BarentsKrans | Data & Privacy Update

In onze nieuwsbrief van juli vindt u de volgende onderwerpen:

EDPB publiceert richtsnoeren over webscraping, anonimisering en blockchain
Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten zijn definitief aangenomen
HvJEU verduidelijkt verschil begrippen digitale diensten en digitale inhoud
HvJEU verduidelijkt kwalificatie gegevens dopingovertredingen atleten
Commissie publiceert richtsnoeren voor transparantieverplichtingen onder AI-verordening

EDPB publiceert richtsnoeren over webscraping, anonimisering en blockchain

Op 7 juli heeft het Europees Comité voor gegevensbescherming (EDPB) drie nieuwe richtsnoeren gepubliceerd. De richtsnoeren zien op webscraping van persoonsgegevens, anonimisering en de toepassing van de AVG op blockchaintechnologie.

Webscraping is een techniek om op een geautomatiseerde wijze grote hoeveelheden gegevens van websites te verzamelen. Denk bijvoorbeeld aan het verzamelen van persoonsgegevens uit openbare berichten en profielen op sociale media, online forums of nieuwswebsites. In de richtsnoeren over webscraping benadrukt de EDPB dat het feit dat persoonsgegevens openbaar beschikbaar zijn niet betekent dat deze gegevens ook zonder meer mogen worden verzameld en hergebruikt. Organisaties die persoonsgegevens scrapen moeten zelf zorgen dat ze de AVG naleven, wat betekent dat ze een geldige verwerkingsgrondslag moeten hebben, de betrokkenen actief moeten informeren over de verwerking en voldoen aan de beginselen van doelbinding en dataminimalisatie.

De opkomst van generatieve AI heeft webscraping bovendien een nieuwe impuls gegeven, omdat grote hoeveelheden online beschikbare gegevens vaak worden gebruikt voor het ontwikkelen en trainen van AI-modellen. Tegen deze achtergrond benadrukt de EDPB dat de AVG onverkort van toepassing blijft wanneer openbaar beschikbare persoonsgegevens voor dergelijke doeleinden worden verwerkt.

De richtsnoeren over anonimisering bevatten een uitgebreid kader voor de beoordeling of gegevens correct geanonimiseerd zijn en daarmee buiten de reikwijdte van de AVG vallen. De EDPB benadrukt dat de kwalificatie als anonieme gegevens afhangt van het resultaat van de toegepaste maatregelen en niet van het gebruik van een specifieke techniek. Gegevens zijn uitsluitend geanonimiseerd wanneer natuurlijke personen niet langer met redelijke inspanningen en middelen identificeerbaar zijn. Daarnaast bevestigt de EDPB (in lijn met het EDPS/GAR arrest) dat anonimiteit een relatief begrip is. Bij de beoordeling of gegevens anoniem zijn moet rekening worden gehouden met de concrete context van de verwerking, de beschikbare aanvullende gegevens en de middelen waarover een partij redelijkerwijs beschikt om personen alsnog te identificeren. Daarbij blijft het risico op heridentificatie een belangrijke factor.

De richtsnoeren over verwerkingen via blockchain-technologieën verduidelijken hoe de AVG zich verhoudt tot de inherente kenmerken van blockchainnetwerken, zoals onveranderlijkheid en decentralisatie. Deze kenmerken kunnen spanning opleveren met verplichtingen uit de AVG, zoals het recht op gegevenswissing en het beginsel van opslagbeperking. De EDPB benadrukt dat organisaties al in de ontwerpfase rekening moeten houden met privacy-by-design en oplossingen moeten kiezen die de opslag van persoonsgegevens op de blockchain zelf zoveel mogelijk beperken. Daarbij wordt onder meer gewezen op het gebruik van off-chain opslag en andere technische maatregelen die heridentificatie moeten voorkomen.

Lees hier de richtsnoeren van de EDPB over webscraping, anonimisering, en blockchain.

De richtsnoeren over webscraping en anonimisering zijn gepubliceerd voor openbare consultatie, terwijl de richtsnoeren over blockchaintechnologieën in definitieve vorm zijn vastgesteld.

Lees hier het bijbehorende nieuwsbericht van de EDPB

Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten zijn definitief aangenomen

Op 7 juli heeft de Eerste Kamer ingestemd met de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke). Daarmee zijn deze wetten definitief aangenomen. Beide wetten treden op 15 augustus in werking en implementeren respectievelijk de NIS2-richtlijn en de CER-richtlijn in Nederland.

Met de Cbw wordt het aantal organisaties dat onder cybersecurityverplichtingen valt aanzienlijk uitgebreid. Hier vallen onder meer organisaties in de energie-, zorg-, financiële en overheidssector onder. Ook ICT-leveranciers die aan deze organisaties leveren zullen hier rekening mee moeten houden, aangezien deze organisaties ook verantwoordelijk zijn voor de beveiliging van de toeleveringsketen van hun ICT-diensten. De wet bevat daarnaast verplichtingen op het gebied van risicobeheersing, incidentrespons, meldplichten en bestuurdersverantwoordelijkheid. De toezichthouders krijgen uitgebreide handhavingsbevoegdheden, waaronder de mogelijkheid om bestuursleden tijdelijk te schorsen en bestuurlijke boetes op te leggen.

