Een nieuw jaar in het teken van verwachting

Juridische Watch nr. 42 – December 2021

Een nieuw jaar in het teken van verwachting

Op het gebied van gegevensbescherming kondigt het nieuwe jaar geen grote ontwikkelingen aan, maar eerder een evolutie en wellicht strategische beslissingen over bepaalde actuele kwesties.

Laten we ons concentreren op drie daarvan: de implementatie van de AVG door toezichthoudende autoriteiten, gezondheidskwesties en de regulering van digitale giganten.

Een van de terugkerende thema's sinds de inwerkingtreding van de AVG betreft de ernst van de implementatie ervan door nationale gegevensbeschermingsautoriteiten. en het grote verschil tussen het aantal en de ernst van de opgelegde sancties, afhankelijk van de vraag of de verantwoordelijke persoon zich bijvoorbeeld in Ierland of Spanje bevindt.

Het lijkt erop dat dit laatste land tot de landen behoort die het grootste aantal sancties hebben opgelegd, terwijl Luxemburg en de CNIL de hoogste boetes kunnen claimen tegen GAFAM (denk aan de boete van 746 miljoen euro die Luxemburg oplegde aan het bedrijf Amazon).

Aan de andere kant van het spectrum staat de Ierse autoriteit voor gegevensbescherming. Deze autoriteit is openlijk bekritiseerd door enkele van haar collega-autoriteiten, en ook door de vicevoorzitter van de Europese Commissie, vanwege haar laksheid tegenover grote webspelers.

Om de samenhang en effectiviteit van controleprocedures binnen Europa te versterken, wordt gesproken over het versterken van de bevoegdheden van de Europese Raad voor Gegevensbescherming (EDPB).

Het onderwerp zal worden besproken tijdens een conferentie die op 16 en 17 juni in Brussel wordt georganiseerd door de Europese Toezichthouder voor gegevensbescherming.

De verwerking van gezondheidsgegevens is, gezien de gezondheidscrisis, een ander belangrijk aandachtspunt..

Zijn bezorgd

• Vragen met betrekking tot medische onderzoeksomstandigheden,
• De verwerking van genetische gegevens en de risico's van wederverkoop door bepaalde laboratoria van gegevens die zijn verzameld in het kader van screeningtests, zoals blijkt uit de recente Britse zaak van het bedrijf Signpost Diagnostics,
• Het volgen van personen via apps en andere gezondheidspassen, 

• En tot slot de risico's op het gebied van gegevensbeveiliging: we denken hierbij met name aan het datalek bij de Covid-testresultaten van het bedrijf FranceTest, dat in oktober vorig jaar door de CNIL formeel werd bevolen zijn gegevens te beveiligen, of aan het datalek bij Assistance Publique-Hôpitaux de Paris.

Hoewel de CNIL regelmatig standpunten over dit onderwerp publiceert, merken wij op dat zij in haar beraadslaging in het parlement van 30 november heeft aangegeven dat zij wacht op elementen van de regering ter ondersteuning van de doeltreffendheid van de dossiers en de toegepaste controlemiddelen.

Een derde actueel thema betreft de regelgevende initiatieven van de Europese Unie op het gebied van digitale diensten en kunstmatige intelligentie.

Naast het beheer van cookies, dat nog steeds onder het vizier van de nationale autoriteiten valt, maakt de Europese wetgever zich zorgen over de groeiende macht van webgiganten, deze tussenpersonen met een dominante positie die berichtendiensten en sociale netwerkdiensten aanbieden.

Ook het gebruik van biometrie en kunstmatige intelligentie voor steeds indringendere profileringsdoeleinden en de manipulatie van internetgebruikers zonder hun medeweten (dark patterns) door het presenteren van gerichte content komen ter discussie.

Momenteel worden op Europees niveau verschillende teksten aangenomen, waaronder twee voorstellen van de Europese Commissie over digitale markten en digitale diensten en een voorstel over kunstmatige intelligentie. 

Het Europees Parlement heeft op 5 december zijn standpunt over het voorstel over digitale markten aangenomen.

Een van de wijzigingen in de tekst is de toevoeging van een vereiste voor interoperabiliteit tussen de diensten van de belangrijkste platforms voor instant messaging en sociale netwerken. Het doel hiervan is om gebruikers in staat te stellen eenvoudig van dienstverlener te veranderen en dominante posities te bestrijden.

Aan het begin van het Franse voorzitterschap van de Raad van de Europese Unie heeft de Europese Toezichthouder voor gegevensbescherming zojuist zijn beste wensen voor succes aan de Franse regering overhandigd. Hij benadrukte daarbij het belang van deze drie grote thema's met betrekking tot digitale technologie en kunstmatige intelligentie en gaf aan dat hij de ontwikkelingen op deze gebieden nauwlettend zal volgen.

Hoewel sommige prioriteiten al duidelijk lijken te zijn, laten we hopen dat dit nieuwe jaar ons allemaal een aantal aangename verrassingen brengt, maar ook eindelijk een hoop frisse wind.

En ook

Frankrijk:

De CNIL heeft het bedrijf op 6 januari gesanctioneerd Google ter waarde van 150 miljoen euro, en het bedrijf Facebook tot 60 miljoen euro wegens het niet naleven van de wettelijke bepalingen inzake cookies.

