Algemene Verordening Gegevensbescherming. Skipr Masterclass 3 april 2018 Sofie van der Meulen

Maat: px

Weergave met pagina beginnen:

Download "Algemene Verordening Gegevensbescherming. Skipr Masterclass 3 april 2018 Sofie van der Meulen"

Joost van der Heijden
5 jaren geleden
Aantal bezoeken:

1 Algemene Verordening Gegevensbescherming Skipr Masterclass 3 april 2018 Sofie van der Meulen

2 Waarom en wanneer Kern van de AVG Guidance Functionaris gegevensbescherming Leidende autoriteit Dataportabiliteit Data Protection Impact Assessment Voorbereiden op de AVG

3 Voorbeelden Passant vindt onversnipperde dossiers kinderopvang met foto s van kinderen, overzichten van taxiritten, adressen, mobiele nummers van ouders letterlijk op straat Harde schijf met gegevens van kankerpatiënten ziekenhuis uit kofferbak gestolen Gemeente raakt dossiers met onder meer kopie paspoort, bankafschriften en salarisstroken inwoners kwijt Autoriteit Persoonsgegevens 4

4 Wat is privacy? Persoonsgegevens: alle informatie (dat kan tekst zijn, maar mag ook een voorwerp of een foto) waarmee direct of indirect een levend persoon kan worden geïdentificeerd. Enkele voorbeelden van persoonsgegevens zijn een naam, adres, een adres, een telefoonnummer, een unieke patiëntcode of een foto. - Arrest 19 oktober 2016 ( Breyer ): dynamisch IP-adres kan een persoonsgegeven zijn. Verwerken: elke handeling met betrekking tot persoonsgegevens. Daaronder vallen onder meer het verzamelen, bewaren, in de cloud plaatsen, wijzigen, raadplegen, gebruiken, verstrekken, afschermen en vernietigen van persoonsgegevens. Verantwoordelijke: (onder de AVG: verwerkingsverantwoordelijke) een natuurlijke of rechtspersoon die het doel van en de middelen voor de verwerking van persoonsgegevens (bijvoorbeeld medische gegevens) vaststelt. Dit kan alleen of samen met andere partijen zijn. Bewerker (Wbp) is verwerker onder de AVG. De verwerker verwerkt persoonsgegevens in opdracht van de verwerkingsverantwoordelijke. Autoriteit Persoonsgegevens 5

5 Waarom nieuwe privacywetgeving Digitale samenleving 1 Europese wet 1995 Europese privacyrichtlijn Autoriteit Persoonsgegevens 6

6 Wanneer treedt de AVG in werking EC 2012 Eerste voorstel AVG mei 2016 AVG gepubliceerd mei 2018 AVG van toepassing 2018 Uitvoeringswet AVG

Gegevens omtrent gezondheid Persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee

7 Gegevens omtrent gezondheid Persoonsgegevens die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon, waaronder gegevens over verleende gezondheidsdiensten waarmee informatie over zijn gezondheidstoestand wordt gegeven Met inbegrip van informatie die voortkomt uit testen of onderzoeken van een lichaamsdeel, genetische gegevens en biologische monsters, maar ook bijvoorbeeld informatie over ziekte, handicap, ziekterisico, medische voorgeschiedenis, klinische behandeling of fysiologische of biomedische staat van betrokkene ongeacht de bron. Autoriteit Persoonsgegevens 8

8 Voorbeeld gegevens omtrent gezondheid Voorbeelden: Het medisch dossier Lifestyle apps die diverse gezondheidsgegevens verwerken - onderzoek van de AP naar Nike+ Running app Versturen verwijsbrief van huisarts naar specialist Autoriteit Persoonsgegevens 9

9 AVG en zorgsector De inhoud van bestaande zorgspecifieke weten regelgeving blijft ongewijzigd (o.a. Wkkgz, Wet BIG, WTZi, Wmg en WGBO). Soms is deze wetgeving strikter dan de AVG (beroepsgeheim). Verplichtingen voor de verwerkingsverantwoordelijke: Instellen van een Functionaris voor de Gegevensbescherming Uitvoeren van een PIA Meldplicht datalekken Bijhouden register verwerkingsactiviteiten Nieuwe rechten voor betrokkenen (verwerking beperken, dataportabiliteit) Autoriteit Persoonsgegevens 10

10 Verplichtingen verwerker Alleen handelen in opdracht van de verantwoordelijke; Bijhouden overzicht van alle categorieën persoonsgegevens die zij verwerken in opdracht van de verwerkingsverantwoordelijke; Verwerkers moeten passende technische en organisatorische beveiligingsmaatregelen nemen die een passend beschermingsniveau bieden met het oog op het risico van de gegevensverwerking voor betrokkenen. Geen sub-verwerkers inschakelen zonder toestemming van de verantwoordelijke; Verwerkingsverantwoordelijke onverwijld op de hoogte stellen van een datalek; Verwerkers zijn verplicht medewerking te verlenen bij een verzoek daartoe van de toezichthouder (in Nederland de AP) in het kader van de uitoefening van diens taken; In sommige gevallen voorafgaande raadpleging AP of uitvoeren van PIA (GEB); Aanstellen Functionaris Gegevensbescherming. Autoriteit Persoonsgegevens 11

