AVG

Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing. Als organisatie krijgt u dan meer verplichtingen. In deze Wet ligt veel nadruk op uw verantwoordelijkheid om te kunnen aantonen dat u zich aan de wet houdt.

AVG/Wbp

Iedereen die werkt met privacygevoelige gegevens moet zich houden aan de Algemene Verordening Gegevensbescherming (AVG).

Pseudonimiseren is dan een extra optie om aantoonbaar veilig te werken met persoonsgegevens binnen de wettelijke kaders. U vervangt gegevens die identificatie van personen mogelijk maken door unieke pseudoniemen die niet te herleiden zijn tot een persoon.

Factsheet ZorgTTP AVG/Wbp

Sinds 25 mei 2018 geldt de AVG, de Algemene Verordening Gegevensbescherming. Privacy en dataprotectie staan centraal in deze Wet. Naast rechten van betrokkenen regelt de Wet verplichtingen van Verantwoordelijken en Verwerkers. Passende waarborgen rondom de beveiliging van persoonsgegevens staan hierbij centraal.

Een belangrijke maatregel voor het beschermen van persoonsgegevens die die AVG noemt is pseudonimisatie. Anders dan met volledig anonieme gegevens kun je met pseudoniemen data op het niveau van individuen analyseren. Dat geeft je als onderzoeker of beleidsmaker veel meer mogelijkheden, maar wel binnen de wettelijke kaders van de AVG. ZorgTTP maakt pseudoniemen die zowel voldoen aan de definitie van de AVG als aan technologische standaarden op het gebied van privacy enhancing technology (PET). Daarmee maken we het data analyse op individueel niveau binnen de kaders van de wet bereikbaar voor onze opdrachtgevers.

In het overzicht hieronder hebben we enkele belangrijke uitgangspunten van de AVG voor u op een rij gezet (bron: Autoriteit Persoonsgegevens).

Als organisatie mag u niet zomaar persoonsgegevens verwerken. U moet daarvoor een wettelijke grondslag hebben. De Algemene verordening gegevensbescherming (AVG) kent 6 grondslagen voor het verwerken van persoonsgegevens:

  1. Toestemming van de betrokken persoon
  2. De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst
  3. De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting
  4. De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen
  5. De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag
  6. De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.

Kunt u de gegevensverwerking niet baseren op minimaal één van deze grondslagen? Dan heeft u niet het recht om de persoonsgegevens te verwerken.

U bent zelf verantwoordelijk om te beoordelen of u zich voor een verwerking van persoonsgegevens kunt baseren op één van de 6 grondslagen.

Bron: Autoriteit Persoonsgegevens

In de AVG staan 10 uitzonderingen op het verbod om bijzondere persoonsgegevens te verwerken. Dat betekent dat het verbod niet voor u geldt wanneer u zich kunt beroepen op één van de grondslagen voor het verwerken van ‘gewone’ persoonsgegevens én:

1. iemand uitdrukkelijk toestemming heeft gegeven voor de verwerking van zijn/haar persoonsgegevens;
2. de verwerking noodzakelijk is met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van u of de betrokken persoon. Dit op het gebied van het arbeidsrecht en het sociale zekerheids- en sociale beschermingsrecht;
3. de verwerking noodzakelijk is ter bescherming van de vitale belangen van de betrokken persoon of van een andere natuurlijke persoon. Dit geldt alleen wanneer diegene  fysiek of juridisch niet in staat is om zijn toestemming te geven;
4. de verwerking wordt gedaan door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is.  En die organisatie  gegevens verwerkt in het kader van gerechtvaardigde activiteiten en met passende waarborgen;
5. de verwerking betrekking heeft op persoonsgegevens die kennelijk door de betrokkene openbaar zijn gemaakt;
6. de verwerking noodzakelijk is voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid;
7. de verwerking noodzakelijk is vanwege een  zwaarwegend algemeen belang;
8. de verwerking noodzakelijk is voor doeleinden van preventieve of (arbeids)geneeskunde aard. Zoals het beoordelen van arbeidsgeschiktheid en/of het verstrekken van gezondheidszorg;
9. de verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid;
10. de verwerking noodzakelijk is met het oog op de archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statische doeleinden.

Bron: Autoriteit Persoonsgegevens

Wat merken mensen van wie persoonsgegevens worden verwerkt van de AVG?
Door de algemene verordening gegevensbescherming (AVG) krijgen mensen meer mogelijkheden om voor zichzelf op te komen bij de verwerking van hun gegevens. Hun privacyrechten worden namelijk versterkt en uitgebreid.

Toestemming
In de AVG staat bijvoorbeeld een speciaal artikel over toestemming. Hierin staat wat de voorwaarden zijn voor organisaties om geldige toestemming te krijgen van mensen om hun persoonsgegevens te verwerken. Zo moeten organisaties kunnen bewijzen dat zij geldige toestemming hebben gekregen. En moet het voor mensen net zo makkelijk zijn om hun toestemming in te trekken als om die te geven.

Nieuwe privacyrechten
Naast versterking van de bestaande rechten krijgen mensen door de AVG een aantal aanvullende rechten.

