privacy TipS EN TricKS voor DE ONDErNEMiNGSpraKTiJK 2013 in-house counsel practical GuiDE

Maat: px
Weergave met pagina beginnen:

Download "privacy TipS EN TricKS voor DE ONDErNEMiNGSpraKTiJK 2013 in-house counsel practical GuiDE"

Transcriptie

1 privacy TIPS EN TRICKS VOOR DE ONDERNEMINGSPRAKTIJK 2013 in-house counsel practical guide

2

3 3 privacy: tips en tricks voor de ondernemingspraktijk

4 4 privacy: tips en tricks voor de ondernemingspraktijk

5 Inhoud 7 Voorwoord 9 Keypoints 10 De concept-privacyverordening: zware verplichtingen, hoge boetes 22 Datalekken: de meldplicht komt eraan 32 De klokkenluidersregeling en privacy 42 Document retention: dataopslag en bewaartermijnen 50 Cookies en toestemming 60 Privacy in de cloud: er zit onweer in de lucht 70 e-discovery en privacy: het eeuwige dilemma? 82 Bijlage 85 Privacy team 87 Houthoff Buruma vestigingen 5 privacy: tips en tricks voor de ondernemingspraktijk

6 6 privacy: tips en tricks voor de ondernemingspraktijk

7 voorwoord Uit een recent onderzoek 1 onder Nederlandse bedrijfsjuristen blijkt dat privacy, de bescherming van persoonsgegevens, een van de zes thema s is die hoog op de agenda van de General Counsel staan. Die constatering staat in duidelijk contrast met de eerdere houding van het bedrijfsleven tegenover privacy sinds de invoering van de Wet persoonsregistratie in 1989 en de Wet bescherming persoonsgegevens in Tot voor kort benadrukten de meeste Nederlandse ondernemingen vooral de administratieve lasten die de implementatie van privacyregelgeving met zich meebracht. Het privacybewustzijn is met name in een stroomversnelling gekomen door het op 25 januari 2012 door de Europese Commissie gepubliceerde voorstel voor een privacyverordening. Hoewel het nog enkele jaren kan duren voor deze verordening van kracht wordt terwijl de inhoud nog uitgebreid ter discussie staat werpen de torenhoge boetes op overtreding (tot 2% van de wereldwijde omzet van een onderneming) hun lange schaduw vooruit. In deze uitgave wordt in korte hoofdstukken aandacht geschonken aan zes actuele thema s die met privacy te maken hebben: de nieuwe EU verordening, datalekken, klokkenluiderregelingen, cookies, bewaren van documenten en gegevens, e-discovery en de cloud. Een aantal Nederlandse ondernemingen heeft met een of meer van deze onderwerpen te maken, sommige zelfs dagelijks. Als de EU verordening van kracht is zal het hele Nederlandse bedrijfsleven werk moeten maken van bescherming van persoonsgegevens. Privacyrisico s moeten worden geanalyseerd en vastgelegd. Er moeten adequate beveiligingsmaatregelen, procedures en protocollen zijn ter bescherming van persoonsgegevens. De verwerking van persoonsgegevens moet zoveel mogelijk bij de bron worden beperkt. Datalekken moeten onmiddellijk worden gemeld. Veel ondernemingen moeten een functionaris aanstellen die moet toezien op naleving van de privacyregels. En op overtreding van elk van deze regels staat een hoge boete. Het is dan ook niet voor niets dat privacy de komende jaren hoog op de agenda van de Nederlandse General Counsel staat. Thomas de Weerd en Wolter Wefers Bettink, partners Houthoff Buruma, maart 2013 Dit boekje verscheen eveneens als nummer 1 in de NGB reeks Tips & Tricks voor de praktijk van de bedrijfsjurist. 1 Bedrijfsjuristenmonitor 2012, Houthoff Buruma, Amsterdam. Zie 7 privacy: tips en tricks voor de ondernemingspraktijk

8 8 privacy: tips en tricks voor de ondernemingspraktijk

9 keypoints De nieuwe Privacy verordening verzwaart de lasten van het bedrijfsleven aanzienlijk. Iedere onderneming moet een roadmap hebben hoe om te gaan met datalekken en het melden daarvan. Een klokkenluidersregeling moet voldoen aan strenge eisen ter waarborging van de privacy van betrokkenen. Een document retentie beleid bespaart kosten en beschermt tegen claims. Opslaan van gegevens in de cloud maakt het moeilijk om aan de nieuwe Privacyverordening te voldoen. Voldoen aan de cookie regels begint met bekijken welke cookies noodzakelijk zijn. 9 privacy: tips en tricks voor de ondernemingspraktijk

10 De concept-privacyverordening: zware verplichtingen, hoge boetes Inleiding Jarenlang heeft de zorg voor privacy de bescherming van persoonsgegevens niet veel aandacht gekregen binnen de meeste Nederlandse ondernemingen. De uit 1989 stammende Wet persoonsregistraties heeft overwegend een sluimerend bestaan geleid. Weliswaar werd deze in 2001 vervangen door de Wet bescherming persoonsgegevens (Wbp), 1 die de uit 1995 stammende Privacyrichtlijn 2 implementeert, maar privacy In het bedrijfsleven werd de Wbp vaak leek ook in de jaren daarna een onderwerp waar vooral overheidsinstellingen, het College Bescherming Persoonsgegevens (CBP) en een handvol gespecialiseerde juristen zich mee bezighielden. In het bedrijfsleven werd de Wbp vaak geschaard onder de administratieve lasten, waarvan het mkb in Nederland er al zoveel heeft. De oorzaak van deze houding ten opzichte van privacy lag primair in de abstracte normen van de regelgeving die moeilijk concreet uit te voeren waren. Het vrijwel ontbreken van sancties en een chronische onderbezetting bij het CBP zorgde voorts voor een sporadische, op uitwassen gerichte handhaving. In die houding van het bedrijfsleven is verandering gekomen toen met de Code Tabaksblat 3 compliance onderdeel werd van het DNA van in Nederland werkzame ondernemingen. Voldoen aan de privacywetgeving werd onderdeel van de compliance scorecard. geschaard onder de administratieve lasten. In diezelfde periode groeide, parallel aan de toename van het commerciëel gebruik van het internet, de hoeveelheid gegevens die voor commerciële doeleinden wordt verzameld exponentieel. Ondernemingen als Google en Facebook gingen voorop in het samenstellen en uitbaten van profielen van gebruikers. Dat gebeurde met behulp van cookies, kleine tekstbestanden die worden geplaatst op de computer van een websitebezoeker, doorgaans zonder dat deze zich daarvan bewust was. Om het gebruik van cookies aan banden te 1 Wet bescherming persoonsgegevens, Stb. 2000, Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, Pb EG Nr. L 281 van 23/11/1995 blz De Nederlandse Corporate Governance Code - beginselen van deugdelijk ondernemingsbestuur en best-practicebepalingen, Commissie Corporate Governance 9 december Te vinden op rijksoverheid.nl/documenten-en-publicaties/richtlijnen/2003/12/09/code-tabaksblat.html. 10 privacy: tips en tricks voor de ondernemingspraktijk

11 leggen stelde de Europese wetgever in 2009 de e-privacyrichtlijn 4 vast, waardoor voortaan de toestemming van de gebruiker is vereist voor het plaatsen van een cookie. Gekoppeld aan een boetebepaling die toezichthouder OPTA de mogelijkheid geeft een boete van maximaal EUR op te leggen heeft dit in relatief korte tijd geleid tot een cultuuromslag. Anno 2013 bevatten de meeste websites van Nederlandse ondernemingen uitgebreide informatie over de gebruikte cookies en wordt voor het plaatsen daarvan doorgaans (impliciet) toestemming gevraagd. Het privacybewustzijn is in een stroomversnelling gekomen door het op 25 januari 2012 door de Europese Commissie gepubliceerde voorstel voor een privacyverordening. 5 In dit boekje wordt deze ook wel aangeduid als de concept Verordening. Hoewel dit instrument in bepaalde opzichten de lasten voor het bedrijfsleven in de Europese Unie zal verlichten een onderneming hoeft in de toekomst maar aan één uniform regime te voldoen in plaats van de privacywetgeving van 27 verschillende lidstaten valt toch vooral op dat de regels voor de verwerking van persoonsgegevens op veel punten zijn aangescherpt en dat op overtreding daarvan zeer hoge boetes zijn gesteld, tot 2% van de wereldwijde jaaromzet van de overtredende onderneming. Het zal nog enkele jaren duren voordat de concept Verordening in werking treedt. Uit het rapport dat over de concept Verordening is uitgebracht aan het Europees Parlement 6 (naar haar samensteller het Albrechtrapport genoemd) blijkt dat deze instelling zo Het privacybewustzijn is in een stroomversnelling gekomen door het voorstel voor een privacyverordening. 4 Richtlijn 2009/136/EG van het Europese Parlement en de Raad van 25 november 2009 tot wijziging van Richtlijn 2002/22/EG inzake de universele dienst en gebruikersrechten met betrekking tot elektronische communicatie-netwerken en -diensten, Richtlijn 2002/58/EG betreffende de verwerking van persoonsgegevens en de bescherming van de persoonlijke levenssfeer in de sector elektronische communicatie en Verordening (EG) nr. 2006/2004 betreffende samenwerking tussen de nationale instanties die verantwoordelijk zijn voor handhaving van de wetgeving inzake consumentenbescherming, Pb EU Nr. L337/11 van 18/12/ Voorstel voor een Verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), 25/01/2012, COM(2012) 11 final. Te vinden op 6 Draft report on the proposal for a regulation of the European Parliament and of the Council on the protection of individuals with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (COM(2012)0011 C7-0025/ /0011(COD)). Te vinden op 11 privacy: tips en tricks voor de ondernemingspraktijk

