Wet Bescherming Persoonsgegevens Meldplicht Datalekken

Transcriptie

1 Wet Bescherming Persoonsgegevens Meldplicht Datalekken juni

2 Nieuwsberichten Dieven stelen gegevens kankerpatiënten Antoni van Leeuwenhoek (DMCC, 3 maart 2016) Dieven hebben een onbeveiligde harde schijf gestolen met de gegevens van 781 kankerpatiënten van het Antoni van Leeuwenhoek Ziekenhuis. De schijf is in december uit de kofferbak van de auto van een onderzoeker gestolen, maakte het Amsterdamse ziekenhuis donderdag bekend. Transportbedrijf stopt filmen chauffeurs na onderzoek Autoriteit Persoonsgegevens (AP, 16 februari 2016). Volgens de AP is het voor dit doel echter niet proportioneel om de chauffeurs gedurende hun werktijd onafgebroken te filmen. De chauffeurs staan hierdoor continu onder toezicht. Camera s op de werkvloer mag alleen als het cameratoezicht noodzakelijk is. Dat wil zeggen dat de werkgever het doel, bijvoorbeeld fraudebestrijding of verbetering rijvaardigheid, niet op een andere manier kan bereiken. 2 juni

3 Nieuwsberichten WIFI-tracking rond winkels in strijd met de wet (AP, 1 December 2015) Het volgen van mensen in en rond winkels via de wifi-signalen van hun mobiele apparaten zonder hen hierover te informeren, is in strijd met de wet. Dit benadrukt het College bescherming persoonsgegevens (CBP) na onderzoek bij het bedrijf Bluetrace. Vtech, ING-bank, etc. Bent u de volgende die in het nieuws staat? 2 juni

4 Gevolgen niet voldoen aan WBP Tot eind 2015: Wet bescherming Persoonsgegevens, artikel 66: Bestuurlijke boete bij overtreding artikel Conclusie: Geen afdoende toezicht, bedrijfseconomisch niet verantwoord, alleen ter voorkoming imagoschade. Inspanningsverplichting: Ik doe mijn best. 4

5 Gevolgen niet voldoen aan WBP Vanaf 1 januari 2016: Artikel 66 lid: - Bindende aanwijzing; - Geldboete tot maximal ; - Geldboete art. 23 lid 7 (10% jaaromzet) Introductie medepleger (feitelijke leidinggevende). Conclusie: Resultaatverplichting: Van tell-me naar show me. 5

6 Gevolgen niet voldoen aan WBP Aansprakelijkheden: Bestuursrechtelijk: - Bestuurlijke boete - Last onder dwangsom - Bindende aanwijzing Strafrechtelijk: - Opzet of nalatigheid Civielrechtelijk: - Door betrokkene 6

7 Grondslag verwerking persoonsgegevens Artikel 8 WBP: Persoonsgegevens mogen slechts verwerkt worden indien: Ondubbelzinnig toestemming is verleend: Noodzakelijk voor de uitvoering van een overeenkomst (of precontractueel); Noodzakelijk voor een wettelijke verplichting; Noodzakelijk voor vitaal belang; Noodzakelijk voor een goede vervulling publiekrechtelijke taak; Noodzakelijk voor een gerechtvaardigd belang 7

8 Persoonsgegevens? Direct Geboortedatum Naam Adres, woonplaats Burgerservicenummer Geslacht IQ adres Bijzonder Kind gegevens Ras (denk aan schoolfoto!) Godsdienst of levensovertuiging Politieke gezindheid Gezondheid Strafrechtelijke verleden Seksuele leven Lidmaatschap van een vakvereniging Indirect Gegevens welke zijn te herleiden tot een natuurlijk persoon Biometrische gegevens Video-opname van personen Iemands telefoon - of computergebruik Het kentekennummer van een leaseauto Iemands ziekteverzuim en de redenen daarvan Carrière gegevens 8

