Het gebruik van echte persoonsgegevens voor testdoeleinden is risicovol. Hoe meer kopieën er immers circuleren, hoe eerder persoonsgegevens uitlekken of er versieverschillen gaan optreden. Dit risico is ook reëel; zo belandde recent een kwestie over een datalek op testdata bij het Hof van Justitie. Het Hof gaf vervolgens interessante kaders voor zowel de regels van doelbinding als bewaartermijnen.
De afgelopen maanden lijkt het privacyrechtelijke net te sluiten rond Google Analytics. Toezichthouders in Denemarken, Frankrijk, Italië, Noorwegen en Oostenrijk hebben aangegeven dat de veelgebruikte applicatie in strijd is met privacywetgeving zoals de AVG. Is dit ook een risico in Nederland?
Gisteren werd een uitspraak gewezen door het College van Beroep voor het Bedrijfsleven inzake een geschil tussen Bunq en de DNB. Nu ben ik geen kenner financieel recht (dus daar blijf ik ook buiten), maar interessant is dat deze kwestie deels gaat over de interpretatie van open normen. Daar wordt niet zo vaak over geprocedeerd. En daar zie ik een belangrijke parallel met het privacyrecht.
De sectie Intellectuele Eigendom, IT- en Privacyrecht van Dirkzwager heeft voor de tweede helft van 2022 het volgende programma met events voor u samengesteld
Een inwoonster van de gemeente Heemskerk vordert immateriële schadevergoeding van de gemeente, omdat zij angst- en stressklachten ervaart na een datalek. Een poststuk met daarin medische en persoonsgegevens dat de gemeente verzonden had, raakte zoek bij de post. De inwoonster vreesde voor misbruik van haar gegevens. Haar vordering tot schadevergoeding wordt echter afgewezen, omdat deze onvoldoende concreet is onderbouwd. Daarbij overweegt de rechtbank dat er geen signalen van misbruik van de gegevens zijn.
Privacybescherming is niet absoluut. Dat staat zelfs letterlijk zo in de privacywetgeving. De AVG bevat daarom ook allerlei uitzonderingen. Een van de uitzonderingen die enkele keren terugkomt in de AVG ziet op de verwerking van persoonsgegevens in het kader van "de instelling, uitoefening of onderbouwing van een rechtsvordering". Tot op heden was echter niet heel erg duidelijk wat die woorden nu precies betekenen. Een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State geeft meer helderheid.
Mogen patiëntgegevens worden gebruikt door een zorgverlener voor het voeren van verweer in een klachtenprocedure, niet zijnde een tuchtprocedure? De KNMG-richtlijn ‘Omgaan met medische gegevens’ van april 2021 zegt hierover dat voor het gebruik van patiëntgegevens in het kader van het verweer bij een klachtencommissie of een geschilleninstantie expliciete toestemming van de patiënt is vereist. Het Centraal Tuchtcollege voor de Gezondheidszorg ziet dit anders, zo blijkt uit zijn uitspraak van 13 april 2022. In dit blog bespreek ik die uitspraak en de implicaties daarvan voor u als zorgverlener. Mijn beschouwing bij de uitspraak treft u onderaan dit blog.
De Autoriteit Persoonsgegevens geeft jaarlijks een totaaloverzicht van alle gemelde datalekken. De ‘Datalekkenrapportage 2021’ is net gepubliceerd en toont een exponentiële stijging van het aantal cyberaanvallen.
Bij de inkoop van een (zorg)informatiesysteem, zoals een HIS, KIS of HAPIS, komt een hoop kijken. De meeste huisartsenpraktijken en regio-organisaties hebben nog weinig ervaring met dergelijke inkooptrajecten. Ter ondersteuning van dat proces publiceren de Landelijke Huisartsenvereniging (LHV) en InEen het ‘Handboek inkoop zorginformatiesystemen voor de huisartsenzorg’.
Organisaties zijn verplicht om de uitoefening van de rechten van betrokkenen onder de Algemene verordening gegevensbescherming (AVG), zoals het recht op inzage of gegevenswissing, te faciliteren. Bij dergelijke verzoeken geldt een identificatieplicht: verwerkingsverantwoordelijken moeten op grond van de AVG de identiteit van de verzoekende betrokkenen vaststellen. Maar de AVG geeft niet aan hoe een organisatie dat moet doen. Dat deze verplichting niet in alle gevallen ingevuld mag worden met het opvragen van een kopie identiteitsbewijs (paspoort, rijbewijs of ID-kaart) blijkt uit het recente boetebesluit van de Autoriteit Persoonsgegevens aan DPG Media. In dit blog nemen we het besluit onder de loep en beantwoorden wij de vraag hoe aan de identificatieplicht uit de AVG kan worden voldaan.
Jouw baas besluit om 'trackers' onder je auto en die van je vriendin te plaatsen, omdat hij niet gelooft dat je écht ziek bent. Wat doe je? En misschien een nog betere vraag, wat doet de rechter met deze informatie? Het plaatsen van de trackers moet haast wel leiden tot een fikse vergoeding voor jou als werknemer, toch? Beluister de podcast waarin het bovenstaande wordt besproken.
Kan een betrokkene bij de bestuursrechter afdwingen dat een bestuursorgaan een datalekmelding doet? Nee, zo volgt uit de uitspraak van de Raad van State van 2 februari 2022. Wel kan de betrokkene bij de bestuursrechter terecht voor een schadeclaim. De schade moet dan echter wel goed worden onderbouwd, hetgeen in dit geval niet zo was.
