Toon items op tag: Privacy First Solutions

"Enkele Nederlandse banken en fintechs werken samen met Stichting Privacy First aan een PSD2-keurmerk. Daarmee willen de bedrijven aan consumenten duidelijk maken wie ze hun data kunnen toevertrouwen. De Volksbank schaart zich als een van de eersten achter het initiatief. Op welke behoefte spelen de betrokkenen in?

De Europese betaalrichtlijn PSD2 levert behalve innovatie ook privacyzorgen op. De in januari in werking getreden richtlijn – Nederland volgt waarschijnlijk deze zomer met eigen wetgeving – zorgt ervoor dat consumenten bedrijven toegang kunnen geven tot hun bankrekening en (financiële) data. De vraag is echter of zij doorhebben privacygevoelige gegevens te delen. Eenmaal gedeeld kunnen banken die data bovendien niet meer ‘terughalen’.

Behalve een voordeel kleeft er dus ook een reëel risico aan PSD2, stelt Privacy First. Samen met enkele Nederlandse banken en fintech-bedrijven werkt de belangenorganisatie daarom aan een keurmerk. De partijen reageren daarmee op een uitspraak van De Nederlandsche Bank. Die zou eerder hebben vastgesteld dat hier behoefte aan is. Terwijl de AVG, de nieuwe Europese privacywet, moet zorgen voor betere bescherming zet PSD2 de achterdeur open, legt Martijn van der Veen van Privacy First uit.

Hoe zien jullie PSD2 vanuit privacy-oogpunt?

Van der Veen: “Het onderwerp privacy is binnen PSD2 veel te lang onderbelicht gebleven. Lang was PSD2 vooral een feestje voor fintechs en gericht op het innoveren van het betalingsverkeer.

“Met PSD2 kunnen partijen onder meer inzage krijgen in je transactiegegevens, bijvoorbeeld voor het krijgen van inzicht over meerdere bankrekeningen heen. Een bank mag die transactiedata niet zomaar verstrekken, daarvoor moet een consument ‘uitdrukkelijke toestemming’ geven. Dat is niet eventjes een vinkje zetten. De persoon moet ‘vrije, specifieke en geïnformeerde’ toestemming geven. Op papier is het dan prima geregeld. Maar de impact van PSD2 op de privacy kan veel groter zijn dan de vraag of iemands toestemming is geregistreerd.

“Onze grootste zorg is wat er gebeurt met de gegevens zodra die bij een dienstverlener liggen. Wat doen die ermee? Denk maar niet dat diensten beperkt blijven tot het tonen van transactiegegevens, bedrijven willen iets doen met die grote hoeveelheid gegevens die in hun bezit komt. Denk aan het doen van aanbiedingen, nieuwe diensten en vergelijkingen. Daarvoor willen ze gegevens koppelen, relateren en zoeken naar patronen. En uiteraard zit daar ook een verdienmodel aan vast.

“Een verkeerde framing is dat het ‘maar’ transactiegegevens zijn. Je kunt er ontzettend veel uit afleiden over iemands leven. Als je bij een bank drie jaar terug kan kijken, dan ontvangt de aanbieder ook direct drie jaar aan transactiedata. Aan rekeningnummers kan je aflezen of iemand vaak medische ondersteuning gebruikt, waar een persoon vaak komt en wat iemands leefpatroon is. Uit terugkerende overboekingen leid je af of iemand lid is van een religieuze organisatie of vakbond. Dat zijn gegevens die met goede redenen niet gebruikt mogen worden.

“Het gekke is, waar iedereen vanwege de AVG zijn best doet om zijn privacybescherming op orde te krijgen zet PSD2 de achterdeur wagenwijd open.”

Maar waarom is een keurmerk nodig?

“Het Privacy Keurmerk PSD2 moet consumenten helpen bij hun keuze voor een aanbieder. Het geeft informatie over of de aanbieder goed met de persoonlijke gegevens om zal gaan en te vertrouwen is. Daarbij willen we de open normen van de wet inkleuren. Nu bepaalt een aanbieder wat een fatsoenlijke bewaartermijn van gegevens is. En hoe snel hij reageert op klachten. Het is maar de vraag of het belang van de consument dan voorop staat. Het keurmerk informeert consumenten en stimuleert aanbieders om het niveau van privacybescherming te verhogen. Voor beide partijen is dat waardevol omdat dit het vertrouwen in een dienstverlener verhoogt.” (...)

Lees verder bij Emerce.

Tijdens een persbijeenkomst over PSD2 is het Privacy keurmerk PSD2-initiatief gepresenteerd. Met het keurmerk moeten financiële aanbieders en fintechs worden gestimuleerd om de privacy van consumenten centraal te stellen.

Volksbank

Als je de eindjes met moeite aan elkaar kunt knopen, krijg je op den duur lichamelijke klachten, aldus twee Utrechtse huisartsen in het AD/Utrechts Nieuwsblad van 7 maart jl. Wie een gezond leven wil, moet daarom ook financieel gezond zijn. Grip hebben op je eigen financiën en alle gegevens die daarbij horen, past daarbij. Op beide gebieden biedt de Volksbank graag een helpende hand.

De nieuwe PSD2-wetgeving maakt de weg vrij voor betaalapps van nieuwe partijen. Banken hebben niet langer het alleenrecht op het aanbieden van betaaldiensten. Dat lijkt goed nieuws voor de consument. Maar er is ook een keerzijde. Een klant die zijn data deelt met zo’n nieuwe aanbieder moet er rekening mee houden dat hij privacygevoelige gegevens deelt. De bank kan deze gegevens niet meer terughalen, dus de consument staat er alleen voor als hij spijt heeft.

De Consumentenbond waarschuwde recentelijk dat er nu al uit commerciële motieven op grote schaal persoonlijke data worden verzameld. Met PSD2 gaat dit alleen maar toenemen. Uiteindelijk is 90 dagen toegang voldoende om een digitaal profiel op te stellen dat verhandeld kan worden. De Volksbank wil dat niet en vindt dat de data van de klant bij de bank veilig moet zijn: "Dat betekent dat we geen data van klanten verkopen, zowel op individueel als geaggregeerd niveau. Wij verdienen ons geld als bank en niet met het verkopen van data van onze klanten."

De Volksbank ziet het als haar taak om klanten in de nieuwe veranderde omgeving te helpen op een veilige en weloverwogen manier met de eigen data om te gaan. Door goed voor te lichten (gratis is nooit echt gratis) maar ook door zelf aanvullende maatregelen te nemen:

• De hoofdschakelaar die het zelfbewustzijn vergroot; data delen wordt een weloverwogen beslissing. De hoofdschakelaar staat standaard op ‘uit’. Een klant die zijn data wil delen moet eerst de hoofdschakelaar omzetten, voordat hij de eerste keer opdracht aan de bank kan geven zijn data aan individuele partijen door te geven. Vervolgens moet de klant per partij ook apart opdracht geven. De klant kan per partij het delen van data tussentijds stopzetten. Of in één keer met de hoofdschakelaar, waarmee direct de toegang van alle partijen wordt gestopt.
• Samen met Privacy First, andere banken, KPMG en fintechs wordt er een PSD2-keurmerk ontwikkeld. Hiermee komen deze organisaties tegemoet aan de oproep van DNB die constateert dat dit nog ontbreekt en er behoefte aan is. Bij ons weten zijn we het eerste land dat zich hiermee bezig houdt. Met het PSD2-keurmerk moet het voor consumenten in één keer duidelijk worden aan wie zij hun data wel/niet kunnen toevertrouwen. De Volksbank werkt hard aan de verdere ontwikkeling, zodat het gereed is zodra de Europese PSD2-richtlijn in Nederland van kracht wordt.

Privacy First

Stichting Privacy First steunt het Privacy Keurmerk bij PSD2. Privacy First ziet het graag uitgroeien tot een internationaal keurmerk met draagvlak bij banken, fintechs, aanbieders, toezichthouders en consumentenorganisaties.

PSD2 biedt voordelen maar helaas ook risico's voor de privacy van mensen. Mensen zijn méér dan consumenten. Privacy First betwijfelt of de in PSD2 genoemde maatregelen om de gegevens en daarmee privacy van mensen te beschermen afdoende zullen zijn. Zo steunt PSD2 voor de bescherming van persoonsgegevens erg op de nieuwe Algemene Verordening Gegevensbescherming (AVG). Deze verordening is momenteel nog niet van kracht en we weten nog niet welke effecten PSD2 in de praktijk zal hebben of hoe het toezicht eruit zal gaan zien. Veel organisaties zijn nog niet klaar om te voldoen aan alle eisen. Ze zullen echter niet wachten met het aanbieden van hun diensten. Ook toezichthouders zijn niet klaar om alle privacyaspecten te handhaven. Met PSD2 wil men gaan vliegen zonder dat de parachute is gecontroleerd.

