AVG en GDPR: wat is het verschil?

De AVG en de GDPR zijn twee namen voor dezelfde privacywetgeving. AVG staat voor Algemene verordening gegevensbescherming; GDPR is de Engelse afkorting van General Data Protection Regulation. De verordening geldt in de hele Europese Unie sinds 25 mei 2018 en bevat regels voor het verzamelen en gebruiken van persoonsgegevens.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn gegevens die direct of indirect naar een persoon kunnen verwijzen. Denk aan een naam, e-mailadres, telefoonnummer, locatiegegevens of IP-adres. Ook bijzondere persoonsgegevens, zoals informatie over iemands gezondheid, religie of afkomst, vallen onder de AVG. Voor het verwerken van deze gegevens gelden strengere regels.

Voor wie geldt de AVG?

De AVG geldt voor organisaties die persoonsgegevens verwerken van mensen in de EU. Dat omvat bedrijven, overheidsinstellingen, verenigingen en andere organisaties. Ook organisaties buiten de EU kunnen onder de AVG vallen, bijvoorbeeld wanneer zij goederen of diensten aanbieden aan mensen in de EU of hun gedrag online volgen.

Belangrijke uitgangspunten

Organisaties moeten zorgvuldig en transparant met persoonsgegevens omgaan. De belangrijkste uitgangspunten zijn:

• Een geldige reden: er moet een wettelijke grondslag zijn voor de verwerking, zoals toestemming, de uitvoering van een overeenkomst of een wettelijke verplichting.
• Duidelijkheid: mensen moeten begrijpelijke informatie krijgen over welke gegevens worden verzameld en waarom.
• Dataminimalisatie: organisaties verzamelen niet meer gegevens dan nodig is voor het opgegeven doel.
• Beperkte bewaartermijn: gegevens worden niet langer bewaard dan noodzakelijk.
• Beveiliging: passende technische en organisatorische maatregelen beschermen gegevens tegen verlies, misbruik en onbevoegde toegang.
• Verantwoording: organisaties moeten kunnen aantonen dat zij de regels naleven.

Rechten van betrokkenen

De AVG geeft mensen meer controle over hun persoonsgegevens. Afhankelijk van de situatie kunnen zij onder meer vragen om:

• inzage in hun gegevens;
• correctie van onjuiste of onvolledige gegevens;
• verwijdering van gegevens;
• beperking van de verwerking;
• overdracht van gegevens aan een andere organisatie;
• bezwaar tegen bepaalde vormen van verwerking.

Deze rechten zijn niet altijd absoluut. Een organisatie mag een verzoek soms geheel of gedeeltelijk afwijzen wanneer daarvoor een wettelijke reden bestaat, maar moet dat doorgaans uitleggen.

Wat moeten organisaties doen?

Organisaties moeten hun gegevensverwerkingen in kaart brengen, een passende grondslag bepalen en mensen helder informeren. Ook moeten zij gegevens goed beveiligen en procedures hebben voor het behandelen van privacyverzoeken. In bepaalde gevallen zijn een functionaris voor gegevensbescherming, een gegevensbeschermingseffectbeoordeling of melding van een datalek verplicht.

Bij een datalek waarbij persoonsgegevens verloren gaan of toegankelijk worden voor onbevoegden, moet de organisatie beoordelen of melding nodig is. Als er waarschijnlijk een risico bestaat voor de rechten en vrijheden van betrokkenen, moet het datalek in principe binnen 72 uur na ontdekking worden gemeld bij de toezichthouder. Bij een hoog risico moeten ook de betrokken personen worden geïnformeerd.

Toezicht en gevolgen van overtredingen

In Nederland houdt de Autoriteit Persoonsgegevens toezicht op de naleving van de AVG. Toezichthouders kunnen onderzoek doen en maatregelen opleggen. Voor ernstige overtredingen kan de boete oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een onderneming, waarbij het hoogste bedrag geldt. De daadwerkelijke sanctie hangt af van de omstandigheden en de ernst van de overtreding.

De AVG en Nederlandse regels

De AVG is een Europese verordening en geldt rechtstreeks in alle EU-lidstaten. Nederlandse aanvullende regels staan onder meer in de Uitvoeringswet AVG (UAVG). De AVG en GDPR zijn dus geen verschillende wetten: GDPR is de Engelse naam voor de AVG.

Dit artikel biedt algemene informatie en is geen juridisch advies. De juiste toepassing van de AVG hangt af van de specifieke gegevensverwerking en omstandigheden.

