De AVG en de gevolgen voor de uitvoeringspraktijk

Transcriptie

1 De AVG en de gevolgen voor de uitvoeringspraktijk mr. J.K. (Jennifer) Lanser Van den Bosch & Partners 9 oktober 2018

2 Per 25 mei 2018 de AVG Algemene verordening gegevensbescherming General Data Protection Regulation (GDPR) Wbp geldt niet meer Boetes van max 10 of 20 miljoen Belastingplichtigen/schuldigen krijgen meer rechten

3 Onderwerpen Wat is de AVG/GDPR en waarom? Persoonsgegevens en verwerking Verantwoordelijke versus verwerker Eenmalig inwinnen / meervoudig gebruik versus doelbinding Rechten van data-subjecten

4 Wat is het doel van de AVG/GDPR? Vanaf nu gebruiken we de AVG Door de algemene verordening gegevensbescherming (AVG) krijgen data-subjecten meer mogelijkheden om voor zichzelf op te komen bij de verwerking van hun gegevens. Hun privacyrechten worden namelijk versterkt en uitgebreid. 1 Europese norm (afwijken mag positief) Transparantie vergroten

5 Nut van de wetgeving? Organisaties worden privacy-bewuster Betrokkenen verkrijgen meer rechten Regie in eigen handen

6 Wat zijn persoonsgegevens? Artikel 4 AVG Persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbaar natuurlijk persoon (de betrokkene / data-subject). Als identificeerbaar wordt beschouwd: een natuurlijk persoon die direct of indirect kan worden geïdentificeerd.

7 Wat zijn persoonsgegevens? Bijvoorbeeld: NAW-gegevens IBAN adres BSN-nummer Telefoonnummer Foto

8 Wanneer verwerk je gegevens? Voorbeelden van gegevensverwerkingen zijn: Opslag Inzage Muteren Anonimiseren Pseudonimiseren Verwijderen

9 Rechtmatigheid van verwerking Noodzakelijk voor uitvoering overeenkomst Voldoen aan een wettelijke verplichting Vervulling taak van algemeen belang Vervulling van openbaar gezag Vitale belangen beschermen Toestemming (vluchtstrook)

10 Bijzondere persoonsgegevens Art 9. Verwerking van bijzondere persoonsgegevens zijn verboden. Tenzij: er toestemming is verleend er een wettelijke grondslag is het van vitaal belang is Voorbeelden bijzondere gegevens: Ras / etnische afkomst / politieke opvattingen Religieuze of levensbeschouwelijke overtuigingen Lidmaatschap van een vakbond / biometrische gegevens Gegevens over gezondheid / seksueel gedrag / seksuele gerichtheid.

11 Privacy by Design en Default Meest privacy-vriendelijke instellingen Data-minimalisatie Welke data heb je echt nodig? o need-to-have or nice-to-have Wanneer zijn de logische momenten?

12 Rol van de DPO/FG? Het informeren en adviseren over verplichtingen (AVG) Toezien op naleving van de verordening Adviseren over de gegevensbeschermingseffectbeoordeling (DPIA) Samenwerken met de Autoriteit Persoonsgegevens Optreden als privacy -contactpunt Toezien op uitvoering beleid (interne audit) Aanmelden > 3 april 2018

13 Autoriteit Persoonsgegevens Toezichthoudend orgaan Onderzoeken uitvoeren Adviseren over nieuwe wet- en regelgeving Registreren van FG per bedrijf: o

14 Nieuwe plichten Verantwoordingsplicht Functionaris gegevensbescherming aanstellen (en aanmelden bij de AP) Privacybeleid opstellen (privacyverklaring website) DPIA uitvoeren op gegevensverwerkingen Register van verwerkingen (beheerd door FG) Register van datalekken Verwerkersovereenkomsten

15 Verantwoordelijke vs verwerker De gegevensverantwoordelijke treft passende technische en organisatorische maatregelen om te kunnen waarborgen en aantonen dat de verwerking in overeenstemming met de AVG wordt uitgevoerd. De verwerker voert in opdracht van de verantwoordelijke de verwerking uit. De verantwoordelijke moet toezien op het feit dat de verwerker passende technische en organisatorische maatregelen heeft getroffen. Het sluiten van een verwerkersovereenkomst Controle op bijvoorbeeld ISO-normeringen (ISO27001)

16 Mogelijke externe organisaties Inlichtingenbureau Taxatiebureau Juridisch adviesbureau Incassobureau Klant Contact Center Wat weet u over de verwerkers en haar organisatie? Heeft u al een verwerkersovereenkomst afgesloten?

17 Eenmalig inwinnen vs meervoudig gebruik Eenmalig inwinnen en meervoudig gebruik Deel zoveel mogelijk data binnen de organisatie Maar, kan dit? - Doelbinding - Rechtmatigheid - Toestemming?

18 Nieuwe / aangescherpte rechten Recht op inzage Recht op rectificatie en aanvulling Recht op beperking van de verwerking Recht met betrekking tot geautomatiseerde besluitvorming en profilering Recht om bezwaar te maken tegen de gegevensverwerking (Awb-conform) Recht op duidelijke informatie Recht op data-portabiliteit Recht op vergetelheid / wissing

19 Let op: er is nog een geheimhoudingsplicht Art. 67 AWR en Inv. Geldt ook voor rechtspersonen Geldt ook voor zaken Ontheffing nodig bij het delen van gegevens. o Art. 67, tweede lid, onder b AWR o Art. 43c Uitvoeringsregeling AWR