50 misverstanden over de AVG

Voorwoord 5
Inleiding 13

Deel 1 Privacy en gegevensbescherming 15
1. Wat is (informationele) privacy/dataprotectie nu eigenlijk? 17
1.1 Informationele privacy 17
1.2 Autonomie versus zelfregie 19
1.3 Contextuele integriteit 20
1.4 AVG: de spelregels om een inbreuk te rechtvaardigen (verantwoording) 21
2. Totstandkoming wetgeving 27
2.1 Historisch overzicht 27
2.1.1 Universele verklaring van de rechten van de mens 27
2.1.2 Europees verdrag voor de rechten van de mens 28
2.1.3 Privacybeginselen van de OESO 29
2.1.4 Convention 108 (Verdrag van Straatsburg) 30
2.1.5 Europese richtlijn 95/46/ec 31
2.1.6 Handvest van de grondrechten van de Europese Unie 31
2.1.6 Algemene Verordening Gegevensbescherming 32
3. Wat is er veranderd met de komst van de AVG? 35
3.1 Van de Wbp naar de AVG 37
3.2 De Uitvoeringswet AVG 39
4. Materieel en territoriaal toepassingsgebied 41
4.1 Uitzonderingen materieel toepassingsbereik 43
4.1.1 Persoonlijke/huishoudelijke en journalistieke doelen 43
4.2 Wat is een persoonsgegeven? 44
4.2.1 Alle informatie 44
4.2.2 Herleidbaar: direct of indirect 44
4.2.3 Natuurlijke persoon 45
4.3 Gepseudonimiseerde en/of geanonimiseerde gegevens 45
4.3.1 Pseudonimisering 46
4.3.2 Geanonimiseerde gegevens 46
4.3.3 Alle activiteiten met persoonsgegevens 47
4.4 Bijzondere persoonsgegevens 47
4.4.1 Verbod, tenzij 47
4.5 Gevoelige gegevens 48
4.5.1 BSN 48
4.6 Gegevens omtrent ras of etnische afkomst 49
4.6.1 Foto’s/beelden 49
4.7 Politieke opvattingen, godsdienst of levensovertuiging en lidmaatschap van een vakbond 49
4.8 Genetische of biometrische gegevens met oog op unieke identificatie 50
4.9 Gegevens omtrent de gezondheid 51
4.9.1 Patiëntgegevens 51
4.10 Gegevens over het seksuele leven of de seksuele geaardheid 52
4.11 Gegevens van strafrechtelijke aard of gegevens over het strafrechtelijk verleden 52
4.11.1 Zwarte lijsten 53
4.12 Wetenschappelijk onderzoek 53
5. Wat is een verwerking (van persoonsgegevens)? 57
5.1 Journalistieke uitzondering 58
5.2 Strafrechtelijke gegevens door bevoegde autoriteiten 59
6. Territoriaal toepassingsgebied 61
7. Nieuwe rechten voor individuen 63
7.1 Het recht op vergetelheid 63
7.2 Het recht op dataportabiliteit 63
7.3 Het recht om niet te worden onderworpen aan geautomatiseerde individuele besluitvorming, waaronder ‘profiling’ 64
8. Overige rollen: verantwoordelijke en verwerker 65
8.1 Verwerker 65
8.1.1. De verwerkersovereenkomst 66
8.2 Verantwoordelijke 67
8.2.1 Gezamenlijke verantwoordelijkheid 68
8.3 Ontvangers 71
9. AVG versus andere richtlijnen en (nationale) wetten 73
9.1 e-Privacyrichtlijn 73
9.2 Dataretentierichtlijn en de Wet bewaarplicht Telecommunicatiegegevens 73
9.2.1 Dataretentierichtlijn ongeldig 74
9.2.2 Wet bewaarplicht telecommunicatiegegevens (wbt) en de aanpasingswet 74
9.3 Richtlijn gegevensbescherming door politie en justitie 75
9.3.1 Wet politiegegevens (Wpg) 75
9.3.2 Wet justitiële en strafvorderlijke gegevens (Wjsg) 75
9.4 Wet basisregistratie personen (Wet BRP) 75
10. Overige veranderingen 77

