Europese Privacy Verordening (EPV) Een wet met Tanden

Maat: px

Weergave met pagina beginnen:

Download "Europese Privacy Verordening (EPV) Een wet met Tanden"

Melanie Myriam van Dam
8 jaren geleden
Aantal bezoeken:

1 Europese Privacy Verordening (EPV) Een wet met Tanden

2 WBP en EPV grote verschillen? WBP Transparantie X X Proportionaliteit X X Doelbinding X X Subsidiariteit X X Accountability en auditability Boetes x x EPV Verantwoordelijke verplicht aan te tonen dat elke verwerking aan de EPV voldoet X X

Subsidiariteit X X Accountability en auditability Boetes x

3 Verplichtingen Documentatieplicht Beveiligingseisen PIA Functionaris gegevens bescherming Interne of externe controle

4 Start research project Administratie Documenteren en documentatie up to date houden van: Contactgegevens Doel(en) van de verwerking + rechtvaardiging Beschrijving deelnemer en categorieën gegevens Bewaartermijnen Beveiligingsmaatregelen Functionaris gegevensbescherming Boete:

rechtvaardiging Beschrijving deelnemer en categorieën gegevens

5 Gezamenlijke verantwoordelijken Where more than one controller or processor is involved in the processing, each of those controllers or processors shall be jointly and severally liable for the entire amount of the damage, unless they have an appropriate written agreement determining the responsibilities. Derde partij: Enquête bureau, transcripten, centrale (gezamenlijke) database Consortium van meerdere onderzoeksgroepen Een onzorgvuldige handeling Niet contractueel afgedekt of niet voldoende gecontroleerd Aansprakelijkheid bij research organisatie

6 Wat doen jullie met mijn gegevens!! Inzage Wijziging of correctie Vernietigen ook bij een derde!! Non-profiling The controller shall ensure that, by default, only those personal data are processed which are necessary for each specific purpose of the processing and are especially not collected, retained or disseminated beyond the minimum necessary for those purposes, both in terms of the amount of the data and the time of their storage. In particular, those mechanisms shall ensure that by default personal data are not made accessible to an indefinite number of individuals and that data subjects are able to control the distribution of their personal data.

and are especially not collected, retained or disseminated beyond the minimum necessary for those purposes, both in terms of the amount of the data and the time of

7 Nog EPV nog ver weg? Meldplicht datalekken Verwacht 2014 Boete Heel snel melden bij CBP: 24 uur na bekendwording Alle incidenten registreren Incidenten kostbaar: menselijke of systeem fout 79 Inbreuk 102 Voorbereiding loont: kosten nemen af met 13-2

000 Heel snel melden bij CBP: 24 uur na bekendwording Alle

8 Research een liability? Veelvormig Complex organisatie, uitwisseling Grote doorstroom personeel Veel kleine ondernemers Zoeken de grenzen op Willen altijd iets nieuws Financieel rendement nihil of negatief Boetes max

9 Privacy impact en Risico assessment Principe 7

10 Research at your own risk

12 Privacy impact en Risico assessment Waarom PIA-RA? Inzicht in mogelijke privacy en beveiligingsrisico s Vooraf risico's verkleinen, Verplicht vanuit EPV (boete max ) RA nodig voor NEN 7510 certificering Betere positie bij privacy inbreuken Aantoonbaar maken dat bv veilige opslag gefaciliteerd moet worden

verkleinen, Verplicht vanuit EPV (boete max 1.000.

13 Implementatie EPV door de UMC s Aanpak Integraal beveiligen doen we al Privacy komt er nu nadrukkelijk bij Basis: plan van aanpak EPV met visie daarachter Wat moet op korte termijn (2014) Vergelijkbaar uitgangsniveau Overzicht en inzicht registraties Melden datalekken en overige P-incidenten Uitvoeren privacy impact assessments Behandelrelatie en toegang in het EPD Toestemmingsregistratie Instrumentarium Aanpak uitleggen naar toezichthouders

Overzicht en inzicht registraties Melden datalekken en overige P-incidenten Uitvoeren privacy impact

14 Implementatie EPV door de UMC s Resultaat verkenning: het moet beter art.nr Hoofdstuk Toelichting UMC's 77 Aansprakelijkheid van de verantwoordelijke zwaarwegend 0% 32 Meldplicht datalekken betrokkenen (art. 32 EPV) zwaarwegend 14% 33 Privacyeffectbeoordeling (PIA) (art. 33 EPV) zeer zwaarwegend 17% 77 Doorwerking in contracten met derden zeer zwaarwegend 23% 28 Documentatieplicht (art. 28 EPV) zeer zwaarwegend 25% 23 Privacy by design & default (art. 23 EPV) zeer zwaarwegend 26% 17 Recht om vergeten te worden en om gegevens te laten wissen (art. 17 EPV) zeer zwaarwegend 26% 14 Informatieplicht (art. 14 EPV) zwaarwegend 28% 18 Recht van gegevensoverdraagbaarheid (art. 18 EPV) zwaarwegend 29% 37 Taken functionaris gegevensbescherming (art. 37 EPV) zwaarwegend 30% 26 Doorwerking in contracten met verwerker (gedefinieerd als:..) zwaarwegend 31% 19 Recht van bezwaar (art. 19 EPV) zwaarwegend 33% 15 Recht van toegang (art. 15 EPV) (= recht op inzage Wbp) zwaarwegend 40% 16 Recht van rectificatie (art. 16 EPV) zwaarwegend 47% 36 Positie en bevoegdheden functionaris gegevensbescherming (art. 36 EPV) zwaarwegend 49% 5 Bewaarplicht (art. 5 EPV) zeer zwaarwegend 55% 35 Aanwijzing functionaris gegevensbescherming (art. 35 EPV) zwaarwegend 57% 7 Voorwaarden toestemming (art. 7 EPV) zeer zwaarwegend 59% 6 Rechtmatigheidsgrondslagen (art. 6 EPV) zwaarwegend 64% 11 Privacy beleid (art. 11 EPV) zwaarwegend 70% 81 Verwerking persoonsgegevens over de gezondheid (art. 81 EPV) zwaarwegend 71% 5 Beginselen (art. 5 EPV) zeer zwaarwegend 74% 30 Beveiliging (art. 30 EPV) zeer zwaarwegend 86%

33 EPV) zeer zwaarwegend 17% 77 Doorwerking in contracten met derden zeer zwaarwegend 23% 28 Documentatieplicht (art. 28 EPV) zeer zwaarwegend 25% 23 Privacy by design & default (art.

15 Trust network Alles met toestemming Toestemming makkelijk verkrijgen Anoniem en betrouwbaar Combineren gegevens!

16 Trust network Privacy by design What are the 5 Respect Principles? A promise of permission, protection, portability and proof.

17 Trust network: techniek

18 Trust network: De afspraken

19 Trust network: financiering:

20 Research kan een liability zijn Laten we de kans daarop verkleinen Denk er nu over na Structurele oplossingen Zoek samenwerkingen interen en extern PIA verwerken in subsidieaanvraag

Vergelijkbare documenten

Algemene verordening gegevensbescherming en veranderingen voor gemeenten. Alex Commandeur 21 april 2017

1 Algemene verordening gegevensbescherming en veranderingen voor gemeenten Alex Commandeur 21 april 2017 Overzicht Wat doet de Autoriteit Persoonsgegevens 2018: nieuwe Europese privacywetgeving (AVG) Accountability