9 Verwerkingen? Kerstwens lijst Smoelenboek Koppenkaart Printers Biometrische data Verzamelen Ordenen Exact Copiers Bewaren Wijzigen AFAS Bijwerken Vastleggen Kenteken Paspoort Persoonsgegevens Wissen Gebruiken File server Receptie Opvragen Verstrekken Test omgeving Vernietigen Personeels Verspreiden Afschermen bestand Back-up s Koppelen Video opnamen Personeel systeem adres groepen Salarisverwerking 9

10 Gedefinieerde rollen Rollen: Verantwoordelijke: - Leiding van de entiteit die, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Bewerker: - Degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt. Externe software leverancier; Wie regelt de Back-up; Etc. 10

11 Gedefinieerde rollen Rollen: Betrokkene: - Degene op wie een persoonsgegevens betrekking heeft. Medewerkers; Leveranciers; Klantgegevens; Etc. 11

12 Verplichtingen verantwoordelijke Verplichtingen van verantwoordelijke: Documentatieplicht (artikel 27,28 en 30): Documenteren van alle verwerkingen van (persoons)gegevens; Informatieplicht (artikel 33 en 34): Informeren van betrokkenen zodat sprake is van een eerlijke verwerking; Faciliteren rechten betrokkene plicht (artikel 35, 36, 37, 38 en 40); Beveilgingsplicht (artikel 13 en 14): Er is sprake van een adequaat beveiligingsniveau van verwerking van persoonsgegevens; Meldingsplicht (WBP-mdp artikel 14 en 34a): Meldplicht data-lekken. 12

13 Documentatieplicht Alle verwerkingen dienen te worden gemeld bij de Autoriteit Persoonsgegevens dan wel de Fuctionaris Gegevensbescherming: Naam en adres verantwoordelijke; Doel of doeleinden van verwerking; Categorieën van betrokkenen; Categorieën van gegevens; Ontvangers of categorieën ontvangers; Voorgenomen doorgifte naar 3e landen (Landen buiten de EER); Vrijstelling melding Autoriteit Persoonsgegevens: zie Handreiking Vrijstellingsbesluit. Algemene beschrijving gepastheid maatregelen: - Artikel 13 en 14: De beveiliging van de verwerking. 13

14 Informatieplicht VOORAF: Betrokkene informeren dat zijn gegevens worden verwerkt Identiteit verantwoordelijke Doel of doeleinden van de verwerking Aard gegevens en omstandigheden van verkrijging Aard en omstandigheden van gebruik Behoorlijke en zorgvuldige verwerking waarborgen. 14

15 Informatieplicht: Hoe? Transparantie creëren: Privacy verklaring (website) - Contactgegevens organisatie/functionarisgegevensbescherming - Verwijzing naar melding AP - Doel gegevensverwerking - Herkomst gegevens - Rechten van betrokkene - Geheimhouding - Beschrijving over beveiliging Doorgifte aan derden. Informatie register vastleggen. 15

16 Rechten betrokkene Rechten van betrokkenen Inzage (artikel 35); Correctie (artikel 36); Vernietiging (artikel 36); Doorgeven van correcties aan derden (artikel 38); Verzet (artikel 40). 16

17 Faciliteren rechten betrokkene Instellen procedures ten behoeve van: Recht op inzage; Recht op correctie of vernietiging; Doorgeven correcties aan derden; Recht op verzet (algemeen of marketingactiviteiten). Datavernietiging 17

18 Faciliteren rechten betrokkene Werkwijze faciliteren rechten betrokkene: Op inzage verzoeken ingaan: - Binnen 4 weken; - Doel van de verwerking; - Categorieën gegevens; - Informatie omtrent doorgiftes; - Herkomst gegevens. Op wijziging/verwijder verzoeken ingaan: - Eigen verwerkingen; - Ontvangers Vastleggen in een register. 18

19 Beveiligingsplicht Passende technische en organisatorische maatregelen ter bescherming van persoonsgegevens: - Tegen vernietiging, hetzij per ongeluk hetzij onrechtmatig - Tegen verlies - Om andere vormen van onrechtmatige verwerking te voorkomen m.n. ongeoorloofde verstrekking of verspreiding van, toegang tot, of wijziging van persoonsgegevens. Hieraan gaat vooraf een evaluatie van de risico s Indien bewerker Wbp, artikel 14: - Ook hier passende maatregelen - Bewerkingsovereenkomst verplicht. 19

