AVG

Algemene Verordening Persoonsgegevens (AVG)

By 4 december 2018 No Comments

De AVG, hoe zit het precies?

De Algemene Verordening Gegevensbescherming (AVG) is een Europese regelgeving en vervangt per 25 mei 2018 de Wet bescherming persoonsgegevens. Met de AVG (GDPR) kent de Europese Unie één privacywet. Voldoe aan de AVG en voorkom een miljoenenboete.

De wettekst van de AVG kunt u hier vinden: https://autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/verordening_2016_-_679_definitief.pdf

Strengere privacywetgeving

Privacyrechten zijn met de AVG versterkt en uitgebreid. Gebruikers (zoals je klanten) hebben met de AVG meer mogelijkheden om voor zichzelf op te komen als het gaat om de verwerking van hun gegevens. Zij hebben meer zeggenschap over hun gegevens en wat bedrijven daar mee doen. Je klant kan bijvoorbeeld inzage vragen in opgeslagen data, of verleende toestemming intrekken.

Voor wie?

De Europese privacywet geldt voor alle bedrijven en organisaties die persoonsgegevens vastleggen van klanten, personeel of andere personen uit de EU. Vrijwel alle ondernemers hebben ermee te maken, ook zzp’ers en klein mkb. De wet geldt ook voor scholen, zorginstanties, verenigingen en stichtingen.

Activiteiten vallen sneller onder de privacywet, dan voorheen. Naast namen van personen en adressen vallen ook gegevens gekoppeld aan IP-adressen, cookies, een e-mailadres en dergelijke onder de wet. Ook als je niet weet wie er schuilgaat achter deze gegevens, moet je ze als privacygevoelig behandelen.

Je hebt al met de AVG te maken door het uitsturen van een offerte, factuur of (digitale) nieuwsbrief. Of door het bijhouden van afspraken met klanten, contactgegevens van klanten (zoals adres, e-mailadres of telefoonnummers) of personeelsinformatie.

Wat betekent de AVG voor jou?

De AVG dwingt ondernemers tot meer actie en maatregelen. Je hebt verantwoordingsplicht en moet kunnen aantonen dat je je aan de wet houdt. Met documenten moet je kunnen aantonen dat je de juiste organisatorische en technische maatregelen hebt genomen om aan de AVG te voldoen. En je moet kunnen bewijzen dat je geldige toestemming hebt gekregen voor het verwerken van persoonsgegevens. Maak je gebruik van de diensten van een verwerker, dan moet een en ander worden vastgelegd in een verwerkersovereenkomst.

Wat als jouw bedrijf niet aan de AVG voldoet?

Jouw bedrijf moet nu dus voldoen aan de AVG. In Nederland is de Autoriteit Persoonsgegevens (AP) het orgaan dat hierop toezicht houdt en handhaaft. De AP kan jouw organisatie sancties opleggen van maximaal 20 miljoen euro of 4% van je wereldwijde omzet als je je niet houdt aan de nieuwe privacywetgeving.

Voldoen aan de AVG

Er zijn een aantal stappen die je kunt zetten om te zorgen dat je bedrijf aan de AVG voldoet. De Autoriteit Persoonsgegevens heeft hiervoor een 10-stappenplan.

Stap 1: Bewustwording 

Zorg dat iedereen in jouw onderneming bekend is met de nieuwe privacyregels.

Stap 2: Informeren

De Privacyverklaring 

U dient met een privacyverklaring aan te geven hoe uw website met persoonsgegevens van bezoekers en klanten omgaat. In de praktijk betekent dit dat vrijwel ieder bedrijf deze verklaring moet opstellen en op zijn website moet zetten.

De privacyverklaring of een verwijzing naar de privacyverklaring moet eenvoudig te vinden zijn, daar waar je om persoonsgegevens vraagt. In de privacyverklaring staan in ieder geval:

  • je bedrijfsgegevens
  • het doel van de gegevensvastlegging
  • welke gegevens je verzamelt
  • aan wie je de gegevens eventueel doorgeeft
  • hoe lang je de gegevens bewaart
  • uitleg over cookies en de reden van gebruik (bij gebruik van cookies)
  • de door jou toegepaste beveiliging van de vastgelegde persoonsgegevens
  • het recht op inzage, correctie, verwijdering en het meenemen van eigen gegevens (dataportabiliteit)
  • het recht op intrekking van verleende toestemming
  • het recht om een klacht in te dienen

Start direct en maak een Privacyverklaring met onze Online Smart Tool: https://contractenfabriek.nl/document/privacy-verklaring/

Stap 3: Verwerkingsregister

De AVG verplicht organisaties om de verwerking van persoonsgegevens bij te houden in een register. Deze verplichting geldt voor vrijwel alle organisaties.