12 mogelijk nog strengere regels wil stellen aan verwerking van persoonsgegevens in de Europese Unie. Bij de behandeling in een aantal commissies van het Parlement bleek echter dat een meerderheid van de lidstaten een aantal verplichtingen van de Verordening wil afzwakken om met name het MKB te ontlasten.. Naar verwachting wordt in juni 2013 in het Europese Parlement over de tekst van de concept Verordening gestemd. Privacy staat dan ook hoog op de agenda van de Nederlandse General Counsel voor de komende jaren. Reikwijdte van de concept Verordening De reikwijdte van de concept Verordening is ten opzichte van de Privacyrichtlijn uitgebreid. De concept Verordening is ook van toepassing op het verwerken van persoonsgegevens van betrokkenen die woonachtig zijn in een lidstaat door een verantwoordelijke of bewerker die niet in de Europese Unie is gevestigd, indien de verwerking plaatsvindt in het kader van een transactie of om een gebruikersprofiel te kunnen maken (het zogenaamde profilering ). Toestemming kan niet worden gebruikt als grondslag in arbeidsverhoudingen, gezien de ongelijke positie van werknemer en werkgever. Rechtsgrondslag Evenals onder de Privacyrichtlijn dient een verwerking van persoonsgegevens een rechtmatige grondslag te hebben. Een daarvan is de toestemming van de betrokkene (onderdeel a). De definitie van toestemming in artikel 4 lid 1 van de concept Verordening maakt duidelijk dat deze steeds uitdrukkelijk moet zijn gegeven. Dat kan door een verklaring of een ondubbelzinnige handeling. 7 Een optout is niet langer een rechtmatige grondslag voor verwerking van persoonsgegevens. Toestemming kan geen rechtmatige grondslag voor verwerking bieden wanneer er een aanzienlijke onevenwichtigheid bestaat tussen de positie van de betrokkenen en de verantwoordelijke. 8 Daarmee staat vast dat toestemming niet kan worden gebruikt als grondslag in arbeidsverhoudingen, gezien de ongelijke positie van werknemer en werkgever. 9 In artikel 6 lid 1 onderdeel f is de in Nederland gebruikelijke rechtsgrondslag dat de verwerking noodzakelijk is voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke, dat zwaarder weegt dan de bescherming van de grondrechten en fundamentele vrijheden (lees: de privacy van de betrokkenen) gehandhaafd. 7 Overweging Artikel 7 lid 4 concept Verordening. 9 Overweging 34. Overigens was dat ook al de heersende mening, zie Artikel 29 Werkgroep, Opinion 15/2011 on the definition of consent, vastgesteld op 13 juli 2011 (WP 187), te vinden op policies/privacy/docs/wpdocs/2011/wp187_en.pdf 12 privacy: tips en tricks voor de ondernemingspraktijk

13 Nieuw is een speciale bepaling voor de verwerking van persoonsgegevens van kinderen (artikel 8) die voor een kind jonger dan 13 jaar de toestemming van de ouder of voogd vereist. De verantwoordelijke moet zo goed mogelijk verifiëren of die toestemming rechtmatig is gegeven. Artikel 20 beperkt het verzamelen en verder verwerken van persoonsgegevens ten behoeve van profilering en de daarop gebaseerde marketing. 10 Dit onderwerp wordt nader behandeld in het hoofdstuk Cookies en Toestemming. Overigens valt onder deze bepaling ook verwerking van persoonsgegevens ten behoeve van beoordelingsgesprekken en andere HR- doeleinden. De grondslag daarvoor is in dat geval gelegen in de uitvoering van de arbeidsovereenkomst. Er staan hoge boetes op overtreding van vaag geformuleerde verplichtingen. Algemene verplichtingen De concept Verordening bevat enkele algemeen geformuleerde verplichtingen voor de verantwoordelijke, waarvan overtreding met een hoge boete wordt bedreigd. Een voorbeeld is artikel 11 dat de verantwoordelijke verplicht om een privacybeleid te voeren dat transparant en eenvoudig toegankelijk is. Informatie en mededelingen moeten in begrijpelijke vorm worden verstrekt, waarbij duidelijke en eenvoudige, aan de betrokkene aangepaste taal wordt gebruikt. Een algemene plicht om de verwerking van persoonsgegevens te beperken vloeit voort uit artikel 5 onder (c), dat vereist dat persoonsgegevens alleen worden verwerkt als doeleinden niet kunnen worden verwezenlijkt door verwerking van andere (bijvoorbeeld geanonimiseerde) gegevens. Het feit dat op overtreding van dergelijke vaag geformuleerde verplichtingen een hoge boete staat is niet in overeenstemming met het beginsel dat het strafbaar stellen van overtredingen alleen dan gerechtvaardigd is wanneer de overtreden norm voldoende duidelijk is geformuleerd. 11 Privacy by design en by default Ook artikel 23, dat ziet op privacy by design and by default, is nogal open geformuleerd en biedt ondernemingen daarmee weinig houvast voor een concrete invulling van hun 10 Onder profilering wordt verstaan het geautomatiseerd verwerken van persoonsgegevens met als doel aspecten van de persoonlijkheid van een betrokkene te evalueren of om zijn beroepsprestaties, economische situatie, verblijfplaats, gezondheid, persoonlijke voorkeuren, betrouwbaarheid en gedrag te analyseren of te voorspellen. 11 Zie artikel 7, 1e lid, van het Europees Verdrag tot Bescherming van de Rechten van de Mens en de Fundamentele Vrijheden (EVRM) en artikel 49, 1e lid, van het Handvest voor de Grondrechten. Zie ook de brief van 11 december 2012 van staatssecretaris Teeven, te vinden op behandeling/ /brief_vande_staatssecretaris_van/document3/f=/vj5dlxksri7s.pdf. 13 privacy: tips en tricks voor de ondernemingspraktijk

14 verplichtingen. Deze bepaling verplicht de verantwoordelijke, kort gezegd, om bij de aanschaf en het laten ontwikkelen van software, de inrichting van databases en, meer algemeen, de inrichting van een IT-systeem maatregelen te nemen om te zorgen dat de hoeveelheid verwerkte gegevens en de bewaartermijn daarvan zijn afgestemd op het doel waarvoor zij worden verzameld en dat de gegevens niet aan een onbeperkt aantal personen ter beschikking worden gesteld. Die maatregelen moeten voldoen aan de stand van de techniek van het moment van implementatie. Informatieplicht Artikel 14, dat ziet op informatieverstrekking aan de betrokkene, bevat een zeer gedetailleerde uitwerking van de informatie die aan de betrokkene moet worden verstrekt over de Veel privacy policies van ondernemingen zullen aan de uitgebreide informatieplicht moeten worden aangepast. verwerking van zijn persoonsgegevens. Nieuw is dat de betrokkene duidelijke informatie moet worden verstrekt over zijn rechten, zoals het recht op inzage, correctie en verwijdering van persoonsgegevens. 12 Ook moet specifiek worden vermeld of profilering wordt toegepast en of de intentie bestaat gegevens door te geven naar derde landen (zie hierna). Veel privacy policies van ondernemingen zullen aan deze uitgebreide informatieplicht moeten worden aangepast. Right to be forgotten Een nieuw right to be forgotten wordt geïntroduceerd door artikel 17. Dit houdt in dat de verantwoordelijke onder omstandigheden moet zorgen dat persoonsgegevens worden gewist en verdere verspreiding achterwege blijft. Dat is onder meer het geval als de betrokkene zijn toestemming intrekt, bezwaar maakt tegen de verwerking, of als de verwerking op andere gronden niet voldoet aan de verordening. Dit laatste impliceert dat een onderneming in dat geval uit eigen beweging de gegevens moet wissen. Worden de gegevens op verzoek van de betrokkene verwijderd en zijn zij door of met toestemming van de verantwoordelijke openbaargemaakt dan moet deze alle redelijke maatregelen nemen om derden die de gegevens verwerken van de intrekking van de toestemming door de betrokkene op de hoogte te stellen. Verwerking van persoonsgegevens voor de uitoefening van het recht op vrijheid van meningsuiting is uitgezonderd van de verplichting gegevens te verwijderen. 13 Daarmee worden 12 Artikel 12 concept Verordening. 13 Artikel 17 lid 3 zondert van deze verplichting onder meer ook uit verwerking om redenen van algemeen belang op het gebied van de volksgezondheid (lid 3 sub b), voor historische, statistische of wetenschappelijke doeleinden (en lid 3 sub c) of wanneer gegevens nog moeten worden bewaard ten behoeve van bewijsvoering (lid 4 sub b). 14 privacy: tips en tricks voor de ondernemingspraktijk

