Wat is het recht op dataportabiliteit?

De personen van wie persoonsgegevens worden verwerkt, hebben meerdere rechten. Een daarvan is het recht op dataportabiliteit. Anders gezegd is dit het recht van betrokkenen om hun gegevens over te laten dragen door een verwerkingsverantwoordelijke.

Het doel van het recht op dataportabiliteit is om betrokkenen meer inzicht en controle te geven over de persoonsgegevens die van hen worden verwerkt en om de overstap naar andere dienstverleners te vergemakkelijken. Bijvoorbeeld wanneer je gaat verhuizen en overstapt naar een nieuwe tandarts: dataportabiliteit maakt het dan makkelijker om je gegevens van je oude tandarts over te dragen naar de nieuwe.

Betrokkenen kunnen de persoonsgegevens zowel aan zichzelf laten overdragen als (afhankelijk van de technische mogelijkheden) direct door laten sturen naar een andere organisatie.

Om welke gegevens gaat het?

Wanneer je als bedrijf een verzoek tot dataportabiliteit krijgt, moet je de volgende gegevens aan de betrokkene verstrekken:

• de persoonsgegevens van de betrokkene die digitaal en geautomatiseerd worden verwerkt. Persoonsgegevens die op papier staan, vallen hier dus niet onder; en
• de persoonsgegevens van de betrokkene die worden verwerkt op basis van toestemming (van de betrokkene); of
• de persoonsgegevens die verwerkt worden omdat dit noodzakelijk is voor het uitvoeren van de overeenkomst met de betrokkene.

Let op: onder deze gegevens vallen niet alleen de gegevens die de betrokkene zelf heeft verstrekt, maar ook de gegevens die indirect zijn verkregen door het gebruik van een dienst of apparaat. Bijvoorbeeld de zoekgeschiedenis van de betrokkene via zijn of haar account, of op welke locaties er betaald is met zijn of haar pinpas.

Welke gegevens vallen niet onder een verzoek tot dataportabiliteit?

Er zijn ook gegevens die buiten de scope van een verzoek tot dataportabiliteit vallen. Dit zijn bijvoorbeeld de afgeleide gegevens. Denk aan gegevens die je als bedrijf zelf hebt vastgesteld, zoals een analyse op basis van al eerder verstrekte gegevens.

Maar ook bij gegevensverwerkingen die niet gebaseerd zijn op toestemming of een contract, gegevens die niet zelf door de betrokkene zijn verstrekt of verwerkingen die noodzakelijk zijn voor de uitoefening van taken van algemeen belang hoeft een bedrijf niet te voldoen aan een verzoek tot dataportabiliteit. Ook anonieme gegevens hoef je niet over te dragen.

Hoe verstrek je de gegevens?

Wanneer je als bedrijf een verzoek tot dataportabiliteit krijgt, moet je de betreffende gegevens verstrekken op een gangbare manier waardoor ze voor de betrokkene eenvoudig te raadplegen zijn.

Daarnaast moet het voor de betrokkene makkelijk zijn om de verkregen informatie te kunnen hergebruiken of door te geven aan een andere organisatie. De wet schrijft dan ook voor dat je de gegevens op een gestructureerde manier en in een machineleesbaar format moet verstrekken aan betrokkenen of een andere organisatie. Bij machineleesbaar kan je denken aan een pdf- of Excel-bestand. Op deze manier maak je het zo makkelijk mogelijk om persoonsgegevens te hergebruiken of door te sturen.

Waar moet je op letten als bedrijf?

1. Allereerst is het belangrijk dat de betrokkenen, waarvan je persoonsgegevens verwerkt, op de hoogte worden gesteld van hun rechten. Onder deze rechten valt dus ook het recht op dataportabiliteit. Het moet voor betrokkenen duidelijk zijn dat zij dit recht hebben, maar ook hoe zij dit recht kunnen uitoefenen. Dit kan bijvoorbeeld met behulp van de privacyverklaring op jouw website.

2. Verder is het verstandig, wanneer je zo’n verzoek krijgt, om als bedrijf na te denken over het format waarin je de gegevens verstrekt. Hierbij kun je rekening houden met de wensen van de betrokkene en wellicht kijken naar het bedrijf waar de betrokkene de gegevens naar wil overzetten. Als bijvoorbeeld de nieuwe tandarts van de betrokkene de voorkeur geeft aan een pdf-bestand, maak je het hem zo makkelijk mogelijk door de gegevens ook in een pdf-bestand te verstrekken.

