Enkele actualiteiten IT & Recht ZVIO Mr. Peter van Schelven 28 januari 2016, Goes

Agenda Informatiebeveiliging en meldplicht datalekken - Aanpassing privacywetgeving Voorstel voor Wet gegevensverwerking en meldplicht cybersecurity (januari 2016) Software en auteurscontractenrecht ( )

Wet Meldplicht Datalekken

Databeveiliging: de klassieke ‘CIA- triade’ Confidentiality => exclusiviteit van data: alleen geautoriseerde personen/organisaties hebben toegang en de data kunnen niet uitlekken. Integrity => actuele, correcte en volledige informatie, op basis van een geautoriseerd proces of geautoriseerde personen. Integriteit van data en verwerkingsproces Availability => beschikbaarheid (tijdigheid, continuïteit en robuustheid)

Nieuwste loot: het transparantiebeginsel Transparantie d.m.v. een meldplicht (notificatieplicht) datalekken Waar wettelijk geregeld? 1. Nu: Telecommunicatiewet (telecom- en internet accesproviders) 2. Vanaf : Wet Bescherming Persoonsgegevens (alle bedrijven en (overheids-)organisaties; deels voor financiële instellingen) 3. Bij de TK: Wet gegevensverwerking en meldplicht cybersecurity (alleen aanbieders vitale infrastructuren) 4. Europese Privacy-verordening (alle bedrijven en organisaties, waaronder overheden)

Wat is een ‘datalek’ volgens de WBP? Complexe definitie met open ‘eindjes’ “…een inbreuk op de beveiliging … die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens.” Bedrijf/organisatie moet zelf eigen afweging maken of sprake is van: (a) inbreuk beveiliging (b) ernstige nadelige gevolgen (c) kans op ernstige nadelige gevolgen Niet alleen internet-gerelateerde databeveiliging, ook ‘klassieke’ ICT en papieren bestanden (mits voldoen aan WBP-criteria)

Voorbeelden ‘datalek’ volgens Autoriteit Persoonsgegevens (AP) Inbreuken op de beveiliging volgens beleidsregels AP (nieuwe naam van CBP) kwijtgeraakte USB-stick gestolen laptop inbraak door een hacker verzending van waarin de adressen van alle geadresseerden zichtbaar zijn voor alle andere geadresseerden malwarebesmetting (ook ransomware) brand in datacentrum

Ernstige nadelige gevolgen voor de persoonlijke levenssfeer? Beleidsregels geven diverse voorbeelden Extra aandacht voor: “bijzondere persoonsgegevens” vrijwel altijd risicovol - medische data, godsdienst of levensovertuiging, ras, politieke gezindheid, seksuele leven, lidmaatschap van een vakvereniging en strafrechtelijke gegevens financiële/economische data van personen data die kunnen leiden tot stigmatisering/uitsluiting van personen gebruikersnamen, wachtwoorden en andere inloggegevens data die kunnen worden misbruikt voor (identiteits)fraude

Meldplicht volgens de WBP Autoriteit Persoonsgegevens Betrokken personen Wanneer? => ‘onverwijld’, AP zegt: binnen 72 uur na ontdekking incident Wat? => aard en omvang datalek, vermoedelijke gevolgen, maatregelen, betrokken instanties etc. Hoe? => per brief, krant, website, , telefoon e.d. en mogelijkheden tot correctie/reactie (kostenafweging versus zorgvuldige info)

Uitzondering meldplicht jegens personen Geen meldplicht naar personen bij versleuteling (encryptie) “onbegrijpelijk en ontoegankelijk” voor iedereen die geen recht heeft op kennisname AP kan beslissen dat encryptie niet voldoende is => dan ontstaat alsnog een meldplicht.

Bezwaren tegen meldplicht Verhouding monitoring van ICT-systemen en meldplicht Nieuwe druk op ICT-contractpraktijk (cloudcontracten; hosting etc.) Onvoldoende bescherming tegen dat wat AP met meldingen doet Aanzuigende werking voor nieuwe aansprakelijkheden Geen internationale uniformering

Contractspraktijk Contractueel ‘doorleggen’ van wettelijke meldplicht naar Cloud Provider of hostingbedrijf - ICT-dienstencontracten - bewerkersovereenkomsten : wettelijk verplicht Aanpassen van bestaande/lopende contracten Medewerkingsplicht van Cloud provider en host uitwerken. “best practices” en auditing

Aandachtspunten bewerkersovereenkomst Samenhang met IT-diensteverleningscontract (hostingcontract) Informatieverplichtingen IT-dienstverlener naar opdrachtgever (alle datalekken melden of alleen bepaalde datalekken?) Informatieverplichtingen opdrachtgever naar IT-dienstverlener (bijv. bij opdrachtgever bekende besmetting van IT-systemen) Level van informatiebeveiliging, maatregelen Positie van bewerker – subbewerkers Auditing Looptijd bewerkersovereenkomst Positie van derden (bijv. overheidsinstantie vraagt om inzage gegevens) Aansprakelijkheid

