De Algemene Verordening Gegevensbescherming (AVG) is sinds 25 mei 2018 de geldende privacywetgeving in Nederland en de rest van de Europese Unie. Deze verordening, in het Engels bekend als General Data Protection Regulation (GDPR), heeft als doel de privacy van EU-burgers te beschermen en organisaties verantwoordelijk te maken voor de correcte verwerking van persoonsgegevens. Maar wat houdt deze wetgeving nu precies in? En wat betekent dit concreet voor uw organisatie?
Welke belangrijke begrippen moet u kennen binnen de AVG?
Om de AVG goed te begrijpen, is het essentieel dat u vertrouwd bent met de kernbegrippen van deze privacywetgeving. Deze concepten vormen het fundament waarop de gehele verordening is gebouwd.
Persoonsgegevens zijn alle gegevens die direct of indirect te herleiden zijn tot een natuurlijk persoon. Denk hierbij aan naam, adres, telefoonnummer, maar ook IP-adressen, locatiegegevens of klantnummers. Wanneer u bijvoorbeeld een klantenbestand bijhoudt met contactgegevens, verwerkt u persoonsgegevens.
Bijzondere persoonsgegevens verdienen extra bescherming volgens de AVG. Dit zijn gegevens over iemands gezondheid, ras, politieke voorkeur, religie, seksuele voorkeur of strafrechtelijk verleden. Voor deze gegevens gelden striktere regels. Een medisch dossier bevat bijvoorbeeld bijzondere persoonsgegevens die alleen onder specifieke voorwaarden verwerkt mogen worden.
Als verwerkingsverantwoordelijke bepaalt u het doel en de middelen van de gegevensverwerking. Een verwerker daarentegen, verwerkt persoonsgegevens namens de verwerkingsverantwoordelijke. Wanneer uw organisatie bijvoorbeeld een extern salarisadministratiekantoor inschakelt, bent u de verwerkingsverantwoordelijke en is het administratiekantoor de verwerker. Deze relatie moet worden vastgelegd in een verwerkersovereenkomst.
Onder verwerking valt elke handeling met persoonsgegevens: verzamelen, vastleggen, ordenen, opslaan, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden en zelfs verwijderen. In feite is bijna alles wat u met persoonsgegevens doet een vorm van verwerking.
Toestemming moet volgens de AVG ‘vrij, specifiek, geïnformeerd en ondubbelzinnig’ zijn. Dit betekent dat mensen actief moeten instemmen (bijvoorbeeld door een vakje aan te vinken) en dat vooraf duidelijk moet zijn waarvoor zij toestemming geven. Een vooraf aangevinkt vakje is onder de AVG niet toegestaan.
Een gegevenslek doet zich voor wanneer persoonsgegevens onrechtmatig worden verwerkt of verloren gaan. Denk hierbij aan een gehackte database, een gestolen laptop met klantgegevens of een e-mail met patiëntgegevens die naar de verkeerde persoon is verstuurd. Dergelijke incidenten moeten binnen 72 uur worden gemeld bij de Autoriteit Persoonsgegevens.
De zes belangrijkste principes van de AVG
De AVG is gebaseerd op zes fundamentele principes die leidend zijn voor elke vorm van gegevensverwerking. Deze principes vormen samen het ethisch kader waarbinnen organisaties moeten opereren.
Rechtmatigheid, behoorlijkheid en transparantie vormt het eerste principe. Dit betekent dat u altijd een geldige wettelijke grondslag moet hebben voor het verwerken van persoonsgegevens. De zes mogelijke grondslagen zijn: toestemming, overeenkomst, wettelijke verplichting, vitaal belang, algemeen belang of gerechtvaardigd belang. Daarnaast moet u transparant zijn over welke gegevens u verzamelt en waarom. In de praktijk vertaalt zich dit naar een duidelijke privacyverklaring op uw website.
Doelbinding houdt in dat u persoonsgegevens alleen mag verzamelen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. U mag ze niet verwerken op een manier die onverenigbaar is met deze doeleinden. Als u bijvoorbeeld klantgegevens verzamelt voor leveringen, mag u deze niet zonder meer gebruiken voor marketingdoeleinden.
Minimale gegevensverwerking betekent dat u niet meer gegevens mag verzamelen dan noodzakelijk voor het doel. Vraagt u bij een webshopbestelling alleen om noodzakelijke gegevens zoals naam, adres en betaalgegevens? Of vraagt u ook geboortedatum, geslacht en andere informatie die niet direct nodig is? Het principe van dataminimalisatie verplicht u om kritisch te kijken naar welke gegevens u daadwerkelijk nodig heeft.
Juistheid betekent dat persoonsgegevens correct moeten zijn en indien nodig worden geactualiseerd. Onjuiste gegevens moeten worden gewist of gecorrigeerd. In de praktijk betekent dit dat u een procedure moet hebben om gegevens te corrigeren wanneer betrokkenen daarom vragen.
Opslagbeperking houdt in dat u persoonsgegevens niet langer mag bewaren dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Bewaartermijnen moeten worden vastgesteld en nageleefd. Voor sommige gegevens bestaan wettelijke bewaartermijnen, zoals de fiscale bewaarplicht van 7 jaar voor financiële administratie.
