De Algemene Verordening Gegevensverwerking. Jurgen van der Baan

Transcriptie

1 De Algemene Verordening Gegevensverwerking Jurgen van der Baan >

2 AVG: wat valt (mij) op Jurgen van der Baan: Product Consultant bij TriageExpert. Vanaf 2002 werkzaam als (Senior) Casemanager, intern, arbodienst, verzekeraars Disclaimer: persoonlijke visie, geen privacy jurist Schrijf veel over privacy, maar vooral aandacht voor botsing privacy & verantwoordelijkheden bij verzuimbegeleiding: 88 pagina s AVG + 93 pagina s Uitvoeringswet doorgenomen: zware materie AP op eigen site: de AP kan op dit moment nog niet al uw vragen over de nieuwe Europese privacyregels beantwoorden. >

3 > Algemene Verordening Gegevensverwerking Harmonisering Europese Privacywetgeving De AVG is op 4 mei 2016 gepubliceerd (= Europese wetgeving). 20 dagen later van kracht, maar 2 jaar de tijd voor invoering Geldt vanaf 25 mei 2018; tot die tijd geldt de Wet bescherming Persoonsgegevens De AVG wordt beleidsneutraal ingevoerd; daar waar afwijkingen mogelijk en nodig zijn worden die opgenomen in aanvullende nationale wetgeving. Specifieke uitzonderingen voor de Nederlandse situatie staan dus niet in de AVG

4 > Algemene Verordening Gegevensverwerking Harmonisering Europese Privacywetgeving AVG is van invloed op alle organisaties die persoonsgegevens verwerken Arbodiensten werken in een veld dat heel specifiek is voor Nederland. De Invoeringswet AVG is daardoor voor ons eigenlijk nog belangrijker AP: Hoewel de AVG voor alle EU-landen geldt, biedt de AVG op een aantal punten ruimte voor landen om zelf de regels nader te bepalen. Dat geldt bijvoorbeeld voor een aantal uitzonderingen op het verwerkingsverbod van bijzondere persoonsgegevens en de beperkingen van de rechten van betrokkene. Nederland legt de invulling van deze uitzonderingen vooral vast in de zogeheten Uitvoeringswet AVG. Deze wet is nog niet vastgesteld. Dat is gelijk ook de reden waarom de AP niet op alle vragen antwoorden heeft!

5 > Verwerking Persoonsgegevens Definitie in AVG: verwerking : een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens. Conclusie: bijna alles in dienstverlening is verwerking/bewerking van persoonsgegevens

6 > Uitvoeringswet AVG Afwijkingen voor Nederlandse situatie Uitvoeringswet AVG: AP heeft april 2016 advies uitgebracht; internetconsultatie van dec tot jan Oktober 2017 advies uitgebracht door de Raad van State; moet nog door Tweede en Eerste kamer Kort dag voor de AVG van kracht wordt!

7 > Van meldingsplicht naar verantwoordingsplicht Grote veranderingen in de AVG volgens de AP Verantwoordingsplicht: organisaties moeten kunnen aantonen dat ze zich aan de wet houden Hoe: met documenten aantonen dat je de juiste organisatorische en technische maatregelen hebt genomen om aan de AVG te voldoen (register gegevensverwerking) Breng uw gegevensverwerkingen in kaart. Documenteer welke persoonsgegevens u verwerkt en met welk doel u dit doet, waar deze gegevens vandaan komen en met wie u ze deelt. Onder de AVG heeft u een verantwoordingsplicht, wat inhoudt dat u moet kunnen aantonen dat uw organisatie in overeenstemming met de AVG handelt.

