Algemene verordening gegevensbescherming

In mei 2016 is er een nieuwe Europese verordening geïntroduceerd waarin privacyrechten zijn uitgebreid en bedrijven meer moeten verantwoorden over de omgang met persoonsgegevens. Er is een voorbereidingsperiode gegeven van twee jaar. Op 25 mei 2018 treedt de verordening – ook wel afgekort AVG – in werking in heel Europa. Op dat moment vervalt de huidige Wet bescherming persoonsgegevens (Wbp). De AVG vraagt ook de nodige voorbereiding van u als MKB-bedrijf en de boetes bij overtredingen kunnen significant zijn. Heeft u al de vereiste voorbereidingen getroffen?

De nieuwe verplichtingen in de omgang met persoonsgegevens komen voort uit de steeds verdergaande digitalisering van de maatschappij. Bij de invoering van de Wet bescherming persoonsgegevens in 2000 waren begrippen als ‘cloud-computing’, ‘smartphones’ en ‘glasvezel’ nog geen gemeengoed. Door de technologische ontwikkeling is het delen en verspreiden van gegevens inmiddels veel eenvoudiger geworden. Het is voor individuen echter moeilijk om nog goed toe te zien op een zorgvuldige omgang met hun gegevens door bedrijven. Daar brengt de AVG verandering in.

Individuen krijgen meer rechten (bijvoorbeeld om vergeten te worden of gegevens mee te nemen) en u moet kunnen aantonen dat u voldoende maatregelen heeft genomen om de gegevens goed te beschermen. Ook als u een deel van uw gegevensverwerkingen heeft uitbesteed. Het gaat daarbij voornamelijk – maar niet uitsluitend – om geautomatiseerde verwerkingen.

Om te beginnen: welke gegevens mag ik verwerken?
Het is verstandig om allereerst goed te kijken naar de persoonsgegevens die u als bedrijf verzamelt en verwerkt. Alle gegevens die betrekking hebben op, of te herleiden zijn naar een natuurlijk persoon (direct- en indirect) vallen onder de noemer persoonsgegevens. U mag als bedrijf alleen persoonsgegevens verwerken als u een ‘grondslag’ heeft. Er zijn zes grondslagen: u verwerkt gegevens waarbij u expliciet toestemming heeft gevraagd én gekregen, of als uitvloeisel van een contract/overeenkomst, of omdat u wettelijk verplicht bent, of omdat er een algemeen-, vitaal- of een gerechtvaardigd belang is. U kunt dus niet zondermeer gegevens verwerken. Als u gegevens verzamelt nadat u hier expliciet toestemming voor heeft gekregen, is het goed om u te realiseren dat u deze toestemming naderhand moet kunnen aantonen. Zorgvuldige vastlegging is dus noodzakelijk.

Met de persoonsgegevens die u verwerkt dient u als een ‘goed huisvader’ om te gaan. Ze moeten bijvoorbeeld beschermd zijn tegen verlies of inbreuk, niet langer worden bewaard dan noodzakelijk en u dient niet méér gegevens te verzamelen dan nodig is om uw doel te bereiken.