AVG-wetgeving: wat betekent de privacywet voor organisaties en burgers?
De Algemene verordening gegevensbescherming (AVG) is de Europese privacywet die regels stelt voor het verzamelen, gebruiken, bewaren en delen van persoonsgegevens. De wet geldt sinds 25 mei 2018 in de hele Europese Unie. In Nederland houdt de Autoriteit Persoonsgegevens (AP) toezicht op de naleving.
De AVG beschermt mensen tegen onzorgvuldig of onnodig gebruik van hun gegevens. Tegelijkertijd geeft de wet organisaties duidelijke verantwoordelijkheden bij het verwerken van persoonsgegevens.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn gegevens die direct of indirect naar een persoon te herleiden zijn. Denk aan een naam, adres, e-mailadres, telefoonnummer of IP-adres. Ook informatie over iemands locatie, gezondheid, financiële situatie of online gedrag kan een persoonsgegeven zijn.
Voor bijzondere persoonsgegevens gelden extra strenge regels. Het gaat bijvoorbeeld om gegevens over gezondheid, etnische afkomst, religie, politieke opvattingen, seksuele gerichtheid en biometrische gegevens die worden gebruikt om iemand te identificeren.
De belangrijkste uitgangspunten van de AVG
Organisaties moeten persoonsgegevens op een zorgvuldige en transparante manier verwerken. De AVG noemt daarvoor verschillende uitgangspunten:
- Rechtmatigheid en transparantie: mensen moeten weten welke gegevens worden verwerkt en waarom.
- Doelbinding: gegevens mogen alleen worden verzameld voor duidelijke, specifieke doelen.
- Dataminimalisatie: een organisatie verzamelt niet meer gegevens dan nodig is.
- Juistheid: gegevens moeten correct en waar nodig actueel zijn.
- Bewaarbeperking: persoonsgegevens worden niet langer bewaard dan noodzakelijk.
- Beveiliging: passende technische en organisatorische maatregelen moeten gegevens beschermen.
- Verantwoordingsplicht: een organisatie moet kunnen aantonen dat zij de AVG naleeft.
Wanneer mag een organisatie persoonsgegevens verwerken?
Voor iedere verwerking moet een geldige grondslag bestaan. De AVG kent zes mogelijke grondslagen:
- de persoon heeft toestemming gegeven;
- de verwerking is nodig om een overeenkomst uit te voeren;
- de verwerking is nodig om aan een wettelijke verplichting te voldoen;
- de verwerking is nodig om iemands vitale belangen te beschermen;
- de verwerking is nodig voor een taak van algemeen belang of openbaar gezag;
- de organisatie heeft een gerechtvaardigd belang, dat zorgvuldig wordt afgewogen tegen de privacyrechten van de persoon.
Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Als toestemming de grondslag is, moet deze doorgaans ook weer eenvoudig kunnen worden ingetrokken.
Rechten van mensen onder de AVG
De AVG geeft mensen verschillende rechten over hun persoonsgegevens. Zo kunnen zij een organisatie vragen om:
- inzage in hun persoonsgegevens;
- onjuiste gegevens te corrigeren;
- gegevens in bepaalde situaties te laten verwijderen;
- de verwerking tijdelijk te beperken;
- gegevens over te dragen aan henzelf of een andere organisatie;
- bezwaar te maken tegen bepaalde verwerkingen.
Een organisatie moet in de meeste gevallen binnen één maand reageren op een verzoek. Die termijn kan onder bepaalde omstandigheden met maximaal twee maanden worden verlengd. De organisatie moet de persoon daar dan tijdig over informeren.
Wat moeten organisaties regelen?
Organisaties moeten niet alleen de juiste grondslag kiezen, maar ook hun privacybeleid en werkprocessen op orde hebben. Afhankelijk van de situatie kan dat onder meer betekenen dat zij:
- duidelijk uitleggen welke gegevens zij verwerken en met welk doel;
- een overzicht bijhouden van verwerkingsactiviteiten;
- passende beveiligingsmaatregelen treffen;
- afspraken vastleggen met partijen die namens hen gegevens verwerken;
- gegevens niet langer bewaren dan nodig;
- privacy vanaf het ontwerp meenemen in nieuwe producten en diensten;
- een functionaris voor gegevensbescherming aanstellen wanneer de AVG dat vereist.
Bij verwerkingen die waarschijnlijk een hoog privacyrisico opleveren, kan een gegevensbeschermingseffectbeoordeling (DPIA) verplicht zijn. Daarmee brengt een organisatie vooraf de mogelijke risico’s in kaart en bepaalt zij hoe die risico’s kunnen worden beperkt.
Datalekken en meldplicht
Een datalek is een inbreuk op de beveiliging die leidt tot vernietiging, verlies, wijziging of ongeoorloofde toegang tot persoonsgegevens. Voorbeelden zijn een verloren laptop met onbeveiligde gegevens, een verkeerd geadresseerde e-mail of een cyberaanval.
Een organisatie moet een datalek beoordelen en documenteren. Als het lek waarschijnlijk een risico vormt voor de rechten en vrijheden van betrokkenen, moet het in principe binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Is het risico voor mensen hoog, dan moeten zij ook zelf snel en duidelijk worden geïnformeerd.
Wat zijn de gevolgen van overtreding?
De Autoriteit Persoonsgegevens kan onderzoek doen en maatregelen opleggen, zoals een waarschuwing, een verwerkingsverbod of een boete. De maximale boete kan oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een onderneming, afhankelijk van welk bedrag hoger is. De hoogte hangt onder meer af van de aard, ernst en duur van de overtreding.
