5 jaar AVG | Commercieel belang = gerechtvaardigd belang?

In onze serie ‘5 jaar AVG’ mag de grondslag gerechtvaardigd belang natuurlijk niet ontbreken. De VoetbalTV-zaak en de KNLTB-zaak (én het standpunt dat onze Nederlandse privacytoezichthouder daarin heeft ingenomen) hebben de privacygemoederen de afgelopen jaren beziggehouden.

De basis

Een korte recap: om persoonsgegevens te mogen verwerken moet je onder meer een grondslag hebben. De AVG kent er 6, waarvan ‘gerechtvaardigd belang’ er 1 is. Simpel gezegd mag je persoonsgegevens verwerken op basis van deze grondslag als je een belangenafweging hebt gemaakt tussen jouw belang en dat van de betrokkenen: de zogeheten 3-stappentoets.

Het is verstandig om daar een Legitimate Interest Assessment (LIA) voor te gebruiken, zodat je goed kunt uitleggen hoe je tot je conclusie bent gekomen.

De VoetbalTV- en KNLTB-zaken

Wat was in deze zaken ook al weer het geval? VoetbalTV maakte in opdracht van amateurvoetbalclubs video’s van amateurwedstrijden en maakte deze openbaar via zijn eigen (afgesloten) platform. De KNLTB verstrekte persoonsgegevens van leden tegen betaling aan sponsoren.

In beide gevallen legde de Autoriteit Persoonsgegevens (AP) een boete op. Redenatie van de AP is namelijk dat een zuiver commercieel belang nooit een gerechtvaardigd belang kan zijn. Daarnaast stelt de AP zich op het standpunt dat een gerechtvaardigd belang een in wetgeving (of ergens anders in het recht) benoemd rechtsbelang is.

Oftewel: als het geen officieel rechtsbelang is, dan kan het ook geen gerechtvaardigd belang zijn. Dat beperkt de mogelijkheden als organisatie dus enorm!

Klopt het standpunt van de toezichthouder wel?

Staat dit ook zo in de AVG? Nee, zeker niet. Sterker nog: in overweging 47 staat dat direct marketing – toch een duidelijk commercieel belang – een gerechtvaardigd belang kan zijn.

Ook de Europese Commissie is het niet met de AP eens. Zij stuurde de AP zelfs een brief om dat nog eens te benadrukken. De tot nu toe gevoerde gerechtelijke procedures geven nog geen uitsluitsel of het standpunt van de AP in stand blijft of niet.

Wel is het besluit om VoetbalTV een boete op te leggen vernietigd. De AP had volgens de rechters dit besluit niet zorgvuldig genoeg genomen. In de KNLTB-zaak heeft de rechter vorig jaar prejudiciële vragen gesteld aan het Europese Hof van Justitie. Het gaat daarbij om de vragen:

• of een zuiver commercieel belang een gerechtvaardigd belang kan zijn;
• hoe, in algemene zin, de grondslag ‘gerechtvaardigd belang’ moet worden uitgelegd; en
• of het tegen betaling verstrekken van persoonsgegevens aan een derde zonder toestemming van betrokkenen een gerechtvaardigd belang kan zijn.

De uitspraak van het Europese Hof van Justitie wordt op zijn vroegst volgend jaar verwacht.

Wat nu?

De meeste organisaties lijken zich nog niet veel aan het standpunt van de AP gelegen te laten liggen. En naar onze mening is dat terecht. Elk belang dat de 3-stappentoets doorstaat kan een gerechtvaardigd belang opleveren; of het nu als belang in de wet staat of niet.

Het standpunt van de AP is wat ons betreft dan ook incorrect. Wél is het van belang om een LIA te doen en daar niet te lichtvaardig mee om te gaan.

Heb je hulp nodig bij het uitvoeren van een LIA? Wil je eens sparren of jouw belang kwalificeert als een ‘gerechtvaardigd belang’? Aarzel dan niet om contact met ons op te nemen, we denken graag met je mee.

Wat is een Data Protection Impact Assessment?

Een Data Protection Impact Assessment (DPIA) is een instrument waarmee je vooraf de privacyrisico’s in kaart brengt van een verwerking van persoonsgegevens. Bijvoorbeeld bij de inzet van een nieuw algoritme of monitoring van je medewerkers.

Daarnaast onderzoek je hoe je die risico’s kunt wegnemen of verkleinen, en wat de resterende risico’s zijn. Zo kan een organisatie bewust besluiten of de gegevensverwerking wenselijk is.

Blijkt uit het assessment dat er waarschijnlijk een hoog privacyrisico is? Dan moet je met de Autoriteit Persoonsgegevens (AP) overleggen: een voorafgaande raadpleging. Blijkt uit het assessment dat de resterende risico’s niet zo hoog zijn? Dan is het aan de organisatie om te bepalen of & hoe er wordt gestart met de verwerking van persoonsgegevens.

En voor de fijnproever 😉: in het Nederlands heet een DPIA een gegevensbeschermingseffectbeoordeling.

Waarom voer je een DPIA uit?

Een DPIA is in bepaalde gevallen verplicht op grond van de Algemene verordening gegevensbescherming (AVG). Maar het assessment geeft ook veel inzicht voor de organisatie zelf. Je weet of je voldoet aan de AVG, wat de mogelijke risico’s zijn van een verwerking én welke maatregelen je kunt (of moet) nemen.

