Elisabeth Thole in FD over privacy en 'slimme' horloges

Update 24 maart Om de verspreiding van het corona virus (COVID-19) tegen te gaan, zijn veel mensen op last van de veiligheidsregio's en hun werkgever met name sinds medio maart thuis gaan werken. Hierdoor is werk en privé steeds meer door elkaar heen gaan lopen. Ook onder deze bijzondere omstandigheden zullen werkgevers zich aan de privacyregels moeten houden, zo benadrukken de privacy toezichthouders. Dit geldt evenzeer wat betreft de werknemers die nog naar hun werk gaan, zoals die werkzaam zijn in de aangemerkte vitale sectoren, maar ook wat betreft de bezoekers en klanten van nog geopende (vitale aangemerkte) instellingen en bedrijven.

Op 30 oktober 2020 heeft ICO, de Britse privacy toezichthouder, aangekondigd aan Marriott International Inc. een boete op te zullen leggen van 18,4 miljoen pond voor een datalek dat wereldwijd 339 miljoen gegevens van hotelgasten trof. Het datalek ontstond in 2014 als gevolg van een cyberaanval op Starwood Hotels and Resorts Worldwide Inc., dat Marriott in 2016 overnam. Het datalek bleef tot eind 2018 onopgemerkt.

Steeds meer bedrijven en overheidsinstanties maken gebruik van camera’s met gezichtsherkenning. Deze organisaties blijken echter veelal niet goed op de hoogte te zijn van de regelgeving omtrent gezichtsherkenning, aldus de Autoriteit Persoonsgegevens. Gezichtsherkenning is in beginsel verboden, tenzij er sprake is van een uitzonderingssituatie. Om ongeoorloofd gebruik te voorkomen, gaat de Autoriteit Persoonsgegevens gerichte voorlichting geven aan de grootste afnemers van gezichtsherkenningscamera’s: bedrijven in de detailhandel, beveiliging, sport & entertainment en vervoer, evenals gemeenten. 

Steeds luider is de roep om een ‘algoritmewaakhond’, zoals ook Amnesty International bepleit in een opiniestuk in NRC (14/10). Hoewel dit een begrijpelijke reactie is, lijkt het verwijt meer gericht te zijn tot de Autoriteit Persoonsgegevens, die schijnbaar vertrouwen verliest door gebrek aan daadkracht. Nog een toezichthouder erbij is echter niet de oplossing, maar creëert juist nieuwe problemen.

Host Pim Jansen gaat met Özer Zivali, gespecialiseerd in privacy & data regulering, data technologie en (cyber) security, in op datalekken: hoe houd je hier rekening mee, hoe ga je om met toezichthouders en wat kan er in de praktijk fout gaan met een datalek?

Eind dit jaar moet bij tenminste 80% van de Nederlandse huishoudens de oude energiemeters vervangen zijn door slimme meters. Dankzij de slimme meter kan ons energienet efficiënter worden gebruikt. Nu alle aandacht naar de coronacrisis gaat, vindt de slimme meter momenteel sluipenderwijs zijn weg naar vele huishoudens, zonder dat er veel vragen gesteld lijken te worden. Privacy partner Elisabeth Thole schreef hierover het Redactioneel in het Tijdschrift voor Internetrecht.

Pas onlangs is bekend geworden dat de Autoriteit Persoonsgegevens (AP) vorig jaar aan Bureau Kredietregistratie (BKR) een recordboete heeft opgelegd wegens schending van de AVG. Inzet van het boetebesluit van de AP was de wijze waarop BKR omgaat met het inzagerecht van betrokkenen. Hoewel BKR haar procedure tussentijds nog aangepast had, vond de AP de werkwijze van BKR onder de maat. Daarop heeft BKR nog geprobeerd de publicatie van het boetebesluit in rechte tegen te houden, maar dat is haar ook niet gelukt. In een persbericht op haar website zegt BKR vraagtekens te hebben bij het boetebesluit van de AP. Hoewel de zaak toegesneden is op BKR, is het boetebesluit zeker ook relevant voor andere organisaties, die eveneens worstelen met veelvuldige inzageverzoeken, of om andere redenen (potentieel) voorwerp van onderzoek van de AP zijn.

De Autoriteit Persoonsgegevens (AP) heeft op 30 april 2020 het voor Nederland hoogste boetebesluit tot nu toe gepubliceerd. Ten onrechte had de organisatie in kwestie haar werknemers verzocht om vingerafdrukscans te maken bij hun aankomst en vertrek en daarom is een boete opgelegd van €725.000. Omdat de werkgever zich niet kon beroepen op een wettelijke uitzondering uit de AVG die het verwerken van de bijzondere persoonsgegevens toestaat, besloot de AP de boete op te leggen. Bijzonder aan dit boetebesluit is wel dat de organisatie in rechte heeft weten af te dwingen dat het boetebesluit geanonimiseerd is gepubliceerd.