Alles wat je moet weten vanuit juridisch standpunt om een correcte DPIA / GEB uit te voeren onder GDPR / AVG

2. “
Gegevensbeschermingseffectenbeoordeling

3. Wat we
willen
bereiken
vandaag
2
3
4
Interne
compliance
Knipperlichten
voor je teams
Basiskennis
1
DPIA als
garantie

4. De basics

5. Data
Protection
Impact
Assessment
Artikel 35 GDPR
Wanneer een soort verwerking, in het bijzonder een verwerking
waarbij nieuwe technologieën worden gebruikt, gelet op de
aard, de omvang, de context en de doeleinden daarvan
waarschijnlijk een hoog risico inhoudt voor de rechten en
vrijheden van natuurlijke personen voert de
verwerkingsverantwoordelijke vóór de verwerking een
beoordeling uit van het effect van de beoogde
verwerkingsactiviteiten op de bescherming van persoonsgegevens.
In mensentaal...
Bij elke nieuwe app, nieuwe software, linken van databases,
profiling, “zwakke” gebruikers, … is een voorafgaande
gedocumenteerde impact assessment verplicht.

6. Data
Protection
Impact
Assessment
Impact op
privacy
Voorafgaand
Beoordeling
in document
Nieuwe
technologie
DPIA

7. Waarom?
Basis van GDPR
=
Respect voor de
rechten van de
betrokkene
Technologie evolueert
razendsnel
én houdt risico’s is...
“Technische en organisatorische
maatregelen”
“Gepast niveau van bescherming”
“Data protection by design”
“Data protection by default”
Hoeksteen van GDPR
Documentatieplicht
Accountability
Basisbeginselen
Data minimalisatie
Beperkte
bewaartermijnen
Doelgebondenheid
Transparantie

8. Wat?
DPIA’s moeten uitgeschreven worden
Documentatieplicht
Accountability
Geschreven document
Verantwoorden van beslissingen
Begrip “restrisico” of “residueel risico””
Voorleggen aan GBA?
VerantwoordingBeschrijving
Risicoanalyse
Evalueer de risico’s voor
de betrokkene
Impact op diens privacy
en (technische) veiligheid
Wie?
Wat?
Waarom?
Hoe?
…?

9. App bouwers, webbouwers, software developers1
(Online) marketeers2
Start-ups3
HR departementen, ziekenhuizen, verzekeraars, banken,
scholen, woonzorgcentra, sociale sector, overheden en
iedereen die met “gevoelige gegevens” of “zwakkere
groepen” in aanraking komt
4
Potentieel élk bedrijf of organisatie (nieuwe software, AI,
IoT, digitalisering, automatisering, data exchange, …)
5
Voor wie?
In principe een taak voor de verantwoordelijke voor de verwerking.
Aandachtspunt: bepalen van hoedanigheid van verantwoordelijke
Opgelet met tussenkomst van andere verantwoordelijken en onderlinge
verhoudingen (gecombineerde DPIA, verschillende DPIA’s…?

10. Waar kan het fout lopen?

11. “Waar kan het fout lopen?

12. Waar kan
het fout
lopen?
Controle door GBA: louter feit dat er geen DPIA is
10.000.000 of 2% wereldwijde jaaromzet
Gebrek aan TOM, data protection by design & default
Idem
Gebrek aan respect voor rechten van de betrokkene
20.000.000 of 4% wereldwijde omzet
Risico op datalekken, gevoeligheid voor hacking
Boetes + aansprakelijkheid
Imagoschade voor je merk bij datalekken of boetes
1
2
3
4
5

13. Waar kan
het fout
lopen?
Onvoldoende interne kennis en competenties voor uitvoering
DPIA’s binnen teams
“Te weinig” of “te late” DPIA’s (geen DPIA reflex binnen teams)
“Te vroeg” of “te veel” DPIA’s (overreach uit onzekerheid)
DPIA’s als administratieve noodzaak afgehandeld (onvoldoende
prioriteit)
Wel DPIA uitgevoerd, maar geen opvolgende lessen uit
getrokken en geen aanpassingen doorgevoerd (tijdsgebrek,
geen inzicht, geen sense of urgency)
1
2
3
4
5

