Transcriptie

1

2 VIL Academie - M&A in one day Algemene Verordening Gegevensbescherming (AVG) Rik Geurts Konferentie Nederlandse Religieuzen 28 juni 2018

3 Programma > Wat is privacy? > Privacyregelgeving en (enkele) kernbegrippen > Belangrijk(st)e wijzigingen AVG > De AVG en religieuze genootschappen en verenigingen > Aanpak en vragen 3

4 > Wat is privacy? 4

5 Privacy (1/4) Wat is privacy? > Een goede definitie is "het recht met rust gelaten te worden of het recht op de persoonlijke levenssfeer". 5

6 Privacy (2/4) 6

7 Privacy (3/4) Redenen waarom privacy (zo) belangrijk is. 1. Onze maatschappij raakt steeds meer en sneller gedigitaliseerd, data groeit exponentieel en kan op steeds meer wijzen worden gebruikt. 2. Het gebruik en delen van persoonsgegevens is niet meer weg te denken in ons zakelijk en privébestaan. 3. De impact van het gebruik van data op personen wordt steeds groter. 7

8 Privacy (4/4) 8

9 > Privacyregelgeving 9

10 Wettelijk kader (1/5) > Europees Algemene Verordening Gegevensbescherming (COM(2012)11) Status: aangenomen op 14 april 2016, gepubliceerd op 4 mei 2016, direct van toepassing vanaf 25 mei > Nationaal Wet bescherming persoonsgegevens (Wbp) Status: vervallen op 25 mei Uitvoeringswet AVG Status: aangenomen op 16 mei

11 Wettelijk kader (2/5) 11

12 Kernbegrippen (3/5) > Wat is een (bijzonder) persoonsgegeven? > Wat is een betrokkene, verwerkingsverantwoordelijke en verwerker? > Wat zijn de grondslag voor verwerking? > Hoe en waarvoor wordt toestemming gegeven? > Doel en doelbinding. Verwerking ten behoeve van een doel. Andere verwerkingen zijn niet toegestaan. > Welke organisatorische en technische beveiligingsmaatregelen moet men nemen? 12

13 Kernbegrippen (4/5) Voorbeelden > Is een IP-adres een persoonsgegeven? 13

14 Kernbegrippen (5/5) Voorbeelden > Is een (gezichts)foto een persoonsgegeven? 14

15 > Belangrijkste wijzigingen AVG 15

16 Belangrijkste wijzigingen AVG (1/3) > Centrale begrip persoonsgegevens ruimer Ook gegevens gekoppeld aan IP-adressen en cookies vallen onder begrip. > Het privacybeleid moet nog uitgebreider Precies en volledig uitleggen wat er wordt gedaan met de persoonsgegevens en hoe lang gegevens worden bewaard. > Versterking van de rechten van betrokkenen Waaronder het recht op dataportabiliteit en recht om vergeten te worden. Ook strengere eisen aan toestemming. > Versterking van verantwoordelijkheden van organisaties die persoonsgegevens verzamelen en gebruiken o.a. invoering verplichting datalekken te documenteren. 16

17 Belangrijkste wijzigingen AVG (2/3) > Het aanstellen van een FG ( privacy officer ) Een FG is verplicht wanneer op grote schaal gevoelige persoonsgegevens worden verwerkt. FG is onafhankelijk. > Het controleren en vastleggen van afspraken met verwerkers Komen we later op terug. > Accountability Bedrijven hebben verantwoordingsplicht/documentatieplicht. > Data protection impact assessment (DPIA) Instrument om vooraf de privacy-risico s van een (risicovolle) gegevensverwerking in kaart te brengen en vervolgens maatregelen te kunnen nemen om risico s te verkleinen. 17

18 Belangrijkste wijzigingen AVG (3/3) > Versteviging van de onafhankelijkheid en bevoegdheden van de nationale privacy autoriteiten Waaronder het opleggen van hoge boetes. 18

19 > De AVG en religieuze genootschappen en verenigingen 19

20 Verandert er veel? (1/2) > Belangrijk uitgangspunt van de AVG: > overeenkomstig artikel 17 VWEU dient zij de status te eerbiedigen die kerken en religieuze verenigingen en gemeenschappen volgens het vigerende constitutioneel recht in de lidstaten. Daaraan mag geen afbreuk worden gedaan (overweging 165 AVG). > Wat betekent dit? > Dit betekent niet dat aan kerken geen of althans zo weinig mogelijk verplichtingen mogen worden opgelegd. > Het betekent wel dat terdege rekening moet worden gehouden met positie van kerken en genootschappen op geestelijke grondslag, mede gelet op het in de Grondwet verankerde recht van vrijheid van godsdienst en levensovertuiging. 20

