Hvad Er Privacy By Design? Og Hvorfor Det Vigtigt ift. GDPR

Privacy by Design, som på dansk hedder indbygget databeskyttelse, blev i første omgang kun brugt i software- og systemudvikling. I software- og systemudvikling betyder Privacy by Design, at fortrolighedsforanstaltninger er indbygget i designet af systemer. Altså, at beskyttelse af persondata og privatlivets fred er centrale funktioner i systemet. 

Men Privacy by Design er ikke kun for softwareudvikling. Vi kan let bruge metoden i en bredere kontekst, herunder din virksomhed. For din virksomhed betyder det, at hver gang. der laves en ny proces eller aktivitet, skal databeskyttelse og privatliv tages i betragtning allerede fra begyndelsen af.

Med andre ord: At tænke på privatliv ved udvikling af nye processer er Privacy by Design.

Ideen er, at beskyttelse af dine kunders data og privatliv bør være et mål, du altid stræber efter lige så meget som dine forretningsmål. Ved at anvende Privacy by Design er dine kunders data og privatliv altid beskyttet, og kontrollen over disse data forbliver altid hos kunden, som til enhver tid kan trække samtykke tilbage.

Privacy by Design kan også ses i GDPR. GDPR har taget inspiration fra metoden i det, som den kalder ”Databeskyttelse som standard”. Dette nævnes i artikel 25 af GDPR, derfor går vi hurtigt igennem de to begreber, og hvordan de på mange måder er det samme. 

Artikel 25 af GDPR beskriver databeskyttelse som standard som “at integrere de nødvendige sikkerhedsforanstaltninger i behandlingen”. Med andre ord skal eventuelle databeskyttelse og sikkerhed indbygges i systemer, der behandler persondata.  Præcis ligesom med Privacy by Design. 

Privacy by Design og databeskyttelse som standard er juridiske forpligtelser i henhold til GDPR. Undladelse af at implementere dem betyder overtrædelse af GDPR. Men lige nu kan vi konstatere, at der ikke er blevet udstedt mange GDPR-bøder for ikke at implementere Privacy by Design, hvilket antyder, at Privacy by Design ikke håndhæves strengt. 

Dette betyder dog ikke, at du skal være ligeglad. Som tidligere sagt giver arbejdet med Privacy by Design mange fordele for din virksomhed, og Datatilsynet kan altid beslutte at begynde at håndhæve det mere strengt. 

Så hvordan kommer du i gang med Privacy by Design? 

Desværre er artikel 25 ganske kort, og ud over “passende tekniske og organisatoriske foranstaltninger” og to eksempler (pseudonymisering og dataminimering) giver den ikke meget vejledning om, hvad præcist “passende foranstaltninger” er. 

Heldigvis bidrager alle foranstaltninger, du allerede har iværksat til forbedring af din databeskyttelse, også til Privacy by Design. Vi har også allerede understreget, at det at tage små skridt i retning af Privacy by Design er helt rimeligt og den bedste vej frem for de fleste virksomheder, så der er ingen grund til at miste modet eller blive skræmt. 

For mere konkret vejledning kan vi se tilbage på det oprindelige koncept for Privacy by Design. Det blev først nævnt i 2009 af Ann Cavoukian, tidligere Information & Privacy Commissioner i Ontario, Canada. Hun udviklede de 7 Foundational Principles of Privacy by Design. 

De 7 principper er:

1. Proaktiv ikke Reaktiv; Forebyggende ikke Afhjælpende

2. Privatliv som standardindstilling

3. Privatliv integreret i design

4. Fuld funktionalitet – Positiv Sum, ikke Nulsum

5. End-to-End sikkerhed – Fuld livscyklusbeskyttelse

6. Synlighed og gennemsigtighed – Hold det åbent

7. Respekt for brugerens privatliv – Hold det brugerorienteret

Vi vil diskutere hver af dem kort nedenfor, hver gang forbinder vi dem med nogle første skridt i retning af “passende tekniske og organisatoriske foranstaltninger” som Privacy by Design eksempler. 

Det første af de 7 Privacy by Design principper fastlægger den generelle tankegang, du bør have gennem alle principperne. Databeskyttelse og privatliv bør være en del af de første faser, når der skabes nye initiativer i din virksomhed. 

