My Sensor Data

De AVG bepaalt dat gegevensbeheerders en gegevensverwerkers passende technische en organisatorische maatregelen moeten nemen om een op het risico afgestemd beveiligingsniveau van persoonsgegevens te waarborgen.

De volgende informatie bevat de basisvoorzorgsmaatregelen die moeten worden overwogen door organisaties die persoonsgegevens verwerken (d.w.z. gegevensbeheerders en gegevensverwerkers). Het is niet de bedoeling om een volledige lijst te geven van maatregelen die kunnen worden geïmplementeerd om persoonsgegevens in alle contexten te beschermen. Verwerkingsverantwoordelijken en verwerkers moeten deze maatregelen aanpassen aan de context (rekening houdend met de stand van de techniek, de context van de verwerking en het risico voor individuen).

De gevolgen van een gebrek aan beveiliging kunnen ernstig zijn: bedrijven kunnen hun imago aangetast zien worden, het vertrouwen van hun consumenten verliezen, grote sommen geld moeten betalen om te herstellen van een beveiligingsincident (bijvoorbeeld na een datalek) of hun activiteit gestopt. Veilige persoonsgegevens zijn in het belang van zowel individuen als de organisaties die de gegevens verwerken.

Om de risico’s van elke verwerking te beoordelen, is het raadzaam om eerst de mogelijke impact op de rechten en vrijheden van de betrokken personen te identificeren. Hoewel organisaties hun (persoonlijke of niet-persoonlijke) gegevens voor hun eigen belang moeten beschermen, richt de volgende informatie zich op de bescherming van de gegevens van individuen.

Gegevensbeveiliging heeft drie hoofdcomponenten: de integriteit, beschikbaarheid en vertrouwelijkheid van de gegevens beschermen. Daarom moeten organisaties de risico’s voor het volgende beoordelen:

ongeoorloofde of onopzettelijke toegang tot gegevens – schending van de vertrouwelijkheid (bijvoorbeeld identiteitsdiefstal na openbaarmaking van de loonstroken van alle werknemers van een bedrijf);
ongeoorloofde of onopzettelijke wijziging van gegevens – inbreuk op de integriteit (bijv. een persoon valselijk beschuldigen van een overtreding of misdrijf als gevolg van de wijziging van toegangslogboeken);
verlies van gegevens of verlies van toegang tot gegevens – schending van beschikbaarheid (bijv. het niet detecteren van een geneesmiddelinteractie vanwege de onmogelijkheid om toegang te krijgen tot het elektronische dossier van de patiënt).
Het is ook raadzaam om de risicobronnen te identificeren (d.w.z. wie of wat kan de oorzaak zijn van elk beveiligingsincident?), rekening houdend met interne en externe menselijke bronnen (bijv. IT-beheerder, gebruiker, externe aanvaller, concurrent), en interne of externe niet-menselijke bronnen (bijv. waterschade, gevaarlijke materialen, niet-gericht computervirus).

Deze identificatie van de risicobronnen stelt u in staat om de potentiële bedreigingen te identificeren (d.w.z. onder welke omstandigheden kan een beveiligingsincident optreden?) op ondersteunende bedrijfsmiddelen (bijv. hardware, software, communicatiekanalen, papier, enz.), die kunnen zijn:

op een ongepaste manier gebruikt (bijv. misbruik van rechten, afhandelingsfout);
gewijzigd (bijv. insluiting van software of hardware – keylogger, installatie van malware);
verloren (bijvoorbeeld diefstal van een laptop, verlies van een USB-stick);
waargenomen (bv. observatie van een scherm in een trein, geolocatie van apparaten);
verslechterd (bijv. vandalisme, natuurlijke achteruitgang);
overbelast (bijv. volle opslageenheid, denial of service-aanval).
niet beschikbaar (bijvoorbeeld in het geval van een ransomware).
Het is ook raadzaam om:

de bestaande of geplande maatregelen bepalen om elk risico aan te pakken (bijv. toegangscontrole, back-ups, traceerbaarheid, beveiliging van gebouwen, encryptie);
de ernst en waarschijnlijkheid van de risico’s inschatten op basis van bovenstaande elementen (voorbeeld van een schaal die gebruikt kan worden voor de inschatting: verwaarloosbaar, matig, significant, maximaal);
implementeer en verifieer geplande maatregelen als bestaande en geplande maatregelen passend worden geacht, zorg ervoor dat ze worden uitgevoerd en gecontroleerd;
voer periodieke beveiligingsaudits uit: elke audit moet resulteren in een actieplan waarvan de uitvoering moet worden gecontroleerd op het hoogste niveau van de organisatie.
De AVG introduceert het begrip “gegevensbeschermingseffectbeoordeling (DPIA)”, die verplicht is voor elke verwerking van persoonsgegevens die waarschijnlijk een hoog risico voor personen met zich meebrengt. Een DPIA (Data Protection Impact Assessment) moet de beoogde maatregelen bevatten om de geïdentificeerde risico’s aan te pakken, waaronder waarborgen, beveiligingsmaatregelen en mechanismen om de bescherming van persoonsgegevens te waarborgen

De organisaties, bedrijven en overheden van vandaag hebben meer gegevens over hun werknemers dan ooit tevoren, en het volume en de verscheidenheid aan toegankelijke informatie blijft groeien. Er zijn twee belangrijke drijfveren achter deze verschuiving.

De beschikbaarheid van gegevens de afgelopen jaren enorm toegenomen.

Toen organisaties overgingen op werken op afstand en het hybride werken, creëerden ze nieuwe digitale werkmethode die konden worden gemonitord en gevolgd. (Denk aan teams-berichten in plaats van gesprekken op kantoor.)

Uit een recent onderzoek blijkt dat meer de helft van de organisaties nu gegevens verzamelt die ze vóór de pandemie niet verzamelden: een kwart is in de afgelopen drie jaar begonnen met het loggen van e-mailactiviteiten, eenvijfde verwerkt nu gegevens over met wie werknemers het vaakst praten en werken en iets minder van de organisaties, bedrijven en overheden is begonnen met het analyseren van gegevens van virtuele vergaderingen.

Dit alles omdat ze worden geconfronteerd met een hogere mate van verantwoordelijkheid voor de gezondheid en het welzijn van werknemers. Zo werden de gezondheidsgegevens van individuen voor de pandemie misschien als uiterst precaire en privé beschouwd, maar tijdens de pandemie deelden werknemers routinematig informatie over blootstelling aan Covid of de vaccinatiestatus als een basisvereiste voor het werken op kantoor.

En terwijl meer de meerderheid van de werknemers wil dat hun organisatie hen behandelt als mensen, niet alleen als werknemers. Vereist effectieve persoonlijke ondersteuning veel gegevens, over alles van familie, zorgtaken tot behoeften op het gebied van geestelijke gezondheid en die gegevens kunnen een aantal zeer reële privacy inbreuken veroorzaken.

Aangezien organisaties, bedrijven en overheden meer mechanismen hebben om persoonlijke gegevens te verkrijgen en steeds meer gemotiveerd worden om er gebruik van te maken. Zijn er betere richtlijnen nodig om dit op een verantwoorde manier te doen. Vooral omdat deze trend al steeds meer regelgeving naar zich toe trekt.

Maar eerlijke, transparante omgang met werknemersgegevens is niet alleen een nalevingsmandaat. Het is ook de eerste stap naar het creëren van een op vertrouwen gebaseerde samenwerking die zowel werknemers als hun werkgevers nodig hebben om te gedijen in deze complexere gegevensomgeving. Van de werknemers die hun organisatie data toevertrouwen presteert eenvijfde beter en is aanzienlijk deel gemotiveerd om hun baan te behouden dan werknemers die hun organisaties niet vertrouwen met hun data. Wanneer werknemers partners zijn, niet alleen doelen, bij het verzamelen en gebruiken van gegevens, werkt dat voor iedereen gewoon beter.

Een duidelijk databeleid voor werknemersgegevens geeft organisaties een reeks basisprincipe. Die de manier waarop de gegevens van werknemers worden verzameld en gebruikt, zelfs als technologieën of zakelijke behoeften veranderen. Hoewel werkplekken kunnen werken met verschillende wettelijke beperkingen of technologische mogelijkheden, zouden vier basisprincipes de verwachting moeten bepalen voor hoe werkgevers informatie over hun personeel gebruiken:

Het recht op doel: de organisatie heeft een legitiem en specifiek zakelijk doel voor alle gegevens die zij verzamelt.

