Tag: Persoonsgegevens

About Persoonsgegevens

Subscribe Feeds

Gastblog: Gebruik van modelcontractbepaling vergt extra justificatie. Omgekeerde wereld?

Geplaatst op in Privacy, 10 reacties

cloud-flag-usaOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marc Steenbergen over de Europese modelbepalingen voor export van persoonsgegevens.

De Data Protection Directive (officieel “Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data”) is de richtlijn binnen de Europese Unie met betrekking tot het verwerken van persoonlijke data. Sinds 1995 is dit een belangrijke onderdeel van Europese wetgeving over privacy en mensenrechten. In Nederland is de richtlijn omgezet in de Wet bescherming persoonsgegevens. In België geldt de Privacywet.

De huidige EU Data Protection Directive 95/46/EC houdt geen rekening met belangrijek aspecten zoals globalisatie en technologsiche ontwikkelingen zoals social networks, cloud computing, etc. De Europese Commissie heeft daarom bepaald dat een nieuwe richtlijn noodzakelijk is, die tevens een belangrijke rol kan spoelen in het bereiken van een “single digital market” binnen de EU. De verwachting is dat er in de loop van 2016 een definitief akkoord zal zijn over de nieuwe General Data Protection Regulation, die vanaf dat moment voor alle landen in de Europese Unie zal gelden.

Om gegevensuitwisseling tussen de Verenigde Staten (VS) en Europa mogelijk te maken waarbij door Amerikaanse bedrijven voldaan wordt aan de EU Data Protection Directive 95/46/EC is het VS-EU Safe Harbour mechanisme in het leven geroepen. Amerikaanse bedrijven die voldoen aan het Safe Harbour framework zijn daarmee compliant met de EU Data Protection Directive 95/46/EC. Amerikaanse organsiaties die gebruik willen maken van het Safe Harbour mechanisme moeten onder regulering staan van de Federal Trade Commission of het Department of Transportation, waardoor bv. financiele instellingen en non-profit organisaties er geen gebruik van kunnen maken. En het bepalen of een Amerikaans bedrijf voldoet aan de Safe Harbour vereisten is iets wat dat bedrijf zelf mag doen (“self certification”). Met andere woorden: de slager keurt zijn eigen vlees. Dat is voor veel Europese bedrijven geen situatie waardoor men de vereiste zekerheden verkrijgt. Zo heeft de Duitse data protectie autoriteit recent verkaard dat zij er geen voorstander van zijn om data overdracht op basis van Safe Harbor goed te keuren. En de Europese Commissie heeft zich uitgesproken voor een update van de Safe Harbor afspraken.

Naast het Safe Harbor mechanisme zijn er nog twee andere mechanismen om veilige gegevensoverdracht te waardborgen: EU Model Clauses en Binding Corporate Rules.

Binding Corporate Rules zijn gedragsregels, gedefinieerd en gecontroleerd door nationale Europese autoriteiten, die door multi-nationale bedrijven geïmplementeerd dienen te worden om al het interne grensoverschrijdende dataverkeer in vereenstemming te laten zijn met de Europese wetgeving. De EU Model Clauses zijn standaard contracten voor de overdracht van data tussen EU en niet-EU landen. De Europese Raad en het Europees Parlement hebben de Europese Commissie begin van deze eeuw de bevoegdheid gegeven om te beslissen op grond van artikel 26 van Richtlijn 95/46/EG dat bepaalde modelcontractbepalingen voldoende waarborgen bieden met betrekking tot de bescherming van de privacy en de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de bijbehorende rechten. De Europese Commissie heeft tot nu toe twee sets van modelcontractbepalingen vastgesteld: een set voor de overdracht van data controllers (“verantwoordelijken”) binnen de EU naar data controllers buiten de EU en een set voor de overdracht van data controller binnen de EU naar buiten de EU gevestigde data processors (“verwerkers”).

De afgelopen periode is het nodige te doen geweest rondom deze EU Model Clause. Sommige bedrijven gebruiken de EU Model Clauses al sinds ze beschikbaar gesteld zijn, in 2001. Andere partijen deden dat tot kort geleden niet, maar hebben recentelijk de terms & conditions van de EU Model Clauses geincorporeerd in eigen (cloud) contracten. Vervolgens hebben ze de Europese autoriteiten voor gegevensbescherming gevraagd om deze contracten goed te keuren. Nadat deze goedkeuring verkregen was, konden deze bedrijven het niet laten om luid van de kanseel te schreeuwen dat ze goedkeuring hadden gehad van de Europese Unie, met statements als “It is the only enterprise cloud that meets EU privacy law standards and be approved by the EU’s data protection authorities.” Dit heeft geleid tot verwarring in de markt omdat sommige eindgebruikers de perceptie kregen, of de perceptie werd aangepraat, dat alleen deze bedrijven compliant zouden zijn met de Europese wetgeving. Terwijl deze bedrijven in feite een probleem hebben opgelost wat ze jarenlang gehad hebben, daar waar andere bedrijven al die jaren lang al compliant waren aan de vereiste Europese wetgeving.

