Gegevensbescherming in volle gang

Legal Watch nr. 20 – 10 februari 2020

Dit is wat we ons herinneren van de eerste weken van dit nieuwe jaar, met talrijke debatten ter gelegenheid van belangrijke gebeurtenissen:

• Internationale Dag van de Gegevensbescherming op 28 januari,
• De internationale conferentie over gegevensbescherming die de week ervoor in Brussel door de academische sector werd georganiseerd, en
• Het International Cybersecurity Forum in Lille, eind januari.

Ook in februari vindt in Parijs de door de International Association of DPOs (IAPP) georganiseerde conferentie over ‘intensieve gegevensbescherming’ plaats.

Van de vele onderwerpen die aan bod komen, springen er twee in het oog: de intensivering van de debatten over gezichtsherkenning en de specifieke situatie van kleine en middelgrote ondernemingen (mkb's) met betrekking tot de AVG.

Gezichtsherkenning in twijfel

Wat eind januari de lont in het kruitvat stak, was de hypothese, naar voren gebracht in een witboek van de Europese Commissie, van een moratorium over gezichtsherkenning op openbare plaatsen.

Dit document was in de ontwerpfase niet bedoeld voor verspreiding. De Commissie heeft inmiddels aangekondigd dat zij de mogelijkheid van een moratorium laat varen en dat zij prioriteit geeft aan andere vormen van regulering.

Op 19 februari presenteert ze haar paper over kunstmatige intelligentie.

Het idee om de automatische herkenning van mensen op bepaalde plaatsen strenger te reguleren of zelfs te verbieden, vindt zijn weg naar toezichthouders, naar de private en publieke sector en zelfs buiten Europa.

Onder andere de Europese Toezichthouder voor gegevensbescherming (EDPS) en de Gegevensbeschermingscommissaris van de Raad van Europa hebben zich over dit onderwerp uitgesproken.

Ook de Europese Raad voor gegevensbescherming (EDPB) besteedt aandacht aan dit onderwerp in zijn nieuwste richtsnoeren, die eind januari zijn aangenomen.

Steeds meer steden, zoals San Francisco en Cambridge, verbieden deze technologie in de openbare ruimte.

De mogelijke toepassingen van data creëren zoveel onzekerheid dat ook techgiganten als Microsoft om meer duidelijkheid vragen.

Onder de argumenten die naar voren zijn gebracht, merken wij in het bijzonder op: risico's van discriminatie op basis van etnische afkomst en andere vooroordelen die leiden tot te veel “vals-positieve resultaten”.

Het vooruitzicht van een openbare ruimte onder volledig toezicht roept ook vragen op in het licht van de huidige mogelijkheden voor gegevensverzameling: we denken bijvoorbeeld aan de database van Clearview, het bedrijf dat gezichten opslaat die toegankelijk zijn op alle sociale netwerken om ze te verkopen aan de politie in de Verenigde Staten en dat begin dit jaar in het nieuws kwam.

Ook de internationale dimensie van het probleem verdient aandacht.

Dit blijkt uit de recente parlementaire vraag op Europees niveau over het in Servië ontwikkelde project "Safe City", gebaseerd op Chinese gezichtsherkenningstechnologie. 

De situatie van kleine en middelgrote ondernemingen en het midden- en kleinbedrijf

Tijdens de verschillende evenementen in januari werd tijdens de debatten aandacht besteed aan de belangrijkste uitdagingen waarmee (zeer) kleine en middelgrote ondernemingen worden geconfronteerd.

Als zij het grootste deel van de Europese economie vertegenwoordigen, zij zijn het meest achtergesteld bij het aanpakken van vraagstukken op het gebied van de beveiliging van hun IT-platform, het gebruik van de cloud, outsourcing en het gebruik van self-assessment tools (audits).

Geconfronteerd met deze vragen, verschillende initiatieven het daglicht hebben gezien. 

ENISA (het Agentschap van de Europese Unie voor cyberbeveiliging) heeft op 28 januari een onlineplatform gelanceerd om bedrijven, met name het midden- en kleinbedrijf, te helpen hun gegevens te beveiligen.

Er zijn ook twee initiatieven die erop gericht zijn websiteontwikkelaars te helpen: de CNIL-gids en die van de EDRI-organisatie, die de ontwikkeling van websites in overeenstemming met de AVG ondersteunen.

Hoewel het kiezen van een veilige (en idealiter Europese) cloud complex blijft, is het de moeite waard om de inspanningen van Europese toezichthouders op dit gebied te vermelden. Microsoft heeft bijvoorbeeld onlangs onder druk van de EDPS en Nederland de contractvoorwaarden van Office 365 aangepast om ze in overeenstemming te brengen met de AVG.

En ook:

In Frankrijk:

Zoals aangekondigd heeft de CNIL op 14 januari 2020 een conceptaanbeveling gepubliceerd betreffende degebruik van cookies en andere trackers.

Het beoogt de voorwaarden voor het verkrijgen van toestemming te verduidelijken en bevat concrete voorbeelden van kennisgevingen aan internetgebruikers. De tekst ligt tot 25 februari ter consultatie.

In Europa:

Daar De uittreding van het Verenigd Koninkrijk uit de Europese Unie gevolgen hebben voor de gegevensoverdracht.

Er zal desondanks zijn geen verandering gedurende het jaar 2020, een overgangsjaar waarin de Europese Commissie het beschermingsniveau dat het Verenigd Koninkrijk biedt, beoordeelt om eventueel een adequaatheidsbesluit te kunnen nemen. 

De persberichten van de ICO (Britse toezichthoudende autoriteit) en de CNIL specificeren deze elementen.

Internationaal :

• VERENIGDE STATEN : Na de inwerkingtreding begin 2020 van de Californische wet op de privacy van consumentenis het de beurt aan de staat Washington om een wetsvoorstel over privacy op te stellen.

• Indonesië : A wet op de gegevensbescherming werd op 28 januari in het parlement ingediend. De meest recente versie dateert van 6 december 2019 en is grotendeels geïnspireerd door de AVG. Deze is van toepassing op zowel de publieke als de private sector.

Ter herinnering: hier vindt u de lijst met landen waarvan de wetgeving door de Europese Unie als adequaat wordt beschouwd en de doorgifte van gegevens naar deze landen vergemakkelijkt.

• Andorra,
• Argentinië,
• Canada (commerciële organisaties),
• Faeröer Eilanden,
• Guernsey,
• Israël,
• Eiland Man,
• Japan,
• Jersey,
• Nieuw-Zeeland,
• Zwitserland,
• Uruguay en de
• Verenigde Staten van Amerika (beperkt tot het Privacy Shield-framework)

Anne Christine Lacoste

Anne Christine Lacoste is partner bij Olivier Weber Avocat en is een advocaat gespecialiseerd in gegevensrecht. Zij was hoofd internationale betrekkingen bij de Europese Toezichthouder voor gegevensbescherming en werkte aan de implementatie van de AVG in de Europese Unie.