15 de media in het algemeen gevrijwaard van de verplichting gegevens over personen op hun verzoek te verwijderen. Privacybeleid Artikel 22 verplicht de verantwoordelijke een privacybeleid te voeren. Daaronder valt onder meer de verplichting documentatie inzake alle verwerkingen die onder zijn verantwoordelijkheid hebben plaatsgevonden te bewaren (artikel 28), passende technische en organisatorische maatregelen te nemen ter beveiliging van persoonsgegevens (artikel 30), in bepaalde gevallen vooraf een privacyeffectbeoordeling uit te voeren (artikel 33, zie hierna) en een gegevensfunctionaris aan te wijzen (artikel 35). Op grond van artikel 33 moeten De bewerker kan bij overtreding van diens verplichtingen worden gestraft met dezelfde hoge boetes als de verantwoordelijke. ondernemingen een zogenaamde privacy impact assessment) doen, wanneer verwerkingen gezien hun aard, reikwijdte of doeleinden bijzondere risico s inhouden voor de rechten en vrijheden van betrokkenen. Dat is met name het geval wanneer profilering plaatsvindt, bij verwerking van gegevens in de gezondheidszorg die betrekking hebben op het seksuele leven de gezondheid, het ras of de etnische afkomst, videobewaking van openbaar toegankelijke ruimtes en de verwerking in grote bestanden van persoonsgegevens inzake kinderen en van genetische of biometrische gegevens. Functionaris voor de gegevensbescherming De aanstelling van een functionaris voor de gegevensbescherming, hetgeen in Nederland op dit moment vrijwel alleen voorkomt bij de overheid, wordt verplicht voor ondernemingen met meer dan 250 werknemers. 14 Deze functionaris moet onder meer toezien op de uitvoering en toepassing van het privacybeleid van de onderneming en van verschillende bepalingen van de verordening, zoals het beperken van gegevensverwerkingen door toepassing van privacy by design en privacy by default, het beveiligen van gegevens en het voldoen aan het verzoek van betrokkenen om informatie in het kader van de uitoefening van hun recht op grond van de verordening. Ook bij melding van datalekken heeft de functionaris een belangrijke rol. Verplichtingen bewerker Op grond van artikel 26 wordt een aantal verplichtingen gelegd op de bewerker, waaronder het nemen van adequate beveiligingsmaatregelen, het handelen binnen het kader van de 14 En kleinere ondernemingen, indien deze verwerkingen doet die vanwege hun aard, omvang of doel regelmatige en stelselmatige observatie van betrokkene vereisen. Dit laatste geldt bijvoorbeeld voor headhunters. 15 privacy: tips en tricks voor de ondernemingspraktijk

16 instructies van de verantwoordelijke en het opleggen van een geheimhoudingsplicht aan zijn personeel. Onder de huidige wetgeving moeten deze verplichtingen van de bewerker worden neergelegd in een bewerkerovereenkomst en is naleving dus met name een privaatrechtelijke aangelegenheid. Onder de concept Verordening kan de bewerker bij overtreding van diens verplichtingen worden gestraft met dezelfde hoge boetes als aan de verantwoordelijke kunnen worden opgelegd. Meldplicht datalekken De concept Verordening voert een meldplicht in voor datalekken, die wordt uitgewerkt in artikelen 30 tot en met 32. Uitgangspunt is dat ieder datalek zo spoedig mogelijk wordt gemeld aan de toezichthouder (het CBP) en, als negatieve gevolgen voor de bescherming van de Voor doorgifte naar derde landen zal steeds een overeenkomst moeten worden gesloten die voldoet aan de modelbepalingen. persoonsgegevens of de privacy van de betrokkenen waarschijnlijk zijn, eveneens aan de betrokkenen. Dit wordt nader behandeld in het hoofdstuk Datalekken. Overdracht gegevens naar derde landen Een ander aandachtspunt is de overdracht van gegevens naar landen buiten de Europese Economische Ruimte, waarvoor de Europese Commissie niet een verklaring heeft afgegeven dat zij een passend beschermingsniveau waarborgen. 15 Onder de Privacyrichtlijn zijn dergelijke verklaringen al afgegeven voor een aantal landen. 16 Doorgifte is ook mogelijk op grond van binding corporate rules (BCR). 17 Een belangrijke verbetering ten opzichte van de Privacyrichtlijn is dat BCR niet ook kunnen worden gebruikt in de relatie met bewerkers.dit zijn bindende voorschriften die gelden voor alle leden van de groep van ondernemingen waartoe de verantwoordelijke of de bewerker behoort. Goedkeuring van een toezichthouder van één lidstaat is voldoende om de BCR te laten gelden in alle lidstaten. Overdracht naar derde landen is overigens alleen toegestaan op de gronden die zijn opgenomen in artikel 44. Naast toestemming van de betrokkene en doorgifte die noodzakelijk is ter uitvoering van een overeenkomst tussen de betrokkene en de verantwoordelijke is doorgifte onder meer toegestaan als deze noodzakelijk is voor de vaststelling, de uitoefening of de verdediging 15 Op grond van artikel 41 kunnen dergelijke verklaringen door de Europese Commissie worden afgegeven. 16 Andorra, Argentinië, Australië, Canada, Zwitserland, Israël, Faeröer eilanden, Guernsey en Isle of Man (stand per 01/02/2013). 17 Artikel 43 concept Verordening. Dit zijn bindende voorschriften die gelden voor alle leden van de groep van ondernemingen waartoe de verantwoordelijke of de bewerker behoort, waarin de belangrijkste verplichtingen onder de concept Verordening zijn neergelegd. 16 privacy: tips en tricks voor de ondernemingspraktijk

17 van een recht in rechte of voor de gerechtvaardigde belangen van de verantwoordelijke of de bewerker, mits de overdracht niet als frequent of massaal kan worden beschouwd. Daarbij moeten zo nodig passende garanties worden geboden voor de bescherming van persoonsgegevens, mede gezien de aard daarvan, het doel en de duur van de verwerking. Deze garanties moeten worden gedocumenteerd. Voor de doorgifte zal in deze gevallen van artikel 44 steeds een overeenkomst moeten worden gesloten met de ontvanger van de persoonsgegevens, die voldoet aan de modelbepalingen die de Commissie op grond van artikel 42 vaststelt. Een voordeel voor ondernemingen ten opzichte van de huidige regeling van doorgifte onder de Privacyrichtlijn is dat niet langer de voorafgaande goedkeuring van de De maximale boete bedraagt 2% van de jaarlijkse wereldwijde omzet. toezichthouder kan worden vereist. Overigens is dit vergunningvereiste in Nederland onlangs afgeschaft voor gevallen waarin tussen verantwoordelijke en ontvanger een modelcontract is gesloten. 18 Concentratie toezicht Een belangrijke verbetering voor ondernemingen die in meerdere lidstaten zijn gevestigd is dat de handhaving van de concept Verordening wordt opgedragen aan de toezichthouder van de lidstaat waar de onderneming zijn hoofdvestiging heeft. Dit is de plaats waar zich zijn centrale administratie in de Europese Unie bevindt. 19 Deze hoofdtoezichthouder moet samenwerken met de toezichthouders in de andere lidstaaten waar de onderneming werkzaam is. Wellicht dat de huidige praktijk met BCR, waarin één toezichthouder de regels toetst en goedkeurt en twee andere toezichthouders commentaar kunnen leveren, hierbij een voorbeeld voor praktische uitvoering van deze bepaling. Beperkingen en uitzonderingen De reikwijdte van een aantal bepalingen, zoals de plicht betrokkenen over verwerking van hun gegevens te informeren, het recht om gegevens te laten wissen en de beperkingen ten aanzien van profilering kunnen op basis van de in artikel 21 genoemde gronden worden beperkt door nationale of EU-wetgeving, voor zover dat in een democratische samenleving een noodzakelijke en evenredige maatregel is. Daaronder valt onder meer dat een dergelijke beperking nodig is ter bescherming van de betrokkene of van de rechten en vrijheden van anderen. Deze grond is nu opgenomen in artikel 43 Wbp en vormt onder meer de grondslag voor beperking van de verplichting om de betrokkene informatie te verstrekken over verwerking 18 Aan artikel 77, eerste lid, Wbp is daartoe een onderdeel g. toegevoegd. Wet van 26 januari 2012, Stb. 2012, 33, onderdeel K. 19 Overweging privacy: tips en tricks voor de ondernemingspraktijk

