We weten allemaal intussen wel dat er veel economische waarde wordt toegeschreven aan de mogelijkheden van Big Data. Ook op het gebied van gezondheid en mobiliteit valt veel winst te behalen. Met het oog op privacy is een goede bescherming van en omgang met de data van groot belang. Bekende problemen treden echter op bij bijvoorbeeld doelbinding en informatieverplichtingen, juist omdat bij Big Data verwerkingen niet altijd vooraf de identiteit van een persoon of een toepassing te achterhalen is. Gegevens zijn (nog) anoniem, maar worden pas door combinatie met andere gegevens of door gevonden correlaties persoonsgegevens. Omdat je vooraf niet kunt vaststellen over wie je informatie vindt, kun je ook niet vooraf informeren over de verwerking van gegevens. Ook is niet altijd duidelijk wat je gaat vinden en hoe je uitkomsten van Big Data analyses kunt gebruiken, waardoor het doel niet vooraf vastgesteld kan worden. Het is dus zaak om de privacybelangen van individuele personen anders goed te waarborgen. Dat kan met Data Governance.

Het beschermen van privacy kan in beginsel op twee manieren worden ingestoken: juridisch of technisch. Juridisch is het grootste deel vastgelegd in de Wet bescherming persoonsgegevens (Wbp) en worden vooral procedurele eisen gesteld aan een legitieme verwerking van persoonsgegevens. Alleen als, veelal vooraf, aan die vereisten voldaan is mogen persoonsgegevens verwerkt worden. Maar ook gedurende het verwerkingsproces kun je juridisch meer kaders scheppen, bijvoorbeeld door contractueel vast te leggen wie toegang tot gegevens mag hebben en waarvoor. Ook kun je afspreken welke verwerkingen iemand mag uitvoeren en onder welke voorwaarden. Het gaat dus vooral om een juridisch afsprakenstelsel waar iedereen zich aan dient te houden. Mocht er iets misgaan met de gegevens, dan kan op grond van de juridische kaders verhaal gehaald worden.

Een andere insteek is het zoveel mogelijk beperken van verwerking van persoonsgegevens of toegang daartoe, door dit technisch te waarborgen. Voorkomen is immers beter dan genezen. In deze benadering wordt aangehaakt bij het principe van Privacy by Design. Gegevens worden bijvoorbeeld alleen anoniem verwerkt met behulp van homomorfe encryptie, of een access management systeem zorgt ervoor dat alleen geautoriseerde personen toegang hebben tot de gegevens en ook alleen aan hen toebedeelde verwerkingen kunnen verrichten. Voor bepaalde toepassingen wordt gezocht naar de meest vergaande bescherming, waar het individu volledig anoniem transacties kan verrichten. Ook achteraf is niet te achterhalen wie wat heeft gedaan.

Soms is echter een ‘achterdeurtje’ noodzakelijk, bijvoorbeeld in het kader van fraudebestrijding of omdat het vaststellen van een identiteit wettelijk verplicht is. In die gevallen is een combinatie van Privacy by Design voor zover mogelijk, met daarnaast juridische waarborgen en een afsprakenstelsel de gewezen weg. Omdat er toch de mogelijkheid tot identificatie is, is zorgvuldigheid in de omgang met gegevens geboden. Een goede Data Governance structuur helpt daarbij. Deze structuur biedt een kader voor omgang met gegevens, legt bevoegdheden juridisch vast, dwingt naleving voor zover mogelijk technisch af, en biedt tevens waarborgen en remedies voor als er onverhoopt toch iets mis zou gaan. Data Governance combineert dus het beste van twee werelden: juridische én technische bescherming, met daaromheen een bedrijfscultuur waarin privacybescherming centraal staat.
Het aantonen van een goede Data Governance structuur zou moeten volstaan om bedrijven en overheden verwerkingen van gegevens toe te staan, ook wanneer niet aan alle Wbp vereisten kan worden voldaan, zoals in het geval van bepaalde Big Data toepassingen. Daartoe is het wel noodzakelijk dat een organisatie in alle lagen is doordrongen van het belang van bescherming van privacy en daar actief naar handelt. De exacte uitwerking van een Data Governance structuur is een uitdaging voor de komende tijd. Zonder deze benadering bestaat echter de kans dat zowel puur juridische benaderingen als Privacy by Design benaderingen tegen hun grenzen aanlopen.