BarentsKrans | Data & Privacy Update

In onze nieuwsbrief van augustus vindt u de volgende onderwerpen:

AP-boete voor wifi-tracking in Enschede definitief van tafel
Autoriteit Persoonsgegevens verduidelijkt privacyregels bij signalen van misbruik in de kinderopvang
Transparantieverplichtingen AI-verordening van kracht vanaf 2 augustus
Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten in werking getreden
Autoriteit Persoonsgegevens legt Uber boete van bijna € 825 miljoen op wegens geautomatiseerde besluitvorming
Verzamelwetgegevensbescherming treedt op 1 september in werking

AP-boete voor wifi-tracking in Enschede definitief van tafel

Op 29 juli heeft de Afdeling bestuursrechtspraak van de Raad van State uitspraak gedaan over de boete van €600.000 die de Autoriteit Persoonsgegevens (AP) aan de gemeente Enschede had opgelegd wegens wifi-tracking in de binnenstad. De Afdeling bevestigt de eerdere uitspraak van de rechtbank, die het boetebesluit had vernietigd omdat de AP onvoldoende had onderbouwd dat de gemeente persoonsgegevens verwerkte. Daarmee is de vernietiging van de boete definitief.

De gemeente liet voor passantentellingen signalen van mobiele apparaten registreren. Daarbij werden MAC-adressen verwerkt tot gepseudonimiseerde identificatoren. Volgens de AP waren deze gegevens persoonsgegevens omdat individuele apparaten gedurende een bepaalde periode van andere apparaten konden worden onderscheiden. De AP stelde daarom dat de gemeente persoonsgegevens verwerkte zonder te beschikken over een rechtsgrondslag als bedoeld in artikel 6(1) AVG.

De Afdeling oordeelt dat de AP in het boetebesluit onvoldoende heeft gemotiveerd dat de geregistreerde gegevens betrekking hadden op geïdentificeerde of identificeerbare natuurlijke personen. Bij die beoordeling is niet alleen van belang of apparaten afzonderlijk kunnen worden herkend, maar ook of de gegevens met middelen waarvan redelijkerwijs te verwachten is dat zij worden gebruikt, tot natuurlijke personen kunnen worden herleid. De AP moest de bestanddelen van de overtreding in de bestuurlijke besluitvorming vaststellen en voldoende onderbouwen. De AP kon deze onderbouwing niet pas tijdens de beroepsprocedure aanvullen.

Deze uitspraak onderstreept dat de AP in een handhavingstraject de gestelde overtreding volledig en deugdelijk moet vaststellen en motiveren in het primaire besluit. Een gebrekkige motivering kan niet zonder meer in de beroepsfase worden gerepareerd met nieuwe onderbouwing. Wij adviseren cliënten regelmatig over toezicht- en handhavingstrajecten onder de AVG, waaronder de beoordeling van boetebesluiten en de procesrechtelijke mogelijkheden om daartegen op te komen.

Lees hier de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State

Autoriteit Persoonsgegevens verduidelijkt privacyregels bij signalen van misbruik in de kinderopvang

Op 29 juli heeft de AP uitleg gegeven over de mogelijkheden die kinderopvangorganisaties binnen de privacywetgeving hebben om bij sollicitaties informatie in te winnen over signalen van misbruik en risico’s bij sollicitaties te beperken. De uitleg is opgenomen in een brief aan de brancheorganisaties, en ziet onder meer op vragen aan sollicitanten, het raadplegen van referenten en het gebruik van interne zwarte lijsten.

Volgens de AP mogen kinderopvangorganisaties sollicitanten vragen stellen die nodig zijn om hun geschiktheid voor een functie te beoordelen. Deze vragen mogen ook betrekking hebben op relevante voorvallen en op de wijze waarop een eerdere arbeidsovereenkomst is geëindigd. Daarnaast kunnen organisaties onder voorwaarden online informatie inwinnen en referenten benaderen. De AP verduidelijkt dat er geen vast maximum geldt voor het aantal referenten en dat een organisatie een referent mag vragen naar eventuele twijfels over de geschiktheid van de sollicitant. Ook gaat de AP in op het gebruik van zwarte lijsten. Kinderopvangorganisaties met meerdere vestigingen kunnen binnen de bestaande wetgeving onder voorwaarden een interne zwarte lijst hanteren. Voor het delen van een zwarte lijst met andere organisaties gelden strengere eisen.

