Wat is de Algemene Verordening Gegevensbescherming (AVG)?
De Algemene Verordening Gegevensbescherming, ook wel de AVG of met de Engelse afkorting GDPR genoemd, beoogt privacygevoelige gegevens te beschermen. De AVG stelt daarom regels aan organisaties die met persoonsgegevens werken.
Geldt de AVG voor ZZP’ers en MKB’ers?
Ja, de AVG is van toepassing op alle organisaties die persoonsgegevens verwerken. Kleine ZZP’ers en MKB’ers vallen hier ook onder.
Wat is het verschil tussen de Wbp en AVG?
Op 25 mei 2018 heeft de Algemene Verordening Gegevensbescherming de Nederlandse privacywet Wet Bescherming Persoonsgegevens (Wbp) vervangen. De AVG heeft dezelfde uitgangspunten als de Wbp, maar met een aantal belangrijke wijzigingen:
- de verwerkingsverantwoordelijke moet aantoonbaar AVG compliant zijn
- de rechten van betrokkenen worden uitgebreid
- het register van verwerkingsactiviteiten is veelal verplicht
- er is geen meldingsplicht meer voorafgaand aan verwerkingen
- soms is een Data Protection Impact Assessment verplicht als de verwerking van persoonsgegevens risico’s met zich meebrengt
- soms is een functionaris gegevensbescherming verplicht, bijvoorbeeld bij verwerking van bijzondere persoonsgegevens
- de boetes die de Autoriteit Persoonsgegevens kan opleggen zijn vele malen hoger onder de AVG dan onder de Wbp
Wat wordt verstaan onder betrokkenen?
Met betrokkenen worden de personen bedoeld van wie persoonsgegevens worden verwerkt. Voorbeelden van betrokkenen zijn bezoekers, klanten, personeel, leerlingen en leden.
Wat zijn persoonsgegevens?
Persoonsgegevens zijn alle gegevens die informatie bevatten over een persoon. Dit kan direct zijn, maar ook indirect als de informatie tot een persoon te herleiden is. Voorbeelden van persoonsgegevens zijn namen, adressen, IP-adressen, postcodes met huisnummer, foto’s en medische gegevens.
Wat is het verschil tussen gewone en bijzondere persoonsgegevens?
Als het bij de verwerking van persoonsgegevens gaat om gevoelige informatie, dan wordt er gesproken over bijzondere persoonsgegevens. Voorbeelden van bijzondere persoonsgegevens zijn genetische gegevens, biometrische gegevens ter identificatie van een persoon, medische gegevens en gegevens die informatie bevatten over ras, seksuele voorkeur, politieke of religieuze opvattingen, strafrechtelijke gegevens of het lidmaatschap van een vakbond.
Wat is verwerking van persoonsgegevens?
Onder het verwerken van persoonsgegevens valt alles wat je kunt doen met persoonsgegevens. Enkele voorbeelden zijn:
- het ordenen van de persoonsgegevens
- het invoeren van klant- of personeelsgegevens
- het raadplegen van iemands telefoonnummer om hem te bellen
- het gebruiken van adresgegevens om een pakket te sturen
- het analyseren van persoonsgegevens om koopgedrag te voorspellen
Heb ik altijd toestemming nodig om persoonsgegevens te verwerken?
Nee, toestemming is niet altijd noodzakelijk om onder AVG rechtmatig persoonsgegevens te verwerken. Verkregen toestemming is slechts 1 van de gronden waarop je persoonsgegevens mag verwerken. Zo is toestemming bijvoorbeeld niet vereist als de gegevens worden verwerkt omdat dit nodig is voor:
- de uitvoering van de overeenkomst van een tussenpersoon en zijn klanten
- de uitvoering van een overeenkomst
- te voldoen aan een wettelijke plicht
- ter bescherming van een vitaal belang
Wat is onder de AVG een vitaal belang?
Een vitaal belang is aan de orde als het over een belang gaat dat essentieel is voor iemands leven of gezondheid en die persoon niet om toestemming gevraagd kan worden.
Waaraan moet toestemming bij direct marketing voldoen?