We hopen dat het keurmerk financiële aanbieders en vooral fintechs stimuleert om verder te gaan en de consument als mens centraal te stellen. We willen dat de eisen van het keurmerk ieder jaar hoger worden. We willen dat aanbieders oog hebben voor de 'informatie achter de informatie':

• Onthulling van gedrag en gegevens door anderen
• Diensten met als achterliggend doel gegevens te verzamelen (oneigenlijke toepassing)
• Het afleiden van gegevens, zoals transactiedata waaruit bijzondere persoonsgegevens afgeleid kunnen worden.

We roepen fintechs op verder te gaan met de mogelijkheden om gegevens te beperken. Denk aan het uitsluiten van transactiedata die kunnen wijzen op religie, politieke voorkeur en gezondheid. Maar ook beperking van de duur van de transactiedata.

Tevens gepubliceerd op https://www.privacy-web.nl/nieuws/privacy-keurmerk-psd2-initiatief-gepresenteerd.

NATIONALE PRIVACY CONFERENTIE 2018 

Op dinsdag 30 januari 2018 organiseerden ECP|Platform voor de InformatieSamenleving en Privacy First in het Amsterdamse Volkshotel gezamenlijk de allereerste Nationale Privacy Conferentie. Met de snelle digitalisering van onze maatschappij staat het recht op privacy in toenemende mate onder druk. Hoe kunnen wij als samenleving digitaliseren én onze privacy behouden en versterken? Hoe zou Nederland zich kunnen ontwikkelen tot internationaal Privacy Gidsland? Tijdens de conferentie probeerden wij gezamenlijk antwoorden op deze vragen te vinden.

SPREKERS

Aleid Wolfsen (Autoriteit Persoonsgegevens)

Onze eerste keynote speaker was Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens. Hij begon zijn presentatie met het filmpje dat te vinden is op www.hulpbijprivacy.nl, de nieuwe campagne van de Autoriteit Persoonsgegevens over de Algemene Verordening Gegevensbescherming (AVG) die op 25 mei 2018 in werking treedt. Dit is een bewustmakingscampagne voor iedereen over de rechten en plichten die voortvloeien uit de nieuwe Europese privacywetgeving.

De huidige Wet bescherming persoonsgegevens (Wbp) wordt ingetrokken, want die wet is verouderd en niet up-to-date met de huidige digitale samenleving. De Algemene Verordening Gegevensbescherming is technologieneutraal en voorziet in die behoefte.

Het recht op privacy is een grondrecht en is ook in verschillende Europese verdragen opgenomen. Dit recht wordt door de EU uitgewerkt in wetgeving door middel van richtlijnen en verordeningen. De Algemene Verordening Gegevensbescherming heeft directe werking in de lidstaten.

“Als we praten over privacy, dan praten we ook over de fundamenten van de Nederlandse rechtsorde. Als je het privacyrecht van mensen schendt, dan raak je die fundamenten. En die fundamenten van de Nederlandse rechtsorde zijn 1) gelijkheid, 2) solidariteit, 3) de klassieke vrijheidsrechten en als laatste de democratische rechtsstaat.”

Privacy was vroeger een stuk eenvoudiger, je deed bijvoorbeeld de gordijnen dicht en niemand kon zien wat je op tv keek of welke boeken je in de kast had staan. Het privacyrecht wordt alsmaar belangrijker, aangezien alle gegevens kunnen worden opgeslagen en aan elkaar kunnen worden gekoppeld. Wanneer we zouden kijken in de telefoon van de bezoekers van deze conferentie en zouden opzoeken wat hun laatste zoektermen waren in een zoekmachine, dan zouden we wellicht meer weten over de bezoekers dan zijn/haar partner en ook meer weten over je gezondheid dan je huisarts. Daarom is het zo belangrijk dat er nu in Europees recht is vastgelegd dat je persoonsgegevens worden beschermd.

Waar gaat het nou eigenlijk om bij privacy?
Privacy is bescherming tegen een almachtige, alwetende overheid. Het recht om met rust gelaten te worden, om onbevangen overal jezelf kunnen zijn, zonder dat je gevolgd wordt en bespied wordt of dat overal camera’s hangen. Dat je als vrij burger, in een vrij land, vrij kunt leven. Dat je alleen maar prijsgeeft waarvan jij denkt dat dat prijsgegeven moet worden. Daarom wordt dataprotectie per dag alsmaar belangrijker.

De drie pijlers onder de AVG
De eerste pijler is versterking en verbreding van de privacyrechten van mensen. Zoals het recht op inzage, de toestemming wordt strenger, recht op correctie, recht op vergetelheid, dataportabiliteit en het recht om te kunnen klagen. Als je vanaf 25 mei as. denkt dat je onrecht wordt aangedaan, dan kun je bij de Autoriteit Persoonsgegevens een klacht indienen en die klacht gaat de Autoriteit verplicht behandelen. Want als tweede pijler heeft de Autoriteit Persoonsgegevens als Europese privacytoezichthouder meer bevoegdheden gekregen. Indien de Autoriteit oordeelt dat bepaald handelen onrechtmatig was, dan zal de Autoriteit ook optreden. Dit kan door middel van een waarschuwing, maar ook door het opleggen van (draconische) boetes.

Als derde pijler: meer verantwoordelijkheden voor organisaties. De plicht om gegevensverwerkingen te melden bij de Autoriteit komt te vervallen, want elke overheid en bedrijf verwerkt inmiddels gegevens. Organisaties moeten wel een register bij gaan houden met wat ze verwerken en dit moet je ook kunnen verantwoorden. Elke overheidsinstelling en sommige private organisaties zijn verplicht om een Functionaris Gegevensbescherming aan te stellen. Daarnaast moeten bedrijven en overheden een Privacy Impact Assessment doen. Twee andere belangrijke beginselen voor verwerkingsverantwoordelijken zijn privacy by design – als je iets gaat ontwikkelen dan moet dat privacyvriendelijk worden ontwikkeld – en privacy by default.

Wat betekent de wet voor de toezichthouder?
De Autoriteit Persoonsgegevens is verantwoordelijk voor het toezicht en de handhaving van de wet, krijgt steviger boetebevoegdheden, internationale samenwerking, grensoverschrijdende bevoegdheden, voorlichting voor het algemeen publiek en aan organisaties.

Wanneer is een Functionaris Gegevensbescherming verplicht?
Overheden en publieke organisaties zijn altijd verplicht een functionaris gegevensbescherming te hebben. Daarnaast ook wanneer een organisatie bijzondere persoonsgegevens verwerkt, zoals een zorginstelling, of indien je grootschalig mensen observeert.

Antwoorden op vragen uit het publiek:

Wat gebeurt er met het geld van de boetes?
Deze gaan terug naar de Rijkskas, naar de algemene middelen.

Kunt u meer vertellen over de Uitvoeringswet van de AVG en heeft het invloed op Europese samenwerking?
De Uitvoeringswet ligt momenteel nog bij de Tweede Kamer. Nederland probeert de AVG zo neutraal mogelijk te implementeren, want hoe meer we zouden afwijken, hoe moeilijker het zou worden om op Europees niveau samen te werken.

Is er een overgangstermijn voor de handhaving?
Nee, er is geen overgangstermijn, want de inwerkingtreding heeft al heel lang geduurd. In 2016 is er nog twee jaar extra gegeven voor de inwerkingtreding zodat bedrijven compliant met de AVG kunnen worden.

Klik HIER voor de presentatie van Aleid Wolfsen (pdf).

Gerrit-Jan Zwenne (Universiteit Leiden)

De tweede keynote speaker was Gerrit-Jan Zwenne, als hoogleraar verbonden aan het eLaw Centrum voor Recht en Digitale Technologie van de Universiteit Leiden. Zwenne plaatste in zijn betoog een aantal kanttekeningen bij de privacywetgeving en begon met een citaat van Niels Bohr: “It’s hard to make predictions. Especially about the future.” Onze wetgever doet voorspellingen over de toekomst en technologische ontwikkelingen. Wat was het begin van het moderne denken over privacy? In vrijwel alle scripties die Zwenne voorbij ziet komen staat een voetnoot of citaat uit een belangrijke publicatie uit 1890 door Samuel Warren en Louis Brandeis in de Harvard Law Review. Zij schreven een artikel over the right to be left alone naar aanleiding van een technologische ontwikkeling, namelijk het draagbare fototoestel. Een aantal andere ontwikkelingen, zoals de trein en de krantenpers, zorgden ervoor dat een beeld binnen aanzienlijke tijd het hele continent kon bereiken. Hierover dachten Samuel Warren en Louis Brandeis na: zou dit allemaal zomaar mogen, je zou toch het recht moeten hebben om met rust gelaten te worden?

