Hoe omgaan met verwerkers?

Transcriptie

1 Hoe omgaan met s? Johan Vandendriessche Partner Crosslaw Gastprofessor ICT-recht UGent HoWest Het begrip Verwerker een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerken Handhaving van definitie van Richtlijn 1995/46/EG Interpretatie Artikel 29 Werkgroep blijft relevant Overheidsinstanties kunnen zijn Uitdrukkelijke vermelding in definitie 1

2 Toepassing van de AVG Fundamentele wijziging in AVG t.o.v. Richtlijn 1995/46/EG Toepassing wordt radicaal gewijzigd Inhoudelijk eerder een evolutie Toepassingsgebied uitgebreid naar s Gevolg Materieel toepassingsgebied Territoriaal toepassingsgebied Rechtstreekse wettelijke verplichtingen in hoofde van de Rechtstreekse toepassing van het aansprakelijkheidsregime op s Toepassingsgebied Territoriaal toepassingsgebied indien vestiging in EU de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een in de Unie ongeacht of de verwerking in de Unie al dan niet plaatsvindt Territoriaal toepassingsgebied indien vestiging buiten EU de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden door een niet in de Unie gevestigde wanneer de verwerking verband houdt met: het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt. 2

3 Verplichtingen van de Schriftelijke aanstelling van een vertegenwoordiger indien niet gevestigd in de EU Niet voor incidentele verwerkingen Niet voor overheidsinstanties of organen Overeenkomst Verwerkingsverantwoordelijke Sub-s Modalisering van de aanstelling van sub-s Bijhouden van een register van verwerkingsactiviteiten Medewerkingsplicht t.a.v. de toezichthoudende overheid Beveiligingsplicht Meldingsplicht inzake inbreuken in verband met persoonsgegevens Modalisering aanstelling sub-s Beperking keuzevrijheid sub-s Voorafgaande toestemming van verwerkingsverantwoordelijke Specifiek Algemeen Bij aanpassing: informatie over beoogde verandering Mogelijkheid van bezwaar in hoofde van verwerkingsverantwoordelijke Impact of standaarddiensten? Doorschuiven van contractuele verplichtingen ononderbroken ketting van sovereenkomsten 3

4 Register verwerkingsactiviteiten Inhoud Vorm Naam en contactgegevens Verwerker Iedere verwerkingsverantwoordelijke voor rekening waarvan de handelt Vertegenwoordiger van de verwerkingsverantwoordelijke of de Functionaris voor gegevensbescherming; Categorieën van verwerkingen Indien van toepassing, doorgiften van persoonsgegevens aan een derde land en de documenten inzake de passende waarborgen Indien mogelijk, een algemene beschrijving van de beveiligingsmaatregelen Schriftelijk of elektronisch Keuze van de Beperking in hoofde van de verwerkingsverantwoordelijke Verwerkers die afdoende garanties bieden Passende technische en organisatorische maatregelen Voldoen aan vereisten van de AVG en de bescherming van de rechten van de betrokkene Ruimer dan loutere beveiliging Concrete toepassing Evaluatie in de context van de selectieprocedure Certificatie Gedragscodes Documentatie is aangewezen (beginsel van aantoonbare naleving) 4

5 Verplichte aanwezigheid van overeenkomst of bindende rechtshandeling Formele vereisten Inhoudelijke vereisten Formele vereisten Schriftelijk of in elektronische vorm Onderscheid is niet relevant in Belgisch recht Artikel XII.15 WER (geschrift) een opeenvolging van verstaanbare tekens die toegankelijk zijn voor een latere raadpleging, welke ook de drager en de transmissiemodaliteiten ervan zijn Inhoudelijke vereisten Omschrijving hoofdelementen overeenkomst het onderwerp en de duur van de verwerking de aard en het doel van de verwerking het soort persoonsgegevens en de categorieën van betrokkenen de rechten en verplichtingen van de verwerkingsverantwoordelijke Naleving van deze bepaling is niet steeds voor de hand liggend Hosting van geëncrypteerde gegevens Hosting van niet-gestructureerde data Impact op vrijstelling aansprakelijkheid hosting (artikel XII.19 WER)? Overweging 21 bij AVG Artikel 2, 4 AVG 5

6 Inhoudelijke vereisten Uitdrukkelijke bepaling: Verwerking uitsluitend op basis van schriftelijke instructies, behoudens wettelijke verplichting (mits voorafgaande kennisgeving van wettelijke bepaling) Informatieplicht inzake onwettelijke instructies Vertrouwelijkheid in hoofde van tussenkomende personen (contractueel of wettelijk) Passende technische en organisatorische maatregelen om bijstand te verlenen bij uitoefening rechten betrokkene Beveiligingsplicht Retransitieverplichting bij einde overeenkomst Terbeschikkingstelling informatie en bijstand bij audits Regeling aanstelling sub-s Sancties ten aanzien van de Handhaving Overschrijding positie Bepaling doel en middelen Kwalificatie als verwerkingsverantwoordelijke Volledige en hoofdelijke aansprakelijkheid Bij niet-naleving specifieke verplichtingen Bij niet naleving instructies Sub-s Administratieve geldboetes 6

7 Vragen? Brussels - Kortrijk 7