Autoriteit Persoonsgegevens: houd data bij twijfel in de EU
Bedrijven en organisaties die persoonsgegevens van Europese burgers in landen buiten de EU opslaan moeten bij twijfel over de bescherming de data in de EU houden, zo stelt de Autoriteit Persoonsgegevens naar aanleiding van de recente Schrems II-uitspraak.
In juli verklaarde het Europees Hof van Justitie het Privacy Shield-verdrag tussen de Europese Unie en de Verenigde Staten ongeldig. Het verdrag moest de uitwisseling van persoonsgegevens tussen bedrijven in de Europese Unie en de VS regelen. Volgens de rechter zijn gegevens die onder het verdrag werden uitgewisseld niet goed beschermd in de Verenigde Staten. Door de uitspraak van het hof mogen bedrijven in de EU op grond van het Privacy Shield-verdrag geen persoonsgegevens meer aan de VS doorgeven.
De European Data Protection Board (EDPB), een orgaan waarin alle nationale privacytoezichthouders uit de Europese Unie samenwerken bij hun toezicht op de Algemene verordening gegevensbescherming (AVG), waaronder ook de AP, heeft aanbevelingen opgesteld voor de doorgifte van persoonsgegevens naar derde landen. Het gaat hierbij om landen waar persoonsgegevens minder goed beschermd zijn dan in de EU.
Volgens de EDPB is de meest praktische oplossing voor de doorgifte van persoonsgegevens het gebruik van modelcontracten. "Maar dat mag in de meeste gevallen alléén als een bedrijf voldoende aanvullende maatregelen neemt om de veiligheid van de doorgifte te waarborgen", aldus de Autoriteit Persoonsgegevens. Aanvullende maatregelen zijn bijvoorbeeld encryptie en pseudonimisering.
Per geval zullen bedrijven moeten kijken welke maatregel of combinatie van maatregelen nodig is om persoonsgegevens goed te beschermen. Het zal echter niet altijd mogelijk zijn om aanvullende maatregelen te treffen. Het gaat dan bijvoorbeeld om landen die privacy en andere grondrechten onvoldoende beschermen. Bedrijven die in dergelijke landen persoonsgegevens opslaan zijn nog steeds verantwoordelijk dat dit veilig gebeurt.
Bij twijfel adviseert de Autoriteit Persoonsgegevens dan ook om data in de EU te houden. "Is er na nader onderzoek nog steeds enige twijfel over de veiligheid van doorgifte van persoonsgegevens? Stop dan met de doorgifte of begin niet aan een nieuwe doorgifte. Houd data dan in de EU."
A data exporter uses a cloud service provider or other processor to have personal data processed according to its instructions in a third country. If
1. a controller transfers data to a cloud service provider or other processor,
2.the cloud service provider or other processor needs access to the data in the clear in order to execute the task assigned, and
3.the power granted to public authorities of the recipient country to access the transferred data goes beyond what is necessary and proportionate in a democratic society,
then the EDPB is, considering the current state of the art, incapable of envisioning an effective technical measure to prevent that access from infringing on data subject rights. The EDPB does not rule out that further technological development may offer measures that achieve the intended business purposes, without requiring access in the clear.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
