Learning Analytics en de Wet bescherming persoonsgegevens. Mr.ir. A.P. Engelfriet, Partner bij ICTRecht.nl

Transcriptie

1 Learning Analytics en de Wet bescherming persoonsgegevens Mr.ir. A.P. Engelfriet, Partner bij ICTRecht.nl /

2 Privacy en persoonsgegevens Beeld: Sunside, Flickr, CC-BY 2.0

3 Beeld: Sunside, Flickr, CC-BY

4 Het recht met rust gelaten te worden

5 Verwerking van persoonsgegevens

6 Persoonsgegevens Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Direct Indirect Art. 1(a) Wbp

7 Persoonsgegevens

8

9 Bijzondere persoonsgegevens Persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakbond en strafrechtelijke persoonsgegevens. Art. 16 Wbp

10 Grondslagen Toestemming Uitvoering overeenkomst Wettelijke plicht Vitale belangen betrokkenen Uitvoering overheidstaak Gerechtvaardigd eigen belang (Wetenschappelijk en statistisch onderzoek) Art. 8 Wbp

11 Toestemming Elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt. Art. 1(i) Wbp

12

13

14 Uitvoering overeenkomst De gegevensverwerking [is] noodzakelijk voor de uitvoering van een overeenkomst tussen verantwoordelijke en betrokkene, inclusief precontractuele maatregelen.

15 Noodzakelijk of handig? Het niet inchecken maar het slechts laten uitlezen van de OV-chipkaart door de conducteur is dan ook niet meer voldoende om op basis van een geldig vervoersbewijs met het studentenreisrecht te kunnen reizen. ( ) Een conducteur moet [], bijvoorbeeld op de dagen waarin de vrij reizenperiode overgaat in de 40%-reductieperiode en vice versa, middels het moment (tijdstip) van inchecken kunnen vaststellen of de reis de vrij reizen periode of de 40%- reductie periode betreft. Het uitlezen van het type studentenreisrecht door de conducteur is dan onvoldoende.

16 Wettelijke plicht De gegevensverwerking [is] noodzakelijk om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is.

17 Vitaal belang De gegevensverwerking [is] noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene. Kwesties van leven en dood Toestemming kan onmogelijk worden gevraagd De verwerking moet onmiddellijk worden gestart

18 Uitvoering overheidstaak De gegevensverwerking [is] noodzakelijk voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt.

19 Gerechtvaardigd eigen belang Toestemming vragen is niet realistisch Legitiem eigen belang Noodzakelijk voor belang Proportioneel gezien privacy van anderen Zo mogelijk opt-out College bescherming persoonsgegevens z Foto: Cory Doctorow, CC-BY-SA

20 (Wetenschappelijk en statistisch onderzoek) Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden. Art. 9 Wbp

21 Doelbinding Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld. Art. 7 Wbp Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Art. 9 Wbp

22 Bewaartermijn Persoonsgegevens worden niet langer bewaard in een vorm die het mogelijk maakt de betrokkene te identificeren, dan noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt. Geen harde termijnen in Wbp Anonimiseren of verwijderen Uitzondering voor statistisch of wetenschappelijk onderzoek Art. 10 Wbp

23 Besluitvorming door persoonsgegevens Niemand kan worden onderworpen aan een besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem in aanmerkelijke mate treft, indien dat besluit alleen wordt genomen op grond van een geautomatiseerde verwerking van persoonsgegevens bestemd om een beeld te krijgen van bepaalde aspecten van zijn persoonlijkheid. Art. 42 Wbp

24 Uitbesteden van verwerking Betrokkene Bepaalt doel en middelen van verwerking Verwerkt uitsluitend in opdracht van verantwoordelijke Bewerker Verantwoordelijke Bewerkersovereenkomst Art. 14 Wbp

25 Inhoud bewerkersovereenkomst Introducerende bepalingen Doeleinden van verwerking Verplichtingen van bewerker Doorgifte persoonsgegevens Garanties Beveiliging Datalekmeldplicht Verzoeken van betrokkenen Intellectueel eigendom Vrijwaringen Geheimhouding Duur, verlenging en opzegging Wijzigen van de overeenkomst Rechtskeuze en forumkeuze Slotbepalingen

26 Recht van informatie Worden er persoonsgegevens verwerkt? Zo ja, welke: Volledig overzicht Omschrijving van doel Categorieën van gegevens Informatie over herkomst Art. 35 Wbp

27 Recht van informatie Desgevraagd doet de verantwoordelijke mededelingen omtrent de logica die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens. Art. 35 Wbp

28 Recht van correctie en verwijdering Verbeteren Aanvullen Verwijderen of afschermen Indien Feitelijk onjuist Onvolledig Niet meer ter zake dienend In strijd met Wbp verwerkt Art. 36 Wbp

29 Beveiliging De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen. Art. 13 Wbp

30 Technische maatregelen

31 Richtsnoeren CBP Basisbeginselen beveiliging Privacy by design Plan-do-check-act Risico-analyse Beveiligingsstandaarden NEN/ISO (algemeen) NEN 7510 (zorg) Controle van bewerkers

32 Meldplicht datalekken Elke onrechtmatige verwerking van persoonsgegevens Europese Verordening Niet voor 2017 Boete tot 100 miljoen of 5% van wereldwijde jaaromzet Nederlandse wet Per 1 januari 2016 van kracht Boete tot Pas op te leggen nadat bindende aanwijzing niet is opgevolgd, tenzij opzettelijk of grof nalatig is gehandeld Wetsvoorstel 33662

33 Meldplicht datalekken De verantwoordelijke stelt het Cbp onverwijld in kennis van een inbreuk op de beveiliging die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens. De verantwoordelijke, bedoeld in het eerste lid, stelt de betrokkene onverwijld in kennis van de inbreuk, bedoeld in het eerste lid, indien de inbreuk waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer. Wetsvoorstel 33662, EK A

34 [Niet van toepassing] als de verantwoordelijke passende technische beschermingsmaatregelen heeft genomen waardoor de persoonsgegevens die het betreft onbegrijpelijk of ontoegankelijk zijn voor eenieder die geen recht heeft op kennisname van de gegevens. Geen meldplicht