AVG-beveiliging: zo beschermt u persoonsgegevens

Organisaties die persoonsgegevens verwerken, moeten deze zorgvuldig beveiligen. De Algemene Verordening Gegevensbescherming (AVG) schrijft voor dat passende technische en organisatorische maatregelen worden genomen om gegevens te beschermen tegen onder meer verlies, onbevoegde toegang en misbruik. Wat passend is, hangt af van de aard van de gegevens, de mogelijke risico’s en de manier waarop ze worden verwerkt.

Wat betekent beveiliging volgens de AVG?

De AVG vraagt organisaties om de beveiliging van persoonsgegevens af te stemmen op het risico. Er is dus geen vaste checklist die voor iedere organisatie hetzelfde is. Een kleine onderneming die contactgegevens verwerkt, heeft mogelijk andere maatregelen nodig dan een zorginstelling die medische dossiers beheert.

Artikel 32 van de AVG noemt onder meer versleuteling, het waarborgen van de beschikbaarheid van gegevens en het regelmatig testen en beoordelen van beveiligingsmaatregelen. Organisaties moeten kunnen uitleggen waarom hun maatregelen passend zijn.

Belangrijke maatregelen voor AVG-beveiliging

• Beperk toegang: geef medewerkers alleen toegang tot persoonsgegevens die zij nodig hebben voor hun werk. Gebruik sterke wachtwoorden en waar mogelijk multifactorauthenticatie.
• Versleutel gegevens: encryptie kan gegevens beschermen wanneer apparaten verloren raken of bestanden worden onderschept. Denk ook aan beveiligde verbindingen en versleutelde back-ups.
• Maak back-ups: zorg voor regelmatige, beveiligde back-ups en controleer of gegevens daadwerkelijk kunnen worden teruggezet.
• Houd systemen actueel: installeer beveiligingsupdates tijdig en verwijder software en accounts die niet meer nodig zijn.
• Train medewerkers: leer medewerkers phishing, verdachte verzoeken en onzorgvuldige omgang met gegevens herkennen.
• Leg afspraken vast: controleer de beveiliging van leveranciers die namens uw organisatie persoonsgegevens verwerken en maak duidelijke afspraken in verwerkersovereenkomsten.
• Test en evalueer: beoordeel regelmatig of maatregelen nog werken en pas ze aan wanneer systemen, werkwijzen of risico’s veranderen.

Voorkom dat u meer gegevens bewaart dan nodig

Goede beveiliging begint ook bij het beperken van de hoeveelheid persoonsgegevens. Verzamel alleen gegevens die nodig zijn voor een duidelijk doel en bewaar ze niet langer dan noodzakelijk. Minder opgeslagen gegevens betekent doorgaans ook minder gegevens die bij een incident kunnen worden blootgesteld.

Wat doet u bij een datalek?

Een datalek kan bijvoorbeeld ontstaan door een verkeerd geadresseerde e-mail, een gestolen laptop of ongeautoriseerde toegang tot een systeem. Zorg voor een duidelijk incidentproces, zodat medewerkers weten bij wie zij een mogelijk datalek moeten melden en welke stappen daarna volgen.

Beoordeel bij een datalek welke persoonsgegevens zijn geraakt en welk risico dit oplevert voor betrokkenen. Als het datalek een risico vormt voor hun rechten en vrijheden, moet de organisatie het in principe binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens. Is er waarschijnlijk sprake van een hoog risico, dan moeten ook de betrokken personen worden geïnformeerd, tenzij een uitzondering van toepassing is.

Maak beveiliging onderdeel van uw dagelijkse werkwijze

AVG-beveiliging is geen eenmalig project. Het vraagt om voortdurende aandacht, duidelijke verantwoordelijkheden en maatregelen die passen bij de risico’s van uw organisatie. Door gegevens te beperken, toegang goed te regelen, medewerkers bewust te maken en incidenten voorbereid aan te pakken, verkleint u de kans op problemen en kunt u beter aantonen dat u zorgvuldig met persoonsgegevens omgaat.

Dit artikel is algemene informatie en geen juridisch advies. De juiste maatregelen zijn afhankelijk van de specifieke gegevensverwerkingen en risico’s van uw organisatie.

 

AVG-beveiliging: antwoorden op 9 veelgestelde vragen

1. Wat houdt AVG-beveiliging precies in?
2. Welke beveiligingsmaatregelen verplicht de AVG organisaties te nemen?
3. Hoe bepaalt een organisatie welke beveiligingsmaatregelen passend zijn?
4. Moeten persoonsgegevens volgens de AVG altijd worden versleuteld?
5. Hoe vaak moet een organisatie de beveiliging van persoonsgegevens controleren?
6. Wat moet een organisatie doen als er een datalek plaatsvindt?
7. Wanneer moet een datalek worden gemeld bij de Autoriteit Persoonsgegevens?
8. Wie is verantwoordelijk voor de beveiliging van persoonsgegevens binnen een organisatie?
9. Hoe kunnen kleine bedrijven voldoen aan de AVG-beveiligingsregels?

Wat houdt AVG-beveiliging precies in?

AVG-beveiliging houdt in dat een organisatie passende technische en organisatorische maatregelen neemt om persoonsgegevens te beschermen tegen verlies, misbruik en onbevoegde toegang. Denk aan toegangsbeperkingen, sterke wachtwoorden, versleuteling, veilige back-ups en het trainen van medewerkers. Welke maatregelen nodig zijn, hangt af van de gegevens die worden verwerkt en de risico’s die daarbij horen.