Dit houdt in dat organisaties duidelijk hebben omschreven waarom ze om werknemersgegevens vragen voordat deze daadwerkelijk worden verzameld. Werkgevers moeten zich afvragen waarom ze nieuwe gegevens verzamelen, hoe ze deze zullen verwerken en hoe lang ze deze moeten bewaren om hun kerndoel te bereiken.

Het recht op doel bouwt zowel vertrouwen op bij werknemers als helpt analyseteams om te voorkomen dat gegevens worden verzameld en opgeslagen die eigenlijk geen waarde opleveren. Het kan ook voorkomen dat mogelijk onethische use-cases binnensluipen. Als een organisatie bijvoorbeeld met een stappenteller controleert om het efficiënt gebruik van kantoorruimte te garanderen, zou het het recht op doel schenden als die gegevens werden gedeeld met managers om de prestaties te beoordelen op basis van hoeveel tijd dat medewerkers niet achter hun bureau zitten. Dit betekent niet dat organisaties gegevens die ze al hebben niet opnieuw kunnen gebruiken, maar het nieuwe doel moet expliciet worden gedefinieerd en ook transparant worden gecommuniceerd met werknemers. Een bedrijf dat oorspronkelijk begon met het monitoren van de agendagegevens van werknemers om bijvoorbeeld te helpen bepalen wanneer kantoorruimtes open zouden moeten zijn, zou waarde kunnen hechten aan het gebruik van diezelfde gegevens om managers te helpen voorkomen dat hun teams opbranden door te veel vergaderingen.

Het recht op minimalisatie: de organisatie zal niet meer gegevens verzamelen dan nodig is om haar legitieme zakelijke doel effectief te vervullen.

Zodra een specifiek zakelijk doel is gedefinieerd, vereist het recht op minimalisatie dat organisaties de gegevens die ze verzamelen beperken tot wat echt nodig is. Dat betekent kritisch beoordelen hoeveel organisaties verzamelen en hoe gevoelig die gegevens zijn. Als een organisatie bijvoorbeeld de productiviteit van werknemers op afstand wil volgen, kunnen ze gebruikmaken van gebruiksgegevens van gebruikte applicaties in plaats van te vertrouwen op meer invasieve methoden zoals het monitoren doormiddel van de webcams van werknemers.

Om dit goed te krijgen, moet soms worden beoordeeld welke gegevens “leuk om te hebben” zijn en welke essentieel zijn. Deze vraag is vooral relevant nu kunstmatige intelligentie tools, die afhankelijk zijn van grotere hoeveelheden hoogwaardige gegevens, steeds gebruikelijker en capabeler worden. Het recht op minimalisering houdt in dat wordt overwogen of vastgesteld welke informatie de organisatie in staat effectiever te zijn, en of dat opweegt tegen het risico voor het vertrouwen van werknemers.

Het recht op eerlijkheid: de organisatie zal gegevens gebruiken op manieren die de rechtvaardigheid van het personeelsbestand versterken.

De kern van een effectief gegevenspartnerschap tussen werkgevers en werknemers is ervoor te zorgen dat beide partijen profiteren van de gegevens die worden verzameld. Naarmate organisaties steeds gevoeligere gegevens gebruiken (waaronder gegevens met betrekking tot gezondheid, gezinsverplichtingen, locatie en ras en genderidentiteit) om werknemers beter te ondersteunen of om diversiteits- en inclusiedoelstellingen te halen, neemt het risico op bewuste of onbewuste vooringenomenheid bij de besluitvorming toe. De nieuwe schat aan gegevens waarover organisaties beschikken, zou de gelijkheid van toegang, kansen en behandeling moeten vergroten, niet beperken.

De meest effectieve manier om het recht op transparantie na te leven, is door het vanaf het begin in besluitvormingsprocessen in te bouwen. Door gebruik te maken van een robuuste gegevensanalyses om een inclusieve kandidatenpool te garanderen.

Het recht op bewustwording: De organisatie maakt medewerkers duidelijk welke gegevens voor welke doeleinden worden gebruikt.

Het recht op bewustzijn is het belangrijkste ingrediënt dat ervoor zorgt dat de andere rechten werken. Het betekent dat werknemers begrijpen welke gegevens over hen worden verzameld, hoe deze worden gebruikt en waar mogelijk hoe ze toegang kunnen krijgen tot die informatie. Zonder bewustzijn kunnen het vertrouwensniveau en de perceptie van rechtvaardigheid van werknemers niet veranderen.

Dat gezegd hebbende, hoeven werknemers geen datawetenschappers te zijn om te weten dat hun rechten worden gerespecteerd. Er moet een solide communicatieplan zijn, inclusief op maat gemaakte communicatie om ervoor te zorgen dat berichtgeving relevant is voor de rollen en ervaringen van werknemers. Bij het verzamelen van mogelijk gevoelige zelfidentificatiegegevens, kan een organisatie bijvoorbeeld een bedrijfsbrede boodschap combineren om de toewijding van de organisatie te versterken en uit te leggen hoe de gegevens zullen worden gebruikt met meer gerichte communicatie. Over hoe data-geïnformeerde beslissingen hen ten goede zullen komen. Alle communicatie over werknemersgegevens moet eenvoudig en actueel zijn en worden geleverd via een communicatiekanaal dat toegankelijk en gebruiksvriendelijk is.

Feedback is ook een cruciaal onderdeel van bewustwording. Werknemers moeten over mechanismen beschikken om vragen te stellen en zorgen te melden. Natuurlijk mogen sommige gegevens in de context van de werkgever-werknemerrelatie gewoon niet worden gedeeld (zoals prestatie-evaluatiegegevens of gezondheidsdossiers).

Het gebruiksrecht voor werknemersgegevens in de praktijk

Een beleid voor werknemersgegevens is niet bedoeld als abstracte principe. Organisaties moeten hun eigen lijst met gebruiksrechten voor gegevens van werknemers codificeren en delen, als aanvulling op de vier kernconcepten.

Leidinggevende moeten ook verantwoordelijk worden gehouden voor het naleven van de door werknemers opgestelde gegevensrechten. Eén passend evenwicht tussen zakelijke voordelen en persoonlijke privacy bij het gebruik van gegevens door medewerkers. Waarbij data-ethiek zorgt voor regelmatig controleren van de benadering van werknemersgegevens.

De grenzen tussen persoonlijke en werknemersgegevens zullen blijven vervagen naarmate de technologie voortschrijdt en de verwachtingen van werknemers verschuiven. Een databeleid voor werknemersgegevens, welke consequent wordt gehandhaafd en transparant wordt gecommuniceerd. Kan organisaties helpen het volledige potentieel van gegevensbronnen te benutten om zowel werknemers als mensen te ondersteunen en hun zakelijke doelen te bereiken.

10 stappen voor de naleving van de AVG

De Algemene Verordening Gegevensbescherming is een verordening inzake gegevensbescherming en -beveiliging die door de EU is aangenomen en op 25 mei 2018 in werking is getreden. De AVG legt verplichtingen op aan iedereen die persoonsgegevens van EU-ingezetenen verzamelt en verwerkt, ook als deze buiten de EU opereren.

De AVG geeft EU-inwoners controle over hun persoonsgegevens en verplicht tot;

* Legaal en volgens strikte regels persoonsgegevens verzamelen, verzamelen en beheren

* Bescherm persoonlijke gegevens tegen misbruik, uitbuiting en compromittering

* Respecteer de rechten van individuen om hun gegevens te beheren

De twee belangrijkste aandachtsgebieden van de AVG zijn persoonsgegevens en gegevensverwerking:

Het is ook belangrijk om bekend te zijn met specifieke AVG-termen voor het definiëren van rollen die verband houden met gegevensverwerking: gegevensbeheerders, betrokkenen en gegevensverwerkers.

Iedereen die persoonlijke informatie van EU-ingezetenen opslaat of verwerkt, is verplicht om te voldoen aan de AVG, ook al ben je buiten de EU gevestigd.

