Wil jij deze nieuwsbrief voortaan per mail ontvangen? Meld je dan nu aan via deze link.

De afgelopen week kwam het onderwerp privacy prominent in het nieuws langs. Zo zag de politie de aandacht op zich gevestigd vanwege een datalek van contactgegevens van medewerkers. Daarnaast besteden we aandacht aan een langverwachte uitspraak van het Hof van Justitie van de EU, die antwoord gaf op de vraag of een commercieel belang in de context van de AVG gezien kan worden als een rechtmatig belang. Ook besloot de Autoriteit Persoonsgegevens om een update te delen over het geïntensiveerde toezicht bij de gemeente Eindhoven. Dat en veel meer, lees je terug in deze oktober editie van onze nieuwsbrief.

Veel leesplezier!

Team Lumen Group

 

Datalek bij de politie: hackers maken zakelijke contactgegevens van politiemedewerkers buit

Bij een computerinbraak zijn eind september de zakelijke contactgegevens buitgemaakt van alle huidige politiemedewerkers. Nadat hackers zich toegang tot het systeem van de politie wisten te verschaffen, konden zij de Outlook-visitekaartjes van alle medewerkers bemachtigen. Vroeger konden medewerkers die visitekaartjes zelf aanpassen, waardoor mogelijk ook privénummers zijn betrokken bij het datalek.

Op de website van de politie komt mondjesmaat informatie over de oorzaak van het lek naar buiten: “De politie is door de inlichtingendiensten geïnformeerd dat het zeer waarschijnlijk om een ‘statelijke actor’ gaat, met andere woorden: een ander land of daders in opdracht van een ander land. Op basis van de informatie van de inlichtingendiensten heeft de politie meteen forse beveiligingsmaatregelen ingezet tegen deze aanval.  Om de daders niet wijzer te maken en verder onderzoek niet te schaden, kan op dit moment niet meer verteld worden.”

De medewerkers van de politie worden voortdurend geïnformeerd over de (gevolgen van) de hack met onder andere een liveblog, nieuwsbrieven en per mail. Ook is een telefonisch meldpunt ingesteld waar zij terechtkunnen met al hun vragen.

HvJ EU zet streep door uitleg AP gerechtvaardigd belang: ook commercieel belang kan een rechtmatig belang zijn

In 2019 legde de AP een boete op aan de KNLTB voor het delen van ledengegevens met sponsors, omdat dit volgens de AP in strijd was met de AVG. De KNLTB stelde echter dat zij een gerechtvaardigd belang had bij het aanbieden van kortingen en promoties aan haar leden via commerciële partners.

Na een aantal jaren van juridisch gesteggel, kwam de vraag of een commercieel belang ook een gerechtvaardigd belang kan zijn bij het Hof van Justitie van de Europese Unie te liggen.

De strikte interpretatie van de AP, die alleen wettelijke of maatschappelijke belangen accepteerde als gerechtvaardigd belang, werd hiermee verworpen. Dit oordeel schept ruimte voor bedrijven om onder bepaalde omstandigheden persoonsgegevens te verwerken zonder expliciete toestemming, mits de belangen van betrokkenen voldoende worden beschermd en hun verwachtingen in acht worden genomen. Het is nu aan de rechtbank Amsterdam om met deze uitleg op zak te beoordelen of de KNLTB in de context van de verkoop voldeed aan alle vereisten van de grondslag van gerechtvaardigd belang.

De hele uitspraak van het Hof vind je via onderstaande button.

SURF/BDO publiceren Security- en privacy-awarenessmeting 2024:

Kennis over cybersecurity groeit, maar praktijk blijft achter

Hoewel de kennis over cybersecurity in Nederland toeneemt, blijkt de toepassing in de praktijk achter te blijven. Dit volgt uit de security- en privacy-awarenessmeting die SURF en BDO onlangs naar buiten brachten. Instellingen zijn zich meer bewust zijn van digitale dreigingen en ontwikkelen beleid om deze te bestrijden, toch blijft de implementatie van deze maatregelen vaak achter. Vooral in de onderwijs- en onderzoekssectoren zijn er uitdagingen rondom de adoptie van cybersecurity-oplossingen.

