21-03-16

1

AVG!

DeAlgemeneVerordeningGegevensbescherming

22maarten5april2016

AlgemeneVerordening

Gegevens-beschermingDe

programma

DAG1|dinsdag22maart§  AVG:eenintroduc=eG-J.Zwenne§  AVGophoofdlijnen(enindetail)

G-J.Zwenne§  Voorbereidingvanuworganisa=e

(workshop)J-PvanSchoonhoven§  Interna=onalegegevensdoorgiHe

enoutsourcingB.vanderEijk

DAG2|dinsdag5april§  Klantprofielen,marke=ngenmeer

G-J.Zwenne&B.vanderEijk§  MeldplichtdatalekkenG-J.

Zwenne§  Accountabilityindeprak=jkM.

Wubben§  Toezichtenrechtsbescherming

Steenbrugge

docenten

21-03-16

2

snelleintroducFe

DeAlgemeneVerordeningGegegevensbescherming:eenintroduc9eprof.mr.Gerrit-JanZwenne

22maart2016

introducFe

Een

DeAlgemeneVerordeningGegevensbescherming(eenintroduc=e)

§  Waaromeenverordeningenwatbetekentdat?

§  Watisderela=emetrichtlijnen95/46/EGen2002/58/EG

§  WelkelagereregelgevingkomternoguitBrusselenDenHaag?

§  Watzijndediscussiesenwatisdestandvanzaken?

§  jargonwatch

waarom…?

§  waaromeigenlijkgegevens-bescherming?

§  waarombemoeitEuropazichermee?

§  watisermismetrichtlijn95/46/EG?

§  waarinverschilteenrichtlijnvaneenverordening?

§  waarinverschiltdezeverordeningvanderichtlijn?

7

waaromgegevensbescherming?

21-03-16

3

waarbemoeitEuropazichmee?

dataprocessing1960's1970verabschiedeteHessendasweltweitersteDatenschutzgesetz

1970enkelelidstatenhebbenstrenge

(kostbare)privacywePen

prikkelomgegevenselderste

verwerken

verbodvangegevens-

doorgiQenaarlandenmetlagerbeschermings-

niveau

harmoniseren!

ontwijkingvanprivacyregels

doelstellingenvanrichtlijn95/46/EG

§ bevorderenwerkingvandeinternemarkt,én

§ waarborgenvaneenhoogniveauvanbescherming

watisermismetrichtlijn95/46/EG?

(7)Theobjec=vesandprinciplesofDirec=ve95/46/ECremainsound,butithasnotpreventedfragmenta=oninthewaydataprotec=onisimplementedacrosstheUnion,legaluncertaintyandawidespreadpublicpercep=onthattherearesignificantrisksfortheprotec=onofindividualsassociatednotablywithonlineac=vity.Differencesinthelevelofprotec=onoftherightsandfreedomsofindividuals,notablytotherighttotheprotec=onofpersonaldata,withregardtotheprocessingofpersonaldataaffordedintheMemberStatesmaypreventthefreeflowofpersonaldatathroughouttheUnion.Thesedifferencesmaythereforecons=tuteanobstacletothepursuitofeconomicac=vi=esattheleveloftheUnion,distortcompe==onandimpedeauthori=esinthedischargeoftheirresponsibili=esunderUnionlaw.Thisdifferenceinlevelsofprotec=onisduetotheexistenceofdifferencesintheimplementa=onandapplica=onofDirec=ve95/46/EC.

fragmenta=eenrechtsonzekerheid

‘publicpercep=onofsignificantrisksforprotec=onofindividuals’

obstakelvooreconomischeac=viteit

verstoringvanconcurren=e

21-03-16

4

richtlijnofverordening:watishetverschil?

verordeningeenbindenderechtshandelingdieindeheleEUvantoepassingis

richtlijneenrechtshandelingdieeenbepaalddoelvastlegtdatalleEU-landenmoetenbereikenmaarzijmogenzelfdewetgevingvaststellenomdatdoeltebereiken