Volgens de AVG moet bij direct marketing de toestemming van een betrokkene voor verwerking van zijn persoonsgegevens aan 4 eisen voldoen:
- vrije toestemming: een betrokkene is vrij om toestemming te geven maar ook te weigeren (weigering om toestemming te geven mag er niet toe leiden dat de persoon geen dienst of product kan afnemen)
- specifieke toestemming: er mag geen twijfel bestaan voor welk specifiek gebruik een betrokkene toestemming heeft gegeven
- geïnformeerde toestemming: voordat een betrokkene toestemming geeft voor verwerking, moet hij duidelijk geïnformeerd zijn over de verwerking van zijn persoonsgegevens
- ondubbelzinnige toestemming: de betrokkene moet zijn toestemming ondubbelzinnig en actief hebben gegeven (een vooraf aangevinkt vakje voor gegeven toestemming is dus niet toegestaan)
Hoelang mag ik persoonsgegevens bewaren?
De AVG zelf bevat geen wettelijk voorgeschreven bewaartermijnen. Over het algemeen geldt dat je persoonsgegevens niet langer mag bewaren dan nodig is om je doelen te bereiken. Een wettelijke bewaartermijn valt hier ook onder. Voor sommige categorieën persoonsgegevens gelden wel specifieke wettelijke bewaartermijnen:
- verzuimgegevens van personeel: 2 jaar na einde dienstverband
- reïntegratiedossier van personeel: 2 jaar na einde reïntegratie
- sollicitatiegegevens: 4 weken na het einde van de sollicitatieprocedure
- loonbelastingverklaring personeel: 5 jaar na uitdiensttreding
- kopie identiteitsbewijs personeel: 5 jaar na uitdiensttreding
- medische gegevens personeel: doorgaans 15 jaar
- leerlingendossier: 2 jaar nadat het kind van school is gegaan
Kan ik een verzoek om gegevens te wissen afwijzen?
Ja, je mag onder bepaalde voorwaarden een verzoek weigeren om persoonsgegevens te verwijderen. Zo mag je weigeren omdat je met de verwerking moet voldoen aan een wettelijke plicht of omdat je de persoonsgegevens nodig hebt voor een rechtszaak.
Is de AVG van toepassing op visitekaartjes?
Ja, de AVG geldt doorgaans ook voor visitekaartjes. Visitekaartjes bevatten zijn namelijk persoonsgegevens en zodra je die systematisch bewaart, is er sprake van verwerking. Toestemming daarvoor heb je overigens niet nodig want je mag aannemen dat je die impliciet hebt gekregen toen je het kaartje ontving.
Moet ik altijd toestemming vragen voor cookies?
Voor sommige cookies heb je geen toestemming nodig. Functionele cookies zoals cookies om in te loggen, mag je zonder toestemming plaatsen. Hetzelfde geldt voor analytische cookies, zolang ze geen of geringe gevolgen hebben voor de privacy van je bezoekers. Alle andere cookies zijn alleen toegestaan met toestemming. Je moet daarbij duidelijk aangeven:
- wat cookies zijn
- welke informatie je over bezoekers verzamelt
- op welke wijze je die informatie verzamelt
- wat je met die informatie doet
- dat de bezoeker de cookies niet hoeft te accepteren
- wat er in je cookieverklaring staat
Wat is het verschil tussen een verwerkingsverantwoordelijke en verwerker?
Je bent verwerkingsverantwoordelijke als jij degene bent die het doel van en middelen voor de verwerking van persoonsgegevens (binnen je organisatie) vaststelt. Besteed je het feitelijke beheer over de verwerking uit aan een andere organisatie, dan wordt deze de bewerker genoemd. Als verwerker heb je de feitelijke beschikking over de persoonsgegevens.
Welke plichten heeft een verwerkingsverantwoordelijke?
De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van de AVG en hij moet kunnen aantonen dat een verwerking van persoonsgegevens daaraan voldoet (de verantwoordingsplicht). Onderdelen hiervan zijn:
- een register van verwerkingsactiviteiten bijhouden (de registerplicht)
- onder bepaalde omstandigheden een functionaris gegevensbescherming aanstellen
- voorafgaand aan risicovolle verwerkingsactiviteiten een gegevensbeschermingseffectbeoordeling uitvoeren
- passende beveiligingsmaatregelen treffen met het oog op de bescherming van persoonsgegevens
- in het geval van een datalek melding doen bij de Autoriteit Persoonsgegevens en onder bepaalde omstandigheden ook bij de betrokkenen
- afspraken maken met eventuele verwerkers
- medewerking verlenen aan de Autoriteit Persoonsgegevens
- de rechten van betrokkenen respecteren
Welke plichten heeft een verwerker?