De Wwke richt zich op de fysieke en organisatorische weerbaarheid van kritieke entiteiten. Het gaat daarbij om organisaties die als zodanig worden aangewezen en die essentiële maatschappelijke functies vervullen, zoals exploitanten van energie- en elektriciteitsnetwerken, drinkwaterbedrijven, ziekenhuizen, aanbieders van vervoersinfrastructuur, digitale infrastructuur en bepaalde overheidsinstanties. Kritieke entiteiten moeten risicoanalyses uitvoeren, passende weerbaarheidsmaatregelen treffen en ernstige incidenten melden. Daarmee ontstaat naast het cybersecurityregime een afzonderlijk kader voor de bescherming van vitale maatschappelijke functies.

Voor organisaties die onder het toepassingsbereik van deze nieuwe wetten vallen is de inwerkingtreding van belang omdat de voorbereidingstijd beperkt is. Bestuurders zullen bovendien actief moeten zorgen dat zij voldoende kennis hebben op het gebied van cyber governance en de naleving van de nieuwe verplichtingen. Bestuurders kunnen namelijk persoonlijk aansprakelijk worden gesteld voor schade als gevolg van schending van deze verplichting.

Klik hier voor het persbericht van de Rijksoverheid

HvJEU verduidelijkt verschil begrippen digitale diensten en digitale inhoud

Op 9 juli heeft het Hof van Justitie van de Europese Unie (HvJEU) uitspraak gedaan in een zaak tussen Sky Österreich en een Oostenrijkse consumentenorganisatie over de kwalificatie van streamingdiensten onder Richtlijn 2011/83/EU inzake consumentenrechten (de Richtlijn).

Centraal stond de vraag of een streamingabonnement moet worden aangemerkt als de levering van “digitale inhoud” dan wel als een “digitale dienst”. Dit onderscheid is relevant voor de reikwijdte van het herroepingsrecht van consumenten. Voor digitale inhoud kan het herroepingsrecht onder voorwaarden vervallen zodra de levering begint, terwijl voor digitale diensten andere regels gelden.

Het HvJEU oordeelt dat een streamingdienst met een dynamisch aanbod, voortdurende toegang tot content en voortdurende betrokkenheid van de aanbieder moet worden aangemerkt als de levering van een digitale dienst. Het HvJEU wijst erop dat de enkele omstandigheid dat gebruikers toegang krijgen tot digitale gegevens onvoldoende is om te spreken van “digitale inhoud” in de zin van artikel 16(m) van de Richtlijn. Volgens het HvJEU kenmerkt een streamingabonnement zich juist doordat de aanbieder gedurende de gehele looptijd van de overeenkomst actief een dienst verricht, onder meer door content beschikbaar te houden, het aanbod te actualiseren, gepersonaliseerde aanbevelingen te doen en de technische infrastructuur te onderhouden. Het gaat daarom om meer dan de eenmalige of voortdurende levering van specifieke digitale bestanden. Het HvJEU sluit hiermee aan bij overweging 30 van de Omnibusrichtlijn, waarin wordt opgemerkt dat video- en audiostreamingdiensten als digitale diensten kunnen kwalificeren vanwege de voortdurende betrokkenheid van de aanbieder.

De kwalificatie van streamingabonnementen als digitale diensten heeft gevolgen voor het herroepingsrecht van consumenten. Anders dan bij de levering van digitale inhoud kan een aanbieder zich niet zonder meer beroepen op de uitzondering van artikel 16(m) van de Richtlijn zodra de levering van de dienst begint. Dit betekent echter niet dat consumenten gedurende de herroepingstermijn kosteloos gebruik kunnen maken van een streamingdienst. Indien een consument tijdens de herroepingstermijn om onmiddellijke uitvoering van de overeenkomst verzoekt en vervolgens gebruik maakt van het herroepingsrecht, mag de aanbieder op grond van artikel 14(3) van de Richtlijn een evenredige vergoeding verlangen voor het gedeelte van de dienst dat is geleverd. Het arrest verduidelijkt daarmee dat veel moderne abonnements- en platformdiensten eerder als digitale dienst dan als digitale inhoud zullen moeten worden gekwalificeerd. Dat is niet alleen relevant voor streamingdiensten, maar mogelijk ook voor cloud-, platform- en andere abonnementsgebaseerde digitale diensten.

