Big Data en de aankomende Algemene Verordening Gegevensbescherming Lisette Chew-Meij

1. 1
De AVG en Big Data
Lisette Chew-Meij, 21 september 2017
l.meij@ictrecht.nl / 020 – 663 1941
Wpr
•Nederlandse wet
•Wet persoonsregistraties
Richtlijn
•Europese richtlijn (1995)
Wbp
•Wet bescherming persoonsgegevens (2000)
•Einde Safe Harbor (2015)
•Aanvulling meldplicht datalekken + boetes (1
januari 2016)
AGV
•Algemene Verordening Gegevensbescherming
(25 mei 2018)
Richtlijn vs Verordening
Richtlijn
§ Instructie aan lidstaten
§ Om te zetten in wetgeving
§ Nationale afwijkingen mag tenzij
volledige harmonisatie
Verordening
§ Rechtstreekse werking
§ In alle lidstaten direct
verbindend
§ Geen nationale afwijkingen
tenzij in verordening toegestaan
Doel van Big Data
‘Het combineren en analyseren van
verschillende databases afkomstig uit
verschillende bronnen, of het
analyseren van een grote hoeveelheid
data door een instantie met als doel
hier voordeel uit te behalen in de zin
van bijvoorbeeld tijdsbesparing, winst,
of innovatie.’
• Signaleren van bepaalde trends en
correlaties
• Voorspellen van voorkeuren,
gedrag etc.

2. 2
Profilering
elke vorm van geautomatiseerde
verwerking van
persoonsgegevens waarbij aan de
hand van persoonsgegevens
bepaalde persoonlijke aspecten
van een natuurlijke persoon
worden geëvalueerd, met name
met de bedoeling zijn
beroepsprestaties, economische
situatie, gezondheid, persoonlijke
voorkeuren, interesses,
betrouwbaarheid, gedrag, locatie
of verplaatsingen te analyseren
of te voorspellen;
Persoonsgegevens
alle informatie over een geïdentificeerde of
identificeerbare natuurlijke persoon („de betrokkene”);
als identificeerbaar wordt beschouwd een natuurlijke
persoon die direct of indirect kan worden
geïdentificeerd, met name aan de hand van een
identificator zoals een naam, een identificatienummer,
locatiegegevens, een online identificator of van een of
meer elementen die kenmerkend zijn voor de fysieke,
fysiologische, genetische, psychische, economische,
culturele of sociale identiteit van die natuurlijke persoon;
Persoonsgegevens
• Direct herleidbaar
• Indirect herleidbaar
• Mogelijkheid tot
herleiding
Anonimiseren
Een persoonsgegeven is
geanonimiseerd indien deze op
geen enkele manier meer
herleidbaar is tot een persoon.
Deze verwerking moet
onomkeerbaar zijn.

3. 3
Anonimiseren
“Het CBP vult daarbij aan dat van IP-
adres anonimisering feitelijk geen
sprake is, omdat Google (bij de huidige
IPv4 adressen) alleen het laatste octet
van het IP-adres
verwijdert. De Artikel 29-werkgroep
heeft Google in 2010 geschreven dat
deze werkwijze niet tot anonimisering
leidt.”
Anonimiseren
‘’Het toepassen van cryptografische
bewerking en op identificerende gegevens
leidt op zichzelf tot pseudonimisering (het
identificerende gegeven wordt vervangen
door een ander identificerend gegeven) en
niet tot anonimisering (de gegevens
worden omgezet naar “een vorm die
identificatie van de betrokkene feitelijk niet
langer mogelijk maakt).”
Pseudonieme data
De toepassing van pseudonimisering op
persoonsgegevens kan de risico's voor de
betrokkenen verminderen en de
verwerkingsverantwoordelijken en de
verwerkers helpen om hun verplichtingen
inzake gegevensbescherming na te
komen. De uitdrukkelijke invoering van
„pseudonimisering” in deze verordening is
niet bedoeld om andere
gegevensbeschermingsmaatregelen uit te
sluiten.
Pseudonieme data
Wanneer de
verwerkingsverantwoordelijke in
de in lid 1 van dit artikel bedoelde
gevallen kan aantonen dat hij de
betrokkene niet kan identificeren
… zijn de artikelen 15 tot en met
20 niet van toepassing …

