Les 10 AVG verdieping

• Verpleging en verzorging
• MBO
• Studiejaar 1,2

     Wetgeving over 

privacy en AVG

De AVG heeft veel te maken met:

1. Privacy
2. Rekenen
3. Hacken
4. Mediawijsheid

Waar staat de afkorting AVG (van de AVG-wet) voor?

1. Algemene verdenking gegevensbescherming
2. Algemene verordening gegevensbewaking
3. Algemene verordening gegevensbescherming
4. Algemene verandering gegevensbescherming

Persoonsgegevens

"Persoonsgegevens zijn alle gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon."

"Natuurlijk persoon" wordt hier gebruikt om onderscheid te maken van de wettelijke definitie van persoon waar ook bijvoorbeeld bedrijven onder kunnen vallen.

"geïdentificeerde, of identificeerbare" houdt in dat de gegevens terug te leiden moeten zijn naar een persoon. Dit geldt voor direct identificerende gegevens zoals naam, adres, geboortedatum. Dit geldt ook voor indirect identificerende gegevens zoals lengte, en beroep.

Persoonsgegevens

Persoonsgegevens en Bijzondere persoonsgegevens

Er zijn veel soorten persoonsgegevens. 

Voor de hand liggende gegevens zijn iemands 

naam, adres en woonplaats. Maar ook telefoonnummers 

en postcodes met huisnummers zijn persoonsgegevens.

Persoonsgegevens

"Persoonsgegevens zijn alle gegevens die betrekking hebben op een identificeerbaar persoon."

Wanneer is het dan een Bijzonder Persoonsgegeven?

Bijzondere Persoonsgegevens

Persoonsgegevens en Bijzondere persoonsgegevens

Bijzondere persoonsgegevens zijn gegevens over iemands:

• ras of etnische afkomst;
  
• politieke opvattingen;
  
• godsdienst of levensovertuiging;
  
• lidmaatschap van een vakbond;
  
• gezondheid; 

• genetische of biometrische gegevens   met oog op unieke identificatie   (vingerafdruk, oog scan);
• seksuele leven;
  
• strafrechtelijk verleden.
  

Persoonsgegevens-quiz:
Voornaam

1. Bijzonder Persoonsgegeven
2. Normaal Persoonsgegeven

Persoonsgegevens-quiz:
Geaardheid

1. Bijzonder Persoonsgegeven
2. Normaal Persoonsgegeven

Je krijgt wat informatie over Henk die komt werken bij het bedrijf waar jij ook werkzaam bent om in te voeren.

Welke informatie valt onder de categorie bijzondere persoonsgegevens? (meerdere antwoorden mogelijk)

1. Henk is Christen; hij is gedoopt en gaat nog elke zondag naar de kerk.
2. Henk heeft in 1997 zijn scheenbeen gebroken tijdens een fietstocht.
3. Henk is getrouwd en heeft twee kinderen.
4. Henk is lid van de PVDA

Je hebt binnenkort een gesprek om je voor te stellen bij een bedrijf waar je stage gaat lopen. Je hebt telefonisch gesproken met Anja om de afspraak te maken. Zij stuurt een aantal gegevens vast door naar Kees.
Kees is de persoon met wie je het gesprek gaat hebben.

Welke gegevens mag Anja NIET zonder jouw toestemming
naar Kees sturen?

1. Jouw telefoonnummer
2. Jouw huisadres en geboortedatum.
3. Jouw nationaliteit
4. Geen van de genoemde opties mogen zonder toestemming worden opgestuurd.

AVG Grondslagen

De AVG heeft een lijst met onderdelen waar je aan moet voldoen als je met persoonsgegevens werkt. Deze onderdelen heten grondslagen.

Prima, zou je denken, even het lijstje aflopen, kijken of je er een kunt gebruiken en of je er iets extra’s voor moet doen en gaan! Niet te moeilijk. Klopt op zich wel, maar je moet vanwege je informatieverplichting ook vertellen van welke grondslag je gebruikmaakt.

Dat is dus ook de reden dat elke website en applicatie een privacy-verklaring en voorwaarden heeft van enkele pagina's. Die iedereen natuurlijk volledig leest altijd.

Van deze grondslagen moet je er wettelijk aan minimaal 1 voldoen.