Waar komt onze eigen huidige privacywetgeving vandaan? Ook dat is een reactie op technologische ontwikkelingen en dan denken we vooral aan de computer. Al in de jaren 50 zorgden computers voor vrees over wat er met de gegevens gebeurde. Begin jaren 70 richtte de maatschappelijke discussie zich op het profileren door middel van computers. Moeten we het machtsevenwicht dat is verstoord door computers, doordat gegevens worden vastgelegd, reguleren door middel van wetgeving en de burger rechten geven over wat er is vastgelegd in die computer? In Nederland werd toen de Commissie Koopmans ingesteld, deze heeft een rapport geschreven dat is behandeld in de Tweede Kamer, maar daar is vervolgens niks mee gedaan. In Duitsland is toen wel wetgeving gekomen, als directe reactie op de technologische ontwikkelingen. Uiteindelijk is dat de basis geweest voor de Europese Privacyrichtlijn (95/46/EC) en onze Wet bescherming persoonsgegevens (Wbp). Bij nieuwe wetgeving probeer je te voorspellen wat de komende technologische ontwikkelingen zijn, aangezien je wilt dat de wet toekomstbestendig is. In het juridische domein lossen we dat op door open begrippen en vage normen. We bedenken nieuwe rechten en soms zijn die experimenteel. Een gewaagd en interessant experiment is het recht op vergetelheid. Dat is eigenlijk een wat merkwaardig experiment; we hebben nog geen idee wat dat betekent voor onze samenleving. En het is ook te ongenuanceerd. Daarnaast is er dataportabiliteit, waarbij je gegevens van de ene partij kan overdragen naar een andere partij. De partijen moeten de gegevens helder aan de consument verstrekken, vaak zul je hierbij eigen ‘kluisjes’ krijgen bij bedrijven, mijn-telecomprovider, mijn-muziekdienst, mijn-energiedienst. En daaraan kleven ook privacyrisico’s, onder andere qua beveiliging en ook wanneer je van de ene partij wilt overstappen naar een ander. Dit kan al snel via één klik, maar je wilt hierbij ook een sterke authenticatie.

Het recht op vergetelheid
De Chinese keizer Qin Shi Huangdi liet alle boeken van vorige regimes verbranden. Dat is het gevoel dat Gerrit-Jan Zwenne een beetje heeft bij het recht op vergetelheid. Is het een goed idee dat we de geschiedenis op die manier gaan herschrijven? Inmiddels is hij wat genuanceerder, in de tijd van Big Data, dat we iets moeten hebben wat lijkt op het recht op vergetelheid, maar wellicht is het nu nog te absoluut. Misschien moet het vergeetrecht gelden voor vijf of tien jaar en daarna krijg je een jaar van te voren een mededeling, mocht je het langer willen laten gelden, dat je een nieuw verzoek moet doen. We moeten die rechten in balans brengen met het recht op informatie en het recht op vrijheid van meningsuiting. Zo’n absoluut vergeetrecht is niet alleen onhoudbaar, via bijvoorbeeld een VPN in de Verenigde Staten vind je de informatie toch wel weer, maar het is ook niet wenselijk. Het vergeetrecht is nog onvoldoende doordacht.

Er zijn volgens Zwenne nog meer gebreken in de privacywetgeving aan te wijzen. Deze definitie kent u natuurlijk: “’personal data’ means any information relating to an identified or identifiable natural person”. Dit is een kernbegrip uit de AVG en de Wbp en het is toch raar dat mensen met verstand van data, met verstand van informatie, zich afvragen waarom wij dat zo definiëren. Mensen met verstand van informatie definiëren informatie immers aan de hand van data. In de privacywetgeving wordt dat omgedraaid en dat kan helemaal niet, aldus Zwenne.

Klik HIER voor de presentatie van Gerrit-Jan Zwenne (pdf).

 “Onderzoeker”

Plots kwam een onderzoeker de zaal binnen. Op een ludieke manier testte hij de bereidwilligheid van aanwezigen om hun mobiele telefoon af te geven aan hun buurman of buurvrouw. Met de vragen die hij stelde probeerde hij in kaart te brengen welke informatie je wel wilt delen en welke niet. Het publiek van deze conferentie was op haar hoede en deelde weinig. De onderzoeker was een acteur van “Wat we doen”; een theatergroep die een maatschappelijk thema (dit keer privacy) onder de aandacht wil brengen van o.a. scholieren. Voor meer informatie hierover verwijzen we graag naar https://watwedoen.nl/.

Jaap-Henk Hoepman (Radboud Universiteit)

De derde spreker van de dag was Jaap-Henk Hoepman, directeur van het Privacy & Identity Lab aan de Radboud Universiteit Nijmegen. Hoepman sprak met name over privacy by design:

Voor veel mensen is privacy by design een vaag begrip. Het gaat erom dat je privacyaspecten meeneemt in het hele ontwikkeltraject van systemen. Vanaf het moment dat je gaat nadenken van het concept van het systeem, tot het ontwerp en daarna de implementatie. Dat maakt privacy eigenlijk een soort software quality attribute, vergelijkbaar met security en performance. Daarnaast is privacy by design een proces, omdat het door het gehele ontwikkelproces moet worden meegenomen.

Waarom is privacy by design belangrijk?
Privacy by design beperkt privacy-risico’s en daarmee ook eventuele reputatieschade of herstelkosten. Wie verkleint, vermindert of voorkomt kan deze schade beperken, onder het motto: “Wat je niet hebt kun je ook niet verliezen.” Een ander aspect dat onderbelicht is, is dat het nieuwe business mogelijk maakt, net zoals security by design internetbankieren mogelijk maakt. Privacy by design is noodzakelijk als je dingen in bijvoorbeeld de zorg, Internet of Things of Quantified Self voor elkaar wilt krijgen op een verantwoorde manier. En als laatste waarom privacy by design noodzakelijk is, is omdat het een vereiste is uit de AVG.

In Nijmegen heeft men nagedacht over privacy design strategies waarin vage juridische normen worden vertaald naar een achttal (technische) ontwerpeisen. Dit zijn acht onderwerpen waar je als techneut over moet praten met de business en de juridische afdeling als het gaat om het ontwerp van het systeem.

Data georiënteerde strategieën
Als je kijkt naar een informatieverwerkend systeem als een database, waarbij gegevens worden verzameld over individuen, en over die individuen worden verschillende attributen verzameld, zoals leeftijd, adres, naam et cetera, dan is minimaliseren één van de eerste dingen die je kunt doen, dus niet alle mogelijke attributen verzamelen, maar daar een selectie uit maken. Als tweede kan je attributen in verschillende databases stoppen, zodat data niet gecombineerd kunnen worden. Het derde wat je kan doen is gegevens abstraheren, door bijvoorbeeld te registreren of iemand ouder is dan achttien in plaats van de specifieke leeftijd. En het laatste wat je kunt doen, bij een kleinere database, is deze adequaat te beschermen.

Proces-georiënteerde strategieën
Ten eerste: informeer gebruikers over de verwerking van hun persoonsgegevens. Geef vervolgens gebruikers controle over de verwerking van hun persoonsgegevens. Daarna committeer je aan een privacyvriendelijke verwerking van persoonsgegevens en dwingt dit af. En als laatste toon je aan dat je op een privacyvriendelijke wijze persoonsgegevens verwerkt.

Het scheiden van gegevens
Het is belangrijk om na te denken over het fysiek scheiden van gegevens en na te denken over een ontwerp van een systeem waarin deze gegevens niet centraal worden verzameld, maar op bijvoorbeeld individuele apparaten van gebruikers. Een interessant voorbeeld hiervan is de mogelijkheid op een iPhone om op basis van gezichtsherkenning automatisch mappen aan te laten maken en foto’s te selecteren; dit gebeurt op de smartphone zelf en niet in een centraal systeem. Een ander goed voorbeeld hiervan heeft betrekking op social media. Facebook is centraal georganiseerd: alle informatie staat centraal opgeslagen bij Facebook. Maar als je kijkt naar de functionaliteit, namelijk het directe contact met vrienden en kennissen, dan zou je dit ook peer-to-peer kunnen doen. En dat dan de gegevens die je wilt delen op je eigen smartphone staan en dat je die direct deelt met de smartphone van vrienden en kennissen. Dat is een hele andere manier van denken, en hierover kun je nadenken bij de ontwikkeling van elk systeem.

