Uitgelicht: Privacy en cloud computing

Direct vrijblijvend advies? Bel of mail 

+31 (0)70-3819281

info@wisemen.nl

Software as a Service (SaaS) 

Software-applicaties worden steeds meer online aangeboden. De tijd dat software op een harde schijf bij de gebruiker staat, lijkt verleden tijd te worden. Bedrijven en instellingen kiezen steeds vaker om een software product op basis van Software as a Service (SaaS) aan te schaffen. Een relatief nieuw fenomeen dat ook niet meer weg te denken is, is cloud computing.

Cloud computing

Cloud computing ziet niet alleen op het online aanbieden van software, maar ook op het aanbieden van applicaties en IT-infrastructuur waarbij de verwerking van data kan plaatsvinden door meerdere partijen die bij de cloud-dienstverlening zijn betrokken.

Zoals meestal met nieuwe online diensten, roept het gebruik en het aanbieden van cloud diensten juridische vragen op. Met name op het gebied van de bescherming van de gegevens die worden geüpload en opgeslagen in de cloud.

Privacyaspecten van cloud computing

Hieronder wordt globaal ingegaan op enkele privacyaspecten van cloud computing. Voor een uitgebreid advies over alle aspecten van cloud-computing in relatie tot privacy is maatwerk nodig.

Soorten clouddiensten

Er zijn diverse vormen van cloud-diensten. Er wordt doorgaans een onderscheid gemaakt in

• Software as a Service (SaaS),
• Platform as a Service (PaaS) en
• Infrastructure as a Service (IaaS).

Bij SaaS gaat het om applicaties die via internet worden aangeboden door een Cloud Service Provider. Bij Platform as a Service biedt de Cloud Service Provider een hardware- en softwareplatform aan waarop de klant zelf diensten en voorzieningen kan ontwikkelen. Bij IaaS levert de Cloud Service Provider hier in wezen de IT-infrastructuur (hardware) die online kan worden benaderd. Naast deze diensten kan een onderscheid worden gemaakt in de gebruiksmodellen, zoals

• de private cloud (beschikbaar voor één individu),
• de public cloud (beschikbaar voor een ieder) en
• de hybrid cloud (een combinatie van de twee).

Software as a Service (SaaS)

SaaS is vooralsnog de meest gebruikte vorm van een cloud-dienst. 

Gehost op een server

De software kan worden gehost op een server bij de aanbieder maar ook op een andere server bij een andere aanbieder. Bijvoorbeeld een aanbieder in een ander land. Dat kan ook gelden voor de data die wordt opgeslagen op de server. En dit maakt het dat een enkele SaaS dienst is onderworpen aan regelgeving in andere landen. De SaaS dienst is immers niet aan landsgrenzen is gebonden. En dat geldt ook voor de gebruikers.

Diverse rechtsregels van toepassing

Ten aanzien van een cloud-dienst kunnen dus diverse rechtsregels van toepassing zijn. Het gaat daarbij niet alleen op regels

• over privacy, maar ook om
• consumentenwetgeving en
• wetgeving ten aanzien van de aansprakelijkheid van dienstverleners.

Aangezien wetgeving waarbij aan consumenten bepaalde rechten worden verleend doorgaans van dwingend recht is, doet de cloud-aanbieder er goed aan zich op de hoogte te stellen van de geldende regels. Het uitsluiten van consumentenbescherming is namelijk doorgaans niet toegestaan. Ook niet indien een gebruiker (als die een consument is) uitdrukkelijk bepaalde contractvoorwaarden accepteert. Dat geldt evenzeer voor de privacyregels. De privacy speelt in de cloud een prominente rol. Een introductie...

Privacy in de cloud 

Wat betreft privacy geldt een veelheid aan regels die de cloud-aanbieder, maar ook de afnemer van de dienst, moet respecteren. Indien namelijk de aanbieder persoonsgegevens verwerkt, gelden vaak onverkort de regels inzake gegevensbescherming. Dit legt op de aanbieder vergaande verplichtingen ten aanzien van de wijze van gebruik en de beveiliging van de persoonsgegevens.

Diverse rechtsregels van verschillende rechtsstelsels

Omdat cloud-diensten niet aan een bepaalde locatie is gebonden, kunnen diverse rechtsregels van verschillende rechtsstelsels van toepassing zijn op één enkele dienst. Binnen Europa zijn de privacyregels wel redelijk geüniformeerd. Dit komt doordat in de EU de Algemene Verordening Gegevensbescherming (AVG) geldt.

Maar de cloud-aanbieder zal in voorkomende gevallen naast EU-wetgeving, ook rekening moeten houden met wetgeving uit andere landen, zoals bijvoorbeeld de Verenigde Staten.