 

Voordelen van de AVG: Bescherming en Controle over Persoonsgegevens

1. Beschermt persoonsgegevens.
2. Geeft mensen meer controle over hun gegevens.
3. Verhoogt transparantie over gegevensgebruik.
4. Verplicht organisaties gegevens goed te beveiligen.
5. Beperkt onnodige gegevensverzameling.
6. Geeft recht op inzage en correctie.
7. Maakt privacyregels in de EU uniformer.
8. Vergroot vertrouwen in digitale diensten.

 

Nadelen van de AVG: Zeven Uitdagingen voor Organisaties

1. Meer administratieve verplichtingen voor organisaties.
2. Naleving kan extra kosten met zich meebrengen.
3. Regels kunnen lastig te interpreteren zijn.
4. Toestemmingsverzoeken kunnen gebruikers vermoeien.
5. Dataverwerking kan trager worden door controles.
6. Kleine organisaties kunnen moeite hebben met naleving.
7. Overtredingen kunnen leiden tot hoge boetes.

Beschermt persoonsgegevens.

Een belangrijk voordeel van de AVG (GDPR) is dat deze persoonsgegevens beschermt. De wet verplicht organisaties zorgvuldig om te gaan met informatie zoals namen, e-mailadressen en locatiegegevens. Ze moeten duidelijk uitleggen waarom gegevens worden verzameld, deze goed beveiligen en niet langer bewaren dan nodig. Zo krijgen mensen meer controle over hun persoonlijke informatie en wordt de kans op misbruik kleiner.

Geeft mensen meer controle over hun gegevens.

Een belangrijk voordeel van de AVG (GDPR) is dat mensen meer controle krijgen over hun persoonsgegevens. Zo kunnen zij opvragen welke gegevens een organisatie over hen bewaart, onjuiste informatie laten corrigeren en in bepaalde situaties verzoeken om hun gegevens te laten verwijderen. Ook kunnen zij bezwaar maken tegen sommige vormen van gegevensverwerking. Hierdoor weten mensen beter wat er met hun gegevens gebeurt en kunnen zij bewuster bepalen hoe die worden gebruikt.

Verhoogt transparantie over gegevensgebruik.

Een belangrijk voordeel van de AVG (GDPR) is dat organisaties transparanter moeten zijn over het gebruik van persoonsgegevens. Zij moeten duidelijk uitleggen welke gegevens ze verzamelen, waarom ze die nodig hebben en hoe lang ze deze bewaren. Zo weten mensen beter wat er met hun gegevens gebeurt en kunnen ze bewustere keuzes maken over hun privacy.

Verplicht organisaties gegevens goed te beveiligen.

Een belangrijk voordeel van de AVG (GDPR) is dat organisaties verplicht zijn persoonsgegevens goed te beveiligen. Ze moeten passende technische en organisatorische maatregelen nemen om gegevens te beschermen tegen verlies, misbruik en onbevoegde toegang. Dat verkleint de kans op datalekken en helpt het vertrouwen van klanten en medewerkers te beschermen.

Beperkt onnodige gegevensverzameling.

Een belangrijk voordeel van de AVG (GDPR) is dat organisaties niet meer persoonsgegevens mogen verzamelen dan nodig is voor een duidelijk omschreven doel. Dit principe, dataminimalisatie genoemd, verkleint de hoeveelheid gevoelige informatie die wordt opgeslagen en kan zo de kans op misbruik of schade bij een datalek beperken. Bovendien weten mensen beter welke gegevens een organisatie nodig heeft en waarom.

Geeft recht op inzage en correctie.

Een belangrijk voordeel van de AVG (GDPR) is dat u het recht hebt om uw persoonsgegevens in te zien en onjuistheden te laten corrigeren. Zo kunt u bij een organisatie opvragen welke gegevens zij over u verwerkt en, als informatie niet klopt of onvolledig is, verzoeken om deze aan te passen. Dit geeft u meer controle over uw persoonlijke gegevens en helpt voorkomen dat onjuiste informatie wordt gebruikt.

Maakt privacyregels in de EU uniformer.

Een belangrijk voordeel van de AVG (GDPR) is dat privacyregels in de Europese Unie uniformer zijn geworden. Organisaties hoeven daardoor minder rekening te houden met uiteenlopende nationale regels en kunnen in grote lijnen dezelfde privacyprincipes toepassen in alle EU-lidstaten. Voor mensen biedt dit meer duidelijkheid en een vergelijkbaar niveau van bescherming, ook wanneer hun persoonsgegevens over landsgrenzen heen worden verwerkt.

