De Algemene Verordening Gegevensbescherming: wat betekent de AVG?
De Algemene Verordening Gegevensbescherming (AVG) is de Europese privacywetgeving die bepaalt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en beveiligen. De verordening geldt in de hele Europese Unie en is sinds 25 mei 2018 van toepassing. In het Engels staat de AVG bekend als de General Data Protection Regulation (GDPR).
Het doel van de AVG is mensen meer controle te geven over hun persoonsgegevens en organisaties duidelijk verantwoordelijk te maken voor de manier waarop zij met die gegevens omgaan.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn gegevens die direct of indirect naar een persoon te herleiden zijn. Denk aan een naam, e-mailadres, telefoonnummer of adres. Ook een IP-adres, locatiegegevens of informatie over iemands gezondheid kan onder omstandigheden als persoonsgegeven gelden.
Sommige gegevens zijn extra gevoelig. De AVG noemt bijvoorbeeld gegevens over gezondheid, religie, politieke opvattingen en biometrische kenmerken bijzondere persoonsgegevens. Voor het verwerken daarvan gelden aanvullende regels.
Wanneer geldt de AVG?
De AVG geldt voor organisaties die persoonsgegevens verwerken in het kader van hun activiteiten. Dat kunnen bedrijven, overheden, verenigingen en andere organisaties zijn. De regels zijn ook van toepassing op organisaties buiten de EU als zij goederen of diensten aanbieden aan mensen in de EU, of hun gedrag volgen.
Onder verwerken valt vrijwel alles wat met persoonsgegevens gebeurt: verzamelen, opslaan, raadplegen, aanpassen, delen en verwijderen.
Belangrijke uitgangspunten
Organisaties moeten persoonsgegevens zorgvuldig en rechtmatig verwerken. De AVG bevat daarvoor verschillende uitgangspunten:
- Rechtmatigheid en transparantie: mensen moeten kunnen begrijpen welke gegevens worden verwerkt en waarom.
- Doelbinding: gegevens mogen alleen worden verzameld voor duidelijke, specifieke doelen.
- Dataminimalisatie: een organisatie verzamelt niet meer gegevens dan nodig is.
- Juistheid: persoonsgegevens moeten correct en waar nodig actueel zijn.
- Bewaarbeperking: gegevens worden niet langer bewaard dan noodzakelijk.
- Beveiliging: organisaties moeten gegevens passend beschermen tegen verlies, misbruik en ongeoorloofde toegang.
- Verantwoordingsplicht: organisaties moeten kunnen aantonen dat zij aan de regels voldoen.
Een geldige reden voor gegevensverwerking
Een organisatie moet voor iedere verwerking een geldige grondslag hebben. De AVG kent zes mogelijke grondslagen. Een verwerking kan bijvoorbeeld noodzakelijk zijn om een overeenkomst uit te voeren, aan een wettelijke verplichting te voldoen of een gerechtvaardigd belang te behartigen. Ook kan toestemming de grondslag zijn.
Toestemming moet vrij, specifiek, geïnformeerd en duidelijk gegeven worden. In situaties waarin toestemming wordt gebruikt, moet iemand die toestemming bovendien weer kunnen intrekken.
Welke rechten hebben mensen?
De AVG geeft mensen verschillende rechten met betrekking tot hun persoonsgegevens. Zo kunnen zij onder bepaalde voorwaarden:
- opvragen welke gegevens een organisatie over hen verwerkt;
- onjuiste gegevens laten verbeteren;
- vragen om gegevens te laten verwijderen;
- bezwaar maken tegen bepaalde verwerkingen;
- de verwerking tijdelijk laten beperken;
- gegevens ontvangen of laten overdragen aan een andere organisatie.
Deze rechten zijn niet in iedere situatie onbeperkt. Een organisatie mag een verzoek soms geheel of gedeeltelijk weigeren wanneer daarvoor een wettelijke reden bestaat. De organisatie moet dat dan uitleggen.