Gegevens abstraheren
Dit houdt in dat je gegevens niet in detail verwerkt, maar dit meer in abstracto doet. Een van de triviale voorbeelden waarin dit is toegepast is in de slimme energiemeter. Bij de eerste slimme meter was het idee nog dat je gebruik realtime zou worden doorgegeven aan de leverancier. Dit gaf veel ophef, omdat dat veel informatie prijsgeeft over je persoonlijke levenssfeer. Daarom verzamelt de slimme meter nu je verbruik en geeft het totaal elke drie maanden door. Andere voorbeelden zijn leeftijdsverificatie: als je alleen hoeft te weten of iemand ouder is dan achttien, dan heb je niet per se de geboortedatum nodig.

Informeren
Zorg ervoor dat gebruikers direct op een makkelijke manier inzage hebben in de gegevens die jij van hen hebt verzameld. De meeste bedrijven hebben inmiddels wel een portal zoals mijn-internetprovider, mijn-telefoonprovider et cetera, waarbij gebruikers worden geïnformeerd.

Op de latere vraag vanuit de congresorganisatie wat Hoepmans ervaring was van deze middag antwoordde hij: “Goed te zien dat er steeds meer privacyvriendelijke oplossingen op de markt komen. Privacy by design is vooral een kwestie van *willen* en dan doen. Wel is extra aandacht nodig voor een goede uitwisseling van kennis tussen de verschillende partijen: er is in de techniek veel meer mogelijk dan de meeste organisaties weten. Daardoor blijven potentieel super-privacyvriendelijke oplossingen liggen.”

Klik HIER voor de presentatie van Jaap-Henk Hoepman (pdf).

Panel

Moderator Marjolijn Bonthuis (ECP) onderwierp het panel aan een aantal stellingen. De reactie van het publiek op de stellingen was vaak eensgezind, maar soms ook verschillend van mening. Vanuit het panel reageerde Tim Toornvliet (Nederland ICT) later als volgt: “Ik vond het een mooie mix van privacy-experts en privacy voorvechters. Het was inspirerend om te zien hoe de genomineerden met innovatieve technische oplossingen de privacy van gebruikers willen verbeteren”.  “Privacy is springlevend!” is een uitspraak van panellid Lennart Huizing (Privacy Company). Hij vond het heel grappig dat de reactie van de zaal op de stelling ‘privacy is belangrijker dan veiligheid’ massaal was: “dat is een valse dichotomie!” Dan heb je een interessant publiek gevonden... Het tastbare ongemak rondom het afgeven van mobieltjes aan de buurman vond hij ook heel boeiend.

Nederlandse Privacy Awards

Genomineerden

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd konden worden:

1. categorie Consumentenoplossingen (van bedrijven voor consumenten)

2. categorie Bedrijfsoplossingen (binnen een bedrijf of business-to-business)

3. categorie Overheidsdiensten (van de overheid voor burgers)

4. Aanmoedigingsprijs voor een baanbrekende technologie of persoon.

Uit de diverse inzendingen had de onafhankelijke vakjury de volgende genomineerden per categorie bepaald:

Consumentenoplossingen:
IRMA (I Reveal My Attributes)
Schluss

Bedrijfsoplossingen:
TrustTester
Personal Health Train

Overheidsdiensten:
Jeugd Implementatieplan Privacy (gemeente Amsterdam)

Na de discussie met panel en publiek kregen de vijf genomineerden de kans om hun verhaal te vertellen: Schluss, Personal Health Train, IRMA, TrustTester en Jeugd Implementatieplan Privacy (gemeente Amsterdam) deelden hun mooie initiatieven met de zaal.

Presentaties

IRMA (pdf) https://www.youtube.com/watch?v=q6IihEQFPys

Schluss (pdf) https://www.youtube.com/watch?v=f-cU5Izs5EI

TrustTester (pdf) https://www.youtube.com/watch?v=JCivU3LQg-8

Personal Health Train (pdf) https://www.youtube.com/watch?v=Sn-KK4reRGg

Jeugd Implementatieplan Privacy, gemeente Amsterdam (pdf)

Winnaars

Na afloop van de Award-pitches door de genomineerden nam juryvoorzitter Bas Filippini (Privacy First) het woord en kon Bart Jacobs van IRMA de felbegeerde allereerste Nederlandse Privacy Award in ontvangst nemen. IRMA (I Reveal My Attributes) is een state-of-the-art open source identity platform waarin gebruikers zich middels een app kunnen authenticeren op basis van één of meer kenmerken vanuit hun verschillende rollen (contextuele authenticatie). Deze authenticatie is niet identificerend: door gebruik te maken van een 1-op-1 relatie tussen gebruiker en dienstverlener zijn zogenaamde “brokers” niet meer nodig en kan de gebruiker anoniem gebruikmaken van diensten, zonder wachtwoord en met een minimum aan benodigde kenmerken (“attributes’). Het systeem is ontwikkeld door de Digital Security onderzoeksgroep van de Radboud Universiteit Nijmegen. Sinds eind 2016 is IRMA ondergebracht bij de onafhankelijke stichting Privacy by Design.

De jury prijst de ontwikkeling van IRMA vanuit de academische wereld als algemeen bruikbare privacy by design toepassing voor zowel de private als de publieke sector. Als middel voor privacyvriendelijke authenticatie spreken het grote innovatieve vermogen van de gehanteerde open-source techniek, de directe inzetbaarheid en de potentiële maatschappelijke impact van IRMA de jury enorm aan.

In het bredere kader van Nederland Privacy Gidsland is IRMA door de jury daarom unaniem gekozen als winnaar van de Nederlandse Privacy Awards 2018.

‘Sleepwet-studenten’

Op initiatief van vijf Amsterdamse studenten wordt op 21 maart as. een nationaal referendum gehouden over de controversiële nieuwe Wet op de inlichtingen- en veiligheidsdiensten (‘Sleepwet’). Ongeacht de uitkomst van dit referendum zal dit leiden tot een hoger (en waarschijnlijk kritischer) Nederlands privacybewustzijn. Reeds dit feit vormde voor de jury unaniem reden om deze studenten te belonen met een Nederlandse Privacy Award (Aanmoedigingsprijs).

Klik HIER voor het hele juryrapport (pdf) met deelnamecriteria en toelichting bij alle genomineerden en de winnaars.

V.l.n.r.: Paul Korremans (jurylid), Luca van der Kamp (referendumstudenten), Esther Bloemen (Personal Health Train), Nina Boelsums (referendumstudenten), Bas Filippini (jury-voorzitter), Bart Jacobs (IRMA), Arjan van Diemen (TrustTester), Marie-José Hoefmans (Schluss) en Wilmar Hendriks (Jeugd Implementatieplan Privacy, gemeente Amsterdam). 

De middag werd afgesloten met een borrel waar de winnaars de felicitaties in ontvangst namen en de sprekers hun verhaal verder toelichtten. Deze editie smaakt naar meer! Binnenkort volgt meer informatie over volgend jaar.

Voor meer informatie over de privacy by design community verwijzen we graag naar https://ecp.nl/community-privacy-by-design.

Tot de volgende editie!

Privacy First en ECP | Platform voor de InformatieSamenleving

Privacy First organiseerde deze editie van de Nederlandse Privacy Awards met steun van Stichting Democratie & Media en Adessium Foundation, in samenwerking met ECP. Wilt u ook partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

IRMA en Referendum-studenten winnen Nederlandse Privacy Awards 

Tijdens de Nationale Privacy Conferentie van Privacy First en ECP zijn vandaag de allereerste Nederlandse Privacy Awards uitgereikt. Deze Awards bieden een podium aan bedrijven en overheden die privacy zien als een kans om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm te maken. Grote winnaar van de Nederlandse Privacy Awards 2018 is IRMA (I Reveal my Attributes). Daarnaast ontvingen de studenten achter het Sleepwet-referendum de Aanmoedigingsprijs.

Winnaar: IRMA (I Reveal my Attributes)

IRMA (I Reveal My Attributes) is een state-of-the-art open source identity platform waarin gebruikers zich middels een app kunnen authentiseren op basis van één of meer kenmerken vanuit hun verschillende rollen (contextuele authenticatie). Deze authenticatie is niet identificerend: door gebruik te maken van een 1-op-1 relatie tussen gebruiker en dienstverlener zijn zogenaamde “brokers” niet meer nodig en kan de gebruiker anoniem gebruikmaken van diensten, zonder wachtwoord en met een minimum aan benodigde kenmerken (“attributes’).

