In de afgelopen jaren heeft de Europese Unie (EU) zich ingezet voor de regulering van de digitale wereld. Het doel is om burgers meer controle te geven over hun gegevens en om grote bedrijven striktere regels op te leggen. De Data Act geeft nieuwe regels voor de toegang tot data, het opeisen van data door de overheid en het overstappen tussen clouddiensten. Wat houdt deze wet precies in? En misschien nog wel belangrijker: wat betekent dit voor u en uw bedrijf?
Begin juni heeft de Nederlandse privacytoezichthouder aangekondigd dat ze nieuw beleid gaat hanteren voor het berekenen van boetes. Onder deze nieuwe regels kan een boete fors hoger uitvallen dan vroeger. Wat kunnen organisaties nu verwachten bij een schending van de AVG?
Eind 2022 stuurde de Europese Commissie het voorstel voor de AI Act naar het Europees Parlement. Deze wet legt specifieke verplichtingen op aan AI-makers en -gebruikers en verbiedt bepaalde risicovolle AI-praktijken. Commissies van het Europees Parlement hebben afgelopen week amendementen aangenomen op de AI Act. Wat houden deze amendementen in? En misschien nog wel belangrijker: wat betekent dit voor u en uw bedrijf?
Professionele softwareproducten, denk aan tekenprogramma’s als AutoCAD of SolidWorks of ERP-systemen als Exact, kunnen erg prijzig zijn. D verleiding om dergelijke software op illegale wijze kosteloos te downloaden is groot. Ook het op ‘creatieve’ wijze gebruiken van licentiesleutels, bijvoorbeeld door met deze sleutel de software op meerdere apparaten te registreren, komt geregeld voor. Het behoeft geen uitleg dat dit in de regel onrechtmatig is. Maar welk prijskaartje hangt daaraan?
Een inwoonster van de gemeente Heemskerk vordert immateriële schadevergoeding van de gemeente, omdat zij angst- en stressklachten ervaart na een datalek. Een poststuk met daarin medische en persoonsgegevens dat de gemeente verzonden had, raakte zoek bij de post. De inwoonster vreesde voor misbruik van haar gegevens. Haar vordering tot schadevergoeding wordt echter afgewezen, omdat deze onvoldoende concreet is onderbouwd. Daarbij overweegt de rechtbank dat er geen signalen van misbruik van de gegevens zijn.
De Autoriteit Persoonsgegevens geeft jaarlijks een totaaloverzicht van alle gemelde datalekken. De ‘Datalekkenrapportage 2021’ is net gepubliceerd en toont een exponentiële stijging van het aantal cyberaanvallen.
Organisaties zijn verplicht om de uitoefening van de rechten van betrokkenen onder de Algemene verordening gegevensbescherming (AVG), zoals het recht op inzage of gegevenswissing, te faciliteren. Bij dergelijke verzoeken geldt een identificatieplicht: verwerkingsverantwoordelijken moeten op grond van de AVG de identiteit van de verzoekende betrokkenen vaststellen. Maar de AVG geeft niet aan hoe een organisatie dat moet doen. Dat deze verplichting niet in alle gevallen ingevuld mag worden met het opvragen van een kopie identiteitsbewijs (paspoort, rijbewijs of ID-kaart) blijkt uit het recente boetebesluit van de Autoriteit Persoonsgegevens aan DPG Media. In dit blog nemen we het besluit onder de loep en beantwoorden wij de vraag hoe aan de identificatieplicht uit de AVG kan worden voldaan.
Uit een recente kwestie bij de Afdeling Bestuursrechtspraak van de Raad van State volgt andermaal dat voor schadevergoeding onder de AVG in beginsel (nog steeds) concrete nadelige gevolgen vereist zijn. Indien een betrokkene deze gevolgen niet aantoont, en deze ook niet zodanig voor de hand liggen dat immateriële schade kan worden aangenomen, bestaat geen recht op schadevergoeding.
Het Europese Hof oordeelt dat het copyright trolls – partijen die enkel auteursrechten afdwingen om er geld aan te verdienen – in principe is toegestaan schadevergoeding bij vermeend inbreukmakers te vorderen, mits er bij dat verzoek geen sprake is van misbruik. Hen komt onder voorwaarden de volledige handhavingsbevoegdheden van de auteursrechthebbende onder het Unierecht toe.
In een recentie kwestie bij de rechtbank Midden-Nederland wordt geoordeeld dat er sprake is van een schending van de AVG omdat persoonsgegevens ten onrechte aan de Belastingdienst zijn verstrekt. De gevorderde immateriële schadevergoeding wordt echter afgewezen, omdat de gestelde immateriële schade niet met concrete gegevens is onderbouwd. De rechtbank past daarmee (in mijn optiek) het EBI-arrest van de Hoge Raad op juiste wijze toe.
In een procedure tussen een ICT-leverancier en zijn klant, wordt de ICT-leverancier veroordeeld tot het vergoeden van de schade die zijn klant geleden heeft door een ransomware-aanval. Deze aanval vond plaats enige tijd nadat de tussen partijen geldende onderhoudsovereenkomst (SLA) was geëindigd. Desalniettemin is de ICT-leverancier aansprakelijk, omdat hij gedurende de looptijd van de SLA heeft nagelaten adequate back-ups te maken. Dit terwijl dat wel tot zijn verplichtingen behoorde. Hierdoor kon de getroffen klant niet anders dan losgeld betalen om de ransomware-aanval te (doen) eindigen, in plaats van het terugzetten van de back-ups. Tegelijkertijd is er wel sprake van eigen schuld van de klant bij het kunnen ontstaan van de ransomware-aanval. Zodoende wordt de schadevergoeding gematigd.
In een kort geding verbiedt de voorzieningenrechter een website waarop artsen en zorgverleners worden neergezet als plegers van ‘medische misdrijven’. De voorzieningenrechter oordeelt dat de website onrechtmatig is.