De AVG beschermt momenteel persoonsgegevens van inwoners van de volgende landen:

  Oostenrijk Estland Italië Portugal

  België Finland Letland Roemenië

  Bulgarije Frankrijk Litouwen Slowakije

  Kroatië Duitsland Luxemburg Slovenië

  Cyprus Griekenland Malta Spanje

  Tsjechië Hongarije Nederland Zweden

  Denemarken Ierland Polen Verenigd Koninkrijk(UK-GDPR gelijk aan de AVG)

De AVG-vereisten beschermen klant- en werknemersgegevens

De AVG stelt hoge eisen aan de beveiliging van persoonsgegevens en verplicht gegevensbeheerders en verwerkers om gevoelige persoonsgegevens te beschermen. Zorgen voor veilige gegevensverwerking is een betrouwbare manier om het risico op beveiligingsincidenten te minimaliseren.

Het negeren van de regelgeving inzake gegevensprivacy kan gevolgen hebben voor de reputatie. Het ervaren van een datalek zal bijvoorbeeld leiden tot onderzoeken, boetes en mogelijke rechtszaken. Door te voldoen aan de vereisten van de AVG kunt u datalekken voorkomen en de status van een betrouwbare en professionele verwerker in de openbaarheid behouden.

Mensen willen weten dat hun gegevens veilig zijn en dat ze er controle over hebben. Er wordt eerder gekozen voor een AVG-conforme dienstverlener of onderaannemer dan voor een niet-conforme.

Niet-naleving van de AVG kan leiden tot onderzoeken, boetes en zelfs datalekken. Boetes voor niet-naleving van de regelgeving kunnen oplopen tot 4% van de jaarlijkse wereldwijde omzet of € 20 miljoen (welke van de twee het hoogste is). De hoogte van een boete is afhankelijk van meerdere factoren, waaronder:

* De duur en ernst van de overtreding

* De mate van samenwerking met de toezichthouder

* De betrokken categorieën persoonsgegevens

Privacy-checklist voor gegevensbescherming, kijkt naar de fundamentele principes achter de AVG

1. Zorg voor rechtmatigheid en transparantie van gegevensverwerking

De AVG vereist het vaststellen van een wettelijke basis voor en een transparante wijze van gegevensverwerking.

Het vragen om toestemming van gebruikers heeft enkele nuances. Het is belangrijk dat de gebruiker akkoord gaat met de verwerking van zijn gegevens, dus zorg ervoor dat er toestemming is via een opt-in-actie, zoals het aanklikken van een selectievakje.

Geef duidelijke en beknopte informatie over het verzamelen, opslaan en verwerken van gegevens. Al deze informatie moet gemakkelijk toegankelijk zijn.

2. Controleer het gegevensbeschermingsbeleid

Het ontwikkelen en implementeren van een AVG-conform gegevensbeschermingsbeleid, controleer dat regelmatig.

Het gegevensbeschermingsbeleid al het andere beveiligingsbeleid verenigt in een beleid en volgens het privacy by design-principe, wat inhoudt dat privacy standaard een integraal onderdeel van de IT-infrastructuur moet zijn.

Overweeg om regelmatig zelfcontroles uit te voeren met betrekking tot de naleving van de AVG. Het doel hier is om te valideren dat persoonlijke gegevens veilig worden verzameld, opgeslagen en verwerkt en niet toegankelijk zijn voor meer personen dan nodig is. Controleer ook of de systemen alleen de categorieën persoonsgegevens verwerken die nodig zijn voor specifieke doeleinden.

3. Voer een effectiviteitsbeoordeling uit

Een gegevensbeschermingseffectbeoordeling (DPIA) is een proces dat is ontworpen om de risico’s die voortvloeien uit het verzamelen en verwerken van persoonsgegevens te identificeren en te beperken. Een goed begrip van de risico’s op het gebied van gegevensprivacy kan helpen bij het kiezen van de juiste beveiligingsmaatregelen en het ontwikkelen van relevant cyberbeveiligingsbeleid.

Een DPIA begint met een inventarisatie van alle processen die te maken hebben met het verzamelen en verwerken van persoonsgegevens. Dan is er de beoordeling van risico’s voor de rechten en vrijheden van betrokkenen.

4. Implementeer goede maatregelen voor gegevensbeveiliging

Geen gegevens zijn veilig zonder relevante controles en beschermingsmechanismen. Maatregelen voor cyber beveiliging verdienen speciale aandacht, omdat ze de basis vormen voor uw gegevensbescherming.

5. Zorg voor de privacyrechten van gebruikers

Definieert de rechten van betrokkenen die moeten worden gewaarborgd om naleving van de AVG te waarborgen.

Zorg ervoor dat u de privacyrechten doorneemt om te controleren of zij gemakkelijk aan het volgende voldoen:

Overweeg om de rechten op te nemen in het privacybeleid. Eventuele wijzigingen in het privacybeleid moeten via e-mail aan betrokkenen worden meegedeeld.

6. Documenteer uw naleving van de AVG

Een andere essentiële vereiste van de AVG is het kunnen aantonen van naleving aan toezichthoudende autoriteiten en kunnen aantonen dat alle gegevens legaal worden verwerkt en dat alle mogelijke beveiligingsmaatregelen zijn toegepast.

Overweeg om documentatie bij te houden over hoe naleving en beveiliging van persoonlijke gegevens wordt garandeert. Dit kan in de vorm van een AVG-dagboek dat de gegevensstroom in organisaties in kaart brengt die wordt bijgehouden om naleving aan auditors te bewijzen. In het geval van een datalek kan AVG-dagboek ook worden gebruiken als referentie voor het verbeteren van de beveiliging.

7. Stel een functionaris voor gegevensbescherming aan

Een functionaris voor gegevensbescherming (DPO) is een interne of uitbestede specialist die toeziet op de naleving van IT-vereisten en weet hoe hij GDPR-compatibel moet zijn. Een DPO rapporteert ook aan het management over eventuele risico’s op datalekken.

De AVG vereist dat er een DPO wordt ingehuurd als er aan een van de volgende drie criteria wordt voldaan:

* Je bent een openbaar lichaam of autoriteit, er is vrijstellingen verleend aan rechtbanken en andere onafhankelijke instanties en gerechtelijke autoriteiten

* Je voert grootschalige, regelmatige verwerkingen van persoonsgegevens uit

* Je verwerkt gegevens binnen bijzondere categorieën

8. Bepaal de toezichthoudende autoriteit

Elke EU-lidstaat moet een of meer onafhankelijke overheidsinstanties aanwijzen die verantwoordelijk zijn voor het toezicht op de naleving van de AVG.

Een Gegevensbeschermingsautoriteit (DPA) genoemd, is een relevante toezichthoudende autoriteit die zal dienen als het primaire aanspreekpunt voor alle AVG-vragen.

Van de gegevensbeschermingsautoriteiten wordt verwacht dat zij:

* Toezicht houden op de toepassing van de AVG

* Geven van deskundig advies over gegevensbeschermingskwesties

* Klachten afhandelen met betrekking tot schendingen van de AVG

* Boetes opleggen bij niet-naleving aan verwerkingsverantwoordelijken en verwerkers

7 best practices voor naleving van cyberbeveiliging in banken en financiële instellingen Digital Operational Risk Act (DORA).

9. Meld datalekken direct

De AVG verplicht elke verwerkingsverantwoordelijke om een inbreuk in verband met persoonsgegevens binnen 72 uur na ontdekking te melden, tenzij het onwaarschijnlijk is dat het incident de rechten en vrijheden van de betrokkenen schaadt.

De verordening stelt ook dat gegevensverwerkers gegevensbeheerders moeten informeren over inbreuken op persoonsgegevens als dit gebeurt. Als derden toegang hebben tot gevoelige gegevens, zorg er dan voor dat zij op de hoogte zijn van deze AVG-vereiste.

