Paul Bessems 11-04-2016

Misschien heb je het al gehoord, maar er komt een nieuwe Europese privacy wetgeving die grote gevolgen zal hebben voor elke organisatie die persoonsgegevens opslaat en verwerkt. Bijna alle IT-systemen gebruiken wel persoonsgegevens zoals geboortedatum, gevolgde opleiding, functie en adres. Denk aan webwinkels, inkoop-, verkoop- of HRM-systemen. Dus er is werk te doen. Misschien denk je, wat moet ik hier allemaal mee, ik heb het al zo druk? En is dit niet iets voor juridische zaken of IT? De eerste reactie van veel organisaties is dan ook meer IT-investeringen, meer beveiliging, meer regels en procedures. Maar het zal je misschien verbazen: er is een oplossing die veel simpeler, veiliger en goedkoper is. En ook jij kunt deze oplossing introduceren bij jouw organisatie of de organisaties die je adviseert. In deze blog lees je hoe. Wil je betaalbaar en structureel om kunnen gaan met de nieuwe privacywetgeving, dan heb je niet meer IT of regelgeving nodig, maar een nieuwe manier van denken en een ander organisatieontwerp. We hebben het dan ook over Privacy By Design.

Mijn verhaal begint bij Max Schrems. Hij is, op dat moment, een Oostenrijkse student die in 2013 een klacht indient bij de Ierse ‘Data Protection Officer’, in verband met het volgens hem, onrechtmatig doorgeven van zijn gegevens door Facebook van Ierland naar de Verenigde Staten. In oktober 2015 doet het Europese Hof uitspraak in deze zaak. Gegevens worden nu veelal uitgewisseld op basis Safe Harbor Principes en deze geven volgens de uitspraak van het Hof onvoldoende waarborgen dat bedrijven in de VS de strengere privacy wetten van de EU respecteren.

Waarschijnlijk zullen veel bedrijven en instellingen niet op de hoogte zijn van de versterkende gevolgen van deze uitspraak voor het opslaan en verwerken van persoonsgegevens in eigen IT-systemen. We zullen dan ook voor het eerst fundamenteel moeten gaan kijken naar de inrichting van onze digitale samenleving. Tot nu toe was de digitale samenleving vooral een kopie van de industriële samenleving waarbij bedrijven en overheden bepalen hoe wij ons als burger, werknemer, freelancer en consument moeten gedragen.

Omdat Safe Harbor niet meer geldig is hebben ruim vierduizend bedrijven[1] een probleem met hun businessmodel. Maar de vraag is: ‘Wie heeft hier last van, buiten de werknemers die hier werken?’ Een meer fundamentele vraag die we ons dan ook moeten stellen is: ‘Wie is eigenaar van persoonsgegevens zoals geboortedatum en adres en wie mag bepalen door wie en waarvoor ze gebruikt worden?’ Omdat deze vraag niet gesteld is aan het begin van de digitale samenleving, zijn bedrijven en overheden er vanuit gegaan dat zij de eigenaar zijn van mijn en jouw persoonlijke gegevens. Ze zijn er van uitgegaan dat ze zonder te vragen[2] jouw persoonlijke gegevens mogen opslaan en verwerken. Ongevraagd en vaak ongemerkt worden steeds meer gegevens van jou verzameld om bijvoorbeeld advertenties op maat te maken zodat we producten kopen of diensten afnemen die we eigenlijk niet nodig hebben.

Het is begrijpelijk dat bedrijven en overheden graag onze persoonsgegevens willen hebben omdat deze gegevens de belangrijkste grondstoffen zijn geworden voor productie en consumptie in een digitale samenleving. Het is niet voor niets dat wel eens gezegd wordt dat wat olie is voor Industriële Revolutie, data zijn voor de digitale samenleving. De uitspraak van het Europese Hof legt enerzijds een bom onder het businessmodel van bedrijven als Google en Facebook, anderzijds biedt het kansen voor de ontwikkeling van bijvoorbeeld een Personal Data Service, ook wel PDS genoemd. PDS is de mogelijkheid om zelf persoonsgegevens bij te houden en bedrijven alleen toestemming te geven deze te gebruiken voor bijvoorbeeld de organisatie van een project of de afwikkeling van een bestelling.