  1. Recht op vergetelheid
    Mensen hebben al het recht om een organisatie te vragen hun persoonsgegevens te verwijderen. Straks kunnen zij daarnaast eisen dat de organisatie de verwijdering doorgeeft aan alle andere organisaties die deze gegevens van deze organisatie hebben gekregen.
  2. Recht op dataportabiliteit
    Ook hebben mensen straks (onder bepaalde voorwaarden) het recht om van de organisatie hun persoonsgegevens in een standaardformaat te ontvangen. Dit heet het recht op dataportabiliteit.

Zo kunnen zij hun gegevens makkelijk doorgeven aan een andere leverancier van dezelfde soort dienst. Bijvoorbeeld als zij zich willen uitschrijven bij de ene sociale netwerksite en zich inschrijven bij een andere. Zij kunnen zelfs eisen dat de organisatie hun persoonsgegevens direct doorstuurt aan de nieuwe dienstverlener, als dat (technisch) mogelijk is.

De verwerking van de persoonsgegevens moet noodzakelijk zijn voor de behartiging van het gerechtvaardigde belang. Een veel gebruikte term in dit verband luidt NoProSiT:

  • Noodzaak van een gegevensverwerking: is er een gerechtvaardigd belang? Voldoet u aan één van de zes grondslagen?
  • Proportionaliteit van een verwerking: op ‘Need to Have’ basis en dataminimalisatie
  • Subsidiariteit: kunt u de gegevens niet op een andere manier verkrijgen? Bijvoorbeeld door de hele populatie te nemen
  • IT: maakt u gebruik van informatietechnologie voor beschermende maatregelen? Maar ook van geautomatiseerde gegevensuitwisselingen?

U zult de verwerking van gegevens moeten toetsen aan de eisen van proportionaliteit en subsidiariteit. U moet nagaan:

  1. Of het doel van de verwerking in verhouding staat tot de inbreuk voor de personen van wie u persoonsgegevens verwerkt
  2. Of u het doel niet op een voor de betrokken personen minder nadelige manier kan bereiken

ZorgTTP helpt u hierbij vanuit alle kennis die we op dit terrein hebben en de vele opdrachten die we sinds 2007 hebben uitgevoerd.

Als de algemene verordening gegevensbescherming (AVG) van toepassing is, heeft u als organisatie meer verplichtingen bij het verwerken van persoonsgegevens. De AVG legt namelijk meer nadruk gelegd op de verantwoordelijkheid van u als organisatie om aan te tonen dat u zich aan de wet houdt. Dit heet de verantwoordingsplicht.

De verantwoordingsplicht houdt in dat u met documenten moeten kunnen aantonen dat u de juiste organisatorische en technische maatregelen heeft genomen om aan de AVG te voldoen. Maar de AVG biedt u als organisatie tegelijkertijd meer instrumenten die u helpen om de wet na te leven. Bijvoorbeeld modelbepalingen voor doorgifte van persoonsgegevens.

In de AVG:

  • Hoeft U verwerkingen van persoonsgegevens niet meer te melden bij de Autoriteit Persoonsgegevens
  • Kunt U verplicht zijn een Data Protection Impact Assessment (DPIA) uit te voeren
  • Kunt U verplicht zijn een functionaris voor de gegevensbescherming (FG) aan te stellen

Bron: Autoriteit Persoonsgegevens

Pseudonimisatie door ZorgTTP

Voor gegevensverwerkingen waarbij de identiteit van personen geen rol speelt, maar het onderscheid tussen individuen wel.

Privacywetgeving

Per 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. De wet stelt eisen aan het verwerken van persoonsgegevens, zoals het treffen van passende organisatorische en technische beveiligingsmaatregelen. Privacy Enhancing Technology (PET) is een verzamelnaam voor die maatregelen. Pseudonimisatie is een vorm van PET. De Autoriteit Persoonsgegevens (AP) is belast met het toezicht op naleving van de privacywetgeving en heeft in het verleden de eisen gesteld aan pseudonimisatie:

  1. Er wordt vakkundig gebruik gemaakt van pseudonimisering, waarbij de eerste pseudonimisatie plaatsvindt bij de aanbieder;
  2. Er zijn technische en organisatorische maatregelen genomen om herhaalbaarheid van de versleuteling (‘replay attack’) te voorkomen;
  3. De verwerkte gegevens zijn niet indirect identificerend;
  4. In een onafhankelijk deskundig oordeel (audit) wordt vooraf en daarna periodiek vastgesteld dat aan voorwaarden 1), 2) en 3) is voldaan;
  5. De werkwijze wordt beschreven en gepubliceerd.

Anoniem én bruikbaar
De eisen waren gericht op het verkrijgen van anonieme gegevens. Inmiddels is duidelijk dat het moeilijk is om data zodanig te verwerken dat deze anoniem én bruikbaar is. Daarom is het verstandig om pseudonimisatie in te zetten in combinatie met een grondslag uit de AVG. Daarbij hoort ook het informeren van betrokkenen over het doel van de verwerking en de middelen die worden ingezet om misbruik tegen te gaan. Pseudonimisatie is daarbij een sterke beveiligingsmaatregel om ongewenste herleiding tegen te gaan.

 

    Vragen over de AVG? Neem contact op


    Ransomware-schade beperken met encryptie door een TTP

    Ransomware-schade beperken met encryptie door een TTP

    Het datalek van marktonderzoeksbureau Blauw en softwareleverancier NEBU is momenteel volop in het nieuws. Persoonsgegevens van cliënten van onder andere NS, Ziggo en Vodafone zijn gestolen. In de berichten wordt gesuggereerd dat het lek het gevolg is van ransomware....