De belangrijkste plichten van een verwerker zijn:
- hij mag alleen handelen in opdracht van de verwerkingsverantwoordelijke
- hij is verplicht een overzicht bij te houden van alle categorieën persoonsgegevens die hij verwerkt in opdracht van de verwerkingsverantwoordelijke (registerplicht)
- hij moet passende technische en organisatorische beveiligingsmaatregelen nemen die een passend beschermingsniveau bieden met het oog op het risico van de gegevensverwerking voor betrokkenen
- hij mag geen subverwerkers inschakelen zonder toestemming van de verwerkingsverantwoordelijke
- hij moet de verwerkingsverantwoordelijke zo snel mogelijk op de hoogte stellen van een datalek
- hij moet medewerking verlenen bij een verzoek van Autoriteit Persoonsgegevens
- hij moet in bepaalde gevallen een functionaris gegevensbescherming aanstellen
Wat zijn verwerkingsactiviteiten?
Verwerkingsactiviteiten zijn alle vormen van bewerking van persoonsgegevens. Enkele voorbeelden van verwerkingsactiviteiten zijn:
- het versturen van een nieuwsbrief naar e-mailadressen
- het volgen van gedrag van websitebezoekers
- het raadplegen van een patiëntenlijst van een medische instelling
- het raadplegen van gegevens van een sollicitant of medewerker van een uitzendbureau
- het overdragen van personeelsdossiers aan een archiefvernietigingsbedrijf
- het inzien van een ledenlijst van een vereniging
Moet ik met elke leverancier een verwerkersovereenkomst sluiten?
Aangezien niet iedere leverancier een verwerker is, hoef je niet met elke leverancier een verwerkersovereenkomst te sluiten. Volgens de AVG ben je wel verplicht een verwerkersovereenkomst te sluiten als je de verwerking van persoonsgegevens uitbesteedt.
Heb ik een functionaris gegevensbescherming (FG) nodig?
Je organisatie is verplicht om een functionaris gegevensbescherming (ook wel data protection officer of data privacy officer genoemd) aan te stellen indien:
- je organisatie vanuit een kernactiviteit personen op grote schaal volgt, bijvoorbeeld door cameratoezicht
- je organisatie als kernactiviteit op grote schaal bijzondere persoonsgegevens verwerkt, zoals seksuele voorkeur of religieuze overtuiging
Welke kwaliteiten moet een functionaris gegevensbescherming bezitten?
De vereiste vaardigheden van een functionaris gegevensbescherming bestaan in ieder geval uit:
- kennis van nationale en Europese privacywetgeving over gegevensbescherming
- kennis van de gegevensverwerkingen die de organisatie uitvoert
- kennis van IT en informatiebeveiliging
- kennis van de organisatie en de sector waarin de organisatie actief is
- vaardigheden om binnen de organisatie een cultuur van gegevensbescherming te ontwikkelen
Welke taken heeft een functionaris gegevensbescherming?
Een functionaris gegevensbescherming heeft de volgende taken:
- het adviseren en informeren over verplichtingen
- het toezien op naleving van wetgeving en beleid
- het adviseren bij DPIA’s en toezien op de uitvoering daarvan
- het samenwerken met de Autoriteit Persoonsgegevens en optreden als contactpersoon voor de Autoriteit en betrokkenen
Wat is een Data Protection Impact Assessment (DPIA)?
Een Data Protection Impact Assessment (DPIA of gegevensbeschermingseffectbeoordeling) is een instrument waarmee je vooraf de privacy risico’s van je verwerking in kaart brengt om vervolgens maatregelen te kunnen nemen om deze risico’s te verkleinen.
Wat moet er in een DPIA staan?
Een DPIA moet in ieder geval de volgende onderdelen bevatten:
- een beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden
- een beoordeling van de noodzaak en de evenredigheid van de verwerkingen
- een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen
- de voorgenomen maatregelen om de risico’s aan te pakken en aan te tonen dat aan de AVG is voldaan
Ben ik verplicht om een DPIA uit te voeren?
