Boom Basics Privacyrecht

I Inleiding 13

Deel 1 Ontwikkeling privacyrecht 15
II Ontwikkeling privacyrecht internationaal 17
1 Universele Verklaring van de Rechten van de Mens 17
2 Europees Verdrag voor de Rechten van de Mens 18
3 Internationaal Verdrag inzake burgerrechten en politieke rechten 19
4 Resoluties 73/22 & 74/29 20
5 OECD-Guidelines 21
6 Verdrag van Straatsburg 21

III Ontwikkeling privacyrecht EU 23
7 Privacyrichtlijn 23
8 EU-Handvest 25
9 Verdrag van Lissabon 26
10 Algemene verordening gegevensbescherming (AVG) 27
11 De AVG in relatie tot Liechtenstein, Noorwegen, IJsland en Zwitserland 32

IV Ontwikkeling privacyrecht Nederland 34
12 Grondwet 34
13 Wet persoonsregistraties 34
14 Wet bescherming persoonsgegevens 35
15 Uitvoeringswet Algemene verordening gegevensbescherming 36

V Privacyrecht en andere grondrechten 38

Deel 2 Basisbegrippen persoonsgegevensbescherming 41
VI Soorten persoonsgegevens 43
16 Persoonsgegevens 43
17 Bijzondere categorieën van persoonsgegevens 47
18 Gevoelige persoonsgegevens of persoonsgegevens van zeer persoonlijke aard 50
19 Pseudonieme persoonsgegevens 52
20 Anonieme gegevens 53

VII Verwerkingsverantwoordelijke en verwerker 56
21 Verwerkingsverantwoordelijke 56
22 Gronden verwerkingsverantwoordelijkheid 56
23 Meerdere verwerkingsverantwoordelijken 59
24 Verwerker 62
25 Werknemers e.a. 64
26 Matching theorie en praktijk 65

VIII Overige kerndefinities 67
27 Verwerking 67
28 Betrokkene 67
29 Derde 68
30 Ontvanger 68
31 Derde landen 68

Deel 3 Reikwijdte en basisvereisten AVG/UAVG 69
IX Reikwijdte AVG/UAVG 71
32 Materieel toepassingsgebied: hoofdregel 71
33 Materieel toepassingsgebied: uitzonderingen 72
34 Territoriaal toepassingsgebied: wel/geen vestiging in de EU 78
35 Territoriaal toepassingsgebied: vestiging in de EU 79
36 Territoriaal toepassingsgebied: geen vestiging in de EU 80
37 Vertegenwoordiger 83

X Gegevensbeschermingsbeginselen 86
38 Rechtmatigheid, behoorlijkheid en transparantie 86
39 Doelbinding 86
40 Minimale gegevensverwerking 89
41 Juistheid 91
42 Opslagbeperking 92
43 Integriteit en vertrouwelijkheid 92

XI Grondslagen voor verwerking 93
44 Toestemming 93
45 Uitvoering overeenkomst 99
46 Wettelijke verplichting 101
47 Vitale belangen 103
48 Algemeen belang of uitoefening van openbaar gezag 104
49 Gerechtvaardigde belangen 106

XII Bijzondere en gevoelige persoonsgegevens 113
50 Algemene uitzonderingen 113
51 Specifieke uitzonderingen 117
52 Strafrechtelijke gegevens 119
53 Nationaal identificatienummer 121

XIII Bescherming van kinderen 123
54 Bescherming van kinderen 123

Deel 4 Nadere vereisten AVG 127
XIV Verantwoordingsplicht 129
55 Verantwoordingsplicht 129
56 Opstellen privacybeleid 130
57 Inhoud privacybeleid 131
6 Boom Basics

XV Privacy ‘by design’ en ‘by default’ 133
58 Privacy by design 133
59 Privacy by default 134
60 Aantonen privacy by design en by default 135

XVI Functionaris voor gegevensbescherming (FG) 136
61 Verplicht aanstellen FG 136
62 Vrijwillig aanstellen FG 138
63 Soorten FG’s 139
64 Vereisten FG 140
65 Taken FG 141
66 Middelen ter beschikking van FG 142
67 Verplichtingen jegens FG 143
68 Waarborgen onafhankelijkheid FG 143
69 Informeren/documenteren over FG 144

XVII Gegevensbeschermingseffectbeoordeling (DPIA) 146
70 Verplichte DPIA 146
71 Niet verplichte DPIA 150
72 Uitvoeren DPIA 151
73 Eén of meer verwerkingen 153
74 Betrokken partijen 154
75 Doorlopende verplichting 155
76 Uitkomsten DPIA 156
77 Voorafgaande raadpleging 156

XVIII Verwerkingsregisters 161
78 Verwerkingsregister verwerkingsverantwoordelijken 161
79 Verwerkingsregister verwerkers 162
80 Uitzonderingen verplichting verwerkingsregister 163
81 Soorten verwerkingsregisters 164

