Big data, big business Wat mag wel en wat mag niet met klantgegevens? Jitty van Doodewaerd Compliance officer -DDMA. Powered by

Transcriptie

1 Big data, big business Wat mag wel en wat mag niet met klantgegevens? Jitty van Doodewaerd Compliance officer -DDMA Powered by

2 Privacyparadox: hoe meer we weten, hoe minder we storen Graficus vakdag

3 Nu: Wet bescherming persoonsgegevens Graficus vakdag

4 Privacy Persoonsgegevens Wat Artikel 1 WBP persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; Bijzonder regime voor een aantal zeer gevoelige gegevens die een grote inbreuk op privacy tot gevolg kunnen hebben. Artikel 16 Bijzondere persoonsgegevens: gegevens omtrent godsdienst, levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakbond bijzondere persoonsgegevens mogen uitsluitend worden verwerkt wanneer de betrokkene daarvoor uitdrukkelijke toestemming heeft gegeven

5 Privacy Spelers Wie Spelers Verantwoordelijke: Degene die het doel en de middelen van de verwerking van persoonsgegevens bepaalt Bewerker: een partij die uitsluitend in opdracht van de verantwoordelijke persoonsgegevens verwerkt (Printing on Demand)

6 Privacywet hoofdlijnen Hoe 1) Rechtmatig doel Verwerkingsgronden (rechtmatig doel verwerking) Art. 8 WBP a) met toestemming (= opt-in, denk aan , sms en fax) b) uitvoering overeenkomst (Printing on demand) f) indien het een gerechtvaardigd ondernemersbelang dient, tenzij het belang van de betrokkene prevaleert (=opt-out, denk aan telemarketing en direct mail) Direct Marketing is een gerechtvaardigd ondernemersbelang

7 Privacywet hoofdlijnen Geldt alleen voor Direct Mail Aan + OBA worden in de Telecomwet extra eisen gesteld (opt-in)

8 Privacywet hoofdlijnen 2) Op eerlijke en zorgvuldige wijze Art. 6 WBP M.a.w. daadwerkelijk en volledig inlichten over omstandigheden waaronder gegevens worden verkregen Een organisatie moet de betrokkene daarom informeren over 1) zijn identiteit 2)het doel van de verwerking 3) de gegevens die worden vastgelegd 4) het recht van de betrokkene op inzage, correctie en verzet Bij derdenverstrekking (swoppen) ook informeren over 5) categorieën derden 6) verzet

9 Privacywet hoofdlijnen Waar informeren 1. Privacystatement papier en online Verwerking persoongegevens SOORTEN GEGEVENS Sanoma Media kan bij het aanbieden van diensten persoonsgegevens verwerken. Het gaat hierbij om gegevens als naam, contactgegevens, geboortedatum, geslacht en adres, en ook om gegevens over interesses van jou als gebruiker van één of meer van onze websites. Deze gegevens kunnen bijvoorbeeld bij Sanoma Media bekend zijn omdat je hebt aangegeven dat bepaalde onderwerpen je interesseren of omdat Sanoma Media jouw interesses heeft afgeleid uit de manier waarop je van de diensten van Sanoma Media gebruik maakt. Ook worden financiële gegevens, zoals je bankrekeningnummer verwerkt als je producten op een van onze websites bestelt of je abonneert op betaalde diensten, voorzover deze gegevens noodzakelijk zijn voor de betaling van de betreffende producten of abonnementen. De servers van Sanoma Media leggen voorts automatisch bepaalde gegevens vast, zoals URL, IP-adres, browsertype en -taal, en de datum en tijd van je bezoek aan onze websites. Sanoma Media kan jouw persoonsgegevens uitwisselen met haar groepsmaatschappijen. Daaronder worden alle dochtermaatschappijen van Sanoma Media Netherlands B.V. begrepen (..). Je gegevens kunnen door Sanoma Media worden gecombineerd met gegevens die zijn verzameld in het kader van jouw aankoop of gebruik van producten of diensten van Sanoma Media of haar groepsmaatschappijen. Dit doet Sanoma Media zodat zij je beter van dienst kan zijn en de inhoud van de websites nog beter op je interesses af kan stemmen. Indien je bezwaar hebt tegen het uitwisselen en combineren van jouw persoonsgegevens met groepsmaatschappijen, kan je dit melden via