Navraag bij de EU 29 Working Group door partijen die sinds 2001 al exact de door de EU vastgelegde modelcontracten gebruiken, heeft (natuurlijk!) geresulteerd in de schriftelijke bevestiging dat zij compliant zijn met de Europese wetgeving. Wat logisch is, want dat is nou juist het principe van die model clausules!. En dergelijke schriftelijke bevestigingen worden dan weer gebruikt om eindgebruikersorganisaties duidelijk te maken dat de standaard EU Model Clause, “used ever since 2001”, toch echt voldoende is.

Eigenlijk vind ik dit best raar: er is een standaard. Een bedrijf heeft zich jarenlang niets gelegen laten liggen aan de EU Model Clause, besluit haar leven te beteren, incorporeert de EU Model Clause in haar contracten, vraagt confirmatie dat dit okee is, krijgt deze ook, en gebruikt dit voor tendentieuze marketingcommunicatie. Waardoor vervolgens partijen die vanaf dag 1 de standaard Eu Model Clause gebruikten gedwongen worden nog eens additioneel gaan uitleggen aan het publiek dat zij de standaard al sinds 2001 gebruiken, en dat de Europese autoriteiten dit nog eens expliciet hebben bevestigd dat dit die standaard goed is. Maar ja, het onderwerp data privacy is een uiterst gevoelig onderwerp, en terecht. Laten we daarom vooral goed en duidelijk, en feitelijk, blijven communiceren over de daartoe in het leven geroepen wetgeving. Want zoals Jim Barksdale, ex-CEO van Netscape ooit zei: “If we have facts ,let´s look at the facts. If we have opinions, let´s go with mine”.

Marc is Business Development Executive bij IBM. Dit artikel representeert zijn eigen mening en staat los van de opinie van zijn werkgever.

Gastblog: Europa is niet gebaat bij digitaal protectionisme

Geplaatst op in Privacy, 21 reacties

fence-hek-bord-afscheiding-blokkade-concurrentie-beding-verbod.jpgOmdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marc Steenbergen over de Europese worstelingen rond privacy en security.

De onthullingen van Edward Snowden van de afgelopen jaren hebben een veelal grimmig beeld geschetst van de spionageactiviteiten van de Amerikaanse National Security Agency (NSA). Snowden had zo’n 20 tot 25 medewerkers van het NSA-kantoor overgehaald om hun wachtwoord met hem te delen. Zo verkreeg hij toegang tot tienduizenden documenten over programma’s en andere spionagepraktijken van de NSA. Positief effect van alle onthullingen is de toegenomen aandacht voor beveiliging van informatie en protectie van data privacy. Een ander, minder positief, effect is het ontstaan van een anti-Amerikaanse houding ten opzichte van cybersecurity.

Hoewel ik de verontwaardiging over bepaalde NSA activiteiten zeer goed kan begrijpen, moeten we ons beseffen dat ook Europese landen hun geheime diensten hebben en hun bijdrage aan dit soort spionage activiteiten leveren. Neem bv. zo´n twee jaar geleden, toen bleek dat de Engelse geheime dienst, de GCHQ, jarenlang de netwerken van Belgacom (nu Proximus) afgeluisterd heeft. Of de recente openbaring dat de Duitse geheime dienst jarenlang intensief met de NSA heeft samengewerkt in het aftappen van Internetverkeer. En ook in Nederland zijn er de nodige discussies over wat onze geheime dienst wel en niet mag. Geheime diensten, het woord zegt het al, doen activiteiten die niet voor niets hun werk in het geheim, en ik ben er van overtuigd dat ieder land wat een geheime dienst heeft een potentieel “bommetje” heeft indien die activiteiten in de openbaarheid komen.Ik heb geen inzicht in de omvang van al de activiteiten van alle geheime diensten, maar … ik denk niet dat de ene geheime dienst onderdoet voor de andere.

Dat gezegd hebbende zijn er ook tal van discussies rondom met name data privacy die zich wel volledig in het daglicht afspelen. De Belgische overheid start een rechtszaak tegen Facebook voor de schending van privacyrechten. Google verzamelt zoveel informatie over miljarden bewoners van deze planeet en wordt scherp in de gaten gehouden door organisaties zoals Privacy International. En wetgeving op het gebied van informatiebeveiliging wordt aangescherpt, zowel door individuele landen alsook in de loop van 2016 voor de gehele Europese Unie. Ook hier geldt wat mij betreft weer dat het goed is dat we ons dieper buigen over wat er met data, zeker met onze persoonlijke data gebeurd. Dat geldt voor technologische ontwikkelingen die gedreven worden door Amerikaanse bedrijven, waar nou eenmaal de snelheid van technologische innovatie helaas een stuk hoger ligt dan bij ons, maar dat geldt even zo zeer voor technologische innovatie die vanuit Europa wordt gerealiseerd. En daar zijn we zelf bij, daar zijn we zelf voor medeverantwoordelijk.