Integriteit en vertrouwelijkheid vereist dat u passende technische en organisatorische maatregelen neemt om persoonsgegevens te beveiligen tegen ongeoorloofde of onrechtmatige verwerking, verlies, vernietiging of beschadiging. Dit omvat maatregelen zoals versleuteling, toegangscontrole en back-ups, maar ook het privacy-bewustzijn van uw medewerkers. Een goede Informatiebeveiliging is hierbij essentieel om uw bedrijfsgegevens en persoonsgegevens optimaal te beschermen.
Welke rechten hebben betrokkenen onder de AVG?
De AVG versterkt de rechten van individuen met betrekking tot hun persoonsgegevens. Als organisatie moet u deze rechten respecteren en faciliteren. Hieronder vindt u een overzicht van deze rechten en wat ze voor uw organisatie betekenen.
Het recht op inzage geeft mensen het recht om te weten of u hun persoonsgegevens verwerkt, en zo ja, welke gegevens dit zijn en voor welk doel. U moet binnen één maand na het verzoek een kopie van deze gegevens verstrekken. Zorg ervoor dat u een procedure heeft om deze verzoeken efficiënt af te handelen.
Het recht op rectificatie geeft mensen het recht om onjuiste persoonsgegevens te laten corrigeren. Als iemand aangeeft dat bepaalde gegevens niet kloppen, moet u deze binnen één maand corrigeren. Dit onderstreept het belang van een goed systeem voor gegevensbeheer.
Het recht op vergetelheid (gegevenswissing) geeft mensen het recht om hun persoonsgegevens te laten verwijderen wanneer er geen geldige reden meer is om deze te bewaren. Dit recht is niet absoluut; er kunnen wettelijke redenen zijn om gegevens toch te bewaren.
Het recht op dataportabiliteit geeft mensen het recht om hun persoonsgegevens te ontvangen in een gestructureerd, veelgebruikt en machineleesbaar formaat, zodat ze deze gegevens gemakkelijk kunnen overdragen aan een andere organisatie. Dit is vooral relevant bij het overstappen naar een andere dienstverlener.
Het recht op beperking van de verwerking geeft mensen het recht om in bepaalde omstandigheden de verwerking van hun persoonsgegevens tijdelijk te ‘pauzeren’. U mag de gegevens dan wel bewaren, maar niet verder verwerken totdat de situatie is opgelost.
Het recht van bezwaar geeft mensen het recht om bezwaar te maken tegen bepaalde verwerkingen, met name bij direct marketing. Als iemand bezwaar maakt tegen het gebruik van zijn gegevens voor marketingdoeleinden, moet u hier onmiddellijk gehoor aan geven.
Het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming, inclusief profilering, beschermt mensen tegen beslissingen die uitsluitend op basis van geautomatiseerde verwerking worden genomen en die rechtsgevolgen hebben. Er moet altijd menselijke tussenkomst mogelijk zijn bij belangrijke beslissingen.
Wat zijn de consequenties van niet-naleving van de AVG?
De AVG wordt gehandhaafd door de Autoriteit Persoonsgegevens (AP) in Nederland. Deze toezichthouder heeft verschillende handhavingsinstrumenten tot haar beschikking, waaronder boetes die aanzienlijk kunnen oplopen.
De boetestructuur van de AVG kent twee niveaus. Voor minder ernstige overtredingen kunnen boetes worden opgelegd tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor ernstigere overtredingen kunnen de boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Deze bedragen onderstrepen het belang dat de EU hecht aan privacybescherming.
Recente voorbeelden van boetes in Nederland zijn onder meer een boete van 725.000 euro voor een bedrijf dat vingerafdrukken van werknemers verwerkte zonder geldige grondslag, en een boete van 525.000 euro voor een organisatie die onvoldoende beveiligingsmaatregelen had getroffen.
Naast financiële sancties kan reputatieschade minstens zo ingrijpend zijn. Een datalek of privacyschending kan het vertrouwen van klanten en partners ernstig schaden. Het herstel van een geschonden reputatie kost vaak veel tijd en inspanning.
Organisaties kunnen ook aansprakelijk worden gesteld voor schade die betrokkenen lijden als gevolg van een inbreuk op de AVG. Dit kan leiden tot schadeclaims, naast de boetes van de toezichthouder.
De Autoriteit Persoonsgegevens heeft verschillende handhavingsinstrumenten, waaronder waarschuwingen, lasten onder dwangsom en verwerkingsverboden. De AP kan onderzoek instellen naar aanleiding van klachten, maar ook op eigen initiatief.
Privacy compliance is geen eenmalige exercitie, maar een doorlopend proces. Net als bij het opstellen van een RI&E voor uw organisatie, is het belangrijk om regelmatig de risico’s rond gegevensbescherming in kaart te brengen. Bij Nieuwhuis Consult begrijpen we dat de implementatie van de AVG complex kan zijn. Onze expertise helpt u om niet alleen aan de wettelijke eisen te voldoen, maar ook om databeveiliging en Informatiebeveiliging te integreren in uw bedrijfsprocessen, zodat u met vertrouwen kunt ondernemen in het digitale tijdperk.