regels voor de verwerking van persoonsgegevens

Transcriptie

1 BASISCURSUS Wet bescherming persoonsgegevens en andere privacywetgeving regels voor de verwerking van persoonsgegevens Gerrit-Jan Zwenne 12 mei 2010

2 RTL gebruikte parkeer garagebeelden onrechtmatig [22 [22 mei mei 2009] 2009] De De parkeergarage waarin Yolanthe Cabau van van Kasbergen en en Wesley Sneijder elkaar zoenden voor voor het het oog oog van van de de beveiligingscamera s, heeft een een wanprestatie geleverd door door de de beelden te te verkopen aan aan RTL RTL Boulevard. Het Het RTL-programma, maar ook ook De De Telegraaf die die de de beelden woensdag afdrukte op op de de voorpagina, profiteren van van deze wanprestatie en en handelen daarmee onrechtmatig. Dit Dit zegt zegt advocaat Charissa Koster van van Bousie Advocaten, een een bekend advocatenkantoor dat dat gespecialiseerd is is in in mediarecht. Volgens Koster waanden de de presentatrice en en de de profvoetballer zich zich onbespied in in de de Amsterdamse parkeergarage. De De wet wet beveiliging persoonsgevens schrijft voor voor dat dat de de parkeergarage camera s mag mag ophangen voor voor beveiligingsdoeleinden, maar ze ze niet niet mag mag gebruiken voor voor iets iets anders, zoals een een roddelprogramma, aldus Koster. Je Je zou zou kunnen zeggen dat dat de de parkeergarage het het contract met met Yolanthe niet niet nakomt.

3 rechtmatige verwerking verwerkingsgronden - toestemming - overeenkomst - gerechtvaardigd belang, enz. verzameldoel - welbepaald - gerechtvaardigd - én uitdrukkelijk omschreven doelbinding - verdere verwerking niet onverenigbaar met verzameldoel bewaren - niet langer dan nodig voor verzameldoel

4 verwerking is toegestaan... ondubbelzinnige toestemming --ondubbelzinnig --enkele aanvaarding instemmingsbepaling in in algemene voorwaarden is is niet niettoereikend --eerst informeren -- informed consent --intrekken is is te te allen tijd mogelijk --maar dan dan kan kan de de dienst misschien niet niet worden verleend --vrijwillig gegeven --niet niet veronderstellen in in arbeidsverhoudingen! betrokkene jonger jonger dan dan zestien zestien jaren jaren of of onder onder curatele of of mentorschap toestemming van van wettelijk vertegenwoordiger Art. Art. 8(a) 8(a) jo. jo. 1(i) 1(i) en en 5 WBP WBP

5 Amazon.com Privacy Notice Last Last updated October 24, 24, 2007 Amazon.com knows that that you you care care how how information about you you is is used and and shared. And And we we appreciate your your trust trust that that we we will will do do so so carefully and and sensibly. This This notice describes our our privacy policy. By By visiting amazon.com, you you are are accepting the the practices described in in this this Privacy Policy. What Personal Information About Customers Does Amazon.com Gather? The The information we we learn from from our our customers help help us us personalize and and continually improve your your shopping experience at at Amazon.com. Here are are the the types of of information we we gather: -- Information You Give Us: Us: We We receive and store any information you enter on on our our website

6 verwerking is ook toegestaan... uitvoering overeenkomst --incl. incl. onderhouden normale klantrelatie wettelijke verplichting --informatieplicht banken en en werkgevers t.b.v. fiscus art. art AWR AWR vrijwaring vitale belangen --levensbedreigende situaties publiekr. taak bestuursorgaan --bijv. bijv. informatiebevoegdheid belastinginspecteur behartiging gerechtv. belang van verantwoordelijke tenzij privacybelang van betrokkene prevaleert --direct direct marketing --fraudebestrijding --voorkomen overkreditering --enz. enz. Art. 8(b)-(d) WBP Art. 8(e)-(f) WBP

7 proportionaliteit & subsidiariteit - privacyinbreuk niet onevenredig in verhouding met doel waarvoor wordt verwerkt - verwerking alleen als verwerkingsdoel niet op andere (minder belastende wijze) kan worden bereikt

8 < verzamelen /> verzameldoel - gerechtvaardigd - uitdrukkelijk van tevoren vastgelegd omschreven - én welbepaald géén blanco volmacht...verantwoorde bedrijfsvoering......administratie t.b.v. betalingen en inning van vorderingen, daaronder mede begrepen het in handen van derden stellen van vorderingen..

