Avg Privacy

AVG (GDPR) — Privacy by Design voor de overheid

Ontwerp en bouw privacy-conforme overheidssystemen conform de Algemene Verordening Gegevensbescherming (AVG/GDPR) en Nederlandse privacywetgeving.

Bron: Autoriteit Persoonsgegevens | AVG-tekst (EUR-Lex) | UAVG

Kernprincipes (Art. 5 AVG)

Grondslagen voor verwerking (Art. 6 AVG)

Let op: Overheidsorganisaties gebruiken primair grondslag (c) of (e). Toestemming (a) is bijna nooit een geschikte grondslag vanwege de ongelijke machtsverhouding.

Rechten van betrokkenen

Reactietermijnen

DPIA — Gegevensbeschermingseffectbeoordeling

Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt (Art. 35 AVG).

Wanneer verplicht?

AP-criteria (minimaal 2 = DPIA verplicht):

1. Beoordelen of profileren
2. Geautomatiseerde besluitvorming met rechtsgevolgen
3. Stelselmatige monitoring
4. Gevoelige of bijzondere gegevens
5. Grootschalige gegevensverwerking
6. Gekoppelde databases
7. Gegevens over kwetsbare personen (kinderen, werknemers, patiënten)
8. Nieuwe technologieën
9. Blokkering van een recht, dienst of contract

DPIA-structuur

Bijzondere persoonsgegevens (Art. 9 AVG)

Verwerking is in beginsel verboden, tenzij een uitzondering van toepassing is:

BSN (Burgerservicenummer)

Privacy by Design — implementatiepatronen

1. Dataminimalisatie

# FOUT: alle velden ophalen
user = db.query("SELECT * FROM users WHERE id = ?", user_id)

# GOED: alleen noodzakelijke velden
user = db.query("SELECT name, email FROM users WHERE id = ?", user_id)

2. Pseudonimisering

import hashlib
import secrets

def pseudonymize_bsn(bsn: str, salt: str) -> str:
    """Pseudonimiseer BSN met HMAC (omkeerbaar met sleutel)."""
    return hashlib.pbkdf2_hmac(
        'sha256',
        bsn.encode(),
        salt.encode(),
        iterations=100_000
    ).hex()

# Salt veilig opslaan, gescheiden van gepseudonimiseerde data
SALT = secrets.token_hex(32)
pseudo_id = pseudonymize_bsn("123456789", SALT)

3. Bewaartermijnen automatiseren

from datetime import datetime, timedelta

RETENTION_POLICIES = {
    "aanvraag_data": timedelta(days=365 * 5),      # 5 jaar (Awb)
    "logging_data": timedelta(days=365),             # 1 jaar
    "analytics_data": timedelta(days=90),            # 90 dagen
    "sessie_data": timedelta(hours=24),              # 24 uur
}

def cleanup_expired_data(data_type: str):
    """Verwijder gegevens waarvan de bewaartermijn is verstreken."""
    policy = RETENTION_POLICIES[data_type]
    cutoff = datetime.utcnow() - policy
    db.execute(
        f"DELETE FROM {data_type} WHERE created_at < ?",
        cutoff
    )

4. Toegangslogging

import logging

audit_logger = logging.getLogger("audit")

def log_data_access(user_id: str, resource: str, action: str, fields: list):
    """Log elke toegang tot persoonsgegevens (BIO2 8.15.01)."""
    audit_logger.info(
        "data_access",
        extra={
            "actor": user_id,
            "action": action,
            "resource": resource,
            "fields": fields,
            "timestamp": datetime.utcnow().isoformat(),
            # NOOIT persoonsgegevens zelf loggen
        }
    )

5. Consent management

from dataclasses import dataclass
from datetime import datetime
from enum import Enum

class ConsentStatus(Enum):
    GRANTED = "granted"
    WITHDRAWN = "withdrawn"

@dataclass
class ConsentRecord:
    subject_id: str
    purpose: str
    status: ConsentStatus
    granted_at: datetime
    withdrawn_at: datetime | None = None
    evidence: str = ""  # Hoe toestemming is verkregen

    def is_valid(self) -> bool:
        return self.status == ConsentStatus.GRANTED

Datalek-procedure

Meldingsplicht

Wat melden bij AP?

• Aard van het datalek (welke categorieën gegevens, hoeveel betrokkenen)
• Naam en contactgegevens FG/contactpunt
• Waarschijnlijke gevolgen
• Genomen en voorgestelde maatregelen

Verwerkingsregister (Art. 30 AVG)

Elke overheidsorganisatie moet een verwerkingsregister bijhouden:

Implementatie-checklist

• Grondslag bepaald: welke AVG-grondslag geldt voor elke verwerking?
• Verwerkingsregister: alle verwerkingen gedocumenteerd (Art. 30)
• DPIA: uitgevoerd waar verplicht (Art. 35)
• Dataminimalisatie: alleen strikt noodzakelijke gegevens verzamelen en verwerken
• Bewaartermijnen: gedefinieerd per gegevenstype; automatische opschoning
• Rechten betrokkenen: inzage, rectificatie, verwijdering, export geïmplementeerd
• Privacyverklaring: helder, in begrijpelijke taal, actueel
• Pseudonimisering: waar mogelijk gepseudonimiseerd verwerken
• Versleuteling: persoonsgegevens versleuteld in opslag en transport
• Toegangslogging: elke toegang tot persoonsgegevens gelogd (zonder PII in logs)
• BSN-bescherming: alleen bij wettelijke grondslag; versleuteld; niet in logs
• Verwerkersovereenkomst: afgesloten met alle verwerkers (Art. 28)
• Datalekprocedure: procedure ingericht voor melding aan AP binnen 72 uur
• FG betrokken: functionaris gegevensbescherming betrokken bij ontwerp
• Privacy by Default: standaardinstellingen zijn de meest privacy-vriendelijke

Gerelateerde skills

Meer informatie

• Autoriteit Persoonsgegevens | AVG-regelhulp
• AVG-tekst | UAVG
• DPIA-model Rijksoverheid
• Handleiding AVG Rijksoverheid