24 mei Veranderingen privacywetgeving: de gevolgen voor ledenadministratie

Transcriptie

1 Veranderingen privacywetgeving: de gevolgen voor ledenadministratie

2 Europese privacywetgeving - Directe werking - Geen aparte implementatie in nationale wetgeving - enkele regels ter uitvoering staan in de uitvoeringswet AVG - Per 25 mei 2018 definitief van toepassing: vanaf die datum dezelfde privacywetgeving in de hele EU - De Wbp vervalt per die datum

3 Waarom belangrijk? - Persoonlijke vrijheid, persoonlijk leven - Onbespied en onbewaakt kunnen leven - Mogelijkheid om vertrouwelijk te communiceren - Zelf bepalen wie welke informatie over je krijgt

4 Wat verandert er? - De reden waarom u gegevens vastlegt moet helder zijn - De betrokkene moet actief en ondubbelzinnig toestemming geven voor de vastlegging - De betrokkene heeft veel meer rechten, o.a. inzage, wijzigen, overdragen en verwijderen - Alles wat met persoonsgegevens wordt gedaan moet aantoonbaar vastgelegd zijn - Er mogen alleen maar gegevens worden vastgelegd en bewaard die actief nodig zijn - De informatiebeveiliging moet up-to-date zijn én blijven - Actieve interne communicatie over de omgang met persoonsgegevens is van belang - Wanneer externe partijen persoonsgegevens verwerken moet dat worden vastgelegd - in een overeenkomst

5 Wat zijn persoonsgegevens? Alle gegevens die Betrekking hebben op Een geïdentificeerde of Identificeerbare Natuurlijke persoon Betrokkene = Persoon van wie de gegevens worden verwerkt - Naam - Adres - Geboortedatum - Geboorteplaats - IP-adres - BSN-nummer - Klantnummers bij bedrijven - adres - Uiterlijke kenmerken - - Medische informatie - Informatie over inkomen - Informatie over hobbies - Online zoekgeschiedenis - Telefoonnummer - Kenteken - IMEI-nummer - Filmopnames - Geluidsopnames - Foto s - Personeelsdossier - IBAN - Wachtwoorden - Locatiegegevens - Etc.

6 Bijzondere Persoonsgegevens: Godsdienst of levensovertuiging Ras Lidmaatschap vakbond Gegevens over gezondheid Burgerservicenummer (BSN) Verwerking van bijzondere persoonsgegevens is verboden, tenzij specifieke wettelijke uitzondering én op 1 van de 6 grondslagen voor het verwerken van gewone persoonsgegevens.

7 Wat verstaat men onder verwerking? Alle handelingen die een organisatie kan uitvoeren met persoonsgegevens Bijvoorbeeld: Verzamelen Vastleggen Ordenen Opslaan Raadplegen Gebruiken Vernietigen Kortom, nagenoeg alles wat je maar kunt bedenken!

8 Verwerkersovereenkomst Wanneer nodig? * Alleen als derde partijen, bijv een bond, toegang heeft Wat moet daarin staan? * Wat mag de verwerker ermee doen * Hoe lang mag de verwerker de gegevens bewaren * Wie hebben er toegang? * Hoe is de toegang beveiligd? * Verwijderen van data na beëindigen overeenkomst * Aantonen dat men aan verplichting voldoet. Dit kan officieel instantie zijn

9 Verwerkersovereenkomst Verwerkingsverantwoordelijke moet toestemming kunnen aantonen Verzoek om toestemming moet kort en bondig zijn Toestemming niet geldig al u die als voorwaarde stelt voor aangaan van overeenkomst waarvoor u de gegevens niet nodig hebt De betrokkene moet toestemming altijd weer in kunnen trekken Intrekken van de toestemming moet even eenvoudig zijn als geven ervan

10 Beginselen AVG Rechtmatig / behoorlijk / transparant Je moet kunnen verantwoorden dat je de gegevens nodig hebt Welbepaald en duidelijk In eenvoudige taal aangeven waarom je de gegevens nodig hebt Minimalisatie Verzamel nooit meer dan nodig is. Bijv BSN Juistheid De gegevens moeten kloppen Bewaartermijn Bewaar de gegevens nooit langer dan nodig Integriteit en veiligheid Ga er zorgvuldig mee om.

11 Rechten betrokken Recht op informatie Recht op inzage Recht om correctie / verwijdering van persoonsgegevens te vragen Recht op beperking verwerking Recht om toestemming in te trekken Klachtrecht bij Autoriteit Persoonsgegevens

12 Datalekken (Voorbeelden) Verlies van een externe harde schijf Verloren of gestolen smartphone Gestolen papieren dossiers Een hacker steelt persoonsgegevens Mail gestuurd aan verkeerd adres

13 Data lek, en dan? Beoordeling of datalek gemeld moet worden aan de Autoriteit Persoonsgegevens en/of betrokkenen ligt bij verwerkingsverantwoordelijke Datalek melden moet via meldloket op site van Autoriteit Persoonsgegevens Datalekken die voldoende ernstig zijn zo spoedig mogelijk bij Autoriteit Persoonsgegevens melden uiterlijk binnen 72 uur na ontdekking Per geval moet worden beoordeeld of er sprake is van een voldoende ernstig datalek

14 Stappen plan Bepaal wie ermee bezig gaat Wijs gegevens functionaris aan Zoek uit wat je verzameld aan persoonsgegevens en of je alles wat je verzameld wel nodig hebt. Leg vast wat je ermee doet, wie kan er nog meer bij? Zijn dat andere partijen bedrijven etc. Leg dit vast in verwerkersovereenkomst Vraag toestemming aan betrokkenen. Bijvoorbeeld in het inschrijfformulier, bij huidige leden lastig. Maak privacy verklaring waarin bovenstaande beschreven staat. Plaats deze op de website indien mogelijk

15 Hoe zit het met foto s? Dit is een vraag waar veel mensen mee worstelen. Een foto is per definitie GEEN persoonsgegeven maar valt onder portretrecht. Dit is het recht van de geportretteerde om zich in bepaalde gevallen te verzetten tegen het gebruik van zijn portret. De invoering van de AVG verandert hier niets aan!