Allerlei partijen houden zich bezig met vraagstukken op het gebied van persoonsgegevens, publiek én privaat. Informationele zelfbeschikking, gelijke kansen, privacy en veiligheid enerzijds, maar ook efficiency vergroten en administratieve lastendruk verminderen zijn allemaal zaken die bij dit onderwerp een rol spelen. De behoefte om data te kunnen delen tussen organisaties en personen is groeiende, maar tegelijkertijd kent verantwoord omgaan met data veel haken en ogen.
Het programma ‘Burgers en bedrijven in regie op hun gegevens’, kortweg Regie op Gegevens (RoG) is geïnitieerd door de Regieraad Dienstverlening onder de Digicommissaris en loopt in opdracht van de ministeries van BZK en EZ. De opdracht is om het speelveld en de reikwijdte van dit thema in kaart te brengen, in het bijzonder t.a.v. de toepassing van afsprakenstelsels.
Vertrekpunt
Het programma Regie op Gegevens hanteert als vertrekpunt dat mensen inzage moeten hebben in hun persoonlijke gegevens en het gebruik daarvan door derden, dat zij de mogelijkheid moeten hebben om gegevens te corrigeren of verwijderen en -niet in de laatste plaats- dat zij gegevens moeten kunnen (her)gebruiken, zowel binnen de overheid als daarbuiten. Hierdoor verbetert de transparantie, neem de kwaliteit van gegevens toe en wordt de positie van de burger versterkt. Voor burgers en bedrijven zorgt het voor lastenverlichtingen en het optimaliseren van processen.
Privacy by design
Persoonlijk datamanagement draagt bij aan transparantie, inzage en correctie, digitale zelfbeschikking, privacy, dataminimalisatie, de kwaliteitsverbetering van gegevens en zelfredzaamheid van mensen. Daarmee is PDM tevens een uitwerking van de beginselen zoals die gehanteerd worden bij ‘privacy by design’ en ‘security by design’.
Verkenning
De afgelopen periode is er informatie verzameld in het veld, bijvoorbeeld door middel van pilots. Maar ook is er nagedacht over passende afspraken om systemen te kunnen koppelen en gegevens te kunnen delen op een verantwoorde wijze, in juridische en technische zin, waarbij fundamentele vrijheden en digitale burgerrechten gewaarborgd worden.
De resultaten van deze verkenning zijn beschreven in een concept-greenpaper, getiteld ‘Regie op Gegevens? Durf te doen!’, met als bedoeling de discussie hierover verder aan te jagen. De greenpaper is tijdens een gelijknamige werkconferentie gepresenteerd. Hierna startte een consultatieperiode, waarin publieke, private en maatschappelijke partijen hun input in deze discussie hebben kunnen geven. Dit heeft geleid tot een definitieve greenpaper [link volgt].
Hieronder vind je een korte samenvatting van de informatie uit deze greenpaper.
Het belang van persoonlijke gegevens
Doordat je dankzij technologie meer dan ooit te voren allerlei persoonlijke informatie kunt en wílt gebruiken bij tal van publieke, private en privé–activiteiten is het digitaal en/of online verzamelen, verwerken en delen van persoonlijke gegevens significant gestegen ten opzichte van een decennium geleden, maar we voelen ons er lang niet altijd comfortabel bij. Er zijn vragen over privacy, over vertrouwen.
Daarnaast is de waarde van persoonlijke gegevens groot. Volgens het World Economic Forum wordt persoonlijke data zelfs een nieuwe economische activa, een waardevolle bron voor de economie van de 21ste eeuw die alle aspecten van de samenleving zal raken. En daarbij geldt op dit moment het cynische adagium: ‘if you’re not paying for it, you’re the product’.
Vertrouwen essentieel
Vertrouwen is een randvoorwaarde voor bestendige (economische) groei in een steeds digitalere wereld. Een gebrek aan vertrouwen leidt ertoe dat consumenten, bedrijven en overheidsdiensten aarzelen om transacties elektronisch uit te voeren en van nieuwe diensten gebruik te maken. Vertrouwen ontstaat als essentiële digitale rechten en waarden beschermd en geborgd zijn.
