Privacy: Over de grenzen van big data verzamelen, gebruiken en delen bij fraude en criminaliteitsbestrijding. En de gevolgen van de nieuwe AVG Bart van der Sloot Tilburg Institute for Law, Technology, and Society (TILT) Www.bartvandersloot.nl

Overzicht (1) Achtergrond AVG (2) Toepassingsgebied AVG (3) Algemene kader AVG (4) Plichten AVG (5) Rechten AVG (6) Hoe verhoudt Big Data zich tot het juridische raamwerk?

Achtergrond Wie Wat Waar Waarom Belang

Toepassing 1. Er worden persoonsgegevens 2. Verwerkt 3. Door een verantwoordelijke 4. EU heeft competentie 5. Geen uitzondering

Persoonsgegevens „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;

Verwerkt „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

Verantwoordelijke „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; „verwerker”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/ dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt;

EU competentie Artikel 3 Territoriaal toepassingsgebied 1. Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt. 2. Deze verordening is van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met: a) het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of b) het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt. 3. Deze verordening is van toepassing op de verwerking van persoonsgegevens door een verwerkingsverantwoordelijke die niet in de Unie is gevestigd, maar op een plaats waar krachtens het internationaal publiekrecht het lidstatelijke recht van toepassing is

Uitzonderingen Nationale veiligheid Politie en justitie Privédoeleinden

Vijf kernprinciples 1. Mensenrechtendiscours 2. Fair Information Principles 3. Legitiem belang 4. Bijzondere persoonsgegevens 5. Doorvoer van persoonsgegevens

Handvest voor de Grondrechten van de Europese Unie Artikel 7 Eerbiediging van het privé-leven en het familie- en gezinsleven Eenieder heeft recht op eerbiediging van zijn privé-leven, zijn familie- en gezinsleven, zijn woning en zijn communicatie. Artikel 8 Bescherming van persoonsgegevens 1. Eenieder heeft recht op bescherming van de hem betreffende persoonsgegevens. 2. Deze gegevens moeten eerlijk worden verwerkt, voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet. Eenieder heeft recht op toegang tot de over hem verzamelde gegevens en op rectificatie daarvan. 3. Een onafhankelijke autoriteit ziet toe op de naleving van deze regels.

Principes Noodzakelijkheid Proportionaliteit Subsidiariteit Effectiviteit

Fair information principles Doelspecificatie: Dataminimalisatie: Doelbinding: Opslagbeperking: Correct en Up-to-date:

Legitiem belang Artikel 6 Rechtmatigheid van de verwerking 1. de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens 2. de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is 3. de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting 4. de verwerking is noodzakelijk om de vitale belangen van de betrokkene te beschermen 5. de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang 6. de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke, behalve wanneer de belangen van de betrokkene zwaarder wegen

Toestemming Toestemming: Vrij: Specifiek: Geïnformeerd: Ondubbelzinnig: Bewijsbaar: Minderjarigen:

Bijzondere persoonsgegvens Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden. Gezondheid werknemer Arbeids-, socialezekerheids- en socialebeschermingsrecht Uitdrukkelijke toestemming Uitdrukkelijk openbaar gemaakt Statistische analyse en wetenschappelijk onderzoek Volksgezondheid Zwaarwegend algemeen belang

Legitieme doorvoer van gegevens Persoonsgegevens die zijn bestemd om na doorgifte aan een derde land te worden verwerkt, mogen slechts worden doorgegeven indien de verwerkingsverantwoordelijke en de verwerker aan de in dit hoofdstuk neergelegde voorwaarden hebben voldaan Artikel 45 Doorgiften op basis van adequaatheidsbesluiten Artikel 46 Doorgiften op basis van passende waarborgen Artikel 49 Afwijkingen voor specifieke situaties

Plichten 1. Documentatieplicht 2. Data Protection Officer 3. Data Protection Impact Assessement 4. Veiligheid Technische veiligheid Organisatorische veiligheid By Design 5. Transparantie Algemene transparantie Informatie aan datasubject Melding datalek

Rechten datasubject 1. Informatierecht 2. Inzagerecht 3. Recht op kopie 4. Recht op correctie en aanvulling 5. Recht op dataportabiliteit 6. Recht om vergeten te worden 7. Recht op bezwaar 8. Recht op beperking 9. Verbod op automatische besluitvorming 10. Klachtrecht

Hoe verhoudt Big Data zich tot het juridische raamwerk? Verzamelen: hoe meer hoe beter, data altijd een tweede leven, van te voren niet duidelijk wat het doel is, quantity over quality, ungestructureerde data Analyseren: aggregeren van data, statistische correlaties, profielen, Gebruik: algemeen beleid, groepsspecifiek beleid, toepassen van algemene bevindingen op specifieke individuen

Hoe verhoudt Big Data zich tot het juridische raamwerk? Spanningsvelden: Data minimalisatie vs. Data maximalisatie Data accuraatheid vs. Dirty data Doelspecificatie vs. Eerst verzamelen, dan doel bepalen Doelbinding vs. Tweede (derde, vierde) leven van data Opslagbeperking vs. Opslag Controle vs. Multi-stakeholder approach Territorialiteit vs. Globalisering data opslag/gebruik Vertrouwelijkheid vs. Openheid Verbod profiling vs. Profiling Etc.

Hoe verhoudt Big Data zich tot het juridische raamwerk? Daarnaast bredere ethische vraagstukken: Effectiviteit Bias Valse positieven en valse negatieven Chilling effect Filter Buble Nudging Transparantie paradox Sociale relaties Data misbruik Legitimiteit Etc.

Vragen