Op 10 augustus 2023 heeft de rechtbank Amsterdam geoordeeld dat de boete die de Autoriteit Persoonsgegevens (AP) aan DPG Media heeft opgelegd, niet terecht is. Begin 2022 heeft de AP een boete van 525.00 euro aan het mediabedrijf opgelegd voor het overtreden van de AVG. De rechtbank constateert dat er wel een overtreding van de AVG was, maar vindt dat de opgelegde boete niet betaald hoeft te worden.

De betreffende overtreding had te maken met het identificatieproces dat DPG Media gebruikt voor verzoeken van klanten om inzage in hun persoonsgegevens te verkrijgen. Als betrokkene (degene waarvan persoonsgegevens worden verwerkt) heb je namelijk op basis van artikel 12 AVG het recht om jouw gegevens op te vragen bij een organisatie. Zo kan je inzicht verkrijgen in welke gegevens er van jou worden verwerkt. Daarnaast staat er in het artikel dat je kunt vragen of een bedrijf de persoonsgegevens verwijdert.

Voordat een organisatie die gegevens mag verstrekken, moet de identiteit van de aanvrager worden gecontroleerd. Volgens de rechtbank mogen daarvoor maatregelen worden genomen die eventueel belemmeren, maar die maatregelen mogen niet onnodig zijn.

Een onjuiste inschatting

DPG Media vroeg klanten om een kopie van hun identiteitsbewijs op te sturen wanneer ze hun persoonsgegevens wilden inzien, wat volgens de rechtbank een te strenge en ingewikkelde procedure was. Het vragen van een kopie ID is niet onredelijk, maar het standaard vragen ervan wel. Niet alle persoonsgegevens zijn namelijk even gevoelig en dus mag je niet voor alle inzageverzoeken die werkwijze hanteren. Bij minder gevoelige gegevens zou identificatie bijvoorbeeld ook via e-mail kunnen. Het opwerpen van een onnodige drempel, zoals een uitvoerig identificatieproces, hindert het uitoefenen van het recht op gegevensinzage en verwijdering zoals beschreven in artikel 12 van de AVG.

Ondanks dat DPG Media de AVG heeft overtreden, had de AP niet direct een boete hoeven opleggen. DPG Media heeft slechts een onjuiste inschatting gemaakt en dit werd door de AP ernstiger ingeschat dan het volgens de rechtbank was.

Daarnaast had de rechtbank kritiek op de handelwijze van de AP. De toezichthouder had bijvoorbeeld eerder contact kunnen opnemen met DPG Media om het beleid te bespreken. DPG Media heeft namelijk expliciet in een e-mail aan de AP gevraagd of het beleid voor het controleren van de identiteit mocht worden voortgezet. De AP had daarom al eerder voldoende informatie om te kunnen concluderen dat het beleid van DPG Media in strijd was met de AVG en heeft te lang gewacht met de communicatie hierover.

De toezichthouder moet nu ruim 2000 euro aan DPG Media betalen als compensatie voor proceskosten en griffierecht. De AP heeft de mogelijkheid om in hoger beroep te gaan, maar tot nu toe heeft ze nog geen duidelijkheid gegeven over haar vervolgstappen.

Hulp nodig bij het inrichten van het inzageproces?

Heb je vragen over het opvragen van een kopie ID of wil je weten hoe je het inzageproces in jouw organisatie het beste kunt inrichten? Neem dan contact met ons op, we denken graag met je mee!

Op 10 juli 2023 heeft de Europese Commissie haar adequaatheidsbesluit met betrekking tot het EU-VS Data Privacy Framework (DPF) goedgekeurd. Dit besluit betekent dat de Verenigde Staten, in de ogen van de Europese Commissie, een voldoende beschermingsniveau bieden aan persoonsgegevens die uitgewisseld worden tussen de VS en de EU. Het beschermingsniveau van de VS is nu vergelijkbaar met dat van de EU.

Zoals in onze eerdere blogs beschreven, volgt dit adequaatheidsbesluit op een Executive order over ‘Enhancing Safeguards for United States Signals Intelligence Activities’, getekend door de Amerikaanse president Joe Biden. In combinatie met een concrete set aan afspraken tussen de EU en de VS zorgt dit ervoor dat de Europese Commissie van mening is dat er voldoende waarborgen zijn om te komen tot het adequaatheidsbesluit.

Dit betekent dat er gemakkelijk, zonder aanvullende waarborgen, persoonsgegevens vanuit de EU naar de VS kunnen worden doorgegeven.

Schrems I en Schrems II-zaken

De afgelopen jaren is er veel discussie geweest over het doorgeven van data aan de VS, voornamelijk door de zogeheten Schrems I- en Schrems II-zaken. Hierdoor zijn de voorgangers van het DPF ongeldig verklaard.

Naar aanleiding van de laatste ongeldigverklaring (die van het Privacy Shield) moesten de EU en de VS opnieuw met elkaar in gesprek om tot nieuwe afspraken te komen. Deze gesprekken hebben ruim 18 maanden geduurd. In deze periode konden er enkel persoonsgegevens gedeeld worden met de VS door middel van zogeheten Standard Contractual Clauses (SCC’s), veelal in combinatie met het uitvoeren van een Data Transfer Impact Assessment (DTIA). Dit maakte het een stuk ingewikkelder om veilig en gemakkelijk gegevens door te geven aan de VS. Daar lijkt nu met het DPF een einde aan te komen.