Europesewetdiegeldtvooriedereen

indeEU

instrucFeaannaFonalewetgevers

doelstellingen,belangenenrechten

contribuFontofreedom,security

andjusFce

economicandsocialprogress

strengtheningandconvergenceoftheeconomieswithinthe

internalmarket

thewell-beingofindividuals

righttorespectforprivateandfamilylife,homeandcommunicaFons

freedomofthought,conscienceand

religion

freedomofexpressionandinformaFon

thefreedomtoconductabusiness

righttoaneffecFve

remedyandtoafairtrial

cultural,religiousandlinguisFcdiversity

recitals2,5

protecFonofpersonaldata

waarinverschiltdeverordeningvanderichtlijn?verordening§  ca.170overwegingen(75bldz.)§  ca.94bepalingen(128bldz.)§  26defini=es(art.4GDPR)

richtlijn95/46/EG:•  72overwegingen(7bldz.)•  34bepalingen(12bldz.)•  8definiFes

§  uitgebreidereterritorialewerkingssfeer

•  ac=viteitenvanverantwoordelijkeénbewerker(art.3(1)GDPR)

•  aanbiedenvandienstenaandatasubjectsindeEUofmonitorenvanhungedragingen(art.3(2)GDPR)

§  gedetailleerdereregels,meerver-plich=ngenvoorverantwoordelijkenenbewerkers,meerrechtenvoordatasubjecten,meerformaliteiten

§  meerbevoegdhedenvoortoezicht-houdersenhogereboetes

watmogenlidstatennogzelfregelen?

§  children’sconsentregardingprovisionofonlineservices(art.8(1)GDPR)

§  validityofexplicitconsentforprocessingspecialdata(art.9(2)GDPR)

§  processingspecialdatainthecontextofemploymentorsocialsecurity,healthcareandarchiving(art.9(2)GDPR)

§  processingcriminaldata(art.9aGDPR)

§  exemp=onstoinforma=onobliga=ons(art.14a(4)cGDPR)

§  restric=ontoRtbF(art.17(1)eGDPR)

§  automateddecisionmaking(art.20(1a)bGDPR)

§  restric=onstodatasubjectrights(art.21GDPR)

§  priorconsulta=on(art.34(7a)GDPR)

§  designa=onofDPO’s(art.35(4)GDPR)

§  3rdcountrytransferofspecialdata(art.44(5a)GDPR)

§  penal=es(art.79bGDPR)

§  freedomofexpressionandinforma=on(art.80GDPR)

§  employmentcontext(art.82GDPR)

§  obliga=onsofprofessionalsecrecy(art.84GDPR)

§  churchesandreligiousassocia=ons(art.85GDPR)

21-03-16

5

welkelagereEU-regelgevingkomternog?

ThepowertoadoptdelegatedactsisconferredontheCommission(art.86(1)GDPR)

§  standardisedicons(art.12(4c)GDPR)

§  cer=fica=onmechanismsandDPSeals(art.39a(7)GDPR)

§  exchangeofinforma=onbetweenDPA’sandEDPB(art62GDPR)

Enverdernatuurlijkook…§  standardcontractualclauses(art.

26(2b)GDPR)§  generalvalidityofcodesof

conduct(art.38(4)GDPR)§  adequacydecisions(art.41GDPR)

fragmenta=e:minderminder..?

§  onverminderdveelvagenormenenopenbegrippen

§  naFonaletoezichthoudersennaFonalerechtersblijvenbevoegd

§  veellagerewetgevingopnaFonaalniveau

watleverthetop?

TheRegulaFonwillestablishasingle,pan-EuropeanlawfordataprotecFonmeaningthatcompaniescansimplydealwithonelaw,not28.ThenewruleswillbringbenefitsofanesFmated€2.3billionperyear.

TheRegulaFonwillestablishasingle,pan-EuropeanlawfordataprotecFonmeaningthatcompaniescansimplydealwithonelaw,not28.ThenewruleswillbringbenefitsofanesFmated€2.3billionperyear.

