Geplaatst door: Review Pilot

Algemene Verordening Gegevensbescherming (AGV)

Op 25 mei 2018 gaat de AVG van start. Een nieuwe privacywetgeving voor de hele Europese Unie. Is jou bedrijf klaar voor deze wet? Voorkom boetes en bereid je voor.
De Algemene Verordening Gegevensbescherming (AVG) is de nieuwe privacywetgeving, die op 25 mei 2018 de huidige privacywetgeving vervangt.

Privacyrechten van consumenten worden versterkt en uitgebreid.  De Europese Unie heeft hiermee één privacywet.  Daarmee komt de huidige Wet bescherming persoonsgegevens (Wbp) te vervallen. De AVG staat internationaalbekend als General Data Protection Regulation (GDPR).

Heb ik als bedrijf ook te maken met de AVG?

Ieder bedrijf dat persoonsgegevens van klanten, personeel of andere personen uit de EU vastlegt, heeft te maken met deze Europese privacywetgeving.
Dit kan het versturen van nieuwsbrieven zijn, het vastleggen van persoonsgegevens voor het versturen van een offerte of een online verkoop. Alle persoonlijke gegevens vallen hieronder. Hierbij kun je denken aan naam, adres, emailadres, telefoonnummer, geboortedatum, bedrijfsnaam etc.
Als bedrijf krijg je te maken met verplichtingen.  Zo moet je aan kunnen tonen de juiste maatregelen genomen te hebben om technisch en organisatorisch te voldoen aan de AGV.
Ter voorbereiding op de nieuwe wet zijn 10 stappen opgezet. Deze stappen helpen u als ondernemer om uw bedrijf voor te bereiden voor de AGV.
Deze stappen zijn uitgeschreven door de kamer van koophandel.  De volgende gegevens zijn dan ook met bronvermelding :  KvK.nl

Uw bedrijf op tijd voorbereiden op de AVG
De nieuwe Europese wetgeving gaat in per 25 mei 2018. Begin op tijd met voorbereidingen zodat u en uw bedrijf er op tijd klaar voor zijn.

Stap 1: Bewustwording.
Zorg dat iedereen in uw onderneming bekend is met de nieuwe privacyregels.

Stap 2: Informeren
Privacyverklaring

De privacyverklaring of een verwijzing naar de privacyverklaring moet eenvoudig te vinden zijn, daar waar u om persoonsgegevens vraagt. In de privacyverklaring staan in ieder geval:
•    uw bedrijfsgegevens
•    het doel van de gegevensvastlegging
•    welke gegevens u verzamelt
•    aan wie u de gegevens eventueel doorgeeft
•    hoe lang u de gegevens bewaart
•    uitleg over cookies en de reden van gebruik (bij gebruik van cookies)
•    de door u toegepaste beveiliging van de vastgelegde persoonsgegevens
•    het recht op inzage, correctie, verwijdering en het meenemen van eigen gegevens (dataportabiliteit)
•    het recht op intrekking van verleende toestemming
•    het recht om een klacht in te dienen

Eigen gegevens
Het recht om de eigen gegevens in te zien, te corrigeren en aan te vullen was in de oude privacywetgeving al geregeld. Op verzoek moest u de persoonsgegevens ook al verwijderen. Deze rechten blijven onder de nieuwe wet bestaan. Daar komt het recht op dataportabiliteit bij. U moet ervoor zorgen dat mensen hun gegevens makkelijk kunnen ontvangen en kunnen doorgeven aan een andere organisatie als ze dat willen.

Toestemming
Iedereen krijgt door de AVG meer mogelijkheden om voor zichzelf op te komen. De privacyrechten worden versterkt en uitgebreid. De AVG beschrijft hoe u geldige toestemming van mensen kunt krijgen om de persoonsgegevens te mogen verwerken. Daarvoor is een bewuste handeling van de persoon nodig. U mag bijvoorbeeld het vakje voor toestemming niet alvast aankruisen. De verkregen toestemming moet u kunnen aantonen. Het intrekken van de toestemming moet net zo makkelijk zijn als het geven van toestemming.