Met de komst van het DPF komen er meer verplichtingen bij voor Amerikaanse inlichtingendiensten. Zo wordt de toegang tot de persoonsgegevens van Europese burgers beperkt tot wat noodzakelijk en evenredig is voor de bescherming van de nationale veiligheid. Daarnaast zijn er meerdere verhaalsmogelijkheden en klachtenprocedures voor EU-burgers. Meer weten over de inhoud van het Data Privacy Framework? Lees dan onze vorige blog.

Persoonsgegevens delen? Check de certificering

Amerikaanse bedrijven moeten zich voor deelname aan het DPF certificeren. Hiervoor moeten zij aantonen dat zij voldoen aan meerdere verplichtingen zoals dataminimalisatie, doelbinding en goede beveiliging van de persoonsgegevens.

Het Amerikaanse Ministerie van Handel zal de certificeringsaanvragen behandelen en blijven controleren of de Amerikaanse bedrijven nog voldoen aan de eisen en verplichtingen. Daarnaast zal de Europese Commissie samen met afgevaardigden van de Europese en Amerikaanse gegevensbeschermingsautoriteiten periodiek controleren of het DPF nog voldoet. Een jaar na inwerkingtreding zal de eerste controle plaatsvinden om te verifiëren of het DPF naar behoren functioneert en volledig is geïmplementeerd in de Amerikaanse wet- en regelgeving.

Europese bedrijven moeten zich er dus bewust van zijn dat Amerikaanse bedrijven gecertificeerd moeten zijn vóórdat er met hen persoonsgegevens gedeeld worden. Bij het ontbreken van een certificering ben je als Europees bedrijf nog steeds verplicht om SCC’s af te sluiten en een DTIA uit te voeren.

Schrems III?

Voor nu kunnen persoonsgegevens dus weer veilig en gemakkelijk doorgegeven worden aan de VS, maar als het aan Max Schrems ligt is dit van korte duur. Zo heeft Schrems, die de voorgangers van het DPF ook heeft aangevochten, al laten weten dat hij begin volgend jaar verwacht een nieuwe zaak bij het Hof van Justitie te hebben.

Hij is van mening dat ook dit nieuwe Framework onvoldoende bescherming biedt tegen Amerikaanse surveillance. Ook andere organen en experts zijn kritisch geweest, lees meer hierover in onze eerdere blog.

De vraag is dus nog steeds of het nieuwe Framework wel dé oplossing is. Overigens duurt een gerechtelijke procedure erg lang, dus de komende tijd zal het nieuwe besluit waarschijnlijk standhouden.

Hulp nodig?

Het is begrijpelijk dat het nieuwe Data Privacy Framework veel vragen oproept en onduidelijkheden met zich meebrengt. Heb jij of heeft jouw bedrijf hier hulp bij nodig? Wij van Privacycoaches staan uiteraard voor jou klaar! Stuur ons gerust een e-mail.

Afgelopen week is duidelijk geworden dat meerdere Nederlandse websites zonder toestemming persoonsgegevens doorsturen aan het Chinese bedrijf TikTok. Dit blijkt uit een onderzoek van BNR.

Het Chinese bedrijf TikTok is de afgelopen jaren ontzettend populair geworden. Het online platform is erg bekend onder jongeren voor het bekijken en maken van korte filmpjes. Door het gebruik van kunstmatige intelligentie wordt het kijkgedrag van de gebruiker geanalyseerd en op basis daarvan wordt er nieuwe content aangeraden. Hierdoor krijgt de gebruiker precies te zien wat hij interessant vindt.

Al meerdere boetes wegens privacyschending

De app is al vaker in opspraak gekomen, maar daar lijkt de populariteit overigens niet onder te lijden. Zo zijn er al meerdere boetes opgelegd aan het bedrijf wegens privacyschending, onder andere door de Nederlandse Autoriteit Persoonsgegevens (AP) in 2021. Ook mogen Nederlandse ambtenaren de app niet gebruiken in verband met eventueel gevoelige gegevens en de kans dat de Chinese overheid deze gegevens via TikTok in handen krijgt. Er is namelijk al vaker gesuggereerd dat TikTok wordt gebruikt voor spionage.

Daarnaast zijn de gegevens die TikTok verzamelt erg vergaand. Zo kan het bedrijf bijvoorbeeld jouw e-mailadres, telefoonnummer en geboortedatum zien, maar ook de content die je maakt, je locatie, je contacten, de berichten die je stuurt en gegevens van je klembord.

Omstreden TikTok-pixel

Ondanks de reputatie van het bedrijf en de meerdere privacygerelateerde boetes, blijkt afgelopen week uit een onderzoek van BNR dat er meerdere Nederlandse websites zijn die gegevens doorsturen aan TikTok, zonder toestemming van de bezoeker. Minstens 1000 Nederlandse websites zijn hierbij betrokken, waaronder bijvoorbeeld het Rijksmuseum en Greetz.