3. Let op dat wanneer je gaat bepalen welke gegevens verstrekt moeten worden aan de betrokkene, het belangrijk is dat de inhoud en betekenis van de gegevens zo goed mogelijk bewaard blijven. Op deze manier heeft de betrokkene het meeste aan zijn of haar gegevens. Denk bijvoorbeeld aan de datum en context waarin de gegevens zijn verschaft en met welk doel de gegevens door jou werden verwerkt.

Vragen of hulp nodig?

Het recht op dataportabiliteit kan door ondernemers als ingewikkeld worden ervaren. Wij vertellen je graag hoe je op een praktische manier gehoor kunt geven aan een verzoek tot dataportabiliteit en hoe je dit binnen jouw bedrijf kunt organiseren. Neem hiervoor gerust contact met ons op! Dit kan via info@privacycoaches.nl.

Verwerkingsverantwoordelijke en verwerker: wie is wie?

Als verwerkingsverantwoordelijke ben je, de naam zegt het al een beetje, verantwoordelijk voor het bepalen van de doelen en de middelen waarmee persoonsgegevens verwerkt worden. Het kan zijn dat de verwerkingsverantwoordelijke hiervoor een partij inschakelt voor het verwerken van deze persoonsgegevens, deze partij is dan een verwerker. Bij het inschakelen van een verwerker ben je, volgens de AVG, als verwerkingsverantwoordelijke verplicht om een zogeheten verwerkersovereenkomst af te sluiten met deze verwerker. Door middel van een verwerkersovereenkomst maak je afspraken over hoe er moet worden omgegaan met de persoonsgegevens. De verwerker verwerkt namelijk in opdracht van de verwerkingsverantwoordelijke persoonsgegevens en doet dit volgens zijn instructies. Kort gezegd geeft de verwerkersovereenkomst de verantwoordelijkheden weer tussen de verwerkingsverantwoordelijke en de verwerker op het gebied van de verwerking van persoonsgegevens.

Wat staat erin?

In de verwerkersovereenkomst maak je dus afspraken over de persoonsgegevens die de verwerker in opdracht van de verwerkingsverantwoordelijke verwerkt. De inhoud van een verwerkersovereenkomst kan variëren, maar veel onderwerpen zijn veelal hetzelfde, denk hierbij aan afspraken over welke persoonsgegevens er verwerkt zullen worden, afspraken omtrent het doorgeven van persoonsgegevens naar landen buiten de EER, hoelang de verwerker de persoonsgegevens mag bewaren, en wat te doen als er een datalek plaatsvindt. Ook zullen de te nemen technische en organisatorische maatregelen besproken worden in de verwerkersovereenkomst.

Subverwerkers

Ook is het mogelijk dat de verwerker vervolgens besluit een subverwerker in te schakelen. Een subverwerker is een partij die namens de verwerker (een deel) van de gegevens verwerkt. Als dat het geval is dient de verwerker hiervoor toestemming van de verwerkingsverantwoordelijke te krijgen én dient hij een subverwerkersovereenkomst te sluiten met de subverwerker zelf, waarin dezelfde plichten worden opgelegd als die verwerkingsverantwoordelijke aan de verwerker heeft opgelegd.

Waar moet je op letten gedurende het opstellen en uitvoeren van een verwerkersovereenkomst?

• Zorg ervoor dat alle betrokken partijen onder de verwerkersovereenkomst begrijpen wat hun respectievelijke rollen en verantwoordelijkheden zijn.
• Een verwerkersovereenkomst is een wettelijk verplicht document, maar het blijft uiteindelijk een stuk tekst. Zorg dus dat je niet alleen op papier dingen afspreekt maar ook in de praktijk een goede invulling geeft aan wat je onderling met elkaar afspreekt. Zoals het correct implementeren van de afgesproken technische en organisatorische maatregelen en het opstellen van een datalekkenprocedure;
• Controleer als verwerkingsverantwoordelijke op een goede naleving van de verwerkersovereenkomst, dit kun je bijvoorbeeld bereiken door de verwerker regelmatig te auditen.
• Blijf duidelijk communiceren met elkaar om ervoor te zorgen dat partijen op de hoogte zijn van eventuele wijzigingen die van invloed zijn op de gegevensverwerking en daarmee op de verwerkersovereenkomst, bijvoorbeeld wanneer de verwerker besluit een subverwerker aan te stellen.
• Denk vooruit: Er moeten heldere afspraken gemaakt worden over wat er met de gegevens dient te gebeuren na het beëindigen van de verwerkersovereenkomst, dit noemt men ook wel de “exit-strategie”.
• En belangrijk om niet te vergeten; neem een geheimhoudingsverplichting op in je verwerkersovereenkomst!

Meer weten of hulp nodig?

