In 10 stappen voorbereid op de AVG

Zorg ervoor dat de relevante mensen in uw organisatie, zoals een HR manager, op de hoogte zijn van de nieuwe privacyregels. Zij moeten inschatten wat de impact van de AVG is op uw huidige processen, diensten en goederen en welke aanpassingen nodig zijn om aan de AVG te voldoen.

In de AVG zijn de volgende voorwaarden opgenomen waaraan voldaan moet zijn om rechtmatig persoonsgegevens te verwerken: 

• Gerechtvaardigd doel
  U verzamelt gegevens voor een bepaald doel of bepaalde doeleinden. Deze mogen voor dat doel of die doeleinden gebruikt worden. Eenmaal verzamelde gegevens mogen ook worden gebruikt voor andere doelen, tenzij dit in strijd is met het doel waarvoor ze in eerste instantie zijn verzameld. 
• Grondslag verwerking
  Daarnaast dient u te beschikken over een van de in de AVG genoemde grondslagen:
  Toestemming van de betrokkene
  Uitvoering van een overeenkomst
  Wettelijke verplichting
  Vitaal belang
  Algemeen belang
  Gerechtvaardigd belang

Onder de AVG krijgen de mensen van wie u persoonsgegevens verwerkt meer en verbeterde privacyrechten. Dit kunnen bijvoorbeeld klanten zijn, maar ook uw werknemers. Zorg er daarom voor dat zij hun privacyrechten goed kunnen uitoefenen.

Denk daarbij bijvoorbeeld aan het recht op:

• Inzage
• Correctie
• Verwijdering
• Dataportabiliteit
  Betrokkenen moeten hun gegevens makkelijk kunnen krijgen en vervolgens kunnen doorgeven aan een andere organisatie als ze dat willen.
• Informatie
  U moet nieuwe en bestaande klanten duidelijk informeren over wat u met hun persoonsgegevens doet. Dit kan handig via een online privacyverklaring.
• Ook bent u verplicht uw werknemers te informeren over welke gegevens u bewaart of aan derden verstrekt. U kunt uw werknemers een informatiebrief sturen waarin zij worden geïnformeerd over hun privacyrechten. Wanneer u een personeelshandboek heeft, kunt u hier bijvoorbeeld ook een hoofdstuk ‘Privacy’ aan toevoegen waarin deze informatie staat. U vindt een voorbeeld op onze site.

   

Breng uw gegevensverwerkingen in kaart. Documenteer welke persoonsgegevens u verwerkt en met welk doel u dit doet, waar deze gegevens vandaan komen en met wie u ze deelt.

Onder de AVG heeft u een verantwoordingsplicht. U moet kunnen aantonen dat uw organisatie in overeenstemming met de AVG handelt. Dit doet u door in ieder geval deze maatregelen te nemen:

• Het bijhouden van een register van verwerkingsactiviteiten. Om u op weg te helpen heeft Techniek Nederland een voorbeeld op de site staan. Hierin geeft u ook aan wat de bewaartermijn is van de gegevens die u verwerkt. U kunt het register ook nodig hebben als betrokkenen hun privacyrechten uitoefenen. Als zij u vragen hun gegevens te corrigeren of verwijderen, moet u dit doorgeven aan de organisaties waarmee u hun gegevens heeft gedeeld.
• Het bijhouden van een register van datalekken die zijn opgetreden. (zie stap 7)
• Het uitvoeren van een data protection impact assessment (DPIA) voor gegevensverwerkingen met een hoog privacyrisico. (zie stap 8)
• Het aantonen dat een betrokkene daadwerkelijk toestemming heeft gegeven.

Als een organisatie de gegevensverwerking heeft uitbesteed aan een verwerker, dan is een verwerkingsovereenkomst verplicht. Een verwerker is bijvoorbeeld een salarisadministrateur, accountantskantoor, ICT-beheerder of een andere derde die voor bepaalde werkzaamheden wordt ingezet. Beoordeel dan of de overeengekomen maatregelen in bestaande contracten met uw verwerkers nog steeds toereikend zijn en of deze voldoen aan de eisen die de AVG aan verwerkersovereenkomsten stelt. U vindt een model verwerkersovereenkomst op onze site. 

