TECHNIEK  
New Security Magazine 145 – februari 2018

De nieuwe privacywet in de beveiligingspraktijk

Persoonsgegevens van klanten of andere relaties kunnen in verkeerde handen vallen. Dat is op zich al heel vervelend. Vooral als het gevoelige informatie betreft, zoals dossiers van een detectivebureau of de gebruikersdatabase van een beveiligingsinstallatie. Binnenkort wordt de kans ook nog een stuk groter dat zo’n datalek gaat leiden tot zeer hoge boetes. Daarvoor gaan de Europese autoriteiten de Algemene Verordening Gegevensbescherming (AVG) hanteren. Wat betekent dit voor de beveiligingspraktijk?

Laten wij eerst een paar hardnekkige misverstanden uit de wereld helpen. Op de eerste plaats is 25 mei 2018 niet de datum waarop de AVG in werking treedt. Dat is namelijk al in 2016 gebeurd. Alleen werd toen bepaald dat organisaties twee jaar de tijd zouden krijgen om zich op de nieuwe situatie voor te bereiden. Die overgangstermijn eindigt op 25 mei. Vanaf die datum is er ook de mogelijkheid dat het verlies van persoonsgegevens wordt bestraft met boetes die kunnen oplopen tot 20 miljoen euro of 4 procent van de wereldwijde omzet.

Belangrijke uitzondering

Er wordt wel beweerd dat de AVG alleen bedoeld is voor grote bedrijven, zoals Google en Yahoo. De wet geldt echter voor elke organisatie die persoonsgegevens beheert. Alleen hoeft een bedrijf met minder dan 250 werknemers niet altijd een zogenoemde Data Protection Officer (DPO) aan te stellen en hoeft het geen register bij te houden van de persoonsgegevens die worden beheerd. Hier gelden echter belangrijke uitzonderingen. Als de gegevens erg privacygevoelig zijn, wat middels een Privacy Impact Assessment dient te worden vastgesteld, is zo’n register wel verplicht. Het kan dan gaan om medische of strafrechtelijke gegevens, maar ook over gegevens die bij misbruik iemands veiligheid kunnen aantasten. Denk maar aan een beveiligingsplan of aan camerabeelden. Ook zijn een onafhankelijke Data Protection Officer en een register verplicht als het bewerken van persoonsgegevens stelselmatig of op basis van observaties gebeurt, wat bij veel beveiligingsbedrijven het geval zal zijn. Kleinere organisaties mogen een Functionaris Gegevensbescherming DPO ook inhuren.

Een derde misverstand is dat de nieuwe wetgeving alleen digitale gegevens betreft, die bijvoorbeeld door een hacker worden gestolen. Namelijk ook het verlies van een ordner met klantengegevens geldt als een datalek, net als het mondeling doorsluizen van gegevens door een kwaadwillende of onzorgvuldige medewerker.

Verder is het niet verstandig om de AVG als ‘soft law’ te beschouwen. Privacy-organisaties worden vaak gezien als tandeloze tijgers, die wel dreigen, maar nooit straffen opleggen. Dit vooroordeel is niet terecht en zal dat vanaf 25 mei 2018 al helemaal niet meer zijn. De reden is dat overheden de bescherming van de burgers tegen misbruik van ‘Big Data’ belangrijker zijn gaan vinden dan ooit. Wie nog niet bezig is geweest met de AVG of denkt dat het zo’n vaart niet zal lopen, kan zich beter nog even verdiepen in de mogelijke consequenties.

Heel belangrijk

Honderd procent veilig bestaat niet. Daarom zal niet zomaar een boete worden opgelegd. Om dat laatste te vermijden is het heel belangrijk dat persoonsgegevens aantoonbaar goed beveiligd worden en dat zorgvuldig beheerd wordt wie intern toegang heeft tot persoonsgegevens. Het gaat hierbij overigens niet alleen om namen van personen. Elk gegeven dat herleidbaar is tot een identiteit, geldt voor de wet als persoonsgegeven. Dat kan dus ook een nummerplaat, een bankrekeningnummer of een IP-adres zijn. Als het ondanks goede beveiliging fout gaat, blijft het veelal bij een waarschuwing of berisping. Ook kan gevorderd worden dat de gegevensverwerking wordt gestopt. Boetes vormen het laatste redmiddel voor de autoriteiten om de gegevensverwerker tot de orde te roepen.

Mochten ondanks de goede beveiliging toch persoonsgegevens in verkeerde handen terechtkomen, dan dient dit direct gedetecteerd te worden en binnen 72 uur te worden gemeld bij de Commissie voor de bescherming van de persoonlijke levenssfeer. Ook dienen zo snel mogelijk de betrokken personen geïnformeerd te worden, als het lekken van de gegevens voor hen risico’s met zich meebrengt. Deze kunnen dan maatregelen treffen om misbruik van hun persoonsgegevens tegen te gaan, zoals het veranderen van hun wachtwoorden of het blokkeren van hun kredietkaart. Als op deze wijze al het redelijke is gedaan om verlies van persoonsgegevens te voorkomen en de beheerder dat kan bewijzen, is de kans groot dat geen boete wordt opgelegd. Wie het lek liever geheim houdt voor de buitenwereld, bijvoorbeeld om imagoschade te voorkomen, kan bij ontdekking rekenen op de zwaarste sancties. Bovendien wordt geriskeerd dat anderen, zoals klanten, nadeel ondervinden. Er is weinig dat slechter is voor het imago dan dat.

