Voorbereid op de nieuwe privacywet in 10 stappen

Maat: px

Weergave met pagina beginnen:

Download "Voorbereid op de nieuwe privacywet in 10 stappen"

Anneleen Dina Pieters
5 jaren geleden
Aantal bezoeken:

1 Algemene Verordening Gegevensbescherming Voorbereid op de nieuwe privacywet in 10 stappen Een publicatie van LAYLO // // //

Nieuwe wetgeving Per 25 mei 2018 treed de Algemene Verordening Gegevensbescherming (AVG) in, een nieuwe wetgeving die is ontworpen om de privacy en gegevens van derden te beschermen.

2 Nieuwe wetgeving Per 25 mei 2018 treed de Algemene Verordening Gegevensbescherming (AVG) in, een nieuwe wetgeving die is ontworpen om de privacy en gegevens van derden te beschermen. Een positieve ontwikkeling, die wij alleen maar toejuichen. Deze nieuwe wetgeving vergt echter veel werk van bedrijven, ongeacht de grootte. De zaken niet op orde hebben op 25 mei brengt flinke risico's met zich mee. De Authoriteit Persoonsgegevens (AP) kan boetes opleggen aan overtreders tot maar liefst 20 miljoen euro, of 4% van de wereldwijde omzet indien dat bedrag hoger uitkomt. Uiteraard is het opleggen van boetes niet het doel van de AVG; maar het beschermen van de consument en diens data. In een tijd waarin er bijna dagelijks een groot datalek plaatsvindt, is dit een ontwikkeling die - in onze ogen - hard nodig is. De AVG geldt voor alle organisaties, van lokale eenmanszaken tot en met globale bedrijven die in meerdere landen of continenten gevestigd zijn. Voor organisaties zitten er flinke voordelen aan de nieuwe wetgeving, het geeft meer rechtszekerheid, een gelijk speelveld (immers, alle bedrijven dienen aan deze regelgeving te voldoen), minder administratieve kosten en overhead, plus u hoeft nog maar met één toezichthouder zaken te doen: de AP. In dit leaflet geven wij in tien concrete stappen een basaal idee waar bedrijven zich op voor dienen te bereiden. Voor meer informatie of hulp bij de implementatie van de AVG, twijfel niet om contact op te nemen. Hartelijke groet, LAYLO T: E: office@laylo.nl W:

3 1 Bewustwording Organisaties dienen zorg te dragen dat alle personen die betrokken zijn bij de verwerking van persoonsgegevens op de hoogte zijn van de nieuwe wetgeving. De betrokken personen dienen in te kunnen schatten wat de impact van de AVG is op de huidige diensten en producten en welke veranderingen er gemaakt dienen te worden om aan de AVG te voldoen. 2 Rechten van betrokkenen De AVG geeft meer en verbeterde privacyrechten aan de klanten/cliënt van organisaties die persoonsgegevens verwerken. Het kunnen uitoefenen van deze rechten is essentieel onder de AVG. Hierbij kan worden gedacht aan bestaande rechten onder de Wet Bescherming Persoonsgegevens (WbP), maar ook aan nieuwe maatregelen, zoals het recht op dataportabiliteit. Klanten en cliënten hebben recht op hun data, in een formaat die door te geven en uit te lezen is aan een andere organisatie. 3 Overzicht verwerkingen Breng de datastromen met persoonsgegevens in kaart, leg vast welke persoonsgegevens worden verwerkt, met welk doel, waar ze vandaan komen en met wie ze gedeeld worden. De AVG legt een documentatieplicht op, wat inhoudt dat een organisatie moet kunnen aantonen dat ze volgens de AVG wetgeving handelen. Deze documentatie dient nog een doel: op het moment dat betrokkenen hun rechten beoefenen, moet de organisatie kunnen aangeven welke gegevens met welke partij zijn gedeeld. Ook dient er te worden vermeld met welke grondslag dit gebeurd. Is het een gerechtvaardigd belang of wordt er toestemming gevraagd aan de betrokkenen?

