Autoriteit Persoonsgegevens maakt agenda 2017 bekend
De Autoriteit Persoonsgegevens (AP) presenteerde onlangs de thema’s die centraal staan op de agenda van 2017. Bovenaan de agenda van de toezichthouder staat de voorbereiding op de nieuwe Europese regelgeving met betrekking tot gegevensbescherming. Vanaf 25 mei 2018 is namelijk de Algemene verordening gegevensbescherming (AVG) van toepassing en geldt de Wet bescherming persoonsgegevens (Wbp) niet meer. Naast de nieuwe Europese privacywetgeving, richt de AP zich in 2017 verder op profiling, bijzondere persoonsgegevens en de beveiliging van persoonsgegevens.
1. Nieuwe Europese privacywetgeving
2017 is het laatste jaar waarin de Wpb nog geldt. Met ingang van 25 mei 2018 is de AVG van toepassing. Dat heeft als gevolg dat er vanaf die datum nog maar één privacywet in de gehele Europesie Unie geldt. Met de inwerkingtreding van de AVG krijgen organisaties meer verplichtingen. In de AVG wordt, meer dan in de Wpb, benadruk dat organisaties zelf de verantwoordelijkheid moeten nemen om de wet na te leven. Daarnaast wordt van hen verwacht dat zij daadwerkelijk kunnen aantonen dat zij zich aan de wet houden. Organisaties hoeven vanaf 25 mei 2018 echter niet meer alle verwerkingen van persoonsgegevens te melden bij de AP. Er bestaat in plaats daarvan een documentatieplicht voor organisaties. Deze houdt in dat organisaties met behulp van documenten moeten kunnen aantonen dat zij adequate organisatorische en technische maatregelen hebben genomen om aan de AVG te voldoen. Bovendien verplicht de AVG organisaties ertoe om in bepaalde situaties een privacy impact assessment (PIA) uit te voeren en om een functionaris voor de gegevensbescherming (FG) aan te wijzen.
2. Profiling
Profiling gebeurt veelal zonder dat mensen het door hebben. Door de enorme technologische vlucht en het gebruik van big-data analyses heeft het verzamelen van gegevens een nieuwe kant gekregen. Het biedt organisaties de mogelijkheid een profiel van mensen op te stellen door de verzamelde gegevens te combineren en te analyseren. Profiling vindt doorgaans plaats zonder dat mensen geïnformeerd worden over het feit dat er gegevens verwerkt worden, wat er met de gegevens gebeurt en met welk doel. Vanwege dit gebrek aan transparantie rondom profiling heeft het AP het onderwerp op de agenda van 2017 gezet.
3. Bijzondere persoonsgegevens
Over het algemeen is het verwerken van bijzondere persoonsgegevens door organisaties niet toegestaan, tenzij hiervoor een uitzondering is vastgelegd in de wet. Bijzondere persoonsgegevens zijn bijvoorbeeld medische gegevens of gegevens die betrekking hebben op iemands godsdienst, ras, politieke voorkeur, seksuele gerichtheid of strafrechtelijk verleden. Deze gegevens zijn van gevoelige aard en moeten daarom extra worden beschermd. De AP richt zich in 2017 op de naleving van het verbod en gaat extra letten op de juiste toepassing van de wettelijke waarborgen op het verbod.
4. Beveiliging van persoonsgegevens
Betreffende de beveiliging van persoonsgegevens heeft de AP een drietal speerpunten op de agenda van 2017 geplaatst. Ten eerste richt de AP zich op privacy by design door te benadrukken dat nieuwe technologieën al bij het ontwerp van producten gebruikt moeten worden ter bescherming van de persoonsgegevens van de gebruiker. Ten tweede signaleert de AP dat meer en meer organisaties gebruik maken van klantportalen. De AP benadrukt het belang van een goede beveiliging van deze online omgevingen. Als laatste heeft de AP ook in 2017 het toezicht op de naleving van de meldplicht datalekken hoog op de agenda staan. De meldplicht datalekken is van toepassing sinds 1 januari 2016 en verplicht organisaties ertoe ernstige datalekken te melden bij de AP. Onder een datalek valt niet alleen de toegang tot, verwijdering, verandering of vrijkomen van persoonsgegevens bij een organisatie zonder dat dit de bedoeling is, maar ook de onrechtmatige verwerking van gegevens.
Meer weten over dit onderwerp? Volg onze cursus Privacyrecht: De Algemene verordening gegevensbescherming!