Onze kennis Sterker door kennis

Veiligheid en privacy: een spanningsveld bij netwerkbeveiliging?

Het monitoren van internetverkeer, bijvoorbeeld door werkgevers, komt veel voor. De vraagstukken die daarbij spelen zijn veelal ook al wel bekend (privacy, medezeggenschap, etc.). De opkomst van steeds geavanceerdere vormen van monitoring plaatst oude vragen echter wel deels in een nieuw daglicht. Dat zit met name het grootschalig en langdurig opslaan en analyseren van de met monitoring verkregen informatie. In deze blog sta ik hier kort bij stil.

Mark Jansen Artikel 30.04.2021

Gemeente krijgt 6 ton boete wegens Wifitracking

Op 11 maart 2021 heeft de Autoriteit Persoonsgegevens een boete van 600.000 euro opgelegd aan de gemeente Enschede wegens Wifitracking, zo werd vandaag bekend. In deze blog geef ik een samenvatting en wat eerste gedachten bij de boete.

Mark Jansen Artikel 29.04.2021

Voorkom een boete door te laat melden datalek: de pro-forma melding

Onlangs werd bekend dat de Autoriteit Persoonsgegevens (AP) een boete van EUR 475.000,- heeft opgelegd aan Booking.com wegens het te laat melden van een grootschalig datalek. Booking gaat niet in beroep tegen deze beslissing. Uit het boetebesluit is een aantal belangrijke lessen te trekken, bijvoorbeeld over het belang van de pro-forma melding.

Nynke Brouwer Artikel 07.04.2021

Ransomware-aanval niet volledig toe te rekenen aan ICT-leverancier, ondanks schending SLA

In een procedure tussen een ICT-leverancier en zijn klant, wordt de ICT-leverancier veroordeeld tot het vergoeden van de schade die zijn klant geleden heeft door een ransomware-aanval. Deze aanval vond plaats enige tijd nadat de tussen partijen geldende onderhoudsovereenkomst (SLA) was geëindigd. Desalniettemin is de ICT-leverancier aansprakelijk, omdat hij gedurende de looptijd van de SLA heeft nagelaten adequate back-ups te maken. Dit terwijl dat wel tot zijn verplichtingen behoorde. Hierdoor kon de getroffen klant niet anders dan losgeld betalen om de ransomware-aanval te (doen) eindigen, in plaats van het terugzetten van de back-ups. Tegelijkertijd is er wel sprake van eigen schuld van de klant bij het kunnen ontstaan van de ransomware-aanval. Zodoende wordt de schadevergoeding gematigd.

Sven Wakker Artikel 06.04.2021

Rb: RIEC geen rechtspersoon, dus RIEC-deelnemers gezamenlijk verantwoordelijk voor privacy

De rechtbank Noord-Nederland heeft op 1 maart geoordeeld dat een inzageverzoek niet aan een RIEC kan worden gericht, nu een RIEC geen rechtspersoonlijkheid heeft. De convenantspartners die deelnemen aan het RIEC zijn daarentegen gezamenlijk verwerkingsverantwoordelijke. De betrokkene moet dus zijn verzoek aan al die partijen tezamen richten. Dit oordeel roept diverse vragen op.

Mark Jansen Artikel 16.03.2021

Ontslag Uber chauffeurs geen onrechtmatige geautomatiseerde besluitvorming

In een procedure tussen Uber en een aantal ontslagen chauffeurs, stellen de chauffeurs zich op het standpunt dat daarbij op onrechtmatige wijze gebruik is gemaakt van geautomatiseerde besluitvorming. Zij vorderen (kort samengevat) inzage in het bestaan van geautomatiseerde besluitvorming alsmede in de onderliggende logica, het belang en de verwachte gevolgen daarvan. Daarnaast vorderen zij een schadevergoeding wegens schending van de AVG. De vorderingen worden in een interessant vonnis gemotiveerd afgewezen.

Sven Wakker Artikel 12.03.2021

Cyber Security Raad roept op tot spoedreparatie Wbni voor versneld delen van incidentinformatie door NCSC

De CSR heeft de minister van Justitie en Veiligheid onlangs opgeroepen om vaart te zetten achter het creëren van mogelijkheden voor het Nationaal Cyber Security Centrum (NCSC) om informatie over cyberincidenten te delen met belangrijke schakelorganisaties.

Nynke Brouwer Artikel 02.03.2021

Leidt een vooraf aangevinkte checkbox tot (on)geldige toestemming?

Een van de grondslagen voor de verwerking van persoonsgegevens is toestemming. Er wordt vaak naar de grondslag toestemming gegrepen omdat dit een snelle en eenvoudige manier lijkt om gegevens te mogen verwerken. Even een checkbox aanvinken en de toestemming is binnen, toch? Niets is minder waar. Aan de grondslag toestemming zijn meerdere voorwaarden verbonden. In deze blog bespreek ik aan de hand van een arrest van het Hof van Justitie de voorwaarden voor het verkrijgen van geldige toestemming voor de verwerking van persoonsgegevens.

Dafne de Boer Artikel 24.02.2021

Niet naleven privacywetgeving vormt geen onrechtmatige concurrentie

Het naleven van wet- en regelgeving kost geld en heeft daarmee dus een prijsopdrijvend effect. Het kan dus (ogenschijnlijk) ‘goedkoper’ zijn om je als bedrijf of organisatie niet aan de wet te houden. Betekent dit dan ook dat er sprake van oneerlijke concurrentie wanneer het ene bedrijf zich wel aan de wet houdt en de andere niet? De rechtbank Zeeland West-Brabant heeft recent geoordeeld dat bedrijven zich in dergelijke discussie in ieder geval niet op de Algemene Verordening Gegevensbescherming (de AVG) kunnen beroepen.

Mark Jansen Artikel 18.02.2021

Rechtbank stelt prejudiciële vragen aan de Hoge Raad over privacyrechtelijke grondslag BKR-stelsel

De Rechtbank Amsterdam heeft onlangs prejudiciele vragen gesteld aan de Hoge Raad over wat de wettelijke grondslag is voor het verwerken van persoonsgegevens door financiële instellingen in het kader van BKR-registraties. In de praktijk wordt hier namelijk verschillend over geoordeeld. De vraag is wel of het onderscheid uiteindelijk nu zo'n groot verschil maakt.

Mark Jansen Artikel 05.02.2021

Nieuwe richtlijn EDPB: 18 voorbeelden van veel voorkomende datalekken en hoe daarmee om te gaan

De European Data Protection Board (EDPB) geeft aan de hand van 18 voorbeelden verdere verduidelijking over hoe met datalekken en de melding daarvan moet worden omgegaan.

Nynke Brouwer Artikel 26.01.2021

Raad van State: publicatie tuchtrechtelijke beslissing niet langer relevant na verlaten beroepsgroep

De Raad van State heeft onlangs geoordeeld dat een voormalig advocaat terecht heeft gevraagd om een oude tuchtrechtelijke beslissing over hem niet langer online te publiceren. Nu de man de advocatuur heeft verlaten, dient verdere publicatie geen redelijk doel meer.

Mark Jansen Artikel 21.01.2021