Vergroot vertrouwen in digitale diensten.

De AVG (GDPR) vergroot het vertrouwen in digitale diensten doordat organisaties duidelijk moeten zijn over hoe zij persoonsgegevens verzamelen en gebruiken. Gebruikers krijgen meer controle over hun gegevens en kunnen erop rekenen dat organisaties deze zorgvuldig beveiligen. Die transparantie en bescherming maken het makkelijker om met vertrouwen online aankopen te doen, apps te gebruiken en informatie te delen.

Meer administratieve verplichtingen voor organisaties.

Een nadeel van de AVG (GDPR) is dat organisaties te maken krijgen met meer administratieve verplichtingen. Ze moeten bijvoorbeeld bijhouden welke persoonsgegevens ze verwerken, op welke grondslag dat gebeurt en hoe lang gegevens worden bewaard. Ook moeten ze privacyverklaringen opstellen, verzoeken van betrokkenen afhandelen en datalekken registreren en soms melden. Dit kost tijd en middelen, vooral voor kleinere organisaties met beperkte capaciteit.

Naleving kan extra kosten met zich meebrengen.

Een mogelijk nadeel van de AVG (GDPR) is dat naleving extra kosten met zich mee kan brengen. Organisaties moeten bijvoorbeeld investeren in veilige systemen, privacybeleid, opleidingen en juridisch advies. Ook kan het tijd en geld kosten om gegevensverwerkingen in kaart te brengen en verzoeken van betrokkenen af te handelen. Vooral voor kleine bedrijven en verenigingen kunnen deze verplichtingen een flinke belasting vormen.

Regels kunnen lastig te interpreteren zijn.

Een nadeel van de AVG, ook bekend als de GDPR, is dat de regels soms lastig te interpreteren zijn. Begrippen zoals ‘gerechtvaardigd belang’ en ‘passende beveiligingsmaatregelen’ vragen om een zorgvuldige beoordeling en kunnen per situatie verschillen. Daardoor is het voor organisaties niet altijd duidelijk welke stappen nodig zijn om aan de wet te voldoen. Vooral kleinere organisaties kunnen moeite hebben om de regels goed toe te passen en kunnen juridisch advies nodig hebben.

Toestemmingsverzoeken kunnen gebruikers vermoeien.

Een nadeel van de AVG (GDPR) is dat gebruikers regelmatig om toestemming worden gevraagd, bijvoorbeeld voor cookies of het gebruik van persoonsgegevens. Wanneer zulke verzoeken vaak verschijnen of onduidelijk zijn, kunnen ze leiden tot toestemmingsmoeheid: mensen klikken snel op ‘accepteren’ zonder de informatie goed te lezen. Daardoor wordt het lastiger om werkelijk geïnformeerde keuzes te maken en kan het vertrouwen in privacyverzoeken afnemen.

Dataverwerking kan trager worden door controles.

Een mogelijk nadeel van de AVG (GDPR) is dat gegevensverwerking trager kan worden door extra controles. Organisaties moeten bijvoorbeeld nagaan welke persoonsgegevens zij mogen verzamelen, wie er toegang toe heeft en hoe lang de gegevens worden bewaard. Die zorgvuldigheid helpt de privacy te beschermen, maar kan administratieve stappen toevoegen en processen vertragen, vooral wanneer meerdere afdelingen of externe partijen betrokken zijn.

Kleine organisaties kunnen moeite hebben met naleving.

Voor kleine organisaties kan naleving van de AVG (GDPR) een flinke uitdaging zijn. Het opstellen van privacyverklaringen, het bijhouden van gegevensverwerkingen en het beveiligen van persoonsgegevens kost tijd, kennis en geld. Omdat kleinere bedrijven vaak geen gespecialiseerde privacyfunctionaris of juridische afdeling hebben, kan het lastig zijn om alle verplichtingen goed te begrijpen en toe te passen. Daardoor kan de regelgeving een relatief zware administratieve last vormen, vooral wanneer de beschikbare middelen beperkt zijn.

Overtredingen kunnen leiden tot hoge boetes.

Een belangrijk nadeel van de AVG/GDPR is dat overtredingen kunnen leiden tot hoge boetes. De hoogte daarvan hangt af van de aard en ernst van de overtreding en kan oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, waarbij het hoogste bedrag geldt. Voor bedrijven kan zo’n boete een flinke financiële impact hebben, naast mogelijke reputatieschade en verlies van vertrouwen bij klanten.