Om deze kloof te dichten, is een sterke focus op praktische vaardigheden en effectieve uitvoering van beleid nodig. Organisaties worden aangemoedigd om niet alleen te investeren in kennis, maar ook in de middelen en processen die nodig zijn om cybersecuritymaatregelen consequent toe te passen.

AP geeft update over geïntensiveerd toezicht gemeente Eindhoven

Sinds maart 2023 staat de gemeente Eindhoven onder geïntensiveerd toezicht van de Autoriteit Persoonsgegevens (AP). Inmiddels constateert de AP progressie op verschillende indicatoren. De gemeente stelde namelijk een datalekkenprotocol vast, werkte aan het beter borgen van de rol en positie van de FG, en er wordt gewerkt aan vrijwel alle indicatoren. Door deze ontwikkelingen groeit de gemeente van volwassenheidsniveau 2,4 in het najaar van 2023, naar een 2,7 in het voorjaar van 2024 (op basis van de CIP selfassessment).
 
Als de gemeente Eindhoven deze lijn van progressie en ontwikkelingen weet door te zetten, en de door haar gestelde doelen weet te bereiken, dan zal de AP het geïntensiveerd toezicht per 1 maart 2025 beëindigen. De gemeente zal uiterlijk 15 januari 2025 de volgende rapportage bij de AP moeten aanleveren.

Privacytrends en -ontwikkelingen overheid in kaart gebracht

De overheid worstelt nog altijd om volledig te voldoen aan alle privacyregels. Er zijn wel stappen gezet om de AVG beter na te leven, maar dit is nog niet genoeg. Bescherming van persoonsgegevens is een grondrecht. Toch ziet de Autoriteit Persoonsgegevens (AP) dat er bijvoorbeeld gemeenten zijn die dit grondrecht te makkelijk terzijde schuiven in de strijd tegen (georganiseerde) criminaliteit.

Verder gaat de AP er onder meer op in dat nog veel winst is te behalen wat betreft kennis van privacywet- en regelgeving, vooral bij bestuurders. Ook constateert de AP overheidsorganisaties soms bewust over de grenzen van de wet. In andere gevallen kunnen bestuurders zich juist te veel geremd voelen omdat zij de AVG onterecht als een belemmering zien.

Tot slot bespreekt de AP de ontwikkeling van de positie van de FG, die in sommige gevallen onder druk staat. Gebrek aan capaciteit/geld of het niet tijdig of volledig betrekken van de FG kan diens functioneren in de weg staan. Wordt de FG wel betrokken, dan volgt de overheid hun adviezen soms niet op zonder dat hier een gedegen motivatie onder ligt.

Vragen?

Mocht je naar aanleiding van dit nieuwsbericht nog een vraag hebben, stel deze dan door te mailen naar info@lumengroup.nl of te bellen naar 030 – 889 65 75. Wij helpen je graag verder.

Mijn naam is Bart Scheffers, van origine een Brabantse Bedrijfskundige maar sinds midden jaren 90 woonachtig in Utrecht. Vanuit kwaliteitsmanagement, procesanalyse en -ontwerp ben ik sinds 2018 fulltime werkzaam als zelfstandig privacy consultant. Mijn missie is om privacy op een werkbare wijze te borgen in de processen van een organisatie, zodat deze tijdens het werk onbewust de privacy van betrokkenen respecteert. Ik ben van nature breed geïnteresseerd, misschien zelfs een tikkie nieuwsgierig hoe organisaties functioneren, hoe processen en systemen zijn ingericht en vooral hoe mensen met elkaar samenwerken. Zo wordt privacy toch weer een bedrijfskundig verhaal.

Ik heb in diverse organisaties gewerkt als privacy consultant en Privacy Officer (PO), met name binnen de rijksoverheid en financiële instellingen. Daarnaast ook voor gemeentes en onderwijsinstellingen. Al deze ervaring zet ik graag in als Functionaris Gegevensbescherming (FG) voor relaties van de Lumen Group. Ik heb gemerkt dat mijn diverse kennis en praktijkervaring hen echt verder kan helpen. Mijn insteek is om met hen te zoeken naar effectieve en pragmatische oplossingen voor knelpunten in het privacy-werkveld. Ik vind het erg mooi om te zien dat relaties in eerste instantie schrikken van het woord DPIA maar als ik hen help door met hen het proces te schetsen, worden bijna als vanzelf de onderliggende privacy risico’s zichtbaar en liggen de maatregelen voor het oprapen. Zo hebben we in een korte tijd met veel plezier een goed resultaat neergezet, iets waar ik trots op ben!

