FOBID Informatie. 13 November Mr.dr. Mirjam Elferink

Transcriptie

1 FOBID Informatie bijeenkomst AVG 13 November 2017 Mr.dr. Mirjam Elferink

2 2 Elferink & Kortier Advocaten Specialisten in intellectuele eigendom, ICT-recht en privacy

3 3 Waarom een bewerkersovereenkomst? 1. Inleiding: waarom een bewerkersovereenkomst? 2. Begrippenkader Wbp/AVG 3. Regels voor verwerking 4. Wat moet er in de overeenkomst worden vastgelegd? 5. AVG: eisen aan bewerkersovereenkomst 6. Bijhouden register van verwerkingsactiviteiten 7. Aanbeveling

4 4 1. Waarom een bewerkersovereenkomst? Afsluiten bewerkersovereenkomst is verplicht Bewerker heet in AVG Verwerker -> Verwerkersovereenkomst Verantwoordelijke mag alleen gebruik maken van verwerker die voldoende garanties biedt t.a.v. Deskundigheid, betrouwbaarheid, beveiliging, technische en organisatorische maatregelen Inschakelen van subverwerkers alleen met instemming verantwoordelijke

5 5 1. Waarom een bewerkersovereenkomst? Op overtreding van de bepalingen in de AVG die zien op de bewerkersovereenkomst staat een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. De (maximale) boete op het niet hebben van een bewerkersovereenkomst stijgt dus aanzienlijk.

6 6 2.Belangrijke begrippen: Persoonsgegeven Elk gegeven dat herleidbaar is tot een natuurlijke persoon (bijv. NAW, leeftijd, IP adres, adres, telefoonnummer, locatiegegevens, gegevens over bibliotheekleden, leengedrag, lidmaatschapsnummer, profiel, voorkeuren etc. Een foto is een bijzonder persoonsgegeven! Kortom: alle informatie over een geïdentificeerde of identificeerbare persoon Maatstaf: kun je iemand direct of indirect identificeren?

7 2.Begrippenkader AVG;Persoonsgegevens Economische identiteit 7 Fysieke identiteit Fysiologische identiteit Genetische identiteit Identificeerbaar-> aan de hand van elementen die kenmerkend zijn voor een natuurlijke persoon Psychische identiteit Culturele identiteit Sociale identiteit

8 8 2. Belangrijke begrippen: verwerking Elke handeling m.b.t. persoonsgegevens, van het moment van verzameling tot vernietiging. Ook alleen opslag door cloudleverancier

9 2. Begrippenkader AVG; Verwerking 9 afschermen aligneren of combineren verspreiden of op andere wijze ter beschikking stellen verstrekken door middel van doorzending gebruiken raadplegen opvragen bijwerken of wijzigen opslaan structureren ordenen vastleggen verzamelen wissen vernietigen van gegevens

10 2. Belangrijke begrippen: Verantwoordelijke/bewerker 10 Verantwoordelijke: Bepaalt doel en middel van de verwerking (bijv. een werkgever; de bieb voor de lenersadministratie; de klant van een cloud service leverancier). Bewerker: Verwerkt persoonsgegevens ten behoeve van de verantwoordelijke; staat niet onder direct gezag van de verantwoordelijke (Denk aan ICT/hosting-dienstverlener, maar bijv. ook administratiekantoor).

11 2. Belangrijke begrippen: Betrokkene/Autoriteit Persoonsgegevens: 11 Betrokkene: Degene op wie een persoonsgegeven betrekking heeft Autoriteit Persoonsgegevens: Voormalig College Bescherming Persoonsgegevens. De Autoriteit houdt toezicht op de naleving van de wettelijke regels en adviseert over nieuwe regelgeving.

12 12 3. Regels voor verwerking I.o.m. de wet, behoorlijk en zorgvuldig Art. 6 Wbp Welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden Voorwaarden/ grondslagen Art. 8 Wbp Deze beginselen zijn in de AVG in de basis gelijk aan Wbp Bewaartermijn: niet langer dan noodzakelijk, tenzij statistiek, wetenschap of historie + maatregelen.

13 13 3.Regels voor verwerking, vervolg Gegevens worden niet verder verwerkt op een wijze die onverenigbaar is met doel. Geheimhoudingsplicht. Passende technische en organisatorische beveiligingsmaatregelen. Afspraken bewerker; Bewerkersovereenkomst.

