Algemene Verordening Gegevensbescherming (AVG)

Alles over de nieuwe Algemene Verordening Gegevensbescherming (AVG)

Wanneer u een bedrijf heeft dan is de kans groot dat u, bewust of onbewust, werkt met persoonsgegevens. Vanaf 25 mei treedt de nieuwe Algemene Verordening Gegevensbescherming (AVG) in werking. Wat verandert er ten opzichte van de bestaande regels, waar moet u aan voldoen en wat zijn de consequenties als blijkt dat u toch de regels overtreedt?

Wat is de nieuwe AVG-wetgeving?

De AVG is de nieuwe Europese privacywetgeving. Deze wet geldt overal binnen de Europese Unie en komt in de plaats van de privacywetgeving die ieder land voorheen afzonderlijk had. In Nederland vervangt de AVG de Wet Bescherming Persoonsgegevens (WBP). De nieuwe wetgeving is ontworpen om persoonsgegevens beter te beschermen en binnen de hele EU een uniforme wetgeving te hanteren. In het kort komt het erop neer dat u als bedrijf nog beter duidelijk moet maken waarom u gegevens verzamelt, waarvoor u deze gebruikt en hoelang de gegevens bewaard worden. Als burger kan men in het vervolg inzage vragen in de verzamelde data.

Wat verandert er?

De belangrijkste verandering is dat ondernemers vanaf nu een verantwoordingsplicht hebben. U moet met documenten aan kunnen tonen wat u heeft gedaan om aan de AVG te voldoen. Burgers kunnen hun toestemming om gegevens te gebruiken intrekken en alle bedrijven en organisaties die hun gegevens via uw bedrijf in handen hebben gekregen, dienen deze in een dergelijke situatie te ‘vergeten’. Daarom moet iedereen die werkt met persoonsgegevens vanaf nu duidelijk in kaart brengen wat er met de gegevens gebeurt en waarom. Ook gelden er strengere beveiligingsregels. Niet alleen Europese organisaties, maar ook bedrijven en instanties van buiten de EU dienen aan deze regels te voldoen als ze werken met gegevens van burgers uit de EU.

Wat kunt u in de praktijk doen om aan de nieuwe wetgeving te voldoen?

Allereerst dient u in kaart te brengen welke gegevens er binnen uw organisatie verzameld en bewaard worden. Hier dient u een soort inventaris van te maken. Het gaat hierbij om alle informatie die iets te maken heeft met een geïdentificeerde of identificeerbare natuurlijke persoon. Denk bijvoorbeeld aan NAW-gegevens, e-mailadressen, IP-adressen, locatiegegevens en smartphone-gegevens. Verder dient u in het vervolg uitdrukkelijk toestemming te vragen om gegevens te verzamelen en nauwkeurig te registreren welke gegevens u bemachtigt en met welk doel. Ook bent u verplicht aan te geven hoelang u de gegevens bewaart en u moet bijhouden aan wie u de gegevens verstrekt en of dat alleen binnen de EU is of ook daarbuiten. Tevens dient u aan te geven wat u heeft gedaan om de verzamelde privacygegevens te beveiligen. Ook deze beveiligingsregels zijn aangescherpt.

Wat als u niet aan de eisen voldoet?

Wanneer u de regels overtreedt, loopt u het risico op hoge boetes. Voor zwaardere vergrijpen kunt u een boete krijgen van 4 procent van uw jaaromzet, met een maximum van maar liefst 20 miljoen euro. Voor lichtere overtredingen is de boete 2 procent van de jaaromzet, met een maximum van 10 miljoen euro. Overigens heeft minister Dekker aangegeven dat kleinere organisaties niet direct hoeven te vrezen voor boetes.