GDPR: Ontwikkelingen in privacy en de impact op de overheid

Transcriptie

1 GDPR: Ontwikkelingen in privacy en de impact op de overheid Prof. Dr. Frankie Schram, KU Leuven geeft sinds 2003 les aan het KU Leuven en is ook professor Bestuursrecht aan de Antwerp Management School. Hij is lid en secretaris van de Commissie voor de toegang tot en het hergebruik van bestuursdocumenten en de Federale Beroepscommissie voor de toegang tot milieu-informatie. Hij is plaatsvervangend lid van de Vlaamse Toezichtcommissie voor het elektronische bestuurlijke gegevensverkeer. We hadden het reeds over Security by Design, de noodzakelijke normen en standaarden en concrete oplossingen Nu wordt dieper ingegaan op op het bredere juridische kader waarbinnen dit alles past Topic

2 GDPR: ontwikkelingen in privacy en de impact op de overheid Prof. Dr. Frankie Schram KU Leuven Antwerp Management School

3

4 Tijdsbeeld OESO: Guidelines Raad van Europa: verdrag nr. 108 van 28 januari : Belgische Privacywet 2001: aangepaste Belgische privacywet

5 Waarom een nieuw Europees kader? (7) De doelstellingen en beginselen van Richtlijn 95/46/EG blijven overeind, maar de richtlijn heeft niet kunnen voorkomen dat gegevens in de Unie op gefragmenteerde wijze worden beschermd, dat er rechtsonzekerheid heerst en dat in brede lagen van de bevolking het beeld bestaat dat met name online-activiteiten aanzienlijke risico's voor de bescherming van natuurlijke personen inhouden. De lidstaten bieden op het stuk van de verwerking van persoonsgegevens uiteenlopende niveaus van bescherming van de rechten en vrijheden van natuurlijke personen, met name de bescherming van persoonsgegevens, wat het vrije verkeer van persoonsgegevens binnen de Unie in de weg kan staan. Deze verschillen kunnen bijgevolg een belemmering vormen voor de uitoefening van economische activiteiten op Unieschaal, de mededinging verstoren en de overheid beletten de taak die zij uit hoofde van de Uniewetgeving heeft te vervullen. Deze verschillende beschermingsniveaus zijn toe te schrijven aan de verschillen in de uitvoering en toepassing van Richtlijn 95/46/EG.

6 Waarom een nieuw Europees kader? Fragmentatie en rechtsonzekerheid Het beeld bestaat dat ( ) online-activiteiten aanzienlijke risico s voor de bescherming van natuurlijke personen inhouden Obstakel voor economische activiteit Verstoring van concurrentie Oorzaak: verschillen in uitvoering en toepassing van Richtlijn 95/46/EG

7 Keuze voor een verordening Verordening = een bindende rechtshandeling die in de hele EU van toepassing is Europese wet die geldt voor iedereen in de EU Richtlijn = een rechtshandeling die een bepaald doel vastlegt dat alle EU-landen moeten bereiken Maar lidstaten mogen zelf de wetgeving vaststellen om dat te bereiken Instructie aan de nationale wetgevers

8 Keuze voor een verordening Een verordening heeft rechtstreekse werking Betekent niet dat er geen wetgeving door de nationale staten meer nodig is Omdat de verordening dit bepaalt Omdat de verordening op bepaalde punten niet meteen uitvoerbaar is

9 Keuze voor een verordening GDPR 173 overwegingen 99 bepalingen 26 definities Uitgebreidere territoriale werkingssfeer: - Activiteiten van verantwoordelijke én verwerker - Aanbieden van diensten aan datasubjects in de EU of monitoren van hun gedragingen - Gedetailleerdere regels, meer verplichtingen voor verantwoordelijken en verwerkers, meer rechten voor datasubjecten, meer formaliteiten - Meer bevoegdheden voor toezichthouders en hogere boetes Richtlijn 95/46/EG 72 overwegingen 34 bepalingen 8 definities

10 Gevolgen voor de overheid Als wetgever Screening van de bestaande wetgeving Compabiliteit Inhoudelijk begrippen Verbod om in nationaal recht bepalingen op te nemen die vervat zijn in de GDPR Creëren van nieuwe wetgeving Mogelijkheid, bv leeftijdsgrens Verplichting, bv DPA Als verwerkingsverantwoordelijke of als verwerker Praktijken in overeenstemming brengen van vereisten GDPR Daarom: in kaart brengen van de bestaande verwerking van persoonsgegevens Sommige bepalingen zijn niet (bv. informatieverplichtingen) of kunnen niet (bv. administratieve sancties) van toepassing op de overheid; andere bepalingen zijn vooral van toepassing op de overheid (DPO)

11 Specifieke Belgische problemen Dubbele bevoegdheidsproblematiek Horizontale bevoegdheidsproblematiek: welke wetgever is bevoegd? Federale wetgever Gemeenschapswetgever Gewestwetgever Verticale bevoegdheidsproblematiek Een regeling door een parlement? Een regeling door de regering?