Du bør altid sigte mod at forhindre privacy-problemer og databrud, i stedet for at reagere på dem, når de sker.

En måde at gøre dette på er at lave en risikoanalyse, hvor du identificerer potentielle privatlivs- og datarisici og deres indvirkning på din virksomhed. Du kan derefter lave tiltag for at undgå disse risici.

Vi har udviklet en skabelon til risikoanalyser, der kan hjælpe dig med at komme i gang med proaktivt at identificere risici i din organisation. 

• Have juridiske grunde til data, du indsamler 

• Kun at indsamle de data, du har brug for. Enhver anden dataindsamling bør være tilmeldingsbaseret 

• Slette de data, du ikke længere bruger eller har brug for 

Det tredje princip af Privacy by Design siger, at privatliv og sikkerhed bør være lige så vigtigt, som alle de forretningsmål, du forsøger at nå, når du designer nye processer eller aktiviteter.

En anden måde at tænke dette på er at kigge på potentielle sikkerhedsbrud på samme måde, som man anskuer designfejl i ens produkt. Du vil ikke blot rette en fejl i dit produkt, da det kan gå udover bundlinjen. Du vil sørge for, at fejlen ikke opstår igen.

Sådan skal du også tænke på sikkerhedsbrud. Disse skal ikke blot rettes, men man bør gå tilbage til tegnebrættet og re-designe processen eller systemet, så en sådan sårbarhed ikke kan opstå igen.

Dette vedrører det, vi diskuterede ovenfor: privatliv og sikkerhed bør være lige så vigtige som dine forretningsmål. Det betyder, at det ikke giver mening at tilføje sikkerhedsforanstaltninger efter at have designet en ny proces. Dette ville få sikkerhed til at føles mere som en sekundær prioritet og give dårlige løsninger. Resultatet er, at sikkerhedsforanstaltningerne kan være ret irriterende, og at folk måske forsøger at omgå dem, fordi det ville være mere effektivt end at acceptere dem.

Dette princip forsøger at forhindre det. Pointen her er, at privatliv ikke bør være noget, der modarbejder andre mål, f.eks. effektivitet eller funktionalitet.

Ved at arbejde med privatliv og sikkerhed fra starten er tanken, at sådanne falske dilemmaer kan overvindes for at skabe en win-win-situation – privatliv og effektivitet, privatliv og funktionalitet.

Men hvordan gøres dette i praksis konkret?

Ideen er, at den person eller det team, der er ansvarlig for databeskyttelse, er tættere involveret i designaktiviteter, så de lettere kan tilpasse sig forretningsmålene for et system eller en proces.

Så i stedet for at designe en arbejdsgang og derefter aflevere den til f.eks. din databeskyttelsesrådgiver for at kontrollere, om den er sikker nok, så kan du prøve at samarbejde mere med en fra IT fra starten. 

Dette princip af Privacy by Design omhandler at databeskyttelsen skal indtænkes i hele dataens livscyklus. Altså fra man modtager data, til man sletter den igen. Sikkerhed implementeres proaktivt før det første stykke information indsamles og bevares gennem hele livscyklussen, indtil dataene rettidig og sikkert ødelægges ved afslutningen af processen. 

• Kun strengt nødvendige data indsamles hver gang med et klart kommunikeret formål

• Data opbevares kun så længe, at det er nødvendigt for dens formål

• Data gemmes og behandles sikkert gennem f.eks. Kryptering, stærk adgangskontrol og logningsmetoder

• Data ødelægges sikkert, så snart de ikke længere er nødvendige for at opfylde formålet 

Dette Privacy by Design princrip er ganske ligetil. Du bør være åben og transparent over for de mennesker, du indsamler data fra, herunder hvilke data der indsamles, til hvilke formål, hvordan de behandles, og hvordan beskyttelsen sikres. Folk bør også tydeligt informeres om deres rettigheder og muligheder for at stille spørgsmål, indgive klager eller få deres data slettet. 

I bund og grund går dette ud på at have en klar og forståelig privatlivspolitik, som dine kunder let kan finde, når de er i tvivl. Derudover går det også ud på at kommunikere tydeligt og klart, hvorfor og hvordan I indsamler data, når I gør det. Dette princip minder på mange måder om princippet om lovlighed, rimelighed og gennemsigtighed i de 7 GDPR-principper.