8 > Data protection impact assessment (DPIA) Grote veranderingen in de AVG volgens de AP Instrument om vooraf de privacyrisico s van een gegevensverwerking in kaart te brengen. En vervolgens maatregelen te kunnen nemen om de risico s te verkleinen Verplicht als een organisatie: systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profiling op grote schaal bijzondere persoonsgegevens verwerkt (zoals gezondheidsgegevens) > Raakt dus arbodienstverlening! op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht)

9 Functionaris voor de gegevensbescherming Grote veranderingen in de AVG volgens de AP Dit is iemand die binnen de organisatie toezicht houdt op de toepassing en naleving van de AVG. Op grond van artikel 37 van de AVG is een FG in drie situaties verplicht. Situatie 3: Verwerking bijzondere persoonsgegevens is kerntaak Ten derde zijn organisaties verplicht een FG te benoemen als ze op grote schaal bijzondere persoonsgegevens verwerken en dit een kernactiviteit is. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands gezondheid, ras, politieke opvatting, geloofsovertuiging of strafrechtelijke verleden. Raakt dus ook weer de arbodienstverlening! Vanuit KoM onderzoeken of gezamenlijk een FG kan worden ingezet/ingekocht. Zitten haken en ogen aan, maar FG is voor kleine organisatie niet haalbaar >

10 DPIA en FG voor ZZP-ers? De Europese privacytoezichthouders verwachten dat er op den duur een praktische standaard komt waarmee u eenvoudiger bepaalt of u volgens de AVG op grote schaal (bijzondere) persoonsgegevens verwerkt en dus een FG moet aanstellen en een DPIA moet uitvoeren. Zodra hierover meer bekend is, vindt u die informatie op deze website. Voorbeeld van een niet-grootschalige verwerking: De gezamenlijke Europese toezichthouders beschouwen verwerkingen van bijzondere persoonsgegevens door individuele artsen of advocaten ( eenpitters ) niet als grootschalig. N.b. Hierdoor lijken zaken als de DPIA en FG niet verplicht te zijn voor een ZZP-er = alleen verplicht bij grootschalige verwerking van persoonsgegevens. >

11 > Privacy by design & privacy by default Grote veranderingen in de AVG volgens de AP Privacy by design houdt in dat u er al bij het ontwerpen van producten en diensten voor zorgt dat persoonsgegevens goed worden beschermd. Maar bijvoorbeeld ook dat u niet meer gegevens verzameld dan noodzakelijk voor het doel van de verwerking. En dat u de gegevens niet langer bewaart dan nodig. Privacy by default houdt in dat u technische en organisatorische maatregelen moet nemen om ervoor te zorgen dat u, als standaard, alléén persoonsgegevens verwerkt die noodzakelijk zijn voor het specifieke doel dat u wilt bereiken. Beide punten raken aan de zogenaamde positieve registratie van werknemers bij arbodiensten. Zonder reden (verzuimmelding of historie of preventief consult) mogen persoonsgegevens werknemers niet door arbodienst worden verwerkt.

12 Rechten van betrokkenen Grote veranderingen in de AVG volgens de AP Onder de AVG krijgen betrokkenen (de mensen van wie u persoonsgegevens verwerkt) meer en verbeterde privacyrechten. Zorg er daarom voor dat zij hun privacyrechten goed kunnen uitoefenen. Denk daarbij aan bestaande rechten, zoals het recht op inzage en het recht op correctie en verwijdering (recht op vergetelheid). Het recht op vergetelheid geldt niet altijd. Alleen in de volgende situaties is het recht op vergetelheid van toepassing: Niet meer nodig Intrekken toestemming Bezwaar tegen verwerking Onrechtmatige verwerking Wettelijk bepaalde bewaartermijn verstreken >

13 > Recht op vergetelheid Grote veranderingen in de AVG volgens de AP Gelden uitzonderingen voor recht op vergetelheid (= verzoek gegevens te verwijderen) o.a.: De organisatie verwerkt de gegevens omdat er een wettelijke verplichting is om dat te doen. Hier is sprake van bij verzuim- en preventieve begeleiding. Verwijdering medische gegevens ligt ook gevoelig vanuit zorgplicht en mogelijk verband met beroepsziekte. Goed kijken naar wettelijke bewaartermijn gegevens bij einde begeleiding, dienstverband of contract met werkgever.

