Privacy AVG 25 mei 2018! Bescherming persoonsgegevens Clementine Bevers, 13 november 2017 FOBID Juridische Commissie

Transcriptie

1 Privacy AVG 25 mei 2018! Bescherming persoonsgegevens Clementine Bevers, 13 november 2017 FOBID Juridische Commissie

2 Algemene Verordening Gegevensbescherming (AVG) Vanaf 25 mei 2018 In de EU geldt overal dezelfde privacywetgeving Vervangt de Wet bescherming persoonsgegevens (Wbp) Versterkt positie betrokkenen Organisaties die pg s verwerken meer verplichtingen Alle verplichtingen tijdig implementeren KB kiest voor projectmatige aanpak

3 NOG 192 DAGEN

4 Wat is een persoonsgegeven? Alle informatie over een geïdentificeerde of identificeerbare persoon Maatstaf: kun je iemand direct of indirect (in combinatie met andere gegevens) identificeren? NAW, adres, tel.nr, leeftijd, IP adres, social media ID, MAC ID, locatie, lidmaatschapsnummer, gegevens over bibliotheekleden, leengedrag, profiel, voorkeuren, klikgedrag etc. Ook gepseudonimiseerde pg s zijn pg s Foto: bijzonder pg Wat is verwerken? Verzamelen, opslaan, ordenen, gebruiken, bijwerken, wijzigen, opvragen, raadplegen, doorsturen, combineren, verwijderen, vernietigen (etc.)

5 Belangrijkste verplichtingen Rode draad: aantoonbaar compliant zijn! 10 stappen naar de AVG 1. Data-inventarisatie 2. FG 3. Databeschermingsmaatregelen 4. Bewerkersovereenkomsten -> Verwerkersovereenkomsten 5. PIA s 6. Transparantie 7. Rechten betrokkenen 8. Grondslag voor het mogen verwerken (w.o. Toestemming) 9. Melden datalekken 10. Documentatie op orde

6 1. Data-inventarisatie Breng in kaart Per dienst, website, bestand Welke pg s door/namens de KB worden verwerkt Wat is bron van die pg s (bijv. LB, bibliotheeklid, bezoeker website) Wie zijn de betrokkenen, type pg s Welke verwerkingen uitgevoerd worden Welke wettelijke grondslag (grotendeels in AVG dezelfde als in Wbp) Wat de doelen* voor de verwerkingen zijn Wat is de bewaartermijn -> wistermijn Bewerker? -> BO/VO? PIA * Je mag niet zomaar pgs verwerken. De doelen moeten vtv bepaald zijn en goed omschreven. Inventariseer de doelen waarvoor pg s verwerkt NB. niet verplicht voor organisaties <250 wn s

7 Doelen van het register Register aanleggen, beheren en up to date houden Intern de rechtmatigheid (compliant!) beoordelen: daarvoor eerst weten welke verwerkingen, waar plaatsvinden Bewustwording: door invullen vragenlijsten worden mw s nog meer bewust van het onderwerp privacy Rechten betrokkenen inwilligen; inzage, correctie, verwijdering, dataportabiliteit Melden datalek Tool Excelbestand + toelichting Speciaal ontwikkelde tool Erna Actueel houden, verbeteren Grip houden op persoonsgegevens De AP een geactualiseerde data-inventarisatie kunnen laten zien

8 2. Functionaris gegevensbescherming (FG) Verplicht voor o.a. overheidsinstelling (=KB) en onderwijsinstelling Taken Adviseert, observeert en rapporteert aan hoogste management over privacy-zaken Ziet toe op naleving wettelijk kader en privacybeleid Monitort uitvoering PIA s Onafhankelijk in uitvoering taken, ontvangt geen uitvoeringsinstructies van de directie (ontslagbescherming)

9 3. Databeschermingsmaatregelen Privacy by design Al bij de ontwikkeling van producten en diensten de bescherming van pg s inbouwen door bijv.: Dataminimalisatie: alleen die pg s die noodzakelijk zijn voor de doelen waarvoor verwerkt, vtv bepalen en omschrijven Privacy by default: basisinstellingen zo dat verwerking minimaal is bv. o Een app niet de locatie van gebruikers e.d. laten registreren als dat niet nodig is o Geen opt-out, wel opt-in o Niet meer gegevens vragen dan nodig is NB. Whatsapp en Twitter: vinkjes staan standaard aan!

