Blog-overzicht

Organisaties hadden altijd al de mogelijkheid om een interne toezichthouder op de bescherming van persoonsgegevens aan te stellen. Zo iemand werd een functionaris voor de gegevensbescherming (FG) genoemd. De FG hield binnen de organisatie toezicht op de toepassing en naleving van de Wet bescherming persoonsgegevens (Wbp). Met de komst van de Algemene verordening gegevensbescherming (AVG) zijn de taken en de positie van de FG niet wezenlijk veranderd maar meer expliciet in de wet verankerd. Wel is de naam van de toezichthouder gewijzigd in Functionaris voor gegevensbescherming. De verplichting om bij sommige organisaties een FG aan te stellen is wel nieuw. Dat verklaart de explosie aan FG’s rondom de invoeringsdatum van de AVG.

Op 30, 31 januari en 1 februari 2019 werd het jaarlijkse CPDP congres in Brussel gehouden. Op CPDP komen academici, advocaten, praktijkmensen, beleidsmakers, industrie en maatschappelijke organisaties van over de hele wereld samen om ideeën uit te wisselen en om problemen en trends te bespreken op het gebied van privacy en gegevensbescherming. En ik had de eer om op donderdag 31 januari tijdens een panel over datalekken te mogen vertellen wat de meldplicht datalekken voor impact heeft op de praktijk.

De Autoriteit Persoonsgegevens publiceerde op 31 januari haar eerste nieuwsbrief voor FG’s. In de nieuwsbrief wordt kort ingegaan op een misverstand rondom de Functionaris Gegevensbescherming (hierna: FG).

Het volgen van mensen in (semi) openbare ruimtes via hun mobiele apparaat – oftewel wifi-tracking – is volgens de Autoriteit Persoonsgegevens in zeer weinig gevallen toegestaan onder strikte voorwaarden. Het MAC-adres van een apparaat wordt verwerkt binnen de wifi-trackingtechnologie. Een MAC-adres is een persoonsgegeven op het moment dat dit wordt gecombineerd met andere (persoons) gegevens die te herleiden zijn naar een persoon. Die herleiding is mogelijk via de geobserveerde locatiegegevens van de mobiele telefoon. Hierdoor betreft het een verwerking van persoonsgegevens en is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. In de vorige blog is ingegaan op de vraag welke voorwaarden de AVG stelt aan organisaties voor het uitvoeren van wifi tracking. In deze blog wordt aan de hand van privacy by design uitgelegd hoe organisaties bij het ontwerp van volgtechnieken, zoals wifi-tracking, rekening moeten houden met privacy.

De Autoriteit Persoonsgegevens heeft in december 2018 verduidelijkt dat het tellen van het aantal bezoekers in (semi) openbare ruimtes met behulp van trackingtechnologieën slechts onder zeer strikte voorwaarden is toegestaan. Naar aanleiding van dit bericht hebben een aantal gemeenten wifi-tracking in de binnenstad tijdelijk op stop gezet. Een trackingsbedrijf heeft ook bekend gemaakt te stoppen met het bieden van wifi-tracking als dienstverlening. Begin januari heeft een gemeente het volgen van bezoekers via wifi-tracking weer opgepakt.

Het is niet makkelijk om in te schatten wat de privacyrisico’s zijn van je nieuwe app, apparaat of dienst en wat je kunt doen om je toepassing privacyvriendelijk in te richten. Om dat goed te doen, heb je zowel juridische als technische kennis nodig. Om je daarmee te helpen, heeft Privacy Company – met steun van SIDN fonds en in nauwe samenwerking met SURF (de ICT-organisatie voor het hoger onderwijs en onderzoek) – een nieuwe website gebouwd: de Privacy Designer. Op de website staan gratis, praktisch toepasbare tools en een duidelijke uitleg van veel privacybegrippen.

Wat is het grootste risico voor privacy-incidenten op de werkvloer? De mens! Verloren USB-sticks, het ongeautoriseerd bekijken van dossiers of het verkeerd versturen van een e-mail horen bij de dagelijkse kost van organisaties. Gelukkig staat privacy awareness daarom hoog op de agenda’s van Privacy Officers en FG’s. Helaas wordt er ten onrechte vaak te makkelijk over gedacht. Privacy awareness draait om het realiseren van gedragsverandering en dat is een complexe uitdaging. In deze blog vind je uitleg over hoe je met jouw privacy awareness initiatieven kan aansturen op gedragsverandering.

Veel Nederlandse websites hebben Google Analytics niet privacyvriendelijk ingesteld en vragen daardoor ten onrechte geen toestemming voor deze cookies. Dat blijkt uit een snelle verkenning die ik heb gedaan naar cookies op 11.309 Nederlandse websites. Daaruit blijkt dat 3.186 websites Google Analytics cookies laten koppelen aan het advertentienetwerk Doubleclick van Google. Daardoor kunnen websitebezoekers buiten de website gerichte advertenties krijgen. En dat mag alleen als de bezoekers daarvoor aparte toestemming hebben gegeven.

