Lissabon krijgt privacyboete van 1,25 miljoen euro voor delen data demonstranten
De Portugese stad Lissabon heeft van de Portugese privacytoezichthouder CNPD een boete van 1,25 miljoen euro gekregen voor het overtreden van de privacywetgeving RGPD. Het gemeentebestuur verwerkte persoonsgegevens van personen die demonstraties organiseerden en deelde de data met derde partijen, waaronder ambassades en de ministers van Buitenlandse Zaken van andere landen.
Aangezien het hier gaat om gegevens over politieke opvattingen, wat volgens de de privacywetgeving bijzondere persoonsgegevens zijn, had het gemeentebestuur zorgvuldiger met het verwerken van de gegevens moeten omgaan, wat niet is gebeurd. Zo vond het gemeentebestuur dat het hier niet om gevoelige data ging en was er van tevoren ook geen DPIA (data protection impact assessment) uitgevoerd om de privacyrisico's in kaart te brengen.
Volgens de CNPD maken demonstranten zich wereldwijd zorgen over het blootgeven van hun identiteit, aangezien er steeds meer middelen zijn om persoonlijke informatie in openbare plekken vast te leggen. Het gemeentebestuur had dan ook rekening moeten houden met wat voor risico deze middelen voor de vrijheid van meningsuiting vormen.
Daarnaast stelde de privacytoezichthouder dat personen die aan demonstraties deelnemen niet automatisch toestemming geven voor het verwerken van hun persoonsgegevens en dat er geen misbruik van het publieke karakter van demonstraties mag worden gemaakt om de ideeën, opvattingen en geloofsovertuigingen van personen vast te leggen.
Door dit toch te doen heeft Lissabon onder andere artikel 13 van de GDPR overtreden, waarin staat dat de gegevensverwerker bij de verwerking van persoonsgegevens de persoon van wie de data wordt verwerkt hierover informeert. Vanwege de financiële moeilijkheden door de coronapandemie besloot de CNPD een boete van 1,25 miljoen euro op te leggen. Anders was het boetebedrag veel hoger uitgekomen (pdf).
Waarom wordt de dader niet persoonlijk aangepakt?
Kortom: de bekende wassen neus.
Waarom wordt de dader niet persoonlijk aangepakt?
Kortom: de bekende wassen neus.
Het lig er dichtbij dat massamoordenaars zich ook beroepen op de AVG en daar gelijk krijgen dat het privacyschendend is dat ze vervolgd worden. Nome zo iemand een demonstrant en de foute daden worden goedgepraat. Handboek uit 1984
Aan de andere kant het verlinken van mensen, die zich niet aan maatregelen houden door niet-handhavers, mag vragen oproepen. Ludieke acties als de kapsalon presentaties in de culturele sector bijvoorbeeld, verwerpelijk?
De twee zijden van het verhaal botsen en het flinterdunne gelijk van een der partijen en is moeilijk omhoog te houden net als de balletjes van een jongleur. Kan niet eindeloos zo doorgaan, toch? Een demonstrant is niet a priori een wap, een conspiracy theorist, een potentieel psychiatrisch delinquent, een mogelijke terrorist of ontneem hem of haar nog meer basale kenmerken, dat hem of haar tot volwaardig mens doet zijn. Dit hebben we al eerder gezien, nu ook hier.
Hoeft niets met criminaliteit te maken te hebben. Iemand die containers leeghaalt in opdracht van in de haven is m.i. geen demonstrant maar een straight-forward crimineel. Maar dat gaat maar door ondanks beleid. In die zin ben ik het met karma4 eens. Waar zijn de uche-uche-dagen? Waar zijn de corona-kabouters? Allemaal verworden tot couch-potatoes (bankhangers en smartfoon-gluurders).