14. Search for wisdom...

15. Bruikbare
bronnen
EDPB
(Oude WP29)
Guidelines 2016/679
GBA
https://www.gegevensbes
chermingsautoriteit.be/pu
blications/aanbeveling-nr.-
01-2018.pdf
ICO (UK)
https://ico.org.uk/for-
organisations/guide-to-
data-protection/guide-to-
the-general-data-
protection-regulation-
gdpr/data-protection-
impact-assessments-
dpias/how-do-we-do-a-
dpia/
CNIL (FR)
https://www.cnil.fr/en/privacy-
impact-assessment-pia
Gratis template?
(Of professionele hulp?)
gdpr@siriuslegal.be
Het warm water
bestaat al...

16. Wanneer is het tijd
voor een DPIA?

17. Criteria
WP29
(Nu EDPB)
1 Evaluatie
Scoring
Profiling
2 Automatische
besluitvorming
3 Systematische
monitoring
6 Koppelen van bestaande
datasets
7 Kwetsbare groepen
8 New Tech
Innovatie
(ook organisatorisch)
4 Gevoelige gegevens
(incl. biometrisch,
medisch, …)
9 Beperking aan rechten
van de betrokkene
5 Verwerking op grote
schaal

18. Vuistregels
1
criterium
Laag risico
Geen DPIA
01
2 criteria
Hoog risico
Wel DPIA
02
2 +
criteria
Meer criteria
=
Hoger risico
03
Gezond
verstand
1 criterium kan
volstaan...
04

19. White list
Black list
DPIA in principe
nooit verplicht
Wet
Salarisadministratie
Boekhouding
...
DPIA in principe altijd verplicht
Biometrische gegevens
Data uit derde bron voor credit
scoring van consumenten
...

20. Enkele voorbeelden
uit onze praktijk

21. CDP
(Customer Data
Platform)
“Tool tracking”
voor personeel
“Fotokader”
app
01
Horeca
contact
tracing app
02 03 04 05
Patient
tracking
database

22. Hoe begin je eraan…?

23. “Risk based approach

24. “Risk based approach

25. “Risk based approach

26. DPIA Flow
Pre
DPIA
Beschrijving
DPIA
Risico
analyse
Dataverwerking
Technische veiligheid

27. Pre DPIA?
Business / Project plan
Dataregister
Tools & software
Input
Criteria 9 criteria
White list / Black list
Voorgaande DPIA’s
Hoe?
Geschreven en gemotiveerd,
kort verslag met besluit
Wat?
Documentatie van keuze om wel of
geen DPIA te voeren
Stakeholders Business / PM
Mgmt
DPO / CIO / CISO

28. DPIA Flow
Beschrijving
DPIA
Risico
analyse
Dataverwerking
Technische veiligheid

29. DPIA Flow
VUB

30. DPIA Flow
VUB
Scope bepalen (flow uittekenen)1
Stakeholders oplijsten2
Relevant juridisch kaderwerk documenteren
(recente rechtspraak en adviezen!)
3
Methodiek vastleggen4
Documentatie samenstellen5

31. DPIA?
Business / Project plan
Dataregister
Tools & software
DPA’s
Input
Criteria
Basisbeginselen van GDPR
DP by Design & by Default
“Gepast niveau van bescherming”
Voorgaande DPIA’s
Hoe?
Geschreven en gemotiveerd
Gedetailleerd en zo lang als nodig
Wat?
Gedetailleerde documentatie van
voorgenomen verwerking, mét
risicoanalyse én gepaste
maatregelen
Stakeholders Business / PM
Mgmt
DPO / CIO / CISO

32. DPIA is
teamwork...

33. Beschrijving
Wat houdt de verwerking in?
Wat is het doel?
Omvang?
Context?
Betrokken partijen (intern en extern)
...
DPIA

