Data Protection Day: terugblikken en vooruitkijken

Terugblik 2021

2021 stond in het teken van COVID en de bescherming van de persoonsgegevens die hierbij aan bod kwamen. Het ging hierbij niet alleen over de bescherming van de gegevens, maar eveneens over de bewustmaking van verwerkingsverantwoordelijken, dat deze verwerkingen vooraf moeten gegaan worden door een gegevensbeschermingsimpactanalyse (DPIA genaamd). Gegevensbeschermingsimpactanalyses zijn in veel gevallen verplicht en kunnen dus steeds opgevraagd worden bij een inspectie. Begin hier tijdig aan!

Enkele cijfers

In 2021 heeft de Geschillenkamer, die handhavend dient op te treden, 143 beslissingen gepubliceerd. In 140 gevallen kwam de beslissing tot stand op basis van een klacht van een burger. In totaal werd er € 301.000 aan boetes opgelegd. Er werd 10 keer beroep voor aangetekend bij het Marktenhof.

Er werden 73 inspecties uitgevoerd door de Inspectiedienst en slechts in 4 gevallen werd overgegaan tot seponering. De inspectiedienst onderzoekt klachten over ernstige aanwijzingen van inbreuken op de GDPR/AVG.

De GBA ontving 1432 meldingen van gegevenslekken en startte zelf 3 dossiers op. 48% van de gegevenslekken kwam er door een menselijke vergissing, 26% door hacking, phishing of malware. Als we 2021 met 2020 vergelijken, zien we dat er 36% meer gegevenslekken zijn in 2021, dan in 2020.

Verder waren er 1788 DPO aanmeldingen, enerzijds nieuwe aanmeldingen anderzijds wijzigende aanmeldingen. Hierdoor hebben op 31 december 2021 in totaal 7041 organisaties een actieve DPO.

Prioriteiten 2023

De GBA heeft de grootste prioriteiten voor 2023 meegedeeld aan de Kamer van volksvertegenwoordigers. Hierbij zien we twee grote prioriteiten, nl. cookies en de functie van de DPO. En een kleinere prioriteit, nl. smart cities.

1. Cookies: de GBA zal later dit jaar een duidelijk standpunt formuleren over het gebruik van cookies, wat kan en niet kan. Dit in combinatie met de export van persoonsgegevens door het gebruik van bepaalde internationale tools, zoals Google Analytics, Mailchimp, edm. Eveneens in 2023 zal dit een prioriteit blijven en zal de GBA hier hard op inzetten.
2. De DPO/functionaris van de gegevensbescherming: de DPO wordt gezien als de bondgenoot van de GBA. De autoriteit wil deze personen ondersteunen waar nodig. Dit zullen ze doen aan de hand van preventieve acties, het verder uitwerken van richtlijnen, het nemen van beslissingen en door controles uit te voeren naar de onafhankelijkheid van de DPO.
3. Smart cities: een smart city is een plaats waar alle mogelijke technologische oplossingen samen gebruikt worden om het leven van de bewoners te faciliteren. Denk hierbij aan intelligent vervoer, slimme camera’s, kilometerheffing, edm. Hierbij worden verschillende soorten persoonsgegevens bij elkaar ingezameld, waar de GBA graag enkele preventieacties voor wil ontwikkelen.

De autoriteit wil in 2023, indien mogelijk, bijzonder aandacht hebben voor de bewustwording rond data brokers/datamakelaars bij o.a. jongeren. Data brokers verwerken op zeer grote schaal persoonsgegevens. De Inspectiedienst en de Geschillenkamer willen hier verder onderzoek naar doen dit jaar.

2023 zal een belangrijk jaar worden voor het uitwisselen van persoonsgegevens naar de VS. Door Schrems II is er geen Privacy Shield meer actief tussen de EU en de VS waardoor data export bijna onmogelijk is geworden zonder het nemen van diverse maatregelen.

Op 7 oktober 2022 werd door President Biden een nieuw Executive Order getekend, wat gezien werd als oplossing voor dit probleem. Echter zien we hier op korte termijn geen oplossing in voor Europese bedrijven. De inhoud van de Executive Order zal vermoedelijk niet voldoende zijn voor de Europese Commissie om data transfers goed te keuren. In 2023 volgen we dit verder voor u op!

Bron: Jaarverslag Gegevensbeschermingsautoriteit