Voor organisaties is het van belang om bestaande wervings- en selectieprocedures, referentiechecks en interne signaleringsprocessen te toetsen aan deze handvatten. De AP benadrukt tegelijkertijd dat voor bredere uitwisseling van signalen tussen verschillende organisaties mogelijk aanvullende wetgeving nodig is. Het ministerie van Sociale Zaken en Werkgelegenheid verkent momenteel dergelijke maatregelen.

Lees hier de brief en toelichting van de Autoriteit Persoonsgegevens

Transparantieverplichtingen AI-verordening van kracht vanaf 2 augustus

Op 2 augustus zijn de transparantieverplichtingen uit artikel 50 AI-verordening van toepassing geworden. Deze verplichtingen gelden voor aanbieders en exploitanten van bepaalde AI-systemen en moeten het voor gebruikers duidelijker maken wanneer zij met een AI-systeem communiceren of met AI-gegenereerde of gemanipuleerde content worden geconfronteerd.

Artikel 50 AI-verordening bevat verschillende verplichtingen voor aanbieders en gebruiksverantwoordelijken. Aanbieders van AI-systemen die bestemd zijn voor interactie met personen, zoals chatbots en spraakassistenten, moeten ervoor zorgen dat personen weten dat zij met een AI-systeem communiceren. Ook moeten personen die worden blootgesteld aan systemen voor emotieherkenning of biometrische categorisering daarover worden geïnformeerd. Bij deepfakes moet kenbaar worden gemaakt dat de betrokken beeld-, audio- of videocontent kunstmatig is gegenereerd of gemanipuleerd. Voor AI-gegenereerde of gemanipuleerde teksten die worden gepubliceerd om het publiek te informeren over aangelegenheden van algemeen belang, geldt een openbaarmakingsplicht. Daarop bestaat een uitzondering als de content een menselijke beoordeling of redactionele controle heeft ondergaan en een natuurlijke of rechtspersoon redactionele verantwoordelijkheid draagt.

De Europese Commissie heeft richtsnoeren gepubliceerd die meer duidelijkheid geven over de reikwijdte van deze verplichtingen en de praktische toepassing daarvan. De Commissie verwijst daarnaast naar de vrijwillige Code of Practice on Transparency of AI-Generated Content, die ondersteuning biedt bij het markeren van AI-gegenereerde content en het labelen van deepfakes.

Voor organisaties die AI ontwikkelen of inzetten is het van belang te beoordelen of deze transparantieverplichtingen van toepassing zijn en of bestaande processen hierop aansluiten. Wij ondersteunen organisaties bij de beoordeling van hun AI-toepassingen, de implementatie van de AI-verordening en het inrichten van passende complianceprocessen.

Lees hier de richtsnoeren van de Europese Commissie

Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten in werking getreden

Op 15 augustus zijn de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten (Wwke) in werking getreden. De Wwke geeft uitvoering aan de Europese CER-richtlijn. De Cbw implementeert de Europese NIS2-richtlijn en vervangt de Wet beveiliging netwerk- en informatiesystemen. Dit brengt naar verwachting ruim 8.000 organisaties binnen het toepassingsbereik van het nieuwe cyberbeveiligingskader.

De Cbw is van toepassing op essentiële en belangrijke entiteiten in achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. Voor betrokken entiteiten gelden onder meer een registratieplicht, zorgplicht en meldplicht. Zij moeten zich registreren in het nationale entiteitenregister van het Nationaal Cyber Security Centrum (NCSC) en passende en evenredige technische, operationele en organisatorische maatregelen treffen om beveiligingsrisico’s te beheersen, incidenten te voorkomen en de gevolgen daarvan te beperken.

De Cbw legt daarnaast nadrukkelijk verantwoordelijkheden bij het bestuur. Bestuurders moeten cyberrisico’s kunnen beoordelen, toezien op de uitvoering van beveiligingsmaatregelen en beschikken over voldoende kennis en vaardigheden op het gebied van cyberbeveiliging. Voor uitvoerende bestuurders van essentiële en belangrijke entiteiten geldt bovendien een wettelijke trainingsplicht, waaraan binnen twee jaar na inwerkingtreding van de wet moet zijn voldaan.