Melding aan de toezichthoudende autoriteit moet bevatten:

* Beschrijving van de aard van het lek in verband met persoonsgegevens

* Categorieën en het geschatte aantal betrokkenen en persoonlijke records

* Mogelijke gevolgen van het datalek

* Maatregelen die de verwerkingsverantwoordelijke heeft genomen of voorstelt te nemen om het lek in verband met persoonsgegevens aan te pakken en mogelijke gevolgen te beperken

* Contactgegevens van de functionaris voor gegevensbescherming of een andere persoon die meer informatie kan verstrekken

Zorg ervoor dat de details gedocumenteerd zijn van alle inbreuken op de beveiliging van persoonsgegevens en de maatregelen die in dit verband zijn genomen, aangezien dit kan helpen om naleving van de AVG te bewijzen.

10. Leid personeel op voor een veilige gegevensverwerking

Om de risico’s van datalekken en GDPR-schendingen te minimaliseren, moet ervoor gezorgd dat alle medewerkers op de hoogte zijn van de GDPR-vereisten, mogelijke cyberbeveiligingsbedreigingen, persoonlijke gegevensprivacy en mogelijke gevolgen van niet-naleving.

Zorg voor een goed bewustzijn van gegevensverwerking door regelmatig trainingen voor medewerkers te organiseren. Overweeg om het trainingsmateriaal regelmatig bij te werken wanneer zich nieuwe cyberbeveiligingsrisico’s voordoen. Het is ook belangrijk om relevante voorbeelden van inbreuken op de cyberbeveiliging aan het personeel te laten zien en mogelijke incidentresponsscenario’s te bespreken.

Het is essentieel om uw personeel niet alleen de juiste cyberbeveiligingsmaatregelen mee te delen, maar ook de redenen om deze toe te passen. Het is mogelijk dat werknemers bepaalde cyberbeveiligingscontroles of -procedures niet begrijpen en deze gemakshalve negeren.

Het is essentieel om uw personeel niet alleen de juiste cyberbeveiligingsmaatregelen mee te delen, maar ook de redenen om deze toe te passen. Het is mogelijk dat werknemers bepaalde cyberbeveiligingscontroles of -procedures niet begrijpen en deze gemakshalve negeren.

Digitale toezicht en technologie staan inmiddels op de voorgrond van de publieke discussie. Er zijn inmiddels grote hoeveelheden gegevens binnen handbereik en die hoeveelheid neemt alleen maar toe.

En er is een discussies gaande over de vraag of het acceptabel is dat de locatie of locatiegegevens van mobiele telefoons kunnen worden gebruiken om bijvoorbeeld onze bewegingen gedurende de dag na te gaan. Naarmate de toegang tot gegevens toeneemt, moeten er duidelijke, transparante normen komen over hoe we die gegevens gebruiken.

Richtlijnen voor gegevensbescherming, hoe groter de blootstelling aan gegevensrisico’s, hoe duidelijker de richtlijn waaraan moet worden voldaan. 

Helaas zijn er geen duidelijke regels voor het behandelen en beschermen van gegevens of het voorkomen van datalekken. Dit komt vaak doordat we ervan uitgaan dat de meeste verantwoordelijkheid voor gegevensbescherming bij regelgevers ligt. In andere gevallen probeerden we een commissie te organiseren om richtlijnen voor gegevensbescherming op te stellen, maar slaagden we daar niet in omdat er geen duidelijke visie was over hoe de richtlijnen eruit zouden moeten zien of wie de leiding zou moeten nemen.

Het hebben van goed beleid, het handhaven ervan en transparantie rond het ethisch gebruik van gegevens is echter een voordeel. Aangezien we steeds meer prioriteit geven aan privacy, kiezen voor volledige transparantie over gegevensverzameling en -verwerking. Data-ethiek staat bovenaan ons verlanglijstje, aangezien nalatigheid ernstige gevolgen voor ons kan hebben, reputatieverlies of indentiteit diefstal. Om een effectief beleid te creëren, hebben we regelgeving nodig om ervoor te zorgen dat normen worden nageleefd en regelmatig worden geëvalueerd.

We hebben de neiging om ons primair te richten op hoe verzamelaars en verspreiders van gegevens, toezicht houden op de privacy en bescherming van persoonlijke gegevens, versus de nuances van hoe de gegevens worden gebruikt. Hoewel we al wetten ter bescherming van gegevens hebben ingevoerd, zijn deze niet zo effectief als ze zouden kunnen zijn. De Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie werkt bijvoorbeeld goed als systeem voor het melden van inbreuken, maar is niet consistent geweest in het opleggen van sancties.

Een databeleid moet verder gaan dan alleen regelgeving voor het beschermen van de privacy en het gebruik van gegevens. Het moet gericht zijn op het bieden van transparantie over welke gegevens worden verzameld en hoe, hoe de informatie wordt gebruikt. Verder moet mogelijk gegevensgebruik worden geïdentificeerd als dat als illegaal worden beschouwd (zoals stemanalyse om ons te beïnvloeden).

Om zo een robuust databeleid voor ethisch gegevensgebruik op te bouwen.

Een gedeelde visie en missie hoe her databeleid eruit zal zien. Het is van cruciaal belang om duidelijk te zijn over de visie op het gebruik van gegevens, de normen die het ondersteunt en hoe een potentiële data gebruik aansluit bij die normen. Dit kan leidend zijn bij beslissingen over datagebruik.

Een goede visie definieert rollen voor het ethisch gebruik van data en data-eigendom. Als dan bijvoorbeeld een algoritme moet worden overschreven of de toegang van een systeem tot gegevens moet worden aangepast, is het duidelijk wie die wijzigingen moet aanbrengen. Het beleid moet ook de verantwoordelijkheid voor verzamelde en verwerkte gegevens verduidelijken.

We moeten ook bewust zijn van bestaande datarisico’s, zoals het gebruik van persoonlijke gegevens. Mocht er tocht iets misgaan, zoals online criminaliteit, dan hebben we een goed stappenplan nodig. Voorzichtigheid en naleving zijn factoren die het creëren veilig gebruik van gegevens mogelijk maken.

Gegevensprivacy onderdeel van gegevensethiek, transparantie en privacy betekent ook dat beslissingen over gegevensgebruik worden genomen op basis van hun potentiële impact op de privacy in plaats van op hun economische effect.

De cultuur van gegevensprivacy en risicobeperking is ook van cruciaal belang. Inderdaad, vooraf verwachtingen scheppen rond data gebruik is essentieel om gegevens te beschermen tegen onethisch gebruik. Dus duidelijke normen voor identiteits- en toegangsbeheer invoeren en ervoor zorgen dat alleen personen met bevoorrechte toegang gegevens kunnen inzien en systeemwijzigingen kunnen aanbrengen.

Idealiter zou een data-ethiekcommissie een multifunctioneel comité is, bestaande uit vertegenwoordigers uit alle lagen van de bevolking, voor verschillende domeinen van gegevensbeheer en -bescherming.

Debatten over data-ethiek kunnen standaarden vormgeven en individuele keuzes beïnvloeden, zoals het al dan niet uitvoeren van een specifieke use-cases voor gegevensverwerking. Zelfs het meest grondige visie rond ethisch gebruik van data zal echter geen succes op de lange termijn behalen als het databeheer uitsluitend aan één persoon overlaat. Het creëren van een formeel databeleid en een data-ethiekcommissie om dit te ondersteunen, helpt veranderingen in ons DNA te verankeren. Data-ethiek beschouwen als een risico op elk niveau, in plaats van een functioneel risico, is de sleutel tot een goed databeleid op de lange termijn.

Gegevens zijn een verzameling metingen en feiten en een hulpmiddel dat een individu of een groep individuen helpt om tot een conclusie te komen door informatie te verstrekken. 

Een startpunt om werkloosheid, armoede, inflatie, enz. te begrijpen, analyseren en interpreteren. Naast het begrijpen van de problemen, helpt het ook bij het bepalen van de redenen achter het probleem om mogelijke oplossingen ervoor te vinden.

Gegevens bevatten niet alleen theoretische informatie, maar ook enkele numerieke feiten die de informatie kunnen ondersteunen. Het verzamelen van gegevens is de eerste stap van het statistisch onderzoek en kan via twee verschillende bronnen worden verzameld, namelijk primaire bronnen en secundaire bronnen.

Primaire bron is een verzameling gegevens van de bron van herkomst. Het biedt kwantitatieve en ruwe informatie uit de eerste hand. Kortom, de primaire databronnen geven direct toegang. Bijvoorbeeld statistische gegevens, kunstwerken en transcripties van interviews.

