Blog-overzicht

Maximilian Schrems heeft in de afgelopen jaren flink wat stof doen opwaaien met zijn rechtszaken bij het Europese Hof van Justitie (Schrems-I en Schrems-II). Dit heeft onder andere tot gevolg gehad dat de International Safe Harbor Privacy Principles en het Privacy Shield ongeldig werden verklaard[EB1] . In deze blog wordt echter ingegaan op een ander gevolg van de Schrems-arresten, om precies te zijn het Schrems-II arrest: de geboorte van de DTIA, de Data Transfer Impact Assessment.

25 mei 2022, vier jaar Algemene verordening gegevensbescherming, dé privacywetgeving. 4 jaar later en waar staan we nu? Ik weet het nog heel goed, vrijdag 25 mei 2018, het voelde alsof de wereld die dag zou veranderen, maar wat is er nu écht veranderd?

Eind maart kwamen de Europese Commissie en de regering-Biden met een verrassend bericht: Zij hadden een principeakkoord (link: https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2087) bereikt over het reanimeren van Privacy Shield. Het oude Privacy Shield, dat doorgifte van persoonsgegevens aan bedrijven in de VS mogelijk maakte, was in 2020 vernietigd door het Europese Hof van Justitie, dat vond dat de bescherming van gegevens in de VS onvoldoende was. Het Europese Hof vernietigde ook al de voorganger van Privacy Shield: Safe Harbour. Hoe groot is de kans dat deze derde poging wel gaat slagen?

Nieuwe DPIA voor SURF en Rijk op Zoom: alle hoge risico’s opgelost

Eerste hulp bij mogelijk verbod op Google Analytics

Nieuwe DPIA voor de Rijksoverheid en universiteiten op Microsoft Teams, OneDrive en SharePoint Online

Het is vandaag de Dag van de Privacy! Een dag die in het teken staat van bewustzijn rondom privacy en gegevensbescherming.

Privacy Company behaalt ISO 27001 certificering

Een DPIA-proces en het vastleggen wie waar van is tijdens het DPIA-proces is immers een onderdeel van je privacymanagement en kan een duidelijk herkenbare stap zijn bij nieuwe initiatieven in je organisatie.

Privacy Company bestaat zeven jaar. Zeven jaar geleden begonnen we aan de uitvoering van een ambitieus plan. Het is ongelooflijk hoeveel er in de tussentijd is gebeurd.

Het verbeteren van privacybescherming binnen een organisatie vergt teamwork. Organisatorische inbedding van een privacybeleid betekent het toewijzen van taken, verantwoordelijkheden en bevoegdheden. Daarnaast dient het duidelijk te zijn bij wie de medewerkers terecht kunnen wanneer zij vragen hebben over gegevensbescherming of de uitvoering en interpretatie van de wet- en regelgeving. ‍

Organisaties hebben sinds de komst van de Algemene verordening gegevensbescherming (AVG) het verwerkingsregister op orde gemaakt, procedures en checklists geschreven, gezorgd voor transparante informatie naar betrokkenen en een poging gedaan tot bewustwording van het grote vraagstuk ‘privacy’ bij medewerkers. En nu? Misschien komt dit als een schok: maar de AVG is geen checklist die een organisatie kan afvinken. Privacy, en daarmee de AVG, is een onderwerp dat continu leeft en moet leven in een organisatie.

Een van de grootste bedreigingen voor de beveiliging van bedrijfs- en persoonsgegevens op dit moment is phishing. Hackers proberen steeds vaker en steeds effectiever om mensen zover te krijgen dat ze klikken op een verkeerde link in een mail. Uit de rapportage over gemelde datalekken in 2020 van de Autoriteit Persoonsgegevens staan hacking, malware en phishing op de derde plek van meest voorkomende oorzaken. Vorige maand werden zo de pensioengegevens van duizenden medewerkers van Philips en KLM onderschept door een moment van onoplettendheid van een medewerker. Een zeer geavanceerde aanval, waar iedereen in kan trappen. Hoe bescherm je je zo effectief mogelijk?

Google heeft ingestemd met belangrijke privacyverbeteringen in Google Workspace for Education- voor scholen en universiteiten in Nederland. Na intensieve onderhandelingen met vertegenwoordigers van de scholen en instellingen voor hoger onderwijs in Nederland heeft Google ermee ingestemd de hoge gegevensbeschermingsrisico's als gevolg van het gebruik van Google Workspace for Education te verlagen. Deze risico’s zijn beschreven in een DPIA die Privacy Company heeft uitgevoerd voor twee universiteiten.

Bijna de helft van de politieke partijen in Nederland heeft tracking cookies gebruikt op hun eigen websites, waarmee ze potentiële kiezers elders op internet gericht konden benaderen (microtargeting). Met zulke tracking cookies verwerken de partijen doorgaans bijzondere persoonsgegevens. Terwijl dat alleen mag met uitdrukkelijke toestemming van de betrokkenen. Maar daarvan is geen sprake, blijkt uit onderzoek van Privacy Company.