Wil jij meer weten over de verwerkersovereenkomst? Of heb je hulp nodig bij het opstellen ervan? Wij kunnen je helpen! Neem contact met ons op via info@privacycoaches.nl

Wat is het transparantiebeginsel?

Een van de belangrijkste beginselen uit de AVG voor betrokkenen, de personen op wie de persoonsgegevens betrekking hebben, is het transparantiebeginsel. Dit houdt in dat de verwerkingsverantwoordelijke, de partij die bepaalt waarom en hoe persoonsgegevens worden verwerkt, de betrokkenen op de hoogte moet stellen van de gegevens die van hen verwerkt worden.

Deze informatie moet op een begrijpelijke, transparante en toegankelijke manier verstrekt worden. Dit betekent dat de informatie makkelijk verkrijgbaar is en dat het in heldere en begrijpelijke taal geschreven is.

Om welke informatie gaat het?

De AVG schrijft voor hoe je de betrokkenen moet informeren. Het gaat in ieder geval om de identiteit en de contactgegevens van de verwerkingsverantwoordelijke, het uiteindelijke doel waarvoor de betreffende persoonsgegevens worden verwerkt, hoelang de persoonsgegevens bewaard blijven en op basis van welke rechtsgrond dit gebeurt.

Andere belangrijke informatie voor betrokkenen is de vraag of hun persoonsgegevens ook worden doorgegeven aan andere (derde) partijen. Het gaat hier om partijen zowel binnen als buiten de Europese Unie. Indien dit het geval is, moet aangegeven worden wie deze ontvangers (of de categorieën van de ontvangers) zijn.

Ook moeten de betrokkenen op de hoogte worden gesteld van de rechten die zij op grond van de AVG hebben. Hieronder valt bijvoorbeeld het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Waar moet je als organisatie op letten bij de transparantieplicht?

Voor een organisatie zijn er twee aspecten van belang om te voldoen aan de transparantieverplichting.

1. Zorg dat de hierboven genoemde informatie aan de betrokkenen wordt verstrekt op het moment dat zij hun persoonsgegevens aan jou geven. Het gaat dus om het moment dat jij als organisatie de persoonsgegevens verkrijgt. Vergeet niet dit op een zodanige wijze te doen dat dit makkelijk te begrijpen is voor de betrokkene!

2. Zorg ervoor dat wanneer je persoonsgegevens opnieuw gebruikt, maar dan voor een ander doel, je de betrokkenen wéér informeert over de verwerking. Wanneer het doel waarvoor je de gegevens gebruikt verandert, ben je namelijk verplicht de betrokkenen hiervan op de hoogte te brengen.

Het transparantiebeginsel in de praktijk

Maar hoe pas je het transparantiebeginsel nou eigenlijk toe in de praktijk? Het meest voor de hand liggende voorbeeld hiervan is het opstellen van een privacyverklaring. Hiermee laat jij je klanten weten op welke manier er met hun persoonsgegevens wordt omgegaan. Een privacyverklaring moet je dan vervolgens op een toegankelijke (bijvoorbeeld op je website en niet al te verstopt), begrijpelijke (niet al te ingewikkeld taalgebruik) en transparante (zo volledig mogelijk) manier met je klanten te delen.

Belangrijk is dat het transparantiebeginsel niet in alle gevallen van toepassing is. Zo is het volgens de AVG niet nodig om betrokkenen te informeren wanneer zij al over de informatie beschikken of wanneer het verkrijgen of verstrekken van de informatie al wettelijk is voorgeschreven. Denk aan de informatie die een gemeente ontvangt naar aanleiding van een subsidieaanvraag.

Ook wanneer het onmogelijk is of onevenredig veel inspanning kost om de informatie te verschaffen, is het voldoen aan de transparantieplicht niet vereist. Denk hierbij aan gegevens die sterk verouderd zijn of aan situaties waarin er extreem veel betrokkenen zijn.

Daarnaast moet men rekening houden met het beroepsgeheim. Bijvoorbeeld als een arts gegevens verkrijgt over familieleden van een patiënt. Onder het beroepsgeheim is de arts dan niet verplicht deze gegevens te delen met familieleden als zij daarom vragen.

Hulp nodig?

Heb jij hulp nodig om te voldoen aan de transparantieverplichting, bijvoorbeeld met het opstellen van een privacyverklaring? Of wil je weten hoe je betrokkenen het beste op de hoogte stelt van de rechten die zij hebben wanneer hun persoonsgegevens verwerkt worden? Neem contact met ons op via info@privacycoaches.nl en wij helpen je hiermee!

Wat is een DTIA?