Verplichtingen van de werkgever

 Verwerkingsbeginselen

1. Rechtmatig, eerlijk en transparant 
2. Doelbinding
3. Dataminimalisatie
4. Juistheid
5. Bewaartermijnen
6. Technische en organisatorische maatregelen 

Rechtmatig, eerlijk en transparant :betekent dat de werknemer vooraf in eenvoudige taal wordt geïnformeerd over het verzamelen en verwerken van persoonsgegevens

Doelbinding: De gegevens worden alleen voor het doorgegeven doel gebruikt

Dataminimalisatie: Alleen wat noodzakelijk is, wordt gebruikt

Juistheid:

De werkgever zal periodiek onderzoeken of de gegevens nog juist zijn

Bewaartermijnen:

Gegevens worden zolang bewaard dat nodig is, dan wel wettelijk voorgeschreven

Technische en organisatorische maatregelen: Jij doet er alles aan om "lekken" te voorkomen

Bewaartermijnen

1. Personeelsgegevens als: sollicitatiebrief, cv, referenties en VOG : 1 jaar
2. Arbeidsovereenkomst, functioneringsgesprekken, informatie ten behoeve van Wet Poortwachter : 2 jaar na einde dienstverband
   
3. Gegevens loonbelasting : 5 jaar na einde kalenderjaar waarin dienstverband is beëindigd
4. Salarisadministratie en fiscale documenten : 7 jaar

Vraag: Menno is op 12 oktober 2019 uit dienst gegaan. Tot welke datum moeten de gegevens t.b.v. de loonbelasting worden bewaard? (31-12-2024)

De 8 rechten van de betrokkene

1. het recht op informatie over de verwerkingen;
   
2. het recht op inzage in zijn gegevens;
   
3. het recht op correctie van de gegevens als deze niet kloppen;
   
4. het recht op verwijdering van de gegevens en ‘het recht om vergeten te worden’;
   
5. het recht op beperking van de gegevensverwerking;
   
6. het recht op verzet tegen de gegevensverwerking;
   
7. het recht op overdracht van zijn gegevens (dataportabiliteit);
   
8. het recht om niet onderworpen te worden aan een geautomatiseerde besluitvorming (Bijv. voor het gebruik van reclamedoeleinden).

3. Je mag ook een toevoeging doen, zoals je eigen verhaal over het functioneringsgesprek wanneer je het niet eens bent met wat er staat

4. de werkgever moet wel aan de wettelijke bewaartermijnen voldoen

5. Je mag vragen de verwerking (tijdelijk) te stoppen of te beperken

6. Dataprofilering alleen aan de hand van bv algoritmes

7. Je hebt het recht om de persoonsgegevens die een instelling van je heeft, te ontvangen

8. Je mag bezwaar maken tegen verdere verwerking van je gegevens. Bijv. voor het gebruik van reclamedoeleinden

In de volgende dia's worden situaties geschetst. Aan jou de vraag: Wat mag je als werkgever wel en niet vragen/vastleggen?

Menno meldt zich ziek. Je vraagt wat hem mankeert

1. wel
2. niet

Menno meldt zich ziek. Je vraagt welke afspraken hij voor de komende dagen had staan

1. wel
2. niet

Menno meldt zich ziek. Je vraagt of dit komt door het ongeval dat hij gisteren op het werk had

1. wel
2. niet

Dit lijkt op vragen naar de oorzaak van de ziekte. Maar je mag wel vragen of het door een bedrijfsongeval komt of door een verkeersongeval. Dat is nodig i.v.m. aansprakelijkheid.

Menno meldt zich ziek. Je vraagt hem of hij zijn huisarts wil vragen zijn ziekte te bevestigen

1. wel
2. niet

Je vermeldt in het dossier dat Menno zich ziek heeft gemeld en dat je denkt dat dat door relatieproblemen komt

1. wel
2. niet

Je vermeldt in het dossier van Menno dat hij vaker last van hoofdpijn heeft

1. wel
2. niet

Je vermeldt in het dossier dat Menno een ergonomisch aangepaste stoel moet hebben

1. wel
2. niet

Menno geeft door dat bij hem een bijenallergie is geconstateerd. De epipen heeft hij in zijn tas

1. wel
2. niet

In deze situatie is het van vitaal belang (1 van de 6 grondslagen) voor de betrokkene dat het wordt vastgelegd. 

AP

Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) heeft in Nederland als wettelijke taak te beoordelen of personen en organisaties de AVG wet naleven.

