Hoe AVG-gereed ben jij?

Het is belangrijk dat jouw medewerkers zich bewust zijn van het belang van privacy binnen de organisatie. Alle medewerkers dienen bewust om te gaan met persoonsgegevens die worden verwerkt. Door jouw medewerkers te betrekken bij de voorbereiding op de AVG, kun je bewustwording over informatiebeveiliging creëren. Je kunt jouw medewerkers voorbereiden door ze workshops, cursussen en trainingen op het gebied van privacy, AVG, datalekken en/of beveiliging te laten volgen.

Denk aan een intern privacyreglement over hoe jij en je medewerkers omgaan met persoonsgegevens binnen je organisatie.

Ondernemingen die persoonsgegevens op een niet-incidentele basis verwerken moeten een verwerkingsregister bijhouden. Hierbij houd je een overzicht bij van alle verwerkingen die plaatsvinden binnen je organisatie. Er zijn wettelijke verplichtingen wat er allemaal in een dergelijk register moet staan. Je hebt misschien al wel gehoord over de MKB-exceptie. De MKB-exceptie (<250 werknemers) met betrekking tot niet-incidentele verwerkingen wordt echter zeer streng gelezen; daarom is deze exceptie bijna nooit op jouw onderneming van toepassing. In de meeste gevallen moet je dus ook als MKB'er een verwerkingsregister bijhouden.

Je bent wettelijk verplicht je klanten en (website)bezoekers te informeren over wat je met hun persoonsgegevens doet en met welk doel. Dit kun je aangeven met behulp van een privacyverklaring (ook wel: privacy statement).

Indien je op grond van uitdrukkelijke toestemming persoonsgegevens verwerkt, dien je de verkregen toestemming aan te kunnen tonen. Je moet dus een overzicht bijhouden van de verkregen toestemming.

De AVG heeft betrokkenen rechten toegekend waar ook jouw organisatie aan moet kunnen voldoen. Als organisatie moet je dan ook effectief en tijdig kunnen reageren op een dergelijk verzoek. Je moet verzoeken in principe binnen één maand afhandelen.

Sinds 2016 bestaat de meldplicht datalekken in Wbp. Deze meldplicht geldt ook onder de AVG. Je moet binnen jouw organisatie dan ook een procedure inrichten hoe en wanneer datalekken worden gerapporteerd. In sommige gevallen moet je een datalek melden bij de Autoriteit Persoonsgegevens. Bij een ernstige datalek dient soms ook een mededeling te worden gedaan aan de betrokkene.

Ondanks dat je onder de AVG niet langer elke datalek hoeft te rapporteren bij de Autoriteit Persoonsgegevens, moet je wél elke datalek te registreren.

De AVG geeft aan dat wanneer je zelf (of gezamenlijk) het doel en de middelen van de verwerking bepaalt, je zelf (of gezamenlijk) de verwerkingsverantwoordelijke bent. Wanneer je bijvoorbeeld je loonadministratie uitbesteedt aan een accountantskantoor, blijf je zelf verantwoordelijk voor de persoonsgegevens die dit kantoor ten behoeve van jou verwerkt. Je bent verwerker wanneer je zelf niet het doel en de middelen van de verwerking bepaalt. Dit is overigens soms een lastig onderscheid. De AVG eist dat je voor de verhouding tussen verwerkingsverantwoordelijke en verwerker een verwerkingsovereenkomst opstelt. Dit moet met elk van je verwerkers of verwerkingsverantwoordelijken.

Bij een Privacy Impact Assessment onderzoek je voorafgaand aan de verwerking welke mogelijke risico's de verwerking heeft voor de rechten en vrijheden voor betrokkenen. Vervolgens tref je in de PIA maatregelen waardoor je deze risico's verkleint. Voor sommige organisaties is het uitvoeren van PIA's verplicht. Je moet echter ook voor bepaalde verwerkingsactiviteiten een PIA uitvoeren.

Wanneer je gegevens verwerkt, doe je dat voor een bepaald doel. Je moet er echter zorg voor dragen dat je niet méér gegevens verzameld dan nodig is voor het beoogde doel. Wanneer je bijvoorbeeld voor het versturen van een nieuwsbrief naast e-mailadressen ook andere persoonsgegevens verzamelt (zoals leeftijden), dan verzamel je meer dan is toegestaan. Het minimum van persoonsgegevens dat nodig is voor verwezenlijking van het beoogde doel van de verwerking, is ook meteen het maximum.

De AVG eist dat je bij de verwerking van persoonsgegevens passende organisatorische en technische maatregelen treft, ter voorkoming van verlies en onrechtmatige verwerking van persoonsgegevens. Een voorbeeld van het nemen van maatregelen kan zijn dat je moet voldoen aan bepaalde beveiligingscertificaten zoals bijvoorbeeld ISO 20071. De AVG stelt geen nadere eisen aan beveiligingsnormen en standaarden. Een voorwaarde is dat deze wel passend dienen te zijn. Wat passend is, dient per verwerkingscategorie te worden vastgesteld.

Een Functionaris gegevensbescherming (Fg) houdt toezicht op de naleving van de AVG binnen jouw organisatie. In sommige gevallen is een organisatie verplicht een FG aan te stellen. Organisaties mogen altijd vrijwillig een Fg benoemen. Dit kan iemand binnen de organisatie zijn, maar ook een externe Fg.