Klachten
U moet mensen wijzen op de mogelijkheid om bij de Autoriteit Persoonsgegevens een klacht in te dienen over hoe u met hun persoonsgegevens omgaat.

Stap 3: Verwerkingsregister
De AVG verplicht organisaties om de verwerking van persoonsgegevens bij te houden in een register. Deze verplichting geldt voor vrijwel alle organisaties.
Verplicht gebruik register
U bent verplicht om met een register te werken waarin u de verwerking van persoonsgegevens bijhoudt, als uw organisatie:

•    persoonsgegevens verwerkt waarvan de verwerking niet incidenteel is (het komt dus vaker voor), of
•    risicovolle persoonsgegevens verwerkt, zoals gegevens over gezondheid, godsdienst of politieke opvattingen, of
•    meer dan 250 medewerkers heeft.

In de praktijk zullen (vrijwel) alle organisaties verplicht zijn de verwerking van persoonsgegevens in een register bij te houden. Dit omdat binnen een organisatie klanten-, leveranciers- of personeelsbeheer altijd vaker voorkomt.

Inhoud register
In het verwerkingsregister neemt u op welke persoonsgegevens u gebruikt, voor welk doel , waar u ze opslaat en met wie u ze eventueel deelt. Het register kunt u schriftelijk of elektronisch bijhouden.
Als betrokken personen u vragen hun gegevens te corrigeren of te verwijderen kunt u dit register hiervoor nodig hebben. U moet deze verzoeken ook doorgeven aan de organisaties waarmee u de persoonsgegevens hebt gedeeld.

Stap 4: Beoordeling impact met DPIA
Bij het verwerken van gegevens met een hoog privacyrisico is een ‘data protection impact analyse’ (DPIA) verplicht. Met deze gegevensbeschermingseffectbeoordeling brengt u de privacyrisico’s van de verwerking van gegevens in kaart. Blijkt uit de DPIA dat de privacyrisico’s hoog zijn, dan kunt u maatregelen nemen om de risico’s te verkleinen.
Verplicht uitvoeren DPIA

Een DPIA moet u in ieder geval uitvoeren als u:

•    bijzondere persoonsgegevens als ras, godsdienst, gezondheid, politieke opvattingen, genetische – of biometrische gegevens op grote schaal verwerkt, of
•    op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied, bijvoorbeeld met cameratoezicht, of
•    gegevens zo combineert, dat iemand in een bepaalde categorie of groep is in te delen en daardoor zo kan worden benaderd of beoordeeld (profilering)

DPIA, 9 criteria voor toetsing
Er zijn 9 criteria om te toetsen of u een DPIA moet uitvoeren.
De Autoriteit Persoonsgegevens (AP) publiceert op termijn een lijst van gegevensverwerkingen waarvoor een DPIA verplicht is.

Stap 5: Inrichten systemen
Bij het inrichten van uw systemen kunt u technisch al een zorgvuldige omgang met persoonsgegevens afdwingen.

Privacy by design
Vraag geen gegevens op die u niet nodig heeft. Voor de verzending van een e-mailnieuwsbrief heeft u bijvoorbeeld geen woonadres nodig. In de AVG wordt dat privacy by design genoemd.

Privacy by default
Bij het vragen om persoonsgegevens moet de standaardinstelling van uw systemen zo privacyvriendelijk mogelijk zijn. De persoon kan zelf gegevens achterlaten of een actieve handeling verrichten om toestemming te geven (opt-in).
U mag bijvoorbeeld geen (web)formulier gebruiken waarop al een vakje is aangevinkt. Ook mag u niet automatisch informatie naar iemand toezenden, zonder dat diegene daar vooraf toestemming voor heeft gegeven. De standaardinstellingen moeten de privacy van iemand respecteren (privacy by default) totdat de persoon zelf toestemming geeft.

