mei 01, 2018

Adminno • 5 minuten om te lezen

KLAAR VOOR DE AVG (PRIVACYWET) ?!

Vanaf 25 mei 2018 moet je onderneming klaar zijn voor de nieuwe privacywetgeving.

Geen paniek mocht je nog niet alles in orde hebben.

Het belangrijkste is immers dat je kunt aantonen dat je er volop mee bezig bent en dat je tijdig gestart bent met je voorbereidingen.

Uiteraard zijn wij als innovatief administratiekantoor al geruime tijd bezig met de voorbereiding op de AVG.

Wat moet jij allemaal nog doen om jouw organisatie AVG-proof te krijgen? Wat verandert er? Welke impact gaat dit hebben?

Om je alvast een beetje op weg te helpen kun je onderstaand stappenplan gebruiken.

In 10 stappen voorbereid op de AVG

Wat verandert er?

De AVG versterkt de positie van de betrokkenen (de mensen van wie gegevens worden verwerkt). Zij krijgen nieuwe privacyrechten en hun bestaande rechten worden sterker. Organisaties die persoonsgegevens verwerken krijgen meer verplichtingen. De nadruk ligt – meer dan nu – op de verantwoordelijkheid van organisaties om te kunnen aantonen dat zij zich aan de wet houden.

Stap 1: Bewustwording

Zorg ervoor dat de relevante mensen in jouw organisatie (zoals beleidsmakers, hr-medewerkers, secretaresses, accountmanagers etc.) op de hoogte zijn van de nieuwe privacyregels. Zij moeten inschatten wat de impact van de AVG is op de huidige processen, diensten en goederen en welke aanpassingen nodig zijn om aan de AVG te voldoen. Houd er rekening mee dat de implementatie van de AVG veel kan vragen van de beschikbare menskracht en middelen en begin er daarom op tijd mee.

De Autoriteit Persoonsgegevens (AP) biedt instrumenten die je kunnen helpen om de AVG na te leven, zoals richtlijnen die zijn opgesteld samen met de andere privacytoezichthouders in Europa.

Bedenk dat de AP jouw organisatie sancties kan opleggen van maximaal 20 miljoen euro of 4% van uw wereldwijde omzet als u zich niet aan de nieuwe privacywetgeving houdt.

Stap 2: Rechten van betrokkenen

Onder de AVG krijgen de mensen van wie je persoonsgegevens verwerkt meer en verbeterde privacyrechten. Bereid je daar op voor zodat je op tijd en op de juiste manier op verzoeken reageert.

Denk daarbij aan bestaande rechten, zoals het recht op inzage en het recht op correctie en verwijdering. Maar houd ook alvast rekening met nieuwe rechten, zoals het recht op dataportabiliteit. Bij dit recht moet je ervoor zorgen dat betrokkenen hun gegevens makkelijk kunnen krijgen en vervolgens kunnen doorgeven aan een andere organisatie als ze dat willen.

Ook kunnen mensen bij de AP klachten indienen over de manier waarop je met hun gegevens omgaat. De AP is verplicht deze klachten te behandelen.

Stap 3: Overzicht verwerkingen

Breng je gegevensverwerkingen in kaart. Documenteer welke persoonsgegevens je verwerkt en met welk doel je dit doet, waar deze gegevens vandaan komen en met wie je ze deelt. Onder de AVG heb je een verantwoordingsplicht, wat inhoudt dat je moet kunnen aantonen dat jouw organisatie in overeenstemming met de AVG handelt.

Je kunt het overzicht ook nodig hebben als betrokkenen hun privacyrechten uitoefenen. Als zij je vragen hun gegevens te corrigeren of verwijderen, moet je dit doorgeven aan de organisaties waarmee u hun gegevens heeft gedeeld.

Vermeld in het overzicht ook per categorie van gegevens op basis van welke wettelijke grondslag je deze gegevens verwerkt. Beroep jij je bijvoorbeeld op een gerechtvaardigd belang of vraag je toestemming aan de betrokkenen? NB: de grondslagen in de AVG zijn grotendeels hetzelfde als die in de huidige Wbp.

Stap 4: Data protection impact assessment

Onder de AVG kun je verplicht zijn een zogeheten data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen.

