Big Data en privacy. Seminar FOCUM 25 september Fruytier Lawyers in Business

Transcriptie

1 Big Data en privacy Seminar FOCUM 25 september 2014

2 mr. Marten van Hasselt mr. Vincent Rutgers 2

3 Big data 3

4 Wat is Big data eigenlijk? Dan Ariely (januari 2013 / Facebook): Big data is like teenage sex: everyone talks about it, nobody really knows how to do it, everyone thinks everyone else is doing it, so everyone claims they are doing it... 4

5 Data is overal - De hoeveelheid data groeit wereldwijd met 50% per jaar. - 90% van alle data is in de laatste 2 jaar gegenereerd. - De meeste data is afkomstig van consumenten door middel van Internet gerelateerde toepassingen. - Als gevolg van Internet of Things (voorzien van objecten en mensen met sensoren in draadloze netwerkomgevingen) zal de hoeveelheid data nog verder en sneller toenemen! * Bron: International Working Group on Data Protection in Telecommunications / publicatie cbpweb.nl op 3 september

6 Big Data en Internet of Things 6

7 Is Big data altijd privacygevoelig? By modeling weather events, the Netherlands can determine the best course of action including storing water, diverting from low-lying areas, avoiding saltwater intrusion, sewage overflow and contamination. With better integrated information, water authorities can prevent disasters and environmental degradation, while reducing the cost of managing water by up to 15 per cent. 7

8 Big data in de commerciële praktijk Producenten van consumentengoederen en retailers: monitoren van sociale media om een zicht te krijgen op het gedrag, de voorkeuren en beleving van klanten. Financiële diensten organisaties: gegevens uit interacties met klanten gebruiken voor betere afstemming producten en diensten. Reclame- en marketingbureaus: bijhouden van sociale media om de response van campagnes en promotieacties te monitoren. Werkgevers en recruiters: gedrag en activiteiten van (potentiële) werknemers achterhalen. Verzekeringsmaatschappijen: analyseren welke aanvragen direct verwerkt kunnen worden en welke een validatie dienen te krijgen door een bezoek van een agent. Ziekenhuizen: analyseren van medische gegevens en patiëntendossiers om te besparen op de zorg. De overheid: opsporingsdiensten (politie / justitie), Belastingdienst (innen van belasting), verkeer en infrastructuur (mobiliteit en parkeren) etc. 8

9 Hoe zit het eigenlijk met Big data en privacy 9

10 Big Data en big issues FD.nl / verslag big data ontbijtsessie juni 2014 Wij zijn al heel lang bezig met big data, biechtte een ex-bankier op. We kunnen bijvoorbeeld aan de hand van betaalgedrag voor 75% zekerheid voorspellen hoe snel iemand gaat scheiden. Supermarktketen Target analyseert aankoopgedrag en biedt tiener babyproducten aan I had a talk with my daughter, he said. It turns out there s been some activities in my house I haven t been completely aware of. She s due in August. I owe you an apology. (Forbes / februari 2012) 10

11 Mindmap van Kylia Hamlin Personally Indentifiable Information Bron: Sogeti Vint rapport

12 Wat merken wij er ongemerkt van? Handig bij het shoppen, surfen, kortingen, spaaracties, aanbiedingen op maat 12

13 Handig, toch..? 13

14 Minder leuk. 14

15 Toenemende argwaan Misbruik! 15

16 Plannen ING Ophef rond plannen ING om klantdata voor andere doeleinden te gaan gebruiken 16

17 Privacy is hot! 17

18 Het grondrecht op eerbiediging van de persoonlijke levenssfeer Grondwet artikel Ieder heeft, behoudens bij of krachtens de wet te stellen beperkingen, recht op eerbiediging van zijn persoonlijke levenssfeer. 2. De wet stelt regels ter bescherming van de persoonlijke levenssfeer in verband met het vastleggen en verstrekken van persoonsgegevens. 3. De wet stelt regels inzake de aanspraken van personen op kennisneming van over hen vastgelegde gegevens en van het gebruik dat daarvan wordt gemaakt, alsmede op verbetering van zodanige gegevens. 18

19 Wet- en regelgeving Wet- en regelgeving o.a.: Internationale verdragen (EVRM, IVBPR) Europese wetgeving (privacy richtlijn 95/46/EC) Grondwet (artikel 10) Wet bescherming persoonsgegevens + publicaties CBP Telecommunicatiewet (cookies, spam e.d.) Algemene Wet inzake Rijksbelasting (AWR) Wetboek van Strafrecht (div opsporing) Burgerlijk Wetboek (BW) Zelfregulering 19

20 Privacybescherming en Wbp Wet bescherming persoonsgegevens (Wbp) Persoonsgegevens zijn gegevens die direct of indirect informatie over een bepaald persoon geven, waardoor de betreffende persoon te identificeren is. Grondslag vereist voor verwerking Persoonsgegevens mogen alleen worden verwerkt als daarvoor een wettelijke grondslag is en/of toestemming is verkregen van de betrokkene. 20