XIX Transparantievereiste en informatieplicht 165
82 Informatie die moet worden verstrekt 165
83 Wijze van informatieverstrekking: vorm 172
84 Wijze van informatieverstrekking: inhoud 174
85 Moment van informatieverstrekking 176
86 Verandering van de verwerking 177
87 Uitzonderingen op de informatieplicht 178

XX Gegevensverwerkingsovereenkomsten 182
88 Soorten overeenkomsten 182
89 Redenen sluiten gegevensverwerkingsovereenkomsten 182
90 Regels inschakelen verwerker 185
91 Vereisten verwerkersovereenkomst 186
92 Gegevensverwerkingsovereenkomst gezamenlijke verwerkingsverantwoordelijken 189

XXI Doorgifte 192
93 Doorgifte van persoonsgegevens 192
94 Legitimatievormen doorgifte 193
95 Adequaatheidsbesluit 193
8 Boom Basics
96 Privacy Shield 194
97 Passende waarborgen 195
98 Specifieke wettelijke uitzonderingen 198
99 Kritiek op doorgiftemechanismen 201

XXII Beveiliging 203
100 Belang beveiliging 203
101 Vereiste beveiliging 204
102 Plan-do-check-act-cyclus 206
103 Beveiligingsstandaarden, goedgekeurde gedragscodes en certificeringsmechanismen 208
104 Voorbeelden van beveiligingsmaatregelen 210
105 Waarborgen beveiliging bij interne en externe partijen 213
106 Evalueren beveiliging 214

XXIII Datalekken 215
107 Definitie datalek 215
108 Melding bij privacytoezichthouder 216
109 Mededeling aan betrokkenen 218
110 Beoordelen of sprake is van een (hoog) risico 220
111 Partij die moet melden 223
112 Vereisten melding aan Autoriteit Persoonsgegevens 225
113 Vereisten mededeling aan betrokkenen 227
114 Termijn 228
115 Documentatieplicht 230

XXIV Bewaartermijnen 232
116 Maximale bewaartermijnen: hoofdregel 232
117 Maximale bewaartermijnen: uitzonderingen 233
118 Minimale bewaartermijnen 236

Deel 5 Rechten van betrokkenen 239
119 Algemene regels en uitzonderingen 239

XXV Recht van inzage 243
120 Reikwijdte inzagerecht 243
121 Specificaties met betrekking tot de verwerking 244
122 Kopie van de persoonsgegevens 245

XXVI Recht op rectificatie 248
123 Reikwijdte recht op rectificatie 248
124 Kennisgeving rectificatie 249

XXVII Recht op gegevenswissing 251
125 Toepasselijkheid recht op gegevenswissing 251
126 Uitzonderingen recht op gegevenswissing 254
127 Kennisgeving gegevenswissing 255

XXVIII Recht op beperking van de verwerking 256
128 Toepasselijkheid recht op beperking van de verwerking 256
129 Reikwijdte recht op beperking van de verwerking 257
130 Manier van beperking van de verwerking 258
131 Kennisgeving beperking van de verwerking 259
132 Opheffing recht op beperking van de verwerking 259

XXIX Recht op overdraagbaarheid van gegevens 260
133 Reikwijdte recht op overdraagbaarheid van gegevens 260
134 Ontvangende partij bij gegevensoverdracht 261
135 Uitzonderingen en beperkingen recht op overdraagbaarheid van gegevens 262
136 Wijze van gegevensoverdracht en interoperabiliteit 263
137 Verantwoordelijkheid bij gegevensoverdracht 265

XXX Recht van bezwaar 266
138 Toepasselijkheid recht van bezwaar 266
139 Bijzondere situaties 266
140 Informeren 268

XXXI Recht met betrekking tot geautomatiseerde besluitvorming en profiling 269
141 Geautomatiseerde besluitvorming 269
142 Profiling 270
143 Recht met betrekking tot geautomatiseerde besluitvorming en profiling 271
144 Uitzonderingen recht met betrekking tot geautomatiseerde besluitvorming en profiling 272

XXXII Andere rechten van betrokkenen 275
145 Intrekken toestemming 275
146 Klacht privacytoezichthouder 275

XXXIII Wijze van voldoen aan rechten van betrokkenen 277
147 Wijze van voldoen aan rechten van betrokkenen 277

Deel 6 Rechtsmiddelen, toezicht en handhaving 281
XXXIV Rechtsmiddelen 283
148 Rechtsmiddelen 283

XXXV Privacytoezichthouders 287
149 Europese privacytoezichthouders 287
150 Competentie Autoriteit Persoonsgegevens 288
151 Taken Autoriteit Persoonsgegevens 288
152 Bevoegdheden Autoriteit Persoonsgegevens 290

Trefwoordenregister 293