Het debat rond informatiebeveiliging en data privacy in Europa heeft geleid tot wantrouwen over hoe technologiebedrijven met data c.q. gegevens omgaan. Wat mij betreft een zeer gezond wantrouwen als onderdeel van onze drive naar continue innovatie. Maar terwijl dit gezonde wantrouwen in gelijke mate van toepassing zou moeten zijn op technologiebedrijven waar dan ook ter wereld, focust zich het wantrouwen de laatste tijd met name op Amerikaanse technologiebedrijven. Deels is dat logisch want zoals hierboven reeds gesteld is de innovatiekracht in Amerika nou eenmaal groter dan die in het overgrote deel van Europa, en dus zijn er ook meer technologiegedreven innovaties die de toets moeten doorstaan. Maar deels is het ook niet logisch, sterker nog wordt ons blikveld teveel beperkt, want als innovatie niet uit Amerika komt, moeten we met dezelfde kritische blik de security en data privacy aspecten bekijken. Er lijkt af en toe achter een golf van protectionistische sentiment (“digitaal protectionisme”) ontstaan te zijn met betrekking tot opslag en verwerking van data op Europese bodem. Diverse politici en Europese bedrijven hebben pleidooien gehouden voor Europese data zones, voor opschorting van het Safe Harbor mechanisme voor gegevensoverdracht tussen de EU en de USA, en voor de ontwikkeling van een “Europese Cloud”. Dit alles heeft vooralsnog niet geleid tot concrete wetgeving of beleid, maar heeft wel een negatief effect op de adoptie van cloud diensten door Europese bedrijven. En dat vind ik een gemiste kans voor Europa!

Vorige week was er een bijeenkomst van ECP, het E-commerce Platform Nederland, over de vorming van een “digital single market” voor Europa. Dit is het ambitieuze plan van de Commissie-Juncker om de komende jaren in Europa naast de fysieke vrije markt die we al hebben ook een digitale interne markt te creëren. Op dit moment winkelt slechts 15% van de consumenten in een ander EU land, en verkoopt slechts 7% van de MKB bedrijven online over de eigen landsgrenzen. We laten kansen liggen om van 28 nationale markten 1 Europese markt te maken. Een “digital single market” met een economische omvang van €415 miljard per jaar, en met de potentie om honderdduizenden nieuwe banen te creëren.

Belangrijke componenten uit het plan werden toegelicht door de Europese Commissie en het Ministerie van Economische Zaken, dat het pakket ook nadrukkelijk in de context plaatste van het aankomende Nederlandse voorzitterschap van de Europese Unie in de eerste helft van 2016. Robert-Jan Smits, directeur-generaal Research & Innovation bij de Europese Commissie, hield een helder pleidooi voor het uitrollen van een digitale interne markt in Europa. Hij gaf aan dat de “digital single market” in de top-drie van prioriteiten voor de Commissie-Juncker staat. Hij noemde onder andere het gebrek aan vertrouwen van consumenten in e-commerce over de grens, geoblocking, een verouderd copyright, verzendkosten van pakketten, digitale veiligheid en bescherming van persoonlijke gegevens als problemen die aangepakt moeten gaan worden. Zijn collega Paul Timmers (directeur Cybersecurity) benadrukte dat er in principe geen grenzen dienen te zijn voor gebruik van data door heel Europa heen. Daarbij blijven de bestaande plannen van de Commissie omtrent cybersecurity, om trust en security goed te regelen, leidend. De heren van de Europese Commissie sloten af met een oproep tot politieke steun voor het pakket, ook vanuit Nederland, om door de gevestigde belangen (“vested interest”) heen te kunnen breken. Ze waarschuwden dat de prijs hoog zal zijn als Europa op dit gebied niet genoeg doet en dat we het risico lopen het wereldwijde initiatief kwijt te raken, juist in die industrieën waar Europa nu een voorsprong heeft.

Tijdens de discussieronde in het tweede gedeelte van de bijeenkomst heb ik gesproken met diverse aanwezigen inclusief Paul Timmers omtrent de balans tussen “we moeten in Europa alles goed regelen” en “Europa is geen eiland”. De meesten beaamden dat juist het vinden van die balans de uitdaging is, wetende dat het op 1 lijn krijgen van alle Europese landen al een hele flinke kluif is maar dat we in Europa vooral ook de verbinding moeten houden met wat er in de USA en Azie gebeurt, en daarvan moeten leren en hergebruiken wat we kunnen gebruiken. Daar waar wij ons al Europa zouden afzonderen leert de geschiedenis dat dit geen positieve impuls geeft aan economische noch sociale ontwikkeling. Daarom zeg ik: willen wij als Europa, en als Nederland, onze leidende positie behouden en mogelijk zelf uitbreiden, dan dient het pad naar de “digital single market” doorlopen te worden met een open blik naar de rest van de wereld. Een niet door emoties gedreven maar door feiten en ratio begeleid debat rond informatiebeveiliging en data privacy in Europa en tussen Europa, USA en Azie zal hier een positieve bijdrage aan kunnen leveren.

