Drie punten om op te letten bij inhuren van programmeurs uit bijv. Servië
Drie punten om op te letten bij inhuren van programmeurs uit bijv. Servië
Waar de arbeidsmarkt op dit moment zich hervormt, zien veel #IT #bedrijven zich nog genoodzaakt om #programmeurs uit landen als Servië te halen. Hoogopgeleide programmeurs voor een lage prijs. En werken op afstand heeft ook zijn voordelen. Er zijn bij het sluiten van dit soort overeenkomsten altijd een paar punten om op te letten. Lees snel mijn blog over drie aandachtspunten bij het sluiten van samenwerkingsovereenkomst met buitenlandse partijen, met als voorbeeld Servië. In Servië zitten veel detacheerders, gericht op IT.
Persoonsgegevens
Let op met doorgifte van persoonsgegevens (de Algemene Verordening Gegevensbescherming blijft gelden). Servië is vooralsnog niet aangesloten bij de Europese Unie (al is Servië wel goed onderweg). Voor Servië geldt geen ‘adequaatheidsbesluit’, een besluit van de Europese Unie op grond waarvan persoonsgegevens met landen buiten de EU mogen worden gedeeld. Als de ingeschakelde programmeurs toegang krijgen tot persoonsgegevens van uw klanten, zult u dus passende waarborgen moeten treffen. Hoe biedt u passende waarborgen? Door met standaard contractuele bepalingen (“standard contractual clauses”) verplichtingen op te leggen aan de contractspartij in Servië. Zo biedt u de betrokkene (om wiens persoonsgegevens het gaat) afdwingbare rechten en doeltreffende rechtsmiddelen.
Incasso- en restitutierisico
Dit is wat anders dan een aansprakelijkheidsacceptatie door de ontvangende partij. In dit soort contracten staat vaak dat de ontvanger van gegevens alle aansprakelijkheid ten gevolge van inbreuken op zich neemt en zich daarvoor zal verzekeren. In de praktijk blijkt het lastig om (schadevergoedings)vorderingen op partijen in Servië te incasseren, zelfs met een vonnis in de hand. Naast alle betekeningsverplichtingen (en bijbehorende vertalingen) blijft het zo dat u van een kale kip niet kan plukken. En als de vordering aanzienlijk is, is de kans dat u achter het net vist met uw vordering groter.
Forumkeuze en rechtskeuze
Een vaak vergeten element van een samenwerkingsovereenkomst is dat het verstandig is vast te leggen wáár wordt geprocedeerd (Nederland of Servië), maar ook welk recht van toepassing is. Servisch recht sluit grotendeels aan bij de Algemene Verordening Gegevensbescherming, maar niet volledig. Een Nederlandse rechter zal moeite hebben met het toepassen van Servisch recht en vice versa. Daarbij komt dat het een stuk makkelijker is als betalende partij de presterende partij (de Servische partij die programmeurs ter beschikking stelt) voor de Nederlandse rechter te dagen dan de Servische rechter. In het algemeen geldt dat, als het zo ver is gekomen dat er sprake is van een schadevergoedingsvordering, de eisende partij uiteen moet zetten waarom sprake is van een tekortkoming en aansprakelijkheid. En dat is een stuk makkelijker uit te leggen binnen de in Nederland geldende regels.
Mijn advies
Als het u niet lukt de programmeurs die u nodig heeft, in Nederland aan te trekken, let u dan vooral op de bovenstaande punten. Er zijn overigens Nederlandse partijen in de markt die zich hebben gespecialiseerd in detachering van buitenlandse werknemers. Voordeel is dat uw contractspartij Nederlands is en u een aanspreekpunt heeft. Deze partijen zullen zelf alle privacyrechtelijke regels in acht moeten nemen, u heeft een Nederlands aanspreekpunt en beide partijen zullen toepasselijkheid willen van Nederlands recht en voorkeur geven aan de bevoegdheid van de Nederlandse rechter. Vegting Legal heeft een uitgebreid netwerk en wij leggen graag voor u de verbinding.
Heeft u vragen? Heeft u hulp nodig bij het opstellen van de nodige contracten, zoals de samenwerkingsovereenkomst of verwerkersovereenkomst? Neemt u dan gerust contact met mij op. Ik denk graag met u mee om op een verantwoorde manier externen in te huren.
