Ben jij al klaar voor de AVG?

Ben jij al klaar voor de Algemene verordening gegevensbescherming (AVG)? De nieuwe privacywet die vanaf 25 mei 2018 ingaat. Wij hebben alles rondom de AVG voor jou op een rijtje gezet, zodat je helemaal op de hoogte bent van de nieuwe regels!

Wet bescherming persoonsgegevens

De AVG vervangt de huidige Wet bescherming persoonsgegevens (Wbp). Binnen de Europese Unie zijn er namelijk 28 verschillende privacywetten en om dit gelijk te trekken is er één wet nodig voor de hele Europese Unie. In de AVG wordt meer rekening gehouden met ons digitale leven dan in de wet die stamt uit 1995, toen internet in Nederland nog in de kinderschoenen stond. De AVG wordt internationaal General Data Protection Regulations (GDPR) genoemd.

Vanaf 25 mei 2018 moet je met je bedrijf voldoen aan de nieuwe privacyregels. Je hebt dus nog een kleine maand de tijd om je voor te bereiden op de strengere eisen.

Geldt de AVG ook voor jou?

Leg jij persoonsgegevens vast van jouw klanten of andere personen uit de Europese Unie? Dan heb jij te maken met de nieuwe privacywet. De wet geldt daarom voor bijna alle ondernemers, maar ook voor scholen, zorginstanties, verenigingen en stichtingen.

Wat moet je doen?

Je moet kunnen aantonen dat je maatregelen hebt genomen en dat je voldoet aan de nieuwe privacywet. Heb je bijvoorbeeld bewijs dat je toestemming hebt om de gegevens van een klant te bewaren?

De voorbereiding

Er komt een heleboel kijken bij de AVG. Doorloop de volgende 10 stappen:

1. Bewustwording

Ben je op de hoogte van de feiten en de nieuwe regels? Lees je in of laat je voorlichten.

2. Rechten van betrokkenen

Klanten hebben door de nieuwe wetgeving meer rechten. Ze mogen bijvoorbeeld hun gegevens inzien, aanpassen en verwijderen. Ook mogen ze een klacht indienen bij de Autoriteit Persoonsgegevens als zij vinden dat jij niet goed omgaat met hun gegevens. Leg in een privacyverklaring uit waarvoor hun gegevens worden gebruikt, waarom dat nuttig is voor jouw klanten en hoelang deze gegevens worden bewaard.

3. Overzicht verwerkingen

Voortbordurend op bovenstaande moet je vastleggen van wie je gegevens bewaart en met welk doel je dat doet. Dit is ook handig om bij de hand te hebben als klanten gebruikmaken van hun privacyrechten.

4. Data Protection Impact Assessment (DPIA)

Een Data Protection Impact Assessment is een uitgebreid onderzoek om de risico’s van de gegevensverwerking in kaart te brengen. Een DPIA is alleen nodig als het kan zijn dat je een hoog privacyrisico loopt. Bijvoorbeeld als je:

• vaak en grondig persoonlijke gegevens evalueert
• op grote schaal persoonsgegevens verwerkt
• mensen vaak volgt in openbaar gebied, bijvoorbeeld via camerabeelden

5. Privacy by design en privacy by default

Als je nieuwe producten of diensten gaat ontwerpen, moet je in de ontwerpfase al rekening houden met de privacy van de gebruiker. Je mag alleen persoonsgegevens verwerken als ze bijdragen aan het doel. Is het bijvoorbeeld niet nodig om een locatie te registreren, doe dit dan ook niet! Het draagt niets bij aan het doel en dus is het overbodig.

6. Functionaris gegevensbescherming

Als je heel veel persoonsgegevens verwerkt, moet je misschien een functionaris voor de gegevensbescherming in het leven roepen. Dit is iemand die verantwoordelijk is voor het afhandelen van vragen en klachten rondom de AVG en bijvoorbeeld het bijhouden van meldingen.

7. Meldplicht datalekken

Is er sprake van een datalek, dan moet je dat vastleggen. Als er een ernstig datalek is, moet je dat melden bij de Autoriteit Persoonsgegevens. Maar ook kleine datalekken moet je zelf bijhouden. 

8. Verwerkersovereenkomst

Zorg ervoor dat je een verwerkersovereenkomst hebt met iedereen die persoonsgegevens voor jou verwerkt.

9. Leidende toezichthouder bepalen

Is jouw bedrijf in meerdere EU-landen actief? Dan hoef je van de AVG maar met één toezichthouder zaken te doen. Bepaal dus of dit de Nederlandse Autoriteit Persoonsgegevens wordt of een andere (buitenlandse) partij.

10. Toestemming

Je moet aan kunnen tonen dat je toestemming hebt gekregen om de persoonsgegevens te verwerken.

Zoals je al ziet zullen niet alle stappen voor jou als zzp’er van belang zijn, maar het is zeker goed om op de hoogte te zijn van alle veranderingen. Uiteraard is niet alles in een lijstje te vangen. Iedere situatie is anders en wat voor anderen geldt, wil niet altijd zeggen dat het ook voor jou zo is. Heb je dus punten waar je onzeker over bent of over twijfelt? Schakel dan een professional in die jou kan helpen met de AVG. Succes!