4. 4
Verwerking
Verwerking van persoonsgegevens: elke
handeling of elk geheel van handelingen
met betrekking tot persoonsgegevens,
waaronder in ieder geval het verzamelen,
vastleggen, ordenen, bewaren, bijwerken,
wijzigen, opvragen, raadplegen, gebruiken,
verstrekken door middel van doorzending,
verspreiding of enige andere vorm van
terbeschikkingstelling, samenbrengen,
met elkaar in verband brengen, alsmede
het afschermen, uitwissen of vernietigen
van gegevens;
Randvoorwaarden
- Rechtmatig, eerlijk en
transparant
- Rechtsgeldige grondslag
- Noodzakelijk/proportioneel
- Doelbinding/doelbeperking
- Dataminimalisatie
- Niet langer dan nodig bewaren
- Passende beveiliging
waarborgen
- Rechten betrokkenen moeten
effectief uitvoerbaar zijn
Doelbinding
Persoonsgegevens worden voor
welbepaalde, uitdrukkelijk
omschreven en gerechtvaardigde
doeleinden verzameld.
Persoonsgegevens worden niet
verder verwerkt op een wijze die
onverenigbaar is met de
doeleinden waarvoor ze zijn
verkregen.
Verenigbaar doel
- Verenigbaar met het doel van
oorspronkelijke verzameling
- Rekening houden met onder
andere:
• Koppeling tussen de doeleinden
van verzameling en voorgenomen
verwerking
• Redelijke verwachting van
betrokkene
• Aard van de persoonsgegevens
• Gevolgen van de verwerking voor
betrokkene
• Bestaan van passende waarborgen
- Niet verenigbaar? Andere
grondslag vereist

5. 5
§ Over het algemeen geen
wettelijke termijnen;
§ Noodzakelijk voor de beoogde
doelen.
Bewaren
Langer dan noodzakelijk indien:
§ nodig voor historische,
statistische of
wetenschappelijke doeleinden;
§ in anonieme vorm.
Informatieplicht
§ Identiteit van de verwerkingsverantwoordelijke;
§ Functionaris voor gegevensbescherming;
§ Doel van de verwerking;
§ Wettelijke grondslag (indien van toepassing: de gerechtvaardigde
belangen waarop de verwerking wordt gebaseerd);
§ Ontvangers van persoonsgegevens;
§ Melden als gegevens voor ander doel worden verwerkt dan
waarvoor ze zijn verkregen
§ Informatie over doorgifte naar derde landen;
§ Bewaartermijnen/criteria bepalen termijn;
§ Recht op inzage, correctie, verwijdering;
§ Recht om toestemming in te trekken;
§ Verplichting betrokkene persoonsgegevens te verstrekken en wat de
gevolgen zijn indien dit niet gebeurd (in het kader contractuele
verplichting/wettelijke plicht);
§ Recht om een klacht bij de toezichthouder in te dienen;
§ Uitleg over de logica bij geautomatiseerde verwerking, gevolgen
betrokkenen (profilering).
Vóórdat gegevens verzameld worden!
Register verwerkingsverantwoordelijke
§ Bijhouden van een register voor de
gegevensverwerking van de
verwerkingsverantwoordelijke
§ Bevat:
• wie de verwerkingsverantwoordelijke is en
wat zijn contactgegevens zijn
• wie de functionaris gegevensbescherming is
• de doeleinden van de gegevensverwerking
• wie de betrokkenen zijn en welke
categorieën persoonsgegevens er worden
verwerkt
• categorieën van ontvangers
• naar welke derde landen de gegevens
worden gestuurd
• welke bewaartermijnen er worden
gehanteerd
• een beschrijving van de
beveiligingsmaatregelen
Betrokkene
Inzage
Export
Correctie
Klacht
Vertegen-
woordiging
BeroepBeperking
Schade-
vergoeding
Bezwaar
Vergeten
worden
Geen
profiling

6. 6
Sancties aankomende verordening
§ Schriftelijke waarschuwing
§ Regelmatige audits
§ Boete tot het maximum van
• Verordening € 20.000.000 of
4% van jaaromzet
Vragen?
l.meij@ictrecht.nl