Data Protection Day: vooruitkijken naar mei 2018
De elfde Europese Data Protection Day valt midden in de korte periode van twee jaar die men heeft om zich te schikken naar de nieuwe regels van de General Data Protection Regulation (GDPR), die in werking trad op 24 mei 2016. Er is geen ruimte voor stilte voor de storm: niet enkel is de oefening om te voldoen aan deze nieuwe verordening complex, maar ook de Europese en Belgische privacyautoriteiten zijn intussen actief. Op 25 mei 2018 moeten bedrijven en publieke autoriteiten kunnen bewijzen dat zij deze nieuwe privacywetgeving naleven.
De publicatie en daaropvolgend de inwerkingtreding van de GDPR, bracht definitieve duidelijkheid over de nieuwe privacyregels waaraan bedrijven, publieke autoriteiten en andere organisaties zullen moeten voldoen bij het verwerken van persoonsgegevens. Voldoen aan de resem nieuwe verplichtingen zoals het melden van datalekken, het bijhouden van een register van verwerkingsactiviteiten, het uitvoeren van een gegevensbeschermingseffectbeoordeling of Data Protection Impact Assessment (DPIA), het aanstellen van een Data Protection Officer (DPO) … is geen gemakkelijke opdracht. Om er zeker van te zijn dat de nodige processen correct worden geïmplementeerd, zijn zowel expertise als een accuraat overzicht en begrip van de eigen verwerkingsactiviteiten onontbeerlijk.
Overlappende wetgeving
In het landschap van de Europese wetgeving zijn er ondertussen nieuwe ontwikkelingen die zullen culmineren in mei 2018: naast de GDPR die dan nageleefd zal moeten worden, zal ook het effect van de Directive on Security of Network and Information Systems (NIS directive) en de Regulation on Privacy and Electronic Communications (ePrivacy regulation) voelbaar worden.
De NIS directive die sinds augustus 2016 van kracht is, zal tegen mei 2018 in een nationale wetgeving omgezet moeten zijn waar de ePrivacy regulation op hetzelfde moment in werking zal treden. Beide wetgevingen zullen in sommige situaties een overlap hebben met de GDPR maar tegelijkertijd ook een welkome aanvulling zijn. Waar de GDPR zich richt op het beschermen van persoonsgegevens, zal de NIS directive zich vooral richten op cybersecurity van dienstverleners van essentiële diensten en digitale diensten. De aankomende ePrivacy regulation zal op zijn beurt dan weer de bestaande regels voor telcobedrijven, ISPs en OTT providers vernieuwen. Ook het regelgevende kader voor e-marketing en het gebruik van cookies wordt door deze regulation opgefrist.
Intussen kwam ook de Europese Werkgroep 29, die bestaat uit vertegenwoordigers van privacywaakhonden uit alle lidstaten, met haar eerste richtlijnen naar buiten. Deze diepten het nieuwe recht op overdraagbaarheid van gegevens, de functionaris voor gegevensbescherming, en de leidende toezichthoudende autoriteit verder uit. Ook de Belgische Privacycommissie bracht haar eerste advies uit omtrent de DPIA.
Mei 2018 zal voor iedereen van grote betekenis worden.
Fabienne Lens is director regulatory compliance Europe bij ctg.
