3.2 Privacybeginselen

Deze pagina is een concept. Reacties via nora@ictu.nl of tekstvoorstellen in de wiki zijn welkom.

Sinds 25 mei 2018 is de AVG van kracht. Hierin wordt gereguleerd hoe een organisatie dient om te gaan met de verwerking van gegevens over personen. De AVG is gebaseerd op een aantal belangrijke principes. In de informatie-architectuur dienen deze terug te komen. Een aantal van deze principes zijn:

Doelbinding; de gegevens worden slechts vastgelegd en gebruikt voor het doel waarvoor de app ontwikkeld wordt.
Legitimiteit en transparantie; het doel waarvoor de app en de gegevens worden gebruikt past binnen de doelstellingen van de organisatie. De organisatie moet o.a. kunnen uitleggen wat het doel is, waarom dit doel legitiem is, en welke gegevens worden verwerkt, wie er toegang toe heeft en met wie ze gedeeld kunnen worden.
Proportionaliteit en subsidiariteit; het proportionaliteitsvereiste brengt met zich dat het doel van de verwerking van de persoonsgegevens in verhouding moet staan tot de inbreuk op de privacy van de betrokkene. Het subsidiariteitsvereiste houdt in dat onderzocht moet worden of het doel ook op een andere wijze kan worden bereikt, waarbij de inbreuk op de privacy van de betrokkene minder is. De betrokkene is de persoon van wie de gegevens in de app en/of het achterliggende systeem worden vastgelegd of verwerkt.
Gegevensminimalisatie; er moeten niet meer gegevens verzameld worden dan strikt nodig is voor de aangegeven doelen.
Bewaar niet langer dan nodig; bij het bepalen van welke gegevens er benodigd zijn, dient ook vastgesteld te worden hoe lang deze gegevens bewaard mogen worden. Het uitgangspunt is hier niet langer dan nodig. Voor sommige informatie geldt een archief- of bewaarplicht. In dat geval gelden er behalve maximale bewaartermijnen ook minimale termijnen.
Accuraatheid; de gebruiker dient er op te kunnen vertrouwen dat de gegevens zoals deze gepresenteerd en vastgelegd worden correct zijn en blijven gedurende de tijd dat deze worden bewaard.
Vertrouwelijkheid; hoe hoger de classificatie van persoonsgegevens, des te hoger de eisen die aan vertrouwelijkheid worden gesteld. Deze eisen gelden voor de techniek (denk aan encryptie van de gegevens), maar ook voor het personeel en de processen binnen de verwerkende organisatie.
Verantwoording en rechten van betrokkene; het moet voor de betrokkene inzichtelijk zijn welke acties er met zijn gegevens zijn gedaan. Bijvoorbeeld: welke mutaties hebben er plaatsgevonden, wie heeft inzage gehad? Daarnaast heeft een betrokkene het recht om zijn gegevens in te kunnen zien, te laten muteren en te laten verwijderen (mits toegestaan binnen wettelijke kaders).
Maak aan de betrokkene duidelijk hoe de organisatie en app met de hierboven genoemde privacy-aspecten om gaat. Neem in de app een een (eenvoudig vindbaar) privacy-statement op.

Volgende pagina: 3.3 Vastleggen van informatie