De Algemene Verordening Gegevensbescherming

Transcriptie

1 De Algemene Verrdening Gegevensbescherming FORUM ADVOCATEN BVBA Nassaustraat Antwerpen T F E inf@frumadvcaten.be W

2 Inleiding Algemene Verrdening Gegevensbescherming f General Data Prtectin Regulatin (GDPR). Wijziging van de reeds bestaande Eurpese regelgeving (Richtlijn 95/46/EG). België: Wet Verwerking Persnsgegevens van Verrdening Richtlijn Waarm nd aan nieuwe regelgeving? Nd aan harmnisatie van de natinale privacywetgevingen binnen Eurpa; Aanpassen van de regels aan de nieuwe digitale realiteit; De burger meer cntrle geven ver zijn gegevens.

3 Materieel tepassingsgebied Zwel van tepassing p de private sectr, als p de penbare sectr. Psitief tepassingsgebied: de geheel f gedeeltelijk geautmatiseerde verwerking, alsmede p de verwerking van persnsgegevens die in een bestand zijn pgenmen f die bestemd zijn m daarin te wrden pgenmen. Negatief tepassingsgebied: niet van tepassing bij bijv. de verwerking dr een natuurlijke persn bij de uitefening van een zuiver persnlijke f huishudelijke activiteit

4 Territriaal tepassingsgebied Uitbreiding van het tepassingsgebied van de EU-regelgeving tt partijen buiten de Unie. ( ) ngeacht f de verwerking in de Unie al dan niet plaatsvindt. Van tepassing p de verwerking van persnsgegevens van betrkkenen die zich in de Unie bevinden, dr een niet in de Unie gevestigde verwerkingsverantwrdelijke f verwerker, wanneer de verwerking verband hudt met: het aanbieden van gederen f diensten aan deze betrkkenen in de Unie, ngeacht f een betaling dr de betrkkenen is vereist; f het mnitren van hun gedrag, vr zver dit gedrag in de Unie plaatsvindt. Van tepassing p de verwerking van persnsgegevens dr een verwerkingsverantwrdelijke die niet in de Unie is gevestigd, maar p een plaats waar krachtens het internatinaal publiekrecht het lidstatelijke recht van tepassing is.

5 Inwerkingtreding De AVG trad in werking p 24 mei Zij is van tepassing vanaf 25 mei Aanpassingsperide van twee jaar pdat ndernemingen zich erp kunnen vrbereiden.

6 Verwerkingsverantwrdelijke vs. verwerker Verwerkingsverantwrdelijke: Een natuurlijke persn f rechtspersn, een verheidsinstantie, een dienst f een ander rgaan die/dat, alleen f samen met anderen, het del van en de middelen vr de verwerking van persnsgegevens vaststelt. Verwerker: Een natuurlijke persn f rechtspersn, een verheidsinstantie, een dienst f een ander rgaan die/dat ten beheve van de verwerkingsverantwrdelijke persnsgegevens verwerkt. Bijv.: een sciaal secretariaat is een verwerker wanneer hij in pdracht van een werkgever persnsgegevens verwerkt met het g p de lnverwerking. Verwerkingsverantwrdelijke = werkgever. Verwerker = sciaal secretariaat. De verantwrdelijkheden van de verwerker nemen te dr de nieuwe regels van de AVG.

7 Verplichtingen vr ndernemingen Aanstelling van een Data Prtectin Officer: Taak: tezien p het naleven van de AVG, ptreden als cntactpersn vr burger en samenwerken met tezichthudende autriteit. Verplichting wanneer: de verwerking wrdt verricht dr een verheidsinstantie f verheidsrgaan, behalve in het geval van gerechten bij de uitefening van hun rechterlijke taken; een verwerkingsverantwrdelijke f de verwerker hfdzakelijk belast is met verwerkingen die vanwege hun aard, mvang en/f delstellingen regelmatige en stelselmatige bservatie p grte schaal van betrkkenen vereisen; de verwerkingsverantwrdelijke f de verwerker hfdzakelijk belast is met grtschalige verwerking van bijzndere categrieën van gegevens en van persnsgegevens die betrekking hebben p strafrechtelijke verrdelingen en strafbare feiten. Facultatief vr andere ndernemingen. Binnen één cncern mag één DPO wrden aangesteld p vrwaarde dat hij f zij makkelijk te bereiken is en de taal van de tezichthuder en data subjects spreekt. Aanstelling van de DPO: DPO kan intern wrden pgeleid en wrden aangesteld. Men kan berep den p een externe (rechts)persn, bv. een zelfstandige p basis van een dienstverleningsvereenkmst. Hangt af van verschillende elementen: werklast, prfiel, eventueel belangencnflict, enz. Geen specifieke erkenning f diplma ndig, maar wel ver juridische kennis en ITvaardigheden beschikken.

