GAAT U NETJES MET PERSOONSGEGEVENS OM?

Transcriptie

1 GAAT U NETJES MET PERSOONSGEGEVENS OM? Mr. Vivienne Verlinden Mr. Martin Schiphorst PlasBossinade Legal Updates Hoe integer bent u? 6 oktober 2016

2 OPZET: 10 VRAGEN DIE IN VRIJWEL ELK BEDRIJF SPELEN

3 VRAAG 1: Wat voor persoonsgegevens (PG) verwerkt u?

4 Voorvraag 1a: Wat zijn PG? Gegevens die medebepalend zijn voor de bejegening /beoordeling van een persoon in het maatschappelijk verkeer. Dus: Persoon (levend) Identificerend (direct of indirect, evt. door een derde Bijv: NAW, telnr., BSN, geloof, geslacht, etc.

5 Voorvraag 1b: Wat is verwerken? Alles wat u kunt bedenken: van creëren tot vernietigen en alles wat daar tussen zit. Al dan niet geautomatiseerd.

6 Terug naar VRAAG 1: Wat voor persoonsgegevens (PG) verwerkt u? - Personeelsgegevens - Klantgegevens - Leveranciersgegevens - Netwerk-/telefoongebruik op de zaak - Gegevens over websitebezoekers

7 VRAAG 2: U neemt in uw klantenbestand op dat de echtgenote van uw contactpersoon haar been gebroken heeft geopereerd moet worden zodat u daar navraag naar kunt doen. Gewoon een klantvriendelijke reminder. Mag dat wel?

8 WEETJE: verwerking PG mag alleen als: GRONDSLAG EN DOEL: formuleer een doel met (toegestaan) grondslag en houd je daaraan TRANSPARANT: Informatie aan betrokkenen PROPORTIONEEL: Niet verdergaand dan nodig SUBSIDIARITEIT: Geen minder belastende alternatieven voorhanden? BEVEILIGING Technisch Organisatorisch RECHTEN BETROKKENE eerbiedigen

9 DOEL DOEL: Waarvoor verzamel je PG en wat mag betrokkene verwachten? Doel verkrijging en verwerking mogen niet onverenigbaar zijn. Hoe verwanter het doel, hoe eerder verenigbaar Hoe gevoeliger de gegevens, hoe eerder onverenigbaar Gevolgen voor betrokkene? Wijze van verkrijging gegevens

10 Grondslagen (o.a.) INFORMED CONSENT, of NODIG VOOR UITVOERING OVK, of NODIG VOOR WETTELIJKE PLICHT, of NODIG VOOR GERECHTVAARDIGD BELANG, na belangenafweging

11 Transparantie: Informatieplicht

12 Grondslag: Toestemming Ondubbelzinnige toestemming, na informatie! - Vinkje (mits niet vooraf ingevuld) - Afgeven visitekaartje - Doorsurfen Niet: - Verstopt in algemene voorwaarden - Ingeval van afhankelijkheidspositie, dan een andere grondslag nodig Gevoelige PG: uitdrukkelijke toestemming nodig.

13 Antwoord op VRAAG 2 Nee, tenzij u - vooraf - uitdrukkelijke toestemming heeft gekregen van die echtgenote.

14 VRAAG 3: U gebruikt uw klantenbestand om ongevraagd een mailing te versturen over uw nieuwe product. Mag dat zo maar? Antwoord: Voor vergelijkbaar product: ja, mits opt-out Voor ander product: nee, tenzij toestemming

15 VRAAG 4: Heeft u de beveiliging van de door u verzamelde PG goed op orde?

16 Beveiliging tegen verlies/misbruik Passend Organisatorisch: bijv. Toegangscontrole pand/gegevens Voorlichting en gedragscode Pas op voor USB-stick, phishing, tel. waarin softwareinfo wordt gevraagd e.d. Clean desk Technisch Bevoegdheden/versleuteling/hashen e.d. Firewall NEN

17 VRAAG 5: Moet u bij de Autoriteit Persoonsgegevens melden dat en welke persoonsgegevens u verwerkt of geldt voor u een vrijstelling?

18 Meldplicht verwerking Verwerking PG moet vooraf gemeld worden bij Autoriteit Persoonsgegevens (AP), tenzij vrijstelling

19 Vrijstelling meldplicht verwerking (mits voldaan aan voorwaarden) - Sollicitanten - Personeels-/salarisadministratie - Abonnementen - Debiteuren en crediteuren - Afnemers en leveranciers - Toegangscontrole/cameratoezicht - Intern beheer bedrijf - Intranet

20 VRAAG 6: Wat mag u, binnen de vrijstelling, opslaan over uw klanten?

21 Antwoord VRAAG 6: Klantgegevens Soort PG: NAW, Geslacht, geboortedatum, tel., mail Rekeningnr., Administratief nr. Vorderingen, betalingen e.d. Voor zover redelijkerwijs nodig en relevant Doeleinden: Uitvoeren OVK, verzorgen transport; Innen vorderingen, doen betalingen; Voeren administratie; Onderhouden relatie, behandeling geschillen; Accountantscontrole, uitvoering wetten, waaronder belastingen Bewaarduur: 2 jr na afhandeling transactie

22 Klantgegevens Toegestane ontvangers: Personen belast met uitvoering van de OVK, administratie e.d. Hun leidinggevende Derden: na toestemming voor die verwerkingen Derden: ogv gerechtvaardigd belang, na mededeling en redelijke verzettermijn

23 VRAAG 7: Een van uw medewerkers heeft een foute geopend en daarmee cryptoware naar binnen gehaald. Moet u dit melden bij de Autoriteit Persoonsgegevens? En/of aan de betrokkene(n)? Wat moet u verder doen?

24 Antwoord VRAAG 7: Datalek - > melden bij AP als aanzienlijke kans op ernstige nadelige gevolgen voor de bescherming van PG Onverwijld (binnen 72 uur na ontdekking (evt.. door bewerker)) melden aan AP én z.s.m. maatregelen treffen en aanraden Waarschijnlijk ongunstige gevolgen voor individu? -> ook aan betrokkene Overzicht van inbreuken bijhouden en gegevens min 1 jr bewaren (3 jr als geen melding aan betrokkene)

25 VRAAG 8: Werkt u met bewerkers?

26 Bewerker Verwerkt PG in opdracht en ten behoeve van Verantwoordelijke; Overeenkomst nodig met waarborgen; Verantwoordelijke blijft verantwoordelijk; Verantwoordelijke moet toezien op naleving OVK en wet.

27 Vraag 9: Weet u wat er voor u gaat veranderen in mei 2018 als de Europese Algemene Verordening Gegevensbescherming echt in werking treedt?

28 Europese Verordening Gegevensbescherming (AVG) Dezelfde rechten en plichten in hele EU; Algemene meldplicht vervalt, dan eigen registerplicht voor Verantwoordelijke én Verwerker; Functionaris Gegevensbescherming; Privacy impact assessment (PIA) bij nieuwe verwerkingen c.q. gebruik nieuwe technologie; Vergeetrecht;

29 AVG Dataportabiliteit; Recht op besluit met menselijke tussenkomst; Privacy by design/privacy by default.

30 VRAAG 10: Weet u welke risico s u loopt als u niet voldoet aan de Wbp en straks de AVG?

31 Handhaving Wbp: Bindende aanwijzing Last onder dwangsom Bestuurlijke boete tot ,-- AVG: Waarschuwen, berispen, gelasten Administratieve geldboetes tot 20 mio of max 4% wereldwijde jaaromzet

32 Vragen? Vivienne Verlinden-Masson / Martin Schiphorst /