te Tiriti- en Māori-gegevens

Agents at Work — CC BY 4.0

De laatste les die wordt genoemd, onder de verwachtingen van de Privacycommissaris, bevat een regel die gemakkelijk over het hoofd wordt gezien, maar dat niet zou mogen: betrek Māori bij de risico’s voor de taonga van hun informatie. Het staat in de richtlijnen naast „voer een privacy-effectbeoordeling uit“ en „houd een mens op de hoogte“ — maar het is niet hetzelfde soort punt, en het behandelen ervan als een vakje dat moet worden aangevinkt is de fout die deze les juist wil voorkomen.

Waarom dit een aparte verplichting is — op het gebied van relaties en te Tiriti, niet alleen privacy

De gewone privacywetgeving vraagt: wordt de informatie van deze persoon rechtmatig en veilig verwerkt? Die vraag is belangrijk, maar dekt deze kwestie niet. Het te Tiriti-kader stelt iets wat de privacybeginselen niet doen: wie heeft zeggenschap over deze informatie, en op grond van welk recht?

Voor Māori-gegevens — informatie over of toebehorend aan Māori-personen, whānau, hapū en iwi — geldt het principe dat deze onder Māori beheer vallen. Het gaat vaak om taonga: iets dat in bezit is, met bijbehorende verplichtingen, en niet simpelweg eigendom is als een handelswaar die verwerkt moet worden. Dat is een kwestie van bevoegdheid en relatie, niet alleen van beveiliging. Een agent kan Māori-gegevens met perfecte technische beveiliging verwerken en toch fout zitten, omdat de vraag nooit alleen was „is het veilig?“ — maar „wiens beslissing was het om dit überhaupt te gebruiken?“

Wat een agent nog erger maakt

Alles wat ervoor zorgde dat agenten de inzet in Tier 1 verhoogden, speelt hier een grote rol. Een agent handelt onbewaakt en krijgt zelfstandigtoegang tot gegevens. Het specifieke gevaar is dus een agent die, standaard en zonder dat iemand daarover beslist, stilletjes informatie over Māori verzamelt — deze naar het buitenland stuurt naar een openbaar model, bewaart, er scores op toekent — omdat hij dat kon, en niemand de moeite nam om te vragen of dat wel moest. Dat is precies het soort beslissing dat niet om 2 uur ’s nachts via een standaardinstelling genomen zou moeten worden.

Wat dit in de praktijk betekent

• Het is een gesprek, geen eenzijdige beslissing. Als een agent informatie over of van Māori zou gebruiken, isdat een beslissing die samen met de mensen aan wie die informatie toebehoort moet worden genomen, over wat passend gebruik inhoudt — niet iets wat je stilletjes in je eentje regelt omdat de tool daartoe in staat is. Dit is de „wiens beslissing?“ uit de gegevensvraag, met een duidelijk antwoord.
• Bewaring maakt deel uit van het antwoord. Dit is waar de soevereine optie (Tier 3) ophoudt een voorkeur te zijn en een manier wordt om de verplichting na te komen: de gegevens onder Nieuw-Zeelands beheer en infrastructuur houden, in plaats van ze naar een rechtsgebied en een bedrijf te sturen dat er geen band mee heeft, is een wezenlijk andere handeling.
• Kies bij twijfel voor ‘niet doen’. Als je de vraag ‘wiens bevoegdheid?’ niet kunt beantwoorden, ben je nog niet klaar om een agent op die gegevens te richten. Dat is geen voorzichtigheid omwille van de voorzichtigheid; het is de verplichting die werkt zoals bedoeld.

Dit is waar Anker 3 en Anker 4 samenkomen: het werk goed houden en ervoor zorgen dat het ten dienste staat van — en niet boven gaat staan van — de mensen aan wie het toebehoort. Voor een bedrijf dat soevereiniteit serieus neemt, is dit geen compliance-last die er op het laatst aan wordt toegevoegd. Het maakt deel uit van hetdoel van het bedrijf.

Deze les beschrijft een principe en een verplichting; het is algemene voorlichting, geen juridisch advies, en geen vervanging voor directe betrokkenheid bij de gemeenschappen waarvan de gegevens in kwestie zijn. Māori-gegevenssoevereiniteit is een levend en zich ontwikkelend vakgebied — behandel de details als iets dat je samen met de juiste mensen moet uitwerken, niet als iets dat je van een cursuspagina haalt.

Volgende

De hele module draait om één punt: er staat altijd een persoon aan de andere kant van de agent. De laatste les maakt dat expliciet — je verplichtingen ten opzichte van de mensen die je agent verwerkt — en geeft je de éénpagina-samenvatting die voor hen is geschreven.