Stap 6: Toezicht
Functionaris gegevensbescherming
In bepaalde gevallen is het verplicht om voor uw organisatie een functionaris gegevensbescherming (FG) aan te stellen, ook wel data protection officer (DPO), genoemd. De funtionaris gegevenbescherming is een onafhankelijk persoon die binnen uw organisatie adviseert en rapporteert over naleving van de AVG.
Aanstelling van een functionaris gegevensbescherming is verplicht wanneer:

•    het de kernactiviteit van uw bedrijf is om op grote schaal gevoelige persoonsgegevens (zoals gezondheidsgegevens) te verwerken;
•    uw organisatie structureel mensen observeert (fysiek of digitaal, bijvoorbeeld via cameraobservatie).

Voor overheidsorganisaties geldt dat de functionaris gegevensbescherming (FG) vrijwel altijd verplicht is.
Intern of extern

De positie functionaris gegevensbescherming kan vanuit uw organisatie worden ingevuld, maar de functie kan ook door een externe partij worden vervuld.
Aandacht voor naleving van de AVG is ook van belang voor organisaties die niet verplicht zijn een functionaris gegevensbescherming aan te stellen.

Stap 7: Datalekken documenteren en melden
Een datalek

Een datalek heeft u als databestanden worden gehackt of als u onbedoeld toegang geeft tot bestanden. Ook een gestolen laptop of zoekgeraakte usb-stick is een datalek.
De AVG verplicht u om binnen uw organisatie alle datalekken vast te leggen en te documenteren.



Datalek melden
Een datalek moet zo snel mogelijk na ontdekking, zo mogelijk binnen 72 uur, worden gemeld bij de Autoriteit Persoonsgegevens. Deze meldingsplicht geldt niet als er geen risico’s voor (natuurlijke) personen uit voortkomen. Wel moet u ook dan het datalek intern vastleggen en documenteren. U beschrijft het datalek, de gevolgen van het datalek en de genomen maatregelen.
Datalek bij verwerken data voor anderen
Verwerkt u privacygevoelige data voor anderen? Dan bent u verplicht het datalek te melden aan uw opdrachtgever. Uw opdrachtgever meldt het zo nodig aan de AP.

Stap 8: Een verwerkersovereenkomst afsluiten
Als een ander bedrijf de persoonsgegevens voor u verwerkt en opslaat, dan moet u met dat bedrijf een verwerkersovereenkomst afsluiten. Zelfs zonder het wijzigen van gegevens kan er al sprake zijn van verwerken. Bijvoorbeeld als een externe helpdesk voor uw bedrijf gegevens inziet.
Wat staat er in een verwerkersovereenkomst?
In een verwerkersovereenkomst spreekt u af:

•    wat het doel en de aard van de verwerking is en welke soort persoonsgegevens worden verwerkt.
Verder spreekt u hierin af dat:
•    verwerking uitsluitend plaatsvindt op basis van uw schriftelijke instructies. Er mogen dus geen persoonsgegevens voor andere doeleinden worden gebruikt;
•    personen in dienst van of werkzaam voor de verwerker, een geheimhoudingsplicht hebben;
•    de verwerker passende technische en organisatorische maatregelen treft om de verwerking van persoonsgegevens te beveiligen;
•    de verwerker zonder uw schriftelijke toestemming de verwerking niet door een ander mag laten uitvoeren;
•    de verwerker u helpt om te voldoen aan verzoeken van betrokkenen, als het gaat om hun privacyrechten. Zoals het recht op inzage, correctie, vergetelheid en dataportabiliteit;
•    de verwerker u helpt om andere verplichtingen na te komen, zoals het melden van datalekken;
•    de verwerker na afloop van de verwerkingsdiensten de gegevens verwijdert of naar u terugstuurt. Ook verwijdert hij kopieën, tenzij de verwerker wettelijk verplicht is de gegevens te bewaren;
•    de verwerker meewerkt aan audits van u of een derde partij. Hiervoor stelt de verwerker alle relevante informatie beschikbaar zodat gecontroleerd kan worden of hij zich als verwerker houdt aan de hierboven genoemde verplichtingen.