Marc is Business Development Executive bij IBM. Dit artikel representeert zijn eigen mening en staat los van de opinie van zijn werkgever.

Oh ja, en we krijgen per 1 januari een datalekmeldplicht en boetes op brakke beveiligingen

Geplaatst op in Privacy, Security, 20 reacties

disc-data-weg-bewaren-kruis.jpgOp 1 januari 2016 treedt de Wet Datalekmeldplicht in werking. Vanaf dat moment moeten bedrijven bij de toezichthouder én de consument melding doen van datalekken, oftewel inbraken en beveiligingslekken waardoor persoonsgegevens zijn ontvreemd. Wordt er niet gemeld, of blijkt na melding dat een bedrijf nalatig was, dan kunnen tot acht ton aan bestuurlijke boetes worden opgelegd. En als je die wet goed leest, dan zie je dat er óók boetes kunnen worden opgelegd voor wie de beveiliging überhaupt niet op orde had.

Veel mensen denken bij de term ‘datalek’ aan een grootschalige inbraak waarbij alle klantgegevens worden gedownload, of een publicatie op een Russische hackersite van patiëntdossiers. De wettelijke definitie is echter veel breder. Iedere inbreuk op de beveiliging van persoonsgegevens wordt gezien als een datalek. En de wet (art. 13 Wbp) noemt “verlies of enige vorm van onrechtmatige verwerking” als een inbreuk. Ook wanneer gegevens binnen een organisatie dus op te vragen zijn door ongeautoriseerde medewerkers, is strikt gesproken sprake van een datalek. Voor webwinkels of sites met online inschrijf- of bestelformulieren zou al sprake zijn van een datalek wanneer deze formulieren niet over een beveiligde verbinding (SSL) worden verzonden.

Wie data op deze manier lekt, moet dat melden bij de toezichthouder en vaak ook bij de getroffen consument. Een datalek moet bij de toezichthouder worden gemeld wanneer deze “leidt tot de aanzienlijke kans op ernstige nadelige gevolgen” of daadwerkelijk die gevolgen heeft, en bij de betrokkene als het lek “waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer”. Dit zijn vrij vage criteria, en dat is dan meteen een zwak punt: een bedrijf kan met een stalen gezicht volhouden dat die diefstal van 200.000 patiëntgegevens toch niet een aanzienlijke kans heeft op nadelige gevolgen, laat staan op ernstige. Maar dat is dan iets waar de rechter of het Cbp al dan niet met giecheltoets wat van kan vinden.

De boetebevoegdheid van de toezichthouder wordt uitgebreid – of eigenlijk ingevoerd want die hebben ze nu in de praktijk niet. Onder het nieuwe regime kunnen boetes tot in theorie acht ton worden opgelegd voor het ten onrechte niet melden van een datalek. Maar niet alleen dat: de boetebevoegdheid geldt voor zo ongeveer elke serieuze plicht die je hebt onder de Wet bescherming persoonsgegevens: verwerken zonder grondslag (art. 8) of op onzorgvuldige manier (art. 6-10), het niet nakomen van informatieplichten (art. 33 en 35) en misbruik van het BSN (art. 24). En tot mijn vreugde ook: het niet hebben van een passende beveiliging (art. 13 Wbp). Een brakke beveiliging hebben is dus vanaf 1 januari wel degelijk strafbaar (pardon: sanctioneerbaar met een bestuursrechtelijke boete).

Wel moet het Cbp in principe eerst een bindende aanwijzing geven voordat boetes mogen worden opgelegd. Maar daar is dan weer een uitzondering op voor het geval men opzettelijk of ernstig verwijtbaar handelt. Dat is een vage norm, maar in de praktijk zal zich dat wel wijzen denk ik.

Ja, hier word ik wel een beetje vrolijk van. Ik snap alleen niet waarom het vrijwel nergens in het nieuws gaat over die boetebevoegdheid op beveiliging maar alleen over het al dan niet moeten melden van datalekken?

Arnoud

Moment, ik app even uw huiduitslag naar mijn collega

Geplaatst op in Privacy, 24 reacties

dokter-doctor-stetoscoop-gezondheidIn veel ziekenhuizen wisselen artsen informatie over patiënten uit via WhatsApp, meldde NRC Q op gezag van diverse medici uit verschillende ziekenhuizen. Ze gebruiken de app bijvoorbeeld voor het versturen van foto’s van aandoeningen, om aan collega’s op afstand om hulp te vragen bij een acute diagnose. Eh, wacht, wàt?

Foto’s van aandoeningen, en chatberichten met beschrijvingen van patiënten of problemen, zijn al heel snel persoonsgegevens. Zodra gegevens één persoon betreffen, is dat namelijk het geval. Ook als er geen naam of patiëntnummer bij staat. Waar het namelijk om gaat, is of identificatie redelijkerwijs mogelijk is. En met een foto van een specifieke huidaandoening of een ongelukje met een shampoofles wil dat nog wel lukken.