Daarnaast zien wij in de praktijk dat organisaties er vrijwel altijd informatie uithalen waar ze eerder nog niet over hadden nagedacht. Dankzij een DPIA kijk je met een andere blik naar een nieuwe tool of verwerking.

Zie het dus als een hulpmiddel dat ervoor zorgt dat wat je gaat doen, ook goed gedaan wordt. Het is een investering in de toekomst: je voorkomt eventuele klachten, mogelijke datalekken, reputatieschade en een discussie met de toezichthouder.

(Wanneer) is een DPIA verplicht?

Een DPIA is niet altijd verplicht. De AP heeft een lijst van soorten verwerkingen opgesteld waarbij je dit assessment moet doen. Bijvoorbeeld bij cameratoezicht, een grootschalige verwerking van gezondheidsgegevens en profilering.

Let op: die lijst is niet uitputtend. Staat de voorgenomen verwerking niet op de lijst? In dat geval moet je zelf beoordelen of de verwerking een hoog privacyrisico kan opleveren. Je kunt daarvoor de checklist van de Europese toezichthouders gebruiken.

Het is daarnaast verstandig om een DPIA te doen (ook al is het formeel niet verplicht) als het gaat om een nieuwe technologie waarvan je de gevolgen nog niet helemaal kunt overzien. Het is ook verplicht om het periodiek te herhalen, om risico’s in kaart te houden.

In welke gevallen voer je een DPIA uit?

Een DPIA kan verplicht zijn als het gaat om een nieuwe verwerking van persoonsgegevens. Als je bijvoorbeeld een nieuwe tool wilt inzetten, nieuwe marketingactiviteiten gaat ondernemen of cameratoezicht in het bedrijfspand wilt.

Het kan ook gaan om een aanpassing of wijziging. Denk aan persoonsgegevens die je voor een bepaald doel hebt en je wilt deze gegevens ook inzetten voor een ander doel. Of je wilt een bestaande tool wijzigen, waardoor mogelijk het privacyrisico verandert.

Hoe zet je een DPIA op?

Een DPIA voer je uit voordat de verwerking van de persoonsgegevens start. Begin er zo vroeg mogelijk mee zodat het assessment ‘meegroeit’ met het proces aan de tekentafel. Het voordeel is dat je tussentijds direct aanpassingen kunt doorvoeren als je tegen ongewenste risico’s aanloopt.

Tip: bewaar de verschillende versies van een DPIA gedurende het denk-/ontwerpproces. Zo kun je achteraf laten zien dat er goed over nagedacht is.

Je zet een DPIA op aan de hand van een model/template. Zorg dat binnen de organisatie hetzelfde format gebruikt wordt. Een DPIA bestaat uit de volgende onderdelen:

• Een vragenlijst die o.a. de beoogde gegevensverwerking en doeleinden uitvraagt.
• Een beoordeling van de privacyrisico’s. De wet schrijft niet voor hoe je die risico’s moet classificeren; vaak wordt er gekeken naar de kans x impact.
• Een overzicht van de beoogde maatregelen om de risico’s aan te pakken.
• Het advies van de eventuele functionaris gegevensbescherming (FG).

Let op: in veel modellen ontbreekt vaak het belangrijkste: de risico’s en de te nemen maatregelen. Wil je zeker weten dat je een goede template hebt? Neem dan contact met ons op.

Wie voert een DPIA uit?

De persoon (of afdeling) die binnen een organisatie verantwoordelijk is voor datgene waarvoor je een DPIA wilt uitvoeren, is verantwoordelijk dat het assessment plaatsvindt. Is er een functionaris gegevensbescherming (FG) of privacy officer? Dan moet hij of zij betrokken worden. Het is zelfs verplicht om advies aan de FG te vragen.

Is er geen FG of privacy officer? Dan is het heel verstandig om iemand met kennis van privacy aan te haken. (Wij steken nú onze hand op 😉) Want in de vragenlijst zitten ook juridische en kwalificatievragen.

Daarnaast is het slim om iemand met kennis van informatiebeveiliging (zoals een Chief Information Security Officer) te betrekken, omdat er bijna altijd security-aspecten zijn.

Tip: leg intern vast wanneer een DPIA moet worden uitgevoerd (dus: wat zijn de triggers waarbij je over een DPIA moet nadenken), wie daarvoor verantwoordelijk is, welke personen betrokken moeten worden en wat de procedure is.

Hoe lang duurt een DPIA?

Zoals we hiervoor schreven, is het verstandig om zo vroeg mogelijk te starten. Vaak volgt een DPIA het project en loopt het dus mee in de doorlooptijd van dit project.

In alle andere gevallen is een doorlooptijd van een paar weken realistisch. Het hangt er vooral vanaf of je alle antwoorden op de vragen hebt, of juist nog moet verzamelen. Daarnaast hangt het af van de beschikbaarheid van de betrokken medewerkers.

Weet je precies wat je gaat doen en is alle informatie beschikbaar? Dan kan een DPIA in een paar uur worden uitgevoerd.

Hulp nodig bij een DPIA?

Wij hebben de juridische kennis, de ervaring (in verschillende rollen; ook als FG) en de positieve insteek: wij kijken naar wat er wél kan. Bij een DPIA denken wij gedurende het ontwerpproces met jullie mee zodat we kunnen bijsturen waar nodig. Zo kunnen we samen direct zorgen voor alternatieven en mitigerende maatregelen.

