De belangrijkste vragen rond Algemene Verordening Gegevensbescherming (AVG)

Controleer binnen uw organisatie of en op welke plaatsen persoonsgegevens worden verwerkt. Kijk daarbij goed naar de plaats waar de gegevens worden verwerkt, of daar derden (‘verwerkers’) bij betrokken zijn en welke personen, organisaties of derden de verwerking kunnen uitvoeren.

Extra informatie

U zult al snel persoonsgegevens verwerken. Als u gegevens van medewerkers, klanten, leveranciers en andere relaties heeft, verwerkt u over het algemeen al persoonsgegevens binnen uw organisatie. Binnen de AVG worden persoonsgegevens gedefinieerd als informatie van een geïdentificeerde of identificeerbare natuurlijke persoon. Dit wordt binnen de AVG ook wel ‘de betrokkene’ genoemd.  Onder ‘verwerking’ wordt bijvoorbeeld inzien/raadplegen, vastleggen of wijzigen van persoonsgegevens gezien, maar ook bijvoorbeeld vernietiging, transportering, combineren, afschermen en wissen van gegevens wordt als verwerking gezien. In principe kun je stellen dat alles wat je doet met persoonsgegevens wordt gezien als een verwerking.  De meeste organisaties verwerken dus persoonsgegevens en zijn daarmee ‘verwerkingsverantwoordelijke’.

Verwerkt u in uw organisatie 'bijzondere' persoonsgegevens?

Advies

Controleer binnen uw organisatie of en op welke plaatsen bijzondere persoonsgegevens worden verwerkt. Kijk daarbij goed naar de plaats waar de gegevens worden verwerkt, of daar derden (‘verwerkers’) bij betrokken zijn en welke personen, organisaties of derden de verwerking kunnen uitvoeren.

Extra informatie

Bijzondere persoonsgegevens zijn Persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of het lidmaatschap van een vakbond blijken, en genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.  Indien u “Bijzondere persoonsgegevens” verwerkt, dient u aanvullende maatregelen te treffen vanuit de AVG.

Verwerkt u in uw organisatie persoonsgegevens van kinderen (jonger dan 16 jaar)?

Advies

Controleer binnen uw organisatie of en op welke plaatsen persoonsgegevens van kinderen worden verwerkt. Kijk daarbij goed naar de plaats waar de gegevens worden verwerkt, of daar derden (‘verwerkers’) bij betrokken zijn en welke personen, organisaties of derden de verwerking kunnen uitvoeren.  Zorg er voor dat u toestemming voor de verwerking heeft vanuit de persoon met ouderlijke verantwoordelijkheid over het kind.

Extra informatie

Kinderen hebben met betrekking tot hun persoonsgegevens recht op specifieke bescherming, aangezien zij zich allicht minder bewust zijn van de betrokken risico’s, gevolgen en waarborgen en van hun rechten in verband met de verwerking van persoonsgegevens.  Indien u persoonsgegevens van kinderen verwerkt, dient u aanvullende maatregelen te treffen vanuit de AVG.

Doet uw organisatie aan profilering, geautomatiseerde (individuele) besluitvorming of monitoring in openbare ruimten op personen?

Advies

Controleer binnen uw organisatie of en op welke plaatsen persoonsgegevens geautomatiseerd worden verwerkt en op basis waarvan profielen worden samengesteld of geautomatiseerde besluitvorming plaatsvindt.   Kijk daarbij goed naar de plaats waar de gegevens worden verwerkt, of daar derden (‘verwerkers’) bij betrokken zijn en welke personen, organisaties of derden de verwerking kunnen uitvoeren.  Voor het uitvoeren van profilering, monitoring of geautomatiseerde besluitvorming gelden aanvullende eisen vanuit de AVG. Denk hierbij aan toestemming en bezwaar en het handmatig moeten kunnen doorvoeren van wijzigingen in de geautomatiseerde verwerking.

Extra informatie

Indien u van personen profielen opbouwt of geautomatiseerde besluitvorming uitvoert op basis van bijvoorbeeld interesses, persoonlijke voorkeuren, gedrag, locatie/verplaatsingen, economische situatie, beroepsprestaties, gezondheid etc. dan dient u vanuit de AVG extra maatregelen te treffen.

Verwerkt u persoonsgegevens in grote hoeveelheden (op grote schaal)?

Advies

Zorg voor aanstelling van een Functionaris Gegevensbescherming.

Extra informatie

In de wet is niet expliciet aangegeven wat ‘grote schaal’ inhoudt en dit zal dan ook van geval tot geval worden bekeken. Met name als er sprake is van het verwerken van bijzondere gegevens op grote schaal of op het moment dat de corebusiness van uw organisatie bestaat uit het monitoren of profileren, dan zullen er extra maatregelen worden getroffen vanuit de AVG.

Is uw organisatie een overheidsorgaan

Advies

Zorg voor aanstelling van een Functionaris Gegevensbescherming.

Extra informatie

Voor overheidsinstanties en overheidsorganen geldt dat er een Functionaris Gegevensbescherming (FG) moet worden aangesteld.