LawEnforcementAgencies(“LEA”)Direc=ve

21-03-16

6

standvanzaken

Q1-Q22016 stemmingEPQ1-Q22018 inwerkingtreding

20dagennapublicaFePbEU

jargonwatch

AVG GDPR DPD PDDPA DPO DPIA PIASCCs C2C C2P P2PBCR CIPP/E DDPA

AVGophoofdlijnen(enindetail)prof.mr.Gerrit-JanZwenne

22maart2016

ophoofd-lijnen…

enindetail..?tsss..

WatzegtdeVerordeningover…

spelers§  betrokkene§  verantwoordelijke§  bewerkerspeelveld§  werkingssfeerenreikwijdte§  persoonlijkeofhuishoudelijkedoeleinden

§  journalis=ekeuitzondering

spelregels§  toestemmingenandereverwerkingsgrondslagen

§  doelbindingenbewaartermijnen

§  gegevensminimalisa=e

§  rechtenvanbetrokkenen,incl.profilering

21-03-16

7

spelers

§  betrokkene

§  verantwoordelijke§  bewerkers

§  toezichthouder

§  func=onaris

strengtheninganddetailingtherightsofdatasubjects(recitalnr.9)

moreenforceableobligaFonsandresponsibiliFes,forboth

anessenFalcomponentoftheprotecFonofindividuals(recital92)

mandatoryappointmentofDPOwasdeemedacceptableinstrictlylimitedcases

func=onaris(‘DPO-’)

mandatory§  publicauthorityorbody

§  controllerorprocessorcoreac=vi=esconsistofprocessingopera=onsrequireregularandsystema=cmonitoringofdatasubjectsonalargescale

§  controllerorprocessorcoreac=vi=esconsistofprocessingonalargescaleofspecialdata

byvirtueoftheirnature,theirscopeand/ortheirpurposes.

exceptforcourtsacFngintheirjudicialcapacity

func=e-omschrijvingfunc=onaris

§  informandadviseonDP-obliga=ons

§  monitorcomplianceofobliga=ons

§  adviseonDPIAS§  co-operateandcontactwithDPA

DataProtecFonImpactAssessments

speelveld

§  werkingssfeerenreikwijdte§  persoonlijkeenhuishoude-

lijkedoeleinden§  journalis=ekeuitzondering •  begripvanpersoonsgegevenen

‘single-out’•  reikwijdte(‘materialscope’)•  werkingssfeer(‘territorialscope’)

•  enbuitenlandsbeleid•  veiligheidenjusFFe

21-03-16

8

iden=fiedorsingledout…

'datasubject'meansanidenFfiednaturalpersonoranaturalpersonwhocanbeidenFfiedorsingledout,directlyorindirectly,aloneorincombinaFonwithassociateddata,bymeansreasonablylikelytobeusedbythecontrollerorbyanyothernaturalorlegalperson,inparFcularbyreferencetoauniqueidenFfier…

Cf.Art.29WPOpinions04/2007,

01/2012and08/2012

“themanwearingablacksuit”

EvenancillaryinformaFon,suchas"themanwearingablacksuit"mayidenFfysomeoneoutofthepassers-bystandingatatrafficlight

single-out?

(23)TheprinciplesofdataprotecFonshouldapplytoanyinformaFonconcerninganidenFfiedoridenFfiablenaturalperson.DatawhichhasundergonepseudonymisaFon,whichcouldbeaPributedtoanaturalpersonbytheuseofaddiFonalinformaFon,shouldbeconsideredasinformaFononanidenFfiablenaturalperson.TodeterminewhetherapersonisidenFfiable,accountshouldbetakenofallthemeansreasonablylikelytobeused,suchassinglingout,eitherbythecontrollerorbyanyotherpersontoidenFfytheindividualdirectlyorindirectly.ToascertainwhethermeansarereasonablelikelytobeusedtoidenFfytheindividual,accountshouldbetakenofallobjecFvefactors,suchasthecostsofandtheamountofFmerequiredforidenFficaFon,takingintoconsideraFonbothavailabletechnologyattheFmeoftheprocessingandtechnologicaldevelopment.