In onze eerdere blog over de Data Protection Impact Assessment (DPIA) hebben wij uitgelegd wat een DPIA precies is. Hiermee breng je vooraf de privacyrisico’s in kaart van een verwerking van persoonsgegevens.

Bij een Data Transfer Impact Assessment (DTIA) doe je dit voor de mogelijke privacyrisico’s wanneer je persoonsgegevens deelt met een ontvanger buiten de Europese Economische Ruimte (EER). Kort gezegd is een DTIA dus een risicobeoordeling voor de doorgifte van persoonsgegevens naar derde landen.

Op deze manier kun je de risico’s die het delen van persoonsgegevens met landen buiten de EER met zich meebrengt, wegnemen of verkleinen door maatregelen te nemen.

Waarom voer je een DTIA uit?

Binnen de EER hebben we een hoog beschermingsniveau van persoonsgegevens dankzij de AVG; hierdoor is binnen de EER vrij verkeer van persoonsgegevens mogelijk. Maar als we persoonsgegevens delen met landen buiten de EER mag dit alleen als er sprake is van een passend beschermingsniveau. Als er geen passend beschermingsniveau is, moet er gekeken worden naar passende maatregelen.

Om dit beschermingsniveau te waarborgen, heeft de Europese Commissie een modelcontract opgesteld: de Standard Contractual Clauses. De SCC’s bieden een waarborg voor het delen van persoonsgegevens met derde landen.

Daarnaast bestaan er landen met een adequaatheidsbesluit. Deze landen bieden volgens de Commissie een beschermingsniveau dat gelijk is aan de AVG, waardoor het veilig is gegevens te delen. Recentelijk heeft de Commissie besloten dat de Verenigde Staten een voldoende adequaat beschermingsniveau hebben bereikt; lees hier meer over in onze blog.

Bij het ontbreken van een adequaatheidsbesluit is het ondertekenen van een SCC dus een oplossing. Maar vergeet dan niet een DTIA uit te voeren. Dit volgt uit de zogeheten Schrems II-uitspraak en werd bevestigd door de Ierse privacytoezichthouder (lees hier onze blog over de boete van de Ierse toezichthouder aan Meta). Volgens de toezichthouder moest er door Meta een risicobeoordeling uitgevoerd worden die betrekking heeft op de specifieke doorgifte van de betreffende gegevens. Dit is de DTIA.

Wat moet er in ieder geval in een DTIA worden meegenomen?

Helaas staan er in de AVG geen vormvereisten voor het uitvoeren van een DTIA. Toch zijn er een aantal aspecten die in ieder geval terug moeten komen in een gedegen DTIA. De European Data Protection Board (EDPB) heeft een aantal aanbevelingen op een rijtje gezet:

• Allereerst is het belangrijk om te kijken naar de privacywetgeving van het land waarmee je persoonsgegevens deelt. Het is van belang dat het betreffende land zelf ook passende maatregelen treft om persoonsgegevens goede bescherming te bieden.
• Naast wetgeving spelen de aanwezigheid van aanvullende maatregelen zoals technische en organisatorische maatregelen een rol.
• Verder is het van belang om te kijken naar wat degene waarmee jij de gegevens deelt met deze gegevens gaat doen. En daarnaast of de verwerking van de betreffende gegevens een groot risico voor de betrokkenen met zich meebrengt. De risico’s zijn immers groter wanneer de persoonsgegevens gedeeld worden met een grote hostingprovider dan wanneer het gaat om kleine ondernemingen die minder (gevoelige) gegevens verwerken.

Op basis van de relevante informatie over het beschermingsniveau van persoonsgegevens in het betreffende land kan een risicobeoordeling worden gemaakt.

Vervolgens kun je de afweging maken of het verantwoord is om de persoonsgegevens ook daadwerkelijk te delen met de organisatie in het derde land. Daarbij is het belangrijk om na te gaan of de doorgifte van gegevens echt noodzakelijk is, of dat er misschien ook mogelijkheden binnen de EER bestaan.

Hulp nodig?

Wil jij meer weten over het opzetten en uitvoeren van een DTIA? Of wil je weten of het voor jou noodzakelijk is om een DTIA uit te voeren? Wij kunnen je adviseren en ondersteunen in het proces.

Je kunt contact met ons opnemen via info@privacycoaches.nl.

De boete

De Zweedse privacytoezichthouder (Integritetsskyddsmyndigheten) heeft de muziek streamingsdienst Spotify een boete van bijna 5 miljoen euro opgelegd. De reden voor de boete is een schending van het inzagerecht.