18 van zijn persoonsgegevens maar ook voor het opschorten van de informatieplicht in geval van verwerking van persoonsgegevens ten behoeve van een overheidsonderzoek of in het kader van een discoveryprocedure (zie hierover het hoofdstuk e-discovery). Boetes Zoals aangegeven krijgen het CBP en zijn Europese collega s ter verbetering van de handhaving van de privacyregels de mogelijkheid hoge boetes op te leggen bij overtreding van de verordening. De maximale boete bedraagt 2% van de jaarlijkse wereldwijde omzet (artikel 79 lid 6 van de concept Verordening). Die boete kan worden opgelegd voor overtredingen, zoals: niet voldoen aan verzoeken van betrokkenen om informatie, correctie of afscherming van hun gegevens (artikel 19); het niet documenteren van de verwerkingen van persoonsgegevens binnen de onderneming (artikel 28); Het Albrecht-rapport wil de regels voor verwerking van persoonsgegevens in de Europese Unie nog verder aanscherpen. verwerking van gezondheidgegevens en andere gevoelige gegevens zonder de vereiste ondubbelzinnige toestemming van de betrokkene (artikel 9); ontbreken van adequate beveiligingsmaatregelen om datalekken, ongeautoriseerde toegang tot en vernietiging van data te voorkomen (artikel 30); niet tijdig of volledig melden van datalekken, zoals verlies van een USB-stick of de hack van een website (artikel 31 en 32); en niet verrichten van privacyeffectrapportages van verwerkingen die bijzondere privacyrisico s meebrengen, zoals gezondheidsgegevens (artikel 34). Het Albrecht-rapport Op 10 januari 2013 heeft rapporteur Albrecht namens de LIBE commissie 20 van het Europees Parlement, die bij dit onderwerp de leiding heeft, een rapport uitgebracht dat, zoals in de inleiding is aangegeven, de regels voor verwerking van persoonsgegevens in de Europese Unie nog verder wil aanscherpen. 21 Het rapport telt ruim 200 pagina s, zodat in het kader van deze uitgave alleen aandacht kan worden gegeven aan enkele bepalingen die ingrijpende gevolgen kunnen hebben voor in Nederland gevestigde ondernemingen. 20 De Commissie Burgerlijke vrijheden, justitie en binnenlandse zaken. 21 Voor de vindplaats van het rapport zie noot privacy: tips en tricks voor de ondernemingspraktijk

19 Een belangrijke voorgestelde wijziging betreft de grondslagen voor verwerking van persoonsgegevens. 22 De in Nederland doorgaans gebruikte rechtvaardigingsgrond dat verwerking noodzakelijk is voor de gerechtvaardigde belangen van de verantwoordelijke, die zwaarder wegen dan het privacybelang van de betrokkene, wordt alleen nog toegestaan in specifiek genoemde omstandigheden en alleen wanneer geen van de andere rechtvaardigingsgronden (zoals toestemming) kan worden gebruikt. Bovendien moet de verantwoordelijke de betrokkene informeren over de redenen Overdracht van gegevens naar een derde land in het kader van e-discovery wordt in de voorstellen in het Albrecht-rapport aan strenge voorwaarden onderworpen. waarom het gerechtvaardigd belang van de verantwoordelijke zwaarder weegt dan de bescherming van de privacy van de betrokkene. Die mededeling is ook opgenomen in het voorstel voor aanpassing van de informatieverplichtingen van artikel 14, die verder zijn uitgebreid met informatie over de maatregelen die bij doorgifte zijn genomen en over rights and mechanisms om bezwaar te maken tegen verwerking van persoonsgegevens of deze te vermijden. Ook wordt voorgesteld een verplichting in te voeren om de betrokkene op de hoogte te stellen in geval van mededeling van zijn persoonsgegevens aan een overheidsorgaan op diens verzoek. Ten aanzien van profilering stelt het Albrecht-rapport voor om dit alleen toe te staan met toestemming van de betrokkene of op basis van een wettelijke regeling. 23 Profiling dient verder te worden beperkt door daarvan uit te sluiten het verwerken van bijzondere gegevens en gegevens die het mogelijk maken om kinderen te identificeren of te individualiseren. 24 Een belangrijke voorgestelde wijziging is ook dat ondernemingen die persoonsgegevens verwerken die betrekking hebben op meer dan 500 betrokkenen een functionaris van de gegevensbescherming moeten aanstellen, ook als zij minder dan 250 werknemers hebben. 25 Overdracht van gegevens naar een derde land in het kader van e-discovery wordt in de voorstellen in het Albrecht-rapport aan strenge voorwaarden onderworpen door een nieuw 22 Artikel 6 conceptverordening. 23 Amendement 158, pagina 102 van het Albrecht-rapport. 24 Amendement 162 en 164, pagina 104 en 105 van het Albrecht-rapport. 25 Amendement 223, pagina 134 Albrecht-rapport 19 privacy: tips en tricks voor de ondernemingspraktijk

Datalekken: de meldplicht komt eraan

Datalekken: de meldplicht komt eraan Datalekken: de meldplicht komt eraan Datalekken zijn gevallen van verlies, diefstal of misbruik van persoonsgegevens (Regeerakkoord 2010) Inleiding Datalekken halen steeds vaker het nieuws. Grote recente

Nadere informatie

De concept-privacyverordening: zware verplichtingen, hoge boetes

De concept-privacyverordening: zware verplichtingen, hoge boetes De concept-privacyverordening: zware verplichtingen, hoge boetes Inleiding Jarenlang heeft de zorg voor privacy de bescherming van persoonsgegevens niet veel aandacht gekregen binnen de meeste Nederlandse

Nadere informatie

Plan 5 6-11 7 - 41-43 76-78

Plan 5 6-11 7 - 41-43 76-78 Plan Gegevens mag het? Rechtmatig verkregen gegevens grondslagen voor rechtmatige verwerking: Ondubbelzinnige toestemming, noodzakelijk voor uitvoeren overeenkomst, wettelijke plicht, bescherming vitale

Nadere informatie

Medische gegevens zijn geclassificeerd als bijzondere persoonsgegevens en vragen extra aandacht!

Medische gegevens zijn geclassificeerd als bijzondere persoonsgegevens en vragen extra aandacht! Privacy is het recht op eerbiediging van de persoonlijke levenssfeer. Privacy van informatie is de afwezigheid van informatie over onszelf bij anderen en bovendien het verbod aan anderen om zonder onze

Nadere informatie

LWV Masterclass 2 Cybercrime Roermond 2 februari 2016. Rens Jan Kramer

LWV Masterclass 2 Cybercrime Roermond 2 februari 2016. Rens Jan Kramer LWV Masterclass 2 Cybercrime Roermond 2 februari 2016 Rens Jan Kramer 1 Wet bescherming persoonsgegevens Wet meldplicht datalekken 2 Centrale begrippen in privacyrecht a. Persoonsgegevens b. Betrokkene

Nadere informatie

Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma

Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma Samenvatting Er zijn een aantal belangrijke wijzigingen doorgevoerd in de wetgeving met betrekking tot de privacy van

Nadere informatie

NVBI. Proposal General Data Protection Regulation. Eva N.M. Visser. IT Advocaat Bestuurslid Vereniging Privacy Recht

NVBI. Proposal General Data Protection Regulation. Eva N.M. Visser. IT Advocaat Bestuurslid Vereniging Privacy Recht Studiebijeenkomst 18 december 2012 NVBI Proposal General Data Protection Regulation Eva N.M. Visser IT Advocaat Bestuurslid Vereniging Privacy Recht Inhoud 1. Huidig juridisch kader 2. Doelstellingen

Nadere informatie

Het Europese privacyrecht in beweging

Het Europese privacyrecht in beweging Presentatie van de NOREA-publicatie Het Europese privacyrecht in beweging Opsteller: Mr. dr. A.W. (Anne-Wil) Duthler NOREA, Duthler Associates Amsterdam, 13 december 2012 Agenda Inhoud Europese privacyverordening

Nadere informatie

De Meldplicht Datalekken. mr. N. Falot 8 oktober 2015

De Meldplicht Datalekken. mr. N. Falot 8 oktober 2015 De Meldplicht Datalekken mr. N. Falot 8 oktober 2015 Over Considerati Wij zijn het leidend juridisch adviesbureau gespecialiseerd in Privacy, ICT recht en Beleidsvraagstukken Uitgebreide ervaring met privacy

Nadere informatie

Is uw onderneming privacy proof?