Verplichtingen voor organisaties
Organisaties moeten passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Denk aan toegangsbeperkingen, sterke beveiliging, duidelijke interne afspraken en het zorgvuldig kiezen van dienstverleners die gegevens namens de organisatie verwerken.
Daarnaast moeten organisaties mensen informeren over hun gegevensverwerking, bijvoorbeeld via een privacyverklaring. In bepaalde situaties moeten zij een functionaris voor gegevensbescherming aanstellen of vooraf beoordelen welke privacyrisico’s een nieuwe verwerking met zich meebrengt.
Wat gebeurt er bij een datalek?
Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, worden gewijzigd of toegankelijk worden voor onbevoegden. Een organisatie moet een datalek beoordelen en passende maatregelen nemen om de gevolgen te beperken. Als het datalek waarschijnlijk risico’s oplevert voor de rechten en vrijheden van betrokkenen, moet het doorgaans binnen 72 uur worden gemeld bij de bevoegde toezichthouder. Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd.
Waarom is de AVG belangrijk?
De AVG helpt mensen te begrijpen en te beïnvloeden wat er met hun gegevens gebeurt. Voor organisaties biedt de wet een gemeenschappelijk Europees kader voor gegevensbescherming. Zorgvuldige omgang met persoonsgegevens is niet alleen een wettelijke verplichting, maar draagt ook bij aan vertrouwen tussen organisaties en hun klanten, medewerkers en bezoekers.
Wie persoonsgegevens verzamelt of gebruikt, doet er goed aan regelmatig te controleren welke gegevens nodig zijn, met welk doel ze worden verwerkt en hoe ze worden beveiligd. De juiste aanpak hangt af van de situatie; dit artikel is algemene informatie en geen juridisch advies.
Veelgestelde Vragen over de Algemene Verordening: Beginselen, Betekenis en Verschillen met de UAVG
- Wat zijn de 6 beginselen van de AVG?
- Wat is de betekenis van “algemene verordening”?
- Wat is het verschil tussen de AVG en de UAVG?
- Wat is een algemene verordening?
Wat zijn de 6 beginselen van de AVG?
De zes beginselen van de AVG voor het verwerken van persoonsgegevens zijn: rechtmatigheid, behoorlijkheid en transparantie; doelbinding; minimale gegevensverwerking; juistheid; opslagbeperking; en integriteit en vertrouwelijkheid. Dit betekent dat gegevens op een eerlijke en wettelijke manier, voor een duidelijk doel en niet ruimer dan nodig mogen worden verwerkt. Ze moeten correct en niet langer dan noodzakelijk worden bewaard, en passend worden beveiligd tegen verlies of onbevoegde toegang. De organisatie moet bovendien kunnen aantonen dat zij deze beginselen naleeft.
Wat is de betekenis van “algemene verordening”?
Een “algemene verordening” is een bindende regel die voor een brede groep personen, organisaties of situaties geldt. In de context van privacy verwijst de term vaak naar de Algemene Verordening Gegevensbescherming (AVG): de Europese wet die regels stelt voor het verwerken en beschermen van persoonsgegevens.
Wat is het verschil tussen de AVG en de UAVG?
De AVG is de Europese verordening die in alle EU-lidstaten rechtstreeks geldt en de algemene regels voor de bescherming van persoonsgegevens vastlegt. De UAVG, de Uitvoeringswet AVG, is de Nederlandse wet die de AVG aanvult en nationale keuzes uitwerkt, bijvoorbeeld voor bepaalde uitzonderingen en specifieke situaties. De UAVG vervangt de AVG dus niet: in Nederland gelden beide wetten naast elkaar.
Wat is een algemene verordening?
Een algemene verordening is een wettelijke regel die geldt voor een brede groep mensen, organisaties of situaties, in plaats van voor één specifieke zaak. In de Europese Unie is een verordening doorgaans rechtstreeks van toepassing in alle lidstaten. De Algemene Verordening Gegevensbescherming (AVG) is daar een voorbeeld van: deze bevat regels voor de bescherming en verwerking van persoonsgegevens.