Read More
Tesla krijgt er privacyrechtelijk van langs en wint Big Brother Award
In de categorie “Mobiliteit” heeft Tesla de prijs “Big Brother Award” gewonnen. De reden is dat Tesla auto’s niet alleen camera’s aan de buitenzijde hebben, maar ook aan de binnen zijde. De binnenspiegel heeft een camera, gericht op de passagiers (Tesla Model 3 en Y) . De gegevens kunnen voor elk door Tesla aangewezen doel gebruiken. De gronden voor gebruik? Gerechtvaardigd belang en uitvoering van de overeenkomst. Wat er precies gebeurt met de gegevens is niet duidelijk, maar de mogelijkheden lijken ongelimiteerd.
Daarbij komt ook nog eens dat wordt vertrouwd op het Privacy Shield, dat onlangs ongeldig werd verklaard in de uitspraak Schrems II. De technische mogelijkheden van de Tesla nemen sterk toe, de gadgets houden niet op. En dat is ontwikkeling, waar normaliter wij van houden. Daar staat tegenover dat bij die gadgets ook gegevens worden verwerkt, die helemaal niet verwerkt mogen worden. De eigenaar van de auto geeft weliswaar toestemming voor gebruik van gegevens, maar als iemand anders de Tesla bestuurt, heeft die persoon wellicht helemaal geen toestemming gegeven om gefilmd te worden.
Wat hier ook van zij, wij zijn benieuwd wat de privacywaakhonden hiervan gaan vinden. En dan komt de vraag in de autoindustrie naar voren: wat is belangrijker? Innovatie of privacy?
Read More
Het BKR en privacyregelgeving
X/ABN AMRO Bank en Achmea Bank
In een procedure over het verwijderen van een BKR-registratie tegen de ABN AMRO Bank en Achmea Bank heeft het gerechtshof ’s-Hertogenbosch een oordeel geveld over de rechtmatigheid van de verwerking van persoonsgegevens door het BKR. Iemand die bij het BKR geregistreerd was, verzette zich tegen verwerking van zijn persoonsgegevens door het BKR.
Het hof heeft geoordeeld dat het BKR persoonsgegevens mag verwerken op de verwerkingsgrond (artikel 6 lid 1 sub c AVG) c: de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. En dat is gek, omdat de Autoriteit Persoonsgegevens heeft aangegeven dat het BKR geen eigen wettelijke grondslag heeft om persoonsgegevens te verwerken.
Waarom is het belangrijk op welke grondslag het BKR persoonsgegevens verwerkt?
De BKR zelf stelt persoonsgegevens te verwerken op basis van het hebben van een gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Waarom doet dat ertoe? Als het BKR de persoonsgegevens verwerkt op de ‘f’-grond heeft een betrokkene andere rechten op grond van de AVG, zoals, onder omstandigheden het recht op vergetelheid (art. 17 AVG). Onder de (artikel 6 lid 1 AVG) c-grond is dat anders.
Het oordeel is opvallend. De BKR heeft namelijk geen wettelijke verplichting de persoonsgegevens te verwerken. De banken overigens wel (art. 4:32-34 Wft). De Autoriteit Persoonsgegevens heeft in het verleden de BKR al eens beboet wegens het in rekening brengen van kosten voor het inzien van persoonsgegevens. En de Autoriteit Persoonsgegevens heeft recentelijk, op 14 november 2019, zich uitgelaten over de grondslag van verwerkingen door het BKR. Het BKR zelf was niet betrokken in deze procedure, maar zal deze op de voet hebben gevolgd.
Standpunt Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens maakt onderscheid tussen vrijwillige en onvrijwillige inmenging. Vrijwillige inmenging kan gelden als er deel wordt genomen op basis van toestemming (de a-grond) of ‘noodzakelijk voor de uitvoering van een overeenkomst’ (de b-grond). Onvrijwillige inmenging geldt indien er een wettelijke verplichting geldt (de c-grond). Banken zullen persoonsgegevens met het BKR hoogstwaarschijnlijk niet delen met het BKR op grond van toestemming van de betrokkene. Want deze zal de toestemming, zodra het begint te spelen, onmiddellijk intrekken. Bij een beroep op de c-grond (een geldende wettelijke verplichting) moet er wel sprake zijn van een basis of uitwerking in nationale wetgeving. En voor de BKR schiet de wetgeving tekort. Regels over de vormgeving, bewaartermijnen en waarborgen van het register waarin de kredieten in het kader van de uitvoering van de bancaire zorgplicht (die wettelijke verplichting uit de Wft) worden geregistreerd ontbreken. Hoe lang mag de BKR gegevens bewaren? Is er een afweging gemaakt in dit kader door de wetgever tussen de belangen van de betrokken partijen? Wat is het doel van registratie? De verwerking is niet gebaseerd op een wettelijke verplichting dus de BKR kan geen (afgeleid) beroep doen op de verwerkingsgronden van de banken. Dus verwerkt de BKR de gegevens slechts op grond van de f-grond, aldus de Autoriteit Persoonsgegevens. En daarbij horen rechten van de betrokkene. Voor het beeld, bij het BKR zijn ongeveer 11 miljoen Nederlanders geregistreerd. Wel adviseert de Autoriteit Persoonsgegevens nog hierover regelgeving op te laten stellen.