Onze ondersteuning is afhankelijk van de behoefte en de kennis die er al is binnen de organisatie. Dat kan betekenen dat we onze DPIA-template delen inclusief uitleg, dat we jullie helpen om de template in te vullen, tot en met het volledig meedenken met een project waarbij we onderdeel zijn van het projectteam. Neem contact met ons op voor de mogelijkheden.

Datalek en aansprakelijkheid

Na deel 1 (wat is een datalek) en deel 2 (een datalek melden), vertellen we in dit deel hoe je een datalek voorkomt. Maar eerst de aansprakelijkheid & mogelijke boete bij een datalek.

Als de persoonsgegevens van iemand gelekt zijn en deze persoon (de betrokkene) lijdt daardoor schade, kan hij de verwerkingsverantwoordelijke aansprakelijk stellen.

Is het datalek ontstaan bij de verwerker? Dan kan de betrokkene zowel de verwerkingsverantwoordelijke als de verwerker aansprakelijk stellen. Het is dus belangrijk dat deze partijen in hun overeenkomst afspraken maken over aansprakelijkheid en bijbehorende schade.

De rechter beoordeelt vervolgens die aansprakelijkheid: heb je gedaan wat je moest doen of had je het beter moeten doen als professional? Op dit moment zijn er niet veel uitspraken op dit gebied, maar dit zal in de toekomst waarschijnlijk veranderen; er zijn al massaclaims tegen grote (tech)bedrijven gestart, ook in Nederland.

Schade bij een datalek

De betrokkene moet zijn materiele en/of immateriële schade (zoals reputatieschade) bewijzen. De toegekende schadevergoedingen zijn in Nederland weliswaar relatief laag per persoon; maar bij een groot klantenbestand telt dat uiteindelijk wel op.

Voor een organisatie is reputatieschade meestal het grootste risico. Voeg daaraan toe de hoeveelheid werk, tijd en energie die een datalek kost (onderzoeken en oplossen, de toezichthouder informeren, het melden aan betrokkenen) en het voorkomen van een datalek is méér dan de moeite waard.

Verzekeren tegen een datalek

De gevolgen van een datalek zijn soms te verzekeren met een cyberverzekering. De precieze dekking hangt af van de polisvoorwaarden. Vaak valt een datalek als gevolg van ransomware onder de dekking; een datalek als gevolg van menselijk handelen wordt niet altijd vergoed.

Het is verstandig om als verwerker en verwerkingsverantwoordelijke samen afspraken te maken over deze verzekering.

Wanneer krijg je een boete bij een datalek?

 Een organisatie kan ook een boete krijgen van de Autoriteit Persoonsgegevens (AP). Dit gebeurt vooral bij een datalek met impact. Zoals een datalek met een hoog risico of een groot aantal betrokkenen dat geraakt wordt. Maar ook wanneer er regelmatig klachten zijn over een organisatie of als er niet adequaat gehandeld is. Denk bijvoorbeeld aan het lekken van kopieën van paspoorten die qua bewaartermijn niet eens meer in het bezit mochten zijn.

De boete hangt af van wat er precies is gebeurd, en is maximaal € 20 miljoen of 4 % van de wereldwijze omzet (afhankelijk van wat het hoogste is).

Het is goed om te realiseren dat een datalek elke organisatie kan overkomen: het gaat er echt om hoe je er vervolgens mee omgaat. Meld je een datalek en doe je dit op tijd, doe je adequaat onderzoek en neem je mitigerende maatregelen? Dat speelt bij de beoordeling door de AP allemaal een rol.

Sluipt er misschien heel even door je hoofd om een datalek niet te melden, ook al ben je daartoe verplicht? Omdat de AP dan immers niet op de hoogte is? Weet dat de toezichthouder ook niet-gemelde datalekken onderzoekt.

Hoe voorkom je een datalek?

Voorkomen is beter dan genezen. Daarom 9 praktische tips om een datalek te voorkomen:

1. Bewaar niet meer persoonsgegevens dan je nodig hebt. En: bewaar niet meer persoonsgegevens dan je überhaupt mag bewaren. Zorg voor een goed bewaarbeleid zodat je weet wanneer je gegevens moet wissen.

2. Zorg voor continue privacy awareness binnen de organisatie. Een menselijke fout is namelijk nog altijd de meest voorkomende oorzaak van een datalek. Lees hier hoe je medewerkers privacybewust maakt.

3. Creëer een veilige omgeving waar medewerkers een mogelijk datalek intern durven melden, zonder dat ze het gevoel krijgen dat ze hiervoor ‘gestraft’ kunnen worden.

Wij weten uit ervaring dat het melden van een datalek bij de leidinggevende voor veel medewerkers écht een stap te ver is. Maak het laagdrempeliger. Bijvoorbeeld de mogelijkheid om het te melden met een simpele druk op een knop op intranet.

Zorg dat medewerkers die knop weten te vinden én dat ze weten dat ze een (mogelijk) datalek direct moeten melden.

4. Leg een protocol klaar (en houd het onder de aandacht) zodat degene die de melding van een mogelijk datalek krijgt, precies weet wat hij of zij moet doen.

5. Denk regelmatig na over de technische en organisatorische beveiligingsmaatregelen. Doe dit jaarlijks, en daarnaast elke keer als er processen veranderen. Breng in kaart wat de risico’s zijn en wat je kunt doen om deze te verkleinen.