14 Verwerkersovereenkomst Maakt u, zodra de Algemene verordening gegevensbescherming (AVG) geldt, gebruik van de diensten van een verwerker (nu nog bewerker genoemd)? Dan zijn u en de verwerker verplicht om een aantal onderwerpen vast te leggen in een schriftelijke overeenkomst (zie artikel 28, lid 3 van de AVG) : Algemene beschrijving Instructies verwerking Geheimhoudingsplicht Beveiliging Subverwerkers Privacyrechten Andere verplichtingen Recht verwijderen Audits >

15 Verwerkersovereenkomst De Autoriteit Persoonsgegevens (AP) heeft geen sjabloon voorhanden voor de registratie van verwerkingen. Ook is er vanuit de AP geen modelcontract beschikbaar voor een verwerkersovereenkomst. Kan KoM leden hierin ondersteunen? One size fits all niet van toepassing; je bent er niet met één model-overeenkomst. Uit de groep kwam naar voren dat er wel naar bouwstenen voor een verwerkersovereenkomst kan worden gekeken. Er zijn wel standaardonderdelen die kunnen worden gebruikt. Het blijft echter maatwerk! Goed kijken naar o.a.: wie is verwerker, wie bepaalt doel van en de middelen voor de verwerking van persoonsgegevens (verwerkingsverantwoordelijke), wat zijn de te verwerken gegevens en het doel daarvan, welke maatregelen gegevensbescherming zijn genomen, zijn er ook nog derden die toegang hebben? >

16 > Rol toezichthouder (AP) Wordt in AVG nog sterker verankerd. AP groeit komende jaren. Kan hogere boetes opleggen: Overtredingen van deze wet (AVG) kunnen oplopen tot boetes van 20 miljoen euro of 4% van de wereldwijde jaaromzet

17 > Ondersteuning o.a. door guidelines Beschikbare guidelines Data protection impact assessment (oktober 2017) Administratieve boetes (oktober 2017) Functionaris voor de gegevensbescherming (april 2017) Leidende toezichthouder (april 2017) Recht op dataportabiliteit (april 2017)

18 > Ondersteuning o.a. door guidelines Guidelines in consultatie Meldplicht datalekken (oktober 2017) Profiling (oktober 2017) Nog verwacht: Certificering/Toestemming/Transparantie/Internationaal gegevensverkeer

19 Bedreiging komt uit andere hoek Uitzondering op verwerking bijzondere persoonsgegevens valt onder Uitvoeringswet AVG. Interpretatie regelgeving van AP is nog steeds leidend. Grotere rol voor bedrijfsarts/arbodienst: werkgever mag geen bijzondere persoonsgegevens verwerken als er geen advies t.a.v. mogelijkheden en beperkingen is afgegeven door bedrijfsarts/arbodienst. Gevolgen: Kan leiden tot zwaarder beroep op bedrijfsartsen bij kort verzuim Botst voor werkgever met verplichtingen WvP en eigen regie-rol Botst voor bedrijfsartsen/arbodiensten met ontwikkelde best practice & wens meer aandacht aan preventie te besteden >

20 Links naar bronnen Dossier AVG op AP-site: AVG: _-_679_definitief.pdf Uitvoeringswet AVG: Guidelines AVG: >

21 Dienstverlening TriageExpert Bij TriageExpert BV ontwikkelen we innovatieve oplossingen voor verzuimvraagstukken, door kennis over sociale wetgeving, privacy en de praktijk van verzuimbegeleiding te combineren. >

22 Dienstverlening TriageExpert Re-integratieStart Effectieve start van de re-integratie en toch compliant met privacyregels Uitwerken van een oplossing voor uw specifieke situatie en wensen Ontwikkeling, implementatie en beheer van ondersteunende tools Oriënterend gesprek Quickscan privacy ism Veilige en efficiënte Taakdelegatie Ondersteuning in de implementatie van taakdelegatie, zoals: procesontwerp, draagvlak creeren bij casemanagement, bedrijfsartsen en klanten, contracting, etc. Implementatie en beheer van ondersteunende tools Oriënterend gesprek Quickscan taakdelegatie >