Standpunt Gerechtshof ‘s-Hertogenbosch
Het hof komt tot de conclusie dat de banken ter uitvoering van hun wettelijke plicht tot deelname aan een kredietregistratiesysteem (en alles wat daar noodzakelijk bij hoort) persoonsgegevens mogen laten verwerken door/registreren bij BKR op grond van artikel 6 lid 1 sub c AVG. Het hof geeft geen opmerkingen over de aard van de verwerking of het doel daarvan om te bepalen of het BKR als verantwoordelijke of verwerker kwalificeert. Verwerking op basis van de f-grond zou onwerkbaar zijn in het kader van een adequate en wettelijk verplichte kredietregistratie. Daarbij zouden de wettelijke rechten uit de AVG niet nodig zijn om de belangen van de betrokkene te beschermen. Het oordeel is dat kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke – in dit geval de banken – rust.
Kortom, volgens het hof heeft het BKR een soort afgeleid recht om op te treden als verwerkingsverantwoordelijke, zonder de rechten uit de AVG, maar met haar eigen regels en handhavingsmogelijkheden.
Toekomst
Het is een opvallende uitspraak in het privacyrecht. Het is gek dat de BKR de schulden van ongeveer 11 miljoen Nederlanders registreert zonder wettelijke grondslag, maar met mogelijkheden van verzet. Het was vroeger al vreemd en het is nu nog vreemder. Het is duidelijk dat de regering hier aan zet is. De Wet voor het financieel toezicht schrijft immers voor dat banken verplicht zijn deel te nemen aan een stelsel van kredietregistratie.
De civiele rechter geeft een oordeel dat haaks staat op het standpunt van de Autoriteit Persoonsgegevens. Banken delen persoonsgegevens op basis van een wettelijke verplichting met een door henzelf gekozen private partij, die niet geldt als verwerker, waar geen verwerkersovereenkomst mee is gesloten, die op haar eigen manier de rechten van betrokkene behandelt en die vervolgens de persoonsgegevens deelt met partijen die zelf daartoe wél een wettelijke grondslag hebben.
Het lijkt mij dat ofwel een wettelijke grondslag moet worden toegevoegd, ofwel de delende partijen verplichtingen moeten opleggen aan de BKR. Een ander alternatief zou zijn het aansluiten bij de mogelijkheid van het gebruik van een ‘zwarte lijst’, al ligt dat niet het meest voor de hand. Zou het BKR dan na 55 jaar na haar oprichting toch eindelijk een wettelijke grondslag krijgen? Ik denk het wel.
En de eiser?
Voor het overige zag het Gerechtshof geen aanleiding de BKR-registratie te verwijderen (Santander-toets). Het is inmiddels nog even uitzitten voor de meneer in kwestie. Zijn registratie duurt tot maart 2021.
Read More
Telecomproviders opgelet! Vanaf 1 juli 2020 moeten mobiele telecomaanbieders bij 112-bellers identiteits- en locatiegegevens aan de autoriteiten sturen.
Mobiele telecomaanbieders moeten ervoor zorgen dat alarmnummer 112 bereikbaar is via alle technieken die zij gebruiken voor normale telefoongesprekken. Ook moeten de identiteitsgegevens en locatiegegevens worden meegestuurd, zodat in noodsituaties snel duidelijk is wie belt en vanaf welke locatie. De beleidsregel, afkomstig van het ACM, bedoeld om de telecommunicatiewet verder te verhelderen, geldt vanaf 1 juli 2021. De beleidsregel is op 23 juli 2020 gepubliceerd in de staatscourant. Privacyrechtelijk speelt dan ook de situatie dat persoonsgegevens worden verwerkt als u 112 belt. Dit is een bepaling op grond van nationaal recht en daarvoor gelden privacyrechtelijk andere regels, namelijk artikel 6 lid 4 van de Algemene Verordening Gegevensbescherming. Telecomproviders zouden er verstandig aan doen ook hierover in hun privacybeleid op te nemen dat zij deze persoonsgegevens zullen delen op grond van de wet. En in hoeverre de persoonsgegevens zullen worden gebruikt in het kader van misbruik van het alarmnummer is nog onduidelijk. Telecomproviders zullen enkele maatregelen moeten nemen om te blijven voldoen aan de privacyregelgeving. Benieuwd naar de volledige beleidsregel? Deze kunt u hier downloaden.