Secundaire bron is een verzameling gegevens van enkele instellingen of agentschappen die de gegevens al via primaire bronnen hebben verzameld. Het biedt geen kwantitatieve en onbewerkte informatie uit de eerste hand. Daarom interpreteert, beschrijft of synthetiseert de secundaire bron van gegevensverzameling de primaire bronnen. Bijvoorbeeld recensies, overheidswebsites met enquêtes of gegevens, academische boeken, gepubliceerde tijdschriften, artikelen, enz.

Hoewel primaire bronnen de verzamelde gegevens geloofwaardiger maken vanwege de aanwezigheid van bewijsmateriaal, vereist goed onderzoek zowel primaire als secundaire bronnen voor gegevensverzameling.

Primaire gegevens vanaf het begin uit primaire bronnen verzameld, worden primaire gegevens genoemd. Deze gegevens worden rechtstreeks verzameld bij de bron van herkomst. Het zijn realtime gegevens en altijd specifiek voor een bepaalde behoefte. De primaire gegevens zijn in ruwe vorm beschikbaar. Daarbij moet veel tijd worden besteed aan het verzamelen van primaire gegevens en is daarom ook duur. De nauwkeurigheid en betrouwbaarheid van primaire gegevens zijn echter hoger dan de secundaire gegevens. Enkele voorbeelden van bronnen voor het verzamelen van primaire gegevens zijn observaties, enquêtes, experimenten, persoonlijke interviews, vragenlijsten, enz.

Secundaire gegevens reeds bestaande gegevens die eerder door iemand anders voor andere doeleinden zijn verzameld, worden secundaire gegevens genoemd. Het bevat geen real-time gegevens, aangezien het onderzoek naar die informatie al is gedaan. De kosten voor het verzamelen van secundaire gegevens zijn echter lager. Omdat de gegevens in het verleden al zijn verzameld, zijn deze in verfijnde vorm terug te vinden. De nauwkeurigheid en betrouwbaarheid van secundaire gegevens zijn relatief minder dan de primaire gegevens. De kans om de exacte informatie of gegevens te vinden die specifiek zijn voor een bepaalde behoefte is kleiner. De tijd die nodig is om secundaire gegevens te verzamelen is echter kort en daarom een snel en eenvoudig proces. Enkele voorbeelden van bronnen voor het verzamelen van secundaire gegevens zijn boeken, tijdschriften, interne archieven, overheidsarchieven, artikelen, websites, overheidspublicaties, etc.

Principe Verschil tussen primaire en secundaire gegevens, de primaire gegevens die worden verzameld, zijn altijd voor het specifieke doel. Er hoeven dus geen aanpassingen te worden gedaan ten behoeve van het onderzoek. De verzamelde secundaire gegevens zijn echter al verzameld voor een ander doel. Daarom moeten de nodige aanpassingen gemaakt worden aan de gegevens.

Verschil bij primaire gegevens die vanaf het begin worden verzameld bij de bron van herkomst, zijn de gegevens origineel. De secundaire data is echter al ergens aanwezig en is dus niet origineel.

Verschil in de kosten van het verzamelen van primaire gegevens zijn hoger dan de kosten van het verzamelen van secundaire gegevens in termen van tijd, moeite en geld. Het is omdat de gegevens voor het eerst worden verzameld bij de bron van herkomst. De kosten voor het verzamelen van secundaire gegevens zijn echter lager, aangezien de gegevens worden verzameld uit gepubliceerde of niet-gepubliceerde bronnen.

Direct en persoonlijk, omvat de methode van direct persoonlijk onderzoek het persoonlijk verzamelen van gegevens bij de bron van herkomst. Simpel gezegd, rechtstreeks contact leggen met de persoon van wie je de informatie wil verkrijgen.

Indirect mondeling onderzoek voor het verzamelen van primaire gegevens nemen we niet direct contact op met de persoon van wie we de informatie nodig hebben, maar verzamelen we de gegevens mondeling van een anderen personen die over de benodigde informatie beschikken. Bijvoorbeeld het verzamelen van gegevens van medewerkers bij hun leidinggevende of managers.

Bij de Mailmethode wordt de vragenlijsten naar de informanten gemaild voor het verzamelen van gegevens. Daarbij voegen we een brief bij de vragenlijst in de mail om het doel te definiëren. We verzekeren de informanten ook dat hun informatie geheim zal worden gehouden, waarna de informanten de antwoorden op de vragenlijst noteren en het ingevulde dossier terugsturen.

Gepubliceerde bronnen publicaties, die de overheid publiceert verschillende documenten die bestaan uit verschillende soorten informatie of gegevens die door de ministeries, centraal en provinciaal worden gepubliceerd. Omdat de overheid deze statistieken publiceert, zijn ze redelijk betrouwbaar.

Semi-overheidspublicaties semi-overheidsinstanties publiceren ook gegevens met betrekking tot gezondheid, onderwijs, sterfgevallen en geboorten. Dit soort gegevens zijn ook betrouwbaar en worden met enige regelmaat gebruikt.

Publicaties van handelsverenigingen, handelsverenigingen verzamelen en publiceren gegevens van verschillende handelsactiviteiten.

Tijdschriften en kranten: Verschillende kranten en tijdschriften bieden een verscheidenheid aan statistische gegevens, die kunnen worden gebruikt.

Internationale publicaties zijn publicaties van verschillende internationale organisaties zoals het IMF, Europesche Unie, de Wereldbank, enz. publiceren een verscheidenheid aan statistische informatie die als secundaire gegevens kunnen worden gebruikt.

Publicaties van onderzoeksinstellingen: onderzoeksinstellingen en universiteiten publiceren ook hun onderzoeksactiviteiten en hun bevindingen, die kunnen worden gebruikt als secundaire gegevens.

Ongepubliceerde bronnen vormen een andere bron voor het verzamelen van secundaire gegevens. De gegevens in ongepubliceerde bronnen worden verzameld door verschillende overheidsorganisaties en andere organisaties. Deze organisaties verzamelen meestal gegevens voor eigen gebruik en worden nergens gepubliceerd.

Al deze bronnen met gegevens zijn beschikbaar voor gebruik en worden stelselmatig ingezet voor allerlei doeleinden.

Persoonlijke gegevens versus gevoelige gegevens: wat is het verschil?

Centraal in de AVG (Algemene Verordening Gegevensbescherming) staat het begrip ‘persoonsgegevens’.

Maar wat zijn persoonsgegevens? Worden namen en e-mailadressen aangemerkt als persoonsgegevens? Hoe zit het met foto’s en ID-nummers?

En waar past het gerelateerde begrip ‘gevoelige persoonsgegevens’ in?

Als je niet zeker weet wat het verschil is tussen persoonlijke en gevoelige gegevens, lees dan verder. We leggen alles uit wat je moet weten en geven voorbeelden van persoonlijke en gevoelige persoonsgegevens.

Inhoud

Wat zijn persoonsgegevens?

Wat zijn gevoelige persoonsgegevens?

Voorbeelden van gevoelige persoonlijke gegevens

Toestemming krijgen

Wat zijn persoonsgegevens?

In de meest elementaire termen zijn persoonsgegevens elk stukje informatie dat iemand kan gebruiken om, met enige mate van nauwkeurigheid, een levend persoon te identificeren.

Het e-mailadres johndo@projectx.com wordt bijvoorbeeld beschouwd als persoonlijke gegevens, omdat het aangeeft dat er maar één John Do kan zijn die aan project X werkt.

Evenzo worden je fysieke adres of telefoonnummer als persoonlijke gegevens beschouwd, omdat er contact met je kan worden opgenomen met behulp van die informatie.

Persoonlijke gegevens worden ook geclassificeerd als alles wat uw fysieke aanwezigheid ergens kan bevestigen. Om die reden zijn camerabeelden van bewegingen persoonsgegevens, evenals vingerafdrukken.

Dat klinkt tot nu toe eenvoudig genoeg. Het wordt echter ingewikkeld als je er rekening mee houdt dat elk stuk informatie niet onafhankelijk hoeft te worden genomen.

