EU Data Protection Wetgeving

Transcriptie

1 Fundamentals of data protection EU Data Protection Wetgeving Prof. Paul de Hert Vrije Universiteit Brussel (LSTS) 1

2 Outline -overzicht -drie fundamenten -recente uitspraak Hof van Justitie

3 Recht op data protectie 1 Eenieder heeft recht op bescherming van zijn persoonsgegevens. 2 Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht van inzage in de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet erop toe dat deze regels worden nageleefd. = Artikel 8 EU Handvest Fundamentele rechten

4 data protection principes Data protection principes: raamwerk voor het beheer en bescherming van persoonsgegevens Open vraag: werkt dit nog in context van big data? 4

5 Wat is er allemaal nieuw? 1 General Data Protection Regulation 679/2016 Reform started in 2012 (EC public consultation in 2010) 679/2016, adopted in 2016 applicable from May 2018 onwards Replaces the Dir 95/46/EC. 99 articles, 173 Recitals Aim to modernise the legal framework the fundamental right to protection of personal data 2 Directive 680/2016 (voor policy) 3/ Reform of legislation on protection of privacy for electronic communications (2017 Commission proposal for an eprivacy Regulation)

6 GDPR bevat allerlei nieuwe en oude ideeën Codes of conduct (e.g. in specific sectors cloud computing industry, marketing, or other) Certification & Standardisation Data Protection Impact assessments Right to be forgotten Data protection officers accountability Doel : help organisations comply with the legislation, offer transparency in relation to practices of organisations

7 Impact op (bijvoorbeeld) veiligheidsindustrie Security manufacturers and organisations that employ security measures that collect, process, use, store, personal data (e.g. images of persons) need to comply with the legislation. Example: surveillance cameras: Manufacturers need to implement measures to facilitate compliance with the legislation. Such as: data protection by design and data protection by default. Example: a CCTV system is designed to erase data automatically or a drone used to blur the image of persons (e.g. children) Organisations that employ security measures: most of the times are data controllers. They need therefore to comply with the legal obligations stemming from the data protection legislation.

8 Fundament 1: het gaat over persoonsgegevens GDPR, Recital 26: To determine whether a natural person is identifiable, account should be taken of all the means reasonably likely to be used, such as singling out, either by the controller or by another person to identify the natural person directly or indirectly. To ascertain whether means are reasonably likely to be used to identify the natural person, account should be taken of all objective factors, such as the costs of and the amount of time required for identification, taking into consideration the available technology at the time of the processing and technological developments. 8

9 Fundament 2: doelbinding GDPR, Article 6.4: the controller shall, in order to ascertain whether processing for another purpose is compatible with the purpose for which the personal data are initially collected, take into account, inter alia: (a)any link between the purposes for which the personal data have been collected and the purposes of the intended further processing; (b)the context in which the personal data have been collected, in particular regarding the relationship between data subjects and the controller; (c)the nature of the personal data, in particular whether special categories of personal data are processed, pursuant to Article 9, or whether personal data related to criminal convictions and offences are processed, pursuant to Article 10; (d)the possible consequences of the intended further processing for data subjects; (e)the existence of appropriate safeguards, which may include encryption or pseudonymisation. 9

10 Fundament 3: artikel 6 rechtmatigheidsgronden a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden; b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vo o r de sluiting van een overeenkomst maatregelen te nemen; c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust; d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen; e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen; f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

11 Hof van Justitie Case C-582/14: Patrick Breyer v Duitsland). 19 Oktober dynamic IP addressen kunnen persoonsgegevens zijn maar niet altijd (no objective approach)

12 vervolg -flexibele interpretatie van Artikel 6(f) the legitimate interests : ip adressen kunnen verzameld worden zonder toestemming of wet en dit voor cybersecuritydoeleinden

13 Het goede nieuws (slot) EU is betrouwbare regelgever Hof van Justitie werkt hard WP29 geeft broodnodige guidance documenten Privacycommissie in eigen land volgt op Dank!