Onze kennis Sterker door kennis

Wat het verleden ons kan leren over handhaving door de Autoriteit Persoonsgegevens

Over ruim een jaar wordt de Algemene Verordening Gegevensbescherming van kracht. In de aanloop daar naar toe is voorzitter Aleid Wolfsen bezig met een publiekscampagne waarin gewezen wordt op de hoge boetebevoegdheden. Tijd voor nuchtere blik terug in de tijd.Gegevens uit jaarverslagenOp de website van de Autoriteit Persoonsgegevens staan alle jaarverslagen gepubliceerd. Uit die jaarverslagen is af te leiden hoe vaak de AP een onderzoek heeft ingesteld, een last onder dwangsom heeft opgelegd...

Mark Jansen Artikel 24.04.2017

Hoge Raad: zoekmachine moet verwijderverzoek in principe toewijzen, behoudens bijzondere gevallen

De Hoge Raad heeft vrijdag 24 februari 2017 geoordeeld dat een zoekmachine een verwijderverzoek in principe altijd moet honoreren, behoudens bijzondere omstandigheden. Het betoog dat het bij ieder verzoek op een belangenafweging aankomt is daarmee verworpen.De kwestieDe zaak gaat over een man die verdacht wordt van poging tot uitlokking van huurmoord. In eerste aanleg is hij daartoe veroordeeld. Hij heeft hoger beroep ingesteld. De man ontdekt dat wie bij Google zijn volledige naam invult, in...

Mark Jansen Artikel 28.02.2017

Proosten op de Autoriteit Potentiele Persoonsgegevensverwerkingen bij de volgende stroomuitval

De Autoriteit Persoonsgegevens heeft op 22 februari 2017 een persbericht uitgebracht naar aanleiding van een onderzoek bij een bedrijf dat alcohol- en drugscontroles wilde invoeren. Wat met name opvalt aan het persbericht en het onderzoek is de ruime bevoegdheden die de AP zichzelf toekent, alsmede (wederwom) de wel hele strikte (en onpraktische) uitleg van de wet.Voorgenomen beleidHet bedrijf Uniper (=energieleverancier) had het voornemen om at random (in het rapport beschreven als "ad rando...

Mark Jansen Artikel 23.02.2017

Valkuilen bij het sluiten van bewerkersovereenkomsten, zeker bij toepasselijkheid van de ICT~Office en Nederland ICT voorwaarden

Sinds de introductie van de boetebevoegdheid van de Autoriteit Persoonsgegevens staat het onderwerp privacy meer op de agenda bij veel organisaties. Veel aandacht gaat daarbij uit naar het sluiten van bewerkersovereenkomsten met alle (IT-)leveranciers. Helaas wordt daarbij vaak vergeten dat een bewerkersovereenkomst niet los van de andere contracten met de leverancier kan worden gezien. In deze blog sta ik stil bij enkele belangrijke valkuilen.Verplichte bewerkersovereenkomst bij uitbesteding...

Mark Jansen Artikel 16.02.2017

De privacy-paradox: steeds meer informatie verstrekken, maar wel zo compact en simpel mogelijk alstublieft

Vanaf 25 mei 2018 is de privacyverordening van kracht. Dit betekent onder meer dat veel meer informatie aan betrokkenen moet worden verstrekt dan onder de huidige privacywetgeving het geval is. In deze blog zet ik de verschillen tussen de huidige en toekomstige wetgeving voor u op een rij. Daarbij plaats ik tevens een enkele kritische kanttekening.

Mark Jansen Artikel 05.01.2017

Onbedoelde introductie lastige puzzels vanwege extraterritoriale werking Nederlands privacyrecht in uitvoeringswet AVG?

Onlangs is de uitvoeringswet behorende bij de algemene verordening gegevensbescherming in internetconsultatie gegeven. Dankzij deze wet kunnen bedrijven die in Nederland gevestigd zijn, maar zich louter op het buitenland richten, toch te maken krijgen met Nederlands privacyrecht. Dat lijkt een flinke wijziging ten opzichte van de huidige situatie.Huidige situatie: 28 nationale privacywettenOp dit moment heeft iedere lidstaat van de EU eigen privacywetgeving. Die privacywetgeving moet wel alle...

Mark Jansen Artikel 03.01.2017

Worden boetes onder de privacyverordening / AVG werkelijk hoger?

