Goed van start met de AVG! M R. L E O N O R E I N T H O U T 8 M A A R T K E N N I S S E S S I E D N O F F I C E U D E N

Transcriptie

1 Goed van start met de AVG! PRIVACYWETGEVING VOOR ELKE ONDERNEMER M R. L E O N O R E I N T H O U T 8 M A A R T K E N N I S S E S S I E D N O F F I C E U D E N

2 Even voorstellen

3 Programma: 1. Privacy: bestaat het nog? 2. De AVG: moet ik er iets mee? 3. De AVG uitgelegd 4. Welke maatregelen moet ik nemen?

4 1. Privacy: bestaat het nog? Algemene Verordening Gegevensbescherming: (AVG/ GDPR) 25 mei 2018!

5 1. Privacy: bestaat het nog? Facebook weet bij wie je gisteren op bezoek ging. De Belastingdienst zag hoe je er kwam. Apple hield bij hoe lang je er bleef. Samsung hoorde wat je er zei. En Google wist al dat je het van plan was. Bron: Je hebt wél iets te verbergen, M. Martijn en D. Tokmetzis

6 1. Privacy: bestaat het nog?

7 2. De AVG: moet ik er iets mee? VRAAG: Wie is er met privacy bezig? Van jezelf? Van klanten? Op welke manier?

8 2. De AVG: moet ik er iets mee? AVG heeft directe werking en geldt voor iedereen, dus ook voor jou en jouw onderneming! En ja, je moet er iets mee, want: AP kan hoge boetes uitdelen (max 20 mln of 4% van de wereldwijde omzet); Reputatieschade: onbetrouwbaar; Financiële schade (gevolgschade) Identiteitsfraude

9 2. De AVG: moet ik er iets mee? Maar I: wel eerst waarschuwing & kans om te herstellen (tenzij duidelijk te kwader trouw). En MKB zal naar verwachting niet als eerste aan de beurt zijn voor controle door AP. Maar II: Bij meerdere klachten wel kans op controle AP!

10 2. De AVG: moet ik er iets mee? De AVG is ook een KANS! Klanten doen zaken met jouw onderneming omdat de klanten jou of jouw onderneming vertrouwen! Door te voldoen aan de AVG en dit ook uit te dragen laat je zien dat je betrouwbare partner bent.

11 3. De AVG uitgelegd Doel AVG: 1. Einde maken aan de verschillen tussen de EU-lidstaten ten aanzien van privacy-wetgeving. 2. Gelijkwaardige bescherming voor iedere EU-burger van zijn persoonsgegevens. 3. Vrije verkeer van persoonsgegevens tussen de lidstaten waarborgen.

12 3. De AVG uitgelegd Kern AVG: a. behoorlijke, rechtmatige en transparante manier verwerken; b. Voor een bepaald, uitdrukkelijk omschreven doel; c. noodzakelijk voor het doel; d. correct en actueel; e. als identificatie niet noodzakelijk voor het doel: verwijderen of anonimiseren; f. beveiligen door middel van technische en organisatorische maatregelen.

13 3. De AVG uitgelegd Enkele begrippen uit de AVG: Persoonsgegeven: Als het iets over een specifiek persoon zegt óf als deze informatie in combinatie met andere gegevens naar deze persoon te herleiden is. Wel of geen persoonsgegeven? - Gegevens van een overledene - Geboortedatum - Geslacht - Adres - WOZ-waarde - Organisaties/ bedrijven (niet zijnde eenmanszaak) - Pasfoto - Winst van een eenmanszaak - IP adres van een computer

14 3. De AVG uitgelegd Gewone of bijzondere persoonsgegevens? Naam Adres Godsdienst of levensovertuiging Woonplaats Ras Telefoonnummer Strafrechtelijk verleden Medische gegevens Leeftijd BSN nummer Lidmaatschap vakbond Combinatie van bepaalde gegevens: identificeerbaar tot een bepaalde persoon? Tracker Het zijn allemaal persoonsgegevens en vallen ze onder de AVG. En mag je ze dus niet zomaar verwerken!

15 3. De AVG uitgelegd Verwerken van persoonsgegevens: Omvat elke handeling met betrekking tot persoonsgegevens. Voorbeelden hier van zijn het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van persoonsgegevens. Zowel analoog als geautomatiseerde verwerkingsprocessen Geen verwerking: persoonlijke, huishoudelijke of journalistieke doeleinden.

16 3. De AVG uitgelegd Verantwoordelijke: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Bijv: werkgever/ gegevens werknemer of ondernemer/ gegevens klant Verwerker: Een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt. Bijv: de arbodienst/ boekhouder Betrokkene: Is degene van wie een organisatie persoonsgegevens verwerkt. Bijv: de werknemer, de individuele klant

17 3. De AVG uitgelegd Grondslag: zonder geldige grondslag mag je de persoonsgegevens niet verwerken. a. toestemming: tracking cookies bij websites; TIP: vastleggen toestemming ivm bewijs b. noodzakelijk voor sluiten of uitvoeren overeenkomst met betrokkene: NAW-gegevens vastleggen van je medewerkers of klanten; c. voldoen aan een wettelijke verplichting: salarisgegevens doorsturen naar de Belastingdienst; d. noodzakelijk voor bescherming vitale belangen: naam van een bewusteloze werknemer doorgeven aan een ambulancebroeder; e. noodzakelijk voor publiekrechtelijke taak: bijhouden van gegevens door het Kadaster; f. noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerker. alleen als a-e niet mogelijk zijn + belang weegt zwaarder dan belang betrokkene: BKR-toets bij nieuwe klanten/ registreren mensen in gebouw / direct marketing

