Title: wetten.nl - Regeling - Besluit lijst verwerkingen persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, Autoriteit Persoonsgegevens - BWBR0042812

Source: https://wetten.overheid.nl/BWBR0042812/

Content:
{"title": "wetten.nl - Regeling - Besluit lijst verwerkingen persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is, Autoriteit Persoonsgegevens - BWBR0042812", "content": "Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling\n                                    (DPIA) verplicht is, Autoriteit Persoonsgegevens\n\nBesluit\n\nDe Autoriteit Persoonsgegevens,\n\ngelet op artikel 35, vierde lid, in samenhang bezien met artikel 57, eerste lid, onder\n                                    k, van de Algemene verordening gegevensbescherming;\n\ngezien de \u201cRichtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of\n                                    een verwerking \u201cwaarschijnlijk een hoog risico inhoudt\u201d in de zin van Verordening 2016/679\u201d d.d. 4 april 2017, laatstelijk gewijzigd en vastgesteld op 4 oktober 2017, van de\n                                    European Data Protection Board (hierna: de Richtsnoeren);\n\noverwegende:\n\ndat in de Richtsnoeren negen criteria zijn vermeld die in aanmerking moeten worden\n                                    genomen bij de beoordeling of een gegevensbeschermingseffectbeoordeling (DPIA) moet\n                                    worden uitgevoerd, te weten in het geval dat sprake is van:\n\n1. Evaluatie of scoretoekenning\n\n2. Geautomatiseerde besluitvorming met rechtsgevolg of vergelijkbaar wezenlijk gevolg\n\n3. Stelselmatige monitoring\n\n4. Gevoelige gegevens of gegevens van zeer persoonlijke aard\n\n5. Op grote schaal verwerkte gegevens\n\n6. Matching of samenvoeging van datasets\n\n7. Gegevens met betrekking tot kwetsbare betrokkenen\n\n8. Innovatief gebruik of innovatieve toepassing van nieuwe technologische of organisatorische\n                                          oplossingen\n\n9. de situatie waarin als gevolg van de verwerking zelf \"betrokkenen [...] een recht\n                                          niet kunnen uitoefenen of geen beroep kunnen doen op een dienst of een overeenkomst\";\n\ndat voor alle soorten verwerkingen van persoonsgegevens die op de lijst staan, is\n                                    aangegeven welk criterium uit de Richtsnoeren in aanmerking is genomen;\n\ndat voor alle soorten verwerkingen van persoonsgegevens die op de lijst staan, onverkort\n                                    geldt dat moet worden voldaan aan alle verplichtingen die de Algemene verordening\n                                    gegevensbescherming stelt;\n\ndat de lijst omschrijvingen van soorten verwerkingen bevat waarbij het uitgangspunt\n                                    is dat de verwerkingsverantwoordelijke verplicht is een gegevensbeschermingseffectbeoordeling\n                                    (DPIA) uit te voeren voordat met de verwerking van persoonsgegevens wordt begonnen;\n\ndat de lijst niet uitputtend is en dat het kan zijn dat een verwerking van persoonsgegevens\n                                    niet op de lijst staat, maar gelet op de aard, de omvang, de context en de doeleinden\n                                    een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen en aldus\n                                    een gegevensbeschermingseffectbeoordeling (DPIA) moet worden gedaan;\n\ndat de Autoriteit Persoonsgegevens op grond van artikel 35, zesde lid, van de Algemene\n                                    verordening gegevensbescherming het in artikel 63 van de Algemene verordening gegevensbescherming\n                                    bedoelde coherentiemechanisme heeft toegepast;\n\ndat dit coherentiemechanisme heeft geleid tot toevoeging van een extra categorie van\n                                    verwerkingen van persoonsgegevens, te weten biometrische gegevens, alsmede tot enkele\n                                    tekstuele wijzigingen;\n\nstelt vast\n\ndat voor de volgende verwerkingen van persoonsgegevens een gegevensbeschermingseffectbeoordeling\n                                    (DPIA) verplicht is:\n\nGrootschalige verwerkingen van persoonsgegevens en-of stelselmatige monitoring waarbij\n                                       informatie wordt verzameld door middel van onderzoek zonder de betrokkene daarvan\n                                       vooraf op de hoogte te stellen (bijvoorbeeld: heimelijk onderzoek