Mag je als een evenementenbureau of organisator door de nieuwe privacywetgeving nooit meer foto’s maken bij een evenement? Als je sommige berichten zou geloven, zou de Algemene Verordening Gegevensbescherming (AVG) elke vorm van fotografie verbieden. Maar dat is gelukkig niet zo. Je kunt je vaak beroepen op de journalistieke exceptie of jouw gerechtvaardigd belang. Soms moet je toestemming vragen van de deelnemers. Met de onderstaande tips zorg je dat jij aan de AVG voldoet!

‍In opdracht van het Ministerie van Veiligheid en Justitie voerde Privacy Company een DPIA uit op Microsoft Office ProPlus (Office 2016 MSI en Office 365 CTR). Op verzoek van het Ministerie publiceren wij deze blog over de bevindingen. Voor vragen over het onderzoek kunt u zich wenden tot SLM Rijk (Strategisch Leveranciersmanagement Microsoft Rijk), bereikbaar via perswoordvoering van het ministerie van Justitie, 070 370 73 45.

In deze blog beschrijft Roseanne de kenmerken van een phishing e-mail en waar je deze kan melden.

Met ingang van 1 oktober is Aaf Stuijt aangesteld als functionaris voor gegevensbescherming die organisaties extern kunnen inhuren bij ons. Hiermee versterkt Aafke het huidige team dat FG-diensten biedt, waarmee we investeren in kennis en ervaring. Als externe FG is Aafke verantwoordelijk voor het interne toezicht op het naleven van de AVG bij klanten. Ook zal ze begeleiding en ondersteuning bieden aan FG’s die nieuw zijn in het vakgebied.

Met ingang van 1 oktober is Floor Terra aangesteld als (senior) adviseur waarin hij organisaties zal gaan adviseren over het beschermen van persoonsgegevens. Met de komst van Terra bouwen we verder aan de dienstverlening op het vlak van informatiebeveiliging, waarmee we investeren in technische kennis en ervaring. Als adviseur draagt Terra zorg voor een samenhangend pakket van maatregelen om de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens te waarborgen.

‍Een nieuwe broek, smartphone of een cadeau voor je jarige schoonmoeder nodig? Tegenwoordig hoef je er de deur niet meer voor uit. Online webwinkels bieden ons de mogelijkheid om 24 uur per dag en 7 dagen per week online aankopen te doen. Je kunt prijzen en producten vergelijken en hoeft niet in de (lange) rij te staan om af te rekenen. De populariteit van online winkelen blijkt ook uit cijfers van de Thuiswinkel Markt Monitor. Dit onderzoek naar online consumentbestedingen in Nederland laat zien dat er voor 2018 een online omzet van € 26,30 miljard wordt verwacht. In vergelijking met 2017 is dit een te verwachten groei van 17% (bron: Thuiswinkel Monitor 2018, Thuiswinkel.org).

‍De functie van functionaris voor de gegevensbescherming is uitdagend. Een van de taken is het toezien op de naleving en de bijbehorende audits. Zo staat het ook in de AVG. Maar hoe organiseer je nu zo’n audit? En welke raamwerken zijn hiervoor beschikbaar? En kan een audit leiden tot certificering of een keurmerk?

‍Organisaties slaan praktisch al hun gegevens digitaal op. Het is dan ook niet langer de vraag óf er een datalek zal plaatsvinden, maar wannéér. Je hebt een datalek wanneer je databestanden worden gehackt of als je onbedoeld toegang geeft tot deze bestanden. Onder de Algemene Verordening Gegevensbescherming (AVG of GDPR) moet elk datalek binnen een organisatie worden gedocumenteerd, zodat de Autoriteit Persoonsgegevens (AP) kan controleren of aan de meldplicht is voldaan. Het documenteren van datalekken is daarom ontzettend belangrijk. Maar hoe verzamel en kwalificeer je de informatie rondom een datalek? Hoe handel je deze efficient af? En hoe zorg je ervoor dat je deze netjes afsluit?

‍Een openbare ruimte is een ruimte die voor iedereen toegankelijk is. Dan heb ik het over een plein of een straat, maar ook een ruimte in overheidsgebouwen waar iedereen kan lopen of de lobby van het hotel.

‍We hebben allemaal recht op privacy, maar een beetje minder als er een journalist langskomt. Dat is lastig te verteren als je eigenaar bent van meerdere huizen en je door je huurders beschuldigd wordt van allerlei criminele praktijken. Als er dan een tv-programma aan je wordt gewijd, waarbij je woonhuis in beeld komt, kun je natuurlijk proberen om uitzending te verhinderen omdat je persoonsgegevens in strijd met de wet worden verwerkt. Op die manier probeerde een verhuurder onlangs te verhinderen dat SBS6 het televisieprogramma ‘Foute boel’ uitzond. Tevergeefs.

