Algemene verordening gegevensbescherming. Limburg, 17 mei 2018 Yvonne van Zijl BNL regio zuid

Transcriptie

1 Algemene verordening gegevensbescherming Limburg, 17 mei 2018 Yvonne van Zijl BNL regio zuid 1

2 Programma Inleiding De AVG op hoofdlijnen Waar het uw organisatie raakt Wat u kunt verwachten Wat zien we in de praktijk Omgaan met de AVG Wat biedt BNL u Vragen 2

3 Aanleiding AVG samengevat Persoonsgegevens worden gecombineerd, gekoppeld en verhandeld omdat ze geld waard zijn Je staat als persoon in ten minste 250 databases met je persoonsgegevens geregistreerd De hoeveelheid persoonsgegevens die bedrijven van ons hebben, verdubbelt om de drie jaar We verzamelen (onbewust) meer persoonsgegevens dan we nodig hebben Het risico op misbruik neemt daardoor toe 3

4 Wat is de AVG? Nieuwe EU privacywetgeving aangaande persoonsgegevens Vervangt de Wbp en gaat in per 25 mei 2018 Stelt strengere eisen aan Verwerking Rechtmatigheid Bewaartermijnen Transparantie Een persoonsgegeven is elk gegeven dat leidt naar een identificeerbare natuurlijke persoon Er zijn ook nog bijzondere, en gevoelige persoonsgegevens, waar extra strenge regels voor gelden. Gegevens waaruit blijkt: Ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, gegevens over gezondheid, biometrische gegevens met het oog op unieke identificatie van een persoon en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid 4

5 Wat regelt de AVG? Verwerking van persoonsgegevens is: Rechtmatig (in overeenstemming geldige wet en regelgeving) Eerlijk Transparant Doelbinding (persoonsgegevens worden alleen voor bepaalde, duidelijk omschreven en gerechtvaardigde doelen verzameld en verwerkt) Dataminimalisatie (verzameling en verwerking moet beperkt blijven tot wat minimaal nodig is voor de doeleinden waarvoor zij worden verwerkt) Juist Opslagbeperking (het opslaan en de duur van de opslag van persoonsgegevens moet tot een minimum worden beperkt) Integriteit en vertrouwelijkheid (beveiliging) Verantwoordingsplicht (verwerkingsverantwoordelijke, die ervoor zorgt en kan aantonen dat verwerking voldoet aan de bepalingen van de verordening) 5

6 Globale verschillen AVG met Wbp Organisaties die persoonsgegevens verwerken krijgen meer verplichtingen. Er wordt meer nadruk gelegd op de verantwoordelijkheid van organisaties zelf om te kunnen aantonen dat zij zich aan de wet houden (accountability) en betrokkenen krijgen meer rechten. 6

7 Handhaving Autoriteit Persoonsgegevens (AP) wordt groter Maximale boete 20 miljoen of 4% wereldwijde jaaromzet; eerst aanwijzing Documentatie- en verantwoordingsplicht is belangrijkste wijziging: Iedere organisatie moet kunnen aantonen dat zij persoonsgegevens verwerken in overeenstemming met de geldende privacyregels (aan de hand van documentatie). 7

8 AVG: wat betekent de invoering voor wg ers Strengere privacyregels om misbruik te voorkomen Stevige to-do-list voor organisaties: Beleid formuleren, documenteren en onderbouwen over verwerking van persoonsgegevens volgens de basisbeginselen van de AVG Registers bijhouden van verwerking van persoonsgegevens > waarschijnlijk bij > 250 medewerkers, op grond van uitspraak hoofd AP Procedure voor datalekken vaststellen Betrokkenen informeren en vragen om toestemming Afspraken maken met opdrachtgevers, leveranciers en onderaannemers over (medeverantwoordelijkheid voor) gegevensverwerking en privacy. Afhankelijk van de omvang van de verwerking van persoonsgegevens en de bijbehorende risico s ook: Een gegevenseffectbeoordeling uitvoeren Een functionaris gegevensbescherming aanstellen

9 Basisbeginselen en grondslag en AVG Basisbeginselen: 1. Rechtmatig, behoorlijk en transparant 2. Gebonden aan specifieke verzameldoelen (doelbinding) 3. Toereikend, ter zake dienend een beperkt tot het noodzakelijke (minimale gegevensverwerking!) 4. Juistheid 5. Niet langer bewaren dan nodig (opslagbeperking) 6. Goed beveiligd en vertrouwelijk blijven 7. Verantwoordingsplicht Grondslagen: 1. de betrokkene heeft toestemming gegeven 2. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst 3. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting 4. de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen 5. verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag 6. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

