Het is alweer bijna 7 jaar geleden dat de AVG in werking is getreden. Sindsdien zijn de mogelijkheden en verantwoordelijkheden rondom de verwerking van persoonsgegevens flink veranderd. Volgens artikel 4, lid 1 van de AVG zijn persoonsgegevens alle gegevens die te herleiden zijn naar een natuurlijk persoon, of dat nu direct (zoals een naam) of indirect (zoals een IP-adres in combinatie met andere gegevens) is. 

In veel operationele systemen van bedrijven worden persoonsgegevens opgeslagen, die vaak naar een dataplatform of datawarehouse ontsloten en verwerkt worden. In een aantal van de dataplatformen waar wij met RBI de afgelopen jaren aan gewerkt hebben, hanteren we een duidelijk uitgangspunt als het gaat om de verwerking en opslag van persoonsgegevens: Encryptie-by-Design. 

De clou: bij het ontsluiten en beschikbaar stellen van de data, worden alle persoonsgegevens standaard versleuteld. Op die manier kunnen alle informatieproducten ontwikkeld worden op geëncrypte data. Alleen met een duidelijk doel wordt decryptie toegestaan. 

Waarom Encryptie-by-Design?

Het gebruik van Encryptie-by-Design is tweeledig. Enerzijds biedt het versleutelen van persoonsgegevens veiligheid tegen datalekken. Zonder de sleutel om de encryptie te ontsleutelen, is je data een stuk minder bruikbaar voor cybercriminelen, (neppe) Microsoft-callcenter medewerkers of bankhelpdeskfraude. Telefoonnummer “9drPe9SAOTA8mkQ1B/iwgK8zB4uc4dpbDgsopHg5eqA=” belt toch een stuk moeilijker dan 06-53162894.

Anderzijds is het een belangrijk uitgangspunt om structureel te voldoen aan de AVG. Artikel 32 van de AVG verplicht verwerkingsverantwoordelijken om passende technische en organisatorische maatregelen te treffen, waarbij encryptie expliciet genoemd wordt als één van de mogelijke maatregelen. Het zorgt voor bescherming tijdens opslag en verwerking van de gegevens en het maakt het gebruik van persoonsgegevens standaard een uitzondering, waardoor het beter te monitoren is waar persoonsgegevens gebruikt worden. 

Encryptie-by-Design: waar moet je op letten?

De implementatie van Encryptie-by-Design kan op veel manieren gebeuren, bijvoorbeeld tijdens ontsluiting van je data, voordat je het opslaat (in de bronze layer) of in de stap na het ontsluiten en standaardiseren van data (in de silver layer). In bijna alle gevallen is encryptie het beste toe te passen voordat er eindgebruikers en data engineers toegang toe hebben. Omdat verschillende systemen soms dezelfde data-elementen op een andere manier opslaan (zoals personeelsnummers), is het belangrijk om je data eerst te standaardiseren en dan te encrypten. Op die manier kun je nog steeds je data aan elkaar koppelen, ook al staat er een encrypted waarde.

Om te beginnen, kun je de volgende stappen aanhouden bij Encryptie-by-design:

Stap 1: Bepaal welke gegevens versleuteld moeten worden. 

Dit omvat niet alleen persoonsgegevens, maar ook andere gevoelige informatie die onder de AVG valt, zoals financiële gegevens of medische informatie. Vanuit een datamanagementperspectief kan het nuttig zijn om data te classificeren. Op basis van die classificatie biedt je de ontwikkelaars van het dataplatform de juiste kaders om de juiste encryptie keuzes te maken.

Stap 2: Kies een betrouwbare encryptiemethode en betrouwbaar sleutelbeheer

Momenteel wordt AES-256 beschouwd als de standaard voor veilige encryptie van je data. Mocht de industrie-standaard veranderen, zorg er dan ook voor dat je de mogelijkheid hebt om je encryptie te vernieuwen naar de nieuwe standaard. 

Daarnaast is het belangrijk dat de encryptiesleutels veilig worden opgeslagen en beheerd, bijvoorbeeld in een Key Vault. De toegang tot die sleutels kan strikt gecontroleerd worden om ongeautoriseerde toegang te voorkomen. 

Stap 3: Beperk decryptie tot het strikt noodzakelijke

Decryptie moet alleen mogelijk zijn voor gebruikers of systemen die het expliciete doel hebben om de ontsleutelde data te verwerken. Een marketeer hoeft bijvoorbeeld niet te weten wie er in zijn marketingselectie zitten, maar als er een marketingmail gestuurd wordt, is het wel handig als daar de naam van de aangeschreven persoon staat. Per case kan hier bijvoorbeeld een Data Privacy Impact Assessment (DPIA) voor opgesteld worden.

Stap 4: Test en monitor de implementatie continu

Het implementeren van Encryptie-by-Design is een continu proces, geen eenmalige actie. Het is belangrijk om periodiek te testen of de encryptie daadwerkelijk goed werkt en moet het decrypten van data strikt gemonitord worden. Worden gegevens ongeoorloofd ontsleuteld? Zorg dan voor een goede opvolging van deze actie. Het kan helpen om een monitoring-responseplan op te stellen, zodat een incident goed opgepakt kan worden.

Encryptie-by-Design, het veilig en verantwoord beheren van persoonsgegevens en gevoelige data

Encryptie-by-Design is een essentieel uitgangspunt voor het veilig en verantwoord beheren van persoonsgegevens en andere gevoelige data. Het zorgt niet alleen voor een solide bescherming tegen datalekken, maar helpt bedrijven ook om structureel te voldoen aan de AVG. Door persoonsgegevens standaard te versleutelen, kun je het risico op ongeautoriseerde toegang minimaliseren en de gegevensverwerking beter monitoren. Encryptie wordt zo een integraal onderdeel van je dataplatform, dat zowel de veiligheid als de compliance waarborgt.

Ben je klaar om Encryptie-by-Design in jouw organisatie toe te passen? Of heb je vragen over hoe je je dataplatform kunt inrichten om te voldoen aan de AVG en tegelijkertijd de veiligheid van persoonsgegevens te waarborgen? Neem contact met ons op en wij helpen je graag verder. Samen zorgen we ervoor dat je gegevens veilig zijn en blijven — zowel nu als in de toekomst.