4 APRIL 2018 DE WEG NAAR DE AVG - RENS GOUDSMIT ONDERNEMERSVERENIGING VOORSCHOTEN ONDERNEMEND WASSENAAR

Transcriptie

1 4 APRIL 2018 DE WEG NAAR DE AVG - RENS GOUDSMIT ONDERNEMERSVERENIGING VOORSCHOTEN ONDERNEMEND WASSENAAR

2 PERSOONSGEGEVEN? BSN nummer IP adres U

3 verzamelen samenbrengen in verband met elkaar brengen bijwerken wijzigen verzamelen vastleggen vastleggen verzamelen raadplegen gebruiken verzamelen VERWERKING bewaren ordenen opvragen afschermen verzamelen verzamelen wissen vernietigen verspreiden verstrekken

4 DE SPELERS Betrokkene (data subject) Verantwoordelijke of verwerkingsverantwoordelijke (controller) Verwerker (processor) - degene op wie de gegevens betrekking hebben - natuurlijk persoon - heeft zeggenschap over doel en wijze van verwerking - natuurlijk persoon of rechtspersoon, of bestuursorgaan verwerkt gegevens t.b.v. verantwoordelijke zonder aan zijn of haar rechtstreeks gezag te zijn onderworpen Ap (data protection authority of DPA) Autoriteit persoonsgegevens FG (data protection officer of DPO) functionaris voor de gegevensbescherming

5 UITGANGSPUNTEN AVG verwerking verzameldoel doelbinding bewaren rechtmatig behoorlijk transparant welbepaald gerechtvaardigd uitdrukkelijk omschreven verdere verwerking niet onverenigbaar met verzameldoel niet langer dan nodig voor verzameldoel minimale gegevensverwerking toereikend ter zake dienend noodzakelijk juistheid juiste gegevens actualiseren anders: wissen/ rectificeren accountability passende technische en organisatorische maatregelen aantonen verantwoordelijke

6 GRONDSLAGEN VERWERKING Verwerking alleen rechtmatig indien: toestemming betrokkene; noodzakelijk ogv overeenkomst; noodzakelijk wettelijke verplichting verantwoordelijke; bescherming vitale belangen; taak van algemeen belang / uitvoering openbaar gezag; Belangenafweging: belang verantwoordelijke vs. fundamentele vrijheden betrokkene

7 RECHTEN BETROKKENE Recht op transparante informatie Recht van inzage Recht op rectificatie + kennisgeving Recht op vergetelheid ( right to be forgotten ) Recht op beperking verwerking Recht op overdraagbaarheid gegevens Recht van bezwaar Recht niet te worden onderworpen aan profilering

8 VERWERKERSOVEREENKOMST: CHECKLIST Details met betrekking tot verwerking Onderwerp / duur / aard & doel / soort persoonsgegevens Rechten en verplichtingen van verantwoordelijke Eisen gesteld aan verwerker Verwerking op basis van schriftelijke instructie (o.a. aard/omvang) Internationale doorgifte Vertrouwelijkheid gemachtigde personen + opdracht verantwoordelijke Beveiliging Incidenten Subverwerkers inschakelen met toestemming verantwoordelijke Medewerking (o.a. audits, rechten betrokkene, PIA) Opslag, verwijdering (o.a. bij einde ovk)

9 PRIVACY STATEMENT AVG-PROOF? Contactgegevens Verwerkingsdoeleinden? Andere categorieën ontvangers? Doorgifte? Bewaartermijn? Toestemming intrekken + hoe is toestemming gegeven? Taalkeuze Recht op wissen / bezwaar / dataportabiliteit Klacht AP Verplichting tot verstrekking gegegevens? Geautomatiseerde besluitvorming/profiling

10 DATALEK Inbreuk op de beveiliging van persoonsgegevens. Wbp: leidt tot (aanzienlijke kans op) ernstige nadelige gevolgen voor bescherming persoonsgegevens? Uitsluiten. AVG: inbreuk melden, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor rechten en vrijheden van natuurlijke personen. Dubbele meldplicht.

11 DATALEK (2) Wbp: waarschijnlijk ongunstige gevolgen voor persoonlijke levenssfeer. AVG: waarschijnlijk hoog risico voor de rechten en vrijheden van natuurlijke personen. Bijzondere categorieën persoonsgegevens. tenzij [ ] Duidelijke en eenvoudige taal. Termijn: onverwijld/zonder onredelijke vertraging (72 uur). Treffen technische en organisatorische maatregelen.

12 12 NIET NALEVING VERPLICHTINGEN Administratieve geldboeten tot 10 mio of 2% van wereldwijde jaaromzet in voorgaand boekjaar bij: ontbreken verwerkersovereenkomst. ontbreken register verwerkingen. Administratieve geldboeten tot 20 mio of 4% van wereldwijde jaaromzet in voorgaand boekjaar bij: strijdigheid beginselen AVG. rechten van betrokkenen. doorgifte van persoonsgegevens buiten EER. niet naleving bevel AP.

13 ACTIES AVG Awareness creëren bij personeel bijv. door overleg binnen verschillende teams. Wijs verantwoordelijken aan. Nulmeting: breng verwerkingen (en systemen) binnen organisatie in kaart. Check grondslag/doel/toestemming verwerking. Check individuele toegang / rechten. Plan van aanpak voor verzoeken betrokkenen. Stel op/update: Verwerkersovereenkomsten. Stel op/update: Privacy beleidsplan/statement (doel verwerkingen). Stel op/update: Protocol datalekken. Guidance? Art. 29 Werkgroep. Accountability zorg dat beleid / te nemen stappen op papier staan! DEADLINE: 25 MEI 2018 (+ uitloop)

14 Rens Goudsmit advocaat T F M E goudsmit@tk.nl