Het systeem is ontwikkeld door de Digital Security onderzoeksgroep van de Radboud Universiteit Nijmegen. Sinds eind 2016 is IRMA ondergebracht bij de onafhankelijke stichting Privacy by Design.

De Awards-jury prijst de ontwikkeling van IRMA vanuit de academische wereld als algemeen bruikbare privacy by design toepassing voor zowel de private als de publieke sector. Als middel voor privacyvriendelijke authenticatie spreken het grote innovatieve vermogen van de gehanteerde open-source techniek, de directe inzetbaarheid en de potentiële maatschappelijke impact van IRMA de jury enorm aan. IRMA is door de jury daarom unaniem gekozen als winnaar van de Nederlandse Privacy Awards 2018.

Winnaars: ‘Sleepwet-studenten’

Op initiatief van vijf Amsterdamse studenten wordt op 21 maart as. een nationaal referendum gehouden over de controversiële nieuwe Wet op de inlichtingen- en veiligheidsdiensten (‘Sleepwet’). Ongeacht de uitkomst van dit referendum zal dit leiden tot een hoger (en waarschijnlijk kritischer) Nederlands privacybewustzijn. Reeds dit feit vormde voor de jury unaniem reden om deze studenten te belonen met een Nederlandse Privacy Award (Aanmoedigingsprijs).

Nominaties  

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd konden worden:

1. categorie Consumentenoplossingen (van bedrijven voor consumenten)

2. categorie Bedrijfsoplossingen (binnen een bedrijf of business-to-business)

3. categorie Overheidsdiensten (van de overheid voor burgers)

4. Aanmoedigingsprijs voor een baanbrekende technologie of persoon.

Uit de diverse inzendingen had de onafhankelijke vakjury de volgende genomineerden per categorie bepaald:

Tijdens de Nationale Privacy Conferentie hebben alle genomineerden hun projecten middels Award-pitches aan het publiek gepresenteerd. Vervolgens zijn de Awards uitgereikt. Klik HIER voor het hele juryrapport (pdf) met deelnamecriteria en toelichting bij alle genomineerden en de winnaars.

V.l.n.r.: Paul Korremans (jurylid), Luca van der Kamp (referendumstudenten), Esther Bloemen (Personal Health Train), Nina Boelsums (referendumstudenten), Bas Filippini (jury-voorzitter), Bart Jacobs (IRMA), Arjan van Diemen (TrustTester), Marie-José Hoefmans (Schluss) en Wilmar Hendriks (Jeugd Implementatieplan Privacy, gemeente Amsterdam).  Foto: Maarten Tromp.

Nationale Privacy Conferentie

De Nationale Privacy Conferentie is een initiatief van ECP|Platform voor de InformatieSamenleving en Privacy First. Deze conferentie brengt voortaan jaarlijks het Nederlandse bedrijfsleven, overheid, wetenschap en maatschappelijk middenveld bijeen om gezamenlijk te kunnen bouwen aan een privacyvriendelijke informatiemaatschappij. Missie van de Nationale Privacy Conferentie en de Nederlandse Privacy Awards is de ontwikkeling van Nederland tot internationaal Privacy Gidsland. Privacy by design vormt daartoe de sleutel.

Sprekers tijdens de Nationale Privacy Conferentie 2018 waren achtereenvolgens:  

Aleid Wolfsen, voorzitter Autoriteit Persoonsgegevens
Gerrit-Jan Zwenne, hoogleraar Recht en de Informatiemaatschappij (Universiteit Leiden)
Jaap-Henk Hoepman, associate Professor Privacy by Design (Radboud Universiteit Nijmegen)

Ulco van de Pol, voorzitter Commissie Persoonsgegevens Amsterdam  
Tim Toornvliet, Nederland ICT
Lennart Huizing, Privacy Company.

Aleid Wolfsen, voorzitter Autoriteit Persoonsgegevens.  Foto: Maarten Tromp

Jury Nederlandse Privacy Awards

De onafhankelijke vakjury van de Awards bestaat uit privacy-experts uit diverse sectoren:
• Bas Filippini, oprichter en voorzitter Privacy First (jury-voorzitter)
• Paul Korremans, data protection & security professional, Comfort Information Architects
• Marie-José Bonthuis, eigenaar IT’s Privacy
• Bart van der Sloot, senior researcher, Tilburg University
• Marjolein Lanzing, promovenda Filosofie & Ethiek, Eindhoven University of Technology.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

Privacy First organiseert de Nederlandse Privacy Awards met steun van Stichting Democratie & Media en Adessium Foundation, in samenwerking met ECP. Wilt u ook partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

Nationale Privacy Conferentie 2018

Hét privacy congres van Nederland!

Op dinsdag 30 januari 2018 organiseren ECP|Platform voor de InformatieSamenleving en Privacy First gezamenlijk de allereerste Nationale Privacy Conferentie. De Nationale Privacy Conferentie brengt relevante spelers samen en biedt u de gelegenheid te leren van de fine fleur van het Nederlandse privacyveld. Tijdens deze conferentie worden ook de Nederlandse Privacy Awards uitgereikt aan bedrijven en overheden die hebben laten zien dat zij privacy zien als een kans om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm maken.

Privacy als missie

Met de digitalisering van onze maatschappij staat het recht op privacy in toenemende mate onder druk. Hoe kunnen wij als samenleving digitaliseren én onze privacy behouden en versterken? Hoe zou Nederland zich kunnen ontwikkelen tot internationaal Privacy Gidsland? Privacy First en ECP gaan graag samen met u deze uitdaging aan en bieden u daartoe met deze conferentie de nodige kennis en inspiratie.

Nederlandse Privacy Awards

Tijdens de conferentie worden de nieuwe Nederlandse Privacy Awards uitgereikt. Privacy is immers méér dan louter compliance: duurzame privacy vergt bedrijven en overheden die privacy zien als een kans om zich positief te onderscheiden en privacyvriendelijk ondernemen en innoveren tot norm te maken. Privacy by design vormt daartoe de sleutel.

Nominaties

Uit de inzendingen heeft de onafhankelijke vakjury de volgende genomineerden per categorie bepaald:

 
Naast deze genomineerden kan de jury op eigen initiatief een Aanmoedigingsprijs uitreiken t.b.v. een baanbrekende technologie of persoon.

Tijdens de conferentie worden de genomineerde projecten aan het publiek gepresenteerd. De vakjury maakt vervolgens bekend wie de winnaars zijn van de Nederlandse Privacy Awards 2018.

Het congresprogramma ziet er als volgt uit:

13:00u Inloop

13:30u Start congres

13:35u Aleid Wolfsen, voorzitter Autoriteit Persoonsgegevens

14:05u Gerrit-Jan Zwenne, hoogleraar Recht en de Informatiemaatschappij (Universiteit Leiden)

14:35u Sell me your secret (theatergroep Stichting WAT WE DOEN)

14:45u Break

15.00u Jaap-Henk Hoepman, associate Professor Privacy by Design (Radboud Universiteit)

15.30u Paneldebat en publieksdiscussie

16:15u Uitreiking Nederlandse Privacy Awards

17:00u Afsluitende borrel

Aanmelden

U kunt zich aanmelden voor deze conferentie door het inschrijfformulier op de website van ECP in te vullen. Nadat u zich heeft aangemeld, krijgt u de uitnodiging met het volledige programma per email toegestuurd. NB: het aantal beschikbare plaatsen is reeds beperkt, wees er dus tijdig bij!

Nationale Privacy Conferentie

Datum: dinsdag 30 januari 2018
Locatie: Volkshotel Amsterdam (zaal Riet), klik HIER voor een routebeschrijving
Tijd: 13.30 – 18.00u.

Op 30 januari 2018 worden door Privacy First in het Amsterdamse Volkshotel de nieuwe Nederlandse Privacy Awards uitgereikt.

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd kunnen worden:

1. categorie Consumentenoplossingen (van bedrijven voor consumenten) 

2. categorie Bedrijfsoplossingen (binnen een bedrijf of business-to-business)

3. categorie Overheidsdiensten (van de overheid voor burgers)

4. aanmoedigingsprijs voor een baanbrekende technologie of persoon.

De Nederlandse Privacy Awards geven een podium aan bedrijven en overheden die Privacy zien als een kans om zich positief te onderscheiden. “De winnaars zijn belangrijke voorlopers in een nieuwe industrie waarin Nederland internationaal Privacy Gidsland kan worden”, aldus Privacy First oprichter Bas Filippini, voorzitter van de onafhankelijke jury.

Voorwaarden voor deelname

Voorwaarde voor deelname is dat u reeds met uw Privacy Innovatie aan de slag bent. U bent de idee-fase voorbij en kunt al iets van het project in uitvoering laten zien. U zorgt met uw project voor inspiratie bij andere organisaties waardoor Privacy niet wordt gezien als een belemmering, maar als een kans!

