Cloud & Privacy. B2B Clouddiensten. Robert Boekhorst Amsterdam 27 juni 2013

Maat: px

Weergave met pagina beginnen:

Download "Cloud & Privacy. B2B Clouddiensten. Robert Boekhorst Amsterdam 27 juni 2013"

Maurits van Loon
8 jaren geleden
Aantal bezoeken:

1 Cloud & Privacy B2B Clouddiensten Robert Boekhorst Amsterdam 27 juni 2013

2 Inleiding Privacyrecht: in vogelvlucht Knelpunten Hoe hier mee om te gaan? toekomstige ontwikkelingen

3 Privacyrecht in vogelvlucht Baker & Mckenzie Amsterdam N.V.

4 Bronnen en kernbegrippen EU: Privacy Richtlijn NL: Wet Bescherming Persoonsgegevens Ziet op het verwerken van persoonsgegevens Verantwoordelijke Bewerker

5 Kernverplichtingen Doelbinding Rechtmatigheid Proportionaliteit en subsidiariteit Transparantie Rechten van betrokkenen (bijv. informatieverstrekking) Slechts doorgifte naar een land buiten de EU als dat land een passend beschermingsniveau waarborgt en.

informatieverstrekking) Slechts doorgifte naar een land buiten

6 Beveiliging (i): TOMs, Risicoanalyse Alleen verwerken in opdracht & geheimhouding Een ieder die handelt onder het gezag van de verantwoordelijke of van de bewerker, alsmede de bewerker zelf, (.) verwerkt deze slechts in opdracht van de verantwoordelijke, behoudens afwijkende wettelijke verplichtingen. TOMs De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Risicoanalyse Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico's die de verwerking en de aard van te beschermen gegevens met zich meebrengen.

TOMs De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige

7 Beveiliging (ii): uitbesteding Zorgvuldige selectie bewerker Indien de verantwoordelijke persoonsgegevens te zijnen behoeve laat verwerken door een bewerker, draagt hij zorg dat deze voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen met betrekking tot de te verrichten verwerkingen. Toezicht naleving De verantwoordelijke ziet toe op de naleving van die maatregelen. Sluiten bewerkersovereenkomst Met het oog op het bewaren van het bewijs worden de onderdelen van de overeenkomst of de rechtshandeling die betrekking hebben op de bescherming van persoonsgegevens, alsmede de beveiligingsmaatregelen ( ) schriftelijk of in een andere, gelijkwaardige vorm vastgelegd.

Toezicht naleving De verantwoordelijke ziet toe op de naleving van die maatregelen.

8 Privacyrecht en de Cloud: wat zijn de knelpunten? Baker & Mckenzie Amsterdam N.V.

9 Privacyrecht en clouddiensten: Knelpunten Uitgangspunt: alle wettelijke verplichtingen gelden onverkort Knelpunten: Bewerkersovereenkomst vs cloudcontract Transparantie vs gebrek aan transparantie Hoe zekerheid te verkrijgen en te houden over TOMs Naleving door bewerker: audit of TP mededeling? Subcontracting Opdracht verantwoordelijke Geheimhouding Internationale doorgifte van gegevens EU diversiteit nationale implemenatie 2013 Baker & McKenzie Amsterdam N.V.

houden over TOMs Naleving door bewerker: audit of TP mededeling?

