De AVG/GDPR-wetgeving: wat betekent de privacywet voor organisaties en burgers?
Persoonsgegevens spelen een grote rol in het dagelijks leven. Bedrijven, overheden en andere organisaties gebruiken ze bijvoorbeeld om diensten te leveren, betalingen te verwerken of contact te onderhouden. De Europese privacywetgeving stelt regels voor het verzamelen en gebruiken van die gegevens. Deze regels staan bekend als de GDPR, of in het Nederlands de AVG: de Algemene verordening gegevensbescherming.
Wat is de GDPR of AVG?
De AVG is een Europese verordening die sinds 25 mei 2018 van toepassing is. Omdat het een verordening is, geldt zij rechtstreeks in alle EU-lidstaten. De wet beschermt mensen van wie persoonsgegevens worden verwerkt en bepaalt aan welke regels organisaties zich moeten houden.
Een persoonsgegeven is informatie die direct of indirect naar een persoon te herleiden is. Denk aan een naam, e-mailadres, telefoonnummer, IP-adres, locatiegegevens of klantnummer. Ook gegevens die op zichzelf niet direct herkenbaar zijn, kunnen persoonsgegevens zijn wanneer ze in combinatie met andere informatie naar iemand leiden.
Voor wie geldt de AVG?
De AVG geldt voor organisaties die persoonsgegevens verwerken van mensen in de Europese Unie. Dat kunnen bedrijven, verenigingen, overheidsinstanties en zelfstandigen zijn. Ook organisaties buiten de EU kunnen onder de AVG vallen als zij goederen of diensten aanbieden aan mensen in de EU of hun gedrag volgen, bijvoorbeeld via online tracking.
Met verwerken bedoelt de wet vrijwel iedere handeling met persoonsgegevens: verzamelen, opslaan, bekijken, aanpassen, delen en verwijderen. Ook een organisatie die gegevens door een externe dienstverlener laat verwerken, blijft verantwoordelijk voor een zorgvuldige omgang ermee.
De belangrijkste uitgangspunten
De AVG verlangt dat organisaties persoonsgegevens rechtmatig, behoorlijk en transparant verwerken. De belangrijkste uitgangspunten zijn:
- Een duidelijk doel: gegevens mogen alleen voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doelen worden verzameld.
- Dataminimalisatie: een organisatie verzamelt niet meer gegevens dan nodig is.
- Juistheid: gegevens moeten correct en waar nodig actueel zijn.
- Bewaarbeperking: gegevens worden niet langer bewaard dan noodzakelijk.
- Beveiliging: passende technische en organisatorische maatregelen moeten gegevens beschermen.
- Verantwoording: organisaties moeten kunnen aantonen dat zij de regels naleven.
Een geldige grondslag voor gegevensverwerking
Voor iedere verwerking moet een organisatie een geldige wettelijke grondslag hebben. De AVG noemt er zes:
- de persoon heeft toestemming gegeven;
- de verwerking is nodig om een overeenkomst uit te voeren;
- de verwerking is nodig om aan een wettelijke verplichting te voldoen;
- de verwerking is nodig om iemands vitale belangen te beschermen;
- de verwerking is nodig voor een taak van algemeen belang of openbaar gezag;
- de verwerking is nodig voor een gerechtvaardigd belang, mits de rechten en belangen van de betrokkene niet zwaarder wegen.
Toestemming is dus niet altijd de juiste grondslag. Als een organisatie toestemming gebruikt, moet die vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Toestemming moet bovendien weer kunnen worden ingetrokken.
Bijzondere persoonsgegevens
Voor bepaalde gegevens gelden extra strenge regels. Het gaat onder meer om gegevens over gezondheid, etnische afkomst, politieke opvattingen, religieuze overtuigingen, vakbondslidmaatschap, genetische gegevens en biometrische gegevens die worden gebruikt om iemand uniek te identificeren. Ook gegevens over strafrechtelijke veroordelingen en strafbare feiten zijn aan specifieke voorwaarden gebonden.