TodeterminewhetherapersonisidenFfiable,accountshouldbetakenofallthemeansreasonablylikelytobeused,suchassinglingout,eitherbythecontrollerorbyanyotherpersontoidenFfytheindividualdirectlyorindirectly.

reikwijdte(‘materialscope’)

mainrule§  processingofpersonaldatawhollyorpartly

byautomatedmeans,and§  processingotherthanbyautomatedmeans

whichformpartofafilingsystem(orareintendedtoformpartofafilingsystem)

exemp=ons§  foreignpolicyandsecurity(Ch.2ofTitleV

TEU)andpreven=on,inves=ga=on,detec=onorprosecu=onofcriminaloffences(etc.)

§  byanaturalpersoninthecourseofapurelypersonalorhouseholdac=vity

Idemart.2(1)Wbp

Art.2(1)(2)

21-03-16

9

‘purelypersonalorhouseholdac=vity’

thuswithoutaconnecFonwithaprofessionalorcommercialacFvity,eg.§  correspondenceandtheholdingofaddresses

§  socialnetworking,andthelikeHowever,thisRegulaFondoesapplytocontrollersorprocessorswhichprovidethemeansforprocessingpersonaldataforsuchpersonalorhouseholdacFviFes

Idemart.2(1)Wbp

recital15

Facebook,TwiPer,Whatsapp,Insta-grametc

professionalorcommercial..?

territorialewerkingssfeer(‘territorialscope’)

§  processinginthecontextoftheac=vi=esofanestablishmentofacontrolleroraprocessorintheUnion

§  offeringofgoodsorservicestosuchdatasubjectsintheUnion;or

§  themonitoringoftheirbehaviourasfarastheirbehaviourtakesplacewithintheEU

regardlessofwhethertheprocessingtakesplaceintheUnionornot

art.3

irrespecFveofwhetherapaymentofthedatasubjectisrequired

§  processinginthecontextoftheac=vi=esofanestablishmentofacontrolleroraprocessorintheUnion

§  offeringofgoodsorservicestosuchdatasubjectsintheUnion;or

§  themonitoringoftheirbehaviourasfarastheirbehaviourtakesplacewithintheEU

journalis=ek,ar=s=eketc.(‘freedomofexpressionandinforma=on’)

lidstatenmoetenzorgdragenvooruitzonderingendienodigzijnomgegevensbeschermingteverenigenmetvrijheidvanmeningsui=ngeninforma=evrijheid

art.80,recital121

Ch.IIprinciplesCh.IIIrightsofthedatasubjectCh.IVcontrollerandprocessorCh.V3rdcountrytransfersCh.VIsupervisoryauthori=esCh.VIIco-opera=onandconsistency,andCh.IXspecificdataprocessingsitua=ons

ID-nrs,employment,archiving,profesionalsecrecy,churchesetc.

21-03-16

10

spelregels

§  toestemmingenandereverwerkingsgrondslagen

§  doelbindingenbewaartermijnen

§  gegevensminimalisa=e

§  bijzonderegegevens§  rechtenvanbetrokkenen§  interna=onaledoorgiHeentoezicht?

verwerkingsgrondslagen(‘lawfulprocessing’)

a) datasubjectconsentforoneormorespecificpurposes

b) performanceofacontracttowhichthedatasubjectisparty

c)  compliancewithalegalobliga=ontowhichthecontrollerissubject

d)  toprotectthevitalinterestsofthedatasubjectorofanothernaturalperson

e) performanceofataskcarriedoutinthepublicinterestorintheexerciseofofficialauthorityvestedinthecontroller

f)  legi=mateinterestspursuedbythecontrollerorbyathirdpartyexceptwheresuchinterestsareoverriddenbytheinterestsorfundamentalrightsandfreedomsofthedatasubjectwhichrequireprotec=onofpersonaldata

a) datasubjectconsentforoneormorespecificpurposes

b) performanceofacontracttowhichthedatasubjectisparty

c)  compliancewithalegalobliga=ontowhichthecontrollerissubject

d)  toprotectthevitalinterestsofthedatasubjectorofanothernaturalperson

e) performanceofataskcarriedoutinthepublicinterestorintheexerciseofofficialauthorityvestedinthecontroller

f)  legi=mateinterestspursuedbythecontrollerorbyathirdpartyexceptwheresuchinterestsareoverriddenbytheinterestsorfundamentalrightsandfreedomsofthedatasubjectwhichrequireprotec=onofpersonaldata

art.6(1)(a)-(f)

consent

Thewayinwhichconsentistobegivenbydatasubjectsremains“unambiguous”forallprocessingofpersonaldata,withtheclarificaFonthatthisrequiresa“clearaffirmaFveacFon”,andthatconsenthastobe“explicit”forsensiFvedata.

