Onlangs berichtten we al over de komst van DORA. DORA stelt allerlei eisen aan financiële entiteiten op het gebied digitale operationele weerbaarheid, cyberrisico’s en uitbestedingsrisico’s. Ook IT-contracten moeten straks dankzij DORA aan strenge eisen voldoen. Zowel op financiële entiteiten als IT-bedrijven die daar diensten aan verlenen komt veel af. In deze blog staan we hier alvast bij stil.
De Europese Commissie (EC) heeft op 24 september 2020 een voorstel gepubliceerd voor de verordening digitale operationele veerkracht, in het Engels: Digital Operational Resilience Act ofwel DORA. DORA is na aanpassing van de initiële tekst op 28 november 2022 door de Raad van Europa aangenomen en getekend op 14 december 2022. DORA is gepubliceerd op 27 december 2022 onder het kenmerk EU 2022/2554 en is op 16 januari 2023 in werking getreden. DORA is per 17 januari 2025 van toepassing.
Recent oordeelde het Hof van Justitie dat de betrokkene recht heeft op een concreet en volledig overzicht van de partijen die zijn persoonsgegevens hebben ontvangen. Dit kan best grote consequenties hebben. Persoonsgegevens worden immers nogal eens gedeeld. In deze blog een korte duiding.
Op 14 december 2022 is de NIS2-richtlijn aangenomen. Deze richtlijn voorziet onder meer in meer coördinatie en samenwerking tussen lidstaten op het gebied van cyberveiligheid. Ook zullen (deels al bestaande) regels over cyberveiligheid op veel meer bedrijven en instellingen van toepassing worden. Wat betekent dit voor u?
Het gebruik van echte persoonsgegevens voor testdoeleinden kan risicovol en soms zelfs verboden zijn, zo schreef ik onlangs al. Tegelijkertijd is de praktijk dat veel bedrijven bij de ontwikkeling en onderhoud van IT werken met verschillende omgevingen (OTAP) en dat daarbinnen regelmatig toch met echte data wordt gewerkt. Zijn de strenge regels met de praktijk te verenigen? In deze blog verken ik dit nader.
Het Hof van Justitie heeft in een arrest van 22 november 2022 een streep gezet door de verplichte openbaarmaking van gegevens in het UBO-register. Die verplichting voldoet niet aan de strenge criteria die gelden bij een inbreuk op grondrechten, zoals hier het geval is. Het Hof oordeelt - kort gezegd - dat het bestrijden van witwassen en terrorismefinanciering zeker legitieme doelen zijn, maar dat de wetgeving die tot openbaarheid dwong hiervoor te grofmazig is.
Het gebruik van echte persoonsgegevens voor testdoeleinden is risicovol. Hoe meer kopieën er immers circuleren, hoe eerder persoonsgegevens uitlekken of er versieverschillen gaan optreden. Dit risico is ook reëel; zo belandde recent een kwestie over een datalek op testdata bij het Hof van Justitie. Het Hof gaf vervolgens interessante kaders voor zowel de regels van doelbinding als bewaartermijnen.
Mark Jansen schreef in het tijdschrift Computerrecht een annotatie bij de uitspraak van de rechtbank inzake de kwestie VoetbalTV.
Gisteren werd een uitspraak gewezen door het College van Beroep voor het Bedrijfsleven inzake een geschil tussen Bunq en de DNB. Nu ben ik geen kenner financieel recht (dus daar blijf ik ook buiten), maar interessant is dat deze kwestie deels gaat over de interpretatie van open normen. Daar wordt niet zo vaak over geprocedeerd. En daar zie ik een belangrijke parallel met het privacyrecht.
De Minister van Justitie heeft op 10 oktober de cybersecuritystrategie 2022 - 2028 gepresenteerd. In het document wordt sterk de nadruk gelegd op samenwerking om de samenleving weerbaar te houden. Een ander opvallend punt is de komst van een nieuwe cyberautoriteit: het nationale Cyber Security Incident Response Team. Een korte beschouwing.
De Inspectie voor Gezondheidszorg en Jeugd (IGJ) heeft vandaag een nieuwsbericht en factsheet uitgebracht over ICT-storingen in de ziekenhuizen. De ziekenhuizen krijgen tot eind 2023 om aan NEN7510 te voldoen.
De Grote Kamer van het EU Hof van Justitie heeft onlangs een principiële uitspraak gewezen in het privacyrecht. Twee kwesties komen aan de orde: (1) wetten die verplichten tot het verwerken van persoonsgegevens kunnen zelf worden getoetst aan grondrechten en (2) het begrip 'bijzondere persoonsgegevens' moet ruim worden uitgelegd. Een korte beschouwing.