Verplichtingen en verboden

De AVG verplicht dus relaties te informeren als hun persoonsgegevens zijn gelekt. Daarnaast hebben die relaties het recht om te weten wat over hen geregistreerd is. Ook dat is een aandachtspunt voor de beveiligingsondernemer. Stel dat iemand naast de deur van een woning een sticker aantreft van XYZ Beveiliging en op het naambordje ziet dat de familie Peeters daar woont. Hij zou zich dan kunnen voordoen als de heer Peeters om bij XYZ Beveiliging te informeren naar wat daar over hem staat geregistreerd. Het is zaak om voorbereid te zijn op deze vorm van misbruik van de AVG. Spreek vooraf met relaties af op welke wijze zij hun privacy-rechten kunnen uitoefenen.

Een andere nieuwe verplichting is dataportabiliteit. Dit houdt in dat als een klant naar een andere leverancier wil overstappen, het mogelijk moet zijn dat de over hem opgeslagen persoonsgegevens meeverhuizen. Mensen hebben onder het regiem van de AVG ook recht op verbetering en vergetelheid. Zij hebben sowieso al recht op inzage in over hen opgeslagen persoonsgegevens, maar mogen ook verlangen dat de beheerder deze verandert of vernietigt. Ook hier is het weer van groot belang dat er absolute zekerheid bestaat over de identiteit van de aanvrager. Verder gelden het principe van dataminimalisatie en het recht op bezwaar. Het eerste heeft betrekking op gegevens die niet relevant zijn voor het doel. Zo is het voor het bestellen van een product in de regel niet nodig dat de leverancier informatie heeft over het geloof en de politieke overtuiging van de klant. Iemand kan zich verder verzetten tegen een bepaalde gegevensverwerking door een bedrijf, bijvoorbeeld omdat het delen van de data niet relevant gevonden wordt voor de geboden service, of omdat iemand niet ‘geprofileerd’ wil worden.

Vooraf informeren

Het is van belang om mensen vooraf te informeren dat persoonsgegevens van hen geregistreerd gaan worden, zodat er keuze bestaat. Dit gebeurt meestal door middel van een privacy statement. Onder de AVG dient zo’n privacy statement begrijpelijk te zijn. De wetgever wil hiermee een einde maken aan de situatie dat de burger zich door veertig pagina’s juridische tekst moet worstelen, om er achter te komen waarmee hij akkoord gaat. Er mogen bovendien niet meer gegevens worden vastgelegd dan voor het doel noodzakelijk is. De gegevens mogen ook niet langer worden bewaard dan noodzakelijk. De Data Protection Officer dient te controleren hoe met persoonsgegevens wordt omgegaan.

Steeds vaker wordt met externe dienstverleners samengewerkt voor het beheer van persoonsgegevens. Denk aan administratieve software in de cloud met personeels- en klantengegevens of aan een database met persoonsgegevens op de website die extern gehost wordt. In die gevallen is het belangrijk om een zogenoemde verwerkingsovereenkomst te sluiten met de externe partij, waarin deze verklaart aantoonbaar zorgvuldig met de betreffende persoonsgegevens om te zullen gaan.

Speciale aandacht krijgen gegevens over onder andere gezondheid, etniciteit, seksualiteit en geloofsovertuiging. Dat kan ook een camerabeeld zijn van een vrouw met een hoofddoek of van mensen die in een politieke protestmars meelopen. Dit soort gegevens, alsmede biometrische gegevens, mogen beslist alleen worden verzameld als dat voor het doel te rechtvaardigen is en er gelden de hoogst mogelijke beveiligingseisen voor.

Privacy by Design

Voor beveiligingsbedrijven zijn er nog enkele aspecten waar speciaal rekening mee gehouden dient te worden. Wanneer een beveiligingssysteem aan een klant wordt geleverd, dient dat vrijwel altijd eveneens ‘compliant’ aan de AVG te zijn. Denk aan een toegangssysteem, waarin de gegevens van medewerkers worden opgeslagen. Dit systeem dient daarom goed beveiligd te worden met onder andere encryptie. Maar ook dient met de klant een verwerkingsovereenkomst afgesloten te worden, waarin deze zich verantwoordelijk stelt voor een zorgvuldig beheer. Het systeem kan namelijk nog zo goed beveiligd zijn; als de klant iedereen toegangsrechten tot de gegevens verschaft, is de kans alsnog groot dat een datalek optreedt. Ook dienen goede afspraken gemaakt te worden over wat met het beveiligingssysteem wordt gedaan. Vooral camerasystemen worden steeds vaker ‘self learning’, wat inhoudt dat ze automatisch steeds meer gegevens over bepaalde personen verzamelen. Hetzelfde geldt voor een toegangssysteem. Ook hier dient uiterst zorgvuldig mee omgegaan te worden door zowel de leverancier als de gebruiker van het beveiligingssysteem. Zorgvuldigheid dient bovendien afgedwongen te worden. De wet noemt dit Privacy by Design. Zo dient voorkomen te worden dat persoonsgegevens door onkunde in verkeerde handen vallen.

Doordat de connectiviteit in de wereld steeds sneller toeneemt en cybercrime steeds gesofisticeerder wordt, stijgt de kans op het lekken van persoonsgegevens. Met de AVG stimuleren overheden organisaties daar professionele aandacht aan te besteden. Wie dat nog niet heeft gedaan, heeft niet veel tijd meer. En wie het maar laat voor wat het is, zal eerder vroeg dan laat met zijn neus op de (dure) feiten worden gedrukt.

Beeldmateriaal: Dreamstime.com

www.privacycommission.be