OverallCompromiseText:IntroducFon,nr.7

Thewayinwhichconsentistobegivenbydatasubjectsremains“unambiguous”forallprocessingofpersonaldata,withtheclarificaFonthatthisrequiresa“clearaffirmaFveacFon”,andthatconsenthastobe“explicit”forsensiFvedata.

anypartofthedeclaraFonwhichconsFtutesaninfringementofthisRegulaFonthatthedatasubjecthasgivenconsenttoshallnotbebinding……Itshallbeaseasytowithdrawconsentastogiveit

art.1(8),art7(2)-(3)

‘freelygiven’

Whenassessingwhetherconsentisfreelygiven,utmostaccountshallbetakenofthefactwhether,amongothers,theperformanceofacontract,includingtheprovisionofaservice,ismadecondi=onalontheconsenttotheprocessingofdatathatisnotnecessaryfortheperformanceofthiscontract

Whenassessingwhetherconsentisfreelygiven,utmostaccountshallbetakenofthefactwhether,amongothers,theperformanceofacontract,includingtheprovisionofaservice,ismadecondi=onalontheconsenttotheprocessingofdatathatisnotnecessaryfortheperformanceofthiscontract

21-03-16

11

‘childrensconsentforonlineservices’

inrela=ontotheofferingofinforma=onsocietyservicesdirectlytoachild§  theprocessingofpersonaldataisonly

lawful,ifandtotheextentthatsuchconsentisgivenorauthorisedbytheparent

§  controllermakesreasonableeffortstoverifyinsuchcasesthatconsentisgivenorauthorisedbyparent,takingintoconsidera=onavailabletechnology

•  belowtheageof16years,or•  ifprovidedforbyMemberStatelawalowerage(butnotbebelow13years)

verzamelenverwerkingsdoelen(‘purposespecifica=onandlimita=on’)

§  collec=onforspecified,explicitandlegi=matepurposes,and

§  notfurtherprocessedinawayincompa=blewiththosepurposes

Art.5(1)(b)

niet-onverenigbaar(‘compatability’)

interalia:

a)  anylinkbetweenthepurposesforwhichthedatahavebeencollectedandthepurposesoftheintendedfurtherprocessing

b)  contextinwhichthepersonaldatahavebeencollected,inpar=cularregardingtherela=onshipbetweendatasubjectsandthecontroller

c)  natureofthepersonaldata(eg.specialdata)d)  possibleconsequencesoftheintendedfurther

processing

e)  appropriatesafeguards(incl.encryp=onorpseudonymisa=on)

Art.6(3a)

Vgl.art.9(2)Wbp

Thecontrollershallberesponsibleforandbeable

todemonstratecompliance

(“accountability”)

bewaartermijnen(‘storagelimita=on’)

§  personaldatamaybekeptinaformwhichpermitsiden=fica=onofdatasubjectsfornolongerthanisnecessaryforthepurposesforwhichthepersonaldataareprocessed

§  personaldatamaybestoredforlongerperiodsinsofarasthedatawillbeprocessedsolelyforarchivingpurposesinthepublicinterest,orscien=ficandhistoricalresearchpurposesorsta=s=calpurposes

subjecttoimplementaFonoftheappropriatetechnicalandorganisaFonalmeasures[..]inordertosafeguardtherightsandfreedomsofthedatasubject

Art.5(1)(e) Art.83(1)

21-03-16

12

gegevensminimalisa=e(‘dataminimisa=on’)