10 Privacywet hoofdlijnen Verwerking persoongegevens DOELEINDEN VERWERKING Sanoma Media verzamelt en verwerkt via de door haar geëxploiteerde websites persoonsgegevens voor de volgende doeleinden: voor de totstandkoming en uitvoering van de met jou gesloten overeenkomst (.) om gericht aanbiedingen te doen, zo kan bijvoorbeeld een advertentie worden getoond van een product waarvan Sanoma Media op basis van door haar verwerkte gegevens vermoedt dat het je interesse heeft. In het kader van de optimalisatie van het doen van de aanbiedingen kan Sanoma Media een profiel van je opstellen; om je een nieuwsbrief, aanbieding, gebruikersinformatie, service bericht of andere elektronische boodschap toe te sturen (.) DELEN EN BEKEND MAKEN VAN PERSOONSGEGEVENS Zoals reeds eerder vermeld kan Sanoma Media persoonsgegevens die door haar worden verwerkt, uitwisselen met haar groepsmaatschappijen en je persoonsgegevens combineren met gegevens die zijn verzameld in het kader van jouw aankoop of gebruik van producten of diensten van Sanoma Media of haar groepsmaatschappijen. ( ) Je adresgegevens kunnen voorts voor het per telefoon en/of per post toezenden van informatie en aanbiedingen worden verstrekt aan zorgvuldig geselecteerde derden (onder andere 'list rental'). (.) VERZET, INZAGE, WIJZIGING EN VERWIJDERING VAN PERSOONSGEGEVENS Als je wilt weten welke persoonsgegevens van jou zijn vastgelegd, als je gegevens wilt wijzigen of wilt laten wissen conform de daarvoor geldende regelgeving, kan je een bericht sturen aan privacy@sanomamedia.nl of aan Sanoma Media Netherlands B.V., ter attentie van: Klantenservice Privacy, Capellalaan 65, 2132 JL Hoofddorp, onder vermelding van 'inzage/wijzigen/wissen persoonsgegevens'. Ook kan je doorgeven dat je niet langer prijs stelt op het verstrekken van jouw persoonsgegevens aan groepsmaatschappijen of aan derden of het gebruik van jouw gegevens voor het doen van gerichte aanbiedingen of op het per of post ontvangen van informatie en aanbiedingen. (..)

11 Privacywet hoofdlijnen Wanneer informeren 2. Op het moment van verkrijgen

12 Straks: General Data Protection Regulation Graficus vakdag

13 Triloog 2009 Start consultatie 2012 Voorstel EU Commissie 2014 Parlementsvoorstel 2015 Voorstel van de Raad van Ministers 2016 Akkoord in triloog Reding: absolutely fierce I have not seen such a heavy lobbying operation Graficus vakdag

14 Verordening DDMA standpunten Consumentenvertrouwen is een essentiële asset voor bedrijven. Respect voor privacy is daarbij van groot belang. Positief: Instrument van een Verordening Transparantieverplichtingen Data marketing als gerechtvaardigd belang erkend

15 Verordening Print als enabler aanjager Gerechtvaardigd belang RECITAL 39 [ ] The processing of personal data for direct marketing purposes may be regarded as carried out for a legitimate interest.

16 Verordening Print als enabler aanjager Trendonderzoek dialoogmedia. Prospects geven de voorkeur aan geadresseerde post.

17 Verordening DDMA standpunten Aandachtspunten: Detailniveau One size fits all

18 GDPR Invloed op data marketing en printing on demand Graficus vakdag

19 Meer (big) data zijn persoonsgegevens Graficus vakdag

20 95/46/EC Commission GDPR proposal EP First Reading Council 8 June Definition of personal data / scope of the regulation Definitions / Article 2 Definitions / Article 4 Definitions / Article 4 Definitions / Article 4 ( a ) 'personal data ' shall mean any information relating to an identified or identifiable natural person ('data subject'); an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identification number or to one or more factors specific to his physical, physiological, mental, economic, cultural or social identity; (1) 'data subject' means an identified natural person or a natural person who can be identified, directly or indirectly, by means reasonably likely to be used by the controller or by any other natural or legal person, in particular by reference to an identification number, location data, online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that person; (2) 'personal data' means any information relating (2) 'personal data' means any information relating to an identified or identifiable natural person (' data subject') ; an identifiable person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, unique identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social or gender identity of that person; (1) personal data means any information relating to an identified or identifiable natural person ( data subject ); an identifiable person is one who can be identified, directly or indirectly ( ), in particular by reference to an identifier such as a name, an identification number, location data, online identifier or to one or more factors specific to the physical, psychological, genetic, mental, economic, cultural or social identity of that person.