10 Anonimiseren (geen pg s) Pseudonimiseren: o identificerende kenmerken weghalen/scheiden (wel pg s, maar lastiger te herleiden) o Risico s < bijv. bij datalek en PbD Versleutelen/encryptie (data-at-rest, data-in-transit), hashen; pg s Toegang regelen en loggen Up-to-date houden software en hardware Bewaartermijn/ wistermijn, bv. Automatisch vernietigen

11 4. Verwerkersovereenkomst Bewerker heet in AVG Verwerker Verwerkersovereenkomst: KB-model-BO -> VO Bijv. ESP ( service provider) om bijv. campagne te verzenden Externe App bouwer/ontwikkelaar Hostingprovider Leverancier bibliotheeksysteem POI Eisen AVG Alleen als verwerker voldoende garanties biedt dat verwerking wordt uitgevoerd vlgs regels AVG Toestemming KB voor inschakelen sub-verwerkers Afspraken over beveiliging (smaatregelen) en vertrouwelijkheid Verwijderen pg s einde opdracht!kb: met nieuwe + bestaande leveranciers BO s afsluiten

12 5. Privacy Impact Assessment (PIA) Gegevensbeschermingseffectbeoordeling Risico-analyse instrument, privacyrisico s identificeren en lokaliseren Al bij besluitvorming over (door) ontwikkeling producten/diensten privacybelangen meenemen (Buca s) Zo vroeg mogelijk, anders risico tijdrovende en kostbare aanpassingen Stimuleert tot pro actief nadenken over impact/risico s project/dienst op privacy en risico s voor de organisatie Bevat o.a. de te nemen maatregelen om risico s aan te pakken, bijv. veiligheidsmaatregelen Na uitvoeren PIA kan gericht opdracht worden geven, bijv. t.a.v. functioneel ontwerp

13 Verplicht als verwerking waarschijnlijk hoog risico inhoudt Min. BZK heeft PIA toetsmodel Rijksdienst verplicht gesteld binnen het Rijk & ZBO Alternatief: checklist privacy en security

14 6. Transparantie Informatie geven over de verwerking van pg s (welke pg s, door wie, hoe, doelen) In een privacyverklaring, just-in-time notice, waar op logische plekken naar wordt verwezen Makkelijk vindbaar en in begrijpelijke taal

15 7. Rechten betrokkenen De mensen van wie de KB pg s verwerkt Krijgen meer en verbeterde privacyrechten Bestaande rechten: recht op inzage, correctie en verwijdering Nieuwe rechten: recht op dataportabiliteit, klachtrecht bij AP

16 8. Grondslag (bv. toestemming) (4 van de 6) 1.Overeenkomst: noodzakelijk voor uitvoeren overeenkomst 2.Gerechtvaardigd belang: privacytoets ; belang organisatie <-> belang betrokkene 3.Toestemming: AVG stelt strengere eisen Actieve handeling o Ergens op klikken o Hokje aanvinken (opt-in) o Instelling selecteren o Mondelinge verklaring Niet: een vooraf aangevinkt hokje (uitz. Klantrelatie ) Duidelijk maken wat met pg s gebeurt Net zo makkelijk kunnen intrekken (afmeldlink mail) Voor elk doel apart toestemming vragen 4. Wettelijk voorschrift

17 Toestemming bij kinderen Bij < 16 jaar moet worden verleend door ouders Checklist bewijslast toestemming Dat persoon toestemming heeft gegeven Wanneer toestemming is gegeven Aan wie/welke organisatie toestemming is gegeven Waarvoor toestemming is gegeven De manier waarop toestemming is gegeven: zowel technisch (vinkje o.i.d.) en de tekst/verklaring Oude toestemmingen? Voldoen die niet aan de strenge eisen AVG: opnieuw vragen!

18 9. Melden datalekken Blijft onder AVG grotendeels hetzelfde Strengere eisen aan registratie datalekken, alle datalekken documenteren, huidige protocolplicht ziet alleen op gemelde datalekken

19 10. Documentatie op orde Rode draad: het kunnen verantwoorden van de manier waarop de organisatie pg s verwerkt Hoe verantwoorden? Technische en organisatorische maatregelen en afspraken Documenten: o Algemeen privacybeleid uitgangspunten en afspraken (intern) o Korte privacy verklaringen, policies (extern, voor klanten, gebruikers) op websites, bij diensten o Autorisatiematrix: wie is bevoegd met welke pg s te werken (inzien, wijzigen etc.): permissies per functie o Procedure datalekken o Procedure klantrechten (inzage, correctie, recht op vergetelheid) o Verwerkersovereenkomsten

20 Wat zijn de risico s? Verlies gegevens Schending geheimhouding Hacken Fraude Identiteitsdiefstal Negatieve publiciteit, reputatieschade: -> vertrouwen!!! Financiële schade Claims Hoge boetes (AVG max. 20 miljoen euro) Klachten ingediend bij de AP

21 nu al voorbereiden!! Overmorgen nog 191 dagen..