Sinds de invoering van de wet AVG in 2018, is deze privacywet steeds belangrijker geworden binnen organisaties. Waar organisaties eerst alleen de implementatie regelden, blijkt steeds vaker dat de druk van de maatschappij om de privacy zaken op orde te hebben toeneemt. Datalekken komen steeds meer in het nieuws, denk bijvoorbeeld aan de datalek bij de GGD’s in januari 2021 of de hack met ransomware bij de Universiteit van Maastricht in 2019. Naast deze onderwijs- en zorginstelling(en), zijn ook vaak MKB-bedrijven betrokken bij lekken. Het is niet zo zeer de vraag of bedrijven in het nieuws komen hiermee, maar meer wanneer. Toch hoeft het niet heel ingewikkeld te zijn en daarom leggen wij in deze blog de AVG uit in een notendop.

Wat is AVG?

De AVG staat voor Algemene Verordening Gegevensbescherming, maar internationaal wordt het ook wel de General Data Protection Regulation (GDPR) genoemd. De wet borduurt voort op de bestaande wet van bescherming van persoonsgegevens, maar probeert meer rechten te beschermen in het huidige tijdbeeld van onze informatiemaatschappij. De informatiemaatschappij waar data steeds waardevoller is geworden en de kennis van de consument wordt gebruikt en verkocht. De AVG wil voorkomen dat dit gebeurt zonder dat je dat als consument wil.

De wet verplicht nu bedrijven om aan te tonen dat ze zorgvuldig met gegevens omgaan en delen aan wie ze de gegevens doorgeven. Om daaraan te voldoen zijn er ook regels opgesteld over hoe en wat je dient aan te tonen. Als je ook nog gevoelige of bijzondere gegevens verwerkt, zul je zelfs een onderzoek moeten aanleveren. In dit onderzoek staat hoe je als bedrijf hebt vastgesteld dat je de gegevens beschermt op een manier die nu verplicht is. Daarnaast beoogt de AVG, dat je alleen de gegevens verwerkt die je nodig hebt voor de dienst die je levert. Het minimaliseren van het verwerken van persoonsgegevens die je nodig hebt en de tijdsduur dat je deze bewaart, is ook in deze wet geregeld.

Wat valt er onder persoonsgegevens?

Volgens de AVG valt alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon onder een persoonsgegeven. Dit betekent dat de informatie direct of indirect terug te leiden is naar jou. Uitzonderingen zijn gegevens van overleden personen of van bedrijven en instellingen. De wet onderscheidt twee typen: persoonsgegevens en bijzondere persoonsgegevens.

Persoonsgegevens

Onder persoonsgegevens valt algemene persoonlijke informatie. Hierbij kun je denken aan veel voorkomende gegevens zoals naam, adres, woonplaats, telefoonnummer en postcode met huisnummer. Let wel, als je als bedrijf de gegevens verwerkt is het de vraag of je alle gegevens echt nodig hebt. Je moet een reden hebben om gegevens te verwerken. Is het bijvoorbeeld nodig om iemands hobby’s op te nemen in je systeem? Vaak is dit alleen interessant bij een sollicitatiegesprek en niet voor het werk dat iemand doet.

Bijzondere persoonsgegevens

Bijzondere persoonsgegevens zijn gevoelige gegevens. Het is informatie over ras, godsdienst of gezondheid. Bijzondere persoonsgegevens zijn extra beschermd en zijn alleen te verwerken als daar een reden toe is. Dit noemt men de wettelijke grondslag. Als er geen grondslag is, dan dienen gegevens niet verwerkt te worden. Zoals eerder aangegeven dien je dus te weten of je een reden hebt in je proces of dienstverlening om de gegevens te verwerken en op te vragen.

AVG binnen organisaties

De privacywet is ter bescherming van natuurlijke personen, maar heeft over het algemeen een relatie met alle type bedrijven en instellingen die persoonsgegevens verwerken van klanten en het personeel. Dit geldt dus naast logische organisaties als zorginstellingen, onderwijsinstellingen en overheid ook voor verenigingen, stichtingen en commerciële bedrijven, van large corporates tot ZZP’ers. Allen moeten kunnen aantonen dat ze de juiste organisatorische en technische maatregelen hebben genomen om te voldoen aan de AVG.