Is uw onderneming privacy proof? Is uw onderneming privacy proof? Seminar Privacy 6 november 2014 Floor de Roos Advocaat handelsrecht 1 De Wet bescherming persoonsgegevens in vogelvlucht 2 1. Is sprake van persoonsgegevens? Ruim begrip:

Nadere informatie

Actualiteiten Privacy. NGB Extra

Actualiteiten Privacy. NGB Extra Actualiteiten Privacy NGB Extra April 2015 Wat heeft het wetsvoorstel meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid CBP voor implicaties voor de praktijk? Wat is er recent veranderd

Nadere informatie

PRIVACY SIDN fonds. Menno Weij. 3 februari 2016

PRIVACY SIDN fonds. Menno Weij. 3 februari 2016 PRIVACY SIDN fonds Menno Weij 3 februari 2016 AGENDA Privacy Privacywetgeving van toepassing Plichten voor bedrijven Rechten betrokkenen Toezichthouder Ruimte voor vragen en discussie TERMINOLOGIE Belangrijkste

Nadere informatie

Privacy: de huidige en toekomstige regels belicht, met bijzondere aandacht voor datalekken

Privacy: de huidige en toekomstige regels belicht, met bijzondere aandacht voor datalekken Privacy: de huidige en toekomstige regels belicht, met bijzondere aandacht voor datalekken 04-11-2013 Bieneke Braat Alle rechten voorbehouden, niet openbaar maken zonder toestemming. 1 Legaltree: Advocatenkantoor

Nadere informatie

Meldplicht datalekken en het nieuwe boetebeleid: hoe goed is uw onderneming voorbereid? HR Seminar 26 mei 2016

Meldplicht datalekken en het nieuwe boetebeleid: hoe goed is uw onderneming voorbereid? HR Seminar 26 mei 2016 Meldplicht datalekken en het nieuwe boetebeleid: hoe goed is uw onderneming voorbereid? HR Seminar 26 mei 2016 Inhoudsopgave 1. Wet Bescherming Persoonsgegevens 2. Wat is een datalek? 3. Wanneer moet

Nadere informatie

WET MELDPLICHT DATALEKKEN FACTSHEET

WET MELDPLICHT DATALEKKEN FACTSHEET WET MELDPLICHT DATALEKKEN FACTSHEET Wettekst De Wet Meldplicht Datalekken introduceert onder andere een meldplicht. Dit wordt geregeld in een nieuw artikel, artikel 34a Wbp dat uit 11 leden (onderdelen)

Nadere informatie

Wet meldplicht datalekken

Wet meldplicht datalekken Wet meldplicht datalekken MKB Rotterdam Olaf van Haperen + 31 6 17 45 62 99 oh@kneppelhout.nl Introductie IE-IT specialisme Grootste afdeling van Rotterdam e.o. Technische ontwikkelingen = juridische ontwikkelingen

Nadere informatie

Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma

Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma Meldplicht Datalekken Boetebevoegdheid toezichthouder Sebyde Privacy Impact Programma Samenvatting Er zijn een aantal belangrijke wijzigingen aangekondigd in de wetgeving met betrekking tot de privacy

Nadere informatie

Help, een datalek, en nu? IKT-College 16 februari 2016. Mirjam Elferink Advocaat IE, ICT en privacy

Help, een datalek, en nu? IKT-College 16 februari 2016. Mirjam Elferink Advocaat IE, ICT en privacy Help, een datalek, en nu? IKT-College 16 februari 2016 Mirjam Elferink Advocaat IE, ICT en privacy Inleiding Voorbeelden recente datalekken - Medische gegevens online door fout scanbedrijf (Bron: R. van

Nadere informatie

Informatie over privacywetgeving en het omgaan met persoonsgegevens

Informatie over privacywetgeving en het omgaan met persoonsgegevens Informatie over privacywetgeving en het omgaan met persoonsgegevens Inleiding Op 1 september 2001 is de Wet Bescherming Persoonsgegevens (WBP) in werking getreden. Hiermee werd de Europese Richtlijn over

Nadere informatie

Bewerkersovereenkomst. Afnemer Logius. behorende bij het aanvraagformulier MijnOverheid

Bewerkersovereenkomst. Afnemer Logius. behorende bij het aanvraagformulier MijnOverheid Bewerkersovereenkomst Afnemer Logius behorende bij het aanvraagformulier MijnOverheid De ondergetekenden: [ ], verder te noemen : Afnemer en De Staat der Nederlanden, te dezen rechtsgeldig vertegenwoordigd

Nadere informatie

PRIVACYBELEID STICHTING SECTORINSITUUT TRANSPORT EN LOGISTIEK, EN SECTORINSTITUUT TRANSPORT EN LOGISTIEK B.V. EN STL WERK B.V.

PRIVACYBELEID STICHTING SECTORINSITUUT TRANSPORT EN LOGISTIEK, EN SECTORINSTITUUT TRANSPORT EN LOGISTIEK B.V. EN STL WERK B.V. PRIVACYBELEID STICHTING SECTORINSITUUT TRANSPORT EN LOGISTIEK, EN SECTORINSTITUUT TRANSPORT EN LOGISTIEK B.V. EN STL WERK B.V. Beleid over de bescherming van persoonsgegevens en waarborgen voor de zorgvuldige

Nadere informatie

Data Protection Impact Assessment (DPIA)

Data Protection Impact Assessment (DPIA) Data Protection Impact Assessment (DPIA) van Theorie naar Praktijk [ 28 januari 2015 ] 2 Data Protection Impact Assessments: agenda 1. Wat zegt de Algemene Verordening Gegevensbescherming? 2. Hoe productief

Nadere informatie

Privacyreglement Hulp bij ADHD

Privacyreglement Hulp bij ADHD Privacyreglement Hulp bij ADHD Paragraaf 1: Algemene bepalingen Artikel 1: Begripsbepaling In dit reglement wordt in aansluiting bij en in aanvulling op de Wet bescherming persoonsgegevens (Staatsblad

Nadere informatie

In vier stappen voldoen aan de meldplicht datalekken

In vier stappen voldoen aan de meldplicht datalekken In vier stappen voldoen aan de meldplicht datalekken dfg WHITEPAPER Datum ID Nummer 20 september 2012 12015 Auteur(s) mr. dr. A.H. (Anton) Ekker Samenvatting De Nederlandse overheid en de Europese Commissie

Nadere informatie

Betreft Reactie Bits of Freedom inzake de conceptverordening gegevensbescherming

Betreft Reactie Bits of Freedom inzake de conceptverordening gegevensbescherming Stichting Bits of Freedom Postbus 10746 1001 ES Amsterdam Leden van de Commissie Veiligheid en Justitie M +31 (0)6 1795 3655 E janneke.sloetjes@bof.nl W www.bof.nl Betreft Reactie Bits of Freedom inzake

Nadere informatie

Cloud computing Helena Verhagen & Gert-Jan Kroese

Cloud computing Helena Verhagen & Gert-Jan Kroese Cloud computing Helena Verhagen & Gert-Jan Kroese Privacy Better business through better privacy Juridisch kader cloud computing Meldplicht datalekken Tips & Tricks Vragen? 2 Privacy https://www.youtube.com/watch?v=xyzthipktqg

Nadere informatie

PRIVACYREGLEMENT T.B.V. VERWERKING VAN PERSOONSGEGEVENS DOOR FUNDEON

PRIVACYREGLEMENT T.B.V. VERWERKING VAN PERSOONSGEGEVENS DOOR FUNDEON PRIVACYREGLEMENT T.B.V. VERWERKING VAN PERSOONSGEGEVENS DOOR FUNDEON Paragraaf 1: Algemene bepalingen Artikel 1: Begripsbepaling In dit reglement wordt in aansluiting bij en in aanvulling op de Wet bescherming

Nadere informatie

Privacyreglement t.b.v. de verwerking van persoonsgegevens door Caprisma (Capacity Risk Management BV)

Privacyreglement t.b.v. de verwerking van persoonsgegevens door Caprisma (Capacity Risk Management BV) Privacyreglement t.b.v. de verwerking van persoonsgegevens door Caprisma (Capacity Risk Management BV) Paragraaf 1: Algemene bepalingen Artikel 1: Begripsbepaling In dit reglement wordt in aansluiting

Nadere informatie

Meldplicht datalekken

Meldplicht datalekken Meldplicht datalekken Auteur(s): Project Moore in opdracht van SURF Versie: 1,0 Datum: Juli 2014 Radboudkwartier 273 3511 CK Utrecht Postbus 19035 3501 DA Utrecht 030-2 305 305 admin@surfnet.nl www.surfnet.nl

Nadere informatie

Sta eens stil bij de Wet Meldplicht Datalekken

Sta eens stil bij de Wet Meldplicht Datalekken Sta eens stil bij de Wet Meldplicht Datalekken Wet Meldplicht Datalekken Op 1 januari 2016 is de meldplicht datalekken ingegaan. Deze meldplicht houdt in dat organisaties (zowel bedrijven als overheden)

Nadere informatie

MELDPLICHT DATALEKKEN

MELDPLICHT DATALEKKEN MELDPLICHT DATALEKKEN 2 WETSWIJZIGING Op 26 mei 2015 heeft EK wetsvoorstel voor de Wet meldplicht datalekken aangenomen. Sinds 1 januari 2016 in werking getreden: Nieuw in Wet bescherming persoonsgegevens

Nadere informatie

Meldplicht Datalekken

Meldplicht Datalekken Meldplicht Datalekken Auteur(s): Project Moore in opdracht van SURF Versie: 3.0 Datum: Januari 2016 Moreelsepark 48 3511 EP Utrecht Postbus 19035 3501 DA Utrecht 088-787 30 00 admin@surfnet.nl www.surfnet.nl

