden afgestemd; algemene kennis over de AVG en specifieke kennis over privacy by design is daarbij een vereiste.

Weergaven: 222

Reactie van Danny Greefhorst op 18 Januari 2017 op 21.39

Meer weten? Op 22 februari zal Richard een sessie over het onderwerp verzorgen vanuit KNVI.

Meer informatie: https://www.ngi-ngn.nl/Afdelingen/Architectuur/Evenementen/het-nieu...

Opmerking

Je moet lid zijn van Via Nova Architectura om reacties te kunnen toevoegen!

Wordt lid van Via Nova Architectura

Sponsoren

Sessies

24 oktober: GIA/KNVI sessie theorie ontmoet praktijk meer...

Advertenties

Je kunt hier ook zelf adverteren

© 2017   Gemaakt door Stichting Digital Architecture.   Verzorgd door

Banners  |  Een probleem rapporteren?  |  Algemene voorwaarden