Recht op inzage

Het recht op inzage houdt in dat personen inzicht moeten krijgen in de persoonsgegevens die van hen verwerkt worden indien zij daar om verzoeken. Wanneer je als bedrijf een inzageverzoek krijgt, ben je onder meer verplicht om aan te geven voor welke doeleinden je de gegevens verwerkt, welke categorieën persoonsgegevens je hierbij precies gebruikt en met welke ontvangers of welke categorieën van ontvangers deze gegevens gedeeld worden.

Het recht op inzage is belangrijk voor burgers. Door inzicht te verkrijgen in de persoonsgegevens die er van hen verwerkt worden, kan een burger nagaan of zijn gegevens wel terecht verwerkt worden en up-to-date zijn. Is dit niet het geval, dan kun je andere rechten uitoefenen, zoals het recht op rectificatie of verwijdering (het recht op vergetelheid).

Spotify

Naar aanleiding van een klacht van Max Schrems heeft de Zweedse toezichthouder onderzoek gedaan naar de werkwijze van Spotify als het gaat om inzageverzoeken. Uit dit onderzoek is gebleken dat Spotify personen die een inzageverzoek deden op de hoogte stelde van de persoonsgegevens die er verwerkt werden, maar dat Spotify daarbij niet duidelijk maakt op welke manier zij deze persoonsgegevens precies gebruikt. Hierdoor is de Zweedse toezichthouder van mening dat Spotify het recht op inzage heeft geschonden. De tekortkoming zag voornamelijk op het verstrekken van informatie die niet eenvoudig te begrijpen was voor burgers. Daarnaast is het zo dat de uitleg van welke gegevens er verwerkt worden in de moedertaal van de verzoeker verstrekt dient te worden, indien het gaat om technische verwerkingen van de betreffende gegevens. Ook hierin is Spotify tekortgeschoten.

Spotify verstrekte de informatie in verschillende delen. Dit is volgens de Zweedse toezichthouder wel toegestaan. Het gaat er namelijk om dat wordt voldaan aan het inzageverzoek. Bovendien kan het verschaffen van de gegevens in verschillende delen er juist voor zorgen dat de informatie overzichtelijker en begrijpelijker is voor de verzoeker.

Take-away

De belangrijkste les uit deze boete, is dat de informatie die je dient te verschaffen bij een inzageverzoek gedetailleerd moet zijn én dat je het tegelijkertijd op een begrijpelijke manier verschaft aan de verzoeker. Het inzagerecht staat namelijk niet voor niets ten dienste van de burger.

Vragen over het behandelen van een inzageverzoek?

Krijgt jouw organisatie wel eens een inzageverzoek? Wil je meer informatie over hoe je een inzageverzoek het beste kunt behandelen? Neem dan contact met ons op via info@privacyoaches.nl

Tip: lees ook onze blog over de reikwijdte van een inzageverzoek in het licht van de ‘Österreichische Post’ uitspraak van het Hof van Justitie van de Europese Unie.

De boete guidelines van de EDPB

Op 24 mei 2023 is het boetebeleid (de fining guidelines) van de EDPB (European Data Protection Board) in werking getreden. Deze nieuwe regels zorgen ervoor dat alle Europese privacytoezichthouders boetes op dezelfde manier berekenen.

Tot 24 mei konden de Europese toezichthouders namelijk per land hun eigen boetebeleid vormgeven. Op grond van de AVG kunnen er boetes worden opgelegd tot maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Veranderingen door dit uniforme Europese boetebeleid

Allereerst worden de omvang en de omzet van het bedrijf belangrijker bij het bepalen van de hoogte van de boete. Dit betekent dat de jaaromzet van de onderneming het uitgangspunt wordt.

Verder zijn er drie categorieën om de ernst van de overtreding mee aan te duiden: laag, midden en hoog. Deze categorieën vormen de basis voor het startbedrag op grond waarvan de uiteindelijke boete berekend wordt.

Bij het bepalen van de hoogte van de boete wordt door de Autoriteit Persoonsgegevens nu ook al gekeken naar de ernst van de overtreding, maar er wordt nog geen indeling gemaakt naar deze classificatie. Dat verandert dus met deze nieuwe beleidsregels.

De laatste grote aanpassing is dat er wordt gerekend met een startbedrag. Dit startbedrag wordt bepaald door naar de hierboven genoemde categorie te kijken, de ernst van de overtreding en de omzet van de onderneming.

Door naar de omstandigheden van het geval te kijken, kan dit startbedrag nog worden verhoogd of verlaagd. Denk hierbij aan de ernst van de overtreding en welke persoonsgegevens er betrokken zijn. Daarnaast wordt bijvoorbeeld gekeken naar het gedrag van een onderneming in het verleden; ook dat kan meespelen bij het verhogen of verlagen van de boete.

