Privacy Referentie Architectuur Marktconsultatie IMMA 1 juli 2015
Over Considerati
• Enige adviesbureau gespecialiseerd in IT recht en Public Affairs • Experts op het gebied van privacy, data protectie en cybersecurity • Winnaar HP-IAPP Privacy Innovation Award
Doelstellingen IMMA ‘Privacy Referentie Architectuur’
•
Eenduidige regels voor gebruik persoonsgegevens binnen spitsmijd- en mobiliteitsprojecten
•
Nadere invulling ‘vage’ Wbp eisen
•
Best practices voor privacy compliance aanreiken
•
Mogelijkheden voor (her)gebruik data creëren
Doel van deze sessie
• Input verzamelen om tot een zo goed mogelijke (en breed gedragen) architectuur te komen
Uitgangspunten Referentie Architectuur Privacy
Uitgangspunten IMMA ‘Privacy Referentie Architectuur’ •
Applicaties moeten Privacy by Design & by Default zijn
•
Gebruik persoonsgegevens alleen toegestaan indien noodzakelijk •
Proportionaliteit
•
Subsidiariteit
• Verwerking alleen met een legitieme basis
• Compliance met alle materiële eisen Wbp (én Verordening)
De ‘Privacy Referentie Architectuur’
1. Wettelijke eisen •
Wet bescherming persoonsgegevens > Algemene Verordening Gegevensbescherming
•
Artikel 11.7a Telecommunicatiewet (cookiewet)
1. Ontwerp eisen (Privacy by Design & by default)
Vragen: - Zijn er wat u betreft nog andere relevante (juridische) kaders die meegenomen dienen te worden?
1. Wbp eisen spitsmijd- en mobiliteitstoepassingen
• Legitiem doel en grondslag
• Gegevensoverdracht
• Doelbinding
• Rechten van de betrokkene
• Dataminimalisatie
• Informatiebeveiliging
• Informatie en transparantie
• Bewaren en vernietigen
Vragen: - Zijn er wat u betreft nog andere relevante aspecten die meegenomen dienen te worden?
2. Ontwerpstrategieën spitsmijd- & mobiliteitstoepassingen
Data georiënteerd
Proces georiënteerd
1. Minimaliseer
1. Informeer
2. Verberg / scherm af
2. Controleer
3. Scheid
3. Monitor & handhaaf
4. Aggregeer
4. Demonstreer
Vragen: - Zijn er wat u betreft nog andere relevante aspecten die meegenomen dienen te worden?
Data minimalisatie
Data minimalisatie
•
Zijn persoonsgegevens überhaupt noodzakelijk?
•
Verwerkt het systeem niet meer data dan nodig?
•
Is het mogelijk om te anonimiseren / aggregeren?
Vragen:
- Op welke punten kunnen gegevens geanonimiseerd / geaggregeerd worden? - Zijn er best practices die u kent om bij aan te haken?
Anonimisering & pseudonimisering
Wat is een ‘persoonsgegeven’?
Artikel 1 sub a Wbp: “persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon” Geïdentificeerd: natuurlijke persoon uniek te onderscheiden van andere personen op basis van de gegevens (bijv. NAW, maar ook ‘to single out’). Identificeerbaar: mogelijkheid tot identificatie op basis van beschikbare gegevens en/of mogelijkheden verantwoordelijke.
Wat is een ‘persoonsgegeven’?
Wat ben ik / doe ik / wil ik ?
Wie ben ik?
Bart Willem Schermer 1 juli 1978 Pseudoniem
ID-papieren
BSN
Foto
Anonimisering
•
Gegevens kunnen niet (meer) worden teruggevoerd op een individu
Vragen:
- Op welke punten kunnen gegevens geanonimiseerd / geaggregeerd worden? - Kent of gebruikt u anonimiseringstechnieken? - Zijn er best practices die u kent om bij aan te haken?
