AVG

Algemene Verordening Gegevensbescherming

Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing in Nederland. De AVG is internationaal bekend onder de Engelse benaming: General Data Protection Regulation (GDPR). Door inwerkingtreding van de AVG is in de gehele Europese Unie (EU) dezelfde privacywetgeving van kracht.

Voor wie is de AVG bestemd?

De AVG dient ter bescherming van de consument en is van belang voor alle bedrijven en organisaties die persoonsgegevens verwerken van klanten, personeel of andere personen uit de EU. Praktisch alle ondernemers hebben er dus mee te maken.

Wat zijn de speerpunten van de AVG?

Transparante verwerking en transparant gebruik van persoonsgegevens;
Rechtmatige verwerking van persoonsgegevens, met een specifiek en legitiem doel;
Het verkrijgen en opslaan van persoonsgegevens wordt beperkt tot beoogd gebruik;
Persoonsgegevens mogen slechts een beperkte periode worden opgeslagen, zo lang als nodig is voor beoogd gebruik;
Persoonsgegevens dienen te worden beveiligd met gedegen en geschikte beveiligingsmethoden;
Personen krijgen de mogelijkheid om hun persoonsgegevens in te zien, te laten wijzigen, over te laten dragen of te laten verwijderen;
Meer (sanctie)bevoegdheden voor de Autoriteit Persoonsgegevens.

Grondslagen voor verwerking onder de AVG

De AVG kent zes grondslagen op basis waarvan het gelegitimeerd is om persoonsgegevens te verwerken. Deze grondslagen zullen hierna kort worden omschreven:

1. Toestemming

De AVG schrijft niet uitdrukkelijk voor in welke vorm toestemming dient te worden gevraagd van de betrokkene. Rechtsgeldige toestemming dient echter wel (minimaal) te voldoen aan de volgende vereisten; toestemming is ondubbelzinnig en vrijelijk gegeven, de betrokkene is geïnformeerd en de toestemming is gegeven voor een specifieke verwerking en doel.

2. Overeenkomst

Organisaties kunnen zich op deze grondslag beroepen indien er een overeenkomst is met betrokkene en in het kader hiervan noodzakelijk is dat er persoonsgegevens van betrokkene worden verwerkt.

3. Wettelijke verplichting

Indien de verwerking van persoonsgegevens noodzakelijk is om te voldoen aan een wettelijke verplichting kan een beroep worden gedaan op deze grondslag.

4. Vitale belangen

Een vitaal belang is aan de orde indien het gaat om een belagen dat essentieel is voor iemands leven of gezondheid en u de betrokkene niet om toestemming kunt vragen.

5. Algemeen belang

Een beroep op deze grondslag is alleen mogelijk indien u een publieke taak uitoefent voor het algemeen belang of openbaar gezag. Het gaat hierbij om taken die in de wet zijn vastgelegd en die relevant zijn voor uw organisatie.

6. Gerechtvaardigd belang

Organisaties kunnen zich op deze grondslag beroepen als u aan de vereisten voldoet: 1) u heeft een gerechtvaardigd belang, 2) de verwerking is noodzakelijk om dit gerechtvaardigde belang te behartigen 3) u heeft een afweging gemaakt tussen uw belangen en die van de betrokkene(n) van wie u de persoonsgegevens verwerkt.

Datalek

In artikel 4, punt 12 van de AVG wordt het datalek besproken. De term 'datalek' komt echter niet voor. In plaats daarvan wordt gesproken over een 'inbreuk in verband met persoonsgegevens'. Er is sprake van een datalek, of inbreuk in verband met persoonsgegevens, als het gaat om ongeoorloofde of onbedoelde toegang tot of vernietiging, wijziging of vrijkomen van persoonsgegevens bij een organisatie. Niet alleen het vrijkomen (lekken) van gegevens, maar ook de onrechtmatige verwerking en verlies van (toegang tot) persoonsgegevens valt aldus onder een datalek.

Is er bij u een datalek geconstateerd of bent u het slachtoffer van een datalek? Lees dan verder op onze datalekpagina om te zien wat wij voor u kunnen betekenen.

Bewaartermijnen

In de AVG wordt ook gesproken over de 'beoogde termijnen waarbinnen de verschillende categorieën van gegevens moeten worden gewist'. De AVG laat echter in het midden welke termijnen dienen te worden gehanteerd voor de verschillende soorten gegevens, dit wordt aan de verwerker van persoonsgegevens zelf overgelaten. In de meeste gevallen wordt hiervoor aansluiting gezocht in de branche zelf, bijvoorbeeld door middel van het raadplegen van de gedragscode (indien deze beschikbaar is). In ons bericht over bewaartermijnen leest u hier meer over.

Functionaris Gegevensbescherming

Onder de AVG is het voor bepaalde organisaties verplicht om een Functionaris Gegevensbescherming (FG) aan te stellen. Dit is onder andere het geval voor overheidsinstanties en organen, en voor partijen die op grote schaal (bijzondere) persoonsgegevens verwerken. De FG of Data Protection Officer (DPO) onder de GDPR is verantwoordelijk voor het creëren van bewustzijn op het gebied van privacy binnen de organisatie en ziet verder toe op het interne toezicht binnen het bedrijf. Heeft uw organisatie behoefte aan een FG? Lees dan verder op onze FG-pagina.

Boete

In Nederland is de Autoriteit Persoonsgegevens (AP) belast met het toezicht op, en de handhaving van de AVG. Op overtreding van bepalingen uit de AVG staat een boete van maximaal EUR 20.000.000,- of 4% van de jaarlijkse wereldwijde omzet van uw bedrijf.