60 minuten actualiteiten privacy & gegevensbescherming

Transcriptie

1 NEDERLAND ICT 14 MAART minuten actualiteiten privacy & prof. mr. Gerrit-Jan Zwenne actualiteiten privacy en Uitvoeringswet AVG eprivacy Verordening Werkgroep Art. 29 over FG s en gegevensoverdraagbaarheid en PSD2... planning, stand van zaken en discussiepunten vooralsnog alleen voor organisaties aangesloten bij de Pensioenfederatie, Verbond van Verzekeraars, de Nederlandse Vereniging van Banken alsmede voor een beperkt aantal andere organisaties... wat is het en waarover gaat het? aandachtspunten, enz. maar eerst een interessante ontwikkeling met betrekking tot veel voorkomende datalekken 1

2 een nieuwe voorzitter, een nieuw geluid... Uitvoeringswet AVG "Als wij samen naar de bibliotheek zouden gaan en er zou bij de ingang een man staan met een camera, die permanent zou meelopen. Welk boek je inkijkt, waar je naar zoekt Nou, die sla je onmiddelijk onmiddellijk in elkaar. Althans vrij snel. Nu zit de bibliotheek op internet en gebeurt hetzelfde. En niemand maakt zich er zorgen over. Vind ik raar." hoe haalbaar is beleidsneutraal? en hoe realistisch is de deadline van 25 mei 2018? discussiepunten aansprakelijkheid van verwerker optreden en organisatie van toezichthouder bijzondere gegevens big data en profiling én de bindende aanwijzing (een stokpaardje) eprivacy Regulation LIBE en ITRE gelijktijdige implementatie met GDPR (?) triloog afgerond in Q4 (..?) Art. 66(3) Wbp Het College legt geen bestuurlijke boete op [ ] dan nadat het een bindende aanwijzing heeft gegeven. discussiepunten Telcos & OTT eindgebruiker i.p.v. abonnee en M2M simpelere regels voor cookies e.d. toezicht door Ap 2

3 WP29 wordt Commité (of: EDPB) consultatie (nieuw!) verlengde reactietermijn 15 februari 2017 binnenkort nieuwe versies? FG-regels functionaris voor de of FG verplicht voor overheden regelmatige en stelselmatige observatie op grote schaal grootschalige verwerking van bijzondere gegevens hoe nog invloed uitoefenen op besluitvorming? taken: informeren en adviseren over AVG-verplichtingen toezicht houden op de naleving van die verplichtingen adviseren over DPIA s contact onderhouden met Ap samenwerken met Ap vereisten: professionele kwaliteiten en, in het bijzonder, zijn (haar) deskundigheid op het gebied van de wetgeving en praktijk inzake vermogen om zijn (haar) taken te vervullen kernactiviteiten van verantwoordelijke of verwerker aanwijzing FG moet in elk geval bij verwerking door: overheidsinstantie of orgaan partij hoofdzakelijk belast met regelmatige en stelselmatige observatie op grote schaal partij hoofdzakelijk belast met grootschalige verwerking bijzondere gegevens art. 37 AVG kernactiviteiten, géén nevenactiviteiten nevenactiviteit, bijv. HR of IT opslag gezondheidsgegevens is kernactiviteit van ziekenhuis grootschalig geen absoluut criterium - ziekenhuis of verzekeraar wel - individuele advocaat of arts niet relevant - aantal betrokkenen - datavolume - duur - geografische reikwijdte regelmatig&stelselmatig voorbeelden - video surveillance - customer scoring - loyalty programmes - tracking and/or connected devices onderscheid tussen verantwoordelijken en verwerkers 3

4 FG-verantwoordelijkheden WP29 over gegevensoverdraagbaarheid concern-fg is mogelijk mag extern worden ingekocht o.b.v. servicecontract maar mag niet mede doel en middelen bepalen Mag daarom geen senior management rol vervullen moet wel communiceren in alle talen van lokale toezichthouders en betrokken...! ontvangende verantwoordelijke bewaakt relevantie en (boven)- matigheid tools waarmee klanten gegevens over derden kunnen uitsluiten (of die derden om toestemming kunnen vragen) direct download PSD2(!) the data controller must also include the personal data that are generated by and collected from the activities of users in response to a data portability request such as raw data generated by a smart meter. this latter category of data does not include data that are exclusively generated by the data controller such as a user profile created by analysis of the raw smart metering data collected. betalingsinitiatiediensten rekeninginformatiediensten third party payment initiation service providers (PISP s) third party account information services (AISP s) 4

5 implementatiewet herziene richtlijn betaaldiensten denk aan, bijvoorbeeld internetconsultatie afgesloten 15 december 2016 Implementatie uiterlijk 13 januari 2018(!) richtlijn 2015/2366 van 25 november 2015 dashboards cash management geïntegreerde boekhoudpakketten innovatieve loyaltyprogramma s credit management g.j.zwenne@law.leidenuniv.nl gerrit-jan.zwenne@brinkhof.com HEEFT U EEN STAGEPLAATS VOOR EEN BUITENLANDSE ADVANCED MASTER RECHTENSTUDENT UIT LEIDEN...? 5