Nu wordt het echt interessant, mijn privéleven! Ik ben nog net geboren in 1968, woonachtig in Vleuten en hertrouwd. Ik heb drie zonen, een stiefzoon en stiefdochter. Soms is het full house als iedereen er is, op andere momenten zijn we heerlijk met z’n tweetjes, ook fijn. In mijn vrije tijd leer ik tennissen en gitaar spelen en zing ik in popkoor N♬tgeval (Nootgeval), waar ik in 2024 ook aan het bestuur ben toegevoegd. Verder geniet ik graag van cultuur en natuur om de hoek, in Utrecht of Nederland. Ook bezoek ik al rondtrekkend graag authentieke plaatsen elders in de wereld, zoals Turkije, Egypte, Maleisië, Australië, Vancouver Island en Madagaskar. Ik ben ook graag actief bezig; Ooit heb ik de fietstocht gereden naar Santiago de Compostella, in 2023 heb ik met een vriend rondom de Mont Blanc gewandeld. Van een andere orde was ook in 2023 de Garbage Run, een mooi avontuur om met 350 barrels van Luxemburg naar Portugal te rijden. Ik kan echt genieten van cabaret en haal te pas en onpas diverse passages graag aan!

Ik vind het belangrijk om bewust te leven en er ook van te genieten. In het werk vind ik het ook belangrijk dat we op een leuke manier met elkaar samenwerken en een goed resultaat neer zetten. Het hoeft niet in één keer goed te zijn, soms is een eerste kleine stap in de goede richting al een hele prestatie! 

Achtergrond en Interesses
Ik ben 53 jaar oud en kom uit Eelderwolde, een klein dorpje onder de rook van Groningen. Ik ben geboren in Amersfoort, opgegroeid in Assen, heb gestudeerd in Groningen en ben daarna in het noorden van het land blijven hangen. Met een financiële achtergrond heb ik ruim 23 jaar gewerkt in de incasso- en deurwaardersbranche. In mijn laatste functie was ik verantwoordelijk voor risk & compliance en was ik functionaris gegevensbescherming (FG), toen nog onder de Wet bescherming persoonsgegevens. In 2018 ben ik als zzp’er gestart en bedien ik diverse organisaties als FG.

Ik ben getrouwd en heb vier zonen, waarvan er nog twee thuis wonen. Ik heb een passie voor koken, waarbij de Indische keuken mijn favoriet is.

Huidige Functie bij Lumen Group
Ik werk als senior privacy consultant en houd me bezig met het adviseren van klanten op het gebied van de Algemene Verordening Gegevensbescherming (AVG) en alles wat daarmee samenhangt.

Ontwikkelingsdoelen bij Lumen
Als zzp’er werk ik solistisch en deel ik mijn kennis en ervaring met mijn opdrachtgevers. Bij Lumen werken we met een team van privacy professionals die allemaal een andere achtergrond hebben. We zijn niet alleen elkaars back-up, maar leren ook veel van elkaar. Dit draagt bij aan een optimale dienstverlening aan onze klanten en aan onze eigen ontwikkeling. Daarnaast is privacy een prachtig vakgebied dat volop in beweging is, waardoor we de taak hebben om onze kennis up-to-date te houden en mee te bewegen met de ontwikkelingen

Gewenste Superkracht op de Werkvloer
Ach ja, superkracht, daar geloof ik niet zo in. Als we allemaal gewoon onszelf (kunnen) zijn, behulpzaam en respectvol, dan is dat voor mij waardevoller dan een superkracht.

Favoriete Boek/Film/TV-serie
Mijn favoriete film is Mississippi Burning, die ik heel indrukwekkend vind. Daarnaast vind ik Crimson Tide een goede film en ben ik ook wel fan van Hunted.