Definitie van "privacy"

Privacy is een overkoepelend begrip, een fundamenteel recht dat nauw verbonden is met persoonlijke vrijheid. Het Europese Verdrag voor de Rechten van de Mens (EVRM) en het Verdrag van Lissabon bevatten een omschrijving van de universele rechten die een mens heeft.

Zo heeft eenieder recht op eerbiediging van: 

• zijn privé-leven,
• zijn familie-en gezinsleven,
• zijn woning en
• zijn correspondentie.

Verwerkingsverantwoordelijke

Ten aanzien van de bescherming van persoonsgegevens is bepaald dat een ieder recht heeft op bescherming van de hem betreffende persoonsgegevens. De voor de verwerking verantwoordelijke (verwerkingsverantwoordelijke) moet de persoonsgegevens verwerken op een wijze die rechtmatig, behoorlijk en transparant is

Daarnaast mag de verwerkingsverantwoordelijke persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven doeleinden verzamelen.

Gerechtvaardigde grondslag

Iedere verwerking moet bovendien gebaseerd kunnen worden op een gerechtvaardigde grondslag. Zo zijn er meer verplichtingen. Personen hebben bovendien verschillende rechten met betrekking tot hun persoonsgegevens, zoals het recht op inzage en rectificatie. Kortom, verwerking van persoonsgegevens is aan (strenge) onderworpen.

Definitie van “persoonsgegeven” en “verwerking”

‘Persoonsgegeven’ is volgens de AVG alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene").

Daarvan is snel sprake. Een naam, een combinatie van gegevens zoals adres, leeftijd, beroep, etc. Maar ook videopnamen van (bewakings)camera’s of een IP-adres. Het hangt echter van de specifieke omstandigheden van het geval af of bepaalde informatie te herleiden is tot een natuurlijk persoon. 

Van “verwerking” is ook snel sprake. Het omvat in wezen iedere handeling die op een persoonsgegeven kan worden uitgevoerd. Zoals het versturen en de opslag daarvan. Bij cloud-diensten zal dus snel sprake zijn van een verwerking.

Toepasselijkheid van de AVG

Materieel toepassingsgebied

De AVG is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

Bij cloud computing zal daar dus sprake van zijn. Maar de AVG is niet van toepassing op iedere verwerking van persoonsgegevens. De AVG is bijvoorbeeld niet van toepassing op de verwerking van persoonsgegevens ten behoeve van activiteiten door een natuurlijk persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. Daaronder valt echter bijvoorbeeld niet de situatie waarbij persoonsgegevens op een publieke persoonlijke website worden geplaatst, zoals Facebook, en die gegevens voor een ieder zichtbaar zijn.

Territoriaal toepassingsgebied

De AVG is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de EU, ongeacht of de verwerking in de EU plaatsvindt.

De AVG is ook van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de EU bevinden, door een niet in de EU gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met:

1. het aanbieden van goederen of diensten aan deze betrokkenen in de EU, ongeacht of een betaling door de betrokkenen is vereist; of
   
   
2. het monitoren van hun gedrag, voor zover dit gedrag in de EU plaatsvindt. In dit geval dient de verantwoordelijke een persoon of instantie aan te wijzen die namens hem handelt overeenkomstig de bepalingen van de Wbp.

Niet relevant is dus waar de gegevens feitelijk worden verwerkt en opgeslagen.

De verwerkingsverantwoordelijke en de verwerker

Verwerkingsverantwoordelijke

De AVG definieert de “verwerkingsverantwoordelijke” als:

"een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.”

Uitbesteden verwerken gegevens

Verwerkingsverantwoordelijken verrichten vaak bepaalde gegevensverwerkingen niet zelf, maar besteden deze uit aan een andere partij. Zo kan een verwerkingsverantwoordelijke besluiten zijn klantendatabase op te slaan bij een hosting-provider. Een dergelijke partij is, afhankelijk van de omstandigheden, niet zelf verwerkingsverantwoordelijke voor die in opdracht uitgevoerde verwerkingen, maar een “verwerker”.

Verwerker

Een verwerker is volgens de AVG

”een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt”.

Verschil tussen verwerkingsverantwoordelijke en verwerker 

Het grote verschil tussen de verwerkingsverantwoordelijke en de verwerker bestaat erin dat de verwerker niet de doelen en middelen voor de verwerking van persoonsgegevens bepaalt, maar slechts ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. In de AVG is de relatie tussen verantwoordelijke en de bewerker nader uiteengezet. 

Verwerkersovereenkomst

Tussen de verwerker en de verwerkingsverantwoordelijke dient in ieder geval een overeenkomst te worden gesloten waarin regels moeten zijn opgenomen die betrekking hebben op

• de wijze waarop de verwerker de persoonsgegevens mag verwerken en
• de toegepaste beveiligingsmaatregelen.

Dit wordt ook wel een verwerkersovereenkomst genoemd.