21 Verordening persoonsgegeven Definitie van persoonsgegeven Singling out: de man met de zonnebril B.v. Postcodesegmentatie. By any other controler: data die voor mij herleidbaar is, hoeft dit niet te zijn voor een andere afdeling binnen mijn organisatie of voor een derde aan wie ik de gegevens verstrek. B.v. gebruik geanonimiseerde data voor R&D

22 Graficus vakdag Meer transparantie

23 Verordening persoonsgegeven Informatie in duidelijk en begrijpelijke taal over: (a) the identity and the contact details of the controller and, if any, of the controller's representative; the controller shall also include the contact details of the data protection officer, if any; (b) the purposes of the processing for which the personal data are intended as well as the legal basis of the processing. 1a. In addition to the information referred to in paragraph 1, the controller shall at the time when personal data are obtained provide the data subject with such further information that is necessary to ensure fair and transparent processing, having regard to the specific circumstances and context in which the personal data are processed: (b) where the processing is based on point (f) of Article 6(1), the legitimate interests pursued by the controller or by a third party; (c) the recipients or categories of recipients of the personal data; (d) where applicable, that the controller intends to transfer personal data to a recipient in a third country or international organisation; (e) the existence of the right to request from the controller access to and rectification or erasure of the personal data or restriction of processing of personal data concerning the data subject and to object to the processing of such personal data as well as the right to data portability; (ea) where the processing is based on point (a) of Article 6(1) or point (a) of Article 9(2), the existence of the right to withdraw consent at any time, without affecting the lawfulness of processing based on consent before its withdrawal; (f) the right to lodge a complaint to a supervisory authority ( )2 (g) whether the provision of personal data is a statutory or contractual requirement, or a requirement necessary to enter into a contract, as well as whether the data subject is obliged to provide the data and of the possible consequences of failure to provide such data; (h) the existence of automated decision making including profiling referred to in Article 20(1) and (3) and information concerning ( ) the logic involved, as well as the significance and the envisaged consequences of such processing for the data subject. 4

24

25 Graficus vakdag Doelbinding

26 Verordening doelbinding BIG DATA? Where the purpose of further processing is not compatible with the one for which the personal data have been collected, the processing must have a legal basis at least in one of the grounds referred to in points (a) to (e) of paragraph 1. This shall in particular apply to any change of terms and general conditions of a contract.

27 Verordening doelbinding (Energieverbruik, KNMI data en bouwjaar huis) Bron: VU

28 Graficus vakdag Level Playing Field

29 Verordening reikwijdte Reikwijdte: This Regulation applies to the processing of personal data of data subjects residing in the Union by a controller not established in the Union, where the processing activities are related to: (a) the offering of goods or services to such data subjects in the Union; or (b) the monitoring of their behaviour.

30 SAFE HARBOR?

31 DDMA Datadag 2015 Bewerkers

32 Verordening rol van de bewerker Geen verplichtingen op basis van de Verordening Een opdrachtgever is verantwoordelijk voor wat er met de data gebeurt op basis van de Privacy- en Telecommunicatiewet. De bewerker mag slechts doen met de data waar de opdrachtgever hem een schriftelijk mandaat voor heeft gegeven. Data security geïnformeerd informatiebeveiligingsbeleid Bewerkersovereenkomst

33 Verordening rol van de bewerker Meldplicht Datalekken Zo snel mogelijk na ontdekking melden aan de opdrachtgever

34 1. a. Melding gedaan door (naam) Functietitel Telefoonnummer Anonieme melding door derde (Responsible Disclosure) 2. Korte samenvatting van het vermoedelijke lek 3. Wanneer heeft de inbreuk plaatsgevonden: Op (datum + tijd) Tussen (datum + tijd) en (datum + tijd) Is nog niet vastgesteld 4. Type inbreuk a. Diefstal of verlies van apparatuur b. Fysieke inbraak c. Social engeneering (phishing) d. Malware e. Netwerkaanval (DDOS/Scanning/Sniffing) f. Gecompromitteerd systeem g. Anders 5. Mate van blootstelling gegevens: Alleen lezen (niet geautoriseerde derde kan de data inzien, maar heeft de data niet in zijn bezit) Kopiëren (niet-geautoriseerde derde heeft de data kunnen kopiëren, maar deze is ook nog in het bezit van de verantwoordelijke) Wijzigen (niet-geautoriseerde derde heeft data (kunnen) wijzigen in systemen van de

35 Verordening nu doen 1. Beleid op privacy en data security 2. In kaart brengen van datastromen 3. DPO? 4. Dataretentie 5. Bewerkersovereenkomsten hanteren

36 Einde Graficus vakdag