9

10 doelbinding - verwerking niet onverenigbaar met verzameldoeleinden - verwantschap verzameldoel en verwerking - aard van de gegevens financieel, gezondheid, handicap, etniciteit enz. - gevolgen van verwerking abonnementsweigering of wetenschappelijk onderzoek..? - wijze van gegevensverkrijging van betrokkene zelf of van derden? Art. 9 WBP

11 bewaren - gegevens bewaren zolang nodig t.b.v. doeleinden waarvoor ze zijn verzameld - bewaartermijnen - zolang er claims mogelijk zijn 5 jaar (art. 3:306 e.v. Bw) 2 jaar (7:23-2 Bw) - wettelijke administratieplichten 7 jaar (art Awr) - niet gemelde personeels- en salarisadministratie 2 jaar (art. 8 en 9 Vrijstellingsbesluit) informatieblad bewaartermijnen CBP Art. 10 WBP

12

13 beveiligingsplicht - passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking - maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen - de maatregelen zijn er mede op gericht onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen vage normen

14 beveiligingsplichten art. 13 Wbp art Tw art. 9c WVIB art. 7 WJSG NEN 7510 art Tw art. 3d Kadasterwet art. 4 Wet pol.gegevens ISO art. 7 BBGAT art. 7:453 BW art. 33 BGBSNiZ art. 2:5 Awb

15 aandachtspunten beveiliging - beveiligingsbeleid - administratieve organisatie - beveiligingsbewustzijn - eisen aan personeel - inrichting van werkplek - toegangsbeheer en controle - beheer en classificatie ict infrastructuur - netwerken en externe verbindingen - software van derden - bulkverwerking - bewaren - vernietigen - continuïteit - uitbesteden - enz.

16 achtergrondstudie - exclusiviteit, integriteit en continuiteit - vier risicoklassen - nieuw! richtsnoeren beveiliging inwerkingtreding in Q A&V 23 april 2001

17 passende maatregelen technisch - toegangscontrole - logfiles - usb-sticks - passwords - backups - enz. organisatorisch - verantwoordelijkheden - bevoegdheden - instructies - trainingen - beveiligingsplan - enz. passendheid stand v/d techniek kosten risico s soort verwerking soort gegevens hoeveelheid cq. aantal betrokkenen

18 risicoanalyse verhoogd risico adressenhandel verhoogd risico verzekeraars geen risico telefoonboek hoog risico DNA databank beperkt risico klantrelaties

19 Data protection watchdog distributes mailing list The Dutch Data Protection Authority (Dutch DPA), which supervises the compliance with acts that regulate the use of personal data, was rather red-faced this week when it sent out a newsletter with all of the recipients in the Cc: field instead of the Bcc: field. DPA's news letter goes out to 4000 subscribers. The DPA, which supervises the compliance with the Dutch Personal Data Protection Act was lucky that 'only' a thousand subscribers received the letter, but it managed to make the mistake twice. In a message it apologised for sending the first letter, again putting all recipients to the Cc list, so a second apology had to be sent.

20 OPTA mailing over consultatie internet veiligheid Cc: "Dries, Hein" "Man, Mei Po" Conversation: Consultatiedocument voorgenomen beleidsregels basismaatregel ogv art Tw Subject: Consultatiedocument voorgenomen beleidsregels basismaatregel ogv art Tw Geachte heer/mevrouw, Hierbij ontvangt u het Consultatiedocument beleidsregels basismaatregelen op grond van artikel 11.3 van Telecomwet. Disclaimer Voor verdere informatie verwijs ik u naar de bijlagen die in deze zijn bijgevoegd. Met vriendelijke groet, [XXXXX] Secretariaat IPB Opta Onafhankelijke Post en Telecommunicatie Autoriteit xxxx@opta.nl Tel.: + 31 (0) xxx Fax: + 31 (0) Dit bericht kan vertrouwelijke informatie bevatten of informatie die is beschermd door een beroepsgeheim.indien dit bericht niet voor u is bestemd, wijzen wij u erop dat elke vorm van verspreiding, vermenigvuldiging of ander gebruik ervan niet is toegestaan.indien dit bericht blijkbaar bij vergissing bij u terecht is gekomen, verzoeken wij u ons daarvan direct op de hoogte te stellen via tel.nr of e- mail en het bericht te vernietigen. Dit bericht is uitsluitend gecontroleerd op virussen. OPTA aanvaardt geen enkele aansprakelijkheid voor de feitelijke inhoud en juistheid van dit berict en er kunnen geen rechten aan worden ontleend.