Een privacyverklaring is snel opgesteld en ook een goed idee, maar de wet vereist meer. Dat wat je verklaart in je privacyverklaring moet je ook echt waarmaken. Een verwerkingsregister helpt je al snel om inzicht te krijgen in de processen waar je persoonsgegevens in verwerkt. In dit register kun je aangeven wat je verwerkt, met welk doel, om welke reden (grondslag) en hoe lang je zaken bewaart. Ook goed om op te nemen is aan wie je de gegevens doorgeeft. Dit moet je bijvoorbeeld al doen als de salarisadministratie is uitbesteed of als je in de cloud werkt. Dit kun je op een zeer gedetailleerd niveau opstellen, maar dat hoeft niet en het hoeft ook niet in een voorgeschreven exact format van de Autoriteit Persoonsgegevens (AP). Wel is het belangrijk dat je bij gevoelige en bijzondere gegevens extra maatregelen neemt om deze te beschermen.

Wanneer moeten organisaties rekening houden met AVG?

Deze privacywetgeving komt bij nagenoeg alle bedrijfsactiviteiten om de hoek kijken. Je verwerkt gegevens namelijk al bij het sturen van offertes, facturen of nieuwsbrieven. Maar ook bij het registreren van klantafspraken, contactgegevens van klanten of personeelsinformatie, moet je deze wet in acht nemen. Verder behoren ook de gegevens die gekoppeld zijn aan e-mailadressen, cookies en IP-adressen onder de wet.

Doordat de AVG voorschrijft dat je alleen gegevens kunt verwerken die je echt nodig hebt, vraagt dat om goed inzicht in je activiteiten en de processen. Want heb je bijvoorbeeld echt een telefoonnummer nodig voor het leveren van een paar schoenen? Of beoog je de klant te bellen, terwijl hij dat niet heeft aangegeven toen de schoenen aangeschaft werden? Je kunt voorstellen dat er veel momenten zijn in je processen waar je aan moet denken. Daarom is het vooral belangrijk dat je bewust bent van de privacyregels en vooral ook waarom deze zo belangrijk zijn. Mocht je toch per ongeluk gegevens ‘lekken’ bijvoorbeeld door het verlies van een USB-stick met gegevens, maar ook door het mailen van gegevens van een persoon naar een andere persoon, heet een datalek.

Het voorkomen hiervan is niet altijd mogelijk. Als een klant te laat een adreswijziging stuurt, dan kan het zo zijn dat je een brief met mogelijk gevoelige informatie stuurt naar het oude adres. Zodra mensen dit raakt in hun persoonlijke levenssfeer regelt de wet dat je hier snel op moet acteren om ervoor te zorgen dat het ‘slachtoffer’ maatregelen kan nemen om schade te voorkomen. Dit kan verschillen met wat je zelf als norm hanteert. Bijvoorbeeld het sturen van een aanmaning om een factuur te betalen kan iemand (mogelijk) onterecht als wanbetaler bestempelen, terwijl het misschien alleen een vergissing is om een adreswijziging door te geven.

Toezichthouder Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens is de onafhankelijke toezichthouder in Nederland die de bescherming van persoonsgegevens bevordert en bewaakt. Het orgaan controleert of organisaties zich houden aan de AVG en kunnen indien nodig boetes uitdelen. De boetes zijn in de AVG fors verhoogd en kunnen oplopen tot maximaal 20 miljoen euro of 4% van de wereldwijde omzet van een organisatie. Daarnaast is het een informatie- en meldpunt wanneer personen van mening zijn dat organisaties niet verantwoordelijk met hun gegevens omgaan of als er sprake is van een datalek.

Heb jij nog vragen na het lezen van ‘AVG in een notendop’? Neem dan gerust contact met ons op.

Wij zorgen ervoor dat AVG geen hoofdpijn dossier wordt! Is jouw organisatie AVG proof? Bekijk hieronder onze privacy oplossingen