GDPR. De nieuwe privacywetgeving; wij helpen je op weg. dejuristen Amsterdam Joris Voorhuis, IP/IT jurist Simone Op Heij, IP/IT jurist

Transcriptie

1 GDPR. De nieuwe privacywetgeving; wij helpen je op weg. dejuristen Amsterdam Joris Voorhuis, IP/IT jurist Simone Op Heij, IP/IT jurist 1

2 Over dejuristen dejuristen Amsterdam is een juridisch nichekantoor gespecialiseerd in ICT-recht, intellectueel eigendom en privacyrecht. dejuristen Amsterdam is onderdeel van thejurists Europe. Gent - Brussel - London - Amsterdam 2

3 There s no such thing as a free lunch. 3

4 Wat is de GDPR? De Algemene Verordening Gegevensbescherming, ook wel General Data Protection Regulation (GDPR) genoemd, is een Verordening waarmee de Europese Commissie de veiligheid van persoonlijke data wil bevorderen. De GDPR vervangt de huidige nationale privacywetgeving en zorgt ervoor dat de privacywetgeving in alle Europese landen nagenoeg gelijk wordt getrokken. In Nederland wordt toezicht gehouden op naleving van de wet door de Autoriteit Persoonsgegevens. Op 25 mei 2018 treedt de GDPR in werking. 4

5 Transparantie & accountability Dit zijn de sleutelwoorden van de nieuwe wetgeving. Als organisatie wordt je verplicht open te zijn over de persoonsgegevens die je verzamelt en wat je daarmee doet. Daarnaast moet je kunnen aantonen dat je passende technische en organisatorische maatregelen hebt genomen om te waarborgen dat de verwerking GDPR compliant is. 5

6 Is de GDPR op mijn onderneming van toepassing? De GDPR is van toepassing op iedere onderneming die persoonsgegevens van EU burgers verwerkt. Persoonsgegevens Verwerken 6

7 Wat zijn persoonsgegevens? Elk gegeven dat (direct of indirect) kán terugleiden naar een persoon, is een persoonsgegeven! Art GDPR: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ( de betrokkene ); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon. Normale en bijzondere persoonsgegevens IP-adres? Kenteken? info@loodgieterlek.nl? BTW-nummer eenmanszaak? 7

8 Wat is verwerken? Art GDPR: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens Eigenlijk: quasi elke handeling met een persoonsgegeven. 8

9 Verplichtingen onder de GDPR 1.Organisatorische maatregelen: wat moet intern worden geregeld? 2.Verplichtingen richting je cliënten 3.Afspraken met partners 9

10 1. Organisatorische maatregelen 10

11 Creëer privacy bewustzijn binnen je organisatie Datalekken ontstaan vaak door menselijk handelen Stel een intern privacybeleid op en zorg ervoor dat iedereen op gepaste wijze omgaat met het verwerken van persoonsgegevens Dataminimalisatie Privacy by Design en Privacy by Default 11

12 Verwerkingsregister Breng de datastromen in je onderneming in kaart: Welke persoonsgegevens worden verzameld? Wat is het doel hiervan? Welke medewerkers hebben toegang? Welke externe partijen hebben toegang? Waar worden de gegevens opgeslagen? Wat zijn de (voorgenomen) bewaartermijnen? Welke beveiligingsmaatregelen zijn genomen? 12

13 Beveiligingsmaatregelen Neem passende technische en organisatorische maatregelen Passende maatregelen: afhankelijk van hoeveelheid data die wordt verwerkt, het soort persoonsgegevens, omvang en financiële mogelijkheden van een onderneming Pseudonimisering Anonimisering Maatregelen gericht op herstel na een incident Periodieke evaluatie van de doeltreffendheid van de genomen veiligheidsmaatregelen 13

14 Procedure na een datalek Wanneer een datalek een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, moet dit bij de toezichthoudende instantie (in Nederland: de Autoriteit Persoonsgegevens) worden gemeld. Een melding aan de toezichthouder moet in ieder geval binnen 72 uur zijn gedaan nadat het datalek is ontdekt. En melden aan de betrokkene zelf? 14