Hoe de gegevens doorgestuurd worden? Dat gaat via de zogeheten ‘TikTok-pixel’. Dit is een code op de websites die gebruikt wordt om informatie over de bezoekers te delen met TikTok. Hierdoor weet TikTok exact wanneer de website bezocht wordt en worden daarbij gegevens zoals het IP-adres meegestuurd. Zelfs als bezoekers geen TikTok-account hebben, worden de gegevens gebruikt voor bijvoorbeeld gepersonaliseerde content.

Geen toestemming, toch delen

Hoewel deze TikTok-pixel niet positief ontvangen wordt, is het geen illegale methode zolang er door de bezoeker toestemming wordt gegeven voor het doorsturen. Maar daar ligt het probleem. Uit het onderzoek van BNR bleek dat van de 50 meest bezochte websites maar liefst 45 de bezoeker níet informeren over het doorsturen van de gegevens. Daarnaast wordt er door 17 websites niet eens toestemming gevraagd. Dit is uiteraard een schending van de Algemene verordening gegevensbescherming (AVG) en er is een grote kans dat hier, zowel voor de websites als voor TikTok, sancties of boetes op gaan volgen.

Ondertussen zijn er gelukkig al meerdere websites die de pixel hebben verwijderd, waaronder voetbalclub AZ, Vluchtelingenwerk en Saxion.

Hulp nodig?

Heb jij of heeft jouw bedrijf hulp nodig met het implementeren van privacy? Privacycoaches staat voor je klaar. Schroom niet en stuur ons een e-mail; dan spreken we je snel.

5 jaar AVG | Rechten van betrokkenen

Sinds de inwerkingtreding van de Algemene verordening gegevensbescherming (AVG) in 2018 zijn er veel ontwikkelingen geweest. Ook de rechten van betrokkenen (de mensen van wie je persoonsgegevens verwerkt) zijn veel aan bod gekomen. Denk aan het recht op inzage, het recht op vergetelheid en het recht van bezwaar.

In deze blog bespreken wij een aantal belangrijke ontwikkelingen op het gebied van privacy en rechten van betrokkenen onder de AVG.

Oostenrijkse Post-zaak: het recht op inzage

Een recente ontwikkeling is de Oostenrijkse Post-zaak. Deze zaak gaat over het inzagerecht en in hoeverre de verwerkingsverantwoordelijke de concrete identiteit van ontvangers waarmee hij persoonsgegevens deelt, moet doorgeven. Is het noemen van de categorie ontvangers voldoende of moeten er concrete namen worden genoemd?

Het antwoord op deze vraag is dat de verwerkingsverantwoordelijke verplicht is om de concrete identiteit van de ontvangers te benoemen. Je kunt dus niet meer volstaan met het noemen van de categorie zoals ‘marketingbureaus’.

Dit heeft grote gevolgen voor organisaties. Veel organisaties hebben namelijk geen compleet beeld van alle partijen waarmee persoonsgegevens worden gedeeld, laat staan wiens persoonsgegevens met welke partij gedeeld worden. Lees meer over deze zaak in onze blog.

Verzoek tot inzage: kopie van alle documenten verstrekken?

Een andere relevante ontwikkeling in het inzagerecht ziet op de manier waarop de informatie wordt gegeven als iemand een verzoek tot inzage in zijn persoonsgegevens doet. Het Europese Hof van Justitie heeft begin deze maand geoordeeld dat de betrokkene een ‘waarheidsgetrouwe reproductie van zijn persoonsgegevens’ moet krijgen.

Dat betekent (gelukkig) niet dat een betrokkene standaard een kopie van de documenten moet krijgen. Maar als een overzicht van de persoonsgegevens niet voldoende recht doet aan het inzagerecht, dan kan in specifieke situaties een organisatie verplicht zijn wél een kopie van (een aantal) documenten te verstrekken.

De identiteit van de betrokkene vaststellen

Een andere ontwikkeling ziet op alle rechten van betrokkenen. In deze zaak ging het om de vraag in welke mate de verwerkingsverantwoordelijke de identiteit van de betrokkene moet controleren als hij of zij een beroep doet op een van de rechten onder de AVG.

De Ierse Data Protection Commission heeft geoordeeld dat het vragen van een kopie ID te vergaand was. Voornamelijk omdat deze hiervoor nog nooit gevraagd was aan de betrokkene. Dit is in strijd met het beginsel van dataminimalisatie uit de AVG. Daarnaast was er volgens de Commission geen wettelijke grondslag voor de verwerking.

Een bevestiging van wat velen onder ons al wisten en wat ook in Nederland al een aantal keer bepaald is: de identiteit moet bevestigd worden op een manier die proportioneel is. Als dit bijvoorbeeld kan doordat iemand inlogt op zijn eigen ‘mijn-omgeving’, dan kan dat voldoende zijn en dus proportioneel.

Schadevergoeding bij immateriële schade

Recent is er ook uitspraak gedaan over het recht op schadevergoeding bij een inbreuk op de AVG. In deze uitspraak staat dat ‘een loutere inbreuk op de AVG op zich niet voldoende is om recht op schadevergoeding te verlenen’.