11 Kern van de AVG Privacyrechten Verantwoordelijkheden Privacy toezichthouders EPDB

12 Wat betekent de wet voor burgers Versterking en uitbreiding privacyrechten Toestemming Klacht bij AP Autoriteit Persoonsgegevens 14

Recht op verwijdering Recht op beperking van de verwerking

13 Rechten van betrokkenen Transparante informatie voor de uitoefening van rechten Informatie bij verzameling Recht van inzage Recht op rectificatie Recht op verwijdering Recht op beperking van de verwerking Kennisgevingsplicht rectificatie, verwijdering, beperking Dataportabiliteit Autoriteit Persoonsgegevens 15

14 Wat betekent de wet voor organisaties 1 wet in de hele EU Verantwoordelijkheid en accountability Documentatieplicht Data Protection impact assessment (DPIA) Functionaris gegevensbescherming Hulpinstrumenten Autoriteit Persoonsgegevens 17

15 Wat betekent de wet voor de toezichthouder Toezicht en handhaving privacywet Steviger boetebevoegdheden Internationale samenwerking Voorlichting algemeen publiek Voorlichting organisaties Autoriteit Persoonsgegevens 18

16 Voorlichting Elke burger die een vraag, advies of een klacht heeft over de verwerking van persoonsgegevens kan hiermee bij de AP terecht. Op bredere schaal behandelen van klachten Meer zichtbaar in (kleinere) sectoren en organisaties Autoriteit Persoonsgegevens

17 Boetebevoegdheid Max 10 miljoen of 2% wereldwijde jaaromzet VERPLICHTINGEN VERANTWOORDELIJKEN BEGINSELEN, GRONDSLAGEN, RECHTEN Max 20 miljoen of 4% wereldwijde jaaromzet Autoriteit Persoonsgegevens 21

18 Handhavingsinstrumenten Last onder dwangsom (Uitvoeringswet AVG) Bestuurlijke boete Waarschuwing Opleggen van een verwerkingsverbod Intrekking certificering Bevel tot het nemen van bepaalde maatregelen Autoriteit Persoonsgegevens 22

19 Guidance Functionaris Gegevensbescherming Leidende autoriteit Recht op dataportabiliteit Data Protection Impact Assessment

20 Functionaris Gegevensbescherming Verplicht in 3 situaties Overheden en publieke organisaties Bijzondere persoonsgegevens Observatie Autoriteit Persoonsgegevens

21 Functionaris Gegevensbescherming Niet verplicht, toch een FG Alternatief voor een FG Meerdere organisaties, 1 FG Wat moet een FG weten en kunnen Wat moet u regelen Hoe werkt een FG onafhankelijk Autoriteit Persoonsgegevens 28

22 Dataportabiliteit Recht op overdraagbaarheid van persoonsgegevens Recht om jouw persoonsgegevens te ontvangen Zelf opslaan of doorgeven aan andere organisaties Welke gegevens? Welk formaat? Autoriteit Persoonsgegevens 32

23 Data Protection Impact Assessement Verplicht bij verwerkingen die hoog privacyrisico opleveren Systematisch en uitvoerig persoonlijke aspecten evalueren Grote schaal bijzondere persoonsgegevens Grote schaal systematisch mensen volgen in publiek toegankelijk gebied Autoriteit Persoonsgegevens 34

24 Wanneer een DPIA uitvoeren Beoordelen van mensen op basis van persoonskenmerken Geautomatiseerde beslissingen Stelselmatige en grootschalige monitoring Gevoelige gegevens Grootschalige gegevensverwerkingen Gekoppelde databases Gegevens over kwetsbare personen Gebruik van nieuwe technologieën Doorgifte van persoonsgegevens buiten de EU Blokkering van een recht, dienst of contract Autoriteit Persoonsgegevens 36

25 Hoe kunnen organisaties zich voorbereiden Bewustwording FG Rechten van betrokkenen Meldplicht datalekken Breng uw gegevensverwerkingen in kaart Bewerkersovereenkomsten DPIA Leidende Autoriteit Privacy by design & default Toestemming Autoriteit Persoonsgegevens 39

Vergelijkbare documenten

Algemene verordening gegevensbescherming. Udo Oelen LWV, VNO-NCW in Limburg, Geleen 5 oktober 2017

Algemene verordening gegevensbescherming Udo Oelen LWV, VNO-NCW in Limburg, Geleen 5 oktober 2017 Waarom en wanneer Kern van de AVG Guidance Functionaris gegevensbescherming Leidende autoriteit Dataportabiliteit