Bij Privacycoaches kunnen we je daarbij helpen. Bijvoorbeeld met een security-assessment en risico-assessment.

6. Werk met toegangsrechten: wie heeft toegang tot welke gegevens? Geef medewerkers geen ruimere toegang dan noodzakelijk is. Zo beperk je het risico van een menselijke fout. Leg vast wie bij welke gegevens is geweest (logging). Niet om te straffen, maar om de oorzaak van een datalek te kunnen achterhalen.

7. Denk goed na waar je gegevens opslaat en bewaar gevoelige gegevens zoveel mogelijk op één plek (maar bij voorkeur wel op basis van data segregatie). Soms willen meerdere afdelingen gegevens bewaren, maar dan raak je de controle kwijt.

8. Zorg voor een goed wachtwoordbeleid om hacks te voorkomen.

9. Neem technische maatregelen zoals versleuteling van data (encryptie). Mochten hackers toch toegang weten te krijgen tot de gegevens, dan kunnen ze er niets mee.

Hulp nodig bij het voorkomen van een datalek?

Weten jouw medewerkers niet hoe ze een datalek kunnen voorkomen? Of denk je dat het beter kan? Neem dan contact met ons op. Wij helpen je met bijvoorbeeld privacy awareness binnen de organisatie, het opstellen van een datalekprotocol en -proces, en een risico- en security-assessment.

Is er een datalek? Dan geven wij je juridisch én strategisch advies, en zorgen we ervoor dat je precies weet wat je moet doen.

Wat je nog meer wilt weten over het verwerkingsregister 

In deel 1 van deze serie vertelden we wat een verwerkingsregister is, wanneer het verplicht is en wat er in moet staan. Maar er is meer en dat delen we in deze blog met je! 

Waarom een verwerkingsregister?

Het korte antwoord op deze vraag: omdat het verplicht is op grond van de Algemene verordening gegevensbescherming (AVG). Het verwerkingsregister valt onder de verantwoordingsplicht als je persoonsgegevens verwerkt. Je moet verantwoording kunnen afleggen aan degenen van wie jij persoonsgegevens verwerkt, zoals klanten en medewerkers. 

Achterliggende gedachte: als je zorgvuldig om wilt gaan met persoonsgegevens, moet je inzicht hebben in wat je doet en met welke gegevens. Zonder dat inzicht is het niet mogelijk om die gegevens veilig te bewaren. En daar is het verwerkingsregister dus voor. 

Maar zie het wat ons betreft vooral niet als een eenzijdige verplichting. Als je het verwerkingsregister goed inricht, kun je het ook gebruiken als handig sturingsinstrument. Onze ervaring is dat de meeste ondernemers dat aspect waarderen. Niet alleen een vinkje zetten achter de wettelijke verplichting, maar er zelf ook profijt van hebben.  

Krijg je een boete als je geen verwerkingsregister hebt?

Ja, de Autoriteit Persoonsgegevens (AP) kan een boete opleggen als je geen verwerkingsregister hebt, terwijl dat wel zou moeten. Zijn er beveiligingsincidenten? Of klachten over jouw organisatie? Dan is het verwerkingsregister vaak het eerste wat opgevraagd wordt.  

Daarnaast kan een organisatie er willekeurig door de AP uit worden gehaald als de betreffende sector wordt getoetst. 

De boete is maximaal € 10 miljoen of 2 % van de wereldwijze omzet, afhankelijk van wat het hoogste is. Bij het bepalen van de boete wordt wel rekening gehouden met de mate van schending, of het de eerste keer is, wat voor soort bedrijf het is en of er schade is opgetreden. 

Bijhouden: hoe houd je een verwerkingsregister up-to-date?

Verwerkingsregister up and running? Dan adviseren wij om in ieder geval een keer per jaar het register tegen het licht te houden en te kijken of het nog klopt & volledig is. Afhankelijk van de dynamiek binnen de organisatie doe je dit vaker. Bijvoorbeeld bij een wijziging in de organisatie of in processen; denk aan nieuwe marketinginstrumenten waarmee persoonsgegevens worden opgehaald. 

Tip: je kunt deze jaarlijkse check aan ons uitbesteden als je er de expertise of tijd niet voor hebt. 

Wat is de bewaartermijn?

In het register leg je per verwerkingsactiviteit vast wat de bewaartermijn is. Voor fiscale gegevens geldt bijvoorbeeld een termijn van 7 jaar. Is er geen wettelijke bewaartermijn voor bepaalde gegevens? Bewaar ze dan niet langer dan nodig is. Leg in een bewaarbeleid vast wat je wanneer moet wissen. 

Voor het verwerkingsregister zelf bestaat geen bewaartermijn. Maar het is verstandig om oude versies te bewaren. Ons advies: bewaar verwerkingsregisters 5 jaar. Dan kun je bij bijvoorbeeld een incident aan de toezichthouder laten zien dat je het verwerkingsregister onderhoudt en privacy serieus neemt. 

Kan ik zelf een verwerkingsregister opstellen?

Is het moeilijk, een verwerkingsregister opzetten? Dat hangt er vanaf hoe goed je je bedrijf kent. Heb je alles in beeld? Dan kan het slechts een paar uur werk zijn. Anders kost het je zeker een paar dagen. 