4 4 Assessment Organisaties die werken met persoonsgegevens op grote schaal (systematisch en uitvoering persoonlijke aspecten evalueert, op grote schaal bijzondere persoonsgegevens verwerkt, op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied door bijvoorbeeld cameratoezicht) zijn verplicht een Data Protection Impact Assessment (DPIA) uit te voeren. De DPIA is een instrument om vooraf de risico's van gegevensverwerking in kaart te brengen en maatregelen uit te kunnen voeren om risico's te verkleinen. Als uit een DPIA blijkt dat de verwerking een hoog risico met zich meebrengt en het niet mogelijk is om de risico's in te perken, dient de organisatie overleg te plegen met de AP. De AP beoordeelt vervolgens of dit onder de AVG is toegestaan. 5 Privacy by design De AVG kent twee belangrijke (en verplichte) uitgangspunten: privacy by design en privacy by default. De eerste, privacy by design, betekent louter dat er bij het ontwerp of de architectuur van een nieuwe dienst of product rekening wordt gehouden met de verwerking van persoonsgegevens en deze ten aller tijden goed beschermd worden. Privacy by default betekent dat de organisatie zowel technische als organisatorische maatregelen dient te treffen die garanderen dat enkel nodige persoonsgegevens verwerkt worden die noodzakelijk zijn voor het beoogde doel. Bijvoorbeeld: voor het abonneren op een (digitale) nieuwsbrief zijn NAW gegevens niet nodig, het is zelfs te beargumenteren dat enkel een adres volstaat. Vinkjes zoals "ja ik wil aanbiedingen ontvangen" mogen niet standaard aangevinkt zijn. Een Android applicatie om de slimme koffiemachine aan te zetten heeft bijvoorbeeld geen locatiegegevens nodig. 6 Functionaris aanstellen Sommige organisaties dienen onder de AVG een functionaris gegevensbescherming aan te stellen. Deze persoon draagt de titel Data Protection Officer (DPI). Voorbeelden van organisaties die hieraan moeten voldoen zijn zorg- en onderwijsinstellingen, en overheidsinstellingen.

5 7 Meldplicht datalekken Hoewel de meldplicht datalekken grotendeels hetzelfde blijft onder de AVG, worden er wel strengere eisen gesteld aan organisaties die in het verleden een datalek hebben gehad. Alle datalekken dienen te worden gedocumenteerd, op zo'n manier dat de AP kan controleren of de organisatie heeft voldaan aan de meldplicht. 8 Bewerkersovereenkomst Is (een deel van) de gegevensbewerking uitbesteed aan een externe organisatie? Dan dient er een bewerkersovereenkomst te zijn. Dat is ook onder de WbP al het geval, echter dient de organisatie te controleren of deze voldoen aan de AVG wetgeving en waar nodig tijdig wijzigingen aan te brengen. 9 Leidende toezichthouder Indien de organisatie vestigingen heeft in meerdere EU lidstaten of als gegevensverwerking in meerdere lidstaten impact heeft, dan heeft de organisatie onder de AVG nog maar met één privacytoezichthouder te maken, de leidende toezichthouder. Bijvoorbeeld: een Nederlands webhostingbedrijf met servers in België en Duitsland. 10 Toestemming De gegevensverwerking in een organisatie kan gebaseerd zijn op toestemming van betrokkenen. De AVG stelt strengere eisen aan toestemming. Ga na of uw organisatie voldoet aan de manier waarop de toestemming wordt gevraagd, gegeven en registreert. De organisatie moet kunnen aantonen dat er geldige toestemming is verkregen om persoonsgegevens te verwerken. Bovendien moet het net zo eenvoudig zijn om die toestemming weer in te trekken.

6 C Concreet De AVG vraagt aanpassing in de omgang met persoonsgegevens. Deze dient gedocumenteerd te worden. Richt dienstverlening en processen dusdanig in dat er enkel de broodnodige gegevens gevraagd en verwerkt worden. Maak het klanten/cliënten op een eenvoudige manier mogelijk om de toestemming weer in te trekken, of inzage te krijgen in hun gegevens in een gestandariseerd formaat. Vragen, of hulp nodig bij de implementatie van de AVG? Twijfel niet om contact met ons op te nemen.

Vergelijkbare documenten

De website van de Autoriteit Persoonsgegevens geeft uitgebreide ondersteuning.

De website van de Autoriteit Persoonsgegevens geeft uitgebreide ondersteuning. DE AVG Vanaf 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing. Dat betekent dat vanaf die datum dezelfde privacywetgeving geldt in de hele Europese Unie (EU). De Wet bescherming