mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree

Presentatie over: "mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree"— Transcript van de presentatie:

1 mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree
Privacy in de cloud mr. J.J. Braat Advocaat IT, privacy en contracten Legaltree Privacy in de cloud

2 Partijen Verantwoordelijke: alle verplichtingen
Cloud service provider = bewerker Beveiligingsplicht Geheimhoudingsplicht Andere CSP´s = sub-bewerkers Idem, o.b.v. overeenkomst Privacy in de cloud

3 Controle is de sleutel Controle Feitelijk Juridisch Hoe zorg ik dat ik aan mijn verplichtingen voldoe? Wie kan ik aansprakelijk stellen als het fout gaat? Waar staan de data (data-export verbod)? Wie kan er bij de data (overheden)? Hoe kom ik bij de data (voldoen aan rechten betrokkenen)? Hoe lang worden de data bewaard? Privacy in de cloud

4 Betere controle beperkt aansprakelijkheid
Public In house Tabel is illustratief Privacy in de cloud

5 Gevolgen wetsovertreding
Huidig recht: Schadevergoeding door betrokkene Reputatieschade Vermindering vertrouwen klant Toekomstig recht: Aanvullend: hoge boetes Privacy in de cloud

6 Boetes NL wetsvoorstel meldplicht datalekken: Boetes nieuwe wetgeving:
Tot EUR bij niet melden Boetes nieuwe wetgeving: Soort overtreding Hoogte boete Mild of 0,5% wereldwijze omzet Gemiddeld of 1% wereldwijze omzet Ernstig of 2% wereldwijze omzet Privacy in de cloud

7 De boetes op huidige verplichtingen in de cloud
Betrokkene tijdig antwoorden op inzageverzoek / 0,5 % Betrokkenen inzage geven in gegevens / 1% Gegevens betrokkenen op verzoek verwijderen Data export verbod / 2,5% Bewerkersovereenkomst sluiten Privacy in de cloud

8 De boetes op “nieuwe” verplichtingen in de cloud
Documentatieplicht / 1% Zorgen voor data portability Voldoen aan het recht om vergeten te worden “Mechanismen” instellen om te voldoen aan rechten betrokkenen, bewaartermijnen Privacy impact assessment uitvoeren / 2,5% Datalekken melden Privacy in de cloud

9 Er komen ook zelfstandige verplichtingen voor CSP´s
Cloud service providers krijgen eigen, zelfstandige verplichtingen, o.a.: Data export verbod Geheimhouding Beveiligen Sub-bewerkers alleen met toestemming Meewerkingsplicht Niet voldoen = verantwoordelijke = boete Privacy in de cloud

10 Risico´s mitigeren Risk assessment / privacy impact assessment
Maatregelen m.b.t. persoonsgegevens Anonimiseren Encrypten Contractuele afspraken maken Verplichting om cloud bewerkersovereenkomst sluiten Privacy in de cloud

11 Wat moet er in de bewerkersovereenkomst staan?
Beveiliging (TPM) Afwijzen niet juridisch bindende inzage verzoeken overheden Data export verbod waarborgen Sub-bewerkers Toegang tot gegevens Noemen Meewerken m.b.t. rechten betrokkenen Compliance Logging Verantwoordelijkheid Data portability Informatievoorziening Data continuïteit (back-up, exit procedure) en beschikbaarheid Locatie gegevens Datalekken Geheimhouding Veranderingen in diensten Auditrechten Inzageverzoeken overheid Bewaartermijnen Boeteclausules Privacy in de cloud

12 Laat je niet van de wijs brengen
Gez. Toezichthouders: “De onbalans van de contractuele verhouding tussen een kleine verantwoordelijke en een grote service provider mag geen reden zijn voor de verantwoordelijke om contractvoorwaarden te accepteren die in strijd zijn met het Europese Privacyrecht.” Privacy in de cloud

13 Vragen? Privacy in de cloud

14 Bieneke Braat Legaltree
Privacy in de cloud