Nadere informatie

PRIVACYREGLEMENT. Hoofdstuk 1: Algemene bepalingen

PRIVACYREGLEMENT. Hoofdstuk 1: Algemene bepalingen PRIVACYREGLEMENT Hoofdstuk 1: Algemene bepalingen Artikel 1: Begripsbepaling 1. In dit reglement wordt in aansluiting bij en in aanvulling op de Wet Bescherming Persoonsgegevens (Staatsblad 2000, 302)

Nadere informatie

Privacyreglement. verwerking persoonsgegevens. ROC Nijmegen

Privacyreglement. verwerking persoonsgegevens. ROC Nijmegen Privacyreglement verwerking persoonsgegevens ROC Nijmegen Laatstelijk gewijzigd in april 2014 Versie april 2014/ Voorgenomen vastgesteld door het CvB d.d. 12 juni 2014 / Instemming OR d.d. 4 november 2014

Nadere informatie

Wat houdt informatiebeveiliging binnen bedrijven in? Bart van der Kallen, CISM Informatiebijeenkomst DrieO 6 oktober 2015

Wat houdt informatiebeveiliging binnen bedrijven in? Bart van der Kallen, CISM Informatiebijeenkomst DrieO 6 oktober 2015 Wat houdt informatiebeveiliging binnen bedrijven in? Bart van der Kallen, CISM Informatiebijeenkomst DrieO 6 oktober 2015 INHOUD 1) Wat is informatiebeveiliging (IB) nu eigenlijk? 2) Wat houdt IB binnen

Nadere informatie

PRIVACY REGLEMENT - 2015

PRIVACY REGLEMENT - 2015 PRIVACY REGLEMENT - 2015 Jasnante re-integratie onderdeel van Jasnante Holding B.V. (kvk nr. 52123669 ) gevestigd aan de Jacob van Lennepkade 32-s, 1053 MK te Amsterdam draagt zorg voor de geheimhoudingsverplichting

Nadere informatie

Privacyreglement. Inhoudsopgave. Vastgestelde privacyreglement Kraamzorg Novo Peri, 13 juni 2012

Privacyreglement. Inhoudsopgave. Vastgestelde privacyreglement Kraamzorg Novo Peri, 13 juni 2012 Pagina 1 van 7 Privacyreglement Vastgestelde privacyreglement Kraamzorg Novo Peri, 13 juni 2012 Inhoudsopgave Hoofdstuk 1: Algemene bepalingen artikel 1: Begripsomschrijvingen artikel 2: Reikwijdte artikel

Nadere informatie

Privacy reglement kinderopvang Opgesteld volgens de Wet Bescherming Persoonsgegevens (W.B.P.)

Privacy reglement kinderopvang Opgesteld volgens de Wet Bescherming Persoonsgegevens (W.B.P.) Privacy reglement kinderopvang Opgesteld volgens de Wet Bescherming Persoonsgegevens (W.B.P.) 1. Begripsbepalingen 1. Persoonsgegevens: elk gegeven betreffende een geïdentificeerde of identificeerbare

Nadere informatie

PRIVACYBELEID NVM ONLINE BIEDEN

PRIVACYBELEID NVM ONLINE BIEDEN PRIVACYBELEID NVM ONLINE BIEDEN 1. Algemeen 1.1 Reikwijdte De Nederlandse Vereniging van Makelaars en Taxateurs in onroerende goederen NVM (NVM/Wij/Ons) hecht veel waarde aan de bescherming van uw persoonsgegevens.

Nadere informatie

Persoonsgegevens Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon.

Persoonsgegevens Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon. Privacyreglement Intermedica Kliniek Geldermalsen Versie 2, 4 juli 2012 ALGEMENE BEPALINGEN Artikel 1. Begripsbepalingen Persoonsgegevens Alle gegevens die informatie kunnen verschaffen over een identificeerbare

Nadere informatie

Bewerkersovereenkomst

Bewerkersovereenkomst Bewerkersovereenkomst Datum: 25-04-2015 Versie: 1.1 Status: Definitief Bewerkersovereenkomst Partijen De zorginstelling, gevestigd in Nederland, die met een overeenkomst heeft gesloten in verband met het

Nadere informatie

Meldplicht datalekken. ehealth Best Practice Day Juliette Citteur 18 mei 2016

Meldplicht datalekken. ehealth Best Practice Day Juliette Citteur 18 mei 2016 Meldplicht datalekken ehealth Best Practice Day Juliette Citteur 18 mei 2016 Onderwerpen I. Inleiding II. Cijfers datalekken III. Recente voorbeelden datalekken in de zorg IV. Beveiliging en meldplicht

Nadere informatie

Eerste Kamer der Staten-Generaal

Eerste Kamer der Staten-Generaal Eerste Kamer der Staten-Generaal 1 Vergaderjaar 2014 2015 33 662 Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking

Nadere informatie

Privacyreglement Werkvloertaal 26 juli 2015

Privacyreglement Werkvloertaal 26 juli 2015 Privacyreglement Werkvloertaal 26 juli 2015 Algemeen Privacyreglement Werkvloertaal Pagina 1 van 6 Algemeen Privacyreglement Werkvloertaal De directie van Werkvloertaal, overwegende, dat het in verband

Nadere informatie

Nieuwe telecompakket en cookiewet

Nieuwe telecompakket en cookiewet Nieuwe telecompakket en cookiewet Privacy bijeenkomst ECP-EPN 8 september 2011 Milica Antic antic@solv.nl @milica_antic 2009 nieuw telecompakket Richtlijn 2009/136/EG van 25-11-2009: Wijziging e-privacyrichtlijn

Nadere informatie

Bewerkersovereenkomst

Bewerkersovereenkomst Dit is een voorbeeld van een Bewerkersovereenkomst zoals gegenereerd met de Bewerkersovereenkomst generator van ICTRecht: https://ictrecht.nl/diensten/juridische-generatoren/bewerkersovereenkomstgenerator/

Nadere informatie

Wet Bescherming Persoonsgegevens : WBP AANGESLOTEN BIJ:

Wet Bescherming Persoonsgegevens : WBP AANGESLOTEN BIJ: AANGESLOTEN BIJ: Btw nummer 086337798 B01 K.v.K. nr. 14096082 Maastricht Wet Bescherming Persoonsgegevens : WBP Kwaliteit Per 1 september 2001 is de Wet Persoonsregistraties vervangen door de Wet Bescherming

Nadere informatie

PRIVACYREGLEMENT BEST

PRIVACYREGLEMENT BEST PRIVACYREGLEMENT BEST BURGEMEESTER EN WETHOUDERS VAN BEST; gelet op de bepalingen van de Wet bescherming persoonsgegevens en artikel 4 van de Verordening verwerking persoonsgegevens gemeente Best; B E

Nadere informatie

8.50 Privacyreglement

8.50 Privacyreglement 1.0 Begripsbepalingen 1. Persoonsgegevens: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; 2. Zorggegevens: persoonsgegevens die direct of indirect betrekking hebben

Nadere informatie

onderzoek en privacy WAT ZEGT DE WET

onderzoek en privacy WAT ZEGT DE WET onderzoek en privacy WAT ZEGT DE WET masterclass research data management Maastricht 4 april 2014 presentatie van vandaag uitleg begrippenkader - privacy - juridisch huidige en toekomstige wet- en regelgeving

Nadere informatie

Presentatie Digitaal Zakendoen en EID Overview Privacyrecht André Kamps & Jan-Willem Oordt De IT-Jurist bv 16 juni 2016

Presentatie Digitaal Zakendoen en EID Overview Privacyrecht André Kamps & Jan-Willem Oordt De IT-Jurist bv 16 juni 2016 Presentatie Digitaal Zakendoen en EID Overview Privacyrecht André Kamps & Jan-Willem Oordt De IT-Jurist bv 16 juni 2016 Privacyrecht Wetgeving: Wet bescherming persoonsgegevens (Eur. Richtlijn 95/46/EG)

Nadere informatie

Privacy en gegevensbescherming in relatie tot geo-informatie. Dr. Colette Cuijpers cuijpers@uvt.nl

Privacy en gegevensbescherming in relatie tot geo-informatie. Dr. Colette Cuijpers cuijpers@uvt.nl Privacy en gegevensbescherming in relatie tot geo-informatie Dr. Colette Cuijpers cuijpers@uvt.nl 1 Gegevensbescherming en geo-informatie Trend: geo-informatie wordt steeds meer gebruikt om mensen te volgen

Nadere informatie

SWPBS vanuit juridisch oogpunt

SWPBS vanuit juridisch oogpunt SWPBS vanuit juridisch oogpunt Samenvatting uit: De Wilde M., en Van den Berg A. (2012), SWPBS, vanuit juridisch oogpunt, afstudeerrapport juridische afdeling Christelijke Hogeschool Windesheim, Zwolle

Nadere informatie

Privacyreglement KOM Kinderopvang

Privacyreglement KOM Kinderopvang Privacyreglement KOM Kinderopvang Doel: bescherming bieden van persoonlijke levenssfeer van de ouders en kinderen die gebruik maken van de diensten van KOM Kinderopvang. 1. Algemene bepalingen & begripsbepalingen

Nadere informatie

CLOUD COMPUTING & PRIVACY

CLOUD COMPUTING & PRIVACY 1 Als een onderwijsinstelling bijvoorbeeld het beheer en onderhoud van de databases met persoonsgegevens niet zelf uitvoert, maar door een cloud leverancier laat doen, dan noemt de wet dit bedrijf de bewerker.