Read More
Het Hof van Justitie verklaart het EU-VS-Privacyschild (Privacy Shield) ongeldig. Doorsturen van gegevens naar Verenigde Staten niet meer toegestaan, tenzij afspraken zijn gemaakt.
Het Hof van Justitie verklaart het EU-VS-Privacyschild (Privacy Shield) ongeldig. Doorsturen van gegevens naar Verenigde Staten niet meer toegestaan, tenzij afspraken zijn gemaakt.
Algemeen
De Algemene Verordening Gegevensbescherming (AVG) bepaalt dat de doorgifte van persoonsgegevens naar een land buiten de Europese Unie in beginsel slechts kan plaatsvinden indien het derde land (niet EU land) een passend beschermingsniveau waarborgt. De commissie kan landen aanwijzen waarvan nationale wetgeving of internationale toezeggingen een passend beschermingsniveau bieden (een adequaatsheidbesluit). Is er geen adequaatheidsbesluit genomen, dan mag data alleen worden doorgeven aan niet EU land als de partij die de gegevens exporteert passende waarborgen biedt. De gegevensexporteur kan passende waarborgen bieden door met standaard contractuele bepalingen (door de Europese Commissie vastgesteld) verplichtingen op te leggen aan de ontvanger van de gegevens en, zodoende, de betrokkene afdwingbare rechten en doeltreffende rechtsmiddelen te verschaffen. Betrokkene zijn de personen van wie de persoonsgegevens zijn.
Voor de Verenigde Staten, als strategisch en handelspartner van Europa, ligt het anders. De EU en de VS hebben geprobeerd afspraken te maken, zodat transatlantische datatransfers konden (blijven) plaatsvinden.
Safe harbor
Om goed te begrijpen wat er nu aan de hand is, kijken we naar hoe de verhouding tussen de Verenigde Staten en Nederland tot stand is gekomen. Tussen de EU en de Verenigde Staten wordt een enorme hoeveelheid data uitgewisseld. De Europese Commissie en de Amerikaanse Department of Commerce hebben het Safe Harbor mechanisme ontwikkeld als zelfregulerend framework dat ervoor zou zorgen dat organisaties bij het verrichten van transatlantische datatransfers zouden voldoen aan de Europese regelgeving. Op 26 juli 2000 heeft de Europese Commissie besloten dat persoonsgegevens veilig konden worden uitgewisseld met Amerika. Het Safe Harbor mechanisme kreeg veel kritiek, omdat partijen niet aan de verplichtingen voldeden en omdat er nauwelijks actief werd gehandhaafd. Nadat Edward Snowden onthulde dat de veiligheidsdiensten van de Verenigde Staten op grote schaal gegevens onderzochten, heeft de Europese Commissie aangegeven te gaan heronderhandelen. Met uiteindelijk dertien specifieke aanbevelingen wilde de Europese Commissie de tekortkomingen van Safe Harbor aanpakken.
Schrems I
Tegelijkertijd werd de geldigheid van Safe Harbor in twijfel getrokken door de Oostenrijkse rechtenstudent Maximillian Schrems, die een klacht indiende bij de Ierse Autoriteit Persoonsgegevens. Schrems vroeg persoonsgegevensuitwisselingen door Facebook Ireland naar de Verenigde staten te beëindigen. Als verwerkingsverantwoordelijke zou Facebook Ireland niet mogen vertrouwen op het Safe Harbor framework. De klacht escaleerde. Op 6 oktober 2015 oordeelde de CJEU (Hof van Justitie van de Europese Unie) dat de adequaatsbesluitSafe Harbor ongeldig was (Ook wel bekend als de Schrems I uitspraak).
Privacy Shield
Kort daarna, op 29 februari 2016 presenteerde de Europese Commissie een nieuw concept adequaatheidsbesluit voor de Verenigde Staten. Ten opzichte van Safe Harbor had het Privacy Shield meer checks and balances en legde het Privacy Shield specifiekere en exactere eisen op aan organisaties die zich bij het Privacy Shield wilde aansluiten. Na kritiek van WP29 (de voorganger van de European Data Protection Board, alle nationale Autoriteit Persoonsgegevens bij elkaar), is het adequaatheidsbesluit definitief genomen.