Dit soort gegevens zijn niet zomaar persoonsgegevens, ze zijn bijzonder. En daarvoor geldt een speciaal regime: die mag je niet gebruiken tenzij in de Wbp of andere wet expliciet staat van wel (art. 16 Wbp).

Voor medisch personeel is er een uitzondering: “voor zover dat met het oog op een goede behandeling of verzorging van de betrokkene, dan wel het beheer van de betreffende instelling of beroepspraktijk noodzakelijk is”. Wel moeten ze nog steeds een grondslag kunnen aanwijzen, zoals toestemming of de uitvoering van de behandelovereenkomst. Je zou dan als arts moeten zeggen, dit overleg met een collega is noodzakelijk want anders weet ik niet welke behandeling te starten. Dat kan.

Maar dan het kanaal WhatsApp, mag dat dan? Dan kom je bij de algemene eis dat persoonsgegevens veilig moeten worden behandeld. En je kunt je afvragen of dat wel goed zit bij WhatsApp. Niet dat ik gelijk NSA-niveau spionage bedoel: gewoon heel simpel, mensen kunnen je telefoon vinden en berichten lezen. Of je stuurt een bericht naar de verkeerde persoon, of diens partner leest het bericht toevallig. Of de ander vindt het een bijzondere foto en plaatst hem op Figure 1 (twijfelachtig SFW). En ja dat is dan jouw schuld want jij moest dat voorkomen.

Maar om nou te zeggen, WhatsApp bij deze verboden voor collega-overleg, dat gaat ook weer wat ver. NRC citeert een neurochirurg uit Utrecht:

“Het komt zeker veel voor dat artsen via WhatsApp overleggen en patiënteninformatie delen. Ik heb zelfs wel eens levens gered doordat we via een mobiel bericht veel sneller over een noodsituatie konden overleggen en beslissen dan via de oude systemen. Maar er zijn duidelijke privacy-bezwaren.”

En daar zit vandaag de dag precies het dilemma: het kanaal is erg handig, snel en bruikbaar, maar de privacy is bepaald niet ingeprogrammeerd en je moet maar hopen dat het goed gaat. (Goh, het lijkt internet als zodanig wel.) Terwijl de voor privacy ontworpen kanalen bepaald niet handig of snel te noemen zijn – een brief in dubbele envelop, vervoerd per koerier bijvoorbeeld – en daardoor in de praktijk dus niet werken. Wat moet je dan?

Arnoud

Is de Amazon cloud nu wel veilig voor Europese persoonsgegevens?

Geplaatst op in Informatiemaatschappij, 13 reacties

simpsons-cloud-diefstal-data-fotoDe Europese privacytoezichthouders hebben Amazon’s clouddienst privacytechnisch goedgekeurd, las ik op diverse media. Daarmee zou Amazon Web Services ineens da juridische bomb (oké, The Register) zijn.

Het ligt iets subtieler: de contracten waaronder Amazon werkt, zijn voorzien van juridische clausules over export en gebruik van persoonsgegevens door Amazon. En die clausules zijn goedgekeurd, zodat Amazon voldoet aan de Europese regels op dat punt.

Wie persoonsgegevens wil laten verwerken door een ander, moet een bewerkersovereenkomst sluiten met die ander. Daarin wordt vastgelegd wat de bewerker (de opdrachtnemer, Amazon dus) mag doen met persoonsgegevens, wat hem verboden is en op welke manier hij de persoonsgegevens moet beveiligen.

Export van persoonsgegevens naar buiten de EU is daarbij een speciaal geval. Dit mag eigenlijk niet, tenzij het ontvangende land een net zo strenge wet heeft over persoonsgegevens als de EU. En geen enkel land buiten de EU heeft dat. Gelukkig zijn daar wat uitzonderingen op. Eén uitzondering ontstaat als je met je bewerker afspraken maakt conform de modelcontracten die de EU ooit heeft opgesteld. En de toezichthouders hebben nu dus bepaald dat Amazon’s contracten conform die modellen zijn.

Het wil echter niet zeggen dat het gebruik van de Amazon cloud zonder meer goed voor de privacy is. Er blijft nog altijd die ene angel bestaan waar Microsoft zich aan gestoken heeft: de Amerikaanse rechter vindt dat zij de macht heeft het Amerikaanse Microsoft te bevelen data af te geven die bij haar Europese dochters opgeslagen staat. Microsoft vecht dit aan, maar er zijn goede redenen waarom die rechter gelijk kan hebben.

Arnoud

Jeugdwet biedt kinderen onvoldoende privacy

Geplaatst op in Privacy, 8 reacties

jeugdwet-tekst-toelichtingDe privacy van kinderen is in de Jeugdwet onvoldoende geborgd, las ik bij NRC. Sinds 1 januari gaat zorg bij psychologen en pedagogen via de gemeente, en die willen daar een rekening voor zien. Op die rekeningen staat echter privacygevoelige informatie, zoals naam en adres van het kind maar vaak ook welke behandeling ze hebben gekregen.

