De invoering van de nieuwe Algemene Verordening Gegevensbescherming (AVG) brengt voor bedrijven en organisaties behoorlijke wijzigingen met zich mee. Voor bedrijven die op 25 mei nog niet voldoen aan de nieuwe wetgeving, kan dit flinke nadelige gevolgen hebben. Bedrijven en overheden werken vaak met grote hoeveelheden data die te herleiden zijn tot personen, zoals medische gegevens, financiële gegevens en gegevens over zoekgedrag op internet. Tegelijkertijd vinden we met elkaar dat iedereen in vrijheid moet kunnen leven. De AVG geeft burgers daarom meer rechten en organisaties meer plichten om zorgvuldig met persoonsgegevens om te gaan.
Wat houdt de AVG in?
De AVG vervangt de huidige Wet bescherming persoonsgegevens (Wbp) en geldt voor alle bedrijven en organisaties. Onder de AVG moet expliciete toestemming zijn gegeven voor het verzamelen van persoonsgegevens. Dit zijn niet alleen NAW-gegevens, telefoonnummers, e-mailadressen, geboortedatum, maar ook GPS locatiegegevens en device-ID van een telefoon.
De belangrijkste vernieuwingen rondom de AVG zijn in vijf pijlers op te delen:
* Transparantie
Bedrijven moeten betrokkenen informeren over hoe de persoonsgegevens worden verzameld en verwerkt. Daarnaast moet dit op een begrijpelijke manier worden gecommuniceerd.
* Verantwoording
Bedrijven en organisaties zijn zelf verantwoordelijk om aan te kunnen tonen dat zij zich aan de wet houden. Bovendien hebben ze een documentatieplicht, een bewijsplicht en de verantwoordelijkheid om privacyrisico’s terug te dringen met betrekking tot persoonsgegevens.
* Consumentenrechten
Bedrijven moeten persoonsgegevens wissen als de persoon hierom vraagt. Dit dient per direct te gebeuren, doch uiterlijk binnen een maand. Dit geldt tevens voor data die inmiddels is gedeeld met derde partijen.
* Meldplicht rond datalekken
Bedrijven zijn verplicht om binnen 72 uur een datalek te melden, tenzij kan worden aangetoond dat het lek geen gevaar is voor de personen waarover de gegevens zijn verzameld.
* Privacy by design en privacy by default
Privacy by design betekent dat bij de ontwikkeling van nieuwe producten of diensten zorgvuldig met persoonsgegevens om wordt gegaan. Privacy by default betekent dat maatregelen worden genomen om standaard alleen de noodzakelijke gegevens te verzamelen voor het doel waarvoor ze worden verzameld.
Voldoet uw bedrijf aan de AVG?
De AVG is door de EU samengevat in een flink aantal regels. Maar niet iedereen is juridisch geschoold. Daardoor is het soms lastig om alle regels te begrijpen. Er wordt daarom een beroep gedaan op het gezonde verstand van de verantwoordelijke personen binnen bedrijven. Eén van de zaken die vrijwel altijd noodzakelijk is, is bijvoorbeeld om een verwerkingsregister op te stellen waarin iedere verwerking van persoonsgegevens moet zijn gedocumenteerd. Als u op één van onderstaande vragen “nee”of “weet niet” moet antwoorden, voldoet u hoogst waarschijnlijk niet aan de AVG:
- Heeft u een privacymelding op uw website staan die op elke pagina eenvoudig toegankelijk is?
- Klopt deze privacymelding met de werkelijkheid en is deze juridisch en operationeel getoetst?
- Heeft u een cookiemelding op uw website die voldoet aan de AVG?
- Heeft u in duidelijke taal beschreven welke cookies u verzamelt?
- Kunnen uw websitebezoekers kiezen welke cookies zij wel en niet toestaan?
- Heeft u een (als u een groot bedrijf bent of met veel persoonlijke data) functionaris gegevensbescherming?
- Als u nieuwsbrieven verstuurt, heeft u daarvoor toestemming en kunt u dat achteraf bewijzen?
- Is er een privacy beleid binnen uw organisatie opgesteld en wordt dat actief onderhouden?
- Zijn uw medewerkers voorgelicht over de inhoud van de AVG en weten zij wat zij voortaan wel en niet meer mogen doen?
- Heeft u in kaart gebracht welke leveranciers mogelijk in aanraking komen met persoonsgegevens die door u worden verwerkt en heeft u daarmee gegevensbewerkingsovereenkomsten en afspraken gemaakt?
- Heeft u een procedure opgesteld indien er een datalek plaatsvindt?
- Maakt u gebruik van Google Analytics en heeft u
- Kunnen personen verzoeken om hun gegevens door uw bedrijf te laten verwijderen en kunt u daaraan voldoen?
- Heeft u een verwerkingsregister waarin staat waar en door wie welke persoonsgegevens worden bijgehouden?
- Voldoen uw voorwaarden aan de AVG?
- Heeft u procedures gezekerd waarmee u kunt garanderen dat persoonsgegevens die u verwerkt ook na de toegezegde tijd weer worden verwijderd?
- Vraagt u bij alle activiteiten altijd alleen maar die gegevens die echt noodzakelijk zijn?
- Heeft u persoonsgegevens wel voldoende afgeschermd voor andere medewerkers die geen directe betrokkenheid hebben met de betrokkene?
Wat zijn de gevolgen van de AVG voor uw bedrijf
Toezichthouders kunnen bovendien hoge boetes opleggen bij overtredingen van de AVG, zowel aan de verwerkingsverantwoordelijke als de verwerker. Voor grote bedrijven kunnen deze zelfs oplopen tot maximaal 20.000.000 euro, of 4% van de wereldwijde omzet. Wilt u de gevolgen van de invoering van de AVG voor uw bedrijf in kaart brengen? Neem dan contact op met Rechtnet Advocaten via info@rechtnet.nl of bel naar 073-6154311.