Deel 2 Privacyprincipes 81
11. Dataminimalisatie en bewaartermijnen 83
12. Gerechtvaardigd doel (doelbinding en rechtmatige grondslag) 85
12.1 Doelbinding 85
12.2 Grondslagen 85
12.2.1 Toestemming 86
12.2.1.1 Aantoonbare toestemming 86
12.2.1.2 Vrije toestemming 86
12.2.1.3 Ondubbelzinnige toestemming 88
12.2.1.4 Intrekken van toestemming 88
12.2.1.5 Toestemming bij minderjarigen 88
12.2.2 Uitvoeren van een overeenkomst 89
12.2.3 Wettelijke plicht 89
12.2.4 Vitaal belang 89
12.2.5 Algemeen belang of openbaar gezag (publiekrechtelijke taak) 90
12.2.6 Gerechtvaardigd belang 90
13. Juist en volledig 91
14. Transparantie (recht op informatie) 93
14.1 Persoonsgegevens direct van de betrokkene en/of aanvullend 94
14.2 De Privacyverklaring 97
15. Rechten betrokkene 99
15.1 Eigendom van gegevens 99
15.2 Auteurs- en portretrechten 99
15.2.1 Portret in opdracht gemaakt 100
15.2.2 Portret niet in opdracht gemaakt 100
15.3 Vertrouwelijke patiëntendossiers 101
15.4 Bestaande rechten van betrokkenen 102
15.4.1. Recht op inzage 102
15.4.2 Recht op correctie/rectificatie 105
15.4.3 Recht op bezwaar, beperking/verzet 105
15.4.3.1 Recht van bezwaar bij direct marketing 106
15.5 Nieuwe rechten van betrokkenen 106
15.5.1 Recht op verwijdering en het nieuwe recht “om vergeten te worden” 107
15.5.1.1 Recht op verwijdering 107
15.5.1.2 Recht om vergeten te worden (vergetelheid) (art. 17 AVG) 107
15.5.1.2.1 Costeja versus Google Spain 108
15.5.1.2.2 Conflict tussen fundamentele rechten 108
15.5.1.2.3 Wereldwijd of Europees van toepassing? 109
15.5.2 Geautomatiseerde besluitvorming en profilering: art. 22 AVG 110
15.5.2.1 Profilering 110
15.5.2.2 (Uitsluitend) geautomatiseerde besluitvorming 111
16. Beveiligingsmaatregelen 115
16.1 Beveiliging bij de verwerker 116
16.2 Cybersecurity 116
16.2.1 Dreigingen 117
16.2.2 Malware 118
16.2.3 Social engineering 119
16.2.4 Phishing 120
16.2.5 Tips om veilig te werken 121
16.3 Incidenten en datalekken 122
16.4 Meldplicht datalekken 124
16.4.1 Uitzonderingen om te melden 126
17. Doorgifte 127
17.1 Doorgifte binnen en buiten de EER 127
17.1.1 Adequaatheidsbesluiten 128
17.1.1.1 EU-VS Privacy Shield (en de ongeldigheid ervan) 129
17.1.2 Passende waarborgen 130
17.1.2.1 Modelcontract 131
17.1.2.2 Gedragscode en certificering 131
17.1.2.3 Doorgifte op basis van bindende bedrijfsvoorschriften 131
17.1.3 Doorgifte op basis van specifieke uitzonderingen 132
17.1.3.1 Brexit 132

Deel 3 Implementatie van de AVG: verantwoorden van afwegingen 133
18. Verantwoordingsplicht 135
18.1 Extra (vrijwillige) maatregelen 135
18.2 Register van verwerkingen 136
18.3 Privacy by design 138
18.4 Privacy by default 139
18.5 Privacybeleid 139
18.6 DPIA 140
18.6.1 Voorafgaande raadpleging 146
18.6.2 Inzet van de FG 147
19. Implementeren van privacy 149
19.1 Privacy Management 149
19.2 Privacy Volwassenheidsmodel 150
19.3 Privacy Governance 152

Deel 4 Handhaving en toezicht 155
20. De Autoriteit Persoonsgegevens 157
20.1 Wetgevingsadviezen 157
20.2 Nieuwe bevoegdheden 158
20.3 Uniform toezicht in de EU 158
21. Functionaris voor gegevensbescherming (FG) 159
21.1 Taken FG 159
21.2 Meerdere vestigingen 160
21.3 Onafhankelijk 161
22. Boetes, bestuursdwang etc. 163
22.1 Bindende aanwijzing 163
22.2 Telecomwet en Wet politiegegevens 163
22.3 Wetboek van Strafrecht 164
22.4 Boetecategorieën 164
22.5 Last onder dwangsom 165
23. Rechtsbescherming en aansprakelijkheid (klachten en schadevergoeding) 167
23.1 Indienen van een klacht 167
23.2 Schadevergoeding 167

Deel 5: (Praktijk-)relaties met de AVG 169
24. e-Privacy en direct marketing 171
24.1 Reclame aan bestaande klanten 172
25. Privacy in de zorg 173
25.1 Patiëntgegevens in de cloud 174
25.2 Patiëntgegevens per e-mail 175
25.3 De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) 175
25.4 Grootschalige verwerking van patiëntgegevens 176
26. Privacy bij financiële instellingen 177
26.1 PSD2 177
26.2 Creditscores 177
26.3 Incassobureau en gerechtsdeurwaarder 178
26.4 BKR en handelsinformatiebureaus 178
27. Privacy in het onderwijs 179
27.1 Omgaan met beeldmateriaal 179
28. Privacy van werknemers 181
28.1 Tijdens de sollicitatie 181
28.2 Bewaartermijn sollicitatiegegevens 182
28.3 Gegevens van sociale media 182
28.4 Controle van werknemers 182
28.5 Cameratoezicht 183
28.6 Verstrekken van gegevens van medewerkers 184
28.7 Toestemming 184
28.8 De zieke werknemer 184

Eindconclusie 187
Antwoorden op de vraag ‘welke van deze partijen is een verwerker?’ 189
Tabel 50 misverstanden 191
Bronnen & literatuur 201
Jurisprudentie (waaronder uitspraken van de AP) 205