In veel gevallen is het verwerken van zulke gegevens verboden, tenzij een uitzondering uit de wet van toepassing is en aan aanvullende eisen wordt voldaan.
Welke rechten hebben mensen?
De AVG geeft mensen verschillende rechten over hun persoonsgegevens. Zo kunnen zij:
- informatie opvragen over het gebruik van hun gegevens;
- inzage krijgen in de gegevens die een organisatie over hen heeft;
- onjuiste gegevens laten corrigeren;
- in bepaalde situaties gegevens laten verwijderen;
- de verwerking laten beperken;
- bezwaar maken tegen bepaalde verwerkingen;
- gegevens in bepaalde gevallen ontvangen en overdragen aan een andere dienstverlener.
Een organisatie moet doorgaans binnen één maand reageren op een verzoek. In bepaalde gevallen mag die termijn met maximaal twee maanden worden verlengd, bijvoorbeeld bij complexe of omvangrijke verzoeken. De organisatie moet de betrokkene daar tijdig over informeren.
Wat moeten organisaties doen?
Organisaties moeten weten welke persoonsgegevens zij verwerken, waarom zij dat doen en met wie zij gegevens delen. Ze moeten betrokkenen begrijpelijk informeren en passende beveiligingsmaatregelen nemen. Wanneer een externe partij gegevens namens de organisatie verwerkt, zijn doorgaans afspraken nodig in een verwerkersovereenkomst.
Ook moeten organisaties datalekken beoordelen en registreren. Als een datalek waarschijnlijk een risico oplevert voor de rechten en vrijheden van mensen, moet het in beginsel binnen 72 uur worden gemeld bij de toezichthouder. Is het risico voor betrokkenen hoog, dan moeten zij doorgaans ook zelf worden geïnformeerd.
Voor verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, kan een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn. Sommige organisaties moeten bovendien een functionaris voor gegevensbescherming (FG) aanstellen, bijvoorbeeld bepaalde overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken of mensen stelselmatig volgen.
Toezicht en mogelijke boetes
In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de naleving van de AVG. De AP kan onderzoek doen, waarschuwingen geven en maatregelen opleggen. Bij ernstige overtredingen kunnen boetes oplopen tot 20 miljoen euro of, voor ondernemingen, 4 procent van de wereldwijde jaarlijkse omzet van het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. De concrete sanctie hangt onder meer af van de aard, ernst en duur van de overtreding.
AVG en cookies
Ook het gebruik van cookies en vergelijkbare technieken kan privacyregels raken. Voor bepaalde cookies, zoals analytische of advertentiecookies die niet strikt noodzakelijk zijn, is doorgaans voorafgaande toestemming vereist. Daarbij spelen naast de AVG ook regels uit de Telecommunicatiewet. De precieze verplichtingen hangen af van het soort cookie en de manier waarop gegevens worden gebruikt.
Waarom is de AVG belangrijk?
De AVG geeft mensen meer zeggenschap over hun persoonsgegevens en verplicht organisaties om zorgvuldig met die gegevens om te gaan. Goede naleving draait niet alleen om het voorkomen van boetes. Duidelijke informatie, beperkte gegevensverzameling en sterke beveiliging kunnen ook bijdragen aan vertrouwen tussen organisaties en hun klanten, leden of gebruikers.
De AVG bevat algemene regels; de toepassing ervan hangt af van de omstandigheden en de soort gegevensverwerking. Dit artikel is algemene informatie en geen juridisch advies.
7 praktische tips om aan de AVG-wetgeving te voldoen
- Verzamel alleen persoonsgegevens die je echt nodig hebt.
- Leg duidelijk uit waarvoor je gegevens gebruikt.
- Vraag toestemming wanneer dat nodig is.
- Beveilig persoonsgegevens met passende maatregelen.
- Bewaar gegevens niet langer dan noodzakelijk.
- Respecteer rechten zoals inzage, correctie en verwijdering.