Daarnaast is geoordeeld dat het recht op schadevergoeding niet alleen geldt voor immateriële schade die een bepaalde mate van ernst bereikt. Zie ook onze blog over massaschadeclaims. Voor organisaties is dit geen welkome beslissing.

Hulp nodig?

Heb jij of heeft jouw organisatie hulp nodig bij het omgaan met verzoeken van betrokkenen of de AVG in het algemeen? Privacycoaches staat voor je klaar. Schroom niet en stuur ons een e-mail.

5 jaar AVG | Thuiswerken en privacy

Deze week is het 5-jarig jubileum van de Algemene verordening gegevensbescherming (AVG). Een jubileum waar wij bij Privacycoaches graag aandacht aan besteden! Dit is de perfecte gelegenheid om terug te blikken op de inwerkingtreding van de AVG en de ontwikkelingen die er zijn geweest sinds 2018.

Thuiswerken en privacy

Een nieuwe ontwikkeling die het waarborgen van privacy binnen organisaties heeft bemoeilijkt, is de opkomst van thuiswerken. Tijdens de coronacrisis konden medewerkers niet op kantoor werken en was iedereen dus aangewezen op thuiswerken.

Hoe zorg je er dan voor dat de gegevens goed beveiligd blijven? Heeft iedereen wel een beveiligde verbinding? In hoeverre kunnen gezinsleden of huisgenoten meeluisteren? Kun je met je privélaptop werken of mag alleen een werklaptop? Naast dit soort vragen waren er nog kwesties van een goede werkruimte thuis en productief kunnen werken zonder al te veel afleiding.

Richtlijnen & tips

De Nederlandse toezichthouder, de Autoriteit Persoonsgegevens (AP), is tijdens de coronacrisis met richtlijnen gekomen die de privacy bij thuiswerken moeten bevorderen. Deze richtlijnen zijn van groot belang aangezien veel mensen nog steeds graag thuiswerken.

1. Een van de aanbevelingen van de AP ziet op een veilige werkomgeving. Gebruik indien mogelijk apparatuur die is verschaft door de werkgever en log in via de server van de organisatie.

2. Een tweede aanbeveling gaat over het omgaan met persoonsgegevens. Belangrijke documenten moeten goed beschermd worden en dat geldt natuurlijk ook bij thuiswerken. Gebruik daarom liever geen USB-stick of papieren documentatie; dit kan namelijk kwijtraken. Het liefst staan alle documenten op de server van de organisatie. Lukt dit niet? Gebruik dan een versleutelde USB-stick.

Wees extra voorzichtig met bijzondere persoonsgegevens zoals gegevens over ras, afkomst, gezondheid of religie.

3. Een derde aanbeveling gaat over videochats. Het is logisch dat er vanaf huis gebeld moet worden met bijvoorbeeld collega’s. Controleer altijd eerst of er een veilige manier is om te communiceren. Een goede manier is via de telefoon of via een beveiligde videochat.

Als dit allemaal niet mogelijk is, dan kan er gebruik worden gemaakt van bijvoorbeeld FaceTime of Signal. Deze apps worden vrij veilig geacht, maar blijf ook hier goed opletten en zorg dat je gevoelige informatie beperkt tijdens het gesprek. Wis daarnaast ook alle gesprekken.

Tip: op de website van de AP staat een videochat-keuzehulp.

4. Een vierde aanbeveling is het alert zijn op phishingmails. Dit is niet alleen bij thuiswerken relevant, maar voor alle organisaties die met e-mail werken. Cybercriminelen maken veel gebruik van phishingmails. Klik nooit zomaar op een link als je niet zeker weet dat het een betrouwbare afzender is. Als je twijfelt of een mail wel echt is, controleer dan altijd het e-mailadres en klik nergens op. Meld het ook bij jouw leidinggevende of de ICT-afdeling.

Een tip van ons is om daarnaast sterke wachtwoorden te hebben. Ook is het van belang dat je een rustige werkplek hebt waar je huisgenoten niet constant binnenlopen. Dit draagt enerzijds bij aan de privacy en anderzijds aan jouw productiviteit.

Thuiswerken en privacy: hulp nodig?

Conclusie: het is dus belangrijk dat er bewust wordt omgegaan met persoonsgegevens, zowel bij thuiswerken als op kantoor. Zorg altijd voor goede beveiliging en blijf oplettend bij telefonische gesprekken en e-mails.

Het is begrijpelijk dat jij of jouw organisatie wel wat hulp kan gebruiken met het inrichten van een thuiswerkbeleid of privacy in het algemeen. Wij van Privacycoaches staan voor je klaar! Schroom niet en stuur ons een e-mail.

Waar moet een cookie banner aan voldoen?

Eerder dit jaar heeft een speciale ‘Cookie Banner Taskforce’ van de European Data Protection Board (EDPB) een rapport uitgebracht waarin meer gedetailleerd wordt toegelicht waar een cookie banner wel en niet aan moet voldoen. Een cookie banner is een pop-up op een website die de bezoeker informeert over het gebruik van cookies.