Geldt alleen voor ondernemingen

Het nieuwe boetebeleid is alleen relevant voor ondernemingen, omdat het niet geldt voor overheidsinstanties. Daarbij komt dat het begrip onderneming in het nieuwe beleid verruimd is. Hierdoor vallen ook dochtermaatschappijen onder de onderneming, in het geval er beslissende invloed wordt uitgeoefend.

Dit betekent dat de omvang van de boete in deze gevallen dus ook groter wordt, aangezien het bedrag wordt berekend naar de totale omzet van de onderneming.

Meer weten over de gevolgen van het nieuwe boetebeleid? Of hulp nodig bij privacyvraagstukken? Neem dan contact met ons op via info@privacyoaches.nl

5 jaar AVG | Massaschadeclaims

De inwerkingtreding van de Algemene verordening gegevensbescherming (AVG) in mei 2018 heeft verschillende gevolgen met zich meegebracht. Met de AVG zijn er meer regels ontstaan waar je je aan moet houden, en dus ook meer regels die je kunt overtreden.

Wet Afwikkeling Massaschade in Collectieve Actie

In combinatie met de inwerkingtreding van de Wet Afwikkeling Massaschade in Collectieve Actie (WAMCA) is dit een interessante ontwikkeling. Hiermee is het namelijk mogelijk om in collectieve actie schadevergoeding te vorderen naar aanleiding van een gebeurtenis waardoor een groep personen schade heeft geleden.

Op grond van de WAMCA kan schadevergoeding worden gevorderd als gevolg van allerlei soorten inbreuken, en dan zowel materiele als immateriële schade. Hieronder valt dus ook een inbreuk op privacyrechten uit de AVG.

Facebook, TikTok en GGD

Sinds de inwerkingtreding van de WAMCA in 2020 zijn er al verschillende procedures onder deze regeling gestart naar aanleiding van privacy-inbreuken. De bekendste lopende zaken op dit gebied zijn de zaken tegen Facebook, TikTok en de GGD.

De claims tegen Facebook en TikTok zien op het illegaal verzamelen en verhandelen van persoonsgegevens van gebruikers van de apps. Bij de GGD gaat het om een claim tegen de staat voor het illegaal handelen in persoonsgegevens door medewerkers van de GGD. Daarnaast heeft de Autoriteit Persoonsgegevens TikTok een boete opgelegd en staat de GGD onder verscherpt toezicht.

Aantrekkelijk voor consumenten

Het claimen van schadevergoeding onder de WAMCA is aantrekkelijk voor consumenten. Het enige wat ze hoeven te doen is zich aan te sluiten bij de stichting die voor hen gaat procederen. Zij hebben hierdoor zelf vaak weinig te verliezen en halen hier wellicht zelfs nog voordeel uit als de vordering wordt toegewezen.

Wat de gevolgen van deze nieuwe trend zullen zijn, is nog niet duidelijk. Dit zal afhangen van het succes van bovenstaande zaken. Als deze claims succesvol blijken, is het goed denkbaar dat andere (grote) technologiebedrijven of organisaties waarbij de verwerking van persoonsgegevens een grote rol speelt ook aan de beurt komen.

Een belangrijke vraag in deze context is echter of een privacyschending wel op geld te waarderen is. Want een vordering op grond van de WAMCA gaat immers over een schadevergoeding in geld.

Het Hof van Justitie heeft op 4 mei 2023 bepaald dat schadevergoeding inderdaad mogelijk is bij privacyschendingen, maar ook dat daar de normale regels voor gelden. Oftewel: er moet een schending zijn, er moet schade zijn en er moet een causaal verband zijn tussen beiden. De vraag is dan ook op welke wijze de rechter een inbreuk op privacy naar een bedrag zal waarderen.

Meer weten over de WAMCA? Of wil je advies over hoe je het beste een schadeclaim op basis van privacy-inbreuken kunt voorkomen? Neem dan contact met ons op!

Wat doet een functionaris gegevensbescherming eigenlijk?

Eerder schreven wij al een blog over de verschillende functies die een functionaris gegevensbescherming (FG) binnen een organisatie wel en niet gelijktijdig mag hebben. Dit naar aanleiding van een uitspraak van het Europees Hof.

In deze blog gaan wij verder in op wat de functie van een FG precies omvat, de wettelijke vereisten en de kwaliteiten die een FG moet hebben.

Wat doet een FG precies?