Daarnaast hangt het af van de omvang van het bedrijf. Bij grote organisaties is er vaak een privacy officer die alle kennis van de verschillende afdelingen verzamelt voor het verwerkingsregister.  

Kleine organisaties kunnen het prima zelf doen met wat uitleg. Bij Privacycoaches maken we privacywetgeving toegankelijk, en dus ook het zelf opstellen van een verwerkingsregister. Wij zorgen voor een goede basis en uitleg, zodat jij het register verder zelf kunt bijhouden. 

Een verwerkingsregister door ons laten opstellen

Geen tijd en/of expertise voor het opzetten van een verwerkingsregister? Laat ons het voor je doen! Wij zorgen voor een goede template en halen input op bij de verschillende afdelingen. Dat doen we met laagdrempelige interviews zodat we zeker weten dat we alle informatie hebben. 

Met het door ons opgestelde verwerkingsregister (incl. toelichting) kan jouw organisatie er verder mee aan de slag. De jaarlijkse check kunnen jullie voortaan zelf doen. Of je laat dat aan ons over, dat mag natuurlijk ook. 

Oh, en hadden we al gezegd dat je er óók een handig sturingsinstrument van kunt maken? In het verwerkingsregister voegen wij voor ondernemers vaak naast het verplichte stuk, ook een deel toe dat handig is voor de organisatie zelf. Als je toch bezig bent 😉 

Met deze toevoeging kun je snel schakelen wanneer dat nodig is. Bijvoorbeeld als er een incident is geweest zoals een datalek. Of als een klant een vraag stelt over zijn persoonsgegevens. 

Wil je weten wat wij voor jou kunnen betekenen op dit gebied? Neem contact met ons op en we spreken je snel! 

Wanneer moet je een datalek melden?

Is er sprake van een datalek? Dan moet je dit melden bij de Autoriteit Persoonsgegevens (AP). Alleen als het niet waarschijnlijk is dat er een risico is voor de betrokkenen (de mensen van wie de persoonsgegevens zijn), hoef je een datalek níet te melden.

Het inschatten van dit risico moet een organisatie zelf doen. Hierbij kijk je naar hoe waarschijnlijk het is dat dit risico zich voordoet. En wat de impact is (zoals de gevolgen voor de betrokkenen) als dit inderdaad gebeurt. Een datalek is bijvoorbeeld risicovol als het om een grote hoeveelheid persoonsgegevens gaat. Of als het gevoelige persoonsgegevens betreft, zoals medische informatie of kopieën van paspoorten.

Je moet een datalek binnen 72 uur na ontdekking melden. Let op: deze termijn loopt altijd door, dus ook in het weekend, ‘s nachts en op feestdagen.

Twijfel je of iets een datalek is? Neem dan het zekere voor het onzekere en meld het datalek als voorlopig datalek bij de AP. Als een datalek onterecht niet wordt gemeld (of te laat wordt gemeld), kan de AP een boete opleggen.

Bij wie moet je een datalek melden?

Afhankelijk van het risico en de branche waarin jouw organisatie zit, meld je het datalek op meerdere plekken.

• Je meldt een datalek bij de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat er een risico is.
• Brengt het datalek waarschijnlijk een hoog risico mee voor de betrokkenen? Dan meld je het ook bij deze personen. Bij een hoog risico kun je denken aan de kans op identiteitsfraude, reputatieschade of gelekte medische informatie.

Er zijn een paar uitzonderingen waarbij je een datalek niet hoeft te melden bij de betrokkenen, ook al is er een hoog risico. Bijvoorbeeld als je achteraf maatregelen hebt getroffen waardoor het hoge risico is weggenomen. En financiële instellingen hoeven een datalek niet te melden aan betrokkenen, omdat dit anders ongewenste gevolgen kan hebben (zoals een bankrun).

• In sommige sectoren meld je een datalek ook bij de sectorspecifieke toezichthouder zoals de Autoriteit Financiële Markten (AFM) en De Nederlandsche Bank (DNB).

In de praktijk zien wij dat datalekken vaak alleen bij de AP gemeld moeten worden en dus niet aan de betrokkenen.

Hoe moet je een datalek melden?

Een melding bij de Autoriteit Persoonsgegevens gaat online via een uitgebreid formulier. Denk aan de termijn van 72 uur!

Ben je verplicht om ook de betrokkenen te informeren over het datalek? Dan is het verstandig om dit schriftelijk (per brief of e-mail) te doen. En in ieder geval op een manier waarop je gewend bent om met hen te communiceren.

Wie meldt een datalek: de verwerker of de verwerkingsverantwoordelijke?

De verwerkingsverantwoordelijke meldt het datalek, tenzij er met de verwerker andere afspraken zijn gemaakt.

Let op de volgende aandachtspunten:

• Maak je gebruik van een verwerker, zoals een websitehost? Als deze verwerker een datalek ontdekt, gaat de wet ervan uit dat jij (als verwerkingsverantwoordelijke) óók op dat moment weet van het datalek. De meldingstermijn van 72 uur gaat dan dus lopen. Zelfs als de websitebeheerder het datalek niet bij jou meldt…Het is dus heel belangrijk om hierover goede schriftelijke afspraken te maken.
• Soms zijn er 2 of meerdere verwerkingsverantwoordelijken: leg in jullie overeenkomst vast wie een datalek meldt.

Waarom moet je een datalek melden?

Het simpele antwoord: omdat het wettelijk verplicht is. Het is een stok achter de deur om ervoor te zorgen dat organisaties zorgvuldig omgaan met persoonsgegevens.