Vi håber, at du nu har en bedre forståelse for, hvad Privacy by Design og databeskyttelse som standard forsøger at opnå, og hvorfor det er en god idé gradvist også at begynde at benytte denne tankegang i din virksomhed.

Lad os nu undersøge nogle af de “passende tekniske og organisatoriske foranstaltninger”, der kan bruges til at implementere Privacy by Design principperne i praksis. Vi har allerede diskuteret et par stykker; for eksempel periodisk at foretage en risikoanalyse, øve dataminimering og skrive en klar privatlivspolitik. 

Husk, at ingen forventer, at I er eksperter i Privacy by Design fra begyndelsen. Meget kan opnås gennem relativt små trin og handlinger. Så selv bare at arbejde med et eller få af nedenstående foranstaltninger kan bidrage markant til beskyttelse af privatliv og data i din virksomhed. Der er selvfølgelig også mange flere handlinger end bare dem, vi diskuterer her. 

At være gennemsigtig i din dataindsamling og behandling betyder, at du for hvert stykke information, du indsamler, klart skal dokumentere og formidle dit formål og juridiske grunde, og ved hvilke personer eller processer dataene vil blive behandlet af. Ved du ikke helt, hvor du skal starte? Vi har en guide til rollen som dataansvarlig og databehandler. 

Implementering af Privacy by Design gennem de 7 Privacy by Design principper involverer naturligvis en hel del tekniske foranstaltninger i dine it-systemer og arkitektur. Men som du sikkert har bemærket, er en organisations forretningspraksis og processer lige så vigtige for at sikre, at privatliv forbliver standarden, når det kommer til data. 

Det er sandsynligvis dine kollegaer, der skal stå for, at disse processer kører som de skal og dermed sikre stærk databeskyttelse. Dit team skal være opmærksom på, hvad personoplysninger er, hvilke almindelige risici der er, hvad de generelle regler for håndtering af personoplysninger er og så videre. 

Dit hold har brug for denne opmærksomhed og viden, så de kan forstå, hvorfor dine forretningsprocesser og systemer er designet med Privacy by Design. Hvis de forstår hvorfor, så er der større chance for, at de vil tilpasse sig processer, der involverer Privacy. Så forstår de f.eks., hvorfor de kun kan opbevare kundedata i et bestemt system eller lokation, og ikke i deres egne personlige regneark. 

Kort sagt: personalets opmærksomhed er en stor del af Privacy by Design. Uvidende personale vil uden tvivl behandle data på måder, der måske ikke er optimale, når det kommer til privacy. 

En god måde, at få dine medarbejdere til at tænke på privacy, er at bruge awareness-træning. Awareness-træning handler om at gøre folk opmærksomme på risici, regler, procedurer og mere. 

Awareness-træning kan altså være en måde at forklare medarbejdere vigtigheden af Privacy og databeskyttelse. 

Tag for eksempel det første Privacy by Design-princip: proaktiv ikke reaktiv; forebyggende ikke afhjælpende. At proaktivt identificere risici og udvikle passende foranstaltninger indebærer også at gøre dit personale opmærksomme på disse risici og træne dem i, hvordan de skal reagere på dem. 

Tilsvarende opfattes sikkerhedssårbarheder ofte som tekniske problemer, men en mangel på bevidsthed, der fører til, at en medarbejderklikker på et phishing-link, er lige så meget en sikkerhedssårbarhed. 

Vi har samlet 11 råd til at lykkedes med awareness-træning. Det er nemmere, at lykkedes end du tror! 

Selvom GDPR’s vejledning til Privacy by Design og indbygget datasikkerhed er kort og ganske vag, er det ikke svært at se, hvordan disse begreber let står i overensstemmelse med, hvad GDPR overordnet forsøger at opnå: at give individuelle brugere mere kontrol over deres data. 

Brug af Privacy by Design i din organisation bringer dig ikke kun godt i gang med at overholde GDPR, men det hjælper også med at opbygge et tillidsfuldt og åbent forhold til dine kunder og partnere.