In een vorige blog werd reeds gewezen op het fenomeen dat interne DPO’s soms het risico lopen om onder interne druk, voor de betrokkenen, minder gunstige adviezen en aanbevelingen te geven.
In deze blog post zal dieper ingegaan worden op de situatie van interne DPO’s bij kleinere organisaties zoals KMO’s.
Lees verderWanneer een verwerker tevens verwerkingsverantwoordelijke is is het belangrijk deze situatie duidelijk te documenteren en de betrokkenen hierover in te lichten, en dit zowel door de organisatie die als verwerker optreedt als door de organisatie die optreedt als verwerkingsverantwoordelijke.
Lees verderDe GDPR kent het begrip verwerkingsverantwoordelijke.
Nochtans is het in sommige situaties niet altijd duidelijk wie er verwerkingsverantwoordelijke is.
Dit komt over het algemeen voor bij organisaties die werken met een heleboel “bevriende” instanties en/of instanties die onder dezelfde koepel of zuil vallen, zoals je dit soms vindt bij VZW’s.
Dergelijke eco-systemen van organisaties hebben niet altijd een formele band met elkaar, zoals men dit doorgaans vindt bij onafhankelijke bedrijven die op “arm’s length” met elkaar handelen en omgaan.
De GDPR definieert het begrip verwerkingsverantwoordelijke, of in het Engels controller.
Lees verderDe GDPR legt verwerkingsverantwoordelijken de verantwoordelijkheid en de verplichting op om hun (computer) systemen en procedures zodanig te ontwikkelen dat zij rekening houden met de bescherming van persoonsgegevens.
Deze verplichting geldt voor alle verwerkingsverantwoordelijken ongeacht de complexiteit van hun verwerkingen en hun omvang.
Het maakt dus niet uit of men een grote multinational is of een KMO, de basisprincipes inzake het verwerken van persoonsgegevens dienen te worden nageleefd.
Aangezien deze maatregel ook van toepassing is op verwerkers en sub-verwerkers, moeten verwerkingsverantwoordelijken bij het aanstellen van verwerkers en sub-verwerkers ook van hen de nodige garanties krijgen dat zij hieraan voldoen.
Data Protection by Design en by Default kadert in de verplichting die op verwerkingsverantwoordelijken rust om passende technische en organisatorische maatregelen te nemen met als doel persoonsgegevens te beschermen.
Lees verderInformatiesystemen, en vooral dan die systemen die via het internet toegankelijk zijn, vereisen een sluitende identificatie van de gebruiker evenals tot wat deze gebruiker toegang heeft.
In de oudheid (althans naar informatica termen), waren informaticasystemen vaak monolitisch van aard. Dit betekent dat een oplossing of een dienst bestond uit slechts één applicatie. Bijvoorbeeld was de gebruikersinterface, de business en functionele logica en de gegevensbron allemaal vervat in één applicatie.
Een dergelijke architectuur laat partiële upgrades, bijwerkingen en bugfixes niet toe zonder het hele systeem offline te nemen.
Vandaag wordt er nog maar zelden gewerkt met monolitische systemen.
Lees verderEen van de rechtsgronden die de GDPR verwerkingsverantwoordelijken geeft om de verwerking van persoonsgegevens te rechtvaardigen is het “gerechtvaardigd belang”.
Maar wat bedoelt men eigenlijk met de notie “gerechtvaardigd belang”, en wanneer kan een verwerkingsverantwoordelijke zich hierop baseren om de verwerking of de voorgenomen verwerking van persoonsgegevens op te baseren?
Om een “gerechtvaardigd belang” als rechtsgrond te kunnen inroepen als verwerkingsgrond moeten drie voorwaarden zijn vervuld:
Lees verderZoals reeds besproken in vorige blog posts, moet een verwerkingsverantwoordelijke of een verwerker een DPO aanstellen in bepaalde gevallen. Deze gevallen staan in de GDPR opgesomd.
Bovendien bepaalt de GDPR tevens de positie van de DPO.
Zo moet de DPO onafhankelijk zijn, tijdig worden betrokken bij alle aangelegenheden die verband houden met de bescherming van persoonsgegevens, ondersteund worden bij zijn of haar taken als DPO, mag de DPO geen instructies ontvangen bij de uitoefening van zijn of haar taken als DPO, enz.
Zoals reeds gezegd mag de DPO geen instructies ontvangen van de verwerkingsverantwoordelijke bij de uitoefening van zijn of haar taken als DPO.
Lees verderEen van de beginselen inzake de verwerking van persoonsgegevens is dat de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen moet nemen om de juistheid, de integriteit en de vertrouwelijkheid van de verwerkte persoonsgegevens te kunnen waarborgen.
Om de integriteit van de verwerkte persoonsgegevens te kunnen waarborgen moeten verwerkingsverantwoordelijken passende beveiligingsmaatregelen nemen tegen ongeoorloofde wijzigingen, verlies en vernietiging van gegevens.
Maar hieronder zult u merken dat dit niet altijd zo eenvoudig is.
Lees verderEen van de verplichtingen die op verwerkingsverantwoordelijken rusten is het nemen van passende technische en organisatorische maatregelen om aan te kunnen tonen dat zij verwerkingen uitvoeren die in overeenstemming zijn met de GDPR.
Maar wat zijn nu precies passende technische en organisatorische maatregelen?
In deze korte blog zal summier worden ingegaan wat deze maatregelen kunnen zijn, en aan welke voorwaarden ze dienen te voldoen.
Met passende maatregelen wordt bedoeld maatregelen die rekening houden met de huidige stand van de technologie in de markt, en die toelaten de verwerking(en) die men uitvoert of van plan is uit te voeren optimaal te beveiligen.
Lees verderIn de praktijk rond privacy komt men doorgaans 2 tendensen tegen.
Enerzijds zijn er de informatici, meestal met een achtergrond in security, zoals CISO gecertificeerde IT-mensen, en anderzijds zijn er de pure regelgeving georiënteerde beoefenaars, doorgaans juristen of advocaten die een certifiering als DPO hebben bekomen.
In de praktijk komt men echter weinig mensen tegen die privacy benaderen vanuit een holistisch perspectief.
M.a.w. mensen die niet enkel rekening houden met security noch met regelgeving, maar ook met organisatie, beleid, processen en cultuur.
Lees verder