PRIVACY SIDN fonds. Menno Weij. 3 februari 2016

Transcriptie

1 PRIVACY SIDN fonds Menno Weij 3 februari 2016

2

3

4 AGENDA Privacy Privacywetgeving van toepassing Plichten voor bedrijven Rechten betrokkenen Toezichthouder Ruimte voor vragen en discussie

5 TERMINOLOGIE Belangrijkste termen Wbp Persoonsgegevens Betrokkenen Verwerken Verantwoordelijke / bewerker Autoriteit Persoonsgegevens

6 PRIVACY Welke vragen? Worden er (bijzondere) persoonsgegevens verwerkt? Wie is verantwoordelijke, en wie is bewerker? Is er een grondslag voor de verwerking? [NB: function creep!!] Is er geïnformeerd? Wat is het doeleinde van de verwerking? [NB: function creep!!]

7 PERSOONSGEGEVENS (I) Persoonsgegevens elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon NAW, kenteken, telefoonnummer, adres, BSN, IP-adres, Mac adres, Chip ID

8 Persoonsgegevens (I) Persoonsgegevens elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon NAW, kenteken, telefoonnummer, adres, BSN, IPadres, Mac adres, Chip ID

9 PERSOONSGEGEVENS (II) Let op bijzondere persoonsgegevens! Godsdienst, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging Hogere drempel voor verwerking (lees: vrijwel altijd toestemming)

10 VOORBEELDEN

11 TOEPASSINGSBEREIK Verwerking persoonsgegevens activiteiten verantwoordelijke in Nederland Gevestigd buiten de EU en niet in Nederland? Wbp van toepassing als gebruik wordt gemaakt van middelen in Nederland Aanwijzen vertegenwoordiger in Nederland

12 GRONDSLAG Voor elke verwerking is een grondslag vereist Belangrijkste grondslagen: Toestemming Uitvoering overeenkomst Gerechtvaardigd belang Bijna alles is een verwerking Anonimiseren Vernietigen

13 ONDUBBELZINNIGE TOESTEMMING Elke vrije, specifieke en geïnformeerde wilsuiting Niet mogelijk als machtsverhouding dat niet toelaat Toestemming mag niet verstopt zijn in voorwaarden

14 GERECHTVAARDIGD BELANG Afweging tussen bedrijfsbelang en privacybelang Marketingdoeleinden Treffen waarborgen Opt-out Dataminimalisatie Aggregeren / anonimiseren

15 PROBLEEM Doelbinding (function creep) Welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden Persoonsgegevens verzameld voor doel A, mogen niet voor doel B gebruikt worden Tenzij verenigbaar doel

16 INFORMATIEVERPLICHTING Voorafgaand aan verwerking Mededelen doeleinden verwerking en identiteit Privacy statement

17 RECHTEN BETROKKENEN Inzagerecht Overzicht verwerkte persoonsgegevens Binnen 4 weken Recht op aanpassen Aanpassen, verwijderen, verbeteren, afschermen Binnen 4 weken Recht van verzet Bij commercieel gebruik The right to be forgotten

18 BEWERKERSOVEREENKOMST Bewerker handelt in opdracht verantwoordelijke Wie is wie? Passende technische en organisatorische maatregelen Inzage in werking en beveiliging Separate overeenkomst Aansprakelijkheid bij doorbreking beveiliging?

19 BEVEILIGING Passende technische en organisatorische maatregelen Afhankelijk van type persoonsgegevens Richtsnoeren beveiliging van persoonsgegevens plan-do-check-act beoordeel risico s gebruik beveiligingsstandaarden evalueer

20 MELDPLICHT DATALEKKEN Plicht van verantwoordelijke om datalekken te melden bij de toezichthouder Wat is een datalek? Wat is de oorzaak van een datalek? Onvoldoende beveiliging Beleidsregels meldplicht datalekken op website toezichthouder

21 DOORGIFTE Doorgifte buiten EER niet toegestaan tenzij: Aangewezen EC Safe harbor ongeldig Modelcontracten BCR s Toestemming

22 AUTORITEIT PERSOONS- GEGEVENS ( AP ) Voorheen: College bescherming persoonsgegevens ( Cbp )

23 AUTORITEIT PERSOONS- GEGEVENS (I) Wat doet de toezichthouder? Toezicht Advisering Voorlichting, informatieverstrekking en verantwoording Internationale taken Handhaving Monitoren datalekken

24 AUTORITEIT PERSOONS- GEGEVENS (II) Sancties Bestuursdwang (last onder dwangsom) Boetes, maximale hoogte: of 10 % van de jaaromzet Publicatie besluiten

25

26 TOEKOMSTIGE WETGEVING Privacy Verordening 2017/2018? Privacy Impact Analysis No-NSA clause

27 Vragen?