Privacy by design

Begrebet er ældre end GDPR. Ann Cavoukian, dengang Information and Privacy Commissioner i Ontario, formulerede det i 1990'erne som syv grundprincipper: proaktivt, ikke reaktivt; privatliv som standardindstilling; privatliv indbygget i designet; fuld funktionalitet (plussum, ikke nulsum); sikkerhed fra ende til anden gennem hele livscyklussen; synlighed og gennemsigtighed; og respekt for brugerens privatliv. Den internationale konference for databeskyttelsesmyndigheder tilsluttede sig det ved en resolution i Jerusalem i 2010, og GDPR gjorde det til en retlig pligt i artikel 25.

Artikel 25, stk. 1 (databeskyttelse gennem design), kræver, at den dataansvarlige, både når midlerne til behandlingen fastlægges, og under selve behandlingen, gennemfører passende tekniske og organisatoriske foranstaltninger, fx pseudonymisering, der er designet til effektivt at gennemføre databeskyttelsesprincipperne i artikel 5, fx dataminimering, og til at integrere de nødvendige garantier. Hvad der er passende, afhænger af det aktuelle tekniske niveau, implementeringsomkostningerne, behandlingens karakter, omfang, sammenhæng og formål og risiciene for de registrerede. Artikel 25, stk. 2 (databeskyttelse gennem standardindstillinger), kræver, at der som standard kun behandles personoplysninger, som er nødvendige til hvert specifikt formål, og det gælder mængden af indsamlede oplysninger, omfanget af behandlingen, opbevaringsperioden og tilgængeligheden; især må oplysningerne ikke som standard gøres tilgængelige for et ubegrænset antal personer uden den registreredes medvirken. Artikel 25, stk. 3, lader en godkendt certificeringsmekanisme efter artikel 42 indgå som et element i at påvise overholdelse, og overtrædelser hører under det lavere bødeniveau i artikel 83, stk. 4, på op til 10 mio. euro eller 2 % af den globale omsætning.

EDPB's retningslinjer 4/2019 om artikel 25 (version 2.0, vedtaget i oktober 2020) understreger, at pligten påhviler den dataansvarlige, at "det aktuelle tekniske niveau" er et bevægeligt mål, og at effektiviteten skal kunne påvises, fx gennem nøgletal. Databehandlere og producenter er ikke direkte bundet, men betragtning 78 opfordrer producenter til at tage hensyn til databeskyttelse, og den dataansvarlige forventes at vælge værktøjer, der gør det muligt at overholde reglerne.

I udviklingsarbejdet oversættes princippet til skemagennemgange, der fjerner felter uden et angivet formål, pseudonymisering og tokenisering på feltniveau, opbevaringsperioder implementeret som automatisk sletning eller TTL frem for politiktekst, rollebaseret adgang afgrænset til formålet, aggregering, k-anonymitet eller differential privacy til analyse, behandling på klienten, hvor det er muligt, og privatlivsvenlige standarder som tilvalg af tracking og profiler, der som udgangspunkt er private. Privacy by design adskiller sig fra en konsekvensanalyse efter artikel 35, som er en konkret vurdering, der udløses af behandling med høj risiko, og fra security by design, der beskytter alle aktiver mod angribere; et system kan være velsikret og alligevel indsamle langt flere personoplysninger, end det har brug for.