21 Wet bescherming persoonsgegevens schrijft voor dat: 1. gegevens op behoorlijke en zorgvuldige wijze worden verwerkt (art. 6); 2. alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld (art. 7); 3. Limitatief o.a. verwerking van de gegevens noodzakelijk is voor het behartigen van een gerechtvaardigd belang, of dat de betrokkene hiervoor ondubbelzinnige toestemming heeft verleend (art. 8); 4. Gebruik en hergebruik altijd conform het oorspronkelijk verkrijgingsdoel moeten zijn(art. 9) en gegevens niet langer mogen worden bewaard dan noodzakelijk (art. 10); 5. de gegevens toereikend, relevant en niet bovenmatig zijn (art. 11.1) en tevens juist en nauwkeurig (art 11.2); 6. passende technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking (art. 13); 7. Indien gegevens worden verwerkt door een bewerker, moet er een (schriftelijk) overeenkomst zijn (art. 14); 8. voordat deze worden verzameld en verwerkt, hiervan melding wordt gedaan bij het College Bescherming Persoonsgegevens (CBP) (art. 27) tenzij sprake is van vrijstelling daarvan (art. 43 Vrijstellingsbesluit); 9. voordat deze worden verzameld en verwerkt, betrokkenen hiervan op de hoogte worden gesteld (artt. 33 en 34) met daaraan gekoppeld het recht op inzage (art. 35); 10. en het recht op aanvulling, verbetering, verwijdering en afscherming indien deze feitelijk onjuist zijn of voor het doel van de verwerking onvolledig of niet ter zake dienend zijn (art. 36); 21

22 Wat zijn persoonsgegevens volgens de wet? Persoonsgegevens: Artikel 1 Wbp / persoonsgegevens elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon Niet alleen naam, adres, geboortedatum en BSN nummer maar ook een telefoonnummer, een IP adres, foto, adres, kenteken, vingerafdruk etcetera zijn gegevens die naar een persoon kunnen leiden. Voor gewone persoonsgegevens geldt: nee, tenzij Artikel 16 Wbp / Bijzondere persoonsgegevens: De verwerking van persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging is verboden tenzij.. Voor bijzondere persoonsgegevens geldt verboden, tenzij 22

23 Op wie is de Wbp van toepassing? 1) De betrokkene: degene(n) van wie gegevens worden verwerkt, zolang het gaat en natuurlijk persoon 2) Verantwoordelijke: degene die het doel van de verwerking van persoonsgegevens bepaalt en beslist over de middelen die worden gebruikt. 3) Bewerker: een partij in opdracht van de verantwoordelijke persoonsgegevens verwerkt zonder zelf te beslissen over het doel of de middelen en 4) De handhavende instantie(s): College bescherming persoonsgegevens Opta, rechtelijke macht e.d. 23

24 Wanneer is sprake van verwerking? Regels met betrekking tot het verzamelen en verwerken van persoonsgegevens Verwerken = alle mogelijke vormen! Verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens Dus ook verstrekken van gegevens aan derden! 24

25 Voor welk doel is verwerking nodig? Verwerking moet een doel hebben! Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld. Welbepaald en uitdrukkelijk omschreven 'Welbepaald en uitdrukkelijk omschreven' houdt in dat men geen gegevens mag verzamelen zonder een precieze doelomschrijving. - Dat doel moet zijn bepaald voordat men tot verzamelen overgaat. - Welbepaald' houdt in dat deze doelomschrijving duidelijk moet zijn. 25

26 Wanneer is sprake van rechtmatige verwerking? Verwerking moet rechtmatig zijn: Artikel 8 bevat een limitatieve opsomming van de gronden die gegevensverwerking rechtvaardigen. Partijen mogen persoonsgegevens verwerken voor communicatie - en marketingdoeleinden indien: of a) de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend (bijvoorbeeld een optin) f) de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert. * Belangenafweging tussen noodzakelijkheid/gerechtvaardigd belang vs. privacy (impact). * Het hebben als hoofdactiviteit het verwerken van gegevens, zonder nadere precisering van het doel waarvoor wordt verwerkt is geen gerechtvaardigd belang! *Een handelsinformatiebureau dat gegevens verwerkt om derden - al dan niet tegen betaling - te informeren over de kredietwaardigheid van derden, heeft wel een toereikende doelstelling. 26