Hoe kunnen organisaties praktisch aan de slag?
- Breng in kaart welke persoonsgegevens worden verzameld en waar die worden opgeslagen.
- Leg per verwerking het doel en de geldige grondslag vast.
- Controleer of gegevens echt nodig zijn en stel passende bewaartermijnen vast.
- Informeer mensen in begrijpelijke taal over hun privacyrechten.
- Beperk toegang tot gegevens en bescherm systemen tegen verlies of misbruik.
- Maak een procedure voor privacyverzoeken en datalekken.
- Controleer regelmatig of afspraken met leveranciers en verwerkers nog passend zijn.
Samenvatting
De AVG-wetgeving verplicht organisaties om zorgvuldig en transparant met persoonsgegevens om te gaan. Mensen krijgen daardoor meer controle over hun gegevens, terwijl organisaties moeten kunnen uitleggen waarom zij gegevens verwerken en hoe zij die beveiligen. Een goed privacybeleid is daarom geen eenmalig document, maar onderdeel van de dagelijkse werkwijze.
Dit artikel geeft algemene informatie en is geen juridisch advies. De regels kunnen per situatie verschillen. Raadpleeg bij specifieke vragen de Autoriteit Persoonsgegevens of een juridisch deskundige.
AVG-wetgeving: 7 praktische tips om zorgvuldig met persoonsgegevens om te gaan
- Verzamel alleen persoonsgegevens die echt nodig zijn.
- Leg duidelijk uit waarom je gegevens verzamelt.
- Vraag toestemming wanneer dat de juiste grondslag is.
- Beveilig persoonsgegevens met passende maatregelen.
- Bewaar gegevens niet langer dan nodig.
- Geef mensen toegang tot hun gegevens en respecteer hun rechten.
- Meld datalekken tijdig bij de Autoriteit Persoonsgegevens.
Verzamel alleen persoonsgegevens die echt nodig zijn.
Verzamel alleen persoonsgegevens die echt nodig zijn voor een duidelijk omschreven doel. Vraag uzelf af of elke gegevenscategorie noodzakelijk is en laat overbodige velden weg. Zo beperkt u privacyrisico’s, voorkomt u onnodige opslag en voldoet u beter aan het AVG-beginsel van dataminimalisatie. Leg bovendien uit waarom u de gegevens nodig hebt en bewaar ze niet langer dan noodzakelijk.
Leg duidelijk uit waarom je gegevens verzamelt.
Leg duidelijk uit waarom je persoonsgegevens verzamelt en wat je ermee doet. Vertel dit in begrijpelijke taal, bijvoorbeeld in je privacyverklaring of op het formulier waarop je gegevens vraagt. Verzamel alleen gegevens die nodig zijn voor het genoemde doel en gebruik ze niet later voor iets anders zonder passende grondslag. Zo weten mensen waar ze aan toe zijn en voldoe je beter aan de transparantie- en doelbindingsregels van de AVG.
Vraag toestemming wanneer dat de juiste grondslag is.
Vraag toestemming wanneer dit de juiste grondslag is voor de verwerking van persoonsgegevens. Die toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn: mensen moeten duidelijk begrijpen waarvoor zij toestemming geven en mogen niet onder druk worden gezet. Leg de toestemming vast en maak het eenvoudig om deze later weer in te trekken. Controleer wel eerst of toestemming daadwerkelijk nodig en passend is; in sommige situaties kan een andere AVG-grondslag beter aansluiten.
Beveilig persoonsgegevens met passende maatregelen.
Beveilig persoonsgegevens met passende technische en organisatorische maatregelen om verlies, misbruik en onbevoegde toegang te voorkomen. Denk aan sterke wachtwoorden, tweestapsverificatie, versleuteling, toegangsbeperking en regelmatige back-ups. Zorg er ook voor dat medewerkers weten hoe zij veilig met gegevens omgaan en controleer regelmatig of de maatregelen nog aansluiten bij de risico’s. De AVG verlangt dat de beveiliging passend is bij de aard van de gegevens en de mogelijke gevolgen van een datalek.
Bewaar gegevens niet langer dan nodig.
Bewaar persoonsgegevens niet langer dan nodig is voor het doel waarvoor ze zijn verzameld. Stel duidelijke bewaartermijnen vast en verwijder of anonimiseer gegevens zodra ze niet meer nodig zijn, tenzij een wettelijke bewaarplicht geldt. Zo beperk je privacyrisico’s en voldoe je aan een belangrijk uitgangspunt van de AVG.
Geef mensen toegang tot hun gegevens en respecteer hun rechten.
Geef mensen eenvoudig toegang tot hun persoonsgegevens en respecteer hun rechten onder de AVG. Zorg dat zij kunnen opvragen welke gegevens u verwerkt en waarvoor, en handel verzoeken om gegevens te corrigeren, te verwijderen of over te dragen zorgvuldig en binnen de wettelijke termijn af. Leg duidelijk uit hoe zij een verzoek kunnen indienen en houd de procedure laagdrempelig.
Meld datalekken tijdig bij de Autoriteit Persoonsgegevens.
Ontdekt uw organisatie een datalek? Beoordeel dan direct welke persoonsgegevens zijn geraakt en welk risico dit oplevert voor de betrokken personen. Is er waarschijnlijk sprake van een risico voor hun rechten en vrijheden, meld het datalek dan zo snel mogelijk en uiterlijk binnen 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Is het risico waarschijnlijk hoog, informeer dan ook de betrokken personen zonder onnodige vertraging. Leg het incident en de genomen maatregelen zorgvuldig vast, ook wanneer een melding niet nodig blijkt.