De eerste selectie bestaat uit een screening waarop met de volgende zaken wordt omgegaan:

a) Het hebben van een privacy verantwoordelijke (FG, PO) in de organisatie

b) Toepassen van een privacy policy

c) Toepassen van risico analyse(s)

d) Privacy awareness in de organisatie

e) Een inzichtelijk privacybeleid en communicatie hiervan.

Vervolgens worden de deelnemers die genomineerd worden, gescreend op zaken als:

f) Innovatief vermogen: het product, proces of dienst biedt een noviteit op privacygebied en heeft zich in de markt nog niet technisch en/of commercieel bewezen;

g) Maatschappelijke impact: de innovatie levert een bijdrage aan privacy en komt de bescherming van persoonsgegevens en het individu ten goede;

h) Focus: het product, proces of dienst levert in grote mate toegevoegde waarde aan de markt/consument;

i) Zelfredzaamheid: het product, proces of dienst is binnen een reële termijn (ca 3 jaar) economisch realiseerbaar. Er is een businessmodel.

Daarnaast bestaat de mogelijkheid dat de jury een aangekondigd bedrijfsbezoek aan de genomineerde zal brengen.

Bepalen van de genomineerden

Organisaties kunnen zich t/m 30 november 2017 aanmelden voor de Awards door een email met korte toelichting over het betreffende Privacy Project en antwoord op bovengenoemde punten a) t/m i) te sturen naar Privacy First via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.. Medio december 2017 hoort u of u tot de genomineerden behoort. Indien u genomineerd wordt ontvangt u van Privacy First een uitnodiging om een korte pitch tijdens de Awards-uitreiking voor te bereiden.

Voorschriften pitch

●  Maximaal 3 minuten

●  U gebruikt een Powerpoint presentatie (maximaal 3 sheets)

●  De presentatie bevat in ieder geval de volgende onderdelen:

    o Organisatienaam

    o Privacy project omschrijving

    o Doel en behaalde resultaten.

Jury

De jury bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

> Bas Filippini, oprichter en voorzitter Privacy First (jury-voorzitter)
> Paul Korremans, data protection & security professional, Comfort Information Architects
> Marie-José Bonthuis, eigenaar IT’s Privacy
> Bart van der Sloot, senior researcher, Tilburg University
> Marjolein Lanzing, promovenda Filosofie & Ethiek, Eindhoven University of Technology.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

Privacy First organiseert de Nederlandse Privacy Awards met steun van Stichting Democratie & Media en Adessium Foundation, in samenwerking met ECP. Wilt u ook partner van de Nederlandse Privacy Awards worden? Neem dan contact op met Privacy First!

Tijdens het Nationaal Congres Dataprotectie & Privacy zijn vandaag de IIR Nationale Privacy Innovatie Awards uitgereikt.

Nationale Privacy Innovatie Awards

De jaarlijkse IIR Nationale Privacy Innovatie Awards zijn vandaag voor de 2e keer uitgereikt en laten een duidelijke groei zien in het aantal aanmeldingen. De Awards zijn een mooie samenwerking tussen de populaire congresorganisatie IIR en Stichting Privacy First, gericht op bedrijven en organisaties die zich positief onderscheiden in duurzaam privacybeleid en privacyvriendelijke producten en diensten. Dit in lijn met de missie van Privacy First: Nederland Privacy Gidsland.

Winnaars Nationale Privacy Innovatie Awards 2016

Uit alle aanmeldingen zijn per categorie 2 genomineerden gekozen waarvan 1 winnaar is geselecteerd:

Categorie Bedrijfsoplossingen:

1. TomTom Fleet Management OptiDrive 360, de privacyvriendelijke oplossing voor wagenparken: https://business.tomtom.com/nl_nl/webfleet/products/webfleet/features/optidrive360/

2. Pseudonimiseer, voor pseudonimisering en anonimisering van persoonsgegevens: https://www.pseudonimiseer.nl  


Categorie Consumentenoplossingen:  

1. Qiy met de ID-cover voor identiteitsdocumenten: https://www.respectprivacy.org

2. Ydenti (CDDN), een privacy platform voor de consument en zijn persoonlijke gegevens (in ontwikkeling).


Categorie Overheidsdiensten:

- Geen inzendingen.

Categorie Start-ups (aanmoedigingsprijs):

1. Zivver met anonieme communicatiediensten voor consumenten en bedrijven: https://www.zivver.com/nl

2. Soverin met anonieme internetdiensten: https://soverin.net

Zivver heeft daarnaast ook de Publieksprijs in de wacht gesleept!

Van links naar rechts: Paul Korremans (jury), John Borking (jury), de winnaars Maarten Louman van Qiy, Simon Hania van TomTom, Rick Goud van Zivver en Bas Filippini (jury). Foto: IIR

Privacymarkt ontwikkelt zich sterk

Opvallend is dat er de laatste jaren een nieuwe markt aan het ontstaan is op het gebied van privacy binnen organisaties en privacygerichte oplossingen. Enerzijds wordt dit ingegeven door de nieuwe Europese privacywetgeving en anderzijds door de enorme concentratie van gegevens bij enkele grote commerciële partijen en overheden. De vele datalekken, hacks en bewust misbruik van gegevens door geheime diensten die door Snowden naar buiten zijn gebracht, versterken langzaam maar zeker het privacybewustzijn bij de burger. Waar de industriële revolutie milieuvervuiling veroorzaakte is dat bij de informatierevolutie privacy- en vrijheidsvervuiling.

Enkele gebieden waar de inzenders zich op richten zijn:

- Technische en procedurele veiligheidsoplossingen ingegeven door wetgeving en technische encryptiemogelijkheden;
- Dienstverlening gericht op het pseudonimiseren en anonimiseren van persoonsgegevens en data;
- Diensten gericht op anonieme communicatie (document sharing, chat, mail en surfen) en anonieme mobiliteit (anonieme kaarten etc);
- Diensten waarbij de gebruiker eigen verantwoordelijkheid kan nemen in het omgaan, beheer en eventueel vercommercialiseren van zijn/haar persoonsgegevens vanuit een eigen of third party datakluis;
- Praktische oplossingen gericht op het voorkomen van identiteitsfraude.

Onafhankelijke jury

De Awards worden toegekend door een onafhankelijke jury van privacy professionals die op basis van een aantal scherpe criteria inzenders nomineren. Vervolgens worden middels bedrijfsbezoeken en onderzoeksvragen de winnaars geselecteerd.

De jury bestaat uit de volgende personen:

• Drs. L.T.C. Filippini, voorzitter Stichting Privacy First (juryvoorzitter)
• Dr. John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
• Paul Korremans, MBA, Data Protection & Security Professional, Comfort Information Architects
• Dr. Jaap Henk Hoepman, Scientific Director, Privacy & Identity Lab.

Lees HIER meer over de IIR Nationale Privacy Innovatie Awards.

Tijdens het Nationaal Congres Dataprotectie & Privacy 2016 worden de jaarlijkse Nationale Privacy Innovatie Awards uitgereikt. Deze Awards belonen de meest originele, innovatieve en kansrijke privacyprojecten van Nederland.

IIR en Privacy First belichten met deze Awards organisaties die privacy-innovatie zien als kans om zich positief te onderscheiden en privacyvriendelijk te ondernemen. Dit in lijn met de missie van Privacy First: Nederland Privacy Gidsland.

Uit de vele inzendingen heeft de vakjury de volgende genomineerden per categorie bepaald:

Jury IIR Nationale Privacy Innovatie Awards
De jury bestaat uit privacy experts uit verscheidene branches en sectoren:
• Bas Filippini, oprichter en voorzitter, Privacy First (juryvoorzitter)
• John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
• Paul Korremans, Data Protection & Security Professional, Comfort Information Architects
• Jaap Henk Hoepman, Scientific Director, Privacy & Identity Lab.

De verkiezing
Tijdens het congres worden de zes genomineerde projecten aan het publiek gepresenteerd. De vakjury bepaalt wie de winnaars worden van de IIR Nationale Privacy Innovatie Awards 2016. Daarnaast stemt het publiek live mee voor de publieksprijs, die naast de Awards wordt uitgereikt.

Op woensdag 14 september 2016 tijdens het Nationaal Congres Dataprotectie & Privacy wordt bekendgemaakt wie deze prestigieuze prijzen in de wacht sleept.

Lees HIER meer over de IIR Nationale Privacy Innovatie Awards.