8 Verplichtingen vr ndernemingen Striktere testemming ndig: Elke vrije, specifieke, geïnfrmeerde en ndubbelzinnige wilsuiting waarmee de betrkkene dr middel van een verklaring f een ndubbelzinnige actieve handeling de verwerking van persnsgegevens aanvaardt. Testemming dient tegankelijk te zijn: begrijpbare, duidelijke en eenvudige taal. Actieve handeling: = bewust aanvinken van een vakje p website. Stilzwijgen, gebruiken van reeds aangevinkte vakjes f inactiviteit. Bescherming t.a.v. kinderen: vr de verwerking van persnsgegevens van persnen jnger dan 16 jaar, is de testemming van de persn die de uderlijke verantwrdelijkheid draagt vereist. De betrkkene met zijn testemming p ieder genblik gemakkelijk kunnen intrekken.

9 Verplichtingen vr ndernemingen Impactanalyse / gegevensbeschermingseffectberdeling: Verwerkingsverantwrdelijke met vóór de verwerking van persnsgegevens een berdeling uitveren van het effect van de begde verwerkingsactiviteiten p de bescherming van persnsgegevens wanneer de verwerking een hg risic inhudt. Bijv.: bij verwerking van gegevens die betrekking hebben p strafrechtelijke verrdelingen en strafbare feiten. Analyse gebeurt cnfrm de regels uit de AVG. Indien er een DPO aanwezig is, dient zijn advies gevraagd te wrden dr de verwerkingsverantwrdelijke. Vrafgaande raadpleging: Indien uit de impactanalyse blijkt dat de verwerking een hg risic inhudt, dient de tezichthudende autriteit vrafgaand aan de verwerking te wrden geraadpleegd. Indien de tezichthudende autriteit vaststelt dat de verwerking een inbreuk zu zijn p de AVG, dan verleent hij binnen een termijn van 8 dagen (f 6 weken indien zeer cmplex) een schriftelijk advies.

10 Verplichtingen vr ndernemingen Register van de verwerkingsactiviteiten: Vervangt de verplichting m verwerkingen van persnsgegevens aan te melden bij de natinale tezichthuder. Geldt zwel vr de verwerker, als vr de verwerkingsverantwrdelijke. Register is een inventaris van de verschillende verwerkingen: Cntactgegevens DPO Verwerkingsdeleinden Drgifte aan derde land Categrieën van betrkkenen en persnsgegevens Enz. Niet van tepassing p ndernemingen met minder dan 250 werknemers, tenzij: het risic p schending van de privacy (rechten en vrijheden) reëel is; de verwerking regelmatig is; f de verwerking bijzndere categrieën van gegevens f persnsgegevens in verband met strafrechtelijke verrdelingen en strafbare feiten betreft. Vr advcatuur artikel 10 AVG: verwerking van persnsgegevens betreffende strafrechtelijke verrdelingen en strafbare feiten.

11 Verplichtingen vr ndernemingen Meldplicht bij inbreuken: Verwerkingsverantwrdelijke met inbreuk betreffende persnsgegevens melden aan de bevegde tezichthudende autriteit binnen een termijn van 72 uren. Inbreuk dient niet gemeld te wrden indien de inbreuk waarschijnlijk geen risic inhudt vr de privacy van natuurlijke persnen. Inbreuk dient, behudens uitzndering, eveneens gemeld te wrden aan de betrkken persn.