27 Mag een bedrijf of organisatie gebruikmaken van profilering? Cbp: Ja, dat mag, maar het bedrijf of de organisatie moet zich daarbij wel aan de privacywetgeving houden. Voor het bedrijfsleven en de overheid gelden niet altijd dezelfde privacyregels. De belangrijkste privacyverplichtingen voor bedrijven en organisaties: toestemming vragen voor het verzamelen van (persoons)gegevens via cookies of andere technieken op internet en het verdere gebruik daarvan voor profilering; van tevoren duidelijke en begrijpelijke doelen aangeven waarvoor de verschillende soorten gegevens worden gebruikt; zorgen voor een leesbare, begrijpelijke en toegankelijke privacyverklaring met informatie over de doelen, de verschillende soorten gegevens, de bewaartermijnen en de rekenformules die ten grondslag liggen aan het toekennen en toepassen van een profiel; de mogelijkheid geven gegevens in te zien, te laten corrigeren of verwijderen, verzet aan te tekenen tegen het gebruik van gegevens of toestemming voor het gebruik van uw gegevens in te trekken; beslissingen over kredietwaardigheid, betrouwbaarheid of gedrag op basis van een profiel in principe laten nemen door een persoon; geautomatiseerde systemen kunnen als hulpmiddel worden gebruikt maar eindverantwoordelijk (overruling) bij een persoon. 27

28 Uitdagingen bij Big Data Van wie is de data en wie is verantwoordelijk? Comptabiliteit: stemmen doeleinden verzamelen en gebruik met elkaar overeen? Doeleinden zijn mogelijk niet altijd vooraf duidelijk. Is toestemming wel gegeven voor de achteraf bepaalde doeleinden? Toestemming achteraf mogelijk? Risico s meer data verzamelen dan (in eerste instantie) nodig? Big data = data maximalisatie. In hoeverre voldoe je aan de informatie- en bewaarverplichting? Oplossingen: bijvoorbeeld anonimiseren? Privacy by design?

29 Is anonimiseren dé oplossing? CBP richtsnoeren: beveiliging van persoonsgegevens privacy enhancing technologies (pet) is de verzamelnaam voor een aantal technieken die de verantwoordelijke kan toepassen om bij het verwerken van persoonsgegevens de risico s voor de betrokkenen te beperken. De zwaarste vorm van pet is het anonimiseren van de verwerkte persoonsgegevens. Van anonimisering is sprake als de gegevens op geen enkele manier meer tot de betrokkene te herleiden zijn. Er is dan geen sprake meer van persoonsgegevens dus is de Wbp is niet meer van toepassing op de gegevens. Maar is het zo eenvoudig? Praktisch bezwaren: wanneer en door wie anonimiseren? Hoe zit het garanties, de verplichte bewaarplicht (7 jaar fiscale bewaarplicht) en identificatieplicht? Kans blijft aanwezig dat anonieme bestanden worden gekoppeld aan andere gegevens waardoor alsnog (her)identificatie kan plaatsvinden. 29

30 Is Privacy by Design dé oplossing? Cbp: Privacy by Design gaat uit van het principe dat er in een vroeg stadium nagedacht wordt over het goede gebruik van persoonsgegevens binnen een organisatie, de noodzaak van het gebruik van deze gegevens en de bescherming ervan. Door al bij het ontwikkelen van systemen privacy en bescherming van persoonsgegevens in te bouwen is de kans op het succes ervan het grootst. 7 principes van Privacy by design 1. Respecteer de privacy van de burger, deze staat centraal. 2. Pro-actief en preventief, niet reactief en repressief. 3. Privacy geïntegreerd in het ontwerp. 4. Bescherming van privacy als standaard-instelling. 5. Volledige functionaliteit: win-win in plaats van win-verlies. 6. Volledige veiligheid: gedurende de hele levenscyclus. 7. Zichtbaarheid en transparantie: hou het open en helder. 30

31 Do s and dont s 1. Ga doelbewust te werk en neem privacy heel serieus! (Veel negatieve publiciteit) 2. Beschouw alle klantgegevens als persoonsgevens in de zin van de Wbp 3. Benut anonimisering als dat kan maar wees bedacht op de risico s van (her)identificatie 4. Zorg voor uitdrukkelijke toestemming op de voorgeschreven wijze 5. Verzamel niet meer dan noodzakelijk en bewaar gegevens niet langer dan nodig 6. Houd altijd in de gaten of het doel voor verzameling nog klopt (legitieme redenen) 7. Wees helder(der) en transparant(er) richting de klant over gebruik van gegevens 8. Accountability (zorgvuldig, verantwoordelijk en ethische afweging/beslissing) en gedocumenteerd (paper trail) 9. De meer impact de meer aandacht voor relevante waarborgen 10. Privacy by Design En. 31

32 Do s and dont s: BIG DATA NEEDS BIG GUIDANCE 11. Volg (juridische) ontwikkelingen op de voet en wees voorbereid op veranderingen. Laat je goed adviseren 12. Kijk naar opties om klanten te overtuigen van het voordeel (win-win) dat zij hebben bij verwerking! 32

33 Is privacy echt zo belangrijk? Ja! Rapport Ruigrok Net Panel / april

34 Privacy at stake Bron: 34

35 Vragen? 35

36 Dank voor uw aandacht! Keizersgracht GD Amsterdam The Netherlands P. +31 (0) F. +31 (0) E. en 36