Tijdens de conferentie Dataprotectie & Privacy op 14 september 2016 in Amsterdam (Westcord Fashion Hotel) worden de IIR Nationale Privacy Innovatie Awards 2016 uitgereikt. “De winnaars zijn belangrijke voorlopers in een nieuwe industrie waarin Nederland internationaal Privacy Gidsland kan worden”, aldus Privacy First oprichter Bas Filippini, voorzitter van de onafhankelijke jury. Evenals in 2015 steunt Privacy First de IIR Nationale Privacy Innovatie Awards 2016 van harte en verwacht dat de uitreiking ook dit jaar een groot succes zal worden.  

Er zijn 4 categorieën waarvoor inschrijvingen genomineerd kunnen worden:

1. categorie Bedrijfsoplossingen

2. categorie Consumentenoplossingen

3. categorie Overheidsdiensten

4. categorie Start-ups

De Awards geven een podium aan bedrijven en overheden die Privacy Innovatie zien als kans om zich positief te onderscheiden. Maximaal 8 bedrijven/overheden die werken met privacy-innoverende projecten mogen gratis naar het congres komen en maken kans op één van de titels!

Maak kans op gratis congreskaarten

IIR zoekt originele, innovatieve en kansrijke Privacy Innovatie Projecten (een product, proces, procedé of dienst). Het is een voorwaarde dat u met uw innovatie aan de slag bent. U bent de idee-fase voorbij en kunt al iets van het project in uitvoering laten zien. U zorgt met uw project voor inspiratie bij andere bedrijven waardoor Privacy niet alleen wordt gezien als belemmering, maar vooral als kans!

De eerste selectie bestaat uit een screening waarop met de volgende zaken wordt omgegaan:

a) Het hebben van een privacy verantwoordelijke (FG, PO) in de organisatie

b) Toepassen van een privacy policy

c) Toepassen van risico analyse(s)

d) Privacy awareness in de organisatie

e) Een inzichtelijk privacybeleid en communicatie hiervan

Vervolgens worden de deelnemers die genomineerd worden, gescreend op zaken als:

f) Innovatief vermogen: het product, proces, procedé of dienst biedt een noviteit op privacygebied en heeft zich in de markt nog niet technisch en/of commercieel bewezen;

g) Maatschappelijke impact: de innovatie levert een bijdrage aan privacy en komt de bescherming van persoonsgegevens en het individu ten goede;

h) Focus: het product, proces, procedé of dienst levert in grote mate toegevoegde waarde aan de markt/consument;

i) Zelfredzaamheid: het product, proces, procedé of dienst is binnen een reële termijn (ca 3 jaar) economisch realiseerbaar. Er is een businessmodel.

Daarnaast bestaat de mogelijkheid dat de jury een aangekondigd bedrijfsbezoek aan de genomineerde zal brengen.

Bepalen van de winnaar

Organisaties kunnen zich t/m 31 juli 2016 aanmelden voor de Privacy Innovatie Awards door een email met korte toelichting over het Privacy Innovatie Project en antwoord op bovengenoemde punten a) t/m i) te sturen naar Jasper Savenije (IIR) via Dit e-mailadres wordt beveiligd tegen spambots. JavaScript dient ingeschakeld te zijn om het te bekijken.. Na 1 augustus 2016 hoort u of u een plaats heeft bemachtigd voor de Awardsuitreiking. Vervolgens ontvangt u van IIR een uitnodiging om een korte pitch tijdens het congres voor te bereiden.

Voorschriften pitch

●  Maximaal 3 minuten

●  U gebruikt een Powerpoint presentatie (maximaal 3 sheets)

●  De presentatie bevat in ieder geval de volgende onderdelen:

    o Bedrijfsnaam

    o Privacy project omschrijving

    o Doel en behaalde resultaten.

Jury

De jury bestaat uit onafhankelijke privacy-experts uit diverse sectoren:

> Bas Filippini, oprichter en voorzitter Privacy First (jury-voorzitter)
> John Borking, Of Counsel, CMS, lid van Advisory Board van EuroPriSe GmbH
> Paul Korremans, Data Protection & Security Professional, Comfort Information Architects
> Jaap-Henk Hoepman, Scientific Director, Privacy & Identity Lab.

Om te garanderen dat de verkiezing van de Awards objectief verloopt, is het niet toegestaan dat de jury een deelname beoordeelt van de eigen organisatie.

Lees HIER over de winnaars van de IIR Nationale Privacy Innovatie Awards 2015 en bekijk ook onderstaande video-impressie! 

In hoeverre bestaat er een recht op contante of anderszins anonieme betaling? Hoe kan dit recht juridisch worden versterkt en technisch worden gerealiseerd?

Op donderdagavond 7 april 2016 vond op de kantoorlocatie van Privacy First (Volkshotel, Amsterdam) een enerverend publieksdebat plaats over het recht op anonieme betaling. Privacy First organiseerde dit debat omdat anoniem betalen steeds meer onder druk komt te staan. Contant betalen wordt uitgebannen, zonder dat daar anonieme digitale alternatieven voor in de plaats komen.

Privacy First voorzitter Bas Filippini opende de avond en het debat werd geleid door moderator Ancilla Tilia (columnist FD). Voor het debat waren een viertal gastsprekers uitgenodigd: Vincent Jansen (Innopay – Payments & Digital Identity), Bram Scholten (DNB), Eric Verheul (KeyControls/Radboud Universiteit Nijmegen) en Olivier Oosterbaan (Leopold Meijnen Oosterbaan Advocaten).

Ancilla Tilia begon de avond met haar column voor het Financieel Dagblad ‘Ik ben niet mijn bankrekening’, waarin zij zich afvraagt: ‘Wie komt er op voor het behoud van contant geld?’

Bas Filippini – voorzitter Privacy First

Vervolgens was het woord aan Privacy First voorzitter Bas Filippini. In zijn voorwoord benadrukte Filippini dat privacy niet alleen zij aan zij staat met veiligheid, maar dat het een basisprincipe is van onze democratische rechtsstaat. Het is een fundamenteel recht om anoniem te kunnen zijn in de openbare ruimte. Het recht op anonieme betaling vormt hier een belangrijk onderdeel van. We zijn de laatste jaren echter gegaan van ‘Cash is King naar Cash is Crimineel’. Filippini is benieuwd of er privacyvriendelijke alternatieven bestaan voor bankbiljetten en klinkende munten, en om te kijken of technologie het principe van anoniem betalen kan ondersteunen in plaats van ondermijnen.

Olivier Oosterbaan – Leopold Meijnen Oosterbaan Advocaten

Olivier Oosterbaan zet zich onder meer in voor privacy en tegen identiteitsdiefstal. Tijdens het publieksdebat legt hij een paar mogelijke verwerkingsgrondslagen uit in het kader van de Wet bescherming persoonsgegevens en de balans met de bescherming van de persoonlijke levenssfeer. Zo vertelt hij wie er mogelijk allemaal bij een parkeertransactie betrokken zijn en welke gegevens er worden gedeeld. Daarnaast laat je hiermee de gemeente weten dat je op een bepaalde plek gedurende een bepaalde periode bent geweest. Maar ook bij sommige winkels kan je alleen nog met pin betalen en laat je de bank daardoor weten dat je op een bepaalde plek bent geweest.

Vincent Jansen – InnoPay en Digital Identity

Vincent specialiseert zich in innovatief betalen en dat heeft in zijn kader weinig met cash geld te maken. Hij geeft een inleiding over context: hoe meer context je geeft aan een betaling, hoe minder anoniem je zult zijn.

Cash geld
In deze context: hoe vaker je bij een winkel komt, hoe meer informatie je deelt met de ontvangende partij, bijvoorbeeld wanneer je elke week bij je lievelingskoffietentje komt: op den duur weet men dat je daar elke week een lekkere latte macchiato komt halen. Door meer context te geven verdwijnt een deel van je anonimiteit.

Pinnen
Wanneer je gaat pinnen, krijgt de ontvangende partij informatie: op het bonnetje staan bijvoorbeeld de laatste cijfers van je bankrekeningnummer en je pasnummer. Hierdoor kan de ontvangende partij weten dat je een terugkerende klant bent. Als klant krijg je niet veel meer informatie dan wanneer je contant betaalt: je weet bijvoorbeeld de naam van de winkel en waar deze gevestigd is. Het verschil tussen pinnen en contant betalen is dus voornamelijk dat er een betaaldienstverlener tussen zit, die moet weten wie er wil betalen en aan wie er betaald moet worden. Hierbij dient de betaaldienstverlener te weten op welke tijd en bij welke vestiging je bijvoorbeeld bent en daarbij ontstaat een hele hoop data.