De AP kan organisaties die de AVG overtreden een boete opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet. 

Autoriteit Persoonsgegevens (AP)

De AP kan:

1. informatie eisen van organisaties;
2. een onderzoek instellen als de regels van de AVG worden overtreden;
3. een officiële waarschuwing geven aan een organisatie;
4. de verwerking van persoonsgegevens stopzetten;
5. bij overtredingen van de AVG een boete opleggen.

Datalekken

AP controleert: Overtreding = boete

• Verplichting om een "lek"te melden
• Verplichtingen niet nakomen : 10 miljoen of 2% wereldwijde omzet
• Beginselen en/of grondslagen overtreden : 20 miljoen of 4% wereldwijde omzet

AP Autoriteit Persoonsgegevens

Datalek

Risico's die door een datalek kunnen onstaan

Een datalek wordt gedefinieerd als het opzettelijk of onopzettelijk vrijgeven van beveiligde informatie aan een onvertrouwd publiek.

• Wachtwoorden worden gebruikt om in jouw accounts te komen.
• Maar ook per ongeluk vernietigen van gegevens of kwijtraken is een datalek

• Identiteitsfraude
• Bankgegevens kunnen leiden tot phising
• Je krijgt te maken met spam/nieuwsbrieven waar je je nooit voor hebt aangemeld. 

Recente boete

De toezichthouder in Ierland heeft WhatsApp een boete van 225 miljoen euro gegeven. De chat-app zou niet transparant zijn over welke data wordt gedeeld met andere onderdelen van moederbedrijf Facebook. 

Het onderzoek begon al in 2018.

https://tweakers.net/nieuws/186364/whatsapp-krijgt-ierse-boete-van-225-miljoen-euro-voor-overtreden-van-avg.html

Datalek

Een datalek lijkt op het eerste oog soms onschuldig. In de video liet Lubach op ludieke wijze zien wat er met gegevens kan gebeuren. De NOS lijkt misschien naïef om dit zo te vertellen, maar een crimineel bedenkt dit natuurlijk zelf ook wel. Wees dus altijd alert als je vreemde verzoekjes krijgt, die specifiek op jou gericht zijn.

We vergeten snel, maar dagelijks zijn er vele datalekken te betreuren. 

Zie https://informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/ en verbaas jezelf over de wereldwijde blunders.

De kans dat jouw gegevens bekend zijn zonder jouw toestemming is dus vrij groot. 

Wees je daar bewust van! 

De website is een mooie visuele weergave van datalekken. De studenten zullen een aantal bedrijven ook zeker herkennen.

Meldplicht

Voor datalekken is er een meldplicht

De meldplicht datalekken houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens (AP) zodra zij een ernstig datalek hebben. 

En soms moeten zij het datalek ook melden aan de mensen van wie de persoonsgegevens zijn gelekt. 

De kapper waar jij altijd heen gaat stuurt een e-mail over de openingstijden. De e-mail is verstuurd naar alle klanten.
Alle ontvangers staan in de CC en niet in de BCC regel.

Is dit een datalek?

1. Ja
2. Nee

Als je een e-mail stuurt naar ontvangers in het veld “Aan” of “CC” in plaats van “BCC”, kan elke ontvanger de contactgegevens van de andere ontvangers zien. En omdat een e-mailadres een persoonsgegeven is - je kunt er de identiteit van de houder uit afleiden-, kan zo'n cc-foutje een datalek zijn

De jaarcijfers van een groot bedrijf lekken uit.
Iedereen kan zien wat de inkomsten en uitgaven zijn
geweest afgelopen jaar bij dit bedrijf.

Is dit een datalek?

1. Ja, het is data die men niet zomaar mag zien
2. Nee, want het gaat hier niet om persoonsgegevens

Jaarcijfers zijn wel vertrouwelijke gegevens, maar geen persoonsgegevens. Er is dus wel sprake van een security incident, maar geen datalek.

Je tante wordt 75 en je organiseert een feestje voor haar. Per ongeluk stuur je het excelbestand met de (25) genodigden naar een verkeerd e-mailadres. Je kent de ontvanger niet.

Is dit een datalek?

1. Ja,
2. Nee, want dit is voor persoonlijk gebruik

Dit is geen datalek. Je verwerkt de persoonsgegevens voor persoonlijk gebruik. Dan is de AVG niet van toepassing.