Met 25 mei 2018 in het vizier startte Aedes in het najaar van 2017 met de opzet van de AVG Routeplanner. Als branchevereniging van woningcorporaties vertegenwoordigt Aedes een brede groep woningcorporaties, van klein tot groot, die zich inzetten voor toegankelijke sociale woningbouw in Nederland. De leden stonden voor de uitdaging om van start te gaan met de aangescherpte privacywetgeving en Aedes wilde hen hierbij helpen, zodat niet overal het wiel opnieuw uitgevonden hoefde te worden.

De AVG staat centraal in het werk van ons team. Dit betekent dat we er iedere dag mee werken, de teksten analyseren, de verplichtingen willen doorgronden en deze met name willen vertalen naar praktische handvatten voor onze klanten. Met welk artikel werken onze collega’s het liefst? Hoe helpen we onze klanten om het artikel te implementeren? In deze blogreeks is ons team aan het woord, elk over één artikel in het bijzonder. Vandaag staat de blogreeks in het kader van de beginselen van de gegevensbeschermingseffectbeoordeling, de gedragscodes en certificering!

De AVG staat centraal in het werk van ons team. Dit betekent dat we er iedere dag mee werken, de teksten analyseren, de verplichtingen willen doorgronden en deze met name willen vertalen naar praktische handvatten voor onze klanten. Met welk artikel werken onze collega’s het liefst? Hoe helpen we onze klanten om het artikel te implementeren? In deze blogreeks is ons team aan het woord, elk over één artikel in het bijzonder. Vandaag staat de blogreeks in het kader van de beginselen van de meldplicht datalekken!

‍Privacy Company bedient al klanten in de EU vanaf haar kantoren in Den Haag en Berlijn. Zagreb in Kroatië wordt toegevoegd aan het rijtje!

De AVG staat centraal in het werk van ons team. Dit betekent dat we er iedere dag mee werken, de teksten analyseren, de verplichtingen willen doorgronden en deze met name willen vertalen naar praktische handvatten voor onze klanten. Met welk artikel werken onze collega’s het liefst? Hoe helpen we onze klanten om het artikel te implementeren? In deze blogreeks is ons team aan het woord, elk over één artikel in het bijzonder. Vandaag staat de blogreeks in het kader van de beginselen Privacy by Design en Default en de plicht om een register van verwerkingsactiviteiten aan te leggen!

De AVG staat centraal in het werk van ons team. Dit betekent dat we er iedere dag mee werken, de teksten analyseren, de verplichtingen willen doorgronden en deze met name willen vertalen naar praktische handvatten voor onze klanten. Met welk artikel werken onze collega’s het liefst? Hoe helpen we onze klanten om het artikel te implementeren? In deze blogreeks is ons team aan het woord, elk over één artikel in het bijzonder. Vandaag staat de blogreeks in het kader van de rechtmatigheid en transparantie van de verwerking.

De AVG staat centraal in het werk van ons team. Dit betekent dat we er iedere dag mee werken, de teksten analyseren, de verplichtingen willen doorgronden en deze met name willen vertalen naar praktische handvatten voor onze klanten. Met welk artikel werken onze collega’s het liefst? Hoe helpen we onze klanten om het artikel te implementeren? In deze blogreeks is ons team aan het woord, elk over één artikel in het bijzonder.

‍Een van de meest besproken datalekken van de afgelopen tijd is de situatie van Barbie. Samantha de Jong, die door realityprogramma’s bekend werd als Barbie, belandde in Januari dit jaar in het ziekenhuis nadat zij een zelfmoordpoging had gedaan. Vervolgens kwam het nieuws naar buiten dat tientallen medewerkers van het ziekenhuis zonder bevoegdheid haar patiëntendossier hebben ingezien. Het ziekenhuis heeft in een verklaring laten weten dat er gekeken zou worden of medische gegevens in de toekomst beter beschermd kunnen worden. Ook lieten ze weten dat er maatregelen getroffen zouden worden tegen de medewerkers die ongeoorloofd het dossier hebben ingezien.

Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei is, net als onder de Wet bescherming persoonsgegevens (Wbp), een legitieme grondslag vereist voor de verwerking van persoonsgegevens. In artikel 6 lid 1 AVG staan de zes mogelijke grondslagen opgesomd; in de kern dezelfde als onder de Wbp. Eén van die grondslagen (onder f) is het gerechtvaardigd belang van de verwerkingsverantwoordelijke (of een derde). Voor die grondslag is er met de komst van de AVG wél een duidelijke verandering. Deze grondslag mag namelijk niet ingezet worden door overheidsorganen in het kader van de uitvoering van hun publieke taak. Maar wat betekent dat nu eigenlijk?