10 Grondslagen De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting Bijvoorbeeld fiscale regelgeving Op dit punt heeft u een informatieplicht (die u registreert) De verwerking is noodzakelijk voor de uitvoering van een overeenkomst WKA Arbeidsovereenkomst (salaris) Op dit punt heeft u een informatieplicht (die u registreert) De betrokkene heeft toestemming gegeven Kan, maar dan moet de toestemming vastgelegd worden Mag/kan er nee gezegd worden? Wat als betrokkene toestemming intrekt? 10

11 Wat te doen in uw organisatie Stel projectteam samen met medewerkers die te maken krijgen met gevolgen van de AVG HRM, ICT, (salaris)administratie, projectleiders, uitvoerders Breng in kaart welke persoonsgegevens worden verwerkt en hoe de bijbehorende processen verlopen. Documenteer en onderbouw! Medewerkers: naam, adres, woonplaats, bsn, geboortedatum, nationaliteit, burgerlijke staat, , telefoonnummers, bankrekeningnummer, kopie id-bewijs, diploma s en certificaten, vergunningen (tewerk/verblijfs), functie, salaris, pensioen, ziek- en hersteldmeldingen, loonbeslagen, gegevens van partners/gezins-/familieleden Bewonersgegevens, medewerkers onderaannemers, zzp ers, uitzendkrachten Geen grondslag/reden om te verzamelen niet doen Leg deze naast de rechten van betrokkenen volgens de AVG (zie verderop)

12 Wat te doen in uw organisatie (2) Zoek uit of er een gegevenseffectbeoordeling uitgevoerd moet worden onder meer bij hoog risico bij gegevensverwerking, profilering, op grote schaal bijzondere persoonsgegevens verwerken, monitoring in publiek gebied zoals cameratoezicht Alvast wennen aan Privacy by design & privacy by default: alvast bij het ontwerp van producten en diensten beschermen van persoonsgegevens inbouwen en alleen die gegevens verzamelen die nodig zijn om het gewenste doel te bereiken Functionaris gegevensbescherming Procedure datalekken Afspraken met verwerkers zoals arbodienst, verzekeraar, loonverwerker

13 Rechten van betrokkenen Recht op inzage, en eventueel het recht op afgifte van een kopie van de gegevens die bewaard worden Recht op rectificatie Recht op informatie over de wijziging van de gegevens Recht op verwijdering en het recht om vergeten te worden (geen absoluut recht, er moet een gerechtvaardigd belang zijn) Recht op beperking bijvoorbeeld bij vermoeden dat de gegevensverwerking onrechtmatig is Recht van verzet Recht op overdraagbaarheid van de gegevens Recht om niet onderworpen te worden aan geautomatiseerde individuele besluitvorming zoals profilering Recht om bij toezichthouder of rechter zelf zaken aanhangig te maken Documenteren en onderbouwen: wat gebeurt er met hun gegevens en waarom, welke risico s hun gegevens lopen en hoe die zijn gewaarborgd, hoe kunnen zij hun rechten uitoefenen.

14 Wanneer en hoe medewerkers informeren Over op te stellen beleid gegevensbescherming Wat er met hun persoonsgegevens gebeurt Waar informeren en waar toestemming nodig? Welke rechten zij hebben en hoe zij deze in uw organisatie kunnen uitoefenen

15 Waar raakt het uw organisatie? WKA 15

16 Wat kunt u verwachten? Contracten van klanten/opdrachtgevers Meestal bestempelen zij u als verwerker Is niet altijd zo Kijk samen om welke persoonsgegevens het werkelijk gaat U mag een redelijke opstelling verwachten/vragen Leveranciers/bouwpartners/etc. Met contractvoorstellen/aanpassingen op hun initiatief Contractvoorstellen/aanpassingen op uw initiatief Advies: wees feitelijk en redelijk Persoonlijke vragen van Uw eigen collega s Medewerkers van klanten/leveranciers Relaties 16

17 Wat kunt u verwachten (2) Bij overtreding AVG Aanwijzing van toezichthouder autoriteit persoonsgegevens (AP) Waarschuwing AP Boete AP van maximaal miljoen of 2-4% van wereldwijde jaaromzet Betrokkenen die zelf naar AP of rechter gaan om hun privacyrechten te laten gelden 17