18 3. De AVG uitgelegd Doelbinding: Wat is het doel van de verwerking Welbepaald, uitdrukkelijk omschreven en gerechtvaardigd Niet verder verwerken als dat met die doeleinden onverenigbaar is. (bijv: voor uitvoeren ovk, dan niet doorverkopen) Een te ruime of te krappe doelomschrijving Niet méér verwerken dan nodig is voor het doel. Niet langer verwerken dan nodig voor het doel: bewaartermijn.

19 3. De AVG uitgelegd Bestelformulier webshop kinderspeelgoed Wat vind je ervan? Wanneer leeftijd wel relevant?

20 4. Welke maatregelen moet ik nemen? Maatregelen: Iedereen: 1. Bewustwording: privacy-hygiëne 2. Privacystatement op je website en bij orders 3. Technische beveiliging op orde 4. Verwerkingsovereenkomst 5. Melden datalek Grote bedrijven > 250 wnrs / verwerking bijzondere persoonsgegevens/ grootschalige verwerking: 1. Administratieplicht: register gegevensverwerking/ register datalekken. Niet verplicht, wel aanbevolen. 2. Functionaris persoonsgegevens 3. DPIA: risico-inventarisatie

21 4. Welke maatregelen moet ik nemen? 1. Bewustwording: hoe ga je met gegevens om? - Laptop in de auto achter laten? - Van bureau weg lopen zonder te locken? - Mail is onveilige manier. Wat mail je naar wie? - Wie heeft toegang tot welke gegevens? Awarenesstraining: regelmatig terug laten keren voor je personeel (e-learning, bespreken in werkoverleggen) Privacyhygiene: nieuwe manier van werken; ga netjes en schoon met persoonsgegevens om. Privacybeleid opstellen: iedereen weet waar hij aan toe is en wat van hem verwacht wordt. Ook belangrijk igv ontslag.

22 4. Welke maatregelen moet ik nemen? 2. Privacyverklaring opstellen of aanpassen: Inhoud privacystatement: In de privacy verklaring beschrijf je: Welke soort gegevens je hebt van je klant; wat je ermee doet (grondslag en doel); Of de gegevens ook door anderen worden verwerkt; Hoe lang je de persoonsgegevens bewaart; Hoe je ze beveiligt; En wat de rechten van de belanghebbende zijn (inzage, bezwaar verwerking, correctie, wissen, klacht indienen).

23 4. Welke maatregelen moet ik nemen? Leesbaar: De verklaring moet beknopt, transparant, in begrijpelijke taal, in een makkelijk toegankelijk vorm en in eenvoudige taal beschikbaar zijn. Kan ook in animatie. Makkelijk te vinden: Link naar de pagina in de footer van je website Link bij je elektronische handtekening Link bij elk invulformulier/ bestellingformulier op website TIP: Link is eigenlijk onvoldoende voor de AP, maar anders niet werkbaar

24 4. Welke maatregelen moet ik nemen? 3. Technische beveiliging: Werken in de cloud: let op waar de server staat! Europa en Canada = ok, Amerika niet (Partiot Act). Geldt ook voor de partij die je inschakelt (verwerker) Ik ga er vanuit dat die partij het op orde heeft is onvoldoende, JIJ bent verantwoordelijk!

25 4. Welke maatregelen moet ik nemen? 4. Verwerkersovereenkomst: Je hebt een verwerkersovereenkomst nodig als je persoonsgegevens bij een derde partij laat verwerken (van opslag tot vernietiging). Je spreekt de voorwaarden voor verwerking af; deze partij mag niet meer of anders verwerken dan jij mag. Voorbeelden: - Server bij een hostingpartij; - Nieuwsbriefsoftware; - Dropbox als je daar bijvoorbeeld offertes opslaat; - Boekhouder waaraan je inkoop/ verkoop facturen stuurt; - Bouwer van je softwareprogramma. Opstellen van de verwerkersovereenkomst: - leesbaar, weet wat je afspreekt; - Laat de overeenkomst checken door een jurist ivm aansprakelijkheid en andere voorwaarden.

26 4. Welke maatregelen moet ik nemen? 5. Melden datalek Een datalek moet je melden bij de Autoriteit Persoonsgegevens Denk aan: Laptop in auto achter gelaten en gestolen; USB-stick kwijt geraakt; Computer gehacked (want de beveiliging was niet op orde). Wat moet je doen? Datalek melden bij de Autoriteit Persoonsgegevens Schade meteen proberen zoveel mogelijk in te perken. Betrokkenen inlichten over datalek Passende maatregelen nemen dat het niet meer gebeurt Datalek registreren

27 Tot slot: De AVG: je moet er dus echt iets mee! In ieder geval: - Privacyverklaring - Verwerkersovereenkomsten - Beveiliging op orde De AVG is geen bedreiging maar een kans! LOUTERarbeidsrecht helpt je graag met de juridische documenten en/ of begeleiding bij de implementatie. Aan de slag!