§  adequate,relevantandlimitedtowhatisnecessaryinrela=ontothepurposesforwhichtheyareprocessed

accurateand,wherenecessary,keptuptodate;everyreasonablestepmustbetakentoensurethatpersonaldatathatareinaccurate,havingregardtothepurposesforwhichtheyareprocessed,areerasedorrecFfiedwithoutdelay(“accuracy”)

Art.5(1)(c)(d)

Art.11Wbp

bijzonderegegevens(‘specialcategoriesofdata’)

§  racialorethnicorigin§  poli=calopinions§  religiousorphilosophicalbeliefs,trade-unionmembership

§  gene=cdata§  biometricdatainordertouniquelyiden=fyaperson

§  dataconcerninghealth§  sexlifeandsexualorienta=on

Art.9Art.16-23Wbp

§  racialorethnicorigin§  poli=calopinions§  religiousorphilosophicalbeliefs,trade-unionmembership

§  gene=cdata§  biometricdatainordertouniquelyiden=fyaperson

§  dataconcerninghealth§  sexlifeandsexualorienta=on

MemberStatesmaymaintainorintroducefurthercondiFons,includinglimitaFons,withregardtothe

processingofgeneFcdata,biometricdataor

healthdata.

verwwerkingsverbodvoorbijzonderegegevens,tenzij…

§  explicitconsent§  obliga=onsorspecificrightsinthe

fieldofemployment,socialsecurityandsocialprotec=onlaw

§  vitalinterestsoftdatasubjectorofanotherperson(wherethedatasubjectisincapableofgivingconsent)

§  non-profit-seekingpoli=cal,philosophical,religiousortrade-unionbody

§  manifestlymadepublicbydatasubject

§  establishment,exerciseordefenceoflegalclaims

§  reasonsofsubstan=alpublicinterest,onthebasisofUnionorMemberStatelaw

§  preven=veoroccupa=onalmedicineorpublicinterestintheareaofpublichealth

§  archivingpurposesinthepublicinterest,orscien=ficandhistoricalresearchpurposes

furthercondiFonsinnaFonallawwithregardtothe

processingofgeneFcdata,biometricdataorhealthdata

geenmeldplichtmaaraccountabilityendocumenta=eplichten(etc.)

controllerisresponsibleforandbeabletodemonstratecompliancewithdataprotec=onprinciples

DPImpactAssessment•  systemaFcdescripFonofprocessingoperaFonsandthe

purposesoftheprocessing•  assessmentofthenecessityandproporFonalityofthe

processingoperaFonsinrelaFontothepurposes;•  anassessmentoftheriskstotherightsandfreedomsofdata•  measurestoaddresstherisks,includingsafeguards,security

measures•  andmechanismstoensuretheprotecFonofpersonaldata

andtodemonstratecompliance

21-03-16

13

dataprotec=onbydesign&bydefault

appropriatetechnicalandorganisa=onalmeasures

§  designedtoimplementdataprotec=onprinciples,suchasdataminimisa=on,inaneffec=vewayandtointegratethenecessarysafeguardsintotheprocessing

§  forensuringthat,bydefault,onlypersonaldatawhicharenecessaryforeachspecificpurposeareprocessed

Art.23(1)-(2)

informa=eplichteneninzagerechten(‘transparancy,datasubjectaccessrights’)

§  controller’siden=tyandcontactdetails

§  DPOcontactdetails(ifany)§  purposesofprocessingandlegalbasis§  legi=mateinterestsofthecontroller

or3rdparty(art.6(1)f)§  categoriesofrecepients§  thirdcountrytransfers§  reten=onperiods§  datasubjectrights§  withdrawalofconsent§  automateddecisionmakingand

profiling§  statutoryorcontractualobliga=on§  howtolodgecomplaintsattheDPA…

Art.33-34Wbp•  idenFteitvan

verantwoordelijke•  verwerkingsdoeleinden•  nadereinformaFevoorzover

dat[…]nodigisomtegenoverdebetrokkeneeenbehoorlijkeenzorgvuldigeverwerkingtewaarborgen

Art.14-15

inzagerechten(‘datasubjectaccessrights’)