Uit de richtlijn van de European Data Protection Board (EDPB) volgt dat de FG een echte ‘keyplayer’ is. De werkzaamheden van de FG zijn in alle gevallen terug te leiden tot het houden van toezicht op de naleving van de AVG binnen jouw organisatie. Ook heeft de FG een adviserende rol. Daarnaast is de FG de contactpersoon voor de Autoriteit Persoonsgegevens.

Belangrijk om op te merken is dat de FG niet persoonlijk verantwoordelijk is voor de naleving van de AVG binnen jouw organisatie. Deze eindverantwoording blijft dus rusten op de organisatie zelf.

Dat de onafhankelijkheid van de FG van belang is, is in onze vorige blog al naar voren gekomen. Om deze onafhankelijkheid te kunnen garanderen is het belangrijk dat de FG binnen jouw organisatie op een afdeling geplaatst wordt waar deze onafhankelijkheid ook daadwerkelijk gewaarborgd is. Welke afdeling dit is, hangt af van de structuur van jouw organisatie. Ons advies is in ieder geval om de FG niet te ‘laag’ in de organisatie te hangen.

Hier komt bij dat de FG, vanwege die onafhankelijkheid, geen instructies mag ontvangen over hoe de functie wordt uitgevoerd. Daarnaast is het van belang dat de FG tijdig en volledig wordt geïnformeerd over zaken die noodzakelijk zijn voor de uitoefening van zijn of haar taken. Denk bijvoorbeeld aan de uitvoering van een DPIA, het opstellen van verwerkersovereenkomsten en de aanpak bij eventuele datalekken. Zorg dus ook dat de FG betrokken wordt bij relevante vergaderingen en besluitvorming.

Over welke kwaliteiten moet een FG beschikken?

Een goede FG moet over verschillende kwaliteiten beschikken om ervoor te zorgen dat jouw organisatie de privacy van werknemers en klanten zo goed mogelijk beschermt.

Allereerst moet een FG leiderschap kunnen tonen. Hij of zij moet hiervoor onafhankelijk kunnen werken en de organisatie moet op het woord van de FG vertrouwen. Meedenkend vermogen en duidelijke communicatie zijn hierbij essentieel.

Daarnaast is het belangrijk dat de FG verschillende belangen kan behartigen. De FG is er namelijk zowel om te waarborgen dat persoonsgegevens op een veilige en betrouwbare manier verwerkt worden, als om het belang van de organisatie te dienen.

Hier staat tegenover dat belangenverstrengeling in de uitvoering van de functie van FG voorkomen moet worden. Zie onze eerdere blog over de verschillende functies die een FG binnen een organisatie kan bekleden.

Deze vaardigheden gelden natuurlijk naast uitgebreide kennis over de AVG en andere relevante wetgeving. Goed om te weten: wanneer een FG niet voldoet aan het wettelijk profiel kan de Autoriteit Persoonsgegevens hier mogelijk een boete voor opleggen.

Moet jouw organisatie een FG hebben?

Overheidsorganisaties en publieke organisaties zijn verplicht een FG te hebben. Alleen voor rechtbanken geldt een uitzondering. Volg je als organisatie op grote schaal mensen of breng je hun activiteiten in kaart? Ook dan moet je een FG aanstellen. Denk bijvoorbeeld aan bedrijven die personeelvolgsystemen leveren als SaaS-oplossing. Verwerkt jouw organisatie op grote schaal bijzondere of strafrechtelijke persoonsgegevens? Ook dan moet je een FG hebben. Denk bijvoorbeeld aan een ziekenhuis.

Maar ook als een FG niet verplicht is, kan het soms verstandig zijn om een FG aan te stellen. Dit kan overigens ook parttime of extern.

Meer weten over de functie van een FG? Neem contact met ons op via info@privacycoaches.nl. Wij hebben namelijk ervaring met de rol van FG en kunnen al jouw vragen beantwoorden! Daarnaast kunnen we als jouw externe FG optreden.

Mag een functionaris gegevensbescherming meerdere functies hebben?

De functionaris gegevensbescherming (FG) is verantwoordelijk voor de naleving van privacywetgeving binnen een organisatie. Volgens de Algemene verordening gegevensbescherming (AVG) houdt een FG hierop onafhankelijk toezicht.

Heeft een FG ook een andere functie binnen de organisatie? Dan mag er geen sprake zijn van belangenverstrengeling. Een FG mag geen andere taken uitvoeren waardoor hij in een positie komt die zijn onafhankelijkheid zou kunnen aantasten.

Dus ja: een FG mag meerdere functies binnen een organisatie vervullen, als zijn onafhankelijkheid maar niet in gevaar komt.