14 14 3. Regels voor verwerking AVG Doelbinding Dataminimalis atie Verantwoordingsplicht verwerkingsverantwoordelijke Rechtmatigheid Eerlijkheid Transparantie Juistheid Opslagbeperki ng Integriteit en vertrouwelijkh eid

15 4. Wat legt u vast in een bewerkersovereenkomst? - Welke soorten persoonsgegevens worden verwerkt? -Voor welke doeleinden? -Wie is de verantwoordelijke? -Welke beveiligingsmaatregelen moet de bewerker treffen? -Hoe om te gaan met het melden van datalekken? -Geheimhoudingsplicht -inschakelen subbewerkers na voorafgaande toestemming

16 4. Wat legt u vast in een bewerkersovereenkomst? - Hoe om te gaan met rechten van betrokkenen, zoals het recht op inzage, correctie en verwijdering? - Auditrechten verantwoordelijke - Boetes op het niet naleven van bepaalde verplichtingen? - Teruggave van persoonsgegevens bij beëindiging van de ovk ivm recht op overdraagbaarheid van gegevens

17 17 Recht op overdraagbaarheid van gegevens; dataportabiliteit Hoe? Verkrijging in een gestructureerde, gangbare en machineleesbare vorm; Overdracht aan een andere verwerkingsverantw. zonder daarbij te worden gehinderd door de verwverantw. aan wie de persoonsgegevens waren verstrekt

18 4. Wat legt u vast in een bewerkersovereenkomst? Waar worden de persoonsgegevens opgeslagen? Locatie voorkeur benoemen. bij Doorgifte naar land buiten EU slechts indien dat land een passend beschermingsniveau waarborgt Lijst opgesteld door Europese Commissie met landen passend beschermingsniveau. VS geen passend beschermingsniveau -> Privacy Shield opvolger Safe Harbour-verdrag - Modelovereenkomsten. Let op: Patriot Act

19 5.AVG: eisen aan bewerkersovereenkomsten Verwerkingsverantwoordelijke moet maatregelen nemen en aantoonbaar handelen in overeenstemming AVG Er worden meer en uitgebreidere eisen gesteld aan de verwerker : Moet afdoende garanties bieden m.b.t. het toepassen van technische er organisatorische maatregelen opdat de verwerking voldoet aan de eisen van de AVG en de bescherming van de rechten van betrokkene is gewaarborgd (art. 28 AVG)

20 5.AVG: eisen aan bewerkersovereenkomsten Ondersteuning van de verantwoordelijke bij de afhandeling van een datalek; Ondersteuning van de verantwoordelijke bij het uitvoeren van een PIA en het vooraf raadplegen van de toezichthouder; Vernietiging/retournering persoonsgegevens bij einde overeenkomst, tenzij bewaren wettelijk verplicht is; Mogelijkheid tot het houden van audits en andere manieren om naleving van de wet aan te kunnen tonen. 20

21 6. Bijhouden register van verwerkingsactiviteiten Verwerkingsverantwoordelijke legt register aan van verwerkingsactiviteiten, tenzij bij de verwerkingsverantwoordelijke minder dan 250 personen werkzaam zijn Verschillende elementen moeten daarin worden vastgelegd, o.m.: - Verwerkingsdoeleinden; - categorieën van persoonsgegevens en betrokkenen; - categorieën van ontvangers aan wie de persoonsgegevens worden verstrekt; - Naam en contactgegevens van verwerkingsverantwoordelijke en de eventuele verwerker; - Algemene beschrijving van technische en organisatorische beveiligingsmaatregelen. Verwerker legt zelf ook een register aan van verwerkingen die onder zijn verantwoordelijkheid hebben plaatsgevonden Als verwerking wordt gedaan door een overheidsinstantie of overheidsorgaan, dan wijst verwerker ook een FG aan!

22 22 7. Aanbeveling: Waarom een bewerkersovereenkomst? Verplichting om compliant te zijn met de AVG per 25 mei 2018! Zo niet -> risico op hoge boetes Controleer tijdig bestaande bewerkersovereenkomsten op aanpassingen en inventariseer of met iedere leverancier bewerkersovereenkomsten zijn afgesloten!

23 23 Dank voor uw aandacht! mr. dr. Mirjam Elferink Advocaat IE, ICT-recht en Privacy mr. Martijn Kortier Advocaat IE, ICT-recht en Privacy