Cookie Banner Taskforce

In 2021 heeft de EDPB de Cookie Banner Taskforce opgericht waarin experts met betrekking tot  cookies en privacy allerlei vraagstukken bespreken. De Taskforce is het orgaan waar vragen met betrekking tot cookie banners gesteld kunnen worden en bevordert de samenwerking, het delen van informatie en best practices tussen de toezichthoudende autoriteiten.

Begin dit jaar heeft de EDPB een rapport gepubliceerd waarin meer duidelijkheid wordt gegeven over de regels van cookie banners. Er waren vanuit de praktijk veel vragen over het onderwerp en de Taskforce heeft in dit rapport de belangrijkste punten uiteengezet.

Alleen een positieve actie is toestemming

Allereerst stelt de Taskforce dat geen enkele cookie waarbij toestemming vereist is, zonder die toestemming kan worden ingesteld én dat die toestemming een positieve actie moet zijn van de bezoeker.

Een positieve actie wil zeggen dat de betrokkene bewust iets moet aanklikken. Een vooraf aangekruist hokje is daarom geen goede manier om toestemming te krijgen: de bezoeker moet zelf het hokje aankruisen. Daarnaast moet de mogelijkheid tot het wel of niet geven van toestemming op de banner aanwezig zijn; anders is het een inbreuk op de privacy van de bezoeker.

(Visueel) duidelijke, vrijelijke toestemming

De Taskforce-leden zijn ook van mening dat elke cookie banner voldoende informatie moet geven over de cookies, zodat het voor de bezoeker duidelijk is waarvoor hij toestemming geeft. Ook mag de cookie banner niet zo gemaakt zijn dat er richting het geven van toestemming wordt ‘geduwd’. Het mag bijvoorbeeld niet zijn dat de website niet toegankelijk is zonder toestemming, want dan is de toestemming niet meer ‘vrijelijk’ gegeven.

Ook moet het visueel duidelijk zijn waar de toestemming wel of niet gegeven kan worden. Het mag dus niet weggestopt zijn tussen paragrafen of meerdere linkjes.

Veel websites gebruiken bewuste kleurenpaletten om de bezoeker af te leiden van de button voor het afwijzen van de cookies. Zo worden er bepaalde kleuren gebruikt die de button lastig te vinden maakt of de aandacht er niet naartoe trekt.

Volgens de Taskforce moet per zaak beoordeeld worden of het contrast en de gebruikte kleuren niet misleidend zijn voor de bezoeker en daarmee resulteren in een onbedoelde toestemming. Een voorbeeld is het geval waarin het contrast tussen de tekst en de button zo minimaal is dat het onleesbaar is voor de bezoeker. Dit mag natuurlijk niet.

Noodzakelijke en essentiële cookies?

Andere punten waar de Taskforce op ingaat is het bestempelen van cookies als ‘noodzakelijk’ of ‘essentieel’. Veel websites zeggen dat bepaalde cookies noodzakelijk zijn, terwijl ze dit eigenlijk niet zijn. Voor noodzakelijke cookies is geen toestemming van de bezoeker vereist en die zijn dus altijd actief.

De Taskforce stelt wel dat het begrijpelijk is dat hier soms wat moeilijkheden zijn: het is namelijk best lastig om vast te stellen wanneer een cookie noodzakelijk is. Een richtlijn hiervoor is dat cookies die ervoor zorgen dat website-eigenaren de voorkeuren van bezoekers kunnen opslaan als noodzakelijk bestempeld kunnen worden.

Intrekken van de cookie-toestemming

Tot slot gaat de Taskforce in op de mogelijkheid om de gegeven toestemming weer in te kunnen trekken. Het moet wettelijk gezien makkelijk zijn om dit te doen. Dit kan bijvoorbeeld door een klein icoon op de website te bouwen waar de bezoeker op kan klikken. Hierdoor komt de cookie banner weer in beeld en kan de toestemming ingetrokken worden.

De toekomst van cookies

Het rapport van de Taskforce geeft meer duidelijkheid aan bezoekers en website-eigenaren over het gebruik van cookie banners op websites. Dit leidt hopelijk tot minder klachten van bezoekers en meer overzichtelijkheid voor alle partijen.

Naast dit rapport is er het plan om cookies deels te gaan uitfaseren. In medio 2024 zouden ‘third party cookies’ volledig uitgefaseerd moeten zijn. Dit zijn cookies die van een ander domein komen dan de website waar ze op staan. Hierdoor kan een gebruiker op meerdere plekken gevolgd worden waardoor er een profiel ontstaat. Denk bijvoorbeeld aan cookies van Facebook en Google.

Veel van deze profielen worden vervolgens voor grote bedragen verkocht aan organisaties. Vanaf 2024 zouden dit soort cookies dus niet meer moeten bestaan, wat de privacy van de gebruiker bevordert.

Wil je weten of jouw website en cookie banner voldoen? Neem dan contact met ons op voor concreet advies!