PDS bestaat uit open en free source software en protocollen. Deze maken samen met het internet een veilig, gedistribueerd en gedeeld datanetwerk mogelijk tussen gebruikers en aangesloten organisaties die met elkaar afspreken op verantwoorde wijze om te gaan met persoonsgegevens. Via PDS bieden diverse organisaties zoals opleidingsinstituten, uitzendbureaus, overheden en webwinkels hun producten en diensten aan. Je kunt er zelf gemakkelijk producten en diensten vinden, vergelijken en indien gewenst een transactie doen. Hierbij mag een organisatie jouw persoonsgegevens alleen gebruiken om een opdracht die jij gegeven hebt, bijvoorbeeld de bestelling van een boek, uit te voeren. PDS kan aangesloten worden op een (eigen) blockchain. Je bent met een PDS ervan verzekerd dat bedrijven en instellingen niets anders met jouw gegevens kunnen doen dan wat jij zelf hebt aangegeven! Zo houden medewerkers zelf hun e-Portfolio en burgers hun eigen gezondheidsdossier bij. Ook kunnen ze aangeven wie hun gegevens waarvoor mag gebruiken. Ten slotte, kunnen ze met moderne technologie ook controleren of dit wordt nageleefd.

Persoonlijk maak ik me al lange tijd sterk voor het slimmer omgaan met persoonsgegevens. Enerzijds vanuit productiviteitsperspectief, anderzijds vanuit privacy en afhankelijkheid van (vooral grote Amerikaanse) techbedrijven. Daarom ben ik samen met de Weconomics Foundation een PDS project gestart. Daarbij worden we nu ook ondersteund door nieuwe Europese wetgeving. Ook de eerder genoemde uitspraak van het Europese Hof is hiervoor belangrijk en privacy waakhonden krijgen meer bevoegdheden. Zo hebben organisaties bijvoorbeeld sinds 1 januari 2016 de plicht om datalekken (ook uit bijvoorbeeld HR-, inkoop- of CRM-systemen) te melden. De Autoriteit Persoonsgegevens kan organisaties die dit niet doen, een boete opleggen van maximaal € 820.000. Elke organisatie die te maken heeft met het opslaan en verwerken van persoonsgegevens (en wie heeft dat niet?) krijgt te maken met deze nieuwe wetgeving. In ieder geval is het belangrijk kennis te nemen van deze ontwikkelingen.

Om tegemoet te komen aan deze strengere wetgeving zoeken veel organisaties de oplossing in meer beveiliging en protocollen. Maar PDS is een veel slimmere weg. PDS zorgt ervoor dat organisaties minder last hebben van deze nieuwe wetgeving. Ze hoeven geen eigenaar meer te zijn van persoonsgegevens, terwijl ze wel toegang hebben tot relevante informatie voor hun eigen processen. Zo hoef je geen geboortedatum vast te leggen om te weten of iemand 18 jaar en ouder is. Je stelt deze vraag gewoon aan de PDS van degene waar het over gaat. Als je geen data in je eigen systeem bezit kun je ook geen data lekken. Om dit te realiseren maakt PDS gebruik van slimme concepten zoals Sieve[3] en Enigma[4]. Verder kan PDS gekoppeld worden aan een blokchain. Blockchain organiseren zal naar verwachting een vergelijkbare snelle ontwikkeling zal doormaken als het internet. De verwachtingen zijn hoog voor de markt van PDS. Zo verwacht de Boston Consulting Group dat deze markt (waarde van persoonlijke gegevens), jaarlijks met 20% zal groeien naar duizend miljard euro in 2020.

De nieuwe privacy wetgeving zal dit jaar steeds concreter worden en toegepast gaan worden. Een aantal belangrijkste nieuwe regels zijn, organisaties moeten:

• passende maatregelen nemen om privacy te beschermen
• ervoor zorgen dat ze alleen persoonsgegevens verwerken als dit noodzakelijk is
• in sommige gevallen een Data Protection Officer aanstellen/inhuren
• een datalek binnen 72 uur melden

Verder hebben gebruikers het recht om hun persoonsgegevens in te zien, ‘vergeten te worden’ en het recht om data mee te nemen.