Het Hof van Justitie van de Europese Unie (hierna: het Hof) heeft 5 december jl. in een persverklaring gesteld dat een boete alleen opgelegd kan worden wanneer de verwerkingsverantwoordelijke op de hoogte is van de onrechtmatige aard van zijn of haar handelen waarbij het zowel kan gaan om opzettelijk handelen als nalaten.[1] Echter, voor overheidsorganisaties en natuurlijke personen die niet namens een bedrijf handelen weegt de Autoriteit Persoonsgegevens (hierna: AP) deze factoren op dit moment enkel mee bij het bepalen van een verhoging of verlaging van de basisboete (dus achteraf),[2] en niet vooraf om te bepalen of de boete überhaupt opgelegd mag worden.[3]

In sommige gevallen komt de toetsing op de opzettelijke of nalatige aard van de inbreuk zelfs helemaal niet aan bod. Bijvoorbeeld in het geval van de boete van 2 november jl., waarbij de AP een boete van €30.000 oplegde aan de gemeente Voorschoten vanwege het te lang bewaren van ‘stortgegevens’ van huishoudens en het gebrekkig informeren van de betrokkenen over deze verwerking van persoonsgegevens.[4] De gemeente Voorschoten verwijst in haar zienswijze naar een eerder besluit, waarbij de AP in een volgens de gemeente vergelijkbare zaak geen boete oplegt aan de gemeente Arnhem.[5] De AP oordeelt over de vergelijking met het eerdere besluit het volgende:

“Onder het oude regime kon voor de door het Arnhemse college overtreden bepalingen geen boete worden opgelegd zonder dat eerst een bindende aanwijzing was gegeven. Dat uitgangspunt leed slechts uitzondering indien de overtreding opzettelijk was gepleegd of het gevolg was van ernstig verwijtbare nalatigheid. Aan het Arnhemse college was niet eerder een bindende aanwijzing gegeven en evenmin was sprake van opzet of ernstige nalatigheid. Alleen al om die reden kon in die zaak geen boete worden opgelegd. Door het van toepassing worden van de AVG op 25 mei 2018 kunnen de in dit besluit geconstateerde overtredingen wél direct worden beboet.”[6]

Hiermee impliceert de AP dus géén toets vooraf van de opzettelijke of ernstig nalatige aard van de inbreuk voor het opleggen van een boete.[7] Vervolgens gaat de AP ook bij de afweging of de basisboete omhoog of omlaag moet worden bijgesteld, voorbij aan de toetsing van de opzettelijke of nalatige aard van de inbreuk.[8] Hierdoor lijkt het huidige boetebeleid van de AP tegenstrijdig te zijn met de nieuwe uitleg van het Hof over de toets vóóraf. Zullen boetes voortaan wél onder voorwaarde van opzet of nalatigheid plaatsvinden?

[1] Judgments of the Court in Cases C-683/21 | Nacionalinis visuomenės sveikatos centras and C-807/21 | Deutsche Wohnen.

[2] Artikel 7 en 8 (b) Boetebeleidsregels Autoriteit Persoonsgegevens 2023.

[3] Zoals artikel 83 lid 2(b) AVG wel voorschrijft.

[4] Boetebesluit Autoriteit Persoonsgegevens 2 november 2023, §4.5.

[5] Boetebesluit Autoriteit Persoonsgegevens 2 november 2023, §4.1.

[6] Boetebesluit Autoriteit Persoonsgegevens 2 november 2023, §4.3. Gemeente Voorschoten stelt: “Ook daar ging het om het te lang bewaren van persoonsgegevens in het kader van de uitvoering van het afvalbeleid. In die zaak heeft de AP een last onder dwangsom opgelegd om de overtreding te beëindigen.”

[7] Met de passage “Alleen al om die reden” suggereert de AP dat er nog meer redenen zouden zijn, maar deze worden inhoudelijk niet aangedragen. Bovendien concludeert de AP vervolgens dat zij geen aanleiding ziet om nu van een boete af te zien, in de enkele omstandigheid dat in het verleden geen bestuurlijke boete kon worden opgelegd vanwege het toen geldende boeteregime.

[8] Boetebesluit Autoriteit Persoonsgegevens 2 november 2023, §4.5.