18 Wat zien we in de praktijk Wat komt u tegen? Wat ziet BNL? Soms gaat het erg ver Vaak is er geen goed/volledig overzicht van de persoonsgegevens en processen waar het om gaat Theorie vs praktijk Wat als de opdrachtgever teveel vraagt? Verwerker of niet? Verschil van inzicht over wat er nu wel/niet geregistreerd moet worden 18

19 Enkele voorbeelden Een toegangssysteem voor de bouwplaats vraagt naast naam, privéadres, etc. ook om PBM s (helm en schoenen) Wat mag wel/niet? Hoe kom je er achter? Uw bedrijf heeft een camera op de bouwplaats Wat mag wel/niet? Wat moet u doen? Een woningcorporatie werkt samen met een aannemer/installateur om onderhoud te verrichten bij huurders Wie is verantwoordelijke en wie verwerker? Wat moet u organiseren? Zie o.a. hoofdstuk 5 van handleiding AVG en uitvoeringswet AVG van min J&V 19

20 Hoe bepalen verwerker of niet 20

21 Wat zien we nog meer Relatief veel vragen rondom toegangssystemen voor de bouwplaats Softwaresystemen moeten nog verder aangepast worden Onrealistische eisen zoals een cyberverzekering Van fijn naar grof ipv grof naar fijn De AVG zet veel organisaties weer op scherp wat betreft persoonsgegevens, privacy, etc. 21

22 Ondersteuning BNL Informatie op website en in nieuwsbrief Voorlichting Handleidingen Presentaties Webinar Advies Cursus Ledenvoordeelpartners 22

23 Cursus Open inschrijvingen Bij uw bedrijf incompany 23

24 Cursusdata open inschrijving Check voor informatie en cursusdata: 24

25 Hands on hulp Uw voordeel 15% korting op de door Adviseurs 3.0 gehanteerde vaste prijzen. 25

26 Vragen? 26

27 De veranderingen op een rijtje 1. Het begrip persoonsgegevens verandert (bijvoorbeeld ook IP-adressen en cookies) 2. Privacyverklaring moet (nog) transparant(er) (in eenvoudige taal) 3. Alle datalekken moeten gedocumenteerd worden (ook die niet gemeld moeten worden) 4. Alle verwerkingen van persoonlijke gegevens moeten gedocumenteerd worden (ook personeelsadministratie) 5. Afspraken maken met alle leveranciers (bv arbodienst) over de omgang met persoonsgegevens 6. Boetes worden hoger 7. Uw organisatie heeft mogelijk een functionaris gegevensbescherming (FG) nodig 8. Indien risico s aan verwerking persoonsgegevens DPIA 9. Uw organisatie heeft de plicht zo min mogelijk privacy gevoelige informatie te verzamelen 10. Uw software (en diensten) moeten rekening houden met privacy 11. Uw beveiliging moet op orde zijn 12. Er wordt een privacybeleid van uw organisatie verwacht 13. Betrokkenen, de personen om wie het gaat, hebben inzagerecht 14. Online diensten? Dan hebben betrokkenen het recht hun informatie te downloaden en exporteren 15. Maakt uw organisatie interesseprofielen? Dan moet uw organisatie kunnen uitleggen wat daarmee gebeurd 16. Maakt uw organisatie gebruik van biometrie, bijvoorbeeld bij toegangsbeveiliging? Deze gegevens moeten beter beschermd worden 27

28 Wat te doen? Maak iemand / een groep binnen uw bedrijf hiervoor verantwoordelijk Inventariseer welke persoonsgegevens uw organisatie gebruikt Processen ICT systemen / applicaties Heeft uw organisatie al deze gegevens nodig (grondslag?) Stel bewaartermijnen vast Verwijder persoonsgegevens die niet meer nodig zijn Regel de rechten van betrokkenen (contactpersoon op website) Bepaal of een Privacy Impact Analyse (PIA) nodig is voor een of meerdere processen / systemen Bepaal of een Functionaris Gegevensbescherming (FG) nodig is Controleer of uw organisatie een procedure heeft om datalekken te melden Maak afspraken Intern (medewerkers, HR, etc.) Met leveranciers (vooral IT leveranciers privacy by design) Met betrokkenen (klanten) Controleer of overeenkomsten moeten worden aangepast Vraag voortaan toestemming aan betrokkenen Bescherm persoonsgegevens (cyber security op orde, inventariseer risico s periodiek, voer acties uit en evalueer ze) 28