Stap 9: Bepaal de leidende toezichthouder
Heeft uw organisatie vestigingen in meerdere landen of verwerkt u gegevens in verschillende landen? Dan is er sprake van grensoverschrijdende samenwerking. De toezichthouder van het land van de hoofdvestiging is in zo’n situatie de leidende toezichthouder. Bij een Nederlandse hoofdvestiging is de Autoriteit Persoonsgegevens de leidende toezichthouder.

Stap 10: Toestemming vragen of een andere grondslag?
Persoonsgegevens mag u alleen verwerken als de AVG daar een grondslag voor geeft. Er zijn 6 grondslagen:
1. Verleende toestemming voor de verwerking van persoonsgegevens.
Onder de AVG is alleen sprake van toestemming als de betrokken persoon:

•    in alle vrijheid
•    ondubbelzinnig
•    door een verklaring of een actieve handeling
•    voor specifieke verwerking van persoonsgegevens
toestemming heeft gegeven.

Stilzwijgende toestemming is niet voldoende. U moet kunnen aantonen dat u geldige toestemming van mensen heeft gekregen voor het verwerken van hun persoonsgegevens.
Het intrekken van de toestemming moet net zo eenvoudig zijn als het geven ervan. U moet de toestemminggever ook op dit recht wijzen. Na intrekking van de toestemming moet u de verwerking van de betreffende gegevens stoppen. U kunt dan geen andere grondslag gebruiken om de gegevens toch te verwerken.

Andere grondslagen
Deze volgende 5 grondslagen zijn noodzakelijkheidsgrondslagen. De verwerking van persoonsgegevens mag alleen als het nodig is voor 1 van de genoemde doelen.
2. Uitvoering van een overeenkomst
Persoonsgegevens mag u verwerken voor de uitvoering van een overeenkomst. Bijvoorbeeld het vastleggen van naam en adresgegevens om een besteld product bij uw klant thuis te kunnen afleveren. Deze gegevens mogen alleen voor dat doel worden gebruikt. U mag deze gegevens later niet gebruiken om uw klant een nieuwsbrief te sturen. Daarvoor heeft u weer toestemming nodig.
3. Wettelijke verplichting
Soms moet u persoonsgegevens vastleggen om te voldoen aan een wettelijke verplichting. Een werkgever moet de persoonsgegevens van werknemers vastleggen en doorgeven aan bijvoorbeeld de Belastingdienst. Zonder toestemming van de werknemer mogen de gegevens niet worden doorgegeven aan een organisatie waarvoor geen wettelijke verplichting geldt. Daarvoor is weer toestemming nodig.
4. Vitaal belang
In noodsituaties, als het gaat om gezondheid of gevaar voor leven kan verwerking van persoonsgegevens door hulpverleners gerechtvaardigd zijn. Deze grondslag kan alleen gebruikt worden als het echt niet mogelijk is om toestemming te krijgen.
5. Algemeen belang
U mag onder deze grondslag persoonsgegevens verwerken als het gaat om een andere wettelijke bepaling waarin ook het doel van de verwerking is omschreven.
6. Gerechtvaardigd belang
Persoonsgegevens mogen worden verwerkt voor het behartigen van een gerechtvaardigd belang. Het ‘gerechtvaardigd belang’ gaat niet op als de rechten van de betrokken personen zwaarder wegen. Het kan gaan om een gerechtvaardigd belang als er sprake is van een relevante en passende relatie tussen een organisatie en haar klanten. Bij een gerechtvaardigd belang kan het bijvoorbeeld gaan om het verwerken van inlognamen en wachtwoorden voor de beveiliging van het netwerk. De organisatie moet open zijn over het gerechtvaardigde belang. Betrokken personen kunnen bezwaar maken tegen het verwerken van persoonsgegevens op grond van het gerechtvaardigd belang.

Bron; Kvk.nl