Overschrijving
Hoe zit het dan bij betaling door middel van overschrijving? Hierbij heb je indien je geld wilt overmaken veel informatie nodig van de begunstigde. Wat opmerkelijk is, is dat de begunstigde ook veel informatie krijgt, zoals het rekeningnummer, de tenaamstelling en ook de adresgegevens en woonplaats van de verzender.

Trends

• Crypto-currency als trend, het fenomeen dat je eigenlijk een soort van online cash kunt hebben. Dit is niet anoniem, maar een zekere vorm van pseudonimiteit waar geen bank tussen zit en waar we met zijn allen vaststellen wie het geld heeft en waar het zich bevindt. Het is een trend die relatief jong is, maar waar veel potentie in zit, in de vorm van het hebben van 'digitaal cash'.

• Een ander fenomeen is om reguliere transacties in de huidige betaalstructuur te pseudonimiseren. Dit is een generieke trend, waarbij gegevens niet meer te relateren zijn en waarbij er minder statische gegevens met de transactie worden meegegeven.

• Een andere trend vanuit de Europese Commissie is de Payment Service Directive die in 2018 van kracht zal zijn. Hierbij krijgen banken de opdracht om, als de klant dat wil, een rekening open te stellen voor betaaldiensten en informatiediensten. Anders gezegd: ik moet een provider vertellen dat jij namens mij naar mijn afschriften kunt kijken, in al mijn bankrekeningen, om bijvoorbeeld mijn budgetcoach te worden. Wat er echter waarschijnlijk gaat gebeuren is dat bankgegevens elders geraadpleegd kunnen worden en zullen worden opgeslagen.

• De laatste trend die benoemd wordt is Social Payments, voornamelijk in de peer-to-peer sfeer dat betalen steeds meer een onderdeel wordt van interactie en dat het juist heel 'cool' en leuk kan zijn om een betaling te verrijken met context. Zodat het gaat leven in de bankomgeving, door te vermelden waarom je betaalt, waar het was en hierbij bijvoorbeeld een leuke foto te plaatsen. Een ander fenomeen is dat IBANS (wat lastige dingen zijn) mogelijk vervangen zullen worden door 06-nummers en e-mailadressen, die ook weer extra herleidbaarheid met zich meebrengen.

Bram Scholten – De Nederlandsche Bank

Sinds 2012 maakt De Nederlandsche Bank (DNB) zich zorgen over de druk op contant geld. In de jaarverslagen van DNB wordt het belang van contant geld dan ook onderstreept. Bram Scholten stelt dat contant geld een bescherming van privacy geeft. Hij citeert uit het DNB jaarverslag van 2012: ‘In deze tijd waarin de samenleving langs elektronische weg steeds meer de persoonlijke levenssfeer binnendringt blijft daaraan behoefte bestaan’. De Nederlandsche Bank heeft zich ingezet om met marktpartijen zoals Detailhandel Nederland en de Nederlandse Betaalvereniging, die de banken vertegenwoordigd, in november 2015 in het Maatschappelijk Overleg Betalingsverkeer (MOB) in eigen kring uit te dragen dat voor toonbankbetalingen (betalingen buiten de deur) contant betalen mogelijk blijft. Daarmee wordt dus afstand genomen van het feit dat er soms geen contante betalingen meer mogelijk zouden zijn. De Nederlandsche Bank heeft gemeten dat de helft van alle betalingen nog met contant geld wordt gedaan.

Contant betalen is natuurlijk een mogelijkheid om anoniem te betalen. Als wij een recht zouden hebben om contant te betalen, dan zouden wij ook een rechtmatige mogelijkheid hebben om anoniem te betalen. In wezen is het zo dat in het Burgerlijk Wetboek contant betalen als de gewone manier van betalen wordt beschreven. Er moeten in principe nadere afspraken gemaakt worden om af te wijken van de wet om contant te betalen. In het rapport van het MOB is dan ook gesteld dat met name in situaties waarin er sprake is van een lokaal monopolie, zoals een apotheek in een gebied waar geen andere apotheken zijn, als je daar niet contant zou kunnen betalen, dan zou dit bepaalde mensen kunnen duperen, omdat mensen niet meer kunnen krijgen wat ze nodig hebben. Het MOB ziet dit als onwenselijk en vraagt zich ook af of het rechtmatig is om contant geld te weigeren. Dit is een open vraag en in wezen ook een vraag op het gebied van Europees recht, omdat op Europees niveau is vastgelegd dat contant geld een wettig betaalmiddel is. Er bestaat echter nog geen jurisprudentie van het Europees Hof van Justitie hoe dit moet worden toegepast en wat het begrip 'wettig betaalmiddel' precies inhoudt. Dat leent zich dus wellicht voor een proefproces.

Eric Verheul – Radboud Universiteit Nijmegen & Digital Security Group

Eric hield een presentatie over online betalen en online aanloggen. Wat gebeurt er precies wanneer je iets afrekent in een webshop? Bijvoorbeeld: Jan Jansen koopt iets in een webshop, wat hij precies aanschaft kan iets zeggen over hem als persoon, misschien is het wel iets waarvoor hij zich schaamt en waarvan hij niet wil dat iedereen het weet. Het zou ook kunnen dat die informatie bijzondere persoonsgegevens bevat. Wanneer je online betaalt, dan weet de bank wie jij bent en aan wie je betaalt. Dit kan vanuit privacy-oogpunt nadelig zijn, maar qua veiligheid prettig zijn. Hierdoor kan een bank bijvoorbeeld zien dat een betaling frauduleus is en deze betaling stopzetten. Daarnaast kan het voor de webshop handig zijn om je rekeningnummer te weten, wanneer zij bijvoorbeeld geld terug willen storten.

Dit staat in relatie met een online applicatie: je hebt bijvoorbeeld DigiD om te kunnen inloggen bij de Belastingdienst. Daarbij geldt dezelfde problematiek als met online betalingen, omdat je hierbij jezelf identificeert met bijvoorbeeld je naam of in sommige gevallen een pseudoniem. Zo’n toegangsdienst weet jouw identiteit en tot welke website jij toegang zoekt. En zo’n toegangsdienst zou bijvoorbeeld gehackt kunnen worden. Steeds meer zorginstellingen gaan werken met DigiD, maar hoe wenselijk is het dat DigiD weet dat jij een GGZ-instelling bezoekt? En wat als bijvoorbeeld een bank zo’n toegangsdienst verleent, hoe wenselijk is het dat zo’n partij dat allemaal weet? In de parallel met de fysieke wereld: dan weet iemand welke fysieke winkels jij allemaal bezoekt. Digitaal is het momenteel heel vanzelfsprekend dat dat allemaal zo gaat.

In 2014 hebben we een nieuwe techniek ontwikkeld: polymorfe pseudonimisering. Het werkt eigenlijk op dezelfde manier als bijvoorbeeld DigiD of een andere toegangsdienst, je moet alleen een speciale kaart laten zien en het bijzondere van die kaart is dat de toegangsdienst die die kaart leest niet je identiteit kan achterhalen, maar alleen versleutelde pseudoniemen kan aflezen. Hiermee verleent de toegangsdienst wel toegang tot een website, de website die je bezoekt weet met wie hij te maken heeft, maar de toegangsdienst heeft niet meer jouw (persoons)gegevens. Deze dienst zou je ook kunnen gebruiken voor online betalen, door bijvoorbeeld een encrypted e-wallet te vullen met geld. Met een bank kun je wel geld overmaken naar die e-wallet, maar de bank weet niet meer met wie hij precies te maken heeft, omdat de e-wallet is gepseudonimiseerd.

Na afloop van de inleidingen en presentaties volgde een publieksdebat, waarbij diverse vragen werden beantwoord en enkele aanbevelingen werden gegeven:

Aanbevelingen:

• Kijk naar het digitale betalingsverkeer en hoe dit privacyvriendelijker gemaakt kan worden.
• Contant betalen moet mogelijk blijven voor toonbankbetalingen (betalingen buiten de deur).

Een greep uit de vragen vanuit het publiek aan de gastsprekers:

In hoeverre is een prepaid creditcard een anoniem betaalmiddel?

• Voor een prepaid creditcard wordt identificatie gevraagd.
• Vaak moet ook een prepaid creditcard worden geactiveerd voor specifieke betalingen.

Hoe staan jullie er tegenover dat het briefje van 500 euro wordt uitgefaseerd?

• Het zal niet nuttig zijn in het kader van terrorismebestrijding.

Klik HIER voor de uitnodiging (pdf) die Privacy First voor dit evenement aan haar netwerk verzond. Wilt u voortaan ook een uitnodiging voor onze evenementen ontvangen? Stuur ons dan een bericht, dan zetten wij u op onze mailinglist!