In mei is de GDPR (General Data Protection Regulation) in de EU van kracht geworden. Betekent dat het einde voor slimme gebouwen? Onder de nieuwe wet moeten bedrijven en instellingen onze privacy beschermen. Wie data lekt, opzettelijk of door nalatigheid, kan boetes tot wel twintig miljoen Euro of maximaal vier procent van de jaarlijkse wereldwijde omzet verwachten. Maar de makers van slimme gebouwen lijken nog geen besef te hebben van de valkuilen die dat met zich meebrengt.

De nieuwe GDPR, die van toepassing is in de hele EU, stelt dat alle burgers recht hebben op ‘wettig, zorgvuldig en transparant’ beheer van hun persoonsgegevens. Burgers hebben ook recht op inzage in hun persoonsgegevens en het verwijderen van die gegevens, tenzij er dwingende maatschappelijke redenen zijn om die data vast te houden. Er moet dus een wettelijke grondslag zijn voor de opslag van persoonsgegevens, ongeacht of het gaat om veiligheid (militair, luchthavens), arbeidscontract, toestemming, overeenkomst of wettelijke verplichting. Opslag en verwerking van bijzondere persoonsgegevens (zoals geslacht, godsdienst, seksuele voorkeur en gezondheid) en het gebruik van camera’s (gezichtsherkenning) zijn verboden, tenzij er een dwingende wettelijke noodzaak is (ziekenhuizen, luchthavens).

Wie is er verantwoordelijk voor de persoonsgegevens?

Het behandelen van zulke verzoeken tot inzage (SAR’s = Subject Access Requests) bezorgen werkgevers al hoofdbrekens als het gaat om aanvragen van (ex-)werknemers. De uitdaging is nog groter voor ontwikkelaars van slimme gebouwen, omdat er zoveel verschillende systemen zijn. Wie is er verantwoordelijk voor de opslag en verwerking van gegevens van gasten die het gebouw binnengaan (en weer verlaten)? Er ontstaat een steeds grotere behoefte aan GDPR-contracten tussen de betrokken partijen, van klanten en werkgevers tot leveranciers en onderaannemers.

Laten we eens naar twee voorbeelden kijken. Een smartphone brengt grote risico’s voor het schenden van de GDPR met zich mee. Stel dat een medewerker wordt gevolgd met het GPS -systeem in zijn telefoon. Dan is het mogelijk om een link te leggen tussen deze werknemer en gasten in het gebouw tijdens onderhandelingen over een transactie. Het gesprek tussen deze medewerker en de gasten wordt dan wel niet opgenomen, maar een kwaadwillende hacker kan op deze manier toch voorkennis krijgen van een belangrijke, op handen zijnde, transactie. De kans op spionage is dan reëel.

Ook sensoren die data voor slim gebouwbeheer (zoals temperatuur, verwarming en verlichting) opslaan en verwerken brengen risico’s met zich mee. Meestal zal het systeem zich de individuele voorkeuren van de medewerkers permanent ‘herinneren’. De eigenaar van het systeem kan dit oplossen door de gegevens alleen tijdelijk te bewaren, dus weer te verwijderen zodra iemand de betreffende ruimte verlaat. Een andere mogelijkheid is om gebruik te maken van warmtesensoren die alleen anoniem de bewegingen van mensen meten, en de verwarming en verlichting instellen op een standaardwaarde als mensen binnenkomen of de ruimte verlaten.

Kunnen de makers van slimme gebouwen het gebruik van persoonsgegevens minimaliseren?

Eén van de beste manieren om de privacy, van medewerkers en van gasten, te waarborgen is dataminimalisatie, ook wel bekend als ‘Privacy Enhancing Control’. Het beste is om de minimalisatie van de data al mee te nemen in de ontwerpfase. Na een ‘privacy impact assessment’ kunnen de ICT-afdeling en installateurs maatregelen nemen om de slimme gebouwdata te scheiden van de persoonsgegevens. Als die gegevens onderling verbonden zijn kan dat leiden tot problemen van afwijkende temperaturen tot, uiteindelijk, afsluiten van de serverruimtes in het gebouw.

Volgens Jan Kerdèl, een deskundige in gebouwbeheersystemen en lid van het innovatiecomité van de brancheorganisatie Techniek Nederland (voorheen Uneto-VNI), zijn slimme gebouwen niet het einde maar alleen nog maar het begin van een proces waarin privacy en veiligheid onlosmakelijk met elkaar verbonden zijn.

‘Vrijwel alle klanten aanvaarden het Internet of Things (IoT)’, verklaarde hij. ‘Volgens het laatste rapport van het NCSC (Nationaal Cyber Security Centrum) is IoT de belangrijkste bron van de meeste virtuele inbraken. Privacyschendingen en cyber-crime worden steeds vaker van binnenuit de organisatie gepleegd.’

Gelukkig bieden dataminimalisatie en ‘privacy by design’ kansen voor de bedrijfsleiding. Het is niet alleen (juridisch en technisch) veiliger om gebouwmanagementsystemen en verwerking van persoonsgegevens van elkaar te scheiden, beter beheer van de data in slimme gebouwen vermindert ook de benodigde opslagcapaciteit en de kosten met tot wel veertig procent, aldus Smart Cities World.

Staan de slimme gebouwen nu op instorten?

Dat verschilt van geval tot geval. Volgens een onderzoek uit 2018 van Ponemon Institute, dat wereldwijd standaarden voor cybersecurity vastlegt, variëren de kosten van datalekken tussen $75 en $408 per slachtoffer. Als het gaat om de gegevens van tienduizenden personen, wat vaak het geval is, dan kunnen de kosten gemakkelijk oplopen tot honderdduizenden Euro’s, om nog maar te zwijgen van de reputatieschade en de boetes. De uitdaging voor de bouwsector is om vooraf te bepalen wie verantwoordelijk is voor welk deel, om alternatieven te ontwikkelen en om (netwerken van) slimme gebouwen periodiek te controleren op alle GDPR-regels. Ook onderhoud, vooral het up-to-date houden van de beveiliging van servers, verdient meer aandacht.

Kerdèl maakt zich zorgen: ‘Vanwege de werkdruk en het ontberen van financiële middelen, heeft het MKB nauwelijks mogelijkheden voor innovatie op het gebied van privacy en veiligheid. De bouwsector heeft veel behoefte aan gereedschappen maar krijgt weinig hulp van buitenaf. Zonder bewustwording en goede training vrees ik dat het MKB onvoldoende is voorbereid op GDPR en AVG’

Afbeelding: Dennis van der Heijden. Met dank aan: Convert GDPR.
Bron. CC BY 2.0 licentie.