Mw. mr. S. (Sanne) Kleerebezem Privacyregelgeving 7 mei 2018 Mw. mr. S. (Sanne) Kleerebezem

Van Wbp naar AVG

Privacy in de media… Stelling: ik mag altijd een beveiligingscamera ophangen Heiligt het doel de middelen Wat kun je met data? Cameratoezicht mag ook niet zomeer. Reeele vrees, informeren dat er cameratoezicht is etc

Stappenplan Breng in beeld welke gegevens er worden verwerkt (en of dat wel mag..). Bepaal het doel van de verwerking. Stel vast of er wordt gehandeld als verwerker of verwerkingsverantwoordelijke en sluit verwerkersovereenkomsten. Informeer (als verwerkingsverantwoordelijke) betrokkenen over de verwerking van hun gegevens met behulp van een privacy statement. Voorkom datalekken. Worden er toch data gelekt? Onderzoek of er een melding aan AP en/of betrokkenen gedaan moet worden. Maak gebruik van een verwerkingsregister.

Stap 1: welke gegevens worden er verwerkt? “elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon” persoonsgegeven “elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens” verwerken

Stap 1: welke gegevens worden er verwerkt? De 6 grondslagen in de wet om persoonsgegevens te verwerken: Ondubbelzinnige toestemming betrokkene; Uitvoering van een overeenkomst; Wettelijke plicht; Vitaal belang betrokkene; Publiekrechtelijke taak; Gerechtvaardigd belang van de verantwoordelijke.

Stap 1: welke gegevens worden er verwerkt Stap 1: welke gegevens worden er verwerkt? (bijzondere persoonsgegevens) Gezondheid Lidmaatschap vakbond Strafrechtelijk verleden Seksuele voorkeur Godsdienst/ levensovertuiging Politieke leven Ras

Stap 1: welke gegevens worden er verwerkt? (BSN) Bedoeld voor het contact tussen burgers en de overheid. Organisaties buiten de overheid mogen het BSN alleen gebruiken als dat wettelijk is bepaald, zoals werkgevers voor het uitwisselen van loongegevens aan de Belastingdienst. 

Stap 1: welke gegevens worden er verwerkt? Grondslagen bijzondere persoonsgegevens: Toestemming Openbaar gemaakt door betrokkene Vaststelling, uitoefening of verdediging van een recht in rechte Vitale belangen betrokkene (toestemming is niet mogelijk) Volkenrechtelijke verplichting Zwaarwegend algemeen belang & passende waarborgen & wet of ontheffing Autoriteit Persoonsgegevens Verwerking door Autoriteit Persoonsgegevens/ombudsman & wettelijke taak & passende waarborgen.

Stap 2: wat is het doel van de verwerking? “Persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld.’’ Reële vrees Bovendien: kenbaar maken dat wordt gefilmd. Heimelijk filmen mag in beginsel niet.

Stap 2: wat is het doel van de verwerking? Voorbeelden: Voor het uitvoeren van een loonadministratie zijn bepaalde financiële persoonsgegevens benodigd; Voor het leveren van een dienst, zoals een hotelovernachting, zijn persoonsgegevens nodig, zoals de naam en de woonplaats. Ter zake dienend Niet bovenmatig Toereikend Bovenmatig: ook gegevens van gezelschap van boeker. Ter zake dienend: haarkleur Toereikend: alleen postcode terwijl doel is iemand te kunnen bereiken op huisadres

Stap 3: verwerker of verwerkingsverantwoordelijke? Bepaalt het doel en de middelen verwerkingsverantwoordelijke Verwerkt ten behoeve van verwerkingsverantwoordelijke verwerker Property Management System het verwerken van jouw reserveringen het opmaken van de facturen Booking.com? Leverancier PMS systemen?

Stap 4: zijn betrokkenen op de hoogte gebracht? Bijvoorbeeld richting: - werknemers - gasten - websitebezoekers (zie bijvoorbeeld privacystatement Bol.com)

Stap 5: voorkom datalekken. Meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Autoriteit Persoonsgegevens; De wet is per 1 januari 2016 in werking getreden.

Stap 5: voorkom datalekken. Een inbreuk op de beveiliging van persoonsgegevens De persoonsgegevens zijn blootgesteld aan verlies of onrechtmatige verwerking. Verlies: verwijderen van een bestand met NAW-gegevens zonder dat er een back-up is gemaakt Onrechtmatige verwerking: de persoonsgegevens zijn toegankelijk voor onbevoegden (een hack).

Stap 5: voorkom datalekken. Voorbeelden: Gestolen klantenlijst Cyberaanvallen (ransomware) E-mail verzonden naar verkeerd adres Gestolen laptop met persoonsgegevens Verloren USB-stick Verlies persoonsgegevens zonder backup

Stap 5: voorkom datalekken. Een datalek moet bij de Autoriteit Persoonsgegevens worden gemeld als: het datalek leidt tot een aanzienlijke kans op ernstige nadeligegevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van de persoonsgegevens

Stap 5: voorkom datalekken. Melden aan betrokkene(n) als: er ongunstige gevolgen voor de persoonlijke levenssfeer te duchten zijn.

Stap 5: voorkom datalekken. De huidige meldplicht datalekken is onder de AVG grotendeels gelijk gebleven. Wijzigingen: Boetebevoegdheid AP € 20 miljoen of 4% van de wereldwijde jaaromzet Ieder datalek registreren, ook als het datalek niet bij de AP hoeft te worden gemeld

Stap 6: maak gebruik van een verwerkingsregister. Registreer: de naam en contactgegevens van: de organisatie, of de vertegenwoordiger van de organisatie; gezamenlijk verwerkingsverantwoordelijke(n); internationale organisaties waar persoonsgegevens mee worden gedeeld. de doelen waarvoor persoonsgegevens worden verwerkt. de categorieën van betrokkenen; de categorieën van persoonsgegevens. Zoals het BSN, NAW-gegevens, telefoonnummers en camerabeelden; de datum waarop de gegevens moeten worden gewist; de ontvangers aan wie persoonsgegevens worden verstrekt; een beschrijving van technische en organisatorische maatregelen ter beveiliging van persoonsgegevens.

Vragen/ stellingen

Ik mag persoonsgegevens verwerken als ik die maar goed beveilig. Stelling Ik mag persoonsgegevens verwerken als ik die maar goed beveilig.

Voor het verwerken van persoonsgegevens heb ik toestemming nodig. Stelling Voor het verwerken van persoonsgegevens heb ik toestemming nodig.

Ik moet een datalek altijd melden. Stelling Ik moet een datalek altijd melden.

Ik mag gebruik maken van een waarschuwingsregister. Stelling Ik mag gebruik maken van een waarschuwingsregister. (Besluit College Bescherming Persoonsgegevens 2013)

Vraag Is een boekingsnummer een persoonsgegeven?

Vraag Mag een (medewerker van) een hotel een kopie maken van een legitimatiebewijs met afscherming van het BSN-nummer?

Is het hotel daartoe verplicht? Vraag Een voormalig hotelbezoeker doet een verzoek tot het wissen van haar gegevens. Is het hotel daartoe verplicht?

Vraag datalek Een brief met daarin persoonsgegevens wordt naar een foutief adres gestuurd en ongeopend retour gezonden. Is dit een datalek?

(Achteraf nog) vragen? Vestiging Lelystad Vestiging Almere Tel. 0320-289 888 Tel. 036-534 6220 www.okkerse-schop.nl