Om je een gevoel te geven bij het aantal datalekmeldingen bij de AP: in 2021 waren het er bijna 25.000. Het kan dus echt elke organisatie overkomen.

Moet je datalekken zelf registreren?

Je moet een register bijhouden van alle datalekken. Dus ook van de datalekken die je niet bij de Autoriteit Persoonsgegevens hoeft te melden.

Daarnaast moet je een register van niet-datalekken bijhouden. Daarin staan de beveiligingsincidenten waarvan je eerst dacht dat het mogelijk een datalek was, maar na onderzoek bleek dat dit niet het geval was.

Deze registers zorgen voor inzicht én moet je laten zien op verzoek van de Autoriteit Persoonsgegevens.

Datalek melden: een stappenplan

1. Zorg dat je inzicht krijgt in de situatie: wat is er precies aan de hand?

• • Om wat voor soort datalek gaat het, en wanneer is het ontdekt?
  • Welke persoonsgegevens zijn gelekt?
  • Wat is de oorzaak van het datalek, en bestaat het lek nog steeds?
  • Zijn er maatregelen waardoor onbevoegden niet bij de gelekte persoonsgegevens kunnen komen, bijvoorbeeld door versleuteling?

2. Neem maatregelen om de schade te beperken. Denk aan het op afstand wissen van een laptop of het blokkeren van de toegang tot een account.

3. Breng het risico voor de betrokkenen in kaart.

4. Ga na of je het datalek moet melden bij de Autoriteit Persoonsgegevens en betrokkenen, en doe dit op tijd.

5. Registreer het datalek in je eigen datalekregister.

Juridisch en strategisch advies bij een datalek

Hulp nodig op het gebied van datalekken? Bijvoorbeeld om te bepalen of iets een datalek is, en waar je deze moet melden? Of wil je juridisch en strategisch advies bij de melding zelf? Neem dan contact met ons op. Wij denken met je mee en adviseren over de communicatie met toezichthouder en betrokkenen.

Daarnaast zoeken we uit wat er gebeurd is en vooral hoe je dit in de toekomst voorkomt. Kortom: wij staan naast je in dit traject.

Het WK 2022 is het grootste sportevenement ter wereld en een enorm event als het gaat om digitale data. Het is een sportieve match: data en voetbal. Binnen de voetbalwereld wordt steeds meer gebruik gemaakt van nieuwe technologieën. Wij delen graag een aantal aansprekende voorbeelden met je. Met dank aan het IAPP congres in Brussel!!

Voorspellen van blessures

Met kunstmatige intelligentie kun je blessurevoorspellingen doen. Bijvoorbeeld met het programma Zone7. Hier voer je gegevens van medische profielen, fitnessbeoordelingen en wearables in, waarna het systeem blessurerisico’s berekent.  Zo is het dus mogelijk om te voorspellen wanneer een speler een blessure dreigt op te lopen.

Let op: alleen geschikt voor het berekenen van de kans op echte blessures, schwalbes blijven buiten beschouwing 😊

Talentscouting op afstand

Vind de nieuwe sterspeler met behulp van kunstmatige intelligentie: met AiSCOUT kan iedere jonge sporter tijdens trainingen beeldmateriaal van zichzelf uploaden. AiSCOUT geeft vervolgens scores voor bepaalde oefeningen. Professionele scouts hebben toegang tot deze informatie (zoals technische, psychometrische en cognitieve vaardigheden) waardoor jonge talenten overal ter wereld eerder een kans hebben om ontdekt te worden.

Op deze manier worden jongeren bereikt die anders niet zo snel gescout zouden worden en draagt het bij aan meer toegankelijkheid.

Medische monitoring

Het medisch monitoren van spelers kan dankzij nieuwe technologieën tegenwoordig veel gemakkelijker. IDOVEN is bijvoorbeeld gespecialiseerd in remote sportcardiologie en heeft als doel om hartproblemen, zoals een hartinfarct, bij sporters te helpen voorkomen. Het systeem (een monitoringskit) combineert kunstmatige intelligentie met niet-invasieve analytische technologie. Dit maakt diagnose op afstand en daarmee vroege detectie mogelijk.

What about privacy?

Er zitten dus veel positieve kanten aan deze nieuwe technologieën. Het is natuurlijk wel belangrijk dat er goed wordt nagedacht over wetgeving en de privacy-implicaties:

• Zijn de doeleinden waarvoor je de persoonsgegevens wilt gebruiken, goed omschreven? En worden de gegevens ook daadwerkelijk alleen voor de beschreven doeleinden gebruikt? Bijzondere gegevens zoals gezondheidsgegevens mogen niet worden verwerkt, tenzij 1 van de 10 uitzonderingen van de AVG van toepassing is. En hoe zit het met minderjarigen?

• Wat is de grondslag? Elke verwerking moet een grondslag hebben. Als de grondslag ‘toestemming’ is, is die toestemming vrijelijk gegeven? En kan de toestemming worden ingetrokken?

Duidelijk werd wel dat in Qatar daar nog onvoldoende over is nagedacht.

Support(ers) nodig?

In de categorie ‘dingen die je óók met privacy kunt doen’ zijn dit ontzettend mooie voorbeelden op het gebied van sportiviteit en gezondheid. Er kan en mag echt veel meer met data dan je denkt. Je moet het alleen goed regelen. Kan je daarbij wel wat support gebruiken? Neem dan contact op met Privacycoaches.

