Data Privacy Day
Happy Data Privacy Day 2021! Jaarlijks wordt er op 28 januari aandacht besteed aan privacy omdat op die dag in 1981, Convention 108 van de Raad van Europa werd ondertekend. Dit verdrag legde de basis voor de Europese privacybescherming die uiteindelijk resulterende in de AVG. Een goede dag dus om u bij te praten over de ontwikkelingen op privacy vlak.
Brexit
Uitgangspunt van de AVG is dat persoonsgegevens niet zomaar mogen worden doorgegeven aan ‘derde landen’, dit zijn landen die niet tot de Europese Economische Ruimte (EER) behoren. Door de Brexit wordt ook het Verenigd Koninkrijk mogelijk een ‘derde land’. De Avg kent een aantal uitzonderingen die het delen van persoonsgegevens naar derde landen mogelijk maakt. Een van de uitzonderingen is het adequaatheidsbesluit. Daarin wordt bepaald dat gegevens kunnen worden overgedragen aan het betreffende land, omdat het een passend beschermingsniveau biedt.
Het is de Europese Commissie echter niet gelukt om vóór 2021 een adequaatheidsbesluit te nemen voor het Verenigd Koninkrijk. In de brexitdeal van 24 december 2020 staat dat tot 1 mei 2021 de doorgifte van persoonsgegevens nog op dezelfde manier mag plaatsvinden als voorheen. Maar alleen als het Verenigd Koninkrijk in deze periode de regels voor de bescherming van persoonsgegevens niet verandert.
Hoe de situatie daarna wordt, is nu nog niet bekend. Dit hangt ervan af of de Europese Commissie dan al een adequaatheidsbesluit heeft genomen over doorgifte van persoonsgegevens naar het Verenigd Koninkrijk.
Nieuwe Standard Contractual Clauses
Wanneer een adequaatheidsbesluit ontbreekt moet op een andere manier passende waarborgen worden geboden, bijvoorbeeld door middel van modelcontracten ook wel standaardcontractsbepalingen of SCC’s genoemd. Deze model contracten worden door de Europese commissie aangepast om het beschermingsniveau te verbeteren.
Wat is nieuw?
- De verstrekker van de gegevens moet nagaan of het “derde land” een adequaat beschermingsniveau biedt dat in overeenstemming is met de Avg. Deze verplichting vloeit oorspronkelijk voort uit de Schrems II-uitspraak van het Europees Hof.
- In de nieuwe versie van het modelcontract is doorgifte tussen twee verwerkers of doorgifte van een verwerker naar een verwerkingsverantwoordelijke ook mogelijk, dit kon voorheen niet.
Wijziging Telecommunicatiewet
Tot op heden (tot de wetswijziging van medio 2021) heeft Nederland een opt- out regime en is het toegestaan om een persoon ongevraagd commercieel te bellen, behalve als deze in het bel-me-niet-register is ingeschreven. Dit gaat medio 2021 veranderen door de wetswijziging in de Telecommunicatiewet. Wanneer een organisatie gebruik maakt van de telefoon (maar bijvoorbeeld ook video of WhatsApp bellen) om ongevraagd een ideële, commerciële of charitatieve boodschap over te brengen, is toestemming vereist. Uiteraard zijn er uitzonderingsgevallen. Bestaande en ex-klanten mogen gebeld worden zonder dat daar toestemming voor nodig is, maar wel op voorwaarde dat de klant zich mag inschrijven voor het bel-me-niet-register.
Payment Service Directive 2
Vanaf 1 januari 2021 is Strong Customer Authentication (SCA) voor de meeste online aankopen verplicht. Dit is een verplichting op grond van de Payment Service Directive (PSD2). PSD2 is een Europese richtlijn voor het betalingsverkeer van consumenten en bedrijven.
Voor 1 januari 2021 was het vaak mogelijk om alleen bepaalde gegevens van de creditcard, zoals kaartnummer plus CVC-code, op te geven zonder dat er om verdere authenticatie werd gevraagd. Dat is gemakkelijk in het gebruik, maar minder veilig voor de eindgebruiker. Daarom is sterke cliëntauthenticatie vanaf 1 januari 2021 ook verplicht voor aankopen op internet met creditcards. Dit betekent dat de transactie met bijvoorbeeld een app, beveiligingsapparaatje of SMS-code en wachtwoord zal moeten worden bevestigd.
Coronavaccin
Dit jaar wordt er volop gevaccineerd. Omdat de vaccinatie niet wettelijk verplicht is, zullen werkgevers (in de zorg) waarschijnlijk willen weten wie van hun werknemers gevaccineerd zijn. Mag de werkgever op grond van de AVG hierover inzicht krijgen?
Collega Annemiek Schouwink heeft hierover een uitgebreide blog geschreven, lees hier.
Focusgebieden Autoriteit persoonsgegevens
Om de bescherming van persoonsgegevens te borgen zal de Autoriteit persoonsgegevens (AP) in 2021 de focus leggen op: datahandel (dit heeft zich recentelijk nog voorgedaan met de privégegevens van Nederlanders uit de coronasystemen van de GGD), digitale overheid en artificiële intelligentie en algoritmes. Daarnaast zal de AP de klachten in behandeling nemen door inzicht te krijgen in de manieren waarop bedrijven en organisaties persoonsgegevens verwerken, hen aanspreken op hun verantwoordelijkheid en ingrijpen als het mis gaat.
Meer weten over privacy? Neem dan contact op met onze privacy advocaten.