Welke persoonsgegevens zet je wel en juist niet in het leerlingdossier en hoe ga je zorgvuldig om met deze informatie, in lijn met de Algemene verordening Gegevensbescherming (AVG)?

Om de leerlingen onderwijs en begeleiding te geven, komen de meeste gegevens in het leerlingdossier in een LAS/LVS-systeem terecht, of in sommige gevallen nog in een papieren dossier. Het leerlingdossier is voor de onderwijsinstellingen enerzijds noodzakelijk om informatie over de onderwijskundige voortgang en administratieve zaken van een leerling in bij te houden en om aan de informatieplicht[1] richting ouders te voldoen. Aan de andere kant ligt overmatige vastlegging van gegevens op de loer, met mogelijk nadelige gevolgen voor de betrokken leerlingen, omdat gevoelige informatie over een leerling een stigmatiserende werking kan hebben. Dat risico speelt met name wanneer gegevens lekken en door onbevoegden worden ingezien. Daarnaast kan er ook een verkeerd beeld van een leerling worden geschetst als de gegevens niet accuraat, actueel of objectief zijn.[2] 

Daarom is het van belang dat scholen goed in beeld hebben welke informatie wel bestemd is voor het leerlingdossier, maar ook waarvoor het leerlingdossier juist níet is bedoeld en hoe hier zorgvuldig mee om te gaan. Lumen Group geeft hiervoor een aantal tips: 

Categorieën persoonsgegevens

Houd rekening met de door de Autoriteit Persoonsgegevens (AP) opgesomde categorieën van persoonsgegevens die het leerlingdossier kan bevatten. Let op: de AP wijst daarnaast op de mogelijke verplichting tot het uitvoeren van een DPIA, wanneer in het leerlingdossier gegevens met een hoog privacyrisico worden verwerkt.[3]

Relevantie

Weeg altijd af of informatie relevant is in het kader van de ontwikkeling van de leerling, dan wel administratief noodzakelijk of wettelijk verplicht is om vast te leggen.[4] Als de informatie geen van deze doelen dient, hoort het niet thuis in het leerlingdossier.

Objectiviteit

Het leerlingdossier is geen plek voor meningen over de leerling. Voorkom daarom subjectiviteit en houd het bij de feiten, bijvoorbeeld bij vastlegging van een incident op het schoolplein.[5]

Actualiteit

Sta periodiek stil bij de actualiteit van de gegevens in het leerlingdossier. Informatie die in het verleden is opgenomen kan verouderd zijn, waardoor het zijn actuele waarde verliest of zelfs feitelijk niet meer correct is. Houd tot slot de wettelijke bewaartermijn in het vizier; het uitgangspunt is dat je een dossier 2 jaar mag bewaren nadat de leerling van school is gegaan.[6]

Meer weten over de AVG aspecten van het leerlingdossier? Neem dan vrijblijvend contact op met een van onze collega’s! Dit kan per e-mail op fg@lumengroup.nl of telefonisch op 030 – 889 65 75.

 

[1] Op basis van artikel 2.97 Wet voortgezet onderwijs 2020.

[2] Naast de informatieplicht van de school, hebben ouders en leerlingen vanaf 16 jaar een aantal rechten vanuit hun rol als betrokkenen. Zo hebben zij onder andere recht op inzage (artikel 15 AVG) en recht op rectificatie en aanvulling (artikel 16 AVG)  van het leerlingdossier.

[3] SIVON voerde al verschillende generieke DPIA’s uit op de meest voorkomende LAS/LVS systemen. Deze moeten scholen wel nog naar hun eigen specifieke situatie beschrijven en aanvullen. De generieke DPIA’s van SIVON zijn hier te vinden.

[4] Bijvoorbeeld op basis van artikel 8 Wet register onderwijsdeelnemers, artikel 8.10 Wet voortgezet onderwijs 2020 en artikel 40b Wet op het primair onderwijs.

[5] Wanneer informatie over gevoelige situaties of gebeurtenissen worden vastgelegd, is het raadzaam om ouders/verzorgers en/of de leerling hiervan op de hoogte te stellen en eventueel in gesprek te gaan over de inhoud.

[6] Zoals bepaald door de AP.