Juridisch gezien komt dit probleem door een lacune in de wet: er ontbreekt een bepaling over het doorbreken van de geheimhoudingsplicht door jeugdhulpverleners voor de financiële afwikkeling en controle op de jeugdzorg door de gemeente. Daarmee is het formeel legaal voor een gemeente om te vragen naar een specificatie voor die afwikkeling, oftewel graag per patiënt vermelden welke behandeling is verricht.

Jeugdhulpverleners hebben een geheimhoudingsplicht, zo staat in de Jeugdwet. Een dergelijke geheimhoudingsplicht impliceert, aldus het Cbp, dat de jeugdhulpverlener geen persoonsgegevens van cliënten aan derden mag verstrekken. Helemaal niet als het gaat om bijzondere persoonsgegevens, waaronder gegevens over ziekte of gezondheid per definitie vallen.

Logisch zou je zeggen, dus waarom vragen gemeenten er dan toch om? Dat wordt me dan niet duidelijk uit het artikel. Uitgaande van mijn vuistregel dat je pas kwade wil mag veronderstellen als incompetentie bewezen afwezig is, houd ik het op een bureaucratisch iets: we willen duidelijke facturen, en daaronder valt een specificatie per patiënt want anders kunnen we niet zien waar er voor wordt gedeclareerd. En we moeten de naam hebben om te zien of deze persoon wel in onze gemeente woont.

Tot 1 januari gingen dergelijke declaraties naar zorgverzekeraars. Het probleem deed zich daar niet voor, zo te lezen omdat daar wél protocollen en regels waren die voldoende waarborgen gaven om deze informatie te beschermen. Dus waarom zijn die niet overgenomen? Zó moeilijk is het toch niet?

Arnoud

De overheid gaat mijn privacypolicygenerator kapodtconcurreren!

Geplaatst op in Privacy, 24 reacties

privacy-policy-lap-tekstHet ministerie van Economische Zaken komt halverwege 2015 met een online dienst waarmee bedrijven hun privacyvoorwaarden kunnen versimpelen en transparanter kunnen maken, las ik bij Nu.nl. De dienst wordt ingezet omdat veel Nederlanders aangeven voorwaarden en het privacybeleid van online diensten die zij gebruiken niet lezen, met name (36%) omdat de tekst te lang is en (16%) omdat deze te moeilijk is.

Ik ben heel benieuwd waar deze dienst uit gaat bestaan. Op de site zie ik een hoop tips en advies, maar denk ik dan gelijk “dat is nóg meer tekst om te lezen” dus hoe effectief gaat dat zijn?

Maar potverdrie, wat lees ik dan in de gelinkte Kamerbrief:

in 2014 een aantal goede voorbeelden van transparante privacyvoorwaarden in kaart is gebracht. Deze zullen als basis dienen voor een online instrument, waarmee bedrijven op laagdrempelige wijze een goede (basis) privacyvoorwaarde kunnen genereren

Héé. Word ik daar een beetje weggeconcurreerd met mijn generator waarmee je ook basisprivacyvoorwaarden kunt genereren? Dat kan toch niet zomaar. Ik heb honderden euro’s geïnvesteerd in het programmeren van dat stuk software en dat zou ineens waardeloos worden door een gratis generatordinges van de overheid?

In 2009 werd de Kamer van Koophandel veroordeeld wegens valse concurrentie door bedrijfsplansoftware op te markt te brengen waar ook commerciële bedrijven zich gewoon mee bezig houden. Oké, wanneer het gaat om data die de overheid zelf produceert (zoals het Nationale Wegenbestand) dan kan dat anders liggen maar het NWB is basaal, dit in tegenstelling tot privacyverklaringen.

Wat nu? Een rechtszaak tegen de Staat? Maar iedere ondernemer weet, je gaat geen goed geld naar kwaad geld gooien. De privacyverklaring afschrijven als product? Dat stuit me dan ook weer tegen de borst. Iedereen weet hoezeer ik de Wbp waardeer, dit instrument moet gewoon beschikbaar zijn vanuit de markt. Dus wat te doen?

Arnoud

Met een slimme meter kan iedereen zien wanneer je doucht

Geplaatst op in Innovatie, Privacy, 70 reacties

slimme-meterOndanks de strikte privacyregels zijn de data van álle huishoudens met een slimme meter in te zien, door iedereen die erom vraagt. Dat las ik (dank Franc) bij Z24. Je kunt via allerlei apps toegang krijgen tot de gegevens van je meter, maar niemand blijkt te controleren of de naam en adres die je opgeeft, wel echt van jou zijn. De appleveranciers hoeven alleen maar “te beloven dat ze hun uiterste best doen te controleren of hun klanten wonen waar ze zeggen te wonen”. Eh, wut.