Cloud-computing

Het kan bij cloud-computing moeilijk zijn om vast te stellen wie welke rol vervult in het geheel en dus om vast te stellen wie de verwerkingsverantwoordelijke en de verwerker is en hoe de verplichtingen zijn afgebakend. Een verwerker kan bijvoorbeeld ook verworden tot verwerkingsverantwoordelijke indien de gegevens door de verwerker worden verrijkt en worden gebruikt voor andere doeleinden dan die door de verwerkingsverantwoordelijke zijn vastgesteld.

Ook diensterleners die wellicht ogenschijnlijk verwerker zijn, omdat zij bijvoorbeeld een SaaS applicatie leveren, kunnen toch verwerkingsverantwoordelijke zijn, bijvoorbeeld als zij genoeg invloed hebben op wezenlijke aspecten van de gegevensverwerking.

De verplichtingen van de verantwoordelijke en de bewerker

De algemene verplichtingen van de verwerkingsverantwoordelijke en de verwerker staan in de AVG. 

De belangrijkste verplichtingen uit de AVG zijn:

• Persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is ("rechtmatigheid, behoorlijkheid en transparantie”).
  
  
• Persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt (“doelbinding”).
  
  
• Persoonsgegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt ("minimale gegevensverwerking”).
  
  
• Persoonsgegevens moeten juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren ("juistheid”).
  
  
• Persoonsgegevens moeten worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is.
  
  
• Persoonsgegevens moeten door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging ("integriteit en vertrouwelijkheid”).
  
  
• Voor bijzondere persoonsgegevens, zoals gegevens over
  • ras,
  • gezondheid en
  • geloofsovertuiging,

gelden extra strenge regels. De verwerking van dergelijke gegevens is verboden, tenzij een uitzonderingsgrond van toepassing is. Daarnaast moet tevens een grondslag bestaan voor het verwerken van het bijzondere persoonsgegeven.

Algemene verplichtingen indien toegepast op een cloud-omgeving leveren complexe vragen op

Deze algemene verplichtingen leveren complexe vragen op indien toegepast op een cloud-omgeving. Wat van de cloud-leverancier en de klant mag worden verwacht is vaak niet zonder meer duidelijk. Het vergt een zorgvuldige feitelijke en juridische analyse van de soort dienstverlening en de wijze waarop data wordt verwerkt.

Naast deze algemene plichten gelden in de AVG – afhankelijk van de situatie – een aantal verplichtingen van meer administratieve aard, zoals

• de verplichting tot het bijhouden van een register van gegevensverwerkingen,
• het afsluiten van verwerkersovereenkomsten en
• het aanstellen van een functionaris voor gegevensbescherming en
• het uitvoeren van een gegevensbeschermingseffectbeoordeling (privacy impact assessment).

De rechten van de "betrokkene"

De verplichtingen hebben een rechtstreeks verband met de rechten van degenen waar de persoonsgegevens betrekking op hebben, de betrokkenen. Kort gezegd komt het er op neer dat een betrokkene de volgende rechten heeft:

• Recht op informatie; de betrokkene moet kunnen nagaan wat er met zijn gegevens gebeurt en wat zijn rechten zijn. De verantwoordelijke dient de betrokkene dan ook informatie te geven over het doel (of de doeleinden) van het verzamelen en zijn gegevens.
  
  
• Recht op inzage; een betrokkende kan inzage verzoeken in zijn persoonsgegevens en het gebruik daarvan. De verantwoordelijke dient na een inzageverzoek van de betrokkende een overzicht van de gegevens te geven. Hij moet daarbij ook onder meer informatie verstrekken over het doel van de verwerking(en) en de ontvangers van de persoonsgegevens;
  
  
• Recht op rectificatie, verwijdering of beperking; de betrokkene kan de verwerkingsverantwoordelijke ook verzoeken de persoonsgegevens te rectificeren, te verwijderen of de verwerking daarvan te beperken (tijdelijk stil te laten zetten);
  
  
• Recht van bezwaar; de betrokkene heeft het recht heeft om bezwaar te maken tegen het gebruik van zijn persoonsgegevens voor bepaalde doeleinden. Alsdan moet een afweging worden gemaakt tussen de doeleinden van de verwerking en de belangen die de betrokkene inroept bij zijn bezwaar. Bij gebruik van de persoonsgegevens voor direct marketing doeleinden geldt echter een absoluut recht van bezwaar (een afweging van belangen is dan niet meer aan de orde en de direct marketing moet worden gestaakt).
  
  
• Het recht op dataportabiliteit: dit houdt in dat de betrokkene onder omstandigheden recht heeft de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen en deze aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt. Denk hierbij bijvoorbeeld aan profielgegevens en favoriete nummers op Spotify;
  
  
• Het recht om niet onderworpen te worden aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft.