Bij de meeste traditionele relaties tussen opdrachtgever (bv. aannemer) en opdrachtnemer (bv. installateur) is het aangaan van een verwerkersovereenkomst niet nodig, maar volstaat het opnemen van enkele modelbepalingen in de algemene voorwaarden, overeenkomst of inkoopvoorwaarden.

Maak uw organisatie nu al vertrouwd met de onder de AVG verplichte uitgangspunten van privacy by design en privacy by default en ga na hoe u deze binnen uw organisatie kunt invoeren. 

Privacy by design houdt in dat u er al bij het ontwerpen van producten en diensten voor zorgt dat persoonsgegevens goed worden beschermd. Maar bijvoorbeeld ook dat u niet meer gegevens verzamelt dan noodzakelijk voor het doel van de verwerking. Bovendien bewaart u de gegevens niet langer dan nodig.  

Privacy by default houdt in dat u technische en organisatorische maatregelen moet nemen om ervoor te zorgen dat u, als standaard, alléén persoonsgegevens verwerkt die noodzakelijk zijn voor het specifieke doel dat u wilt bereiken. Bijvoorbeeld door:

• Een app die u aanbiedt niet de locatie van gebruikers te laten registeren als dat niet nodig is
• Op uw website het vakje ‘Ja, ik wil aanbiedingen ontvangen’ niet vooraf aan te vinken
• Als iemand zich op uw nieuwsbrief wil abonneren niet meer gegevens te vragen dan nodig is

De meldplicht datalekken blijft onder de AVG grotendeels gelijk. De AVG stelt wel strengere eisen aan uw eigen registratie van datalekken die zich in uw organisatie hebben voorgedaan. Datalekken binnen de organisatie moeten worden vastgelegd in een register. Hierin moet worden vastgelegd:

• Welk soort gegevens het betreft
• Een omschrijving van het datalek
• Wanneer het datalek plaats vond
• Wat er met de persoonsgegevens is gebeurd
• Van wie gegevens gelekt zijn 

Met deze documentatie moet de AP kunnen controleren of u aan de meldplicht heeft voldaan. Lees meer over het meldloket datalekken.

Onder de AVG kunt u verplicht zijn een zogeheten data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen.

Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Dat is in ieder geval zo als u:

• Systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profiling
• Op grote schaal bijzondere persoonsgegevens verwerkt
• Op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht).

Komt uit een DPIA naar voren dat uw beoogde verwerking een hoog risico oplevert? En lukt het u niet om maatregelen te vinden om dit risico te beperken? Dan moet u met de Autoriteit Persoonsgegevens overleggen voordat u met de verwerking start. Zij beoordeelt dan of de voorgenomen verwerking in strijd is met de AVG. Is dit het geval ontvangt u een schriftelijk advies.

In sommige gevallen moet verplicht een functionaris voor gegevensbescherming (FG) worden aangesteld die toezicht houdt op de gegevensverwerkingen. Dit is het geval voor:

• Overheidsinstanties en publieke organisaties
• Organisaties die vanuit hun kernactiviteiten op grote schaal individuen volgen
• Organisaties die bijzondere persoonsgegevens verwerken en dit een kernactiviteit is

Uiteraard mag uw organisatie ook vrijwillig een FG aanstellen. Wanneer onduidelijk is of u verplicht bent om een Functionaris voor gegevensbescherming aan te stellen, moet u goed kunnen onderbouwen waarom u ervoor gekozen hebt om al dan niet een FG aan te stellen.

Het bepalen van de leidend toezichthouder is alleen relevant als u een grensoverschrijdende verwerking van persoonsgegevens uitvoert.

Heeft uw organisatie vestigingen in meerdere EU-lidstaten? Of hebben uw gegevensverwerkingen in meerdere lidstaten impact? Dan hoeft u onder de AVG nog maar met één privacytoezichthouder zaken te doen. Dit wordt de leidende toezichthouder genoemd. Geldt dit voor uw organisatie, bepaal dan onder welke privacytoezichthouder u valt.