door particuliere\n                                       recherchebureaus, onderzoek in het kader van fraudebestrijding en onderzoek op internet\n                                       in het kader van bijvoorbeeld online handhaving van auteursrechten). Een gegevensbeschermingseffectbeoordeling\n                                       (DPIA) is ook verplicht in geval van heimelijk cameratoezicht door werkgevers in het\n                                       kader van diefstal- of fraudebestrijding door werknemers (bij deze laatste verwerking\n                                       dient ook in incidentele gevallen een gegevensbeschermingseffectbeoordeling (DPIA)\n                                       te worden uitgevoerd vanwege de ongelijkwaardige machtsverhouding tussen de betrokkene\n                                       (werknemer) en de verwerkingsverantwoordelijke (werkgever)). [3], [5], [7]\n\nVerwerkingen waarbij persoonsgegevens betreffende strafrechtelijke veroordelingen\n                                       en strafbare feiten, gegevens over onrechtmatig of hinderlijk gedrag of gegevens over\n                                       slecht betalingsgedrag door bedrijven of particulieren worden verwerkt en gedeeld\n                                       met derden (artikel 33, vierde lid, aanhef en onder c, van de Uitvoeringswet Algemene verordening\n                                          gegevensbescherming)(zwarte lijsten of waarschuwingslijsten, zoals deze bijvoorbeeld gebruikt worden\n                                       door verzekeraars, horecabedrijven, winkelbedrijven, telecomproviders alsook zwarte\n                                       lijsten die betrekking hebben op onrechtmatig gedrag van werknemers, bijvoorbeeld\n                                       in de zorg of door uitzendbureaus). [4], [6], [7], [8]\n\nGrootschalige verwerkingen van (bijzondere) persoonsgegevens en-of stelselmatige monitoring\n                                       in het kader van fraudebestrijding (bijvoorbeeld fraudebestrijding door sociale diensten\n                                       of door fraudeafdelingen van verzekeraars). [3], [4], [5], [9]\n\nGrootschalige gegevensverwerkingen en/of stelselmatige monitoring die leiden tot of\n                                       gebruik maken van inschattingen van de kredietwaardigheid van natuurlijke personen,\n                                       bijvoorbeeld tot uitdrukking gebracht in een creditscore. [1], [2], [3], [4], [5],\n                                       [9]\n\nGrootschalige verwerkingen en/of stelselmatige monitoring van financi\u00eble gegevens\n                                       waaruit de inkomens- of vermogenspositie of het bestedingspatroon van mensen valt\n                                       af te leiden (bijvoorbeeld overzichten van bankoverschrijvingen, overzichten van de\n                                       saldi van iemands bankrekeningen of overzichten van mobiele- of pinbetalingen). [3],\n                                       [4], [5]\n\nGrootschalige verwerkingen en/of stelselmatige monitoring van genetische persoonsgegevens\n                                       (bijvoorbeeld DNA-analyses ten behoeve van het in kaart brengen van persoonlijke kenmerken,\n                                       biodatabanken). [3], [4], [5]\n\nGrootschalige verwerkingen van gegevens over gezondheid (bijvoorbeeld door instellingen\n                                       of voorzieningen voor gezondheidszorg of maatschappelijke dienstverlening, arbodiensten,\n                                       re\u00efntegratiebedrijven, (speciaal)onderwijsinstellingen, verzekeraars, en onderzoeksinstituten)\n                                       waaronder ook grootschalige elektronische uitwisseling van gegevens over gezondheid\n                                       (let wel: individuele artsen en individuele zorgprofessionals zijn op grond van overweging\n                                       91 van de Algemene verordening gegevensbescherming uitgezonderd van de verplichting\n                                       een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren). [4], [5], [7]\n\nHet delen van persoonsgegevens in of door samenwerkingsverbanden waarin gemeenten\n                                       of andere overheden met andere publieke of private partijen bijzondere persoonsgegevens\n                                       of persoonsgegevens van gevoelige