Het vinden van een balans tussen persoonsgegevensgebruik en het respecteren van privacy-wetgeving is één van de grotere uitdagingen in dit digitale tijdperk. Met de Algemene Verordening Gegevensbescherming (AVG) handhaaft de Europese Commissie de grenzen. En streng ook; overtreding kan leiden tot een administratieve boete van maar liefst 20 miljoen euro. Tijdens haar webinar vertelde Michelle Wijnant, Juridisch Adviseur bij ICTrecht, alles over de aankomende veranderingen.

1. Digitale Privacy: zó
voorkomt u een
miljoenenboete
5 april 2018, 10.30 – 11.30 uur
Mr. Michelle Wijnant ICTRecht CIPP/E

2. PROGRAMMA
• Ontwikkeling privacywetgeving
• Begrippen
• rolverdeling
• Beginselen
• AVG: 10 belangrijke punten
10.30-11.30

3. ONTWIKKELING PRIVACYWETGEVING

4. PERSOONSGEGEVENS
• Elk gegeven betreffende een geïdentificeerde of identificeerbare
natuurlijke persoon.
• Direct herleidbaar;
• Indirect herleidbaar;
• Mogelijkheid tot herleiding.
• uitbreiding persoonsgegevens: IP-adressen, MAC- adressen, cookie
ID’s, browserinformatie, Geolocatie etc.

5. BIJZONDERE PERSOONSGEGEVENS
• Godsdienst/levensovertuiging
• Ras
• Politieke gezindheid
• seksuele leven
• lidmaatschap van een
vakvereniging
• strafrechtelijke gegevens
• Genetische gegevens
• Biometrische gegevens
• Gezondheid (zowel fysiek als
geestelijk)
• BSN

6. VERWERKEN VAN PERSOONSGEGEVENS
Een bewerking of een geheel van bewerkingen met betrekking tot
persoonsgegevens of een geheel van persoonsgegevens, al dan niet
uitgevoerd via geautomatiseerde procedés, zoals het verzamelen,
vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen,
opvragen, raadplegen, gebruiken, verstrekken door middel van
doorzending, verspreiden of op andere wijze ter beschikking stellen,
aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

7. PARTIJEN & ROLVERDELING
Verwerkt
uitsluitend
in opdracht
van
Doel en de
middelen
Betrokkene
Verwerker
Verwerkings-
verantwoordelijke

8. BEGINSELEN INZAKE GEGEVENSVERWERKING
• Rechtmatig, behoorlijk en
transparant;
• Doelbinding/doelbeperking;
• Dataminimalisatie;
• Accuraat en relevant;
• Niet langer dan nodig bewaren;
• Afdoende beveiligd;
• Privacy by Design & Privacy by
default;
• Verwerkingsverantwoordelijke
draagt verantwoordelijkheid voor
bovenstaande.

9. BELANGRIJKE AVG-PUNTEN:
1. Grondslagen;
2. Toestemming;
3. Informatieplicht;
4. Verwerkersovereenkomsten;
5. Rechten van betrokkenen;
6. Privacy Impact Assessment (PIA);
7. Functionaris voor gegevensbescherming (FG);
8. Registerplicht;
9. Passende beveiligingsmaatregelen;
10. Meldplicht datalekken.

10. 1) GRONDSLAGEN
• Toestemming
• Uitvoering overeenkomst
• Wettelijke plicht
• Vitale belangen betrokkenen
• Uitvoering overheidstaak
• Dringend eigen belang
• (wetenschappelijk onderzoek)
• Alleen de gegevens die
noodzakelijk zijn!

11. 2) TOESTEMMING
• Vrije wil
• toestemming geen voorwaarde voor dienstverlening.
• Geen machtsverhouding.
• Specifiek
• waarvoor wordt toestemming gegeven?
• Doelbinding (Apart vragen indien ook ander
onderwerp gevraagd wordt).
• Geïnformeerd
• privacy- en cookieverklaring.
• Actieve handeling
• Bye Bye opt-out/verder klikken.

12. MAAR…. NIET ALLEEN DAT…
• Bewijslast bij
verwerkingsverantwoordelijke;
• Altijd intrekbaar (net zo eenvoudig als
geven);
• Telecommunicatiewet (spamverbod);
• E-privacyverordening (Commissievoorstel).

