5.1. De technologische consequenties van de privacywetgeving

De implementatie van de (e)privacyrichtlijnen 95/46/EG en 2002/58/EG1 in de wetgeving van de EU lidstaten heeft gevolgen voor de geautomatiseerde verwerking2 van persoonsgegevens voor alle organisaties. Gezien de privacyrealisatiebeginselen (zie hoofdstuk 2) moet er meer gebeuren dan het nemen van de gebruikelijke organisatorische en technische beveiligingsmaatregelen. Artikel 11 en 13 Wbp richten zich specifiek tot de verantwoordelijken voor persoonsgegevens, de bewerkers en de systeemontwikkelaars en de manier waarop de persoonsgegevens moeten worden verwerkt. Canon stelt terecht dat "regulations are changing the way companies do business".3 De verantwoordelijken4 in de zin van de wet moeten ervoor zorg dragen, dat overeenkomstig de wettelijke voorschriften de bescherming van de persoonsgegevens op de geëigende manier wordt uitgevoerd.5 De uitvoering van deze wettelijke verplichtingen vereist een doelgerichte aanpak.6. Tevens dient de verantwoordelijke, zoals in hoofdstuk 4 is uiteengezet, rekening te houden met de resultaten van de privacyrisico- en bedreigingsanalyse,7 en de privacyvoorkeuren van de gebruikers.8 Privacymanagement behoort een geïntegreerd onderdeel te zijn van de bedrijfsprocessen van organisaties die persoonsgegevens verwerken.9

Dat betekent niet dat de wettelijke eisen een onevenredige verzwaring voor de verwerking van persoonsgegevens met zich meebrengt. Vele van de te nemen verwerkingsmaatregelen en -procedures moeten, ongeacht of er persoonsgegevens verwerkt worden, ter bewaking van de bedrijfsprocessen genomen worden. De voorzieningen dienen evenwel in samenhang met de specifieke beschermingsmaatregelen die voor de verwerking van persoonsgegevens noodzakelijk zijn, gerealiseerd te worden. Zij dienen derhalve geïntegreerd te worden in de vereiste verwerkings- en beveiligingsmaatregelen. Wil men binnen een organisatie tot een evenwichtig verwerkingsbeleid voor persoonsgegevens komen en dit adequaat implementeren en onderhouden, dan zal het beleid dat gericht is op privacybescherming niet alleen moeten streven naar totale kwaliteit,10 maar zal ook een belangrijke plaats in de management cyclus11 moeten innemen.12Het eerste en tweede lid van artikel 17 van de Richtlijn 95/46/EC luiden:

Deze bepaling is in de Wet bescherming persoonsgegevens (Wbp)13getransponeerd als artikel 13. Bij de schriftelijke behandeling van de Wet bescherming persoonsgegevens in de Eerste Kamer antwoordde de Minister van Justitie:14

Welke technologische maatregelen moeten worden geïmplementeerd om aan het bovenstaande te kunnen voldoen, vergt een zorgvuldige afweging. De voortdurende groei in de capaciteit van en het aantal onderlinge verbindingen tussen computernetwerken leidt binnen organisaties wereldwijd tot een exponentiële toename in het verzamelen, verwerken en uitwisselen van informatie. Steeds meer persoonsgegevens worden vastgelegd via publieke ict-netwerken en internet, in onderling verbonden databanken waarvan door allerlei organisaties voor uiteenlopende doelen gebruik wordt gemaakt. Deze ontwikkeling noopt tot een voortdurende aandacht voor de beveiliging van geautomatiseerde informatiesystemen en het terugdringen van identificerende gegevens om persoonsgegevens zo goed mogelijk te beschermen. Interviews die in het kader van deze dissertatie met het management van de verantwoordelijken zijn gehouden, tonen aan dat informatie-intensieve bedrijven de controle op de verwerking van de gegevens aan het kwijt raken zijn.17 Kelly signaleert dit verschijnsel op een veel grotere schaa1.18 De EPTA (European Parliamentary Technology Assessment Organization)19 wijst er in zijn studie over ict en privacy op, dat nieuwe technologieën krachtige middelen kunnen verschaffen om persoonsgegevens te beschermen. Er is evenwel geen aanwijzing dat privacybedreigende en privacyversterkende mogelijkheden automatisch elkaar in evenwicht houden. Het lijkt er eerder op dat zonder gericht beleid en maatregelen er veel meer applicaties op de markt komen die de persoonlijke levenssfeer binnendringen, dan dat er privacybeschermende toepassingen voor handen zijn.20