Privacy Referentie Architectuur Marktconsultatie IMMA 1 juli 2015
Over Considerati Enige adviesbureau gespecialiseerd in IT recht en Public Affairs Experts op het gebied van privacy, data protectie en cybersecurity Winnaar HP-IAPP Privacy Innovation Award
Doelstellingen IMMA Privacy Referentie Architectuur Eenduidige regels voor gebruik persoonsgegevens binnen spitsmijd- en mobiliteitsprojecten Nadere invulling vage Wbp eisen Best practices voor privacy compliance aanreiken Mogelijkheden voor (her)gebruik data creëren
Doel van deze sessie Input verzamelen om tot een zo goed mogelijke (en breed gedragen) architectuur te komen
Uitgangspunten Referentie Architectuur Privacy
Uitgangspunten IMMA Privacy Referentie Architectuur Applicaties moeten Privacy by Design & by Default zijn Gebruik persoonsgegevens alleen toegestaan indien noodzakelijk Proportionaliteit Subsidiariteit Verwerking alleen met een legitieme basis Compliance met alle materiële eisen Wbp (én Verordening)
De Privacy Referentie Architectuur 1. Wettelijke eisen Wet bescherming persoonsgegevens > Algemene Verordening Gegevensbescherming Artikel 11.7a Telecommunicatiewet (cookiewet) 1. Ontwerp eisen (Privacy by Design & by default) Vragen: - Zijn er wat u betreft nog andere relevante (juridische) kaders die meegenomen dienen te worden?
1. Wbp eisen spitsmijd- en mobiliteitstoepassingen Legitiem doel en grondslag Doelbinding Dataminimalisatie Informatie en transparantie Gegevensoverdracht Rechten van de betrokkene Informatiebeveiliging Bewaren en vernietigen Vragen: - Zijn er wat u betreft nog andere relevante aspecten die meegenomen dienen te worden?
2. Ontwerpstrategieën spitsmijd- & mobiliteitstoepassingen Data georiënteerd Proces georiënteerd 1. Minimaliseer 1. Informeer 2. Verberg / scherm af 2. Controleer 3. Scheid 3. Monitor & handhaaf 4. Aggregeer 4. Demonstreer Vragen: - Zijn er wat u betreft nog andere relevante aspecten die meegenomen dienen te worden?
Data minimalisatie
Data minimalisatie Zijn persoonsgegevens überhaupt noodzakelijk? Verwerkt het systeem niet meer data dan nodig? Is het mogelijk om te anonimiseren / aggregeren? Vragen: - Op welke punten kunnen gegevens geanonimiseerd / geaggregeerd worden? - Zijn er best practices die u kent om bij aan te haken?
Anonimisering & pseudonimisering
Wat is een persoonsgegeven? Artikel 1 sub a Wbp: persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon Geïdentificeerd: natuurlijke persoon uniek te onderscheiden van andere personen op basis van de gegevens (bijv. NAW, maar ook to single out ). Identificeerbaar: mogelijkheid tot identificatie op basis van beschikbare gegevens en/of mogelijkheden verantwoordelijke.
Wat is een persoonsgegeven? Wie ben ik? Wat ben ik / doe ik / wil ik? Bart Willem Schermer 1 juli 1978 Pseudoniem ID-papieren BSN Foto
Anonimisering Gegevens kunnen niet (meer) worden teruggevoerd op een individu Vragen: - Op welke punten kunnen gegevens geanonimiseerd / geaggregeerd worden? - Kent of gebruikt u anonimiseringstechnieken? - Zijn er best practices die u kent om bij aan te haken?
Pseudonimisering (direct) identificerende gegevens zijn gescheiden van andere gegevens Anonimisering is onomkeerbaar, pseudonimisering is omkeerbaar Vragen: - Maakt u gebruik van pseudonimisatie? - Kent u goede pseudonimiseringstechnieken? - Acht u pseudonimisering zinvol?
Grondslagen
Logica van de Wbp Wat willen we gaan doen? Hebben we een grondslag? Hoe gaan we zorgvuldig om met de gegevens? Gerechtvaardigd doel Materiële eisen Wbp
Grondslagen Wbp Artikel 8 Wbp: a) ondubbelzinnige toestemming b) noodzakelijk voor uitvoering contract met betrokkene c) wettelijke plicht d) vrijwaring vitaal belang betrokkene e) noodzakelijk voor goede uitoefening publiekrechtelijke taak f) gerechtvaardigd belang van de betrokkene Vragen: - Maakt u gebruik van andere grondslagen dan toestemming?
Legitieme grondslag
Ondubbelzinnige toestemming als grondslag Eisen aan de toestemming: Moet vrij gegeven zijn (er mag geen afhankelijkheidsrelatie zijn); Op informatie berusten (men moet weten waarvoor men toestemming geeft); Afgebakend zijn (beperkt tot de verwerkingen genoemd in de informatie). Toestemming moet voorafgaand aan de verwerking worden gegeven Er mag geen twijfel bestaan over de verleende toestemming. Bewijslast voor verkregen toestemming ligt bij de verantwoordelijke. Vorm: Toestemming kan geuit worden in woord, schrift of gedrag De toestemming moet voldoende robuust zijn om de twijfel weg te nemen Implied consent is niet ondubbelzinnig. De toezichthouders hebben aanvullende eisen geformuleerd (bijv. instemmen met algemene voorwaarden niet voldoende).
Ondubbelzinnige toestemming als grondslag Vragen: - Hoe vraagt u toestemming en/of hoe zou toestemming er volgens u uit moeten zien? - Hoe voorziet u de klant van voldoende informatie? - Wat zijn volgens u best practices?
Materiële eisen
Materiële eisen Wbp 1. Zorg dat de gegevens veilig zijn (artikel 13 Wbp) 1. Bewaar de gegevens niet langer dan nodig (artikel 10 Wbp) 1. Wees open en transparant (artikel 27 e.v. Wbp) 1. Geef de gegevens niet zonder reden door aan derden
1. Beveiliging van persoonsgegevens Adequate beveiliging van persoonsgegevens (artikel 13 Wbp) Sluit aan bij erkende standaarden (bijv. ISO 27001 en 27002) Sluit bewerkersovereenkomsten met je bewerkers Vragen: - Welke beveiligingsstandaarden moeten meegenomen worden? - Hoe prescriptief moet de referentie-architectuur zijn? - Welke elementen moeten minimaal worden meegenomen in de architectuur? - Zijn er sector specifieke best practices / frameworks?
2. Bewaartermijnen Vragen: - Hoe gaat u om met bewaartermijnen? - Hoe gaat u om met vernietigen van gegevens? - Wat zijn volgens u redelijke bewaartermijnen? - Kent u best practices voor wat betreft het vernietigen van gegevens?
3. Bewaartermijnen Vragen: - Hoe informeert u gebruikers over uw doelen? - Wat zijn volgens u best practices?
4. Gegevensdoorgifte Vragen: - Hoe gaat u om met cookies en SDK s die gegevens doorgeven? - Kent u best practices op het gebied van het afschermen van gegevens voor derden?
Contact details Contact mr. dr. Bart W. Schermer schermer@considerati.com Adres Postbus 76949 1070 KE Amsterdam Bezoekadres De Boelelaan 7 1083 HJ Amsterdam www.considerati.com