Nadere informatie

Nieuwe Privacywetgeving per 1-1-2016. Wat betekent dit voor u?

Nieuwe Privacywetgeving per 1-1-2016. Wat betekent dit voor u? Nieuwe Privacywetgeving per 1-1-2016. Wat betekent dit voor u? Inleiding De Wet Bescherming Persoonsgegevens (WBP) is de Nederlandse wetgeving die sinds 2001 van kracht is voor het beschermen van de privacy

Nadere informatie

Burgemeester en wethouders van de gemeente Teylingen; gelet op het bepaalde in de Wet bescherming persoonsgegevens; besluiten:

Burgemeester en wethouders van de gemeente Teylingen; gelet op het bepaalde in de Wet bescherming persoonsgegevens; besluiten: Burgemeester en wethouders van de gemeente Teylingen; gelet op het bepaalde in de Wet bescherming persoonsgegevens; besluiten: vast te stellen de volgende Regeling Wet bescherming persoonsgegevens Teylingen

Nadere informatie

Privacy protocol Sociaal domein gemeente Waterland 2015

Privacy protocol Sociaal domein gemeente Waterland 2015 GEMEENTEBLAD Officiële uitgave van gemeente Waterland. Nr. 6717 29 januari 2015 Privacy protocol Sociaal domein gemeente Waterland 2015 Het college van burgemeester en wethouders van Waterland, overwegende

Nadere informatie

PRIVACYREGELING RITREGISTRATIESYSTEEM < NAAM BEDRIJF > Versienummer: 1.4 Datum wijziging: < 1 september 2013 > Ingangsdatum: < 1 september 2013 >

PRIVACYREGELING RITREGISTRATIESYSTEEM < NAAM BEDRIJF > Versienummer: 1.4 Datum wijziging: < 1 september 2013 > Ingangsdatum: < 1 september 2013 > PRIVACYREGELING RITREGISTRATIESYSTEEM < NAAM BEDRIJF > Versienummer: 1.4 Datum wijziging: < 1 september 2013 > Ingangsdatum: < 1 september 2013 > Artikel 1 Begripsbepalingen In deze Privacyregeling wordt

Nadere informatie

Meldplicht datalekken Thomas van Essen. 31 maart 2016

Meldplicht datalekken Thomas van Essen. 31 maart 2016 Meldplicht datalekken Thomas van Essen 31 maart 2016 Agenda Kort juridisch kader Bespreking aandachtspunten en mogelijke valkuilen Oplossingen Datalekken (I) Antoni van Leeuwenhoek 780 patiëntgegevens

Nadere informatie

Artikel 1: Definities. Bewerkersovereenkomst VO-digitaal N.V. Overwegen het volgende: Komen het volgende overeen: Partijen:

Artikel 1: Definities. Bewerkersovereenkomst VO-digitaal N.V. Overwegen het volgende: Komen het volgende overeen: Partijen: Partijen: 1 Het bevoegd gezag van de school, geregistreerd onder een BRIN-nummer bij de Dienst Uitvoering Onderwijs van het Ministerie van Onderwijs, hierna te noemen: Onderwijsinstelling. en 2 de naamloze

Nadere informatie

1.1 persoonsgegeven: elk gegeven betreffende een geïdentificeerd of identificeerbaar persoon.

1.1 persoonsgegeven: elk gegeven betreffende een geïdentificeerd of identificeerbaar persoon. Vastgesteld door de Raad van Bestuur, november 2010 Artikel 1 Begripsbepalingen 1.1 persoonsgegeven: elk gegeven betreffende een geïdentificeerd of identificeerbaar persoon. 1.2 verwerking van persoonsgegevens:

Nadere informatie

Privacyreglement Potenco

Privacyreglement Potenco Privacyreglement Potenco Artikel 1 Algemene en begripsbepalingen 1.1. Tenzij hieronder uitdrukkelijk anders is bepaald worden termen in dit reglement gebruikt in de betekenis die de Wet Bescherming Persoonsgegevens

Nadere informatie

Openbaar. Gezamenlijk rechtsoordeel van CBP en OPTA inzake tell-a-friend systemen op websites

Openbaar. Gezamenlijk rechtsoordeel van CBP en OPTA inzake tell-a-friend systemen op websites Gezamenlijk rechtsoordeel van CBP en OPTA inzake tell-a-friend systemen op websites Inleiding... 2 Juridisch kader... 3 Bevoegdheid OPTA en bevoegdheid CBP... 3 Aanleiding rechtsoordeel... 3 Toepasbaarheid

Nadere informatie

Impact van de meldplicht datalekken

Impact van de meldplicht datalekken Impact van de meldplicht datalekken Vanaf 1 januari 2016 wordt het wettelijk verplicht om datalekken te melden. Zowel grootschalige inbraak als ieder kwijtraken, diefstal of onbevoegd gebruik van persoonsgegevens

Nadere informatie

concretiseren binnen de door de Wbp gestelde kaders.] Voorts zal de WV Schieland dit

concretiseren binnen de door de Wbp gestelde kaders.] Voorts zal de WV Schieland dit PROTOCOL Het protocol Wet Bescherming Persoonsgegevens (Wbp) zoals bedoeld in artikel 9 van het huishoudelijk reglement, is vastgesteld overeenkomstig artikel 13 lid 2 en lid 3 van de statuten van WV Schieland

Nadere informatie

Privacyreglement OCA(Zorg)

Privacyreglement OCA(Zorg) Privacyreglement OCA(Zorg) Artikel 1 Algemene- en begripsbepalingen 1.1 Tenzij hieronder uitdrukkelijk anders is bepaald worden termen in dit reglement gebruikt in de betekenis die de Wet Bescherming Persoonsgegevens

Nadere informatie

Privacy Reglement Flex Advieshuis

Privacy Reglement Flex Advieshuis Privacy Reglement Flex Advieshuis Paragraaf 1: Algemene bepalingen Artikel 1: Begripsbepaling In aanvulling op de Wet bescherming persoonsgegevens en het Besluit Gevoelige Gegevens wordt in dit reglement

Nadere informatie

Factsheet Omgaan met persoonsgegevens met oog op Wpb, Wmo 2015 en Jeugdwet

Factsheet Omgaan met persoonsgegevens met oog op Wpb, Wmo 2015 en Jeugdwet Factsheet Omgaan met persoonsgegevens met oog op Wpb, Wmo 2015 en Jeugdwet Vanaf januari 2015 krijgt u als zorgaanbieder te maken met nieuwe regelgeving met het oog op uitwisseling van uw cliëntgegevens

Nadere informatie

Privacy reglement. Inleiding

Privacy reglement. Inleiding Privacy reglement Inleiding De Wet bescherming persoonsgegevens (WBP) vervangt de Wet persoonsregistraties (WPR). Daarmee wordt voldaan aan de verplichting om de nationale privacywetgeving aan te passen

Nadere informatie

Ministerie van Veiligheid en Justitie

Ministerie van Veiligheid en Justitie Ministerie van Veiligheid en Justitie > Retouradres Postbus 20301 2500 EH Den Haag Directie Wetgeving en Aan de Voorzitter van de Tweede Kamer der Staten-Generaal Turfmarkt 147 Postbus 20018 2511 DP Den

Nadere informatie

Dienst Uitvoering Onderwijs (DUO)

Dienst Uitvoering Onderwijs (DUO) Dienst Uitvoering Onderwijs (DUO) Privacytoezicht in de praktijk Aramis Jean Pierre Functionaris gegevensbescherming (FG) DUO/OCW Aramis.jeanpierre@duo.nl Functionaris voor de gegevensbescherming (FG)

Nadere informatie

BEWERKERSOVEREENKOMST EMATTERS

BEWERKERSOVEREENKOMST EMATTERS BEWERKERSOVEREENKOMST EMATTERS Ondergetekenden: [NAAM KLANT], gevestigd [ADRES] te [PLAATS] en ingeschreven bij de Kamer van Koophandel onder nummer [KVKNUMMER], hierbij rechtsgeldig vertegenwoordigd door

Nadere informatie

GEDRAGSCODE VERWERKING PERSOONGSGEGEVENS STICHTING EDUROUTE mei 2007 GEDRAGSCODE VERWERKING PERSOONSGEGEVENS STICHTING EDUROUTE

GEDRAGSCODE VERWERKING PERSOONGSGEGEVENS STICHTING EDUROUTE mei 2007 GEDRAGSCODE VERWERKING PERSOONSGEGEVENS STICHTING EDUROUTE GEDRAGSCODE VERWERKING PERSOONSGEGEVENS STICHTING EDUROUTE IN AANMERKING NEMENDE: dat bij de Stichting Eduroute verschillende educatieve distributeurs zijn aangesloten; dat deze educatieve distributeurs