34. Beschrijving
Dataverwerking
Welke data wordt verwerkt?
Wat is de oorsprong van de data?
Wat is de rechtsgrond?
Welke garanties zijn er voor de rechten van de betrokkene?
...
DPIA

35. Beschrijving
Dataverwerking
Data export (Schrems II)
Amazon, Azure (bij uitbreiding Microsoft), … zijn niet compliant
DPIA

36. Technische
veiligheid
Beschrijving
Dataverwerking
Welke tools worden gebruikt?
Wie zijn de verwerkers / subverwerkers?
Waar wordt de data gehost?
Is er data export buiten de EU?
Welke TOM zijn al genomen?
...
DPIA

37. Technische
veiligheid
Beschrijving
Dataverwerking
Opgelet met cloudservices en “publieke” spelers als Google en Apple
Verwerking metadata door deze partijen kan risicovol zijn
(cfr contact tracing apps en bedenking diverse DPA’s)
Hergebruik data door deze partijen kan risicovol zijn
Gebrek aan transparantie naar verantwoordelijke, naar betrokkene
en naar overheid
DPIA

38. Technische
veiligheid
Beschrijving
Dataverwerking
Mappen van alle derde partijen
Hosting provider
Tools en software
fysieke partijen
Netwerk
...
DPIA

39. Technische
veiligheid
Beschrijving
Dataverwerking
Opgelet met IP adressen
EHJ arrest C-582/14 Breyer, 19 oktober 2016
IP adres kan persoonsgegevens zijn ALS verantwoordelijke (binnen
wettelijke grenzen) IP adressen kan identificeren
serverlaag / applicatielaag gescheiden houden (ook binnen teams)
...
DPIA

40. Risicoanalyse
Technische
veiligheid
Beschrijving
Dataverwerking
Afwegen impact op rechten van betrokkene
Afwegen basisbeginselen GDPR
Afwegen risico op data breach / technische veiligheid
Risk based approach
DPIA

41. “Risk based approach

42. Risicoanalyse
Technische
veiligheid
Beschrijving
Dataverwerking
Afwegen impact op rechten van betrokkene
Afwegen basisbeginselen GDPR
Afwegen risico op data breach / technische veiligheid
Risk based approach
Bij restrisico: verplichte “voorafgaande raadpleging bij GBA”!
DPIA

43. DPIA Flow
Beschrijving
DPIA
Risico
analyse
Dataverwerking
Technische veiligheid
Maat-
regelen

44. 01 02 03 04
Contractueel
DPA’s
Data Sharing
Agreements
Data Export
Agreements
Technisch
Encryptie
Anonimiseren
Pseudonimiseren
network security
...
Organisatorisch
Andere partners
(Cfr probleem data export
Amazon en Azure)
Toegangsbeheer
...
Data
Dataminimalisatie
Bewaartermijnen
beperken
Rechtsgronden
bijsturen

45. Bij “leidende autoriteit” als
internationaal
Vragenlijst ivm kenmerken van
verwerking
Doorlooptijd = 8 weken (+ 6
weken)
Dialoogproces
Uitkomst = bindend schriftelijk
advies
GBA zelf dringt erop aan dit niet
te vermijden!
https://www.gegevensbeschermingsa
utoriteit.be/publications/formulier-
voor-voorafgaande-raadpleging-over-
een-verwerking-met-hoog-
“Voorafgaand
e raadpleging”

46. Onder de motorkap...

47. Onder de
motorkap

48. Onder de
motorkap

49. Dit is geen optie...

50. FAQ?
Wie is verantwoordelijk?
Zelf doen of hulp
inroepen?
Proactieve service
naar je klant
Wie betaalt dat?
Wat zijn de risico’s?

51. Key takeaways

52. Proud Legal Partner
Recent clients
Privacy & data protection
Software, Internet & e-
commerce
Media & advertising
IP
Gambling
Travel & consumer
protection
Commercial & contracts
Corporate - tax
bart@siriuslegal.be
www.siriuslegal.be