21 Politie Delft lekt adressen van burgers [29 [29 april april 2009] De De gemeente Delft Delft heeft bij bij een een promotieactie van van Burgernet door door een een blunder adressen gelekt. Een Een communicatieadviseur van van de de gemeente plakte per per abuis twee twee keer keer privé adressen in in het het CC CC veld. veld. "De "De mail mail moest verzonden worden aan aan bijna bijna adressen en en ik ik heb heb daar daar steeds zo'n zo'n adressen voor voor geselecteerd. Per Per ongeluk heb heb ik ik bij bij twee twee verzendingen de de adressen geplaatst bij bij CC CC in in plaats van van BCC", aldus de de medewerker van van de de gemeente, die die haar haar excuses aanbiedt voor voor de de fout. fout. "Als "Als ik ik mijn mijn fout fout kon kon herstellen, dan dan zou zou ik ik dat dat direct doen, maar dat dat is is niet niet mogelijk", krijgt krijgt een een gefrustreerde lezer van van Webwereld die die graag anoniem wil wil blijven als als antwoord op op vragen.

22 bewerker en verantwoordelijke bewerker - verwerking onder gezag van verwantwoordelijke - geheimhoudingsplicht - aansprakelijkheid m.b.t. eigen werkzaamheid - tenzij tegenbewijs vastgelegd in schriftelijke of andere gelijkwaardige vorm (bijv. overeenkomst) verantwoordelijke - zorgplicht m.b.t. verwerking - audits, informeren enz. - naleving recht andere EU-lidstaat - zorgplicht m.b.t. beveiligingsplichten Art. 12, 14 en 49-3 WBP

23 geautomatiseerde besluitvorming - geautomatiseerde gegevensverwerking - informatieplicht - om beeld te krijgen van persoonlijkheid van betrokkene, én - met rechtsgevolgen die betrokkene in aanmerkelijke mate treffen - toegestaan als - beslissing ihkv sluiten of uitvoeren van overeenkomst verzoek van de betrokkene is voldaan, of passende maatregelen ter bescherming van zijn gerechtvaardigd belang, of wettelijke waarborgen - logica die ten grondslag ligt aan geautomatiseerde verwerking van betreffende gegevens kredietwaardigheid ( credit score ) betrouwbaarheidsanalyse huursubsidie, studiefinanciering enz. Art. 42 WBP

24 «bijzondere gegevens» - levensovertuiging of godsdienst - politieke gezindheid - lidmaatschap vakbond - ras - seksuele leven - gezondheid - strafrechtelijke gegevens (e.d.) - én sofinummer Art. 16 WBP Art. 24 WBP

25 verwerking «bijzondere gegevens» - verwerking van bijzondere gegevens is verboden, tenzij - met uitdrukkelijke toestemming (enz.), of - door bepaalde verwerkers en voor bepaalde doeleinden - enz... Art. 16 t/m 24 WBP

26 «rasgegevens» verwerking mag - voorzover onvermijdelijk ter identificatie - voorzover nodig i.v.m. positieve discriminatie intranet smoelenboek? - alleen gegevens betreffende geboorteland van de betrokkene, van diens ouders of grootouders, - dan wel andere, bij wet vastgestelde criteria o.g.v. objectief kan worden bepaald of iemand tot een minderheidsgroep behoort, en geen schriftelijk bezwaar van betrokkene Art. 20 WBP

27 «gezondheidsgegevens» - hulpverleners en zorginstellingen of maatschappelijke dienstverlening - behandeling of verzorging betrokkene - beheer van instelling of beroepspraktijk - verzekeraars - beoordeling verzekerde risico mits de betrokkene geen bezwaar heeft gemaakt - uitvoering verzekeringsovereenkomst - reclassering, raad voor kinderbescherming of voogdij-instellingen e.d. - uitvoering van wettelijk taken - bestuursorganen, pensioenfondsen, werkgevers e.d. - uitvoering wettelijke voorschriften, pensioenregelingen of cao s enz. - reïntegratie werknemers of uitkeringsgerechtigden i.v.m. ziekte of arbeidsongeschiktheid Art. 21 WBP

28 «vakbondslidmaatschap» - door betreffende vakbond of vakcentrale - voor zover dat gelet op de doelstelling van de vakbond of centrale noodzakelijk is - derdenverstrekking alléén met toestemming van betrokkene Art. 20 WBP

29 «strafrechtelijke gegevens e.d.» - organen krachtens wet belast met toepassing van strafrecht - politie, justitie enz. - verantwoordelijken die gegevens hebben krachtens Wpg of WJD - ten behoeve van derden - part. recherche-bureau s - concernverband - passende specieke waarborgen en voorafgaand onderzoek bijv. incidentenregisters - verantwoordelijke die gegevens ten eigen behoeve verwerkt - ter beoordeling van een verzoek van betrokkene om een beslissing over hem te nemen of aan hem een prestatie te leveren - bescherming van zijn belangen voor zover het gaat om strafbare feiten die tegen hem zijn gericht Art. 22 WBP