Organisaties verzamelen en bewaren doorgaans enorme hoeveelheden informatie over elk gegevensobject. De som van die informatie kan als persoonsgegevens worden beschouwd als deze kan worden samengevoegd om een waarschijnlijke betrokkene te identificeren.

Zie het als een enorm spel van Raad Wie?

Onder bepaalde omstandigheden kunnen de volgende zaken als persoonsgegevens worden beschouwd:

voorbeelden van AVG-gevoelige persoonlijke gegevens

Je zou kunnen denken dat iemands naam altijd persoonlijke gegevens zijn, maar zo eenvoudig is het niet:

“Op zich is de naam John Do niet altijd een persoonsgegeven, omdat er veel personen zijn met die naam. Wanneer de naam echter wordt gecombineerd met andere informatie (zoals een adres, een werkplek of een telefoonnummer), zal dit meestal voldoende zijn om één persoon duidelijk te identificeren.”

Namen zijn niet noodzakelijkerwijs vereist zijn om iemand te identificeren:

“Simpelweg omdat je de naam van een persoon niet kent, wil nog niet zeggen dat je [ze] niet kunt identificeren. Velen van ons kennen niet de namen van al onze buren, maar we kunnen ze toch identificeren.”

Wat zijn gevoelige persoonsgegevens?

Gevoelige persoonsgegevens, ook wel bijzondere categoriegegevens genoemd, is een specifieke set van “bijzondere categorieën” die extra beveiligd moeten worden behandeld.

Voorbeelden van gevoelige persoonlijke gegevens

Hier volgen enkele voorbeelden van gevoelige persoonsgegevens:

Ras of etnische afkomst;

politieke opvattingen;

Religieuze of filosofische overtuigingen;

lidmaatschap van een vakbond;

Genetische gegevens;

Gegevens met betrekking tot iemands seksleven of seksuele geaardheid; En

Biometrische gegevens (indien verwerkt om iemand uniek te identificeren).

Gevoelige persoonsgegevens moeten gescheiden van andere persoonsgegevens worden bewaard, bij voorkeur in een afgesloten lade of archiefkast.

Net als bij persoonsgegevens in het algemeen, mogen deze alleen op laptops of draagbare apparaten worden bewaard als het bestand is gecodeerd en/of gepseudonimiseerd.

Toestemming krijgen

Een veel voorkomende misvatting over de AVG is dat alle organisaties toestemming moeten vragen om persoonsgegevens te mogen verwerken.

In feite is toestemming slechts één van de zes wettelijke gronden voor het verwerken van persoonsgegevens. De strikte regels met betrekking tot rechtmatige toestemmingsverzoeken maken het de minst geprefereerde optie.

Er zullen echter momenten zijn waarop toestemming de meest geschikte basis is. Organisaties moeten zich ervan bewust zijn dat ze expliciete toestemming nodig hebben om gevoelige persoonsgegevens te verwerken.

Dit soort nuances komen veel voor in de hele AVG. Elke organisatie die niet de tijd heeft genomen om haar nalevingsvereisten grondig te bestuderen, loopt het risico te struikelen.

Dit kan leiden tot blijvende schade, zoals handhaving, boetes, slechte pers en verlies van klanten.

Hoewel de AVG al bijna een half decennium van kracht is, worstelen veel organisaties nog steeds met het begrijpen van de nalevingsvereisten.

Het is geen verrassing. De verordening is een complex onderwerp en het is moeilijk om mensen te vinden met de nodige expertise om de talloze processen, beleidslijnen en technologieën aan te pakken die voor succes op het gebied van naleving zullen zorgen.

Iedereen die over deze vaardigheden beschikt, zal veel gevraagd zijn en in staat zijn om hoge salarissen af te dwingen, maar met de crisis van de kosten van levensonderhoud die organisaties in alle sectoren treft, is het vaak niet mogelijk om gespecialiseerd personeel in te schakelen.

De beste manier om deze uitdaging aan te gaan, is door bij te scholen. U krijgt expertise op het gebied van gegevensbescherming, terwijl je waardevolle nieuwe vaardigheden opdoet die je interesses een boost kunnen geven.

Het huidige digitale landschap is gegevensprivacy een prioriteit. Met de constante dreiging van cyberaanvallen moeten we proactieve maatregelen nemen om de bescherming van gegevens te waarborgen.

Een Privacy Raamwerk kan daarbij helpen en is een reeks richtlijnen die zijn ontworpen om te helpen bij het beheren van privacyrisico’s die voortvloeien uit het verzamelen, gebruiken, opslaan en delen van persoonlijke informatie. Het biedt een aanpak waarmee privacybeheerprogramma’s kunnen worden afgestemd op unieke behoeften, risicoprofielen en doelstellingen.

Een Privacy raamwerk is belangrijk omdat het helpt privacyrisico’s op een gestructureerde en systematische manier te identificeren en te beheersen. Door een raamwerk te gebruiken, kan een robuust privacybeheerprogramma worden opgezet dat specifieke privacyrisico’s aanpakt, privacyhouding verbetert en nalevingsinspanningen ondersteunt.

Een Privacy raamwerk bestaat uit drie hoofdcomponenten: de kern, de profielen en de implementatielagen.

De kern

Is een set privacyfuncties en -categorieën die een gestructureerde manier bieden om privacyrisico’s te beheren. De functies zijn gebaseerd op vijf kern privacy principes: Identificeer, Bescherm, Controleer, Communiceer en Beoordeel.

Met de component Profielen kan een aangepast stappenplan gemaakt worden om de privacyhouding te verbeteren. Daarbij kunnen de profielen gebruikt worden om de huidige privacypositie te identificeren, de doelstatus te definiëren en prioriteit te geven aan privacyverbeteringsactiviteiten.

De implementatieniveaus bieden een manier om de volwassenheid van een privacyprogramma te evalueren en het niveau van striktheid en verfijning te bepalen dat vereist is voor het privacybeheerprogramma. De niveaus variëren van gedeeltelijk tot adaptief en weerspiegelen de risicobeheerbenadering, de regelgeving en de cultuur.

Identificeren

Het eerste principe is het identificeren van alle persoonlijke gegevens die men verzamelt, verwerkt, opslaat en deelt. Dit omvat inzicht in het doel van het verzamelen van de gegevens, wie er toegang toe heeft en hoe lang ze worden bewaard.

Beschermen

Het tweede principe is om persoonlijke gegevens te beschermen tegen ongeoorloofde toegang, gebruik, openbaarmaking, wijziging of vernietiging. Dit omvat het implementeren van passende beveiligingsmaatregelen, zoals codering, toegangscontrole en gegevensminimalisatie.

Controle

Het derde principe is om te bepalen hoe persoonlijke gegevens worden verzameld, gebruikt, gedeeld en opgeslagen. Dit omvat het verkrijgen van toestemming van personen, het verstrekken van duidelijke en beknopte privacyverklaringen en het naleven van toepasselijke privacywet- en regelgeving.

Communiceren

Het vierde principe is om met individuen te communiceren over hoe hun persoonlijke gegevens worden gebruikt en beschermd. Dit omvat het bieden van zinvolle keuzes en mogelijkheden om hun privacyrechten uit te oefenen, zoals het recht op toegang tot, correctie, verwijdering van of bezwaar tegen de verwerking van hun persoonsgegevens.

Beoordeling

Het vijfde principe is om de privacypraktijken regelmatig te herzien en te verbeteren. Dit omvat het uitvoeren van privacyrisicobeoordelingen, het bewaken van de naleving van privacybeleid en -procedures, en het continu evalueren en verbeteren van de effectiviteit van privacycontroles.

Implementatie.

Het eerste principe “Flexibel en Schaalbaar”. Dit principe benadrukt de noodzaak om zich aan te passen aan de veranderende digitale omgeving door flexibel en schaalbaar te zijn in termen van privacy-implementatieplannen en -beleid.

Het tweede principe is ‘Verantwoord en Transparant’. Dit principe vereist dat men transparant is en verantwoording aflegt over de privacypraktijk. Dit omvat het ontwikkelen van een privacyplan dat toegankelijk is en ervoor zorgt dat iedereen op de hoogte is van het privacybeleid.