Onecopy…

Thecontrollerprovidesacopyofthepersonaldataundergoingprocessing

Cost…

Foranyfurthercopiesrequestedbythedatasubject,thecontrollermaychargeareasonablefeebasedonadministra=vecosts

Electroniccopy

iftherequestismadeinelectronicform,andunlessotherwiserequestedbythedatasubject,theinforma=onwillbeprovidedinelectronicform,whichiscommonlyused

‘righttobeforgoven’

(1)gegevensmoetenwordenverwijderd§  alsdezenietmeernodigzijn§  alstoestemmingwordtingetrokkeneneris

geenandereverwerkingsgrondslag(etc.)

(2)énandereverantwoordelijkenmoetenwordengeïnformeerdoverhetverwijderverzoek§  althans‘redelijkestappen,incl.technische

maatregelen’moetenwordengenomen§  alsgegevensopenbaarzijngemaaktdoorde

verantwoordelijke

(3)tenzij§  vrijheidvanmeningsui=ng,archivering,

wevelijkeplichten…

Art.17

21-03-16

14

“dataportability”

rechtomeigenpersoonsgegevensovergedragentekrijgen(c.q.overtelatendragennaareenandereverantwoordelijke)§  alsdeverwerkingisgebaseerdoptoestemming

(resp.art.6(1)(a)en9(2)a),of§  alsdeverwerkingnodigisteruitvoeringvaneen

contractmetbetrokkene(art.6(1)b)

Art.18(2)

inastructuredandcommonlyusedandmachinereadableformat

byautomatedmeans

…?

anyformofautomatedprocessingofpersonaldataconsis=ngofusingthosedata

§  toevaluatepersonalaspectsrela=ngtoanaturalperson,inpar=cular

§  toanalyzeandpredictaspectsconcerningperformanceatwork,economicsitua=on,health,personalpreferences,orinterests,reliabilityorbehavior,loca=onormovement

profiling(~prō’vl’ing)

Art.4(3aa)

opt-outrechtvoorprofilingright§  nottobesubjecttoadecision

basedsolelyonautomatedprocessing,includingprofiling

§  whichproduceslegaleffectsconcerninghimorherorsimilarlysignificantlyaffectshimorher

exemp=ons§  necessaryforenteringinto(or

performanceof),acontractwithdatasubject

§  authorizedbyEUorMemberStatelaw

§  datasubject'sexplicitconsent.

21-03-16

15

Rasterfahndung

TypicallyRAF-terroristsusecashandpaytheirelectricitybillinpersonattheuFlity(tokeeptheirapartmentsassociatedwithafalsename)

ethnicprofiling§  stoppingordetainingthedriverofavehiclebasedonthedeterminaFonthatapersonofthatrace,ethnicity,ornaFonaloriginisunlikelytoownorpossessthatspecificmakeormodelofvehicle

§  stoppingordetaininganindividualbasedonthedeterminaFonthatapersonofthatrace,ethnicity,ornaFonalorigindoesnotbelonginaspecificpartoftownoraspecificplace

'Bulgaarsezakkenrollers'„Bulgaarsezakkenrollersherkenjenogwel”,zegteenvandeagenten.„Aandehakvanhunschoen,afgesletenvanhetlopen.”MaardieChilenen,poeh,datishetelitegildevandezakkenrollerij.Ennee,zegthijermeteenachteraan,datisgeendiscrimineren.„Datheetgewoonprofiling”

Obama

…thoseinteracFonsproduceddatathatstreamedbackintoObama’sserverstorefinethemodelspoinFngvolunteerstowardthenextdoorworthaknock.TheefficiencyandscaleofthatprocessputtheDemocratswellaheadwhenitcametoprofilingvoters…

21-03-16

16

PvdAAandedeurkrijgenRoPerdammerseenroosenwordenvragengesteld.WieinteresseheeQindePvdAkanopdehoogtewordengehouden.“Jekuntzoeendatabaseopbouwen,”zegtbestuurskundigeenPvdA-lidKirstenVerdel,dieindeVerenigdeStatenervaringmetdemethodeheeQopgedaaninhetcampagneteamvanObama.