De Wwke heeft een ander toepassingsregime. Het verantwoordelijke ministerie wijst organisaties aan als kritieke entiteit. Na aanwijzing moet een organisatie binnen negen maanden een risicobeoordeling uitvoeren en binnen tien maanden passende technische, organisatorische en fysieke weerbaarheidsmaatregelen treffen. Incidenten die een aanzienlijke verstoring van essentiële diensten veroorzaken of kunnen veroorzaken, moeten binnen 24 uur worden gemeld. De wet ziet daarbij niet alleen op digitale dreigingen, maar ook op onder meer sabotage, terroristische misdrijven, extreem weer en andere fysieke verstoringen.

Voor veel organisaties brengen de nieuwe wettelijke verplichtingen aanvullende compliance- en governanceverplichtingen met zich mee. Wij ondersteunen cliënten onder meer bij het bepalen van de toepasselijkheid van de wetgeving, het inrichten van governance- en meldprocessen, het doen van incidentmeldingen en het voldoen aan de nieuwe wettelijke eisen. Ook adviseren wij organisaties die bezwaar willen maken tegen hun aanwijzing als kritieke entiteit.

Lees hier het persbericht van overheid

Lees hier onze FAQs over de Cyberbeveiligingswet

Autoriteit Persoonsgegevens legt Uber boete van bijna € 825 miljoen op wegens geautomatiseerde besluitvorming

Op 21 augustus maakte de AP bekend dat zij Uber een boete van € 824.990.000 heeft opgelegd wegens overtreding van de regels over geautomatiseerde besluitvorming uit de AVG. Volgens de AP werden accounts van chauffeurs tussen 2018 en 2022 automatisch gedeactiveerd bij vermoedens van fraude of lage klantbeoordelingen, zonder menselijke tussenkomst.

De AP concludeert dat Uber daarmee artikel 22 AVG heeft geschonden. Op grond van dit artikel mogen personen in beginsel niet worden onderworpen aan uitsluitend geautomatiseerde besluiten die aanzienlijke gevolgen voor hen hebben. De AP oordeelde daarnaast dat Uber chauffeurs onvoldoende had geïnformeerd over deze geautomatiseerde besluitvorming. Uber heeft aangekondigd bezwaar te maken tegen de boete.

Het onderzoek volgde op een klacht van 171 Franse chauffeurs, ingediend via de Franse mensenrechtenorganisatie Ligue des droits de l’Homme. Omdat het Europese hoofdkantoor van Uber in Nederland is gevestigd, trad de AP op als leidende toezichthouder onder het AVG-eenloketmechanisme. Het onderzoek en het uiteindelijke boetebesluit werden daarbij afgestemd met andere Europese privacytoezichthouders.

De boete onderstreept dat organisaties kritisch moeten kijken naar de inzet van algoritmen en AI-systemen voor besluiten die personen kunnen raken, bijvoorbeeld op het gebied van werk, dienstverlening of toegang tot platformen. Wij adviseren organisaties over de reikwijdte van artikel 22 AVG, de inzet van geautomatiseerde besluitvorming en de inrichting van passende governance- en compliancemaatregelen en ondersteunen bij onderzoeken en handhaving door de AP.

Lees hier het persbericht van de AP

Verzamelwetgegevensbescherming treedt op 1 september in werking

In onze nieuwsbrief van juni besteedden wij aandacht aan de aanname van de Verzamelwet gegevensbescherming door de Eerste Kamer. Inmiddels is duidelijk dat de wet per 1 september 2026 vrijwel volledig in werking treedt. Eén onderdeel treedt nog niet in werking: de nieuwe uitzondering voor accountants die bij wettelijk verplichte controles bijzondere persoonsgegevens moeten verwerken.

De Verzamelwet wijzigt onder meer de Uitvoeringswet AVG en bevat diverse technische en sectorspecifieke aanpassingen van het gegevensbeschermingsrecht. Daarmee worden bestaande regels op verschillende punten verduidelijkt en geactualiseerd. Voor een uitgebreidere bespreking van de inhoud van de Verzamelwet gegevensbescherming verwijzen wij graag naar onze nieuwsbrief van juni.