Straks onder de privacyverordening kunnen boetes tot 20 miljoen euro worden opgelegd. Bovendien hoeft niet langer aan het opzetvereiste te worden voldaan dat onder de Wbp nog wel geldt. Gaan we (dus) vanaf 25 mei 2018 draconische boetes zien? Dat valt nog te bezien.Huidige systematiek: vaak eerst bindende aanwijzing vereistOp schending van het privacyrecht staat nu boetes tot 820.000 euro of 10% van de jaaromzet. Die boete kan echter alleen worden opgelegd bij opzet of ernstig verwijtbare nal...

Mark Jansen Artikel 28.12.2016

Gemeentelijk Inkoopvoorwaarden bij IT (GIBIT) vastgesteld en gepubliceerd

Op 8 december 2016 zijn de Gemeentelijke Inkoopvoorwaarden bij IT (GIBIT) vastgesteld door het Verenigingsbestuur van de VNG. De totstandkoming van de GIBIT is onderdeel van het programma Digitale Agenda 2020 wat als één van de speerpunten heeft om het ICT-opdrachtgeverschap bij gemeenten te professionaliseren. De voorwaarden zelf, de artikelsgewijze toelichting en meer achtergrondinformatie is te verkrijgen en in te zien op www.gibit.nl.

Ernst-Jan van de Pas Artikel 09.12.2016

360.000 euro boete voor beterschapswens? Op zoek naar een evenredige benadering van het privacyrecht

De Autoriteit Persoonsgegeven legt het begrip "bijzondere persoonsgegevens" consequent ruim uit. Zo ruim, dat - indien de AP consequent is - (de werkgever van) een leidinggevende die een zieke werknemer per e-mail beterschap wenst een boete van minimaal 360.000 euro kan krijgen. Ik pleit voor een iets evenredigere benadering van het privacyrecht.Beleidsregels Autoriteit Persoonsgegevens zieke werknemerOp 21 april 2016 heeft de Autoriteit Persoonsgegevens (AP) de beleidsregels getiteld "de zie...

Mark Jansen Artikel 02.12.2016

Raad van State: handhavingsbeleid Autoriteit Persoonsgegevens in overeenstemming met privacyrichtlijn

Het beleid van de Autoriteit Persoonsgegevens is om in principe bij eenmalige/ niet-structurele overtredingen van de privacywetgeving niet handhavend op te treden. Dat wil echter niet zeggen dat ieder verzoek tot handhaving van een individu automatisch zal worden afgewezen. Deze combinatie van beleid en praktijk is volgens de Raad van State in overeenstemming met de privacyrichtlijn, zo blijkt uit een uitspraak van 19 oktober 2016.Vermelding in faillissementsverslagenDe aanleiding voor de uit...

Mark Jansen Artikel 24.10.2016

Dynamische IP-adressen persoonsgegevens omdat NAW-gegevens bij de provider op te vragen zijn?

Het Hof van Justitie heeft in het arrest van 19 oktober 2016 het begrip persoonsgegevens mogelijk wel erg ruim uitgelegd: een dynamisch IP-adres wordt als persoonsgegevens aangemerkt, omdat bij de provider (desnoods met een rechterlijk bevel) de naam van de houder van het IP-adres achterhaald zou kunnen worden. De uitspraak heeft potentieel grote gevolgen voor andere situaties waarbij personen worden geidentificeerd aan de hand van unieke nummers. De vraag is echter, bij tweede lezing, of het...

Mark Jansen Artikel 20.10.2016

GIBIT: Internetconsultatie voor nieuwe inkoopvoorwaarden IT voor gemeenten

Recentelijk is het concept van de nieuwe Gemeentelijke Inkoopvoorwaarden bij IT ('GIBIT') beschikbaar gesteld door het Kwaliteit Instituut voor Nederlandse Gemeenten (KING). De GIBIT komt voort uit de doelstelling van de Vereniging Nederlandse Gemeenten (VNG) om instrumenten te ontwikkelen voor en ter ondersteuning van de verdere professionaliseren van het gemeentelijk opdrachtgeverschap richting de ICT markt. De openbare consultatie over de concept GIBIT loopt nog tot en met 31 augustus 2016...

Ernst-Jan van de Pas Artikel 26.08.2016