'Organisaties moeten dataminimalisatie de norm maken'

Het recente datalek bij een laboratorium toont pijnlijk aan hoe achteloos organisaties soms omgaan met het uitwisselen van persoonsgegevens. Gegevens als het BSN, e-mailadres en telefoonnummer belanden structureel bij externe partijen die ze helemaal niet nodig hebben. Dat brengt onnodige risico’s met zich mee en laat zien dat organisaties dataminimalisatie nog steeds niet serieus nemen.

Het voorbeeld van het bevolkingsonderzoek laat zien hoe fout het kan gaan. Daarbij zijn persoonsgegevens van deelnemers doorgestuurd naar een extern laboratorium, terwijl voor een testuitslag geen volledig profiel nodig is. Toch gebeurt dit regelmatig. Dataminimalisatie – het principe dat je alleen de strikt noodzakelijke gegevens verzamelt en deelt – wordt in de praktijk te weinig toegepast. Veel organisaties handelen volgens de lijn: 'zo doen we het al jaren', zonder stil te staan bij wat echt nodig is. Maar wie gegevens overdraagt, is verantwoordelijk voor de inhoud. Verwijzen naar de ontvanger is dan te makkelijk. Het is aan beide partijen om kritisch te beoordelen welke data strikt noodzakelijk gedeeld moet worden, en welke niet.

Juist bij gevoelige informatie, zoals medische of identiteitsgegevens, is het essentieel om alleen te versturen wat strikt noodzakelijk is. Dat vraagt geen ingewikkelde technologie, maar gezond verstand: stel altijd de vraag of de ontvanger deze gegevens écht nodig heeft. En als delen van data onvermijdelijk is, zorg dan dat de informatie goed versleuteld wordt.

Dataminimalisatie verlaagt niet alleen het risico op datalekken, maar ook de druk op de eigen organisatie. Hoe minder je verwerkt, hoe minder je hoeft te beveiligen en hoe lager de kosten en complexiteit. Technische maatregelen zoals encryptie en anonimisering moeten in verhouding staan tot het risico, niet tot de hoeveelheid data. Daarom is het cruciaal dat zowel leveranciers als opdrachtgevers zich blijven afvragen: 'Is deze informatie echt nodig?' Niet alleen juridisch, maar vooral praktisch. Zo houd je grip op je digitale veiligheid.

Bijdrage door Cindy Wubben, Chief Information Security Officer, Visma