Een digitale vertrouwensinfrastructuur met ingebakken publieke waarden!
01-06-2021
Eigenaarschap en vertrouwen zijn belangrijke factoren bij het delen van (persoonlijke) informatie. De afgelopen jaren is duidelijk geworden dat mensen de regie op hun persoonlijke data zijn kwijtgeraakt en dat deze op niet-transparante wijze vertaald worden naar profielen die bepalen wat mensen aan informatie, producten en diensten aangeboden krijgen en tegen welke prijs. Met ongewenste effecten op de waarden van de rechtstaat, denk aan discriminatie en uitsluiting. Daarnaast is deze data steeds vaker onderdeel van datalekken, wat mensen kwetsbaar maakt voor (digitale) criminaliteit.
Daar waar grote internationale commerciële partijen kunnen beschikken over eindeloze hoeveelheden (persoonlijke) data dankzij diensten waar mensen nog nauwelijks zonder kunnen, is het voor lokale partijen (burgers, publieke en private organisaties) complex, duur en soms onmogelijk om toegang te krijgen tot betrouwbare persoonlijke data voor het ontwikkelen van innovatieve toepassingen en de gezamenlijke aanpak van maatschappelijke vraagstukken.
Er is daarom behoefte aan een vertrouwensvoorziening die enerzijds organisaties en individuen regie geeft over hun persoonlijke data en anderzijds het mogelijk maakt op laagdrempelige wijze data te delen, waarbij rechtmatigheid, authenticiteit en publieke waarden zijn geborgd.
Het doel van het project Digitale Vertrouwens Infrastructuur (DVI) is om een onafhankelijke publieke voorziening te realiseren voor het voorwaardelijk kunnen delen van data. In de infrastructuur en het erop aansluitende toestemmingsarrangement moeten publieke waarden ingebed zijn, zodat de veiligheid, vrijheid (autonomie) en privacy van betrokkenen geborgd is.
De afgelopen periode hebben we (Marije Kanis van Digital life en Manon den Dunnen van de Politie in samenwerking met het werkveld) onderzoek gedaan naar bestaande best practices voor het inbedden en opstellen van deze publieke waarden. Al doende zijn we tot een behoorlijk lijst gekomen. De verkorte versie presenteren we hier. Een belangrijke les vanuit de frameworks voor data ethiek is namelijk om 2 - 4 overkoepelende waarden te kiezen die altijd van toepassing zijn, en vervolgens per casus te bepalen welke waarden specifiek in het geding zijn.
Voor de DVI hebben we de volgende overkoepelende publieke waarden benoemd:
1. Regie op gegevens
Naast principes als voorwaardelijkheid, doelbinding, de mogelijkheid om op elk moment toestemmingen aan te passen, in te trekken en/of de (gepleegde) toegang tot de data te kunnen controleren gaat dit ook om gelijkwaardigheid (democratisch) en vrijheid. Er moet sprake zijn van gelijkwaardigheid bij het op- en vaststellen van een toestemmingsarrangement voor het delen van data, bijvoorbeeld door ondersteuning van deskundigen. Daarnaast moet het recht om NIET deel te nemen gerealiseerd worden, bijvoorbeeld door te voorkomen dat inzichtelijk is wie wel/niet deelnemen.
2. Mens centraal
Dit gaat zowel over het mensgerichte proces (de participatieve en gebruikersgerichte aanpak), als over principes als inclusief, contextuele begrijpelijkheid en laagdrempeligheid. Het uitgangspunt is dat mensen samen met elkaar op democratische wijze een maatschappelijk probleem oplossen, met voldoende inspraak en invloed aangaande data-delen en andere afspraken. De oplossing moet doelgericht en nuttig zijn voor (in eerste instantie) de eigenaar van de gegevens en daarnaast andere potentiële belanghebbenden, zoals in onze casus de brandweer.
3. Transparant
(Technische) complexiteit wordt zoveel mogelijk beperkt en hiërarchisch gegroepeerd, zodat er een duidelijke relatie bestaat tussen wat mensen doen en hoe dat technisch werkt (geen magie op de achtergrond, geen vermenging van procesniveaus). Systemen worden opgebouwd uit zelfstandige componenten die elk ontworpen en geoptimaliseerd zijn voor één specifieke taak. De werking van systemen is volledig inzichtelijk en uitlegbaar voor verschillende doelgroepen. De werking van processen kan worden ingezien, zodat het voor gebruikers helder is wat er misgaat bij problemen, en zodat gebruikers invloed kunnen uitoefenen op de werking. Een suggestie is om broncode van software open beschikbaar te stellen zodat specialisten en journalisten de werking en veiligheid ervan kunnen nagaan en verbeteren. Voor de DVI wordt die ontsloten via Gitlab.
4. Betrouwbaar
Dit gaat over beschikbaarheid, werkbaarheid (bijvoorbeeld tijdig kunnen handelen), correcte werking (zoals nauwkeurige, up-to-date data), robuustheid en beveiliging. Echte beveiliging begint bij mensen: wat doen ze, wat zou een kwaadwillende doen, hoe kunnen gebruikers de controle over hun werk houden, ervoor zorgen dat zij en hun systemen veilig zijn en niet worden geschonden? Vanuit deze vragen wordt invulling gegeven aan mogelijke oplossingen op het gebied van bijvoorbeeld encryptie en digitale ondertekening, maar ook aan het borgen van veiligheid en duurzaamheid in het algemeen.
Door deze publieke waarden, inclusief wet- en regelgeving, in te bedden in de DVI, ontstaat een onafhankelijke, herbruikbare, publieke voorziening, die aantrekkelijk is voor iedereen die met elkaar, cross-sectoraal data wil delen zonder zelf opnieuw het wiel te moeten uitvinden en grote investeringen te doen!
De opgedane ervaringen en inzichten aangaande het voorwaardelijk delen van data worden ook in een uitgebreidere rapportage gedeeld. De conceptversie is beschikbaar op Gitlab en staat open voor feedback!