Is uw organisatie > 250FTE

Advies

Zorg voor het opzetten en bijhouden van een verwerkingsregister.

Extra informatie

“In de AVG is rekening gehouden met afwijkingen voor kleine, middelgrote en micro ondernemingen. Indien uw organisatie > 250 FTE heeft, dan bent u verplicht om een zogenaamd verwerkingsregister bij te houden.   Onder de 250 medewerkers bent u dit alleen verplicht als het waarschijnlijk is dat de verwerking die u verricht een risico inhoudt voor de rechten en vrijheden van de betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens of persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten betreft”

Is uw organisatie binnen de EER gevestigd?

Advies

Stel een vertegenwoordiger aan. Deze vertegenwoordiger geldt als aanspreekpunt voor vragen rond de AVG. Dit aanspreekpunt zal ook de contacten onderhouden met de Autoriteit die in dat land de regelgeving van de AVG handhaaft.

Extra informatie

De EER bestaat uit de landen binnen de Europese Unie + Noorwegen, Zwitserland en Liechtenstein.   Indien uw organisatie niet in de EER is gevestigd, zult u – wanneer de organisatie goederen of diensten aanbiedt aan of toezicht houdt op het gedrag van de betrokkenen die zich binnen de Unie bevinden – een vertegenwoordiger moeten aanwijzen.

Besteed u werkzaamheden uit en werkt u daardoor met verwerkers?

Advies

Zorg voor verwerkersovereenkomsten met uw verwerkers.

Extra informatie

Als verwerkingsverantwoordelijke zult u naar alle waarschijnlijkheid werkzaamheden uitbesteden. De meeste organisaties werken met hostingpartijen, webdevelopers, internet service providers, google etc. Al dit soort partijen verwerken in principe de persoonsgegevens in opdracht van uw organisatie.  Vanuit de AVG dient u afspraken te maken met dit soort partijen en deze afspraken vast te lekken in zogenaamde verwerkersovereenkomsten.

Houdt u op dit moment rekening met de rechten van betrokkenen?

Advies

Controleer of u voldoet aan de rechten van de betrokkenen.

Extra informatie

“De rechten van betrokkenen zijn in de AVG toegenomen. Zo moeten u helder en transparant informeren waar u persoonsgegevens voor gebruikt (het doel van uw verwerkingen). Daarnaast moeten betrokkenen inzicht kunnen krijgen in de gegevens die u van hen verwerkt, moeten zij deze gegevens kunnen aanpassen en in sommige gevallen kunnen verwijderen. Daarnaast hebben ze rechten om verdere verwerking stop te zetten of te limiteren en te vragen om de data die u van hen verwerkt aan te leveren in een digitaal formaat. De wijze waarop een betrokkene zijn rechten moet kunnen uitoefenen moet zeer transparant/helder zijn en er moet standaard worden uitgegaan van het minimaal gebruiken van privacy gegevens (privacy by default).   U hoeft niet aan elk verzoek te voldoen (bijvoorbeeld bij een verzoek om verwijdering omdat het verzoek in strijd is met de wetgeving waarin wordt bepaald dat u gegevens 7 jaar in uw administratie moet bewaren).”

Heeft u een procedure hoe u gaat handelen in het geval van een datalek?

Advies

Zorg voor een incidentresponseplan, zodat u weet wat er gedaan moet worden om tijdig te melden. Zorg daarnaast uiteraard voor ‘passende organisatorische en technische maatregelen’. Deze zullen per organisatie verschillen.

Extra informatie

Indien u een datalek heeft, dan heeft u als verwerkingsverantwoordelijk bepaalde verplichtingen. Zo bent u verplicht om het lek binnen 72 uur bij de Autoriteit Persoonsgegevens te melden. Indien het datalek kan resulteren in een hoog risico voor de rechten en vrijheden van de betrokkenen, dan bent u verplicht om deze betrokkenen ‘onverwijld’ op de hoogte te brengen van het datalek. De Autoriteit Persoonsgegevens is bevoegd om boetes op te leggen van 4% van uw totale omzet of 20M€ (het hoogste bedrag) indien blijkt dat u nalatig bent (geweest) in de nakoming van de AVG.

De belangrijkste vragen rond Algemene Verordening Gegevensbescherming (AVG)

1

Verwerkt uw organisatie persoonsgegevens?

2

Verwerkt u in uw organisatie ‘bijzondere’ persoonsgegevens?

3

Verwerkt u in uw organisatie persoonsgegevens van kinderen (jonger dan 16 jaar)?

4

Doet uw organisatie aan profilering, geautomatiseerde (individuele) besluitvorming of monitoring in openbare ruimten op personen?

5

Verwerkt u persoonsgegevens in grote hoeveelheden (op grote schaal)?

6

Is uw organisatie een overheidsorgaan

7

Is uw organisatie > 250FTE

8

Is uw organisatie binnen de EER gevestigd?

9

Besteed u werkzaamheden uit en werkt u daardoor met verwerkers?

10

Houdt u op dit moment rekening met de rechten van betrokkenen?

11

Heeft u een procedure hoe u gaat handelen in het geval van een datalek?

Download de adviezen als PDF