Je moet een DPIA uitvoeren als je beoogde gegevensverwerking waarschijnlijk een hoog privacyrisico met zich meebrengt. Je kunt nu alvast inschatten of je straks DPIA’s moet uitvoeren en hoe je dit dan gaat aanpakken.

Komt straks uit een DPIA naar voren dat jouw beoogde verwerking een hoog risico oplevert? En lukt het je niet om maatregelen te vinden om dit risico te beperken? Dan moet je met de AP overleggen voordat je met de verwerking start. Dit wordt een voorafgaande raadpleging genoemd. De AP beoordeelt dan of de voorgenomen verwerking in strijd is met de AVG. Is dit het geval, dan ontvang je een schriftelijk advies van de AP.

Stap 5: Privacy by design & privacy by default

Maak je organisatie nu al vertrouwd met de onder de AVG verplichte uitgangspunten van privacy by design en privacy by default en ga na hoe u deze beginselen binnen jouw organisatie kunt invoeren.

Privacy by design houdt in dat je er al bij het ontwerpen van producten en diensten voor zorgt dat persoonsgegevens goed worden beschermd.

Privacy by default houdt in dat je technische en organisatorische maatregelen moet nemen om ervoor te zorgen dat je, als standaard, alléén persoonsgegevens verwerkt die noodzakelijk zijn voor het specifieke doel dat je wilt bereiken. Bijvoorbeeld door:

- een app die je aanbiedt niet de locatie van gebruikers te laten registeren als dat niet  nodig is; - op je website het vakje ‘Ja, ik wil aanbiedingen ontvangen’ niet vooraf aan te vinken; - als iemand zich op uw nieuwsbrief wil abonneren niet meer gegevens te vragen dan nodig is.

Stap 6: Functionaris voor de gegevensbescherming

Onder de AVG kunnen organisaties verplicht zijn om een functionaris voor de gegevensverwerking (FG) aan te stellen. Bepaal nu alvast of dit voor jouw organisatie geldt. Zo ja, wacht dan niet te lang met het werven van een FG. Uiteraard mag jouw organisatie ook vrijwillig een FG aanstellen.

Stap 7: Meldplicht datalekken

De meldplicht datalekken blijft onder de AVG grotendeels hetzelfde. De AVG stelt wel strengere eisen aan je eigen registratie van de datalekken die zich in jouw organisatie hebben voorgedaan. Je moet alle datalekken documenteren. Met deze documentatie moet de AP kunnen controleren of je aan de meldplicht hebt voldaan. Dit gaat verder dan de huidige protocolplicht uit de Wbp, die alleen betrekking heeft op de gemelde datalekken.

Stap 8: Bewerkersovereenkomsten

Heb jij je gegevensverwerking uitbesteed aan een bewerker (in de AVG ‘verwerker’ genoemd)? Beoordeel dan of de overeengekomen maatregelen in bestaande contracten met je bewerkers nog steeds toereikend zijn en voldoen aan de vereisten in de AVG. Zo niet, breng dan tijdig noodzakelijke wijzigingen aan.

Stap 9: Leidende toezichthouder

Heeft jouw organisatie vestigingen in meerdere EU-lidstaten? Of hebben je gegevensverwerkingen in meerdere lidstaten impact? Dan hoef je onder de AVG nog maar met één privacytoezichthouder zaken te doen. Dit wordt de leidende toezichthouder genoemd. Geldt dit voor jouw organisatie, bepaal dan onder welke privacytoezichthouder je valt.

Stap 10: Toestemming

Voor sommige gegevensverwerkingen heb je toestemming nodig van de betrokkenen. De AVG stelt strengere eisen aan toestemming. Evalueer daarom de manier waarop je toestemming vraagt, krijgt en registreert. Pas deze wijze indien nodig aan. Nieuw is dat je moet kunnen aantonen dat je geldige toestemming van mensen hebt gekregen om hun persoonsgegevens te verwerken. En dat het voor mensen net zo makkelijk moet zijn om hun toestemming in te trekken als om die te geven.

Wil jij net als Adminno aantoonbaar voldoen aan aan de wet privacy? Als je alle 10 stappen hebt doorlopen kun je in jouw “AVG dossier” aantoonbaar laten zien dat je voldoet aan de Privacy wetgeving.

Houdt onze website in de gaten voor meer tools en informatie.