Pseudonimisering
•
(direct) identificerende gegevens zijn gescheiden van andere gegevens
•
Anonimisering is onomkeerbaar, pseudonimisering is omkeerbaar
Vragen: - Maakt u gebruik van pseudonimisatie?
- Kent u goede pseudonimiseringstechnieken? - Acht u pseudonimisering zinvol?
Grondslagen
Logica van de Wbp
Hebben we een grondslag?
Wat willen we gaan doen?
Gerechtvaardigd doel
Hoe gaan we zorgvuldig om met de gegevens?
Materiële eisen Wbp
Grondslagen Wbp Artikel 8 Wbp:
a) ondubbelzinnige toestemming b) noodzakelijk voor uitvoering contract met betrokkene c) wettelijke plicht d) vrijwaring vitaal belang betrokkene e) noodzakelijk voor goede uitoefening publiekrechtelijke taak f) gerechtvaardigd belang van de betrokkene
Vragen: - Maakt u gebruik van andere grondslagen dan toestemming?
Legitieme grondslag
Ondubbelzinnige toestemming als grondslag
Eisen aan de toestemming: • Moet vrij gegeven zijn (er mag geen afhankelijkheidsrelatie zijn); • Op informatie berusten (men moet weten waarvoor men toestemming geeft); • Afgebakend zijn (beperkt tot de verwerkingen genoemd in de informatie). • Toestemming moet voorafgaand aan de verwerking worden gegeven • Er mag geen twijfel bestaan over de verleende toestemming. • Bewijslast voor verkregen toestemming ligt bij de verantwoordelijke.
Vorm: • Toestemming kan geuit worden in “woord, schrift of gedrag” • De toestemming moet voldoende ‘robuust’ zijn om de twijfel weg te nemen • Implied consent is niet ondubbelzinnig. • De toezichthouders hebben aanvullende eisen geformuleerd (bijv. instemmen met algemene voorwaarden niet voldoende).
Ondubbelzinnige toestemming als grondslag
Vragen: - Hoe vraagt u toestemming en/of hoe zou toestemming er volgens u uit moeten zien? - Hoe voorziet u de klant van voldoende informatie? - Wat zijn volgens u best practices?
Materiële eisen
Materiële eisen Wbp
1. Zorg dat de gegevens veilig zijn (artikel 13 Wbp) 1. Bewaar de gegevens niet langer dan nodig (artikel 10 Wbp) 1. Wees open en transparant (artikel 27 e.v. Wbp) 1. Geef de gegevens niet zonder reden door aan derden
1. Beveiliging van persoonsgegevens •
Adequate beveiliging van persoonsgegevens (artikel 13 Wbp)
•
Sluit aan bij erkende standaarden (bijv. ISO 27001 en 27002)
•
Sluit bewerkersovereenkomsten met je bewerkers
Vragen:
- Welke beveiligingsstandaarden moeten meegenomen worden? - Hoe prescriptief moet de referentie-architectuur zijn? - Welke elementen moeten minimaal worden meegenomen in de architectuur?
- Zijn er sector specifieke best practices / frameworks?
2. Bewaartermijnen
Vragen: - Hoe gaat u om met bewaartermijnen?
- Hoe gaat u om met vernietigen van gegevens? - Wat zijn volgens u redelijke bewaartermijnen? - Kent u best practices voor wat betreft het vernietigen van gegevens?
3. Bewaartermijnen
Vragen: - Hoe informeert u gebruikers over uw doelen?
- Wat zijn volgens u best practices?
4. Gegevensdoorgifte
Vragen: - Hoe gaat u om met cookies en SDK’s die gegevens doorgeven?
- Kent u best practices op het gebied van het afschermen van gegevens voor derden?
Contact details
Contact mr. dr. Bart W. Schermer
[email protected] Adres Postbus 76949 1070 KE Amsterdam Bezoekadres De Boelelaan 7 1083 HJ Amsterdam www.considerati.com