Verplicht gebruik register

Je bent verplicht om met een register te werken waarin je de verwerking van persoonsgegevens bijhoudt, als jouw organisatie:

  • persoonsgegevens verwerkt waarvan de verwerking niet incidenteel is (het komt dus vaker voor), of
  • risicovolle persoonsgegevens verwerkt, zoals gegevens over gezondheid, godsdienst of politieke opvattingen, of
  • meer dan 250 medewerkers heeft.

In de praktijk zullen (vrijwel) alle organisaties verplicht zijn de verwerking van persoonsgegevens in een register bij te houden. Dit omdat binnen een organisatie klanten-, leveranciers- of personeelsbeheer altijd vaker voorkomt.

Inhoud register

In het verwerkingsregister neem je op welke persoonsgegevens je gebruikt, voor welk doel , waar je ze opslaat en met wie je ze eventueel deelt. Het register kun je schriftelijk of elektronisch bijhouden.

Als betrokken personen je vragen hun gegevens te corrigeren of te verwijderen kun je dit register hiervoor nodig hebben. Je moet deze verzoeken ook doorgeven aan de organisaties waarmee je de persoonsgegevens hebt gedeeld.

Stap 4: Beoordeling impact met DPIA

Bij het verwerken van gegevens met een hoog privacyrisico is een ‘data protection impact analyse’ (DPIA) verplicht. Met deze gegevensbeschermingseffectbeoordeling breng je de privacyrisico’s van de verwerking van gegevens in kaart. Blijkt uit de DPIA dat de privacyrisico’s hoog zijn, dan kun je maatregelen nemen om de risico’s te verkleinen.

Verplicht uitvoeren DPIA

Een DPIA moet je in ieder geval uitvoeren als je:

  • bijzondere persoonsgegevens als ras, godsdienst, gezondheid, politieke opvattingen, genetische – of biometrische gegevens op grote schaal verwerkt, of
  • op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied, bijvoorbeeld met cameratoezicht, of
  • gegevens zo combineert, dat iemand in een bepaalde categorie of groep is in te delen en daardoor zo kan worden benaderd of beoordeeld (profilering)

Stap 5: Inrichten systemen

Bij het inrichten van je systemen dwing je technisch een zorgvuldige omgang met persoonsgegevens af.

Privacy by design

Vraag geen gegevens op die je niet nodig hebt. Voor de verzending van een e-mailnieuwsbrief heb je bijvoorbeeld geen woonadres nodig. In de AVG wordt dat privacy by design genoemd.

Privacy by default

Bij het vragen om persoonsgegevens moet de standaardinstelling van je systemen zo privacyvriendelijk mogelijk zijn. De persoon kan zelf gegevens achterlaten of een actieve handeling verrichten om toestemming te geven (opt-in).

Je mag bijvoorbeeld geen (web)formulier gebruiken waarop al een vakje is aangevinkt. Ook mag je niet automatisch informatie naar iemand toezenden, zonder dat diegene daar vooraf toestemming voor heeft gegeven. De standaardinstellingen moeten de privacy van iemand respecteren (privacy by default) totdat de persoon zelf toestemming geeft.

Stap 6: Toezicht

Functionaris gegevensbescherming

In bepaalde gevallen is het verplicht om voor je organisatie een functionaris gegevensbescherming (FG) aan te stellen, ook wel data protection officer (DPO), genoemd. De funtionaris gegevenbescherming is een onafhankelijk persoon die binnen je organisatie adviseert en rapporteert over naleving van de AVG.

Aanstelling van een functionaris gegevensbescherming is verplicht wanneer:

  • het de kernactiviteit van je bedrijf is om op grote schaal gevoelige persoonsgegevens (zoals gezondheidsgegevens) te verwerken;
  • je organisatie structureel mensen observeert (fysiek of digitaal, bijvoorbeeld via cameraobservatie).