10 Nader beschouwd Hoe zekerheid te verkrijgen en te houden over TOMs transparantie over toegepaste TOMs kijk goed naar waar de norm betrekking op heeft: ISO dus goed? Standaardisatie specifiek voor cloud is in ontwikkeling, maar in kinderschoenen en een ware wildgroei Naleving door bewerker Audit of TP mededeling: audit door cloudklant uitzonderlijk Inzage in audit rapport: wat is er geaudit, hoe vaak? ISAE 3402 dus goed? Meldplicht datalekken Wijzigingen

Standaardisatie specifiek voor cloud is in ontwikkeling, maar in kinderschoenen en een ware wildgroei Naleving door

11 Nader beschouwd Sub-contracting. Uitgangspunt: niet zonder voorafgaande instemming verantwoordelijke doorzetten TOMs wijziging subcontractor Geheimhouding Einde verwerking: portabiliteit, verwijderen data Waar wordt data verwerkt? 2013 Baker & McKenzie Amsterdam N.V.

verantwoordelijke doorzetten TOMs wijziging subcontractor

12 Doorgifte Buiten de EU/EEA Cloudprovider dient een passend beschermingsniveau te bieden VS EU Model Contracts OF SAFE HARBOR EU VS Clouddienst GEEN PASSEND BESCHERMINGS- NIVEAU PASSEND BESCHERMINGSNIVEAU Landen op Witte Lijst EU Cloudklant PASSEND BESCHERMINGS- NIVEAU

EU VS Clouddienst GEEN PASSEND BESCHERMINGS- NIVEAU PASSEND

13 Contractueel raamwerk implementatie cloud

14 Breder EU Perspectief Verenigd Koninkrijk Frankrijk Duitsland Spanje Italië Doorgifte buiten EEA mogelijk indien aan wetgeving en EU Model Contracts wordt voldaan? Notificatie bij toezichthouder verplicht? audit wettelijk verplicht? Is auditing op locatie verplicht? Third party mededeling mogelijk? ja ja ja ja ja nee ja ja nee nee nee ja ja ja ja nee ja nee nee nee ja ja ja ja ja

Notificatie bij toezichthouder verplicht? audit wettelijk verplicht?

15 Hoe mee om te gaan in de praktijk? Zorgvuldige voorbereiding (pre RFI/RFP fase) Inventarisatie toepasselijk recht en regelgeving (breder dan Wbp alleen) Data mapping Wat voor soort? Hoeveel? Voer een risicoanalyse uit: welk beschermingsniveau? RFI/RFP Eis transparantie Komen de cloudvoorwaarden tegemoet aan de eisen bewerkersovereenkomst? Wat zijn de TOMs zijn deze passend, geaudit? Onderhandeling mogelijk? 2013 Baker & Mckenzie Amsterdam N.V.

alleen) Data mapping Wat voor soort? Hoeveel? Voer een risicoanalyse uit: welk beschermingsniveau?

16 Verwachting (i) Internationale standaardisatie Certificering EU Privacy Verordening oa: versterking positie verantwoordelijke aansprakelijkheid bewerkers Boetes voor bewerkers Verplichting tot medewerking aan verantwoordelijke BCRs voor bewerkers

verantwoordelijke aansprakelijkheid bewerkers Boetes voor

17 Verwachting (ii): Private Cloud Alles kan! Hybride Cloud / B2B high-end Cloud Commodity services Gestandaardiseerde aanbiedingen Gebruik van certificaten voor naleving Public Cloud Diensten die qua kwaliteit en privacy compliance onverschillig zijn

Gestandaardiseerde aanbiedingen Gebruik van certificaten voor

18 Download onze Global Privacy App! Robert Boekhorst +31 (0) Baker & McKenzie International is a Swiss Verein with member law firms around the world. In accordance with the common terminology used in professional service organizations, reference to a partner means a person who is a partner, or equivalent, in such a law firm. Similarly, reference to an office means an office of any such law firm.

In accordance with the common terminology used in professional service organizations, reference to a partner

Vergelijkbare documenten

Een vergelijking van R&D-regimes in Europa. Maarten Hoelen (Baker & McKenzie) Migchel Migchelsen (Belastingdienst)

Een vergelijking van R&D-regimes in Europa Maarten Hoelen (Baker & McKenzie) Migchel Migchelsen (Belastingdienst) Agenda 2012 Baker & McKenzie Amsterdam N.V. Introductie aanwezigen Vergelijking mechanisme