Beginselen

• Rechtmatigheid, behoorlijkheid en transparantie
  Het moet voor een betrokkene duidelijk zijn welke persoonsgegevens van hem of haar worden verwerkt. De communicatie hierover moet begrijpelijk zijn en het verwerken van persoonsgegevens mag niet in strijd zijn met de wet.

• Doelbinding
  De persoonsgegevens mogen alleen voor een bepaald doel worden gebruikt.

• Dataminimalisatie
  Verwerk zo min mogelijk persoonsgegevens. Voor het versturen van een nieuwsbrief is het bijvoorbeeld voldoende om alleen een e-mailadres te hebben. Het is niet nodig om te weten waar de nieuwsbriefontvanger woont.

• Juistheid
  Alle persoonsgegevens die binnen een organisatie worden verwerkt, moeten juist zijn. Kom je erachter dat gegevens van een klant onjuist zijn, dan moeten de gegevens aangepast worden.

• Opslagbeperking
  Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk. Is er een wettelijke bewaartermijn? Dan dien je je daaraan te houden. In andere gevallen mag je zelf een bewaartermijn vaststellen.

• Integriteit en vertrouwelijkheid
  Alle organisaties moeten passende beveiligingsmaatregelen treffen om ervoor te zorgen dat de gegevens voldoende beveiligd zijn

Grondslagen

Een organisatie mag alleen persoonsgegevens verwerken als daar een wettelijke grondslag voor is. In de AVG staan zes grondslagen:

• Toestemming
• Uitvoering van de overeenkomst
• Wettelijk verplichting
• Vitale belang
• Algemeen belang
• Gerechtvaardigd belang

Informatieplicht

Het informeren over welke persoonsgegevens een organisatie verwerkt, gebeurt via een privacyverklaring. Het is gebruikelijk om de privacyverklaring op de website te publiceren. In dat document legt een organisatie uit voor welke doeleinden de persoonsgegevens nodig zijn, welke persoonsgegevens worden verwerkt, op basis van welke grondslag dat gebeurt en hoelang de gegevens bewaard blijven. Ook is het verplicht om uit te leggen welke rechten betrokkenen hebben, en naar welke derde partijen de gegevens worden doorgestuurd.

Rolverdeling en afspraken met andere partijen

Organisaties maken gebruik van allerlei softwarepakketten en systemen. Denk aan een HR- of CRM-systeem, of een boekhoudpakket. Een ander voorbeeld is het gebruik van beveiligingscamera’s op kantoor of in een magazijn. Met de leveranciers die dergelijke systemen of pakketten leveren, moeten afspraken worden gemaakt. De leveranciers verwerken namelijk persoonsgegevens. De afspraken over de omgang met persoonsgegevens worden vastgelegd in een verwerkersovereenkomst.

Datalekken

Wanneer er inbreuk wordt gemaakt op de beveiliging van persoonsgegevens is er sprake van een datalek. Medewerker A heeft per ongeluk de salarisstrook van medewerker B ontvangen, of een orderbevestiging van klant C is naar klant D verstuurd. In dat soort gevallen is het belangrijk dat een organisatie snel handelt. De fout moet hersteld worden, het datalek moet intern geregistreerd worden. Misschien is het zelfs verplicht om het datalek te melden bij de Autoriteit Persoonsgegevens en de betrokkene(n).