PDS zorgt ervoor dat aan deze nieuwe eisen op een fundamenteel nieuwe manier wordt voldaan. We lossen problemen op met een ander denkkader als waarmee ze ontstaan zijn. We redeneren niet meer vanuit het bedrijf, de overheid of bijvoorbeeld de bank, maar vanuit het individu. Een PDS wordt aangesloten op een Data Common, een algemene datanutsvoorziening. Dit kun je vergelijken het elektriciteitsnet. Met behulp van een soort datastekker kun je bijvoorbeeld je eigen PDS (zeg maar elektrisch apparaat) aansluiten op de Data Common. Een PDS wordt aangesloten op een peer-to-peer platform, dat werkt met blockchain principes. Een van deze principes is dat waarde stroomt van aanbieder naar vrager. Dus ook data (bijvoorbeeld productinformatie), stroomt van aanbieder naar vrager. Vervolgens kan de vrager dan een product of dienst vinden en een transactie doen. Zo brengt een peer-to-peer platform vragers en aanbieders van bijvoorbeeld adviesdiensten of opleidingen zoveel mogelijk direct met elkaar in contact en maakt transacties mogelijk zonder elkaar te hoeven vertrouwen of een waarde twee keer te kunnen uitgeven.

PDS maakt gebruik van het Weconomics organisatiemodel, de infrastructuur en transitieprogramma[5]. Weconomics richt zich op drie pijlers rondom de Data Common. Deze pijlers zijn gebaseerd op drie belangrijke processen:

1. Profileren (aanbieder, PDS)
2. Vinden (vrager, PSS)
3. Transactie doen (aanbieder -> vrager, PTS)

Uitgewerkt betekent dit aandacht voor de volgende drie concepten:

1. Personal Data Organizing (PDO), met in de uitvoering Personal Data Services (PDS) waarbij gebruikers (aanbieders) zelf hun profiel bijhouden en beslissen wie er wat mee mag doen.
2. Personal Search Organizing (PSO), met in de uitvoering Personal Search Services (PSS): dit concept biedt de mogelijkheid tot Non Manipulative Search (NMS)[6] waarbij niet de adverteerder (aanbieder) bepaalt wat je vindt, maar de gebruiker (vrager) zelf.
3. Personal Transaction Organizing (PTO) en in de uitvoering Personal Transaction Services (PBS) waarbij gebruiker zelf kiezen op welke blockchain ze willen werken en welke assets ze onder willen brengen in welke ledger.

Weconet is de onderliggende infrastructuur voor deze services. Weconet is een ontologie en taxonomie, een soort bouwtekening met een kern, basis en kader. Weconet werkt met attribute-based encryption en key homomorfisme[7]. Op deze infrastructuur worden door netwerkleiders en applicatieontwikkelaars, functionaliteiten en software ontwikkeld. Hiermee kun je als gebruiker: inloggen, je eigen profiel aan te maken, zelf een zoek- en boekportaal samenstellen, je eigen transacties doen onafhankelijk van de aanbieder en je eigen e-Portfolio beheren. Verder kun je als gebruiker bijvoorbeeld aangeven op welke netwerken of applicaties (portals) je profiel te zien mag zijn en met wie je zaken wilt doen. Een PDS biedt de volgende functionaliteiten:

1. Het aanmaken van je identiteit (inlogmodule)
2. Het invoeren van persoonsgegevens (contactmodule)
3. Het invoeren van producten/ diensten of algemeen: waardes (productmodule)
4. Koppeling tussen aanbieder/product (cursus) en vrager (cursist) (boekingsmodule)
5. Het aanmaken van boodschappen, public en private keys en digital signatures
6. Het verzenden en ontvangen van versleutelde transacties
7. Controle op inputreferenties (is het product van aanbieder en nog niet uitgegeven)
8. Het groeperen van ongesorteerde en ongeordende transacties in een blok
9. Het uitvoeren van een hashfunctie en het ‘oplossen’ van een wiskundige puzzel (mining)
10. Het toevoegen van een blok aan de blockchain waardoor een e-portfolio ledger ontstaat