12 Specifieke Belgische problemen Dubbele bevoegdheidsproblematiek Onderscheid ts. Privacybescherming en gegevensbescherming Verwerkingen die geen potentiële inmenging zijn in het privéleven: residuaire bevoegdheid federale wetgever met parallelle bevoegdheid deelstaten Minimale regeling van het federale niveau moet worden gerespecteerd Waarborgfunctie komt elke wetgever toe Verwerkingen die een inmenging in het privéleven vormen moeten bijkomend rekening houden met de bevoegdheidsverdelende regel in artikel 22 Gw.: aan de federale wetgever voorbehouden bevoegdheid, maar concurrerende bevoegdheid voor deelstaten mits verbonden met aan de decreetgever toegewezen bevoegdheid

13 Toepassingsgebied Van toepassing Niet van toepassing op verwerking van persoonsgegevens Verorde-ning 45/2001/EG Richtlijn 2003/31/EG Activiteiten die vallen buiten de werkingssfeer van het Unierecht Activiteiten die binnen de werkingssfeer van titel V, hoofdstuk 2 VEU vallen Zuiver persoonlijke of huishoudelijke activiteit Voorkoming, onderzoek, opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen Moeten overeenkomstig art. 98 aan de beginselen en regels van de GDPR worden aangepast Laat de regels in de art van deze richtlijn betreffende de aansprakelijkheid van als tussenpersoon optredende dienstverleners onverlet

14 Belangrijkste vereisten, verplichtingen en sancties

15 Rechten van de betrokkene Uitgebreide rechten van de betrokkene, o.a. toegang, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaar Eenvoudigere toegang tot je eigen persoonsgegevens en de verwerking daarvan, transparantie en eenduidigheid

16 Beveiliging van persoonsgegevens Verplichting om afdoende technische en organisationele maatregelen te nemen om het juiste beveiligingsniveau verbonden aan het risico af te dekken Inclusief 72 u datalek melding bij de autoriteit en mededeling zonder nodeloze vertraging bij de getroffen personen Rol van de DPO Verplicht voor Overheidsinstanties of -organen Verantwoordelijke of verwerker hoofdzakelijk belast met verwerkingen die regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen Verwerking op grote schaal van bijzondere gegevens

17 Beveiliging van persoonsgegevens Functie-omschrijving DPO Informeren en adviseren over GDRP-verplichtingen Toezien op naleving van GDPR Advies over DPIAS Samenwerking met en contact met DPA

18 Rechtmatigheid en toestemming Rechtmatige verwerking Toestemming Moet vrij gegeven zijn, specifiek, geïnformeerd, ondubbelzinnig en in gevallen expliciet gegeven zijn Noodzaak voor uitvoering overeenkomst Juridische verplichting Vitale belangen van de betrokkene of andere natuurlijke persoon Noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van openbaar gezag Publiek/legitiem belang

19 Verantwoordingsplicht Aantoonbaar in overeenstemming zijn met de principes inzake de verwerking van persoonsgegevens vanuit de GDPR Inclusief rechtmatigheid, behoorlijkheid, transparantie, doelgerelateerd, toereikend (minimaal, accuraat, opslagbeperkt), integriteit en vertrouwelijkheid

20 Verantwoordingsplicht Rekening houdend met de aard, de omvang, de context en het doel van de verwerking Rekening houdend met de qua waarschijnlijkheid en ernst uiteenlopende risico s voor de rechten en vrijheden van de betrokkene De verwerkingsverantwoordelijke treft passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met de GDPR

21 Ontwerp en standaardinstellingen Privacy by design en privacy by default De verwerkingsverantwoordelijke moet aantoonbaar technische en organisatorische maatregelen nemen in overeenstemming met de GDRPprincipes Verzekeren dat de rechten van de betrokkenen recht gedaan worden en dat alleen gegevens nodig voor het specifieke doel verwerkt worden

22 Administratieve boetes voor non-compliance Administratieve boetes voor non-compliance DPA kan administratieve boetes tot 20 milj. Euro of 4 % van de totale wereldwijde omzet opleggen Extra mogelijkheden voor DPA, inclusief het recht van toegang tot data en gebouwen en om te kunnen auditen Meldplicht datalekken: binnen 72 u boete oplopend tot euro

23 Verplichtingen verwerkingsverantwoordelijke en verwerker

24 Toezichthouder (DPA) Onderzoeksbevoegdheden Corrigerende bevoegdheden Autorisatie- en adviesbevoegdheden

25 Toezichthouder (DPA) Eigen Belgische agenda: Federaal regeerakkoord: We hervormen de Privacycommissie. De Privacycommissie zorgt ervoor dat persoonsgegevens zorgvuldig worden gebruikt en beveiligd en dat de privacy ook in de toekomst gewaarborgd blijft. Om dit te verzoenen met een kwaliteitsvol elektronische dienstverlening door de overheid worden initiatieven genomen om vermenging van belangen te vermijden tussen haar leden en aanvragers van machtigingen.

26 GDPR Oplossingsarchitectuur

27 Is dit een eindpunt? Neen, e-privacyverordening in voorbereiding: gaat niet zozeer om verwerking van persoonsgegevens, maar om de vertrouwelijkheid van communicatie Aanpassing van het Verdrag van de Raad van Europa Nieuwe interne wetgeving die leidt tot meer gegevensuitwisseling dan vroeger het geval was Implementatieregelgeving door de EC

28

29

30 Meer info Parkstraat 45 bus Leuven