aard (zoals gegevens over gezondheid, verslaving,\n                                       armoede, problematische schulden, werkloosheid, sociale problematiek, strafrechtelijke\n                                       gegevens, betrokkenheid van jeugdzorg of maatschappelijk werk) met elkaar uitwisselen,\n                                       bijvoorbeeld in wijkteams, veiligheidshuizen of informatieknooppunten. [6], [7], [8]\n\nGrootschalige en/of stelselmatige monitoring van openbaar toegankelijke ruimten met\n                                       behulp van camera\u2019s, webcams of drones. [3], [5]\n\nGrootschalig en/of stelselmatig gebruik van flexibel cameratoezicht (camera\u2019s op kleding\n                                       of helm van brandweer- of ambulancepersoneel, dashcams gebruikt door hulpdiensten).\n                                       [3], [5]\n\nGrootschalige verwerking van persoonsgegevens en-of stelselmatig monitoring van activiteiten\n                                       van werknemers (bijvoorbeeld controle van e-mail en internetgebruik, GPS-systemen\n                                       in (vracht)auto\u2019s van werknemers of cameratoezicht ten behoeve van diefstal- en fraudebestrijding).\n                                       [3], [5], [7]\n\nGrootschalige verwerking en/of stelselmatige monitoring van locatiegegevens van of\n                                       herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto\u2019s, navigatiesystemen,\n                                       telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer).\n                                       [3], [5]\n\nGrootschalige verwerking en/of stelselmatige monitoring van communicatiegegevens inclusief\n                                       metadata herleidbaar tot natuurlijke personen, tenzij en voor zover dit noodzakelijk\n                                       is ter bescherming van de integriteit en de veiligheid van het netwerk en de dienst\n                                       van de betrokken aanbieder, of het randapparaat van de eindgebruiker. [3], [5]\n\nGrootschalige verwerkingen en/of stelselmatige monitoring van persoonsgegevens die\n                                       worden gegenereerd door apparaten die verbonden zijn met internet en die via internet\n                                       of anderszins gegevens kunnen versturen of uitwisselen (\u2018internet of things\u2019- toepassingen,\n                                       zoals slimme televisies, slimme huishoudelijke apparaten, connected toys, smart cities,\n                                       slimme energiemeters, medische hulpmiddelen, etcetera). [3], [5], [8]\n\nSystematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke\n                                       personen gebaseerd op geautomatiseerde verwerking (profilering), zoals bijvoorbeeld\n                                       beoordeling van beroepsprestaties, prestaties van leerlingen, economische situatie,\n                                       gezondheid, persoonlijke voorkeuren of interesses, betrouwbaarheid of gedrag. [1],\n                                       [3]\n\nGrootschalige verwerkingen van persoonsgegevens waarbij op stelselmatige wijze via\n                                       geautomatiseerde verwerking gedrag van natuurlijke personen geobserveerd of be\u00efnvloed,\n                                       dan wel gegevens daarover worden verzameld en/of vastgelegd, inclusief gegevens die\n                                       voor het doel online behavioural advertising worden verzameld. [1], [5]\n\nGrootschalige verwerkingen en/of stelselmatige monitoring van biometrische gegevens\n                                       met als doel een natuurlijk persoon te identificeren.\n\nOp grond van de Algemene verordening gegevensbescherming is de verwerking van biometrische\n                                       gegevens met als doel de unieke identificatie van een natuurlijk persoon, in beginsel\n                                       verboden. In Nederland zijn aanvullende voorwaarden gesteld in artikel 29 van de Uitvoeringswet Algemene verordening gegevensbescherming. Enkel als de verwerking strikt noodzakelijk is voor authenticatie of beveiligingsdoeleinden,\n                                       is de verwerking van biometrische gegevens toegestaan. [3], [5], [8]\n\nDen Haag, 19 november 2019\n\nAutoriteit Persoonsgegevens,\n\nA. \nWolfsen\n\nVoorzitter"}