Lees hier de uitspraak van het HvJEU

HvJEU verduidelijkt kwalificatie gegevens dopingovertredingen atleten

Op 14 juli heeft het HvJEU uitspraak gedaan naar aanleiding van prejudiciële vragen van een Oostenrijkse rechter in een zaak waarbij de Oostenrijkse antidopingautoriteit betrokken is (zaak C‑474/24; NADA Austria). Centraal stond de vraag hoe persoonsgegevens over dopingovertredingen van professionele sporters onder de AVG moeten worden gekwalificeerd en onder welke voorwaarden deze gegevens online openbaar mogen worden gemaakt.

Het HvJEU oordeelt allereerst dat informatie over een dopingovertreding niet zonder meer kwalificeert als een gezondheidsgegeven in de zin van artikelen 4(15) en 9 AVG. Daarvan is volgens het HvJEU in beginsel alleen sprake wanneer uit de publicatie - bijvoorbeeld door vermelding van de gebruikte verboden stof of methode in combinatie met andere gegevens - informatie over de fysieke of mentale gezondheidstoestand van de betrokkene kan worden afgeleid. Het enkele feit dat een sporter een antidopingregel heeft overtreden, betekent dus niet automatisch dat sprake is van de verwerking van een bijzonder persoonsgegeven.

Daarnaast verduidelijkt het Hof dat gegevens over overtredingen van antidopingregels en de daarvoor opgelegde sancties niet kwalificeren als persoonsgegevens met betrekking tot strafbare feiten en veroordelingen in de zin van artikel 10 AVG. Volgens het HvJEU gaat het om een specifiek tuchtrechtelijk regime dat uitsluitend geldt voor een bepaalde groep personen, namelijk sporters. De sancties zijn gericht op het handhaven van gedragsregels binnen die groep en kunnen daarom niet worden gelijkgesteld met strafrechtelijke sancties.

Tot slot oordeelt het HvJEU dat de AVG zich er in beginsel niet tegen verzet dat de namen van professionele sporters die antidopingregels hebben overtreden, de duur van hun schorsing en de redenen daarvoor openbaar worden gemaakt. Het HvJEU erkent dat de bestrijding van doping een doelstelling van algemeen belang vormt, die bijdraagt aan de integriteit van de sport, gelijke kansen voor sporters en de bescherming van hun gezondheid. Wel moet voorafgaand aan publicatie een individuele belangenafweging plaatsvinden en moet de verantwoordelijke kunnen aantonen dat de openbaarmaking voldoet aan het proportionaliteitsbeginsel.

De uitspraak is relevant omdat zij verduidelijkt dat gegevens over dopingovertredingen niet automatisch kwalificeren als gezondheidsgegevens in de zin van artikel 9 AVG. Indien uit de verwerkte informatie geen gegevens over de fysieke of mentale gezondheidstoestand van de betrokkene kunnen worden afgeleid, hoeft voor de verwerking daarvan in beginsel geen uitzondering op het verwerkingsverbod van artikel 9 AVG te worden gevonden. Daarmee lijkt het HvJEU enige nuance aan te brengen ten opzichte van zijn eerdere Lindenapotheke arrest (C‑21/23), waarin het begrip gezondheidsgegevens ruim werd uitgelegd. Het NADA Austria arrest bevestigt dat voor de kwalificatie als gezondheidsgegeven steeds moet worden gekeken naar de concrete inhoud van de verwerkte gegevens en de context waarin deze worden verwerkt.

Lees hier de uitspraak van het Hof

Commissie publiceert richtsnoeren voor transparantieverplichtingen onder AI-verordening

Op 20 juli heeft de Europese Commissie (de Commissie) definitieve richtsnoeren gepubliceerd over de transparantieverplichtingen uit artikel 50 AI-verordening. De richtsnoeren moeten organisaties ondersteunen bij de naleving van de transparantieverplichtingen die vanaf 2 augustus van toepassing worden.

De richtsnoeren verduidelijken onder meer wanneer gebruikers moeten worden geïnformeerd dat zij communiceren met een AI-systeem, welke eisen gelden voor de aanduiding van AI-gegenereerde content en hoe aanbieders moeten omgaan met deepfakes en andere synthetische media. Daarnaast besteedt de Commissie aandacht aan de transparantieverplichtingen die gelden voor emotieherkenningssystemen en biometrische categorisatie.

De Commissie benadrukt dat artikel 50 AI-verordening een zelfstandige set transparantieverplichtingen bevat, die losstaat van de classificatie van een AI-systeem als hoog risico. De transparantieregels kunnen daardoor ook van toepassing zijn op AI-systemen waarvoor geen andere specifieke verplichtingen uit de AI-verordening gelden.

Verder verduidelijkt de Commissie dat de wijze waarop aan deze verplichtingen wordt voldaan afhankelijk is van de context waarin een AI-systeem wordt gebruikt. Daarbij kan rekening worden gehouden met de redelijke verwachtingen van gebruikers en de mate waarin het gebruik van een AI-systeem voor hen herkenbaar is.