De slimme meter is een elektriciteits- en gasmeter die op afstand kan worden uitgelezen en wel elke vijftien minuten. Daarmee is erg veel informatie op te vragen, en dat roept natuurlijk privacyvraagstukken op.

Al in 2012 probeerde het Cbp hier iets van te regelen, en dat leidde tot een Gedragscode Verwerking van Persoonsgegevens door Netbeheerders in het kader van slimme meters. Grotendeels is dit een parafrase van de wet, en specifiek voor afgifte aan onafhankelijke dienstaanbieders (ODA’s) is de regel dan ook simpel: aparte toestemming van de eigenaar van het pand.

De praktijk blijkt dus anders te zijn:

Om gegevens van de netbeheerders te ontvangen, hoeven de ‘onafhankelijke dienstaanbieders’ (ODA) nu alleen met een directieverklaring te beloven dat ze hun uiterste best doen te controleren of hun klanten wonen waar ze zeggen te wonen.

Dus als iemand een app installeert en daarbij een vinkje plaatst bij “Ik ben de bewoner van Nieuwezijds Voorburgwal 147, Amsterdam” dan geeft daarmee die bewoner toestemming voor het uitlezen van die meter. Daar gaat iets niet helemaal goed, want wie controleert dat?

De voor de hand liggende oplossing is dat je een brief stuurt naar dat adres met een activatiecode, maar dat levert natuurlijk een vertraging op. Ook het alternatief dat de netbeheerder de identiteit valideert, blijkt niet mogelijk:

Het is de netbeheerders en energiebedrijven verboden, op grond van de Wet bescherming persoonsgegevens, om meetgegevens aan derden te geven.

Het wordt alleen wel een tikje ingewikkeld zo. Hoe kun je dan wél correct valideren dat gebruiker X werkelijk de meter van dat pand mag uitlezen?

Arnoud

Wat mag er nu de cookiewet wordt versoepeld?

Geplaatst op in Privacy, 21 reacties

cookie-bril.jpgHet voelt een tikje als verplicht nummer, deze blog, maar goed. De versoepelde cookiewet is aangenomen in de Eerste Kamer. Nu is het alleen nog even wachten op inwerkingtreding, maar dan zal het toegestaan zijn om niet-functionele cookies te plaatsen zonder toestemming te vragen zolang het gaat om cookies die “geen of slechts geringe” inbreuk op de privacy maken. Dus ook analytics, en tot mijn verrassing zélfs Google Analytics.

Al sinds de invoering heeft iedereen een hekel aan de cookiewet. Jammer ergens, want het was een goed idee, ze hadden alleen cookies uit moeten zonderen. Het principe is namelijk best sympathiek: geen data zetten op mijn apparatuur zonder mijn toestemming, en geen data uitlezen ook niet. Maar toen kreeg iemand het in zijn hoofd dat cookies ook ‘data’ zijn en toen zei iemand, dat is handig want cookies zijn privacyschendend en spyware en tracking en OMGWTFWBP daar moeten we wat mee. Vandaar.

Het idee was daarbij ook nog eens dat iedereen door de cookiewet zou denken “oei, toestemming vragen is moeilijk, laten we maar zonder tracking en zonder Analytics gaan werken”. Niet dus: dat werd de bekende domme oplossing van het de gebruiker vragen terwijl die geen idee heeft waar het over gaat. Binnen een mum van tijd stond het web vol met popups waar je een door een jurist opgestelde tekst (“Deze website wenst ‘cookies’ te plaatsen, conform artikel 11.7a Telecommunicatiewet is daarvoor specifieke, vrije en geïnformeerde toestemming nodig”) moest lezen en dan “ja” of “nee” kon kiezen. Hoewel vaker je alleen “ja” of je Back-button kon kiezen – de cookiemuur.

Na veel ophef, met name over cookiemuren bij de publieke omroep, is er dan toch gekozen voor een wettelijk compromis: je mag nu zonder toestemming cookies plaatsen die de privacy niet of slechts een klein beetje schenden én je dat doet voor het doel “informatie te verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij.” Analytics dus.

Ook die van Google? Nee, dacht ik altijd: Google is eng-Amerikaans en doet niet aan privacy, dus dat is meer dan “geringe gevolgen” voor de privacy. Bij dit wetsvoorstel is daar verder niet op ingegaan, maar recent publiceerde het Cbp een handreiking over hoe je je aan de privacywet kunt houden en toch Google Analytics kunt inzetten. Je moet vier stappen nemen:

  1. Accepteer het “Amendement gegevensverwerking” in je Analytics-account (‘Beheer’ > ‘Account instellingen’ en dan helemaal onderaan);
  2. Blokkeer het meezenden van volledige IP-adressen (ga('set', 'anonymizeIp', true);) en forceer als je toch bezig bent even SSL (ga('set', 'forceSSL', true););
  3. Zet het delen van gegevens met Google uit (‘Beheer’ > ‘Account instellingen’ en dan vier instellingen uitvinken);
  4. Informeer je bezoekers in een cookieverklaring of privacyverklaring over je gebruik van Google Analytics.

