mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree Privacy in de cloud mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree 06-05-2013 Privacy in de cloud

Partijen Verantwoordelijke: alle verplichtingen Cloud service provider = bewerker Beveiligingsplicht Geheimhoudingsplicht Andere CSP´s = sub-bewerkers Idem, o.b.v. overeenkomst 06-05-2013 Privacy in de cloud

Controle is de sleutel Controle Feitelijk Juridisch Hoe zorg ik dat ik aan mijn verplichtingen voldoe? Wie kan ik aansprakelijk stellen als het fout gaat? Waar staan de data (data-export verbod)? Wie kan er bij de data (overheden)? Hoe kom ik bij de data (voldoen aan rechten betrokkenen)? Hoe lang worden de data bewaard? 06-05-2013 Privacy in de cloud

Betere controle beperkt aansprakelijkheid Public In house Tabel is illustratief 21-2-2013 Privacy in de cloud

Gevolgen wetsovertreding Huidig recht: Schadevergoeding door betrokkene Reputatieschade Vermindering vertrouwen klant Toekomstig recht: Aanvullend: hoge boetes 06-05-2013 Privacy in de cloud

Boetes NL wetsvoorstel meldplicht datalekken: Boetes nieuwe wetgeving: Tot EUR 250.000 bij niet melden Boetes nieuwe wetgeving: Soort overtreding Hoogte boete Mild 250 000 of 0,5% wereldwijze omzet Gemiddeld 500 000 of 1% wereldwijze omzet Ernstig 1 000 000 of 2% wereldwijze omzet 06-05-2013 Privacy in de cloud

De boetes op huidige verplichtingen in de cloud Betrokkene tijdig antwoorden op inzageverzoek 250 000 / 0,5 % Betrokkenen inzage geven in gegevens 500 000 / 1% Gegevens betrokkenen op verzoek verwijderen Data export verbod 1 000 000 / 2,5% Bewerkersovereenkomst sluiten 06-05-2013 Privacy in de cloud

De boetes op “nieuwe” verplichtingen in de cloud Documentatieplicht 500 000 / 1% Zorgen voor data portability Voldoen aan het recht om vergeten te worden “Mechanismen” instellen om te voldoen aan rechten betrokkenen, bewaartermijnen Privacy impact assessment uitvoeren 1 000 000 / 2,5% Datalekken melden 06-05-2013 Privacy in de cloud

Er komen ook zelfstandige verplichtingen voor CSP´s Cloud service providers krijgen eigen, zelfstandige verplichtingen, o.a.: Data export verbod Geheimhouding Beveiligen Sub-bewerkers alleen met toestemming Meewerkingsplicht Niet voldoen = verantwoordelijke = boete 06-05-2013 Privacy in de cloud

Risico´s mitigeren Risk assessment / privacy impact assessment Maatregelen m.b.t. persoonsgegevens Anonimiseren Encrypten Contractuele afspraken maken Verplichting om cloud bewerkersovereenkomst sluiten 06-05-2013 Privacy in de cloud

Wat moet er in de bewerkersovereenkomst staan? Beveiliging (TPM) Afwijzen niet juridisch bindende inzage verzoeken overheden Data export verbod waarborgen Sub-bewerkers Toegang tot gegevens Noemen Meewerken m.b.t. rechten betrokkenen Compliance Logging Verantwoordelijkheid Data portability Informatievoorziening Data continuïteit (back-up, exit procedure) en beschikbaarheid Locatie gegevens Datalekken Geheimhouding Veranderingen in diensten Auditrechten Inzageverzoeken overheid Bewaartermijnen Boeteclausules 06-05-2013 Privacy in de cloud

Laat je niet van de wijs brengen Gez. Toezichthouders: “De onbalans van de contractuele verhouding tussen een kleine verantwoordelijke en een grote service provider mag geen reden zijn voor de verantwoordelijke om contractvoorwaarden te accepteren die in strijd zijn met het Europese Privacyrecht.” 06-05-2013 Privacy in de cloud

Vragen? 06-05-2013 Privacy in de cloud

Bieneke Braat Legaltree http://www.legaltree.nl/nl/partners/bieneke-braat/ 06-05-2013 Privacy in de cloud