21 Verandert er veel? (2/2) > Artikel 17 Wbp: > bevat een specifieke grondslag voor het verwerken van persoonsgegevens betreffende iemands godsdienst of levensovertuiging door kerkgenootschappen en genootschappen op geestelijke grondslag. > Bepaling komt niet in dezelfde vorm terug in de AVG (art. 9) en de UAVG (art. 27). Maar materieel bevatten zij in onderlinge samenhang bezien op hoofdlijnen wel dezelfde regeling. > Artikel 27 van de UAVG: > Persoonsgegevens waaruit religieuze of levensbeschouwelijke overtuigingen blijken, mogen worden verwerkt door andere dan de hiervoor bedoelde instellingen, voor zover de verwerking noodzakelijk is met het oog op de geestelijke verzorging van de betrokkene, tenzij deze daartegen schriftelijk bezwaar heeft gemaakt. > Voor het verstrekken van persoonsgegevens aan derden is toestemming van de betrokkene vereist. Deze bepaling komt overeen met artikel 17, eerste lid, aanhef en onderdeel c, en derde lid, Wbp. Hierbij kan gedacht worden aan een geestelijk verzorger in het leger of een ziekenhuis. 21

22 > Aanpak en vragen 22

23 Aanpak en vragen (1/5) Aanpak (10 stappenplan): > Stap 1 Bewustwording: Zorg ervoor dat de relevante mensen in uw organisatie (zoals beleidsmakers) op de hoogte zijn van de nieuwe privacyregels. Zij moeten inschatten wat de impact van de AVG is op uw huidige processen, diensten en goederen en welke aanpassingen nodig zijn om aan de AVG te voldoen. > Stap 2 Rechten van betrokkenen: Zorg dat betrokken op de hoogte zijn van hun privacyrechten en deze goed kunnen uitoefenen (o.a. privacyverklaring / beleid). > Stap 3 Overzicht van verwerkingen: Breng uw gegevensverwerkingen in kaart. Documenteer welke persoonsgegevens u verwerkt en met welk doel u dit doet, waar deze gegevens vandaan komen en met wie u ze deelt. > Stap 4 DPIA: controleer of je PIA moet uitvoeren. 23

24 Aanpak en vragen (2/5) Aanpak (10 stappenplan): > Stap 5 Privacy by Design & Default: maak uw organisatie vertrouwd met de verplichte uitgangspunten van privacy by design en default en hoe u deze kunt invoeren. > Stap 6 FG: controleer of je een FG moet aanstellen. > Stap 7 Meldplicht datalekken: meldplicht blijft onder de AVG grotendeels hetzelfde. Er worden wel strengere eisen gesteld aan uw eigen registratie van de datalekken die zich in uw organisatie hebben voorgedaan. > Stap 8 Verwerkersovereenkomsten: Heeft u uw gegevensverwerking uitbesteed aan een verwerker? Beoordeel dan of de overeengekomen maatregelen in bestaande contracten met uw verwerkers nog steeds toereikend zijn. En of deze voldoen aan de eisen die de AVG aan verwerkersovereenkomsten stelt. 24

25 Aanpak en vragen (3/5) Aanpak (10 stappenplan): > Stap 9 Leidende toezichthouder: Heeft uw organisatie vestigingen in meerdere EUlidstaten? Of hebben uw gegevensverwerkingen in meerdere lidstaten impact? Dan hoeft u onder de AVG nog maar met één privacytoezichthouder zaken te doen. Dit wordt de leidende toezichthouder genoemd. > Stap 10 Toestemming: Voor sommige gegevensverwerkingen hebt u toestemming nodig van de betrokkenen. De AVG stelt strengere eisen aan toestemming. Evalueer daarom de manier waarop u toestemming vraagt, krijgt en registreert. Pas deze wijze indien nodig aan. Nieuw is dat u moet kunnen aantonen dat u geldige toestemming van mensen heeft gekregen om hun persoonsgegevens te verwerken. En dat het voor mensen net zo makkelijk moet zijn om hun toestemming in te trekken als om die te geven. 25

26 Aanpak en vragen (4/5) Vragen: > Wie is de verantwoordelijke voor het melden van een datalek? > Hoe moet je handelen op het moment dat je heb gezien dat iemand aan je computer(bestanden) heeft gezeten? > Moeten wij alle donateurs van alle projecten die bij ons geadministreerd worden, inlichten wat er bij ons geregistreerd staat? > Moeten wij personeelsleden en vrijwilligers benaderen over wat er geregistreerd staat en hun goedkeuring vastleggen? > Wat moet je doen met oud-personeelsleden? > Welke gegevens mag je allemaal verwerken? Ook verzekerings- en ziektekostengegevens? 26

27 Aanpak en vragen (5/5) Vragen: > Hoe lang mag persoonsgegevens bewaren? Wie bepaalt dat? > Hoe ga je om met een adressenbestand van personeelsleden en relaties? Mogen we hen nog en? > Moeten we een verwerkingsregister hebben? > Moet ieder van de zusters verklaren dat zij instemt met de inzage van haar persoonsgegevens? > Mogen wij al onze leden van de congregatie aanschrijven? > Wat zijn de regels voor een archief? > Mag je foto s van herkenbare personen op Facebook en in bladen plaatsen? Moeten we echt iedereen om toestemming vragen? 27

28 Contactgegevens sprekers Rik Geurts Telefoon

29