 

 

 

Wat is een datalek? Wij vertellen het je!

Bij een datalek zijn er onbedoeld persoonsgegevens vrijgegeven of heeft iemand ongeoorloofd toegang gehad tot de persoonsgegevens. Het is breder dan alleen ‘lekken’: het kan ook gaan om het vernietigen of wijzigen van persoonsgegevens. Bijvoorbeeld een hacker die gegevens wist of verandert.

En het moet dus gaan om persoonsgegevens. Dat is een gegeven dat (direct of indirect) te herleiden is naar een individueel persoon. Zoals een naam, adres, geboortedatum, Burgerservicenummer (BSN) of bankrekeningnummer.

Een datalek kan uit één persoonsgegeven bestaan of uit meerdere persoonsgegevens, van één persoon of van meerdere personen.

Voorbeelden van een datalek

Een paar concrete voorbeelden van een datalek:

• Een USB-stick die iemand verliest.
• Een laptop die vergeten is in de trein.
• Een online klantomgeving die door een technische fout deels open heeft gestaan voor onbevoegden. Of waardoor bijvoorbeeld klanten bij elkaar hebben kunnen kijken.
• Ransomware (gijzelsoftware) waardoor bestanden versleuteld zijn.
• Een verkeerd gestuurde e-mail of verkeerd bezorgde brief.

Hoe weet je of iets een datalek is?

Is er iets gebeurd wat mogelijk een datalek is? Dan is het verstandig om met ons contact op te nemen.

Samen brengen we alles in kaart: wat is er precies gebeurd, zijn er gegevens gelekt/vernietigd/gewijzigd en welke gegevens dan precies, wie heeft er toegang toe gehad, hoe is de beveiliging, is er schade en zijn er mogelijkheden om die schade te beperken.

Het is goed om te weten dat er 3 ‘smaken’ datalekken zijn:

1. Het is weliswaar een datalek, maar je hoeft dit niet te melden aan de toezichthouder en degenen van wie de persoonsgegevens zijn (betrokkenen).
2. Het is een datalek dat je moet melden aan de toezichthouder, maar niet aan de betrokkenen.
3. Het is een datalek dat je moet melden aan de toezichthouder én de betrokkenen.

Wij kunnen bepalen of iets a) een datalek is en b) of en bij wie je dit moet melden. Lees hier meer over het melden van een datalek.

Wanneer is iets géén datalek?

Als er geen persoonsgegevens bij betrokken zijn, is het geen datalek. Denk aan een verkeerd gestuurde e-mail waarin geen persoonsgegevens staan (en deze ook niet indirect af te leiden zijn).

Of denk aan een beveiligingsincident zonder dat persoonsgegevens een rol spelen. Bijvoorbeeld een website die tijdelijk open heeft gestaan, maar waarbij er geen toegang was tot persoonsgegevens.

Is phishing een datalek?

Ja, wel als je erop ingaat én er dus persoonsgegevens bij komen kijken. Bij phishing is het vaak het doel om gegevens direct te krijgen (door mensen iets te laten invullen) of om toegang tot een online omgeving te krijgen.

Hoe ontstaat een datalek?

Een datalek ontstaat in de meeste gevallen door een menselijke fout. Denk aan het versturen van een e-mail naar de verkeerde persoon, iemand die in phishing trapt, slordigheid zoals het achterlaten van een laptop of het opslaan van een wachtwoord op een plek waar iemand anders ook bij kan.

Daarom is privacy awareness zo ontzettend belangrijk binnen een organisatie. Lees hier hoe je privacybewustzijn bij medewerkers creëert.

Is een datalek gevaarlijk?

Hoe erg een datalek is, hangt af van het soort persoonsgegevens dat erbij betrokken is. Ook het type klantenbestand kan een datalek gevaarlijk maken. Denk aan adresgegevens van een blijf-van-mijn-lijfhuis of van publieke personen zoals politici. Of aan het lekken van financiële gegevens of kopieën van paspoorten (risico op identiteitsfraude).

Het merendeel van de datalekken is niet gevaarlijk. Maar een datalek kan voor een organisatie wel gevolgen hebben. Denk aan reputatieschade, een boete door de toezichthouder en/of het moeten betalen van een schadevergoeding. Daarom is het belangrijk om datalekken te voorkomen: lees hier meer over dat onderwerp.

Advies over een (mogelijk) datalek

Heb je vragen over een datalek? Of wil je juridisch en strategisch advies over de vervolgstappen? Neem contact met ons op: wij helpen je graag.

Iedereen die een goede privacy medewerker zoekt – of dat nu een functionaris gegevensbescherming (FG) is, een privacy officer of privacy jurist – weet dat die schaars zijn.

Het is niet ongebruikelijk om meer dan een jaar te zoeken en dan eigenlijk nog steeds niet de perfecte match te hebben gevonden. Bepaalde relevante kwaliteiten zijn met goed zoeken nog wel te vinden, maar dat gecombineerd met goede kennis van en ervaring binnen het privacydomein? Dat is het spreekwoordelijke schaap met de 5 poten.

Traineeship Privacy

Bij Privacycoaches herkennen we de uitdaging van het vinden van goede privacy professionals. We zien het bij onze klanten, zowel in het bedrijfsleven als bij de overheid. Gelukkig zijn wij nogal positief ingesteld en proberen we overal een oplossing voor te vinden. Dus ook hiervoor!