Uitspraak over de functievervulling van de FG

Het Europees Hof heeft onlangs een uitspraak gedaan over de functievervulling van de FG. Het Hof oordeelde dat een FG geen functie mag vervullen waarin hij het doel en de middelen van de gegevensverwerking bepaalt. Denk bijvoorbeeld aan de situatie dat de FG ook de functie van directeur marketing, directeur HR of CISO (Chief Information Security Officer) bekleedt.

Of van een belangenverstrengeling sprake is, moet volgens het Hof bepaald worden aan de hand van alle relevante omstandigheden van het geval. Dit wordt dus overgelaten aan de nationale rechters van de lidstaten.

Advies over de functionaris gegevensbescherming

Meer weten over de functie van een FG? Twijfel jij of de invulling van de functie van jouw FG wel voldoet aan de vereisten van de AVG? Weet je niet zeker of jouw organisatie een FG moet aanstellen? Of heb je behoefte aan een externe FG? Schroom niet en neem contact met ons op via info@privacycoaches.nl. Met onze ervaring in de vervulling van de functie van FG staan wij graag voor jou klaar!

Hoe ver reikt een inzageverzoek?

Op 12 januari 2023 heeft het Hof van Justitie van de Europese Unie uitspraak gedaan over het inzagerecht. De zaak ging over een conflict tussen een Oostenrijkse burger en het postbedrijf ‘Österreichische Post’. De man wil van het postbedrijf weten met wie zijn persoonsgegevens precies zijn gedeeld.

Volgens de Algemene verordening gegevensbescherming (AVG) heb je het recht om in te zien welke persoonsgegevens er van jou verwerkt worden en met wie deze gegevens worden gedeeld. Dit wordt het inzagerecht (of recht op inzage) genoemd. Dit volgt uit de doelstellingen en verschillende artikelen van de AVG.

In deze uitspraak van het Hof wordt de samenhang tussen deze wetsartikelen en de doelstellingen met betrekking tot het inzagerecht op een rijtje gezet. Hierbij komen óók de beperkingen op dit recht aan bod. Deze uitspraak geeft dus een mooi overzicht van het inzagerecht.

Het recht op inzage

In deze zaak werd aan het Hof een vraag gesteld over de uitleg van artikel 15 lid 1 sub c AVG. Het ging in het bijzonder om het volgende: is de verwerkingsverantwoordelijke verplicht om de betrokkene te vertellen wat de concrete identiteit van de ontvangers is waarmee hij persoonsgegevens deelt? Of kan je volstaan met alleen het benoemen van een categorie van ontvangers?

Het Hof zegt hierover het volgende. Volgens de AVG heb je recht om informatie te verkrijgen over het al dan niet verwerken van je persoonsgegevens. En als dit het geval is, om vervolgens inzage te verkrijgen om welke persoonsgegevens het gaat én wie deze persoonsgegevens ontvangen.

Ook gelden bij de verwerking van persoonsgegevens de beginselen uit artikel 5 AVG, zoals het transparantiebeginsel. Dit betekent dat de betrokkene geïnformeerd moet worden over de manier waarop zijn gegevens worden verwerkt.

Daarnaast moet de betrokkene kunnen controleren of de gegevens die gedeeld zijn met derden juist zijn. Bijvoorbeeld voor zijn recht op rectificatie of verwijdering.

Het Hof is daarom van oordeel dat het voor de uitoefening van de rechten van betrokkenen noodzakelijk is om te weten wie de concrete ontvangers van hun persoonsgegevens zijn.

Beperkingen op het inzagerecht

Maar er zijn ook uitzonderingen en beperkingen op het inzagerecht. Het recht op de bescherming van persoonsgegevens is namelijk geen absoluut recht.

De bescherming van persoonsgegevens moet afgewogen worden tegen de bescherming van andere grondrechten. Hierdoor is het in bepaalde omstandigheden toch  niet mogelijk om informatie over de concrete ontvanger van de persoonsgegevens te verstrekken.

Daarnaast kan de verwerkingsverantwoordelijke een verzoek om informatie over de concrete ontvanger van de persoonsgegevens weigeren, als het verzoek kennelijk ongegrond of buitensporig van aard is.

Wat deze uitspraak voor organisaties betekent

Met het oog op het doel van de AVG en de uitoefening van rechten van betrokkenen, ben je verplicht de betrokkenen informatie te geven over de concrete identiteit van de ontvangers met wie je hun persoonsgegevens deelt.

Dit is alleen anders als het onmogelijk is om deze ontvangers te identificeren. Of als je kunt aantonen dat het geven van die informatie (over de concrete identiteit van de ontvanger) ongegrond of buitensporig van aard is.

Wil je weten hoe je het beste kunt reageren op een inzageverzoek? Neem contact met ons op voor advies.