Gegevensuitwisselingsovereenkomst. en DPIA Studiekeuze maart 2018, mr. Philip Coté MBA

Transcriptie

1 Gegevensuitwisselingsovereenkomst NSE en DPIA Studiekeuze maart 2018, mr. Philip Coté MBA

2 Programma Gegevensuitwisselingsovereenkomst NSE 2019 Totstandkoming Wat is nieuw Resultaten Data Protection Impact Assessment SK123

3 Verwerkingsverantwoordelijke en Verwerker Verwerkingsverantwoordelijke (VV) bepaalt doel en middelen van de verwerking Verwerker (V) verwerkt persoonsgegeven tbv VV is niet aan gezag VV onderhevig (aparte entiteit)

4 Verwerkersovereenkomst VV draagt zorg dat V: > Passende beveiliging toepast > Inbreuken op de beveiliging meldt > Alleen verwerkt in opdracht van VV

5 Ontvanger is niet altijd Verwerker In de praktijk zien we dat partijen denken dat met iedere derde partij waarmee persoonsgegevens worden uitgewisseld een bewerkersovereenkomst moet worden gesloten. Dat is niet het geval. Dat is alleen het geval voor zover de betreffende derde partij (deels) kwalificeert als bewerker. (M.Jansen, Dirkzwager)

6 Verstrekking aan een Verantwoordelijke > Bijvoorbeeld Werkgever verstrekt gegevens van personeelsleden aan pensioenfonds of aan arbo arts Aanbieder van een Wmo-voorziening verstrekt gegevens van een cliënt aan de gemeente > Verstrekking is een verwerking dus > Vereist zijn: grondslag, doelbinding, beveiliging, transparantie

7 Verwerkersovereenkomst? Nee > Stel: ontvangende VV sluit ten onrechte een Verwerkersovereenkomst waarin hij de rol van V op zich neemt > Daarmee zegt hij toe gegevens niet voor eigen doeleinden te gaan gebruiken, terwijl de kern van de rol van VV nu juist is dat gegevens wel degelijk voor eigen doeleinden worden gebruikt > Sluit dus geen Verwerkersovereenkomst tussen twee VV s

8 Studiekeuze123/NSE > Instelling en Studiekeuze123 zijn ieder VV voor hun eigen verwerkingen > Verwerkersovereenkomst is niet op zijn plaats > Niettemin willen partijen afspraken maken over de verwerking van persoonsgegevens die zij aan elkaar verstrekken > Daarom de Gegevensuitwisselingsovereenkomst

9 SK123 is VV voor Studiekeuze123/NSE > uitnodigen van studenten voor deelname aan NSE > uitvoeren van de NSE > versturen van de vergoedingen aan enkele van de deelnemende studenten > het verwerken van de antwoorden op de enquête tot resultaten Instelling is VV voor > verstrekken van persoonsgegevens tbv NSE aan SK123

10 GUO 2019: wat is nieuw? > Uitgangspunt GUO 2018 > Aangepast van Wbp naar Avg > Commentaar instellingen verwerkt > Deelname-ovk en Sleutelbestand-ovk geïncorporeerd > Aparte Deelname-ovk en Sleutelbestand-ovk vervallen > Aansprakelijkheidsverzekering geschrapt

11 DPIA Studiekeuze123 > Achtergrond: redesign Studiekeuzedatabase > Doel: nagaan of verwerkingen van SK123 voldoen aan Avg > Aanpak: documentstudie, interviews, normenkader > Tussenstand: geen onrechtmatigheden > Tussentijdse resultaten onder meer: Beoordeling NSE toestemmingsvragen in samenhang met herleidbaarheid

12 > Persoonsgegevens: Herleidbaarheid alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ( de betrokkene ); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd ( )(art. 4 Avg) > Beheersmaatregel: >5 in een cel

13 Toestemming algemeen > ( ) Alleen met jouw toestemming verstrekken we jouw studentnummer in combinatie met jouw antwoorden aan de instelling. ( ) > Ja, ik geef toestemming; > Nee, ik geef geen toestemming, maar doe anoniem mee.

14 Toestemming gezondheid > ( ) noodzakelijk je uitdrukkelijk toestemming te vragen om de antwoorden voor studiekeuze-informatie en onderzoek te mogen gebruiken en met je onderwijsinstelling te mogen delen. ( ) > Ja, en ik ga akkoord met de verwerking van mijn antwoorden over mijn functiebeperking, aandoening of ziekte zoals hierboven aangegeven; > Nee, ik wil deze vraag niet beantwoorden/deze vraag is voor mij niet van toepassing. Ik ga door naar het volgende vragenblok.

15 Toestemming gecombineerd Vraag Algemeen Vraag Gezondheid ja ja SK123 levert antwoorden algemeen en gezondheidsgegevens op studentnummer aan instelling. ja nee SK123 levert antwoorden algemeen aan instelling op studentnummer. Er zijn geen gezondheidsgegevens. nee ja SK123 levert antwoorden algemeen anoniem aan instelling. SK123 levert geen 'gezondheidsgegevens' aan instelling. nee nee SK123 levert antwoorden algemeen anoniem aan instelling. Er zijn geen gezondheidsgegevens.

16 DPIA Studiekeuze123: vervolg > Complexe omgeving > 4 uitvoerende partners > 10 dataleveranciers > 24 bronbestanden > 5 bronbestanden op microniveau (studentrecords) > waarvan 4 met bijzondere persoonsgegevens: > NSE, 1CHO, hbo-monitor, NAE

17 DPIA Studiekeuze123: vervolg > Complexe omgeving > 4 uitvoerende partners > 10 dataleveranciers > 24 bronbestanden > 5 bronbestanden op microniveau (studentrecords) > waarvan 4 met bijzondere persoonsgegevens: > NSE, 1CHO, hbo-monitor, NAE

18 DPIA: voorlopige bevindingen > Transparantie > Rechten van betrokkene > Verwerkersovereenkomsten > Informatiebeveiligingsbeleid > Procedure meldplicht datalekken > Bewaarbeleid > Toegang tot bestanden (autorisatie) > Geheimhoudingsplicht > Privacy organisatie

19 Frankenslag HH Den Haag mr. Philip Coté MBA