Voor overheidsorganisaties geldt dat de functionaris gegevensbescherming (FG) vrijwel altijd verplicht is.

Intern of extern

De positie functionaris gegevensbescherming kan vanuit je organisatie worden ingevuld, maar de functie kan ook door een externe partij worden vervuld.

Stap 7: Datalekken documenteren en melden

Een datalek heb je als databestanden worden gehackt of als je onbedoeld toegang geeft tot bestanden. Ook een gestolen laptop of zoekgeraakte usb-stick is een datalek.

De AVG verplicht je om binnen je organisatie alle datalekken vast te leggen en te documenteren.

Datalek melden

Een datalek moet zo snel mogelijk na ontdekking, zo mogelijk binnen 72 uur, worden gemeld bij de Autoriteit Persoonsgegevens. Deze meldingsplicht geldt niet als er geen risico’s voor (natuurlijke) personen uit voortkomen. Wel moet u ook dan het datalek intern vastleggen en documenteren. U beschrijft het datalek, de gevolgen van het datalek en de genomen maatregelen.

Datalek bij verwerken data voor anderen

Verwerk je privacygevoelige data voor anderen? Dan ben je verplicht het datalek te melden aan je opdrachtgever. Je opdrachtgever meldt het zo nodig aan de AP.

Stap 8: Een verwerkersovereenkomst afsluiten

Als een ander bedrijf de persoonsgegevens voor je verwerkt en opslaat, dan moet je met dat bedrijf een verwerkersovereenkomst afsluiten. Zelfs zonder het wijzigen van gegevens kan er al sprake zijn van verwerken. Bijvoorbeeld als een externe helpdesk voor uw bedrijf gegevens inziet.

Wat staat er in een verwerkersovereenkomst?

In een verwerkersovereenkomst spreek je af:

  • wat het doel en de aard van de verwerking is en welke soort persoonsgegevens worden verwerkt.

Verder spreek je hierin af dat:

  • verwerking uitsluitend plaatsvindt op basis van je schriftelijke instructies. Er mogen dus geen persoonsgegevens voor andere doeleinden worden gebruikt;
  • personen in dienst van of werkzaam voor de verwerker, een geheimhoudingsplicht hebben;
  • de verwerker passende technische en organisatorische maatregelen treft om de verwerking van persoonsgegevens te beveiligen;
  • de verwerker zonder je schriftelijke toestemming de verwerking niet door een ander mag laten uitvoeren;
  • de verwerker je helpt om te voldoen aan verzoeken van betrokkenen, als het gaat om hun privacyrechten. Zoals het recht op inzage, correctie, vergetelheid en dataportabiliteit;
  • de verwerker je helpt om andere verplichtingen na te komen, zoals het melden van datalekken;
  • de verwerker na afloop van de verwerkingsdiensten de gegevens verwijdert of naar je terugstuurt. Ook verwijdert hij kopieën, tenzij de verwerker wettelijk verplicht is de gegevens te bewaren;
  • de verwerker meewerkt aan jouw audits of die van een derde partij. Hiervoor stelt de verwerker alle relevante informatie beschikbaar zodat gecontroleerd kan worden of hij zich als verwerker houdt aan de hierboven genoemde verplichtingen.

Start direct en maak een verwerkersovereenkomst met onze Online Smart Tool: https://contractenfabriek.nl/document/verwerkersovereenkomst-avg/

Stap 9: Bepaal de leidende toezichthouder

Heeft jouw organisatie vestigingen in meerdere landen of verwerk je gegevens in verschillende landen? Dan is er sprake van grensoverschrijdende samenwerking. De toezichthouder van het land van de hoofdvestiging is in zo’n situatie de leidende toezichthouder. Bij een Nederlandse hoofdvestiging is de Autoriteit Persoonsgegevens de leidende toezichthouder.

Stap 10: Toestemming vragen of een andere grondslag?

Persoonsgegevens mag je alleen verwerken als de AVG daar een grondslag voor geeft. Er zijn 6 grondslagen:

1. Verleende toestemming voor de verwerking van persoonsgegevens.

2. Uitvoering van een overeenkomst

3. Wettelijke verplichting

4. Vitaal belang

5. Algemeen belang

6. Gerechtvaardigd belang