Nieuwe regelgeving op komst
Er zijn inmiddels belangrijke algemene verordeningen ontwikkeld: eIDAS en de AVG. eIDAS stelt alle Europese burgers en bedrijven in staat hun eigen nationale eID te gebruiken in andere Europese landen voor de toegang tot publieke dienstverlening, zoals het opvragen van een geboorteakte of het aanvragen van een vergunning. De verwachting is dat bedrijven naast de praktische voordelen ook in economische zin zullen profiteren van eIDAS.
Het aanbieden van grensoverschrijdende online diensten met behulp van eIDAS verhoogt de gebruiksvriendelijkheid van hun diensten en online veiligheid van diensten zoals e-commerce, financiële retaildiensten (bank en verzekeringen), gezondheidszorg en diensten aangeboden door de telecom sector. eIDAS wordt in september 2018 van kracht.
AVG, TOOP en PSD2
Iets eerder, in mei van dat jaar, wordt de Algemene verordening gegevensbescherming (AVG) van toepassing. Dat betekent dat vanaf die datum dezelfde privacywetgeving geldt in de hele Europese Unie (EU). De AVG zorgt onder meer voor een versterking en uitbreiding van privacyrechten en meer verantwoordelijkheden voor organisaties. Daarnaast wordt er gewerkt aan TOOP, The “Once-Only” Principle. Een project dat ervoor wil zorgen dat gegevens slechts eenmaal aan een overheidsorganisatie hoeven te worden aangeboden, waarna ze verder kunnen worden toegepast binnen de overheid. Wij kennen dat in Nederland ook wel als ‘eenmalige uitvraag, meervoudig gebruik’. TOOP wil dit principe doortrekken binnen de gehele EU in het kader van de ‘digital single market’. En dan is er ook nog sectorale wetgeving die een rol speelt, zoals de Payment Service Directive 2 (PSD2), waarmee de verdere uniformering van het betalingsverkeer in de Europese Unie wordt gerealiseerd, maar waar ook bepalingen instaan over de persoonlijke gegevens die daarmee samenhangen.
Er is meer nodig
Het vrije verkeer van persoonsgegevens is essentieel, waarbij tegelijkertijd een hoge mate van bescherming van persoonsgegevens en fundamentele rechten en vrijheden intrinsiek gegarandeerd moeten worden. Dit realiseren de AVG en eIDAS als zodanig echter niet expliciet. Het lijkt erop dat er een krachtig en coherent stelsel van afspraken op het gebied van betrouwbaar gegevensbeheer, -bescherming en –gebruik nodig is, waarmee de regie zoveel als mogelijk bij de betrokken burger (of bedrijf) gelegd kan worden, ook wel citizen-centric of user-centricity genoemd. Een generiek sector- (en liefst ook grens) overschrijdend stelsel van afspraken (trustframework) dat veilige, betrouwbare en gebruiksvriendelijke digitale uitwisseling van gegevens mogelijk maakt, zodat alle vormen van dienstverlening, samenwerking en handel zich ongehinderd kunnen ontwikkelen, terwijl privacybelangen en digitale rechten beschermd worden.
‘iDeal voor Data’
Dergelijke ‘trustframeworks’ bestaan al: creditcards, GSM, iDeal. Dankzij het iDeal-raamwerk van afspraken weet je als gebruiker dat je betrouwbaar kunt betalen en als deelnemer weet je dat de transactie goed zal verlopen. Daarnaast helpt een afsprakenstelsel om ‘vendor lock-in’, of beter ‘data lock-in’, te voorkomen, doordat wordt ingezet op data-interoperabiliteit en –portabiliteit. Uit de consultatie komt naar voren dat er behoefte is aan een dergelijk stelsel van afspraken voor persoonlijke gegevens, een ‘iDeal voor Data’.
Men kijkt naar de overheid
Zoals gezegd komt uit de consultatie op onze greenpaper naar voren dat men verwacht dat de overheid zich uitspreekt over zo’n raamwerk van principiële afspraken en uitgangspunten rondom PDM. Zodat iedereen die iets wil bouwen/ontwikkelen, z’n systemen wil openstellen of die van een ‘service’ gebruik wil gaan maken weet waar hij aan toe is. En als je kijkt naar alle rollen en verantwoordelijkheden die de overheid heeft rondom dit onderwerp is dit ook niet verwonderlijk. De overheid kan, in co-creatie met burgers, bedrijven en maatschappelijke partners, duidelijkheid creëren over de kaders en voorwaarden rondom gegevensdeling en (her)gebruik. Uitgaande van de fundamentele (digitale) rechten en vrijheden.