12 Rechten van burgers Recht p inzage: Recht m inzage te verkrijgen van zijn f haar persnsgegevens die verwerkt wrden. Recht p inzage m.b.t. infrmatie aangaande verwerkingsdeleinden, verwerkingsdeleinden, de betrkken categrieën van persnsgegevens, enz. Recht p rectificatie: Recht m njuiste persnsgegevens te laten verbeteren en m nvlledige persnsgegevens te laten vervlledigen. Recht m verwerking te laten beperken wanneer: de betrkkene de juistheid van zijn persnsgegevens betwist. de verwerking nrechtmatig is, maar de betrkkene zich verzet tegen het wissen van de persnsgegevens; de persnsgegevens niet meer ndig zijn vr de verwerkingsdeleinden, maar de betrkkene heeft deze ndig vr de instelling, uitefening f nderbuwing van een rechtsvrdering; de betrkkene bezwaar heeft gemaakt tegen de verwerking.

13 Rechten van burgers Recht m vergeten te wrden en persnsgegevens te laten verwijderen: Verplichting wanneer: de persnsgegevens niet langer ndig zijn vr de deleinden waarvr zij zijn verzameld; de betrkkene zijn testemming intrekt en er is geen andere rechtsgrnd vr de verwerking; de persnsgegevens zijn nrechtmatig verwerkt; Enz. Recht is niet van tepassing vr: het uitefenen van het recht p vrijheid van meningsuiting en infrmatie; het nakmen van een in het Unierecht f het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting f vr het vervullen van een taak van algemeen belang f het uitefenen van penbaar gezag dat aan de verwerkingsverantwrdelijke is verleend; m redenen van algemeen belang p het gebied van vlksgezndheid; met het g p archivering in het algemeen belang, wetenschappelijke f histrisch nderzek f statistische deleinden, vr zver het recht m vergeten te wrden de verwezenlijkingen van de deleinden van die verwerking nmgelijk dreigt te maken f ernstig in het gedrang dreigt te brengen; vr de instelling, uitefening f nderbuwing van een rechtsvrdering. Verwerkingsverantwrdelijke dient alle andere verwerkingsverantwrdelijken en de ntvangers hiervan p de hgte te brengen.

14 Rechten van burgers Recht van bezwaar tegen de verwerking van zijn persnsgegevens: Verwerkingsverantwrdelijke met de verwerking staken, tenzij hij dwingende gerechtvaardigde grnden vr de verwerking aanvert die: zwaarder wegen dan de belangen, rechten en vrijheden van de betrkkene; verband huden met de instelling, uitefening f nderbuwing van een rechtsvrdering. Klachtrecht: Burger kan klacht neerleggen bij de tezichthudende autriteit (Privacy Cmmissie) in de lidstaat waar hij gewnlijk verblijft, waar hij zijn werkplek heeft f waar de beweerde inbreuk is begaan wanneer de verwerking van zijn persnsgegevens een inbreuk zu uitmaken p de AVG. Let p: vanaf 25 mei 2018 zal de Privacycmmissie wrden mgevrmd tt de gegevensbeschermingsautriteit.

15 Inbreuk: sancties Tezichthudende autriteit kan administratieve bete pleggen tt EUR f tt 4% van de jaarmzet indien dit cijfer hger is. Er bestaat geen verplichting m een bete p te leggen. Hgte van de bete varieert afhankelijk van de cncrete mstandigheden: Werd het pzettelijk gepleegd f was het een lutere nalatigheid? Werd vldende beveiliging? Enz. aandacht besteed aan

16 Besluit: vrbereiden p 25 mei 2018 Maatregelen nemen m privacy te waarbrgen. Risic- en impactanalyse maken. Alle betrkkenen infrmeren ver beleid mtrent verwerking van persnsgegevens. Verwerkingen dcumenteren in een register. (Eventueel) aanstellen van een DPO. Praktisch: privacybeleid, cntracten, templates, enz. aanpassen.!! ACCOUNTABILITY!!

17 Meer weten? Verrdening (EU) 2016/679 van het Eurpees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke persnen in verband met de verwerking van persnsgegevens en betreffende het vrije verkeer van die gegevens en tt intrekking van Richtlijn 95/46/EG.

18 Cntact Frum Advcaten: Altijd bereikbaar. FORUM ADVOCATEN BVBA Nassaustraat Antwerpen T F E inf@frumadvcaten.be W FORUM ADVOCATEN 03/ inf@frumadvcaten.be