Ik leg het even uit. Voor heel de Europese Unie geldt de GDPR. Dat is een basis wet die de 27 lidstaten overeenkomen. Daarna moet die wet door al die staten zelf aangenomen worden, en kunnen ze er ook nog van alles aan toevoegen. Wat dan enkel geldt in die ene lidstaat. Zo is in Nederland de AVG van kracht geworden. Die dan ook enkel voor Nederland geldt. In Portugal heet de Europese wet dan ook niet GDPR maar RGPD (Want het is in Portugal gangbaar dat men daar Portugees gebruikt, niet alleen op straat maar ook in de wetten.)
Het betekent trouwens ook dat naast de standaard GDPR, op gebied van privacy wetgeving iets in de ene staat wél mag, maar in de andere niet.
Wel belangrijk om het onderscheid te kennen, want er zijn zelfs mensen die bijvoorbeeld denken dat de Amerikaanse grondwet voor heel de wereld geldt. Terwijl die ook gewoon ophoudt bij hun grens. De AVG is formeel niet van kracht in Portugal. Wél de GDPR, of de RGPD zoals ze hem daar noemen. Waar onderling binnen de EU dan ook nog wordt samengewerkt.
Het lig er dichtbij dat massamoordenaars zich ook beroepen op de AVG en daar gelijk krijgen dat het privacyschendend is dat ze vervolgd worden. Nome zo iemand een demonstrant en de foute daden worden goedgepraat. Handboek uit 1984
Karma4, dit is de meest onzinnige opmerking op deze site die ik ooit gezien heb. Privacyschendend is niet, dat ze de gegevens van die aanvragers vastleggen. Privacyschendend is, dat ze deze gegevens delen met anderen, waaronder ambassades waar gedemonstreerd wordt. Dit houdt nl. in, dat iemand die voor een ambassade demonstreert tegen schendingen van mensenrechten, ik noem een Iran, China, Noord-Korea enz., met naam en toenaam bij die ambassade en dus regering terecht komt. Dat zo'n demonstratie in die landen niet mag, lijkt mij duidelijk en wanneer de aanvrager oorspronkelijk uit dat land komt, brengt dat zijn familie mogelijk in gevaar. Iemand om het leven brengen, als regering of als persoon is in mijn ogen (en van velen met mij) altijd fout.
Voor een moord/massamoord of doodstraf bestaat geen redelijk excuus. Bij een doodstraf wordt iemand wel door een onafhankelijke (?) rechter veroordeeld, maar we weten allemaal dat er dwalingen van het recht bestaan.
Ik leg het even uit. Voor heel de Europese Unie geldt de GDPR. Dat is een basis wet die de 27 lidstaten overeenkomen. Daarna moet die wet door al die staten zelf aangenomen worden, en kunnen ze er ook nog van alles aan toevoegen. Wat dan enkel geldt in die ene lidstaat. Zo is in Nederland de AVG van kracht geworden. Die dan ook enkel voor Nederland geldt. In Portugal heet de Europese wet dan ook niet GDPR maar RGPD (Want het is in Portugal gangbaar dat men daar Portugees gebruikt, niet alleen op straat maar ook in de wetten.)
Het is dezelfde wet, maar verschillende lidstaten hebben allemaal hun eigen officiële talen en dat zijn ook allemaal officiële EU-talen. Een Europese wet wordt daarom in al die talen gepubliceerd. Dat maakt niet dat het verschillende wetten zijn. De wetteksten in al die talen zijn gelijkwaardig aan elkaar, het is niet zo dat bijvoorbeeld de Engelse tekst (GDPR) de echte is en de Nederlandse (AVG) een afgeleide. Het is dezelfde wet, opgeschreven in verschillende talen.
Wat wel verschilt per EU-land is dat ze allemaal al hun eigen wetgeving hadden. Daarom heeft elk EU-land naast de AVG=GDPR=RGDP wetten aangenomen om de EU-wet in de nationale wetgeving in te passen. In Nederland is dat de UAVG.
AVG, artikel 2, punt 2d:
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
