Compliance & Handhaving Podcast #4: Privacy

Op 12 mei 2022 heeft de European Data Protection Board (EDPB), het samenwerkingsverband van de Europese privacytoezichthouders, een nieuw beleid gepubliceerd voor het berekenen van boetes na overtreding van de Algemene verordening gegevensbescherming (AVG): de fining guidelines. Wanneer deze nieuwe boetebeleidregels, die nu nog een concept zijn, worden aangenomen, zal dit een behoorlijke impact hebben op de manier waarop de Autoriteit Persoonsgegevens (AP) voortaan boetes aan bedrijven kan gaan uitdelen. Belanghebbenden kunnen tot 27 juni 2022 reageren op het concept (zie hier). Daarna komt de EDPB met de definitieve versie.

Vrijwel elke organisatie krijgt wel een keer te maken met een datalek, dat gemeld moet worden bij de AP. De ervaring leert dat het melden van een datalek aan de AP geen eenvoudige opgave is, terwijl organisaties op dat moment veel druk ervaren en het liefst alle aandacht hebben bij het oplossen van het datalek en beperken van de schade.

Host Cees Jan de Boer spreekt met Nick Suurmond over de Wet toetreding zorgaanbieders ofwel de Wtza.

Nederland moet snel werk maken van een sterkere privacywaakhond, zo stellen Van Doorne privacyspecialisten Elisabeth Thole en Özer Zivali in een interview met het FD. "Dat is in het belang van het Nederlandse vestigingsklimaat, omdat een zwakke toezichthouder bedrijven in de problemen kan brengen."

Last update: 16 June 2021 Following the GDPR becoming applicable in May 2018 and the Court of Justice of the EU's ruling in Schrems II in July 2020, the long awaited new Standard Contractual Clauses (New SCCs) have finally been published. These New SCCs will come into effect on 27 June 2021. The prior SCCs were designed before the GDPR saw the light and, although they were upheld in the Schrems II case, the prior SCCs lacked in reliability and practicability. The New SCCs allow for more types of transfers of personal data using a modular approach, instead of the more rigid and limited scope of the prior SCCs.

In “Privacy & Informatie” geven Özer Zivali en Elisabeth Thole hun kijk op de impact van de historische Schrems II uitspraak. Hoewel de uitspraak te verwachten was, zijn de gevolgen voor de praktijk ingrijpend. 

Doordat het Verenigd Koninkrijk (Engeland, Schotland, Wales en Noord-Ierland) de EU heeft verlaten en de transitieperiode ook is verlopen, is het vanuit Europees perspectief een 'derde land' geworden. Op 24 december 2020 is de Brexit-deal gesloten. Maar organisaties die persoonsgegevens willen (blijven) doorgeven naar of verwerken in het VK, zullen zelf snel diverse privacy acties moeten ondernemen, in ieder geval uiterlijk vóór 1 mei 2021 (of 1 juli 2021).  

Op 30 oktober 2020 heeft ICO, de Britse privacy toezichthouder, aangekondigd aan Marriott International Inc. een boete op te zullen leggen van 18,4 miljoen pond voor een datalek dat wereldwijd 339 miljoen gegevens van hotelgasten trof. Het datalek ontstond in 2014 als gevolg van een cyberaanval op Starwood Hotels and Resorts Worldwide Inc., dat Marriott in 2016 overnam. Het datalek bleef tot eind 2018 onopgemerkt.