Met de publicatie op 4 juni van de nieuwe Standaard Contractvoorwaarden deed de Europese Commissie (hierna: Commissie) iets opmerkelijks. De Standaard Contractvoorwaarden (SCC’s) zijn bedoeld om gegevens te kunnen sturen vanuit de EU, aangevuld met Noorwegen, IJsland en Liechtenstein (Europese Economische Ruimte, EER), naar een land daarbuiten dat niet voldoende bescherming biedt aan de gegevens. Door aanvullende maatregelen af te spreken tussen de verzender en de ontvanger kunnen zij de gegevens toch veilig verwerken in het doelland. De Commissie heeft nu onverwacht de definitie van internationale doorgifte veranderd. Niet langer is iedere verzending van gegevens naar een systeem buiten de EU/EER een internationale doorgifte, maar alleen als de gegevens daarna niet langer rechtstreeks beschermd zijn door de AVG. De Commissie stelt dat organisaties de SCC’s alleen mogen gebruiken als de AVG niet toch al van toepassing is op de ontvanger in het doelland.

Privacy Company voert regelmatig een DPIA uit om de risico’s van online diensten voor de Rijksoverheid in kaart te brengen en te verkleinen. In dit blog zetten Sjoera Nas en Floor Terra uiteen hoe dat in zijn werk gaat.

Afgelopen vrijdag publiceerde de Europese Commissie de langverwachte nieuwe Standaard Contractvoorwaarden (SCCs), die bedrijven kunnen gebruiken om op een rechtmatige manier persoonsgegevens naar landen buiten de Europese Unie en Europese Economische Ruimte (EU/EER) te sturen. De nieuwe SCCs zijn erg flexibel opgesteld, waardoor ze bruikbaar zijn in meer situaties dan voorheen. Tegelijk zijn ze ook moeilijker te gebruiken, deels doordat ze zoveel opties bieden, maar deels ook doordat ze veeleisender zijn dan de oude: de exporteurs van gegevens moeten veel informatie geven over de wijze waarop de doorgifte plaatsvindt en de manier waarop de gegevens worden beschermd tijdens de doorgifte en daarna. De belangrijkste veranderingen op een rij:

Maandag 31 mei 2021 ging het nieuwe meldformulier datalekken van de Autoriteit Persoonsgegevens online. Privacy Company dook er meteen bovenop om de nieuwigheden in kaart te brengen. Hierbij troffen we een aantal risico’s, inclusief een behoorlijke oeps. Deze delen we natuurlijk graag met je.

Vlak voor de derde verjaardag van de AVG hebben de Europese privacytoezichthouders (EDPB) twee gedragscodes voor cloudproviders goedgekeurd, zie opinies 16/2021 en 17/2021. De CISPE gedragscode (voor cloud infrastructuur providers) en de EU Cloud Code (voor alle soorten cloudproviders) zouden in theorie een enorme privacy-boost kunnen opleveren. Maar helaas hebben de afspraken weinig om het lijf. De gedragscode biedt geen oplossing voor de grote privacy-risico's voor de Europese klanten van de (vooral) Amerikaanse cloudproviders, als het gaat om doelbinding, transparantie, grondslag en dataminimalisatie.

Het Verenigd Koninkrijk is sinds 31 december 2020 definitie geen lid meer van de Europese Unie. Doordat het Verenigd Koninkrijk uit de Europese Unie is gestapt, is zij onder andere niet langer gebonden aan de Algemene verordening gegevensbescherming (AVG). Dit betekent dat naast de files van vrachtwagens, ook persoonsgegevens van en naar het Verenigd Koninkrijk in de knel komen. Voor doorgifte van persoonsgegevens buiten de Europese Unie, zogeheten derde landen, gelden namelijk aparte regels.

Nu bijna 3 jaar na de introductie van de AVG zie je dat dat basis voor AVG-compliance bij de meeste bedrijven en organisaties staat. Verantwoordelijkheden zijn belegd, processen zijn ingeregeld, beleid is opgesteld en de medewerkers hebben een training gevolgd. Onder toeziend oog van de aangestelde privacy officer is er hard gewerkt om alles te implementeren en draaiende te houden. En dat is best veel. Voor privacy officers voelt het soms als ‘pompen of verzuipen’. Voor medewerkers als een ‘privacy overload’.

De termen lijken op elkaar. Veel mensen denken daarom al snel dat gegevensbescherming gaat over het goed versleutelen van gegevens. Maar hoewel dat belangrijk is, gaat gegevensbescherming echt ergens anders over. Heel kort gesteld gaat gegevensbescherming over de privacy van mensen, terwijl informatiebeveiliging gaat over de bescherming van informatie van organisaties.

In deze blog ga ik privacyvraagstukken van het vaccinatiebewijs kort vanuit drie grote ethische stromingen belichten. Dit blogje is geen uitgebreide ethiekles. Verwacht dus niet dat de korte uiteenzetting echt recht doet aan het uitgebreide achterliggende gedachtengoed.

Er komen straks vaccinatiebewijzen om aan te tonen dat je gevaccineerd bent. Dat zou het bijvoorbeeld toestaan om te reizen naar het buitenland of om toegang tot bepaalde evenementen te krijgen. Deze aanpak roept vragen op, zowel vanuit privacy-perspectief als vanuit ethisch oogpunt.

In opdracht van het Ministerie van Justitie en Veiligheid heeft Privacy Company onderzoek gedaan naar de privacyrisico’s van G Suite Enterprise, met werk- en communicatie apps zoals Gmail, Chat, Meet, Forms, Docs en Slides. Inmiddels heeft Google deze diensten hernoemd in Google Workspace.

Midden februari 2021 is er een nieuwe stap gezet in het Brusselse proces om de bestaande regels te moderniseren over cookies, spam en het digitale briefgeheim. Na ruim 2,5 jaar onderling gesteggel hebben de vertegenwoordigers van de EU lidstaten een compromis bereikt over de nieuwe ePrivacy Verordening. Maar daarmee is er nog geen nieuwe wet in Europa.