Ten derde is ‘Privacy by Design’. Dit principe moedigt aan om privacyoverwegingen in te bedden in het ontwerp en de ontwikkeling van elk product of elke dienst die men creëert. Dit helpt ervoor te zorgen dat bij het ontwerpen van producten en diensten rekening houden met privacy en voorkomt privacyimplicaties die anders misschien onopgemerkt zouden zijn gebleven.

Ten vierde is ‘Dataminimalisatie’. Dit principe vereist dat de hoeveelheid gegevens die we verzamelen, gebruiken en opslaan minimaliseren. Alleen de gegevens verzamelen die nodig zijn voor het doel waarvoor ze worden verzameld.

Het vijfde en laatste principe is ‘Datakwaliteit’. Dit principe benadrukt hoe belangrijk het is ervoor te zorgen dat de gegevens die worden verzamelt, opgeslagen en gebruiken worden nauwkeurig, up-to-date, volledig en relevant zijn.

Door deze vijf basisprincipes te volgen, zijn we ons meer bewust van onze privacypraktijken, kunnen we gegevensbeveiliging verbeteren en het vertrouwen van klanten waarborgen.

Een Privacy Raamwerk met succes integreren door een paar cruciale stappen te volgen. Ten eerste een alomvattend plan voor gegevensprivacy opstellen dat de doelstellingen, doelen en processen verduidelijkt en tegelijkertijd de vereiste procedures identificeert om hetzelfde te bereiken. Dit plan moet ook relevante wet- en regelgeving omvatten om strikte naleving te waarborgen.

Ten tweede een zorgvuldige, op risico’s gebaseerde benadering van privacy hanteren en hun activiteiten en gegevensverwerkingsprocedures onderzoeken om potentiële privacyrisico’s te bepalen. Op basis van deze beoordeling kan er vervolgens een op maat gemaakt privacyprogramma worden opgesteld om geïdentificeerde risico’s effectief aan te pakken en te elimineren. Dit kan diepgaande gegevensanalyse, innovatieve de-identificatietechnieken, op risico’s gebaseerd beleid en procedures voor gegevensverwerking en strikte beveiligingsmaatregelen met zich meebrengen om ervoor te zorgen dat gegevens op de juiste manier worden opgeslagen en verwerkt.

Ten derde een bestuursmodel opstellen voor het privacyraamwerk, waarbij personeel, budget en andere cruciale middelen worden toegewezen om een soepele implementatie en naleving van het programma te garanderen. Dit moet de identificatie omvatten van goed geïnformeerd personeel dat deskundig toezicht kan houden op het programma, de vereisten kan begrijpen en strikte naleving kan garanderen.

Ten slotte moet men systematisch de effectiviteit van het programma meten en monitoren om te zorgen voor een naadloze werking en doorlopend beheer van geïdentificeerde risico’s. Dit omvat het onderhouden van een up-to-date privacyplan en het grondig beoordelen van de prestaties van het privacyprogramma en de bijbehorende beleidslijnen en procedures.

Gegevens identificeren en in kaart brengen: om alle persoonlijke gegevens die worden verzamelt en verwerkt te identificeren en in kaart brengen om ervoor te zorgen dat privacyrisico’s worden begrepen.

Voer privacy-effectbeoordelingen uit: deze helpen privacyrisico’s te identificeren en de effectiviteit privacycontroles te beoordelen.

Ontwikkel privacybeleid en -procedures: duidelijk, beknopt en transparant privacybeleid en -procedures helpen privacyrisico’s consistent te beheren.

Implementeer privacycontroles: moeten worden gedaan om passende privacycontroles te implementeren om privacyrisico’s effectief te beheren.

Zorg voor privacytraining: om ervoor te zorgen dat rollen en verantwoordelijkheden bij het beschermen van persoonlijke gegevens worden begrepen.

Een raamwerk kan helpen bij het identificeren en prioriteren van de privacyrisico’s die aan activiteiten zijn verbonden. Door deze risico’s in kaart te brengen, kunnen passende maatregelen worden genomen om deze te mitigeren en datalekken of privacyschendingen te voorkomen.

Het Privacy Raamwerk kan de reputatie verbeteren en vertrouwen opbouwen. Door het Privacy Raamwerk te implementeren, toont men toewijding aan het beschermen van persoonlijke gegevens en het respecteren van privacyrechten.

Degenen die het Privacy Raamwerk gebruiken, verbeteren de naleving van de regelgeving door de privacypraktijken af te stemmen op de relevante wet- en regelgeving.

Het raamwerk kan de interne communicatie en samenwerking verbeteren door een gemeenschappelijke taal en kaders tot stand te brengen voor privacygerelateerde discussies en beslissingen. Dit kan ertoe bijdragen dat alle belanghebbenden hun rol en verantwoordelijkheden bij de bescherming van persoonsgegevens begrijpen.

Bovendien kan het een basis vormen voor voortdurende verbetering en verfijning van de privacy praktijken in de loop van de tijd. Door privacybeleid en -procedures regelmatig te herzien en bij te werken, blijft het beleid effectief en up-to-date in het licht van veranderende technologieën, regelgeving en bedreigingen.

Aangezien auto’s elke dag aanzienlijk meer gegevens genereren, wordt het een uitdaging om al die sensorgegevens efficiënt in de auto te verwerken, te verzamelen en op te slaan en om gegevens naar de cloud over te zetten.

De moderne auto is geëvolueerd van een loutere vervoersbron naar een geconnecteerd voertuig en mobiele gegevensbron die geïndividualiseerde informatie en ruimte voor tweerichtingscommunicatie genereert. De gegevens uit de moderne auto vormen een van de meest waardevolle waarden die kunnen worden afgeleid uit geconnecteerde voertuigen, en vormen de basis voor de volgende generatie elektrische en volledig autonome voertuigen.

Verdere automatisering wordt ongetwijfeld noodzakelijk om voordeel te halen uit deze nieuw bron van voertuig- en consumentengegevens, en om te leren wat er in de auto gebeurt vanaf het moment dat deze wordt bestuurd. Geïntegreerde voertuigsystemen geven een vliegende start aan de datareis in verbonden voertuigen, die wanneer ze volledig worden geanalyseerd, aanleiding geven tot nieuwe en handige gebruikstoepassingen, zoals geoptimaliseerd parkeerbeheer, datagestuurde op gebruik gebaseerde verzekeringen en slimme batterijoplossingen.

In puur technische termen verwijst een onboard systeem naar een computer die is ontworpen om toegang te krijgen tot gegevens in elektronische apparatuur, deze te verzamelen, te analyseren (in het voertuig) en te controleren om een reeks problemen op te lossen.

Hoewel de technologie nog in de kinderschoenen staat, heeft de technologie de vooruitzichten van de wereldwijde auto-industrie veranderd, van ontwerp en productie tot veiligheid en entertainment.

Maar niet elk stukje informatie in deze stroom van gegevens heeft een directe invloed op gebruikersapplicaties en heeft dus weinig zin als het wordt verzamelt, verzonden en opslaggen in de cloud. Vaak hebben de gegevens met betrekking tot voor of na een evenement geen waarde, en heeft alleen het vastleggen abnormale evenement waarde. Bovendien brengt het opslaan van grote hoeveelheden gegevens een kostenoverwegingen met zich mee en is het logisch dat alleen bruikbare en waardevolle gegevens filteren voordat deze naar de cloud worden verzonden de voorkeur heeft.

Om optimale nauwkeurigheid en rijkdom aan datasets te garanderen, en om de bruikbaarheid te maximaliseren, worden sensoren die in de voertuigen zijn ingebed, gebruikt om de gegevens te verzamelen en draadloos te verzenden, tussen voertuigen en clouddiensten, in bijna realtime. Afhankelijk van de gebruiksscenario’s zal dit steeds meer real-time georiënteerd worden, zoals pechhulp en actieve rapportage van chauffeursscores en voertuigscores, is de behoefte aan lagere latentie en doorvoer de noodzakelijk geworden.

Maar hoewel IOT mogelijkheden van 5G dit voor een groot deel oplost, zijn de kosten voor het verzamelen en verzenden van gegevens naar de cloud nog steeds onbetaalbaar. Dit maakt het absoluut noodzakelijk dat we geavanceerde computersystemen in de auto hebben om edge-verwerking zo efficiënt mogelijk te laten verlopen.