15 DPO of Functionaris gegevensbescherming 1 OVERHEID Ben je een overheidsinstantie of - orgaan? 2 BIJZONDER Verwerk je hoofdzakelijk op grote schaal bijzondere gegevens? 3 OBSERVATIE Verwerk je hoofdzakelijk gegevens waarvoor op grote schaal regelmatige en stelselmatige observatie van betrokkenen nodig is? 15

16 2. Verplichtingen richting je klanten 16

17 Correcte grondslag Meest voorkomende grondslagen: 1. Noodzakelijk voor de uitvoering van de overeenkomst. 2. Noodzakelijk om te voldoen aan een wettelijke verplichting. 3. Gerechtvaardigd belang van de verwerker of een derde. 4. Toestemming. 17

18 Wees transparant Welke persoonsgegevens verzameld worden. Het doel waarvoor de persoonsgegevens verzameld worden (de grondslag). Informatie over de wijze van inzage, correctie of verwijdering van persoonsgegevens. De bewaartermijn van gegevens. Categorie van derde partijen waar persoonsgegevens mee worden gedeeld. Contactgegevens van de eigen organisatie. 18

19 Voorbeeld Wij delen enkel jouw persoonsgegevens met derden indien dit noodzakelijk is voor de uitvoering van de overeenkomst of indien je hiervoor toestemming hebt verleend. Wij delen bijvoorbeeld jouw gegevens met door ons ingezette dienstverleners, zoals transportbedrijven en betalingsdienst X.

20 Rechten van betrokkenen Recht op informatie Recht op inzage Recht op correctie Recht op verzet Recht om vergeten te worden Recht op data portabiliteit Dergelijke verzoeken kunnen geautomatiseerd worden, maar duidelijke contactgegevens waar een verzoek naartoe gestuurd kan worden volstaat ook. 20

21 3. Afspraken met partners 21

22 Verwerkersovereenkomst Wie is verwerkingsverantwoordelijke en wie is verwerker? De duur, beschrijving en doeleinden van de gegevensverwerking Beveiligingsmaatregelen en audits Waarborging van betrouwbaarheid van personeel Melding van een datalek aan verwerkingsverantwoordelijke Medewerkings- en inlichtingenplicht Toestemming voor inschakelen sub-verwerkers Waarborgen bij gegevensverkeer buiten de EU Retour of vernietiging van gegevens bij einde van de dienstverlening 22

23 De sancties. Iedereen heeft het erover: de enorme GDPR-sancties. De GDPR geeft de Autoriteit Persoonsgegevens de bevoegdheid geven om een administratieve geldboete op te leggen. De maximumboete (bijv voor het niet rechtmatig verkrijgen van toestemming of niet voldoen aan de regels omtrent datauitwisseling met niet EU-landen) is 20 miljoen euro of 4% van de wereldwijde omzet. Hoewel het gaat om maximale bedragen bepaalt de GDPR wel dat de Autoriteit Persoonsgegevens ervoor moet zorgen dat de geldboete afschrikkend moet zijn. Belangrijk dus om bewust te zijn van alle persoons-gegevens die verwerkt worden binnen jouw onderneming. 23

24 Praktische tips o Houd je software up-to-date o Gebruik zo min mogelijk mobiele gegevensdragers, zoals usbsticks o Zorg voor sterke authenticatie o Zorg voor periodieke online en/of offline back-up systemen o Versleutel data waar mogelijk o Beperk de toegang tot persoonsgegevens o Houd toezicht 24

25 Cookies E-Privacy Verordening Huidige regelgeving Toestemming Functionele cookies Cookies geen of geringe invloed persoonlijke levenssfeer Nieuwe regelgeving: Analytische cookies (voor eigen gebruik, niet voor derden zoals Google Analytics) Webbrowser wordt poortwachter Cookiewalls niet meer toegestaan 25

26 Voorbeeld 26

27 Voorbeeld 27

28 Vragen? Samenvattend: De GDPR is van toepassing op vrijwel iedere onderneming Sleutelwoorden: Transparantie & accountability Intern privacybeleid Beveiligingsmaatregelen Let op de rechten van betrokkenen Zorg dat de verwerking gebeurt op een correcte grondslag Maak goede afspraken met partners 28

29 (+31) Amsterdam Gent Brussel Londen 29