Waar dient u verder rekening mee te houden?
- Alle datalekken moeten intern worden gedocumenteerd
Volgens de oude privacywet hoeft u alleen datalekken bij te houden wanneer u ze ook moet melden aan de toezichthouder. De AVG stelt het verplicht om alle datalekken intern te documenteren, óók datalekken die niet hoeven te worden gemeld. En verwerkt u privacygevoelige data voor uw opdrachtgevers? Dan bent u straks wettelijk verplicht alle datalekken daarbij aan hen te melden, zodat zij dit weer aan de toezichthouder kunnen melden. Lees meer in onze factsheet over het registreren van datalekken.
- U moet alle verwerkingen van persoonlijke gegevens documenteren, ook de triviale zoals uw personeelsadministratie of de nieuwsbrief
In dit register moet onder andere staan welke persoonsgegevens er verwerkt worden, voor welke doeleinden, en hoe deze gegevens beveiligd worden. Meer informatie vindt u in onze factsheet over het verwerkingsregister.
- U moet met al uw leveranciers en afnemers een zogeheten verwerkersovereenkomst sluiten
In de verwerkersovereenkomst maakt u specifieke afspraken over de omgang met persoonlijke gegevens. Een belangrijk aandachtspunt daarbij is dat wanneer u diensten uitbesteedt waarbij persoonsgegevens van een klant zijn betrokken, u hiervoor toestemming nodig hebt van die klant.
- De boetes worden gigantisch
De maximale boete per overtreding van de oude privacywet was 900.000 euro. Dit veranderde met de komst van de AVG naar 20 miljoen euro of 4% van de wereldwijde jaaromzet. Bovendien komt er komt een Europees Comité dat toeziet op de juiste toepassing van de AVG.
- Zitten er risico's aan een verwerking, dan moet u een complete Data Protection Impact Assessment (DPIA) uitvoeren
Dit is een uitgebreid onderzoek om privacyrisico’s in kaart te brengen en deze zo veel mogelijk weg te nemen. Pas nadat de DPIA is uitgevoerd en de resultaten geïmplementeerd, mag u die risicovolle verwerking uitvoeren. Meer informatie vindt u in onze factsheet over de DPIA.
- Uw software en diensten moeten van de grond af rekening houden met privacy
Dit wordt ook wel ‘Privacy by design’ en ‘Privacy by default’ genoemd. Kort gezegd moet bij elke stap in de ontwikkeling de privacyaspecten worden benoemd en meegenomen in de uitwerking. Daarnaast moeten standaardinstellingen van een nieuwe dienst zo privacyvriendelijk mogelijk zijn.
- U dient een intern privacybeleid te publiceren waarin staat wie welke rol heeft bij de omgang met persoonsgegevens
Het is belangrijk dat medewerkers hiervan op de hoogte zijn. Zij moeten dus worden getraind, en dit moet regelmatig worden herhaald.
- U moet kunnen omgaan met verzoeken van personen, zoals een verzoek om inzage of correctie van hun gegevens
Maar wanneer u verouderde gegevens heeft moeten deze worden gewist op verzoek. Een verzoek van een betrokkene over zijn persoonsgegevens moet normaal binnen een maand inhoudelijk afgehandeld zijn. Is uw helpdesk hier al op ingericht?
- Werkt u met buitenlandse partijen, controleer dan of zij binnen of buien de EU persoonlijke informatie voor u opslaan
Dat laatste is alleen toegestaan als er wordt voldaan aan strikte regelgeving, bijvoorbeeld als het land in kwestie door de Europese Commissie gecertificeerd is. De VS is dat, het zogeheten Privacy Shield biedt de nodige waarborgen voor gebruik van Amerikaanse partijen. Maar let op, uw klanten kunnen van u eisen dat data gewoon in het geheel niet de EU verlaat.
- Maakt uw organisatie gebruik van vingerafdrukken of biometrie, bijvoorbeeld voor toegangsbeveiliging?
Dit ligt gevoelig onder de AVG, omdat dergelijke biometrische gegevens een streng beschermingsregime genieten.