30 «bijz. gegevens» verwerking mag ook - uitdrukkelijke toestemming - wilsuiting in woord, schrift of gedrag tot uitdrukking gebracht - gegevens door betrokkene duidelijk openbaar gemaakt - vaststelling, uitoefening of verdediging in rechte - volkenrechtelijke verplichting - zwaarwegend algemeen belang - passende waarborgen, én - bij wet bepaald of ontheffing Cbp - verwerkingen t.b.v. wetensch. onderzoek - onderzoek dient alg. belang, én - verwerking noodzakelijk, én - uitdrukkelijke toestemming onmogelijk of kost onevenredige inspanning, én - zodanige waarborgen dat privacy van betrokkene niet onevenredig wordt geschaad Art. 23

31 persoonsnummers - nummer dat ter identificatie van betrokkene bij wet is voorgeschreven - burgerservice-nummer - alléén gebruiken ter uitvoering van betreffende wet dan wel voor doeleinden bij de wet bepaald - belastingheffing enz. - besluit bsn - Stb. 2007, 443 let op! uitzonderingen o.g.v. art. 23 gelden niet! Art. 24

32 transparantie plicht vaststellen identiteit van degene die kennisnemingsverzoek doet betrokkene - kennisnemingsrecht - max. vergoeding 4,50 - verbeteringsrecht - verzetsrecht - relatief - absoluut Art. 35 Art. 39 Art. 36 Art. 40 Art. 41 verantwoordelijke - meldingsplicht - inlichtingenplicht - logica van het systeem - protocolplicht Art. 27 Art. 30 Art. 33 Art. 34 Art. 42 Art. 38

33 SWIFT

34 uitzonderingen transparantie - doelbinding - inlichtingenplicht - kennisnemingsrechten Art. 9-1, 30-3 en 33 t/m 35 jo 43 WBP niet van toepassing als dat nodig is i.v.m. - staatsveiligheid - voorkoming, opsporing en vervolging van strafbare feiten - gewichtige economische en financiële belangen van staat e.d. - bescherming van betrokkene of van rechten en vrijheden van anderen incl. verantwoordelijke

35 HR 29 juni voor kennisnemingsverzoek is géén onderbouwing nodig - opnamen van telefoongesprekken vallen onder het kennisnemingsrecht - verstrekking globale informatie onvoldoende...dat Dexia in beginsel niet op grond van haar belang om administratieve lasten te beperken het verstrekken van kopieën of transcripties van telefoongesprekken mag afwijzen. Het bezit van een groot cliëntenbestand brengt immers mee dat veel cliënten al dan niet daartoe aangemoedigd door televisie-acties een beroep op de hun toekomende rechten kunnen doen. LJN AZ4664, AZ4663 en BA3529

36 meldplicht - geheel of gedeeltelijk geautomatiseerde verwerking - Meldingsformulier College Bescherming Persoonsgegevens naam en adres verantwoordelijke doeleinden, bewaartermijn enz. - vrijstelling - privacyinbreuk is onwaarschijnlijk - Vrijstellingsbesluit

37 Meldingsformulier Verwerking persoonsgegevens Vraag 4 Wat meldt u aan? 4.1 Hoe luidt de naam of de omschrijving van de verwerking van persoonsgegevens? Vraag 5 Doel van de verwerking 5.1 Voor welk doel of voor welke samenhangende doeleinden verwerkt de verantwoordelijke persoonsgegevens?

38 openbaar meldingenregister Albert Heijn B.V. Meldingsnummer Naam verwerking Verantwoordelijke(n) Doel(en) van verwerking Betrokkene(n) Albert Heijn klanten die deelnemen aan het zelfscanningsysteem zelfscanning Naam Albert Heijn B.V. Adres provincialeweg MA Zaandam De verwerking van persoonsgegevens telkens op filiaalniveau De niet-anonieme AH Bonuskaarthouders in staat stellen de boodschappen die hij bij bepaalde AH filialen doet zelf te scannen, en vervolgens meteen af te rekenen AH in staat stellen het zelfscanning systeem op verantwoorde wijze, o.a. het controleren door middel van een steekproef naar aanleiding van gebruik van zelfscanning door de desbetreffende klant in het verleden Persoonsgegevens -omschrijving: scangegevens klant -verzameldoel: afrekenen door klant en computergestuurde steeksproefgewijze controle -Omschrijving: naw-gegevens

39