- Meld een datalek tijdig bij de Autoriteit Persoonsgegevens wanneer dat verplicht is.
Verzamel alleen persoonsgegevens die je echt nodig hebt.
Verzamel alleen persoonsgegevens die je echt nodig hebt voor een duidelijk omschreven doel. Vraag bijvoorbeeld niet om een geboortedatum als die niet nodig is om je dienst te leveren. Door gegevensverzameling te beperken, verklein je de kans op misbruik of datalekken en voldoe je aan het AVG-principe van dataminimalisatie. Bewaar de gegevens bovendien niet langer dan nodig.
Leg duidelijk uit waarvoor je gegevens gebruikt.
Leg duidelijk uit waarvoor je persoonsgegevens gebruikt. Vertel mensen welke gegevens je verzamelt, met welk doel je dat doet en hoe lang je ze bewaart. Deel ook of je gegevens met andere partijen deelt en waarom. Gebruik begrijpelijke taal, zodat mensen weten waar ze aan toe zijn en zelf weloverwogen keuzes kunnen maken.
Vraag toestemming wanneer dat nodig is.
Vraag toestemming wanneer dat nodig is, bijvoorbeeld voordat u niet-noodzakelijke cookies plaatst of persoonsgegevens voor marketing gebruikt. Toestemming moet vrijwillig, specifiek, goed geïnformeerd en duidelijk gegeven zijn. Leg uit waarvoor de gegevens worden gebruikt, maak weigeren net zo eenvoudig als accepteren en zorg dat iemand de toestemming later gemakkelijk kan intrekken.
Beveilig persoonsgegevens met passende maatregelen.
Beveilig persoonsgegevens met passende technische en organisatorische maatregelen, afgestemd op de aard van de gegevens en de risico’s van de verwerking. Denk aan toegangsbeheer, sterke wachtwoorden, versleuteling, regelmatige software-updates en duidelijke afspraken met medewerkers. Controleer ook periodiek of de maatregelen nog effectief zijn. Zo verklein je de kans op verlies, misbruik of ongeoorloofde toegang tot persoonsgegevens en help je te voldoen aan de AVG.
Bewaar gegevens niet langer dan noodzakelijk.
Bewaar persoonsgegevens niet langer dan nodig is voor het doel waarvoor ze zijn verzameld. Stel duidelijke bewaartermijnen vast en verwijder of anonimiseer gegevens zodra ze niet meer noodzakelijk zijn, tenzij een wettelijke verplichting vereist dat u ze langer bewaart. Door bewaartermijnen regelmatig te controleren, verkleint u het risico op onnodige blootstelling van gegevens en helpt u te voldoen aan de AVG.
Respecteer rechten zoals inzage, correctie en verwijdering.
Respecteer de rechten van mensen over hun persoonsgegevens. Zij mogen onder meer vragen welke gegevens u verwerkt, onjuiste informatie laten corrigeren en in bepaalde situaties verzoeken om hun gegevens te verwijderen. Zorg voor een eenvoudige manier om zulke verzoeken in te dienen en behandel ze zorgvuldig en binnen de wettelijke termijn. Houd er rekening mee dat verwijdering niet altijd mogelijk is, bijvoorbeeld wanneer u gegevens wettelijk moet bewaren.
Meld een datalek tijdig bij de Autoriteit Persoonsgegevens wanneer dat verplicht is.
Ontdekt uw organisatie een datalek? Beoordeel dan zo snel mogelijk of het risico oplevert voor de rechten en vrijheden van betrokkenen. Is dat het geval, dan moet u het datalek in principe binnen 72 uur nadat u ervan kennis hebt genomen melden bij de Autoriteit Persoonsgegevens. Als het risico voor betrokkenen waarschijnlijk hoog is, moet u hen meestal ook informeren. Leg de gebeurtenis, uw beoordeling en de genomen maatregelen zorgvuldig vast, ook wanneer een melding niet verplicht blijkt.