Om de bandbreedte-efficiëntie te vergroten en problemen met gegevenslatentie te verminderen en alleen gebeurtenisgerelateerde informatie met de cloud te delen. Het verwerken en verrijken van gegevens in voertuigen is van cruciaal belang geworden voor dit scenario, om ervoor te zorgen dat voertuigen kunnen functioneren. De applicaties en gegevens zich dichter bij de bron bevinden, wat een snellere doorlooptijd oplevert en de prestaties van het systeem drastisch verbetert.

Het integreren van architectuur met een cloudgebaseerd platform helpt verder bij het creëren van een robuust, end-to-end communicatiesysteem voor kosteneffectieve beslissingen en efficiëntie.

Dit heeft een breed scala aan toepassingen in verschillende branches waar deze gegevens kunnen worden gebruikt en te gelde worden gemaakt. De meest voor de hand liggende use-case is voor aftermarket- en voertuigonderhoud, waar zeer effectieve algoritmen de gesteldheid van het voertuig in bijna realtime kunnen analyseren om oplossingen voor dreigende voertuigstoringen voor voertuigactiva zoals motor, olie, batterij, banden enzovoort voor te stellen. Stel je voor dat je onderweg vastloopt en de pechhulp komt al handig met precies wat er mis is en het benodigde voertuigonderdeel bij zich heeft.

Mobiliteitsintelligentie verkregen door het ontsluiten van de verbonden voertuiggegevens, door deze te analyseren over eerdere en huidige historische trends, is succesvol geweest bij het op nieuwe manieren oplossen van verkeersstroomproblemen.

Dit toont de enorme waarde aan van dergelijke capaciteiten in de auto-industrie. Een hybride oplossing met een effectieve mix van ingebedde synthetische sensoren in de voertuigen, een gedistribueerde computerarchitectuur en een krachtig computing-platform lost niet alleen de data-uitdaging op, maar ook de nadelen van inefficiënte en trage communicatie. Vandaar dat deze systemen in auto’s die zorgen voor gegevens van hoge kwaliteit, in bijna realtime, verreikende gevolgen kunnen hebben.

Het bijhouden van gegevens?

Gegevensverzameling is het algemene proces van het identificeren, verzamelen en organiseren of categoriseren van gegevenspunten.

Gegevens worden bijgehouden – of gevolgd – terwijl ze worden gemaakt en/of gewijzigd via interactie door individuen of andere componenten. Gegevensverzameling is van toepassing op zowel hardware als software en is het ophalen van informatie over een toestand of proces.

Gegevensverzameling identificeert gegevens die relevant zijn.

Het doel is om één enkele ‘bron van waarheid’ te creëren.

Die niet statisch is en voortdurend gewijzigd en aangevuld telkens wanneer een situatie zich voordoet. Het wijzigen/verzamelen van gegevens over een nieuwe gebeurtenis, entiteit of gebeurteniseigenschap.

Het is het beste om dingen waar mogelijk eenvoudig te houden, wat betekent dat je geen stapels evenementen toevoegt en ook niet probeert om meerdere stadia in één keer aan te pakken. Er zijn mogelijk honderden of duizenden gebeurtenissen nodig om correct te beschrijven wat er gebeurt.

Gebruikerseigenschappen slaan details op over gebruikers, demografische gegevens, kenmerken, enz.

Een constante beweging: gegevens staan niet vast een bewegend doel dat meegroeit met de behoeften. Vooruitzien en planning: ‘instellen en vergeten’, vereist langetermijndenken en een vooruitziende blik, vooral als het gaat om welke tools en technologieën er nodig zijn.

Het is vrijwel onmogelijk om het proces om datagestuurd te worden te overhaasten.

Alleen dan kunnen we aan de slag om gebeurtenissen te identificeren die moeten worden gevolgd (en hoe deze gebeurtenissen verband houden met entiteiten).

We hebben het recht op bezwaar maar het uitoefenen van dit recht is soms onnodig ingewikkeld. Door administratieve barrières en verschillen van inzicht op het recht van bezwaar.

Het recht om bezwaar te maken en de relatie met het recht om te wissen bij klachten van betrokkenen. De toepassing van artikel 21 (recht van bezwaar) wordt vaak gecombineerd met de uitoefening van het recht op gegevenswissing, zoals verankerd in artikel 17. Artikel 17, lid 1, onder c), erkent dit recht wanneer de betrokkene bezwaar maakt tegen de verwerking overeenkomstig artikel 21 (1) en er geen doorslaggevende legitieme gronden zijn voor gegevensverwerking,1 of wanneer de betrokkene bezwaar maakt tegen gegevensverwerking voor directmarketingdoeleinden (artikel 21, lid 2 AVG).

De meeste zaken waartoe de toezichthoudende autoriteiten op grond van artikel 21 besluiten, hebben betrekking op het gebruik van persoonsgegevens voor direct marketing (artikel 21, lid 2) en niet op bezwaren tegen de verwerking van gegevens bij de uitvoering van taken van algemeen belang, in de uitoefening van openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend, of op basis van gerechtvaardigde belangen (artikel 21, lid 1). In de onderzochte gevallen is er dus regelmatig een verband tussen het verzoek om elke verdere verwerking van persoonsgegevens voor marketingdoeleinden stop te zetten en het verzoek om eerder verzamelde gegevens te wissen.

Tegen deze achtergrond kenmerkt de jurisprudentie over artikel 21 zich door twee hoofdreeksen van problemen, zoals die naar voren komen uit de besluiten die zijn genomen in het kader van het samenwerkingsmechanisme waarin artikel 60 AVG voorziet: (i) kwesties met betrekking tot de daadwerkelijke uitoefening van het recht om bezwaar te maken door betrokkenen, en (ii) kwesties met betrekking tot de procedure die wordt gevolgd door gegevensbeheerders en verwerkers bij het afhandelen van klachten van betrokkenen.

Drie specifieke elementen die relevant zijn voor de uitoefening van het recht om bezwaar te maken: (i) de informatie die aan de betrokkene wordt verstrekt over het recht om bezwaar te maken,3 (ii) de oplossingen – inclusief technische oplossingen – die zijn aangenomen om de uitoefening van dit recht gemakkelijker, en (iii) de implementatie van passende procedures om dergelijke verzoeken te behandelen. De eerste twee elementen worden in deze paragraaf besproken, terwijl de laatste in paragraaf II.3.

Verschillende gevallen betreffen niet-naleving van de AVG omdat de verwerkingsverantwoordelijke de betrokkenen geen informatie heeft verstrekt over het recht om bezwaar te maken, in tegenstelling tot artikel 13, lid 2, onder b) [EDPBI:ES:OSS:D:2021:263] .4 Een voorbeeld hiervan was een in 2021 besloten zaak waarin de klager direct marketing per e-mail van een bank ontving zonder informatie te ontvangen over het recht om bezwaar te maken tegen de verwerking van persoonsgegevens voor directmarketingdoeleinden, overeenkomstig artikel 21, lid 4 AVG [EDPBI:NO:OSS:D:2021:292]. Betrokkenen werden getarget met directmarketing-e-mails zonder de mogelijkheid om zich af te melden bij het registreren van hun e-mailadressen, en konden dit alleen doen door hun voorkeuren te wijzigen nadat ze toegang hadden tot de onlinebankierservice, of door contact op te nemen met de klantenservice.

De verwerkingsverantwoordelijke kan de uitoefening van de rechten van betrokkenen vergemakkelijken en dat, in het kader van diensten van de informatiemaatschappij, het recht om bezwaar te maken op geautomatiseerde wijze kan worden uitgeoefend met behulp van technische oplossingen. Hoewel tekortkomingen met betrekking tot de uitoefening van de recht van bezwaar maken vaak deel uit van een breder gebrek aan naleving door gegevensbeheerders, een focus op het ontwerp van de juridische en technische oplossingen die worden gebruikt om de uitoefening van dit recht mogelijk te maken. In de onderzochte gevallen werd de betrokkenen niet om een verzoek in juridische termen gevraagd, aangezien zelfs een generiek verzoek om geen verdere marketingboodschappen te ontvangen (zoals “Ik vraag om een garantie dat dit zichzelf niet zal herhalen”,) als passend kan worden beschouwd.