Na de zomer starten we met een traineeship, het Privacy Excellence Traineeship. Het doel van dit traineeship: na 1 jaar hebben we mensen opgeleid als ware ze al minimaal 3 jaar werkzaam in het privacydomein. Dit doen we met zeer intensieve trainingen, 1-op-1 coaching en het opdoen van praktijkervaring. We trainen zowel op inhoud als op vaardigheden, zoals presenteren en beïnvloeden. Een zwaar traject, maar wel één met grootse resultaten. En ondertussen doen ze ervaring in de praktijk op en worden kennis & vaardigheden dus direct toegepast.

Geïnteresseerd in het Privacy Excellence Traineeship? Of je nou een goede privacy professional zoekt of er juist één wilt worden: bel ons of laten we een kop koffie drinken.

Privacy en ESG

Dat de financiële (jaar)cijfers veel zeggen over een bedrijf wisten we al. De laatste jaren is daarnaast steeds meer focus gekomen op (sociale) duurzaamheid. Steeds meer bedrijven streven naar een balans tussen deze twee aspecten. Maar hoe meet je eigenlijk de (sociale) duurzaamheid van je bedrijf? Hier komt de ESG-score om de hoek kijken: hoe scoor je op het gebied van Environmental (milieu), Social (maatschappij) & Governance (goed bestuur)?

Meer en meer bedrijven ontwikkelen een strategie om hun ESG-score te meten en verbeteren. Op die manier ontwikkelen ze een duurzaam en toekomstbestendig bedrijfsmodel met een focus op langetermijngroei. Maar wat nog te vaak vergeten wordt, is dat privacy óók kan bijdragen aan een goede ESG-score.

Boost je ESG-score met privacy

Privacy zit natuurlijk in de G van Governance, net als het voldoen aan allerlei andere wetgeving. Het voldoen aan privacywet- en regelgeving, en met name het kunnen aantonen hiervan, is een belangrijk aspect voor de ESG-score. Maar naast de G is ook de S van Social van belang. De maatschappij vraagt steeds luider om een goede bescherming van persoonsgegevens. En onze inschatting is dat die maatschappelijke druk de komende jaren alleen maar groter wordt.

Het netjes omgaan met persoonsgegevens is dus niet alleen maar een ‘moetje’. Wij zijn ervan overtuigd dat dit ook met een positieve blik bekeken kan worden. Netjes omgaan met de persoonsgegevens van je klanten draagt er aan bij dat mensen klant willen worden én blijven. Zorgvuldig omgaan met de privacy van je medewerkers zorgt ervoor dat ze bij je willen blijven werken. Naast het voldoen aan privacywetgeving in algemene zin en daarover rapporteren, draagt dit allemaal bij aan je ESG-score. Met alle positieve effecten van dien!

Hulp nodig om privacy een vaste plek te geven in je ESG-strategie? Bij het opzetten van een privacyprogramma of inrichten van de privacy governance? Neem dan gerust vrijblijvend contact op met ons.

In de wereld van persoonsgegevensverwerking en privacy worden zowel letterlijk als figuurlijk dagelijks grenzen overschreden.

Het loont alleen al daarom, om het internationale (juridische) speelveld goed in de gaten te houden. Zeker, wanneer je geregeld gebruik maakt van tools waarbij dataverwerking van persoonsgegevens een rol speelt. Zo oordeelde de Oostenrijkse privacytoezichthouder Datenschutzbehörde (DSB) vlak voor kerst, dat Google de AVG heeft overtreden door met Google Analytics persoonsgegevens te verwerken in de Verenigde Staten. Dit oordeel ging gepaard met een direct verbod op Google Analytics in Oostenrijk. Wat betekent dit voor ons in Nederland? Laten we daarvoor eerst even kijken wat er nu precies aan de hand is.

Nadat hij in de afgelopen jaren vaker geruchtmakende privacyzaken won, heeft Max Schrems onlangs opnieuw van zich laten horen. Zijn nieuwste klacht betrof de verwerking van persoonsgegevens via Google Analytics in de Verenigde Staten zonder adequate bescherming voor de privacy van Europese burgers. Hierbij zouden de Standard Contractual Clauses van Google en de mogelijkheid tot additionele maatregelen, zoals het privacyvriendelijk instellen van Google Analytics (zie: handleiding) volgens hem onvoldoende zijn. De DSB ging hierin mee, nu de Amerikaanse overheid regelmatig data opvraagt bij Google en er weldegelijk persoonsgegevens verwerkt worden in de VS.

Gaat de Autoriteit Persoonsgegevens Oostenrijk volgen in een verbod? Dat is nog even de vraag. De toezichthouder heeft op dit moment twee zaken met betrekking tot Google Analytics in Nederland in onderzoek. Men verwacht nog dit kwartaal het onderzoek af te ronden en zal op basis van de uitkomsten aangeven of Google Analytics nog gebruikt mag worden in Nederland. Wij adviseren in elk geval de nadere berichten van de Autoriteit Persoonsgegevens af te wachten. Er kan nog van alles gebeuren, inclusief additionele maatregelen door Google zelf. Die lijken op handen, zeker na de uitspraak door de Oostenrijkse toezichthouder: Google zal haar marktaandeel in Nederland en de rest van Europa vast willen behouden.