Tot slot
Ik geloof in een fundamentele verandering met betrekking tot de manier waarop we werk en welvaart organiseren. PDS en blockchain organiseren dragen daar aan bij en gaan ervan uit dat veel taken van bestaande intermediaire functies zoals HR, legal, finance, purchase, sales en management zullen verdwijnen. Ook hebben we in veel gevallen geen bedrijven, banken en overheden meer nodig in de digitale samenleving. Dat deze er nu wel zijn en hun positie niet snel zullen opgeven is duidelijk. PDS lijkt dan ook op een gevecht tussen David en Goliath. Maar ook Kodak voelde zich ooit oppermachtig en ook Shell zal uiteindelijk verdwijnen als de olie op is en ze niet tijdig de transitie gemaakt hebben naar duurzame energie.

Om onze transitie naar een duurzame welvaart mogelijk te maken richten we ons met PDS dan ook niet alleen richten op privacy, maar ook op het verbeteren van onze productiviteit. Naast privacy verbetert PDS ook de productiviteit van vooral informatiewerkers om zo de stijgende welvaartskosten bij te houden. Op dit moment investeren organisaties miljarden in IT, HR en management, zonder voldoende productiever te worden. PDS met blockchain organiseren lost dit probleem op omdat het met een fundamenteel ander organisatieontwerp werkt (Privacy & Productivity By Design). Niet langer hoeven we te kiezen tussen zelf doen (via ‘het bedrijf’) of uitbesteden (via ‘de markt’), maar kunnen we ook meer hybride vormen kiezen of slimmere coördinatietechnieken toepassen zoals de blockchain.

De meest fundamentele oplossing voor problemen waar we tegen aanlopen zoals vergrijzing en schuldenprobleem, is het verbeteren van de productiviteit. De tools hiervoor hebben we. Het probleem is de organisatievorm en het systeem waarmee we werk en welvaart organiseren. Nieuwe vormen zoals blockchain organiseren en hybride organiseren passen beter bij deze tijd. Op dit moment zitten er vaak veel schakels tussen aanbieder en vrager. Deze schakels (denk aan juristen, HR, boekhouders, banken, managers) zijn vaak nodig omdat vrager en aanbieder elkaar niet kennen en niet kunnen vertrouwen. PDS met blockchain organiseren los dit op. Maar als we toegaan naar Decentralized Autonomous Organizations (zeg maar zelfrijdende organisaties), moeten we als mens vooral nadenken wat we met de vrij beschikbare tijd gaan doen. Of zoals Karl Marx het zei: The production of too many useful things results in too many useless people. Maar mensen die niet meer onnodig naar kantoor hoeven te gaan omdat slimme machines en computers het werk hebben overgenomen hebben vrij beschikbare tijd om taken uit te voeren die de overheid terugbrengt naar de burger[8].

[1] Overwegend Amerikaanse bedrijven die hier gebruik van maken en geld mee verdienen.
[2] In ieder geval vragen ze het meestal niet expliciet. Ook worden gegevens geanonimiseerd, maar wat is dat waard wanneer je met een beperkt aantal kenmerken een identiteit kunt achterhalen?
[3] Project van MIT en Harvard, manier om grip te hebben op encrypted personal data in de cloud.
[4] Project van MIT: gedecentraliseerd cloud platform met gegarandeerde privacy.
[5] Zie ook de Weconomics trilogie).
[6] Veel zoekmachines zijn manipulatief en zetten bijvoorbeeld adverteerders bovenaan.
[7] Een wiskundige term, maar vertaalt naar PDS: structuur, feiten en attributen die gedeeld worden door verschillende domeinen, worden op een lager niveau vastgelegd. Vergelijkbaar met Klant-Order-Ontkoppel-Punt: tot dit punt tellen de overeenkomsten, daarna de verschillen.
[8] Denk aan de concrete invulling van de participatiesamenleving waar de rijksoverheid taken overdracht aan gemeentes en gemeentes naar de burger. Noodgedwongen omdat we als burger willen dat de overheid niet meer geld leent of belasting heft. Zie bijvoorbeeld ook artikel in nrc.nl: Dat is een taak voor de familie zegt de thuiszorg steeds.