Is mijn organisatie AVG-compliant?

De Algemene verordening gegevensbescherming (AVG) verplicht organisaties om zorgvuldig en rechtmatig om te gaan met persoonsgegevens. Maar wat betekent dat in de praktijk? Op deze pagina lees je wanneer de AVG van toepassing is, welke kernregels gelden, welke rechten betrokkenen hebben en hoe je als organisatie compliant blijft.

Gratis factsheet AVG-checklist

Download de gratis factsheet AVG

Wil je een volledig en praktisch overzicht van de AVG, van toepasselijkheid tot handhaving? Download dan onze gratis factsheet en gebruik hem als naslagwerk voor AVG-compliance binnen jouw organisatie.

Download de factsheet

Wanneer is de AVG op jouw organisatie van toepassing?

Niet elke omgang met gegevens valt automatisch onder de AVG. Om dat vast te stellen, doorloop je vier stappen: is er sprake van een verwerking, betreft het persoonsgegevens, valt de verwerking binnen de materiële reikwijdte, en is de AVG territoriaal van toepassing? De AVG kent een ruime geografische reikwijdte: ook organisaties buiten de EU kunnen eronder vallen, bijvoorbeeld wanneer zij goederen of diensten aanbieden aan personen binnen de EU of hun gedrag monitoren.

Welke kernregels gelden er onder de AVG?

Elke verwerking van persoonsgegevens moet voldoen aan zeven beginselen: rechtmatigheid, behoorlijkheid en transparantie, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid, én verantwoordingsplicht. Daarnaast is een geldige verwerkingsgrondslag verplicht. De AVG kent zes grondslagen, waaronder toestemming, uitvoering van een overeenkomst en gerechtvaardigd belang. Welke grondslag van toepassing is, hangt af van de specifieke situatie en moet vooraf worden vastgesteld.

Meer over Data & Privacy

Welke rechten hebben betrokkenen?

Betrokkenen hebben onder de AVG uitgebreide rechten om controle te houden over hun persoonsgegevens. Denk aan het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, gegevensoverdraagbaarheid en het recht van bezwaar.

Organisaties zijn verplicht deze rechten te faciliteren en moeten hier interne procedures voor inrichten. Op een verzoek van een betrokkene moet in beginsel binnen één maand worden gereageerd.

Jouw verplichtingen onder de AVG

Organisaties hebben onder de AVG een brede verantwoordingsplicht. Dat betekent onder meer: passende technische en organisatorische beveiligingsmaatregelen treffen, een verwerkingsregister bijhouden, datalekken binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en bij hoog-risicoverwerkingen een DPIA uitvoeren.

Werk je samen met externe partijen die persoonsgegevens verwerken? Dan is een verwerkersovereenkomst verplicht. Bij doorgifte van persoonsgegevens buiten de EER gelden aanvullende vereisten, zoals een adequaatheidsbesluit of Standard Contractual Clauses.

Meer over Compliance

Handige documenten om te voldoen aan de AVG

De AVG vraagt van organisaties niet alleen de juiste processen, maar ook de juiste documentatie. Zorg dat je in ieder geval beschikt over:

Meer over ICT-contracten

Check in 5 stappen of jij voldoet aan de AVG

Voldoen aan de AVG is niet altijd eenvoudig. Organisaties zien soms door de bomen het bos niet meer. Om organisaties op weg te helpen om AVG-compliant te worden, hebben wij een simpele checklist van 5 stappen samengesteld.

Download checklist

Veelgestelde vragen over de AVG

Voor wie geldt de AVG?

De AVG geldt voor alle organisaties die persoonsgegevens verwerken, van multinationals tot eenmanszaken. Ook organisaties buiten de EU kunnen eronder vallen als zij zich richten op personen binnen de EU of hun gedrag monitoren.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn alle gegevens die direct of indirect herleidbaar zijn tot een geïdentificeerde of identificeerbare natuurlijke persoon. Dat zijn niet alleen namen en adressen, maar ook IP-adressen, locatiegegevens en gedragsprofielen. Volledig geanonimiseerde gegevens vallen buiten de AVG; gepseudonimiseerde gegevens niet.

Is een Functionaris Gegevensbescherming (FG) verplicht?

Niet voor elke organisatie. Een FG is verplicht voor overheidsorganen, organisaties die stelselmatig observeren en organisaties die op grote schaal bijzondere persoonsgegevens verwerken. Voor andere organisaties is het aanstellen van een FG niet verplicht, maar wel aan te raden.

FG inhuren

Wanneer moet een datalek gemeld worden bij de Autoriteit Persoonsgegevens?

Een datalek moet worden gemeld als het een risico oplevert voor de rechten en vrijheden van betrokkenen. De melding moet zo snel mogelijk plaatsvinden, maar uiterlijk binnen 72 uur na ontdekking. Levert het datalek een hoog risico op, dan moeten ook de betrokkenen zelf worden geïnformeerd. Elk datalek, ook als er geen meldplicht geldt, moet intern worden geregistreerd in een datalekregister.

Wat zijn de boetes voor overtreding van de AVG?

De AVG kent twee boetecategorieën. Minder ernstige overtredingen, zoals het niet bijhouden van een verwerkingsregister, kunnen leiden tot een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Ernstigere overtredingen, zoals schending van de basisbeginselen of de rechten van betrokkenen, kunnen leiden tot een boete van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet. Daarnaast kan reputatieschade een even grote impact hebben.

Vragen over de AVG?

Wil je meer weten over wat we voor jouw organisatie kunnen betekenen op het gebied van privacy en AVG-compliance?

Laat een bericht achter via het formulier. Een van onze juridisch adviseurs neemt dan contact met je op.

Wanneer je een aanvraag bij ons doet, volgt altijd eerst een vrijblijvend kennismakingsgesprek.