Welke beveiligingsmaatregelen verplicht de AVG organisaties te nemen?

De AVG schrijft geen vaste lijst beveiligingsmaatregelen voor; organisaties moeten maatregelen kiezen die passen bij de aard, omvang en risico’s van hun gegevensverwerkingen. Denk aan toegangsbeperking, sterke authenticatie, versleuteling of pseudonimisering waar dat passend is, veilige back-ups en procedures om gegevens na een incident te herstellen. Ook moeten organisaties de vertrouwelijkheid, integriteit en beschikbaarheid van persoonsgegevens waarborgen en hun beveiliging regelmatig testen en evalueren.

Hoe bepaalt een organisatie welke beveiligingsmaatregelen passend zijn?

Een organisatie bepaalt welke beveiligingsmaatregelen passend zijn door eerst in kaart te brengen welke persoonsgegevens zij verwerkt, met welk doel en welke risico’s de verwerking oplevert voor de betrokkenen. Daarbij kijkt zij onder meer naar de gevoeligheid en hoeveelheid gegevens, mogelijke gevolgen van verlies of misbruik, de stand van de techniek en de kosten van maatregelen. Op basis van die risicoanalyse kiest de organisatie passende technische en organisatorische maatregelen, zoals toegangsbeperking, versleuteling, back-ups en medewerkerstraining. De maatregelen moeten regelmatig worden getest en herzien, bijvoorbeeld wanneer systemen of risico’s veranderen.

Moeten persoonsgegevens volgens de AVG altijd worden versleuteld?

Nee, de AVG verplicht niet om alle persoonsgegevens altijd te versleutelen. Organisaties moeten wel passende beveiligingsmaatregelen nemen op basis van de aard van de gegevens en de risico’s voor betrokkenen. Versleuteling kan daarbij een geschikte maatregel zijn, bijvoorbeeld voor gevoelige gegevens of gegevens die via onbeveiligde kanalen worden verstuurd. Beoordeel en documenteer welke maatregelen in uw situatie passend zijn.

Hoe vaak moet een organisatie de beveiliging van persoonsgegevens controleren?

De AVG schrijft geen vaste controlefrequentie voor. Een organisatie moet de beveiliging van persoonsgegevens regelmatig beoordelen en opnieuw bekijken wanneer er belangrijke veranderingen zijn, zoals nieuwe systemen, andere verwerkingen of gewijzigde risico’s. Hoe vaak dat nodig is, hangt af van de aard en omvang van de gegevensverwerking en de mogelijke gevolgen van een beveiligingsincident. Leg controles en verbeteracties vast, zodat duidelijk is dat de maatregelen actueel en passend blijven.

Wat moet een organisatie doen als er een datalek plaatsvindt?

Als er een datalek plaatsvindt, moet een organisatie het incident direct onderzoeken en de mogelijke gevolgen beperken. Breng in kaart welke persoonsgegevens zijn getroffen, hoeveel mensen risico lopen en welke maatregelen nodig zijn om verdere schade te voorkomen. Leg het datalek en de genomen stappen vast. Levert het incident waarschijnlijk een risico op voor de rechten en vrijheden van betrokkenen, dan moet de organisatie het in principe binnen 72 uur na ontdekking melden bij de Autoriteit Persoonsgegevens. Is er waarschijnlijk sprake van een hoog risico, dan moeten ook de betrokken personen zo snel mogelijk worden geïnformeerd, tenzij een wettelijke uitzondering geldt.

Wanneer moet een datalek worden gemeld bij de Autoriteit Persoonsgegevens?

Een datalek moet in principe binnen 72 uur nadat uw organisatie ervan op de hoogte is geraakt, worden gemeld bij de Autoriteit Persoonsgegevens als het waarschijnlijk een risico vormt voor de rechten en vrijheden van betrokkenen. Is er waarschijnlijk géén risico, dan is melden niet verplicht, maar moet u het incident wel documenteren en uw beoordeling kunnen onderbouwen. Bij een waarschijnlijk hoog risico moeten ook de betrokken personen zo snel mogelijk worden geïnformeerd, tenzij een wettelijke uitzondering geldt.

Wie is verantwoordelijk voor de beveiliging van persoonsgegevens binnen een organisatie?

Binnen een organisatie is de verwerkingsverantwoordelijke eindverantwoordelijk voor de beveiliging van persoonsgegevens en de naleving van de AVG. In de praktijk ligt de uitvoering vaak bij het management, IT- of privacyteams en medewerkers die met gegevens werken. Ook verwerkers moeten passende beveiligingsmaatregelen nemen en afspraken hierover nakomen. Een functionaris voor gegevensbescherming kan toezicht houden en adviseren, maar neemt de verantwoordelijkheid van de organisatie niet over.

Hoe kunnen kleine bedrijven voldoen aan de AVG-beveiligingsregels?

Kleine bedrijven kunnen aan de AVG-beveiligingsregels voldoen door eerst in kaart te brengen welke persoonsgegevens zij verwerken, waarom dat nodig is en wie er toegang toe heeft. Beperk die toegang tot medewerkers die de gegevens voor hun werk nodig hebben, gebruik sterke wachtwoorden en waar mogelijk multifactorauthenticatie, installeer beveiligingsupdates en maak regelmatig veilige back-ups. Train medewerkers om phishing en andere risico’s te herkennen, leg afspraken met externe dienstverleners vast en zorg voor een duidelijk plan voor mogelijke datalekken. De maatregelen moeten passen bij de aard en omvang van de gegevens en de risico’s; evalueer ze daarom regelmatig en documenteer gemaakte keuzes.