Hoe de privacyboard van SIDN waakt over verantwoord datagebruik

Een eigen privacyboard

Veel bedrijven hebben tegenwoordig een medewerker of een heel team aangesteld in het kader van de privacybescherming binnen de organisatie. In de registrywereld was dit, inmiddels ruim 10 jaar geleden, zeker nog geen gemeengoed. We stelden een multidisciplinair team samen, dat we ‘Privacyboard’ noemen.Een vast orgaan dat onafhankelijk kan toetsen of nieuwe projecten, diensten of onderzoeken voldoen aan wet- en regelgeving en aan SIDN’s eigen hoge normen voor zorgvuldig datagebruik.

Nog steeds actueel

“Vandaag de dag is privacybescherming nog net zo actueel, maar het is wel steeds meer een vanzelfsprekend onderdeel van de bedrijfsvoering geworden. Het is iets waarmee ieder bedrijf en iedere organisatie te maken heeft en waar je maatregelen voor moet treffen en beleid voor moet maken. Ik merk dat medewerkers van SIDN erg privacybewust zijn geworden in de loop der jaren. En dat is goed om te zien. Dat betekent dat onze bewustwordingsacties effect hebben. Zo speelden alle teams vorig jaar ‘Privacybord’, een door de privacyboard ontworpen variant op het aloude ganzenbord. Medewerkers werden spelenderwijs geconfronteerd met vragen en dilemma’s over privacy en de verwerking van persoonsgegevens. En dit jaar hadden we een echte escaperoom op het parkeerterrein staan, die helemaal ingericht was rondom het security- en privacythema.

Samenstelling: multidisciplinair én onafhankelijk

SIDN’s privacyboard bestaat uit vertegenwoordigers van afdelingen die veel met persoonsgegevens werken, waaronder onze supportafdeling en onze onderzoeksafdeling SIDN Labs. Sinds vorig jaar is ook de CISO aangesloten, zodat privacy en security ‘samen kunnen optrekken’. “Die combinatie is heel belangrijk. Meestal versterken de belangen van privacy en security elkaar ook,” zegt Karin. “Het is vaker zo dat gebruiksgemak en security botsen, dan privacy en security.”

Karin vervult de rol van Functionaris Gegevensbescherming. Als voorzitter van de privacyboard bewaakt ze daarom vooral het proces en houdt ze toezicht, terwijl de leden van de board de inhoudelijke analyses uitvoeren.

Hoe werkt de beoordeling in de praktijk?

Elk nieuw project, dienst of onderzoek waarbij persoonsgegevens worden verwerkt, moet vooraf worden voorgelegd aan de privacyboard in de vorm van een privacypolicy. Zonder akkoord hierop van de board start het project niet. De indiener vult hiervoor een uitgebreide template in, waarin onder andere het doel, de gegevenscategorieën, de grondslag en de risico’s worden beschreven. De board doorloopt vervolgens een vaste procedure voor de beoordeling van de policy:

1. Analyse van het voorstel De board toetst of de voorgestelde verwerking voldoet aan de AVG en aan interne policy’s. Vooral de grondslag — vaak ‘gerechtvaardigd belang’ — en de noodzaak worden kritisch bekeken.

2. Verdiepende gesprekken In een gesprek met de collega’s die de privacypolicy indienden zoekt de board naar verduidelijking, alternatieven of mogelijkheden om minder persoonsgegevens te verwerken.

3. Toetsing aan proportionaliteit en dataminimalisatie Zijn de beoogde verwerkingen proportioneel? Kan het ook met minder gegevens of minder detailniveau? De board beoordeelt dit volgens het interne toetsingskader.

4. Besluitvorming en publicatie De uitkomst wordt gedocumenteerd. De privacypolicy’s en bijbehorende beoordelingen worden waar mogelijk openbaar gemaakt; privacypolicy’s met bedrijfsgevoelige informatie of die alleen de verwerking van persoonsgegevens van medewerkers van SIDN betreffen blijven intern.

Binnen deze werkwijze is het nog nooit voorgekomen dat een project volledig is afgekeurd. “Wat je ziet,” vertelt Karin, “is dat de gesprekken die we hebben met de collega’s die een policy indienen, waar nodig altijd leiden tot aanpassing. We komen er samen uit door slimmer, veiliger of efficiënter met persoonsgegevens om te gaan.”

Privacy en veiligheid: geen tegenstelling

SIDN beheert een cruciaal stuk van de Nederlandse digitale infrastructuur, waar miljoenen mensen dagelijks gebruik van maken. Veiligheid van het .nl-domein is daarom essentieel — maar hoe verhoudt dat zich tot privacy? Volgens Karin zijn die belangen vaak juist complementair. “Veel dataverwerking doen we om het internet veiliger te maken. Betrokkenen merken daar zelden iets van, behalve dat het veiliger wordt.”

Wel moet de grondslag altijd kloppen. Het gerechtvaardigd belang van de stabiliteit en veiligheid van .nl vormt daarbij vaak de juridische basis. Door vroegtijdige toetsing borgt de board dat die belangen niet onnodig botsen.

Groeiende risico’s door data en AI

Gevraagd naar de impact van ontwikkelingen als AI, antwoord Karin: “We zien dat dit die nieuwe uitdagingen met zich meebrengt. We lezen en horen hier allemaal ook dagelijks over in het nieuws. De hoeveelheid beschikbare data groeit, en verschillende databronnen kunnen steeds makkelijker met elkaar worden gecombineerd. Daaruit kun je conclusies trekken die óók betrekking kunnen hebben op personen. Dat gebeurt steeds vaker met behulp van AI. En dat brengt risico’s met zich mee. Nu zijn de persoonsgegevens die SIDN verwerkt niet heel gevoelig, maar als er sprake is van de inzet van AI, dan is de noodzaak van een kritische privacyboard alleen maar belangrijker.”

Nieuwe ontwikkelingen volgen en awareness

In 2026 blijft onze privacyboard vooral de ontwikkelingen op het gebied van AI en de eventuele impact hiervan op de verwerking van persoonsgegevens door SIDN kritisch volgen. “En natuurlijk hebben we voor onze collega’s weer een mooie awarenessactie in petto, want continue aandacht voor privacy blijft belangrijk,” besluit Karin.

Alle bij de privacyboard ingediende privacypolicy’s en de beoordeling hiervan zijn beschikbaar op onze website: https://www.sidn.nl/over-sidn/privacyboard.