Op 28 december legde de CNIL het bedrijf een boete op van 300.000 euro. GRATIS MOBIEL, met name omdat de website de rechten van natuurlijke personen en de veiligheid van de gegevens van haar gebruikers niet heeft gerespecteerd.

Op dezelfde datum heeft het bedrijf ook een sanctie opgelegd SLIMPAY, dat betaaloplossingen aan zijn klanten aanbiedt, kreeg een boete van 180.000 euro omdat het de persoonsgegevens van gebruikers niet afdoende beschermde en hen niet op de hoogte stelde van een datalek.

De voorzitter van de CNIL heeft het bedrijf op 26 november formeel op de hoogte gesteld CLEARVIEW AI om te stoppen met het verzamelen van foto’s en video’s die online beschikbaar zijn, en om de gegevens binnen 2 maanden te verwijderen.

Het bedrijf heeft software voor gezichtsherkenning ontwikkeld waarvan de database is gebaseerd op het ophalen van foto's en video's die openbaar beschikbaar zijn op internet.

A nieuwe versie van de CNIL-ontwikkelaarsgids is zojuist gepubliceerd. Deze gids biedt nieuwe content die is ontworpen om professionals in web- en applicatieontwikkeling te ondersteunen bij het waarborgen van de naleving van de wet- en regelgeving.

Daar SNCF In december verplaatste het bedrijf zijn 7.000 servers en 250 applicaties naar de cloud van Amazon, meer specifiek naar drie datacenters in de regio Parijs.

Het doel van het bedrijf is bovendien om het gebruik van kunstmatige intelligentie uit te breiden.

Europa

DE Europees Comité voor gegevensbescherming heeft op 14 december richtlijnen gepubliceerd om gegevensbeheerders te helpen bij het omgaan met beveiligingsinbreuken.

De tekst bevat een groot aantal voorbeelden en werkt de te nemen maatregelen uit, afhankelijk van het soort overtreding.

Het Bureau van de Europese Unie voor de grondrechten (FRA) publiceert in samenwerking met gegevensbeschermingsautoriteiten een gids die asielzoekers en migranten beter moet informeren over het gebruik van hun vingerafdrukken.

Bij een aanhouding aan de buitengrens van de Europese Unie moeten zij hun vingerafdrukken afgeven. Deze worden opgeslagen in het Eurodac-bestand.

De administratieve rechtbank van Wiesbaden Op 1 december heeft een Duits bedrijf de Hogeschool RheinMain opgedragen om het gebruik van de toestemmingsmanager "Cookiebot" volledig te staken. De reden hiervoor was de illegale overdracht van websitebezoekersgegevens naar de Verenigde Staten.

De Finse Autoriteit voor gegevensbescherming heeft op 7 december een psychotherapiebedrijf een boete van ruim € 600.000 opgelegd omdat het bedrijf de beveiliging van patiëntgegevens niet adequaat had gewaarborgd en de patiënten niet had geïnformeerd over twee beveiligingsinbreuken die tot chantage jegens de betrokken patiënten en het bedrijf zelf hadden geleid.

De Noorse Autoriteit voor gegevensbescherming een boete van 6.300.000 euro opgelegd aan Grindr om de gegevens van haar gebruikers te delen met derden voor profilerings- en reclamedoeleinden, zonder hun toestemming.

De Nederlandse Belastingdienst kreeg een boete van € 2.750.000 opgelegd wegens het verwerken van gegevens zonder wettelijke basis en in strijd met het billijkheidsbeginsel (artikelen 5(1)(a) en 6(1)(e) AVG).

Het Belgische Ministerie van Defensie werd op 20 december het slachtoffer van een ernstige cyberaanval die werd veroorzaakt door de Log4Shell-malware. Deze aanval had dagenlang invloed op de activiteiten van de overheid. 

De Belgische Gegevensbeschermingsautoriteit legde een bedrijf een boete op van 10.000 euro omdat het een database had aangeschaft voor direct marketingdoeleinden, zonder te controleren of de gegevens legaal waren verzameld.

Het bedrijf heeft de betrokkenen ook niet op de hoogte gesteld van deze indirecte verzameling en heeft evenmin gereageerd op een verzoek van een betrokkene om toegang.

Internationaal :

Amazon heeft verschillende patentaanvragen ingediend voor biometrische technologieën waarmee videofooncamera's verdachte personen kunnen detecteren op basis van diverse criteria: geur, huidstructuur, vingerafdrukken, ogen, stem en manier van lopen.

Daar Zuid-Korea wordt sinds 17 december beschouwd als een passend beschermingsniveau. Het besluit van de Europese Commissie komt enkele maanden na de sluiting van een vrijhandelsovereenkomst tussen de Europese Unie en Korea, die in juli 2021 van kracht werd.

Vanaf 15 februari is de Chinese overheid zal Chinese bedrijven met internationale bedrijfsactiviteiten onderwerpen aan een reeks cyberbeveiligingsmaatregelen.

De controles zijn bedoeld om de overdracht van strategische gegevens naar het buitenland te beperken.