20 Beveiligingsplicht Registratie: - Vastleggen passende technische en organisatorische maatregelen; - Vastleggen transparantie; - Vastleggen bewijs van effectieve werking. Doel: - Vaststellen risico s - Proof of the pudding voor toezichthouder - Bepalen som van aansprakelijkheden - Bewijslast in juridische procedures. 20

21 Meldplicht Data-lekken Onverwijld melden van een inbreuk op de beveiliging, bedoeld in artikel 13, die leidt tot aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens (Wbp, artikel 34a) Melding bij AP/veel gevallen ook bij betrokkene Wat en wanneer melden, - Binnen 72 uur melden (Let op: in de praktijk is dit een beperkte tijd). - Specifieke eisen inhoud melding: zie Richtsnoeren AP. - Verplicht om een datalek register bij te houden. - Geadviseerd wordt om een Datalek Crisis Team op te richten. 21

22 Meldplicht Data-lekken Meldplicht geldt ook voor datalekken die ontstaan bij (sub)bewerker (WBPmdp, artikel 14): - Alle incidenten melden aan verantwoordelijke; - Register aanleggen; - Aansprakelijkheid. 22

23 Bewerkersovereenkomst Afspraken over: Verantwoordelijkheden Aansprakelijkheden Verantwoording Meldplicht datalekken Kettingbeding (nieuwe eigenaar neemt het over) Rechten van betrokkene Beveiligingsniveau Geheimhouding Etc. 23

24 Oorzaak datalekken Onveilig netwerk; 6%; Malware; 3%; Foutje; 11%; Onbekend; 5%; Bij afval; 10%; Copieren; 6%; Draagbare media; 10%; Kwaadwillende medewerker; 21% PC verlies; 1%; PC diefstal; 15%; Hacken; 12%; 24

25 Conclusie Zeer omvangrijke eisen die nagenoeg iedere organisatie raakt: - Documentatie: Zijn verwerkingen voldoende gedocumenteerd? Is er een registratie van datalekken? Zijn de expliciete toestemmingen van betrokkenen vastgelegd? - Informatie: Is de autoriteit geïnformeerd over verwerkingen? Zijn betrokkenen geïnformeerd? - Maatregelen: Zijn er voldoende passende organisatorische en technische maatregelen genomen om de persoonsgegevens te beschermen? - Inzage: Kunnen betrokkenen ten aanzien van de verwerkingen inzage krijgen? Kan hun recht op verzet, rectificatie en/of vernietiging worden gehonoreerd? - Melden data-lek: Kunnen in het geval van een data-lek de autoriteit en of betrokkenen binnen vastgestelde termijn worden geïnformeerd? 25

26 Conclusie Gevolgen bij niet naleving: Zware boetes (max , of 10% jaaromzet i.p.v ); Bestuurdersaansprakelijkheid; Continuïteit onderneming? Grijs gebied: Passende organisatorische en technische maatregelen. Voldoet uw organisatie aan de WBP? 26

27 Waar kan je mee starten Inventariseren persoonsgegevens (welke, waar, etc.) Aanmelden verwerking bij Autoriteit Persoonsgegevens Train personeel op privacy awareness en melden incidenten Documenteer het volgende: - Alle verwerkingen persoonsgegevens; - Stel bewerkingsovereenkomsten op; - Stel privacy-verklaring op. - Datalekken. Interne maatregelen: - Opstellen procedures Inzage-recht ; - Opstellen procedures en crisisteam melding datalekken. Neem toereikende beveiligingsmaatregelen en opstellen informatiebeveiligingsbeleid. 27

28 Heeft u hulp nodig? Lentink Accountants heeft deskundigen in dienst die alles weten over de Wbp en het melden van datalekken. Voor ondersteuning kunt u contact opnemen met: 28

29 Afronding 29