Data Protection & Technology: praat mee met IT | DPI

Managementsamenvatting

• De AVG veranderde nauwelijks, de technologie waarop je ze toepast wel
• Technische kennis maakt het verschil tussen een maatregel kennen en weten waartegen ze beschermt
• Threat modeling en DPIA vullen elkaar aan; samen vinden ze wat elk apart mist
• Pseudonimisering is geen anonimisering, en cloud is geen enkelvoudig begrip
• Tracking loopt verder dan wat een cookiebanner afdekt
• De sterkste vraag in elk technisch overleg gaat over gevolgen, niet over compliance

De AVG is niet veranderd. De technologie eronder wel.

Je zit in een technisch overleg over een nieuwe applicatie. Je begrijpt elk woord afzonderlijk — encryptie, API, tokenisatie, tenant — en toch loop je buiten zonder te weten of het risico nu is afgedekt of alleen verplaatst. Dat is geen kennistekort. Het is een vertaalprobleem.

De wettekst waarmee je werkt, is sinds 2018 nauwelijks veranderd. De technologie waarop je die tekst moet toepassen, is intussen bijna onherkenbaar: infrastructuur is naar de cloud verhuisd, AI-functies zitten ingebouwd in software die je al jaren gebruikt, tracking loopt allang niet meer alleen via cookies. Wie zijn technische beeld een paar jaar geleden heeft opgebouwd, past correcte regels toe op een verouderd plaatje.

Compliance is niet hetzelfde als begrijpen waar het risico zit. Voor het eerste volstaat een register. Voor het tweede moet je het gesprek met IT kunnen voeren.

Waarom technische kennis geen luxe is voor een jurist

Er wordt vaak gezegd dat een DPO geen techneut hoeft te zijn. Dat klopt. Maar de rol vraagt wel iets wat daar dicht bij ligt: het vermogen om een technische uitleg te beoordelen op volledigheid.

Als een ontwikkelaar zegt dat de data “versleuteld zijn”, is dat een antwoord op een vraag — maar niet noodzakelijk op jouw vraag. Versleuteld tijdens transport of ook bij opslag? Wie beheert de sleutels? Wat gebeurt er als de leverancier een wettelijk verzoek krijgt? Encryptie is geen antwoord. Encryptie is een antwoord op een specifieke vraag.

Het probleem is zelden dat de maatregel ontbreekt. Het probleem is dat niemand kan uitleggen waartegen ze beschermt. En dat is geen technische kwestie, maar een governancekwestie: er is niemand aangeduid die de vertaling maakt tussen wat er gebouwd is en wat er beloofd wordt aan de betrokkene.

Wat is threat modeling, en wat heb je eraan als DPO?

Threat modeling is een gestructureerde manier om vóór de bouw te bepalen wat er mis kan gaan met een systeem, wie daar belang bij heeft en welke maatregelen dat afdekken. In securitykringen is het standaardwerk. Voor gegevensbescherming is het minstens even bruikbaar, en het wordt er zelden voor gebruikt.

Het nut zit in de volgorde. Een DPIA vertrekt van de verwerking en werkt naar risico’s toe. Threat modeling vertrekt van het systeem en werkt naar aanvalspaden toe. Leg je die twee naast elkaar, dan vind je precies de gaten die één van beide methodes alleen niet oplevert: verwerkingen die niemand had gemeld, en risico’s die op papier zijn afgedekt maar in de architectuur niet.

Voor wie data protection by design serieus neemt, is dit het meest praktische instrument dat er bestaat. Het verplaatst het gesprek naar het moment waarop het nog iets kan veranderen.

De begrippen die het vaakst misgaan

Drie voorbeelden uit de dagelijkse praktijk.

Waarom de stack sneller verandert dan de wetgeving

Dit is precies waarom we deze opleiding blijven bijwerken. De onderwerpen die vier jaar geleden nog randgevallen waren, zijn intussen standaardpraktijk: AI-functies in bestaande software, API-koppelingen tussen systemen die niet voor elkaar ontworpen zijn, mobiele applicaties met SDK’s van derden erin.

De juridische vraag blijft dezelfde — welke gegevens, welke grondslag, welke maatregelen. Het antwoord verandert mee met de architectuur. Een opleiding over technologie voor juristen die niet regelmatig wordt herwerkt, leert je een plaatje dat er niet meer is.

De juiste vragen stellen

Uiteindelijk is dit de vaardigheid waar het om draait. Niet zelf de architectuur ontwerpen, wel het gesprek zo sturen dat de risico’s zichtbaar worden.

Een paar vragen die in vrijwel elk technisch overleg werken:

• welke gegevens verlaten dit systeem, en naar waar?
• wat gebeurt er met de gegevens als we morgen stoppen met deze leverancier?
• wie kan bij de gegevens zonder dat het gelogd wordt?
• welke onderdelen zijn van derden, en wat doen die met wat ze zien?
• wat is hier het scenario dat we het minst graag zouden uitleggen aan een betrokkene?

Die laatste vraag doet vaak het meeste werk. Ze verplaatst het gesprek van compliance naar gevolgen, en dat is precies de brug tussen jouw rol en die van de mensen aan de andere kant van de tafel.

Waar begin je?

1. Vraag een architectuurschema van je drie belangrijkste verwerkingen. Als dat er niet is, heb je meteen je eerste bevinding.
2. Leg je register naast de werkelijke systemen. Niet naast de leveranciersnamen, maar naast wat er effectief draait.
3. Toets één claim per overleg. Kies “de data zijn versleuteld” of “het is geanonimiseerd” en vraag door tot je het kunt navertellen.
4. Breng je datastromen naar derden in kaart, inclusief SDK’s in mobiele apps en meetscripts op de website.
5. Vraag om betrokken te worden vóór het ontwerp vastligt. Data protection by design werkt alleen als je aan tafel zit terwijl er nog iets te kiezen valt.

Leer de taal van de ICT-afdeling spreken

Data Protection & Technology is een tweedaagse opleiding voor juristen, advocaten en privacyprofessionals zonder ICT-achtergrond. Ze is recent volledig herwerkt, omdat de technologie dat verdient.

Aan bod komen onder meer:

• threat modeling voor gegevensbeschermingsanalyse
• data protection by design en by default, met klassikale oefeningen
• normen voor informatieveiligheid, zoals ISO 27701
• perimeterinfrastructuur en de architectuur van een cloudomgeving
• cryptografie en technieken voor pseudonimisering
• cookies, analytics en tracking via wifi en bluetooth
• technische concepten van artificiële intelligentie, mobiele apps en API’s

1–2 oktober 2026 — Van der Valk Hotel Gent, in het Nederlands.
Docenten: Herman Maes en Christoph Balduck.
€1.375 excl. btw, €1.095 voor overheidsinstellingen, inclusief lunch, cursusmateriaal en toegang tot de digitale leeromgeving.
KMO-portefeuille mogelijk onder het thema cybersecurity.

Ook in het Frans, op 15–16 oktober 2026 in Van der Valk Hôtel Nivelles-Sud.

Bekijk het volledige programma en schrijf je vandaag nog in

Bronnen en verder lezen

• Verordening (EU) 2016/679 (AVG) — EUR-Lex, artikelen 25 en 32
• Gegevensbeschermingsautoriteit — aanbevelingen over beveiligingsmaatregelen
• Centre for Cybersecurity Belgium
• Threat Modeling Practitioner — voor wie hier dieper op wil ingaan

Veelgestelde vragen