Privacy Shield 2.0: EDPB-advies

In de afgelopen maanden is er veel commotie geweest over het nieuwe Privacy Shield. Deze afspraken moeten het voor organisaties mogelijk maken om persoonsgegevens veilig te verwerken in de VS. Het originele Privacy Shield is namelijk ongeldig verklaard tijdens de zogeheten Schrems II-zaak. Dit nieuwe Privacy Shield biedt hopelijk betere bescherming aan EU-burgers.

Wil je meer weten over de inhoud van het Privacy Shield 2.0 en de veranderingen ten opzichte van de voorganger? Lees dan onze vorige blogs over dit onderwerp.

Recent heeft de European Data Protection Board (EDPB) een advies gegeven over het concept adequaatheidsbesluit. Dit advies moet verplicht gevraagd worden aan de EDPB, zodat de Europese Commissie een adequaatheidsbesluit kan nemen voor het nieuwe Privacy Shield.

Wat vindt de EDPB?

In het advies van de EDPB wordt het nieuwe besluit verwelkomd, maar er zijn ook zorgen. De nieuwe regeling is een grote vooruitgang ten opzichte van zijn voorganger en beschermt de rechten van EU-burgers beter. De EDPB is voornamelijk te spreken over de introductie van noodzakelijkheid en evenredigheid bij het verzamelen van gegevens door Amerikaanse inlichtingendiensten. Daarnaast komt er een nieuw verhaalmechanisme voor betrokkenen in de EU.

Tegelijkertijd twijfelt de EDPB over bepaalde rechten van betrokkenen, verdere doorgifte van data, de reikwijdte van vrijstellingen, tijdelijke bulkverzameling van gegevens en de praktische werking van het verhaalmechanisme. Dit moet dan ook verduidelijkt worden en in de praktijk goed gecontroleerd worden.

Andere zorgelijke punten volgens de EDPB: de grote uitzondering op het recht op toegang tot openbaar beschikbare informatie, het ontbreken van specifieke regels voor geautomatiseerde besluitvorming en profilering, en het risico van ondermijning van gegevensbeschermingswaarborgen bij doorgiften naar derde landen. De EDPB vindt het daarom belangrijk dat er elke drie jaar een review plaatsvindt van het adequaatheidsbesluit.

Ook al is het advies van de EDPB niet bindend, het kan wel van groot belang zijn. Vooral tijdens een eventuele rechtszaak die Max Schrems waarschijnlijk weer zal aanspannen, aangezien het Privacy Shield 2.0 volgens hem nog steeds niet voldoende bescherming biedt. Zo betwijfelt Schrems bijvoorbeeld of de nieuwe ‘Data Protection Review Board’ wel echt zo onafhankelijk is als het lijkt.

Wat nu?

Het is duidelijk dat de EDPB enthousiast is over de verbeteringen in het nieuwe Privacy Shield, maar dat er ook een aantal punten van zorg zijn. De EDPB heeft gesteld dat de goedkeuring van het nieuwe adequaatheidsbesluit afhankelijk is van een aantal aanvullende procedures en beleidslijnen. De Commissie wordt verzocht dit geactualiseerde beleid te beoordelen en met de EDPB te delen.

Hulp nodig bij internationale doorgifte van persoonsgegevens?

Het is begrijpelijk dat dit nieuwe Privacy Shield veel vragen en onduidelijkheden met zich meebrengt. Heb jij of heeft jouw bedrijf hulp nodig bij de internationale doorgifte van persoonsgegevens? Wij staan voor je klaar! Stuur ons gerust een e-mail.

Op vrijdag 7 oktober heeft Biden een Executive order over ‘Enhancing Safeguards for United States Signals Intelligence Activities’ getekend. Zoals uit ons eerdere blog is gebleken, zou deze regeling ervoor moeten zorgen dat de persoonsgegevens van burgers uit de EU beter beschermd zouden zijn in de VS. Er komen strengere maatregelen voor de Amerikaanse inlichtingendiensten om er zo voor te zorgen dat zij minder gemakkelijk toegang hebben tot de persoonsgegevens. In ons vorige blog gaven wij ook aan dat het te betwijfelen valt of de nieuwe maatregelen tot een beter resultaat gaan leiden dan voorheen.

Het Privacy Shield meer in detail
Dezelfde dag heeft de Europese Commissie een FAQ geplaatst waarin een aantal vragen met betrekking tot het nieuwe Privacy Shield worden beantwoord. Zo wordt onder anderen meer in detail uitgelegd wat er gaat veranderen ten opzichte van het oude Privacy Shield. Het nieuwe besluit zal een twee gelaagd verhaalmechanisme hebben voor EU-burgers, met een onafhankelijke en bindende bevoegdheid.

EU-burgers kunnen onder de eerste laag van dit mechanisme een klacht indienen bij de ‘Civil Liberties Protection Officer’. Dit is de persoon die verantwoordelijk is voor de naleving door Amerikaanse inlichtingendiensten van privacy en fundamentele rechten.
Onder de tweede laag van het mechanisme kan er in beroep worden gegaan tegen het besluit van de ‘Civil Liberties Protection Officer’ bij een nieuw ‘Data Protection Review Court’ (DPRC). Dit zal wederom een onafhankelijk orgaan zijn, die geen instructies van de overheid hoeft op te volgen. Ook zal het DPRC bindende beslissingen mogen nemen over de persoonsgegevens, zoals overgaan tot verwijdering.

