Artikel 25 AVG : Gegevensbescherming door Ontwerp en door Standaardinstellingen

Gegevensbescherming door Ontwerp (Art. 25.1 AVG)

Conform EDPB-Richtsnoeren 4/2019 vereist het beginsel van gegevensbescherming door ontwerp (Data Protection by Design) dat de verwerkingsverantwoordelijke de naleving van de AVG vanaf de vroegste architectuurfase integreert in systemen, applicaties en organisatieprocessen.

Deze analyse houdt rekening met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking, alsook met de risico's voor de rechten en vrijheden van natuurlijke personen.

• Toepassing van pseudonimisering en versleuteling van gegevensstromen en opslaglagen;
• Standaard integratie van bewaartermijnen en geautomatiseerde opschoning van verlopen gegevens;
• Granulair toegangsbeheer op basis van het beginsel van minimale privileges.

Gegevensbescherming door Standaardinstellingen (Art. 25.2 AVG)

Het beginsel van gegevensbescherming door standaardinstellingen (Data Protection by Default) vereist dat door middel van passende maatregelen standaard alleen persoonsgegevens worden verwerkt die strikt noodzakelijk zijn voor elk specifiek doel van de verwerking.

Dit geldt voor de hoeveelheid verzamelde gegevens, de mate waarin zij worden verwerkt, de bewaartermijn en de toegankelijkheid ervan (gegevens mogen nooit zonder menselijke tussenkomst voor een onbeperkt aantal personen toegankelijk worden gemaakt).

Blockchain: Architectuur Ontwerpen ter Bescherming van Rechten

De definitieve richtsnoeren 02/2025 van de EDPB herinneren eraan dat een blockchain op zichzelf geen verwerking is, maar dat de eigenschappen ervan de naleving van de AVG kunnen bemoeilijken. De verantwoordelijke moet daarom vooraf de noodzaak van een dergelijke architectuur motiveren en alternatieven documenteren.

Persoonsgegevens horen niet rechtstreeks op de blockchain te worden opgeslagen wanneer er minder ingrijpende oplossingen bestaan. Een off-chain architectuur, geminimaliseerde gegevens en mechanismen die de effectieve uitoefening van rechten waarborgen, moeten vanaf het ontwerp vooropstaan.

• Verantwoordelijken, verwerkers of gezamenlijke verantwoordelijken bepalen aan de hand van de werkelijke netwerkgovernance;
• De voorkeur geven aan een permissioned blockchain wanneer dit een duidelijkere toewijzing van rollen en toegangscontrole mogelijk maakt;
• De noodzaak van een openbare ledger verifiëren voordat gegevens voor een onbeperkt aantal personen toegankelijk worden gemaakt;
• De impact van onveranderlijkheid (immutability) op gegevenswissing en rectificatie beoordelen en integreren in de DPIA wanneer deze vereist is.

Geverifieerde Officiële Bronnen

Geassocieerde Operationele Micro-Tools

Zie Ook in het Juridisch Referentiekader