Sancties Bestuurlijke boetes (tot max € of 10%omzet) Precedent: boete ACM aan KPN. Rechtbank Rotterdam 8 januari 2015: “Garanderen van passend beveiligingsniveau is een verstrekkende inspanningsplicht.” Boete: € Aanwijzingen van AP over de inrichting van uw beveiliging Aansprakelijkheid: (i) schending van informatiebeveiliging (ii) schending van notificatieplicht

Bestuurlijke boete Direct boete bij opzet of ernstig verwijtbare nalatigheid In andere gevallen: eerst bindende aanwijzing Beleidsregels boetes - Categorie I Boetebandbreedte tussen € 0 en € Categorie II Boetebandbreedte tussen € en € Categorie III Boetebandbreedte tussen € en € Schending van meldplicht valt in categorie II en (eventueel) III Schending van meldplicht aan CBP en betrokkenen leveren afzonderlijke boetes op, dus max 2x = € 1,64 miljoen Minimumboete is in beginsel € (afwijkingen t.b.v. MKB toegestaan) Schending beveiligingsverplichting zelf: categorie II en III

Meldplicht en aansprakelijkheid Onvoldoende beveiliging = onrechtmatig! => Melding kan indicatie van onvoldoende beveiliging zijn => Melding levert geen vrijtekening van aansprakelijkheid op Aansprakelijkheid jegens betrokken persoon voor: => Niet, te laat of te weinig melden bij CBP => Niet, te laat of te weinig melden bij betrokken personen => Niet voldoen aan last van CBP => Niet bijhouden van incidentenregister

US Case – ca 110 miljoen credit card data

Eigen kosten en schade i.v.m. meldplicht? Kosten forensisch onderzoek Kosten van crisismanagement Kosten melding inbreuk Kosten van ‘disaster recovery’ Kosten klantenservice (opzetten call-centre, bewaken betaalkaarttransacties, kredietbewakingsdiensten) Kosten verweer externe claims Kosten extra PR Kosten en schade wegens business interruptie

Cyber security verzekering First party verzekering of third party verzekering? Deel van beroepsaansprakelijkheidsverzekering IT-bedrijf? Dekking alleen bij schending van wettelijke meldplicht? Of ook bij niet- expliciete wettelijke verplichtingen? Of zelfs ook bij schending contractuele meldplicht in relatie verantwoordelijke - bewerker? Welke kosten zijn gedekt?

Praktische aandachtspunten meldplicht Inschakeling van ICT-monitoring? Aansturing van de medewerkers? Bij wie wanneer wat melden intern? Beleidskader voor melden aan AP/betrokkene: met of zonder verzekeraar? Rol van de verzekeraar bij uitvoering meldplicht Angst versus vertrouwen? Contractuele verhoudingen?

Voorstel voor wet gegevensverwerking en meldplicht cybersecurity

Wetsvoorstel januari 2016 Alleen voor ‘vitale aanbieders’ Welke zijn dat? Nog te bepalen, maar regering denkt aan energie, drinkwater, telecom, transport (mainport Rotterdam en Schiphol), financiën en Rijkswaterstaat (primaire waterkeringen). Wat melden: IT valt ‘in belangrijke mate’ uit. Invulling van ‘in belangrijke mate’ ontbreekt in wetsvoorstel. Concretisering in overleg met sectoren.

Inhoud wetsvoorstel Meldplicht bij Minister van Justitie/NCSC (Nationaal Cybersecurity Center) Boetes: geen NCSC gaat ‘hulp’ verlenen Niet alle IT-incidenten: geen melding bij Ddos-aanvallen

IT en Auteurscontractenrecht

Enkele aspecten van nieuw auteurscontractenrecht Vroeger: overdracht van auteursrecht d.m.v. akte en licenties waren vormvrij Nu: overdracht en exclusieve licenties d.m.v. akte. Gehele set van nieuwe spelregels voor ‘de exploitatieovereenkomst’ voor makers van vlees en bloed (natuurlijke personen) Geldt niet voor zogeheten fictieve makers (werkgevers en art.6- rechtspersonen) Doel: versterking van rechtspositie van ZZP-ers, freelancers

Nieuwe rechten voor natuurlijke personen (1) Recht op een ‘billijke vergoeding’ Nieuwe exploitatievormen => aanvullende billijke vergoeding => ook jegens rechtsopvolgers Aanvullende billijke vergoeding bij ‘ernstige onevenredigheid’ tussen vergoeding en exploitatieopbrengsten, ook te handhaven jegens rechtsopvolgers NON USUS: Ontbindingsrecht bij non-usus (non-exploitatie), na gunning van een redelijke termijn => retro overdracht auteurs recht

Nieuwe rechten voor natuurlijke personen (2) Vernietigbaar is beding dat onredelijk lang/onbepaald toekomstige werken claimt Nieuwe rechten zijn dwingend recht; afwijkende contracten houden geen stand.

Vragen? BIJ PETER- Wet & Recht Oudewater