De Europese Commissie is van mening dat dit grote verbeteringen zijn ten opzichte van het oude Privacy Shield. De nieuwe verhaalsmogelijkheden zijn meeromvattend en onafhankelijker. Ook is de nieuwe DPRC deskundiger en heeft het meer bevoegdheid. Die mening wordt door vele gedeeld, maar er zijn ook critici. Zo heeft de Duitse DPA als eerste zijn mening uitgebracht over het nieuwe besluit. Hij stelt in zijn statement dat het nog maar de vraag is of de aanvullende waarborgen die door het besluit worden geboden, voldoende zijn om de door het HvJ-EU gespecificeerde normen volledig na te komen. Hij uit zijn zorgen over in hoeverre het besluit de privacy-waarborgen uit de EU wel kan naleven, aangezien dit niet is aangenomen door de Amerikaanse wetgever. Ook vraagt hij zich af of het DPRC wel voldoende onafhankelijk zal zijn. Het is dus nog maar de vraag of het nieuwe Privacy Shield zoveel beter zal zijn dan de eerste. Wij betwijfelen dat.

De volgende stappen
De Commissie zal de komende periode een concept adequaatheidsbesluit gaan opstellen, tezamen met het implementatieplan hiervan. Allereerst zal de Commissie hiervoor de mening van the European Data Protection Board (EDPB) moeten vragen en groen licht moeten krijgen van afgevaardigden van de lidstaten. Daarnaast heeft het Europees Parlement ook nog het recht tot toetsing van de adquaatheidsbesluiten.
Indien alle voorgaande stappen juist zijn doorlopen, kan de Commissie een nieuw adequaatheidsbesluit maken. Dit besluit zal ervoor zorgen dat de gegevens vrijelijk door kunnen stromen tussen de EU en Amerikaanse bedrijven die hiertoe gecertificeerd zijn door het Ministerie.

Hulp nodig?
Het is begrijpelijk dat dit nieuwe Privacy Shield veel vragen en onduidelijkheden met zich meebrengt. Heb jij of heeft jouw bedrijf hier hulp bij nodig? Wij van Privacycoaches staan uiteraard voor jou klaar! Stuur ons gerust een e-mail.

Hoe creëer je privacybewustzijn bij medewerkers?

Privacy is ongekend belangrijk binnen vrijwel elke organisatie. Bij privacy denk je al gauw aan grote systemen, firewalls en het voorkomen van datalekken. Ondanks dat deze onderwerpen zeker een rol spelen binnen privacy, is de individuele medewerker net zo belangrijk.

Uit het Data Breach Report van Verizon uit 2022 is namelijk gebleken dat 82% (!) van alle datalekken kwam door een menselijke component. Denk aan het versturen van een e-mail naar de verkeerde persoon, het ingaan op phishing e-mails of het slordig omgaan met wachtwoorden.

Het is dus van groot belang dat je medewerkers bewust zijn van privacy en de risico’s die daarbij gepaard gaan. De vraag is alleen: hoe dan?

Privacy awareness

Privacy awareness betekent dat medewerkers binnen jouw organisatie bewust omgaan met privacy. Het beste scenario zou zijn dat elke medewerker altijd nadenkt over de privacygevolgen van een handeling. In de praktijk is dit nog best lastig. Vaak zijn medewerkers druk, hebben ze er geen oor naar of blijft het gewoon niet hangen.

Wij delen een aantal tips & tricks met je om jouw medewerkers privacybewust te maken.

1. Training en voorlichting

Het is belangrijk dat elke medewerker goede voorlichting krijgt over privacy vanaf het moment dat hij of zij in dienst treedt. Vooral medewerkers die veel in aanraking komen met persoonsgegevens moeten weten waar de wetgeving over gaat en hoe er mee omgegaan wordt binnen de organisatie.

Een periodieke training of voorlichting is dan ook dé basis voor het creëren van meer bewustzijn. Aangezien privacy best een lastig onderwerp kan zijn, helpt het om het speels en interactief te maken; denk aan een privacygame of pubquiz. Vraag ons gerust om tips 😉.

Praktijkvoorbeelden waarmee medewerkers zelf kunnen oefenen, zijn ook een aanrader. Hierdoor krijgen ze niet alleen de benodigde theoretische kennis voorgeschoteld, maar is de kans groot dat het daadwerkelijk blijft hangen.

2. Blijf up-to-date

Het is ontzettend belangrijk dat er effectief gecommuniceerd wordt binnen de organisatie wat er op het gebied van privacy speelt. Zijn er belangrijke ontwikkelingen? Bespreek het in de eerstvolgende vergadering. Nieuwe weetjes? Stuur een mailtje rond of bespreek het tijdens de borrel.

Daarnaast kun je de belangrijke privacymomenten op de jaarplanner zetten. Denk aan de Cybersecurity week, interessante congressen en de internationale Dag van de Privacy (28 januari).

