De Algemene Verordening Gegevensbescherming ("AVG") is sinds 25 mei 2018 van toepassing, maar dit is niet de enige nieuwigheid met een impact op de verwerking van persoonsgegevens. Een aantal van de nieuwigheden van het voorbije kwartaal kan u hieronder terugvinden.
Camerawetgeving werd vernieuwd: nieuw aangiftesysteem voor bewakingscamera's, nieuw verplicht register van beeldverwerkingsactiviteiten en nieuwe vermeldingen op pictogrammen.
Samen met de AVG is op 25 mei 2018 de nieuwe camerawetgeving in werking getreden. De wet van 21 maart 2018 en haar uitvoeringsbesluiten van 8 mei 2018 en 28 mei 2018 hervormen de bestaande Bewakingscamerawet van 21 maart 2007. Deze nieuwe wetgeving bepaalt onder andere dat de verwerkingsverantwoordelijke een register met beeldverwerkingsactiviteiten moet bijhouden en dat de plaatsing van bewakingscamera's voortaan moet worden aangegeven in een register van de politiediensten (en niet langer in een register van de Privacycommissie). Daarnaast moeten nieuwe vermeldingen worden aangebracht op het pictogram dat aangeeft dat er camerabewaking plaatsvindt.
Wat moet u doen?
-
Ten eerste moet u een register van beeldverwerkingsactiviteiten bijhouden. Dit register moet naast de gegevens van een register van verwerkingsactiviteiten (artikel 30 AVG) de volgende gegevens bevatten:
- de wettelijke basis voor de verwerking;
- de vermelding van het type van plaats van de bewakingscamera;
- de technische beschrijving van de bewakingscamera's en, indien het gaat om vaste bewakingscamera's, hun locatie, in voorkomend geval aangegeven op een plan;
- indien het gaat om tijdelijke of mobiele bewakingscamera's, de beschrijving van de zones die door deze bewakingscamera's worden bewaakt en de gebruiksperiodes;
- de informatiewijze met betrekking tot de verwerking;
- de plaats voor het verwerken van de beelden; en
- of het bekijken in real time al dan niet wordt georganiseerd en in voorkomend geval, de manier waarop dat wordt georganiseerd.
- Daarnaast moet u uw bestaande aangiftes bij de Privacycommissie vervangen door nieuwe aangiftes in een centraal e-loket via de website www.aangiftecamera.be. Voor de regularisatie van bestaande aangiftes van bewakingscamera's wordt in een overgangsperiode tot 25 mei 2020 voorzien.
- Ten slotte moet u ook de pictogrammen aanpassen die informeren dat een plaats door bewakingscamera's wordt bewaakt. Naast de bestaande vermeldingen moet u voortaan ook uw telefoonnummer en, in voorkomend geval, de gegevens van de functionaris voor gegevensbescherming en de websitegegevens vermelden waar de betrokken personen alle informatie over de beeldverwerking kunnen raadplegen (bijvoorbeeld via een privacy policy). U heeft nog tot 11 december 2018 de tijd om de ontbrekende informatie te voorzien in uw pictogrammen.
Privacycommissie wordt Gegevensbeschermingsautoriteit: nieuwe contactgegevens en website beschikbaar
Eerder berichtten wij al over de nieuwe Gegevensbeschermingsautoriteit ("GBA"). Nu de wet van 3 december 2017 effectief in werking is getreden, werd de Privacycommissie met ingang van 25 mei 2018 opgeheven en vervangen door de GBA. De GBA is bereikbaar via een nieuwe website en ook het contactadres is gewijzigd (contact@apd-gba.be). Kijk dus zeker na of uw informatiedocumenten op dit punt moeten worden aangepast.
Portaal voor het aanmelden van de functionaris voor gegevensbescherming: geef de contactgegevens van uw data protection officer door aan de Gegevensbeschermingsautoriteit
Op de nieuwe website van de GBA vindt u eveneens een portaal terug waar u de contactgegevens van uw functionaris voor gegevensbescherming moet meedelen aan de hand van het meldformulier functionaris voor gegevensbescherming.
Werkgroep Artikel 29 ("WP 29") wordt Europees Comité voor Gegevensbescherming ("ECG")
Niet alleen de Belgische Privacycommissie werd ingrijpend hervormd. Ook de werkgroep artikel 29, een Europese privacytoezichthouder samengesteld uit vertegenwoordigers van de toezichthouders van de lidstaten, heeft een belangrijke wijziging ondergaan en is het Europees Comité voor Gegevensbescherming ("ECG") geworden. Het ECG ziet voortaan toe op een uniforme toepassing van de AVG in alle Europese lidstaten. Net zoals WP 29 zal het regelmatig richtlijnen en werkdocumenten publiceren met uitleg over de toepassing van de AVG. Tijdens zijn eerste plenaire vergadering van 25 mei 2018 heeft het ECG alvast verschillende acties ondernomen, waaronder (de onderstaande documenten zijn voorlopig enkel in het Engels beschikbaar):
• de goedkeuring van de eerder uitgevaardigde richtlijnen van de WP 29;
• de goedkeuring van de (ontwerp)richtlijnen inzake certificering; en
• de oproep tot een snelle goedkeuring van de nieuwe e-privacyverordening.
Beheerders van Facebook fanpagina's zijn zelf (mede-)verantwoordelijk voor de bescherming van persoonsgegevens
Beheerders van Facebook fanpagina's zijn, samen met Facebook, verantwoordelijk voor de verwerking van persoonsgegevens. Dat heeft het Hof van Justitie beslist in een opmerkelijk arrest van 5 juni 2018. Volgens het Hof is dat het geval omdat beheerders via de instellingen bij de aanmaak van een fanpagina bijdragen aan de vaststelling van het doel van en de middelen voor de verwerking van persoonsgegevens van bezoekers (namelijk het opstellen van statistieken), zelfs al ontvangen de beheerders enkel anonieme gegevens. Dit arrest heeft als gevolg dat beheerders van een fanpagina hun bezoekers moeten informeren over wat er met hun gegevens gebeurt wanneer zij de fanpagina bezoeken.
Nog meer wetgeving te verwachten
Op 11 juni 2018 werd in de Kamer van Volksvertegenwoordigers een ontwerp van wet ingediend over de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. Het ontwerp van de kaderwet dat verder uitvoering geeft aan bepaalde aspecten van onder andere de AVG, wordt momenteel behandeld in de Kamer. De (vroegere) Privacycommissie heeft over een eerdere versie van de tekst reeds een ongunstig advies geuit. In hoeverre het finale ontwerp rekening zal houden met het advies, en wanneer de nieuwe wet effectief in werking treedt, valt af te wachten.
Inwerkingtreding AVG: ook na 25 mei 2018 blijft de bescherming van persoonsgegevens een continu aandachtspunt
Hoewel bedrijven in de eindsprint naar de inwerkingtreding van de AVG belangrijke inspanningen hebben geleverd, mag dit niet als een eindpunt worden gezien. Ook na 25 mei 2018 moeten bedrijven er blijven over waken dat zij zorgvuldig met persoonsgegevens omspringen en zullen zij rekening moeten blijven houden met de steeds evoluerende rechtspraak van het Hof van Justitie en de aanpak van de vernieuwde (Europese) toezichthouders in verband met de interpretatie en toepassing van de nieuwe wetgeving.