Nadere informatie

rechtmatigheid POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20

rechtmatigheid POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL 070-381 13 00 FAX 070-381 13 01 E-MAIL info@cbpweb.nl INTERNET www.cbpweb.nl AAN Koninklijk Horeca Nederland DATUM 5 februari

Nadere informatie

verklaring omtrent rechtmatigheid

verklaring omtrent rechtmatigheid POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL 070-381 13 00 FAX 070-381 13 01 E-MAIL info@cbpweb.nl INTERNET www.cbpweb.nl AAN Raad Nederlandse Detailhandel DATUM 17 juni

Nadere informatie

Gedragscode Privacy RRS

Gedragscode Privacy RRS Gedragscode ten behoeve van ritregistratiesystemen Gedragscode Privacy RRS Onderdeel van het Keurmerk RitRegistratieSystemen van de Stichting Keurmerk Ritregistratiesystemen (SKRRS) 7 november 2013 1 Inhoud

Nadere informatie

De impact van nieuwe privacyregels op payrolling

De impact van nieuwe privacyregels op payrolling @zwnne NATIONAAL PAYROLL CONGRES 2015 14 DECEMBER 2015 MEDIA PLAZA UTRECHT De impact van nieuwe privacyregels op payrolling prof. mr. Gerrit-Jan Zwenne de impact van de nieuwe privacywet meer beter erger

Nadere informatie

Wet meldplicht datalekken Wat betekent het voor u?

Wet meldplicht datalekken Wat betekent het voor u? Wet meldplicht datalekken Wat betekent het voor u? Verwerkt uw organisatie persoonsgegevens? Dan krijgt u te maken met de nieuwe Wet meldplicht datalekken. Deze aanvulling op de Wet bescherming persoonsgegevens

Nadere informatie

PRIVACYREGLEMENT NKA

PRIVACYREGLEMENT NKA PRIVACYREGLEMENT NKA INHOUD 1. WANNEER IS DIT PRIVACYREGLEMENT VAN TOEPASSING?... 3 2. DOEL PRIVACYREGLEMENT... 3 3. WIE IS VERANTWOORDELIJK VOOR UW GEGEVENS?... 3 4. WELKE PERSOONSGEGEVENS VERWERKT NKA?...

Nadere informatie

PRIVACYREGLEMENT VAN PANTARHEI ZORG BV & PANTA RHEI BEHEER EN BEWIND BV, LEVEN EN WERKEN IN BEWEGING

PRIVACYREGLEMENT VAN PANTARHEI ZORG BV & PANTA RHEI BEHEER EN BEWIND BV, LEVEN EN WERKEN IN BEWEGING PRIVACYREGLEMENT VAN PANTARHEI ZORG BV & PANTA RHEI BEHEER EN BEWIND BV, LEVEN EN WERKEN IN BEWEGING Panta Rhei Zorg BV en Panta Rhei Beheer & Bewind BV kent een privacyreglement welke ten doel heeft het

Nadere informatie

Privacy & Security Statement / Werkend Nederland BV. Werken met Persoonsgegevens

Privacy & Security Statement / Werkend Nederland BV. Werken met Persoonsgegevens Privacy & Security Statement / Werkend Nederland BV Inleiding Werkend Nederland werkt met persoonsgegevens. We zijn ons hiervan bewust en gaan integer om met uw gegevens. In dit document kunt u lezen hoe

Nadere informatie

Privacyreglement Isala voor patiënten en medewerkers

Privacyreglement Isala voor patiënten en medewerkers Privacyreglement Isala voor patiënten en medewerkers 1 Algemene bepalingen 1.1 Begripsbepalingen 1.1.1 Persoonsgegevens Elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;

Nadere informatie

Wet bescherming persoonsgegevens (Wbp) - (wet) meldplicht datalekken. Safe Harbor Ø. Binding Corporate Rules

Wet bescherming persoonsgegevens (Wbp) - (wet) meldplicht datalekken. Safe Harbor Ø. Binding Corporate Rules Dataprivacy Wet bescherming persoonsgegevens (Wbp) - (wet) meldplicht datalekken Safe Harbor Ø Binding Corporate Rules Wbp Neerslag EU-regelgeving (rl. 95/46/EG), in hele EU De titel van de wet zegt het

Nadere informatie

Privacyreglement. van. DoorWerk

Privacyreglement. van. DoorWerk Privacyreglement van DoorWerk Dit privacyreglement is vastgesteld op 01-01-2010 Dit privacyreglement dient als basis voor het vastleggen door het reïntegratiebedrijf hoe het omgaat met de privacy en de

Nadere informatie

Privacyreglement. Algemene bepalingen. Doelstelling

Privacyreglement. Algemene bepalingen. Doelstelling Doelstelling Privacyreglement Het doel van dit reglement is een praktische uitwerking te geven van de bepalingen van de Wet bescherming persoonsgegevens, verder te noemen WBP. Dit reglement is van toepassing

Nadere informatie

Privacyreglement CURA XL

Privacyreglement CURA XL Artikel 1. Algemene en begripsbepalingen 1.1. Tenzij hieronder uitdrukkelijk anders is bepaald worden termen in dit reglement gebruikt in de betekenis die de Wet Bescherming Persoonsgegevens (WBP) daaraan

Nadere informatie

Privacyreglement Kindertherapeuticum

Privacyreglement Kindertherapeuticum 1. Begripsbepalingen Binnen de Wet Bescherming Persoonsgegevens (WBP) wordt een aantal begrippen gehanteerd. In onderstaande lijst staat een uitleg van de begrippen. 1.1 Persoonsgegevens Elk gegeven betreffende

Nadere informatie

Wet Bescherming Persoonsgegevens Meldplicht Datalekken

Wet Bescherming Persoonsgegevens Meldplicht Datalekken Wet Bescherming Persoonsgegevens Meldplicht Datalekken juni 2016 1 Nieuwsberichten Dieven stelen gegevens kankerpatiënten Antoni van Leeuwenhoek (DMCC, 3 maart 2016) Dieven hebben een onbeveiligde harde

Nadere informatie

Privacyreglement Volgens de Wet bescherming persoonsgegevens (Wbp)

Privacyreglement Volgens de Wet bescherming persoonsgegevens (Wbp) Privacyreglement Volgens de Wet bescherming persoonsgegevens (Wbp) 1. Begripsbepaling 1.1. Persoonsgegevens Alle gegevens die herleidbaar zijn tot een individuele natuurlijke persoon. 1.2. Zorggegevens

Nadere informatie

PRIVACY VERKLARING. Artikel 1 Algemene- en begripsbepalingen

PRIVACY VERKLARING. Artikel 1 Algemene- en begripsbepalingen PRIVACY VERKLARING Artikel 1 Algemene- en begripsbepalingen 1.1 Tenzij hieronder uitdrukkelijk anders is bepaald worden termen in dit reglement gebruikt in de betekenis die de Wet Bescherming Persoonsgegevens

Nadere informatie

Europese privacywet mogelijk nóg strenger

Europese privacywet mogelijk nóg strenger December 2013, Auteur: mr. J.J. Braat M +31 633 97 09 55 Europese privacywet mogelijk nóg strenger In Brussel ligt momenteel een wetsvoorstel voor een Europa-brede privacywet. De eerste aanzet voor het

Nadere informatie

Privacyreglement van De Zaak van Ermelo

Privacyreglement van De Zaak van Ermelo Privacyreglement van De Zaak van Ermelo ARTIKEL 1. ALGEMENE EN BEGRIPSBEPALINGEN 1.1. Tenzij hieronder uitdrukkelijk anders is bepaald worden termen in dit reglement gebruikt in de betekenis die de Wet

Nadere informatie

Gemeente Delft. Bijgaand sturen wij U ter kennisneming de nota lmplementatie Wet Meldplicht Datalekken.

Gemeente Delft. Bijgaand sturen wij U ter kennisneming de nota lmplementatie Wet Meldplicht Datalekken. Gemeente Delft Retouradres : Aan de raadscommissie voor Rekening en Audit VERZONDEN 17 DEC. 2015 Datum 15-12-2015 Ons kenmerk 2668829 Uw brief van Onderwerp nota Implementatie Meldplicht Datalekken Uw

Nadere informatie

Deze privacy policy is van toepassing op de verwerking van persoonsgegevens van gebruikers van de websites en apps van McDiver.

Deze privacy policy is van toepassing op de verwerking van persoonsgegevens van gebruikers van de websites en apps van McDiver. Privacy Policy Wij respecteren jouw privacy. Jouw gegevens worden niet ongevraagd met derden gedeeld en je kunt zelf beslissen welke gegevens je wel of juist niet online wilt delen. Benieuwd naar alle

Nadere informatie

1. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon.

1. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. PRIVACYREGLEMENT 1. Begripsbepalingen 1. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. 2. Zorggegevens: persoonsgegevens die direct of indirect

Nadere informatie