Een effectieve tool om privacy in de gedachte van alle medewerkers te houden, is het terug laten komen van bepaalde thema’s. Plan bijvoorbeeld een jaarlijkse workshop over datalekken. Of organiseer elk halfjaar een borrel waar tijdens een leuke pubquiz privacy weer even op de agenda wordt gezet.

3. Maak privacy leuk

Privacy heeft een bepaald stigma gekregen. Je mag niets meer, het is ingewikkeld en een noodzakelijk ‘moetje’…

En ja, het is soms ingewikkeld. Maar er zijn ook heel veel mogelijkheden en positieve aspecten. Er is zo veel dat nog wél kan onder de huidige wetgeving. Het is belangrijk dat binnen jouw organisatie dit ook aandacht krijgt.

Laat medewerkers op een leuke manier in contact komen met privacywetgeving. Denk bijvoorbeeld aan privacy gerelateerde stickers op het toilet, simulaties van een datalek of phishing e-mail, een privacy escaperoom, nodig interessante sprekers of zelfs een (privacy)illusionist uit (jawel, die bestaat!). Dit zorgt niet alleen voor meer bewustzijn, maar ook voor een positieve twist.

Hulp bij privacy awareness

Tot slot is het belangrijk dat de organisatie zich ervan bewust is dat privacybewustzijn niet een eenmalige ‘to do’ is. Het is een doorlopend proces dat constant in beweging blijft en dus altijd aandacht verdient. Als je wilt, helpen wij je om privacy continu onder de aandacht te houden binnen je organisatie.

Heb jij of heeft jouw organisatie hulp nodig bij het creëren van meer bewustwording over privacy? Privacycoaches staat voor je klaar! Schroom niet en stuur ons een e-mail. Dan bespreken we samen hoe we privacy awareness in jouw organisatie een plek gaan geven.

De Verenigde Staten hebben het concept akkoord ondertekend over data-uitwisseling tussen de EU en de VS. Dit zou het mogelijk moeten maken voor organisaties om gegevens (veilig) door te geven aan de VS op basis van het Privacy Shield.

Oud versus nieuw
In 2020 is het oude Privacy Shield, die de uitwisseling van persoonsgegevens tussen de EU en de VS regelde, ongeldig verklaard tijdens de zogeheten Schrems II zaak. Het oude Privacy Shield beschermde de gegevens niet voldoende en kon dus geen goed beschermingsniveau waarborgen.  Sindsdien is het lastiger om gegevens op een juiste manier door te geven aan de VS, maar daar komt verandering in.

Het Amerikaanse Witte huis heeft afgelopen vrijdag een zogeheten executive order ondertekend ter goedkeuring van een nieuw Privacy Shield. Afgelopen maart was het principe-akkoord al tot stand gekomen Dit Privacy Shield zal hetzelfde doel bereiken als zijn voorganger, alleen dan met betere bescherming. Het enige dat nu nog moet gebeuren is ratificatie door de Europese Commissie.

In het nieuwe Privacy Shield zullen er meer regels zijn voor Amerikaanse inlichtingendiensten om zo de toegang tot de persoonsgegevens van Europese burgers te beperken tot wat nodig is voor de bescherming van de nationale veiligheid. Ook zullen er meer procedures worden aangenomen om effectief toezicht te waarborgen en zullen er meer mogelijkheden zijn voor Europese burgers om een klacht in te dienen over toegang tot hun persoonsgegevens door Amerikaanse inlichtingendiensten. Daarnaast zullen er strengere verplichtingen komen voor bedrijven die gegevens vanuit de EU verwerken.

Het nieuwe Privacy Shield zal dus ook erg focussen op de toegang tot de persoonsgegevens door de Amerikaanse inlichtingendienst. Er zullen meer regels en procedures zijn, maar het gevaar is niet geweken. De inlichtingendienst moet zich dan wel aan strengere voorschriften houden, maar heeft alsnog wel toegang tot alle gegevens die vanuit de EU naar de VS worden doorgegeven. Zolang de Amerikaanse wetgeving hieromtrent niet wordt aangepast, blijft het een lastige kwestie.

Max Schrems heeft zich al kritisch uitgelaten over het nieuwe Privacy Shield en stelt deze te gaan analyseren, en indien nodig weer aan te vechten bij het Hof. “It is regrettable that the EU and US have not used this situation to come to a ‘no spy’ agreement, with baseline guarantees among like-minded democracies’’, aldus Schrems. Het is dus nog maar de vraag of de nieuwe variant het veel beter gaat doen dan het origineel.

Wat betekent een nieuw Privacy Shield voor jou?
Concreet zal het nieuwe Privacy Shield het voor bedrijven veel gemakkelijker maken om gegevens door te geven aan de VS. Gegevens van EU-burgers mogen dan weer vrijelijk naar de Amerikaanse bedrijven stromen met voldoende waarborgen ter bescherming van die gegevens, zonder dat elke keer een EU Modelcontract gesloten moet worden.

Hulp nodig?
Het is begrijpelijk dat dit nieuwe Privacy Shield veel vragen en onduidelijkheden met zich mee brengt. Heb jij of heeft jouw bedrijf hier hulp bij nodig? Wij van Privacycoaches staan uiteraard voor jou klaar! Stuur ons gerust een e-mail.