Tips om je voor te bereiden op de AVG

De nieuwe privacywet AVG (Algemene verordening gegevensbescherming) komt eraan. Wat betekent deze nieuwe wet voor jou als ondernemer? 

Wat is AVG?

De Algemene Verordening Gegevensbescherming (AVG), ook wel bekend als GDPR (General Data Protection Regulation) is een nieuwe privacywet voor de hele Europese Unie om de burger te beschermen rond gebruik van persoonsgegevens. Op 25 mei 2018 gaat de AVG in voor de hele Europese Unie.

Elk ondernemer, bedrijf en organisatie die persoonsgegevens gebruiken, opslaan en verwerken, vallen onder de AVG. Zij moeten ervoor zorgen dat ze op 25 mei 2018 AVG proof zijn. Voor de helderheid: De regelgeving geldt voor zowel de commerciële als de niet-commerciële sector.

Stappenplan AVG

Er zijn een aantal stappen die je nu al kunt nemen om jouw bedrijf goed voor te bereiden op de AVG. Wij hebben enkele stappen voor je op een rij gezet.

• Breng in kaart welke persoonsgegevens je bijhoudt, waar deze vandaan komen en met wie je dit hebt gedeeld. Registreer je verwerkingen.
• Pas je privacyverklaring aan de nieuwe wetgeving van de AVG.*
• Sluit een bewerkersovereenkomst met Google als je gebruik maakt van Google Analytics. Een handleiding hoe dit te doen vind je hier.
• Zorg dat jouw website AVG proof is. Als je website is gebouwd in WordPress, kun je diverse plugins gebruiken om dit op orde te krijgen. Zorg ervoor dat je ook een SSL certificaat hebt voor je website.
• Evalueer de manier waarop je toestemming vraagt, krijgt en registreert, maar ook wijzig wanneer dit nodig is.
• Beoordeel je huidige contracten in het licht van de AVG. Denk met name aan verwerkers. Breng tijdig de noodzakelijke veranderingen aan.
• De AVG biedt speciale bescherming aan de persoonsgegevens van kinderen. Vraag altijd om toestemming van de ouder(s) of voogd(en)
  voor de gegevensverwerking van minderjarige kinderen.
• Welke technische beschermingsmaatregelen heb je genomen? Denk voor een website aan een firewall en versleutelde wachtwoorden,
• Welke gegevens bewaar je? Waar doe je dit en voor hoe lang? 

*TIPS PRIVACY VERKLARING – Stel deze vragen als je aan de slag gaat met jouw privacyverklaring:

• Welke gegevens worden verwerkt?
• Waar krijgt of verzamelt jouw bedrijf de gegevens?
• Waarom worden deze gegevens bewaard?
• Wie verwerkt in jouw organisatie de gegevens?
• Wie krijgt de gegevens?
• Wat wordt precies hoe, waar en hoelang bewaard?
• Hoe worden gegevens beveiligd?
• Hoe zorg je de uitoefening van de rechten van betrokkenen?
• Wat doe je als er een datalek is?

Gebruik van beeldmateriaal
De AVG is van toepassing zodra er sprake is van verwerking van persoonsgegevens. De brede definitie van beide begrippen maakt het mogelijk om onder andere ook foto’s of videobeelden van een concreet iemand onder de wet te laten vallen. Voordat je een foto van iemand maakt, moet je eerst toestemming vragen. Wil je daarna de foto’s publiceren op een website of magazine, dan moet je hiervoor toestemming vragen.

Uiteraard zijn er enkele uitzonderingen. Wanneer bijvoorbeeld personen toevallig op jouw foto of filmpje staan die hebt gemaakt of ogenomen op een publieke plaats, gaat men er in principe van uit dat een toestemming voor het verdere gebruik van die foto of video niet vereist is. Wanneer afbeeldingen van een menigte worden genomen, is er in principe geen toestemming nodig omdat ook hier de weergave van de persoon bijkomstig is.

Melding van datalekken
De AVG voorziet in een meldplicht voor datalekken. Organisaties zijn verplicht om datalekken te melden aan de Autoriteit Persoonsgegevens (AP) en sommige gevallen ook aan de betrokkenen. Een datalek is overigens niet enkel een hacking van je database. Elk incident dat impact kan hebben op de veiligheid van jouw data en waarschijnlijk enige vorm van schade kan veroorzaken aan de betrokkenen, moet binnen 72 uur gemeld worden aan de AP. Denk bijvoorbeeld aan diefstal van een laptop, mobiel waar belangrijke data op staat of verlies van een usb-stick.

Geldboete
Bedrijven die te laat een datalek melden riskeren een hoge geldboete. Deze boetes kunnen zelfs oplopen tot € 820.000 of 10% van de jaaromzet per overtreding. Op sommige overtredingen staat een boete van maximaal 10 miljoen euro of 2 procent van de wereldwijde omzet in het vorige boekjaar. Voor andere overtredingen, zoals schendingen van de basisprincipes voor de verwerking van persoonsgegevens, loopt het maximale boetebedrag op tot 20 miljoen euro of 4 procent van de wereldwijde omzet. 

Tot slot

• De AVG is niet van toepassing als je gegevens uitsluitend voor persoonlijke dingen of huiselijk gebruik.
• De AVG is niet van toepassing als je de persoonsgegevens alleen maar afleest van een papier en dit nadien niet houdt maar weggooit, vernietigt of teruggeeft aan de eigenaar.

Wil je meer weten over de AVG of heb je andere vragen? Stuur dan een mail naar: incontekx@gmail.com.