Je bent niet verplicht om voor elke gegevensverwerking een DPIA uit te voeren. Dit moet alleen indien je organisatie:
- systematisch persoonsgegevens verwerkt, waaronder profiling
- op grote schaal bijzondere persoonsgegevens verwerkt
- op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied, zoals met cameratoezicht
Wat is het verschil tussen een PIA en DPIA?
PIA staat voor Privacy Impact Assessment en DPIA staat voor Data Protection Impact Assessment. Beide termen betekenen echter hetzelfde en worden in het Nederlands vertaald met gegevensbeschermingseffectbeoordeling (GEB).
Welke rechten heeft een betrokkene onder de AVG?
Onder de AVG hebben betrokkenen de volgende rechten:
- recht op informatie over wat een organisatie met zijn persoonsgegevens doet
- recht op dataportabiliteit
- recht op vergetelheid
- recht op inzage
- recht op rectificatie en aanvulling
- recht op beperking van de verwerking
- recht op een menselijke blik bij besluiten
- recht om bezwaar te maken
Wat is het recht op dataportabiliteit?
Het recht op dataportabiliteit is het recht van een betrokkene om zijn persoonsgegevens over te dragen aan of mee te nemen naar een andere partij.
Mag ik kosten in rekening brengen voor dataportabiliteit?
Nee, je mag in principe geen kosten berekenen voor dataportabiliteit.
Wat is het recht op vergetelheid?
Het recht op vergetelheid is het recht van een betrokkene om vergeten te worden, dat wil zeggen dat zijn persoonsgegevens worden verwijderd.
Wanneer heeft een betrokkene geen recht op vergetelheid?
Een betrokkene heeft geen recht op vergetelheid indien:
- je verwerking noodzakelijk is om het recht op vrijheid van levensovertuiging en informatie uit te oefenen
- je verwerking noodzakelijk is omdat je een wettelijke verplichting tot verwerking hebt, zoals een fiscale bewaarplicht
- je verwerking noodzakelijk is om openbaar gezag of een taak van algemeen belang uit te oefenen
- je organisatie heeft de plicht om de persoonsgegevens in het algemeen belang te archiveren
- je organisatie heeft de persoonsgegevens nodig voor een juridische procedure
Wat is het recht op inzage?
Het recht op inzage is het recht van een betrokkene om de persoonsgegevens die je van hem verwerkt in te zien.
Wat is het recht op informatie?
Het recht op informatie houdt in dat een betrokkene het recht heeft om te weten wat er met zijn persoonsgegevens gebeurt en waarom.
Wat is het recht op rectificatie en aanvulling?
Het recht op rectificatie en aanvulling is het recht van een betrokkene om de persoonsgegevens die van hem verwerkt worden te wijzigen.
Wat is het recht op beperking van de verwerking?
Het recht op beperking van de verwerking is het recht van een betrokkene om minder gegevens te laten verwerken.
Wat is het verschil tussen inzagerecht en recht op dataportabiliteit?
Bij een verzoek om inzage moet de verwerkingsverantwoordelijke een kopie van de persoonsgegevens aan de betrokkende verstrekken. Bij het recht op dataportabiliteit moeten de gegevens verstrekt worden in een vorm die het voor de betrokkene makkelijk maakt om zijn gegevens te hergebruiken en door te geven aan een andere organisatie.
Wat is het recht op een menselijke blik bij besluiten?
Soms nemen organisaties een besluit op basis van automatisch verwerkte persoonsgegevens, zoals een automatische weigering van een online ingediende kredietaanvraag of verwerking van sollicitaties via internet zonder menselijke tussenkomst. De AVG geeft mensen recht op een menselijke blik bij besluiten die over hen gaan.
Welke boetes kan de Autoriteit Persoonsgegevens opleggen?
Constateert de Autoriteit Persoonsgegevens dat een organisatie de verwerking van persoonsgegevens niet op orde heeft, dan kan de toezichthouder boetes opleggen. De boetes zijn hoog. De Autoriteit Persoonsgegevens mag tot € 20 miljoen aan boetes opleggen en zelfs tot 4% van de totale jaaromzet, als dat bedrag hoger is.