Uiteraard zijn aan deze rechten voorwaarden verbonden. Een betrokkene kan bijvoorbeeld – anders dan vaak gedacht wordt – niet altijd verwijdering van zijn persoonsgegevens verkrijgen. Naast de voorwaarden, zijn er bovendien ook uitzonderingen op de rechten. Bijvoorbeeld als dit noodzakelijk is om de rechten van anderen te waarborgen.

In een cloudomgeving

Ook ten aanzien van de rechten van de betrokkenen geldt dat in een cloudomgeving zorgvuldig moet worden geanalyseerd op welke wijze de rechten kunnen worden geëffectueerd. Primair zal de verwerkingsverantwoordelijke ervoor moeten zorgen dat de door hem ingeschakelde cloud-dienstverlener ervoor zorgt dat zijn systeem in staat is om adequaat te reageren op een verzoek van een betrokkende. De cloud-dienstverlener zal op zijn beurt zijn cloud-dienst zo willen inrichten dat hij hiertoe in staat is. Zijn klant zal dat immers van hem verwachten.

De noodzaak van contracten

De contractuele relatie tussen de cloud-dienstverlener en de klant die met behulp van de cloud-dienst persoonsgegevens verwerkt, dient zorgvuldig te worden vastgelegd. Het sluiten van een overeenkomst waarbij uitvoerig wordt stilgestaan bij de verwerking van persoonsgegevens is dan ook onontbeerlijk voor een correcte nakoming van de AVG.

Verplichting verwerkingsovereenkomst 

Zo is het verplicht een verwerkersovereenkomst te sluiten in geval een verwerkingsverantwoordelijke gegevens laat verwerken door een verwerker. Ook kan bij de doorgifte van gegevens naar buiten de Europese Economische Ruimte het afsluiten van een (Europese model)overeenkomst nodig zijn.

Ook kan door een deugdelijk contract de verantwoordelijke afdwingen dat een verwerker voldoende waarborgen biedt ten aanzien van de technische en organisatorische beveiligingsmaatregelen. Bovendien kan nader worden ingevuld op welke wijze de verwerker bijstand verleent bij het nakomen van de rechten van betrokkenen.

Aandachtspunten bij diensten in de cloud

Bij overeenkomsten voor cloud-dienstverlening waarbij persoonsgegevens een rol spelen, zullen de cloud-aanbieder en de klant rekening moeten houden met de regels omtrent de verwerking van persoonsgegevens.

Essentieel is om de verantwoordelijkheden van partijen zorgvuldig te analyseren en vast te leggen. Daarbij dienen partijen zich in ieder geval de volgende vragen te stellen:

• wat is de aard van de te verwerken gegevens in de cloud-dienst?
  
  
• wie is de verwerkingsverantwoordelijke?
  
  
• wie is de verwerker en zijn er wellicht meerdere verwerkers? Mag de verwerker bijvoorbeeld zelf andere verwerkers inschakelen?
  
  
• in welk land zijn de verwerkingsverantwoordelijke en de verwerker gevestigd?
  
  
• wat zijn de doelen en middelen voor de verwerking van persoonsgegevens en liggen deze op zorgvuldige wijze vast?
  
  
• zijn de plichten van de verwerker op juiste wijze contractueel vastgelegd?
  
  
• waar vindt de verwerking van persoonsgegevens plaats, met andere woorden: wat is de locatie van de gegevens die worden verwerkt of opgeslagen.
  
  
• vindt de verwerking van gegevens plaats binnen de EU of daarbuiten?
  
  
• op welke wijze is de beveiliging van de persoonsgegevens geregeld, met andere woorden: is sprake van een passend beveiligingsniveau?
  
  
• kan de verwerker de verwerkingsverantwoordelijke bijstaan bij het nakomen van zijn verplichtingen, zoals het beantwoorden van rechten van betrokkenen?

Maatwerk nodig

Er is geen eenduidig standaardcontract te maken die door alle cloud-aanbieders kan worden gebruikt. De materie is daarvoor te bewerkelijk. De ene cloud-dienst is de andere niet. Iedere cloud-dienst zal op zichzelf moeten worden beoordeeld. Wie als verwerkingsverantwoordelijke of als verwerker moet worden aangemerkt, kan per cloud-dienst verschillen. De aard van de cloud-dienst, de te verwerken data en de positie van partijen zal nauwkeurig moeten worden geanalyseerd, zowel met een technische IT-bril als een juridische.

Het voorgaande beoogt dan ook slechts een korte introductie te geven inzake de privacy-aspecten bij cloud-dienstverlening. Voor een deugdelijk juridisch advies over cloud-dienstverlening of het opstellen van contracten, is maatwerk nodig. Uiteraard geven wij u dat advies graag. 

Advies!

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!