(top-)sportPeterBlangé,ex-internaFonalenbondscoachvanhetNederlandsvolleybalteam,verteltopITInnovaFonDayoverhetgebruikvanITinde(top-)sport.Hetdigitaalanalyserenvanheteigenteam,despelersenhetteamvandetegenstanderisnietmeerwegtedenkenindetopsport.TalentenwordenalopvroegeleeQijdgevolgdomzohunprestaFestemeten,tevergelijkenentesturen..

‘onlineprofilingorbehavorialadver=zing’

§  adverFsingbasedonobservaFonofbehaviorofindividualsoverFme

§  seekstostudycharacterisFcsofthisbehaviourthroughacFons

§  todevelopaspecificprofileandprovidetheseindividualswithadverFsementstailoredtotheirinterests

creditscore(‘kredietscore’)

§  anumericalexpressionbasedonalevelanalysisofaperson'screditfiles,torepresentthecreditworthinessoftheperson.

§  primarilybasedonacreditreportinforma=ontypicallysourcedfromcreditbureaus.

§  toevaluatethepoten=alriskposedbylendingmoneytoconsumersandtomi=gatelossesduetobaddebt

21-03-16

17

zoekresultatenVerderkandedoordezoekmachinesverrichteordeningensamenvoegingvandeophetinternetgepubliceerdeinformaFe,teneindedegebruikersvandezemachinesgemakkelijkertoegangtotdezeinformaFeteverschaffen,ertoeleidendat,wanneerdezegebruikersopdenaamvaneennatuurlijkepersoonzoeken,zijviaderesultatenlijsteengestructureerdoverzichtkrijgenvandeoverdezepersoonophetinternetvindbareinformaFe,waardoorzijeenminofmeergedetailleerdprofielvandebetrokkenekunnenopstellen.

VerderkandedoordezoekmachinesverrichteordeningensamenvoegingvandeophetinternetgepubliceerdeinformaFe,teneindedegebruikersvandezemachinesgemakkelijkertoegangtotdezeinformaFeteverschaffen,ertoeleidendat,wanneerdezegebruikersopdenaamvaneennatuurlijkepersoonzoeken,zijviaderesultatenlijsteengestructureerdoverzichtkrijgenvandeoverdezepersoonophetinternetvindbareinformaFe,waardoorzijeenminofmeergedetailleerdprofielvandebetrokkenekunnenopstellen.

uithuisplaatsingIndieFjd,depost-Savannah-periode,ontstonddesterkeneigingommaarbijdeminstetwijfeltehandelen.Betereenkindteveeluithuisgeplaatst,dannogmaalseenSavannah,hoordeikeenjeugdzorg-directeurzeggen.Deaanleidingvoordeuithuisplaatsingenwasnieteencalamiteit,zelfsgeenincident,maareenrisicoprofiel:demoederwasgetraumaFseerddooreenoorlogsverledenineenanderland,endevadergebruiktetrouwmedicijnenvooreenggz-diagnose,waardoordeziekteondercontrolewas.

IndieFjd,depost-Savannah-periode,ontstonddesterkeneigingommaarbijdeminstetwijfeltehandelen.Betereenkindteveeluithuisgeplaatst,dannogmaalseenSavannah,hoordeikeenjeugdzorg-directeurzeggen.Deaanleidingvoordeuithuisplaatsingenwasnieteencalamiteit,zelfsgeenincident,maareenrisicoprofiel:demoederwasgetraumaFseerddooreenoorlogsverledenineenanderland,endevadergebruiktetrouwmedicijnenvooreenggz-diagnose,waardoordeziekteondercontrolewas.

SomeonemusthavebeentellingliesaboutJosefK.,heknewhehaddonenothingwrongbut,onemorning,hewasarrested.

Mr.Marks,bymandateoftheDistrictofColumbiaPrecrimeDivision,I'mplacingyouunderarrestforthefuturemurderofSarahMarksandDonaldDubinthatwastotakeplacetoday,April22at0800hoursandfourminutes.

g.j.zwenne@law.leidenuniv.nl