Persoonlijke gegevens in e-commerce database & CBP

[P993]

Hallo allemaal,

 

Binnenkort lanceer ik een e-commerce site, waarbij dus persoonlijke gegevens van members worden opgeslagen in een database om transacties te kunnen laten lopen.

Ik opereer eerst in NL maar de server zit in Amerika.

Omdat ik persoonlijke gegevens opsla in een database dient dit gemeld te worden bij het CBP (College Bescherming Persoonsgegevens). Echter nu mijn server en database in Amerika bevinden moet ik dan alsnog hier bij het CBP registreren of alleen in Amerika (en waar precies?) of in allebei de landen?

 

Wie weet hier meer van?

 

[ @moderator: ik weet niet of dit topic hier onder valt of bij juridische zaken]

 

[AmazingMinds]

hier lees ik (p16):

 

  Quote

De Wbp is van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland. Het gaat er om dat er door één of meer vestigingen van een verantwoordelijke een economische activiteit in Nederland wordt uitgeoefend in het kader waarvan persoonsgegevens worden verwerkt.De rechtsvorm van de vestiging van de verantwoordelijke (bijvoorbeeld een B.V. of een eenmanszaak) is niet relevant.

 

Ook bijkantoren zijn vestigingen in de zin van de Wbp. Als u (als verantwoordelijke) in een andere lidstaat van de Europese Unie (niet

in Nederland) bent gevestigd,wordt uw verwerking beheerst door het recht van die lidstaat. Dit is ook het geval als u voor die verwerking middelen (zoals telefoonlijnen) gebruikt die zich in Nederland bevinden.

[P993]

Dat is duidelijk! Mijn dank is groot!

 

;)

[Edward]

In hoofdlijnen is bepalend wie verantwoordelijk is voor de persoonsgegevens en waar deze worden verwerkt. Door de Wbp wordt jij primair gezien als verantwoordelijke.

 

Voor verantwoordelijken geldt in beginsel dat zij vergunningplichtig zijn voor de verwerking van persoonsgegevens. Onder voorwaarden kun je vrijgesteld zijn van de vergunningplicht. Bepalend is onder meer wat voor gegevens worden geregistreerd en op welke wijze de worden verwerkt.

 

De hoofdregel is dat persoonsgegevens alleen mogen worden doorgegevens naar derde landen met een passend beschermingsniveau. Daarbuiten is doorgifte alleen toegestaan op basis van een wettelijke uitzondering of met een vergunning van de Minister.

 

Om te bepalen of een land een passend beschermingsniveau heeft, moet jij als verantwoordelijke eerst nagaan of er sprake is van een besluit van de Minister van Justitie of van de Europese Commissie. Zij kunnen bepalen of een niveau van bescherming van een bepaald derde land al dan niet passend is.

 

Ook wanneer een land wel een passend beschermingsniveau heeft is de verantwoordelijk alsnog gehouden de doorgifte van persoonsgegevens te melden bij het CBP.

 

Binnen de EU is doorgifte met inachtneming van de overige regels geen probleem. Buiten de EU wordt van de volgende landen onder de volgende voorwaarden verondersteld dat zij beschikken over een passend beschermingsniveau:

 

- Guernsey,

- Isle of man,

- Argentinië

- Canada (Canadian Personal Information Protection and Electronic Documents Act)

- Zwitserland

- Verenigde Staten

 

Voor de laatste geldt dit alleen wanneer de gegevens worden verstrekt in het kader van:

• Passenger Name Record; Informatie van vliegtuigpassagiers doorgegeven aan de United States Bureau of Customs and Border Protection
• Het bedrijf voorkomt op de Safe Harbour list. (een passend beschermingsniveau wordt dus alleen geboden door organisaties die zich hebben verplicht tot het toepassen van de zogenaamde Safe Harbour regels

.

 

Wanneer de gegevens worden vestrekt aan een organisatie die niet is gevestigd in de EU, maar in één van de landen voornoemd dat geen passend kan bieden dan is de vergunning voor data export noodzakelijk. Om een dergelijke vergunningaanvraag soepel te laten verlopen kan gebruik gemaakt worden van het relevante modelcontract van de EU. Deze zijn overignes te vinden io de site van het CBP.

 

De kernvraag in jouw kwestie is. Worden er gegevens verwerkt en wie hebben toegang tot die database? Tegelijkertijd is het wellicht beter om na te gaan in hoeverre de organisatie vookomt op de safe harbour list.

 

Wanneer het systeem in de VS volledig geautomatiseerd is en derden geen toegang hebben tot die gegevens is er niet zoveel aan de hand.