13. 3) INFORMATIEPLICHT
• Toegankelijk & zichtbaar;
• Helder & begrijpelijk;
• Identiteit en Contactgegevens;
• Verzameling en Gebruik;
• Doeleinde;
• Bewaartermijnen;
• Beveiliging;
• Verstrekking aan derden;
• Rechten van de betrokkene;
• (voorafgaand aan toestemming).

14. 4) VERWERKERSOVEREENKOMST
• Overeenkomst of andere bindende rechtshandeling
• Categorieën persoonsgegevens & betrokkenen
• Vastleggen onderlinge rolverdeling;
• Inschakelen van derden (sub-verwerkers);
• Verwerken binnen/buiten EU;
• Beveiligingsmaatregelen;
• Geheimhouding;
• Verzoeken betrokkenen;
• Meldplicht datalekken;
• Audits;
• (Aansprakelijkheid).

15. 5) RECHTEN VAN BETROKKENEN
• Recht op inzage;
• Recht op rectificatie;
• Recht op wissing;
• Recht op beperking;
• Recht om vergeten te worden;
• Recht op dataportabiliteit;
• Recht op bezwaar;
• Recht om niet te worden onderworpen aan
geautomatiseerde besluitvorming (waaronder
profilering).

16. 6) PRIVACY IMPACT ASSESSMENT (PIA)
Wie?
• Verwerkingsverantwoordelijke
Wat?
• Voorafgaand onderzoek privacy-
effecten nieuw Project
Waarnaar?
• Welke persoonsgegevens, Doel,
Noodzakelijk, Beveiliging,
Doorgeven van gegevens;
• Doel: privacy-vriendelijk maken.
Wanneer?
• (waarschijnlijke) Risico’s privacy
betrokkenen;
• Automatisch beoordelen;
• Gevoelige gegevens;
• Openbare ruimten monitoren;
• Grote schaal combineren (Big Data).

17. 7) FUNCTIONARIS GEGEVENSBESCHERMING (FG)
Wanneer?
• Overheidsinstanties;
• Publieke taken;
• Observeren;
• Grote schaal bijzondere
persoonsgegevens;
• Twijfel? Onderbouwing.
Taken?
• Vraagbaak, adviseren, Toezien op
naleving AVG, PIA, registerplicht,
datalekken,
verwerkersovereenkomst.
randvoorwaarden?
• Interne bedrijfsregels +
procedures;
• Integer + zeer professioneel;
• Direct rapporteren directie;
• Geheimhouding.

18. 8) REGISTERPLICHT
verwerker:
• Naam + contactgegevens;
• Categorieën verwerkingen;
• Doorgifte naar landen buiten de EU;
• Beveiligingsmaatregelen.
Verwerkings-
verantwoordelijke:
+ doeleinden, categorieën gegevens &
betrokkenen, ontvangers en
bewaartermijnen.

19. 9) BEVEILIGING
Passende technische en organisatorische maatregelen
• Afhankelijk van:
• Gevoeligheid + hoeveelheid persoonsgegevens;
• Kosten;
• Stand van de techniek.
• Passend, zoals
• Pseudonimisering en encryptie;
• Vertrouwelijkheid, beschikbaarheid en integriteit waarborgen;
• Adequaat en tijdig kunnen reageren op incidenten;
• Regelmatig testen, evalueren en bijschaven.

20. 10) MELDPLICHT DATALEKKEN
Beveiligingslek
• inbreuk op de beveiliging,
bijvoorbeeld via:
• Hacking;
• Ransomware;
• ‘verkeerde’ e-mails;
• Brand datacenter;
• Verlies wachtwoorden.
Datalek
• wanneer bij een beveiligingslek
persoonsgegevens onrechtmatig:
• Vernietigd of verloren zijn gegaan;
• Zijn gewijzigd of verstrekt;
• Zijn verstrekt;
• Zijn doorgezonden, opgeslagen of
anderszins verwerkt.
registerplicht

21. 10) MELDPLICHT DATALEKKEN
Verwerkingsverantwoordelijke:
• melden Autoriteit Persoonsgegevens
binnen 72 uur na ontdekking lek.
• Afhankelijk van het lek: melden aan
betrokkenen.
Verwerker:
• Melden aan verwerkingsverantwoordelijke
volgens afspraken
verwerkersovereenkomst.

22. MILJOENENBOETES…..
• Boetes tot het maximum van
• € 20.000.000
• 4% van wereldwijde jaaromzet

23. DANK U WEL!
INFO@ICTRECHT.NL / 020 – 663 1941