Hiermee is je gebruik van Google Analytics zo privacyvriendelijk mogelijk, en onder de Wbp is het dan oké via de “eigen dringende noodzaak”-uitzondering. En kennelijk vinden we het in die situatie dan ook oké om te spreken van een “geringe inbreuk op de privacy”, zodat je je popup weg kunt laten als je daarmee werkt.

Ga je mensen over meerdere sites heen tracken dan blijft de cookiewet van kracht: dat valt buiten het doel “informatie over kwaliteit of effectiviteit” en bovendien is dat écht wel een meer dan geringe inbreuk op de privacy. Hetzelfde geldt voor andere analytics-achtige tools waarbij je wél IP-adresgebonden informatie logt en analyseert.

Oh, en als je een instelling bent die op grond van de wet is opgericht dan mag je geen toestemming eisen voordat mensen op je site mogen. De Publieke Omroep werd hier een tijdje terug nog voor beboet, maar nu geldt het dus formeel voor álle openbare instellingen. Private bedrijven en organisaties mogen wel cookiemuren hanteren, omdat daar concurrentie voor bestaat.

Afijn. Ik ben benieuwd hoe dit in de praktijk gaat uitpakken.

Arnoud

Mag mijn werkgever Google Analytics op het intranet zetten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 10 reacties

google-analyticsEen lezer vroeg me:

Onlangs viel me op dat ons intranet cookies van Google Analytics zet. Mijn manager zei dat dat gewoon mag omdat het om werkgerelateerde gegevens gaat en niet om privégerelateerde gegevens. Maar klopt dat wel?

Nou nee, niet helemaal. Met Google Analytics verzamel je gegevens over bezoekers van je website of intranet. Die gegevens zijn te herleiden tot specifieke individuen en dús zijn het persoonsgegevens waarop de Wet bescherming persoonsgegevens van toepassing is.

Hoofdregel is toestemming, maar voor werknemers is het best lastig om toestemming te geven aangezien de wet eist dat dit op vrijwillige basis gebeurt. En in principe kun je als werknemer geen vrijwillige toestemming geven als je werkgever iets vraagt, omdat er op de achtergrond áltijd de vage angst zal heersen “als ik dit niet doe, dan ontslaat hij me/krijg ik geen verhoging/promotie volgend jaar”.

Als werkgever kom je dan al snel uit bij de grond van noodzaak voor de (arbeids-)overeenkomst. Oftewel, ik moet deze gegevens wel verzamelen anders gaat het mis met het werk en/of kun jij je werk niet doen. Een rittenadministratie bijhouden of mensen laten in- en uitklokken valt hieronder. Maar is het echt net zo nodig om te monitoren hoe je intranet wordt gebruikt?

De trend is om social intranets in te zetten voor kennisdelen en contact houden tussen collega’s. Binnen die trend zou ik het verdedigbaar vinden om ook te willen monitoren hoe het intranet wordt gebruikt. Je moet immers kunnen inspelen op gebruikersgedrag.

Is er geen noodzaak voor het werk, dan is de enige redding nog de eigen dringende noodzaak die zwaarder weegt dan de privacy. Je moet dan als werkgever aantonen dat je eigenlijk niet anders kunt. Bij bijvoorbeeld een camera op het werk is dit de rechtvaardiging: ik móet het magazijn filmen want er wordt anders te veel gestolen. Ik móet wel met Analytics werken anders gaat er iets stúk, namelijk.. eh, nee die zie ik ook niet direct.

Beroep je je op zo’n dringende noodzaak dan moet je ook alles hebben gedaan om de privacy zo veel mogelijk beschermen. Er zal dus een privacyreglement moeten zijn dat uitlegt wat je doet en waarom, je moet de IP-adressen zo veel mogelijk verbergen en Google vertellen dat ze écht niets anders mogen doen met jouw Analyticsdata. En rapportages mogen niet op individueel niveau gedaan worden.

Oh ja. Er is een Vrijstelling Intranetten binnen de wet, maar die vrijstelling houdt alleen in dat je niet aan het Cbp hoeft te melden dat je gebruikersgegevens verwerkt via je intranet. Het wil niet zeggen dat als je het zo doet, je legáál handelt. Bovendien dekt die vrijstelling niet het monitoren met Google Analytics (of Piwik of wat dan ook).

Verder is hoe dan ook instemming van de Ondernemingsraad nodig (art. 27 Wet OR). Immers, het gaat om

k. een regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens van de in de onderneming werkzame personen;

dan wel

l. een regeling inzake voorzieningen die gericht zijn op of geschikt zijn voor waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen;

En bij al dergelijke regelingen is voorafgaande instemming verplicht. Ik gok zomaar dat de OR van de vraagsteller niet gevraagd is of Google Analytics op het intranet mag worden ingezet. Want dit is Hip en Leuk en gaan we doen. En ik snap dat ook wel, het ís ook gewoon handig en leuk zo’n tool. Maar ja. Die Wbp hè.

Arnoud