Schrems II (16 juli 2020)
Op 16 juli 2020 heeft het CJEU geoordeeld dat het Privacy Shield besluit ongeldig is. Tenzij er sprake is van een geldig adequaatheidsbesluit, zijn autoriteiten (zoals de Autoriteit Persoonsgegevens) verplicht om een doorgifte van gegevens naar een derde land op te schorten of te verbieden, wanneer de standaardbepalingen inzake gegevensbescherming niet worden of niet kunnen worden nageleefd.
Het CJEU geeft ook een oordeel over de standaard contractuele clausules, ook wel de standaardbepalingen genoemd. Het gaat om vooraf door de Europese Commissie goedgekeurde standaard afspraken tussen de exporteur en importeur van gegevens. Voorbeelden van importeurs van persoonsgegevens zijn de cloudprovider, die gegevens doorstuurt naar servers in de Verenigde Staten of de cookieleverancier, die persoonsgegevens via uw website verzameld en voor u verwerkt tot iets bruikbaars in de Verenigde Staten. De Europese Commissie heeft besloten dat standaardbepalingen ertoe kunnen leiden dat wordt voldaan aan de vereisten van de AVG. De norm is als volgt. Het CJEU onderzoekt of dat besluit doeltreffende mechanismen bevat waarmee in de praktijk kan worden gewaarborgd dat het beschermingsniveau van de AVG in acht wordt genomen en dat doorgifte van persoonsgegevens wordt opgeschort in geval die bepalingen worden geschonden of onmogelijk kunnen worden nageleefd. Het CJEU stelt vast dat het besluit van de Europese Commissie over de contractuele bepalingen voldoet aan deze norm. De exporteur en ontvanger van de gegevens moeten vooraf nagaan of het juiste beschermingsniveau in acht wordt genomen in het derde land, en dat de ontvanger verplicht is zich te melden als hij niet in staat is om de standaardbepalingen na te leven.
Wat u nu moet doen: gevolgen voor ondernemers
- Geen paniek. Na de uitspraak over Safe Harbor heeft de Europese Commissie niet lang op zich laten wachten met een concept en heronderhandeling. De samenwerking tussen de EU en de VS is zowel strategisch als commercieel. Het volume van de transatlantische doorgifte van gegevens is zodanig dat beide partijen gebaat zijn bij praktische en heldere oplossingen. Het kan niet anders dat de Europese Commissie al naar mogelijkheden en oplossingen aan het kijken is.
- Weliswaar is het Privacy Shield ongeldig, maar tussen partijen kunnen de standaardbepalingen worden overeengekomen om doorgifte van persoonsgegevens mogelijk te maken. Dan geldt wel de open norm/contractuele verplichting dat u als exporteur moet nagaan of het beschermingsniveau in acht wordt genomen. De vraag: “wat doet u met de gegevens?” is en blijft een relevante en belangrijke vraag. Amerikaanse partij moet dan wel garanderen dat hij de persoonsgegevens uitsluitend namens de gegevensexporteur en in overeenstemming met diens instructies en met de bepalingen verwerkt. Indien hij om welke reden dan ook daartoe niet in staat is, zal hij ermee moeten instemmen de gegevensexporteur onverwijld daarvan in kennis te stellen, in welk geval de gegevensexporteur de gegevensdoorgifte mag opschorten en/of het contract mag beëindigen. De gedachte achter de standaardbepalingen is dat het juiste beschermingsniveau in acht wordt genomen en vooral dat de betrokkene zijn rechten kan blijven uitoefenen.
- Op korte termijn alle datatransfers opschorten? Ik denk dat dat praktisch onmogelijk is. Neem contact op met uw leverancier en verzoek hem met u de standaardbepalingen overeen te komen. Deze zijn geldig verklaard en ook voor de toekomst staat u er dan steviger en beter voor. Uiteraard kan ik dit ook voor u doen en voor u de beste oplossing uitonderhandelen. Hulp nodig? Neem contact op.
En Schrems?
Hoewel het Privacy Shield adequaatheidsbesluit ongeldig is verklaard, zijn de standaardbepalingen geldig verklaard. Facebook Ireland voert de doorgifte van persoonsgegevens tussen Ierland en de Verenigde Staten uit op basis van die standaardbepalingen. En dat mag.
Read More