Auteur: BerndSmit

Wat zijn de grootste fouten die voorkomen bij het omzetten van de AVG bij bedrijven?

Het correct implementeren van de AVG (Algemene Verordening Gegevensbescherming) kan een uitdagende taak zijn voor bedrijven. Er zijn veel voorkomende fouten die bedrijven maken bij het omzetten van de AVG.

Dit zijn de 5 waar u op moet gaan letten:

1.  Geen grondslag hebben voor de verwerking van persoonsgegevens: Bedrijven moeten altijd een legitieme grondslag hebben voor de verwerking van persoonsgegevens ( Artikel 6, AVG: Rechtmatigheid van de verwerking). Dit kan bijvoorbeeld toestemming zijn van de betrokken persoon, een contractuele verplichting, wettelijke verplichting, gerechtvaardigd belang of publiek belang. Als bedrijven geen grondslag hebben voor de verwerking van persoonsgegevens, zijn ze in strijd met de AVG.

2.  Geen adequate privacyverklaring: Bedrijven moeten transparant zijn over hun verwerking van persoonsgegevens. Zij moeten betrokkenen op de hoogte stellen van de manier waarop hun gegevens worden verwerkt. Dit gebeurt via de privacyverklaring. Als de privacyverklaring van een bedrijf niet adequaat is of niet voldoet aan de vereisten van de AVG, kunnen er problemen ontstaan.

3.  Geen adequaat beleid voor gegevensbescherming: Bedrijven moeten een adequaat beleid voor gegevensbescherming hebben dat voldoet aan de vereisten van de AVG. Dit beleid moet beschrijven hoe persoonsgegevens worden verwerkt, opgeslagen en beveiligd. Bedrijven moeten ook procedures hebben voor het melden van datalekken. Zij moeten reageren op verzoeken van betrokkenen om toegang tot hun persoonsgegevens.

4.  Geen Data Protection Impact Assessments uitvoeren: Een Data Protection Impact Assessment (DPIA) is een proces om de privacyrisico’s van een bepaalde gegevensverwerking te beoordelen. Bedrijven moeten een DPIA uitvoeren voordat ze een gegevensverwerking uitvoeren die waarschijnlijk een hoog risico oplevert voor de privacy van betrokkenen. Als bedrijven geen DPIA uitvoeren wanneer dit nodig is, kunnen ze in strijd zijn met de AVG.

5.  Geen functionaris voor gegevensbescherming aanstellen: Bedrijven die verplicht zijn een functionaris voor gegevensbescherming (FG) aan te stellen volgens de AVG, moeten dit ook daadwerkelijk doen. De FG is verantwoordelijk voor het adviseren van het bedrijf over de AVG. Verder moet de FG toezicht houden op de naleving van de AVG. Als bedrijven geen FG aanstellen terwijl dit wel verplicht is, kunnen ze in strijd zijn met de AVG. Heeft u vragen neemt u dan gerust met mij contact op.

Kortom, bedrijven moeten zich bewust zijn van de vereisten van de AVG en zorgvuldig te werk gaan bij het implementeren van de AVG. Dit zal hen helpen om te voldoen aan de AVG en de privacy van betrokkenen te waarborgen .

Veel bedrijven stellen zichzelf deze vraag. Helaas is het antwoord niet 100% duidelijk, zelfs niet wanneer de juridische teksten worden geraadpleegd, althans niet in het geval van kleinere bedrijven. Ik doel hier uitsluitend op de regelgeving vanaf 25.5.2018 en niet-overheidsinstanties.

In het algemeen is het aanstellen van een functionaris gegevensbescherming gangbaar voor bedrijven die doorgaans* meer dan 20 personen in dienst hebben (inclusief uitzendkrachten) die betrokken* zijn bij het verzamelen, verwerken of gebruiken van (bijzondere categorie) persoonsgegevens (Art 9 van de AVG) in een geautomatiseerde (computer)verwerking. Bedenk: in veel personeelsdossiers worden juist die bijzondere categorieën persoonsgegevens verwerkt.

Als de verantwoordelijke of de verwerker een verwerking van persoonsgegevens uitvoert die onderworpen is aan een GEB (*zie onder) of als u persoonsgegevens commercieel verwerkt met het oog op doorgifte, anonieme verzending of met het oog op markt- of opinieonderzoek, heeft u een (functionaris) gegevensbeschermingsverklaring nodig, ongeacht het aantal werknemers. (AVG art. 37). M.a.w. u zult een Fg moeten aanstellen.

Wat betekent dat concreet?

Aangezien persoonsgegevens bijna overal in bedrijven worden verwerkt en in de meeste bedrijven alle werknemers toegang hebben tot computers, zou elk bedrijf met meer verwerkingen van persoonsgegevens een functionaris gegevensbescherming moeten aanstellen. Bedenk: zelfs een klantenkaart bevat gegevens zoals naam, adres, telefoonnummer en gedetailleerde informatie over projecten, vertegenwoordigt persoonlijke gegevens.

Maar hoe zit het met bedrijven met 2, 3 of 4 medewerkers?

Het antwoord ligt in de vraag of er in het bedrijf voorbereidende werkzaamheden op de loonadministratie worden verricht. Dit betekent dat er bijzondere persoonsgegevens van de werknemers zijn, die meestal worden doorgegeven aan de belastingadviseur of de salarisadministratie. In ieder geval zou een gegevensbeschermingseffectbeoordeling vereist zijn en daarom de aanstelling van een functionaris gegevensbescherming noodzakelijk.

Veel kleinere bedrijven zullen waarschijnlijk wachten tot de eerste boetes worden uitgedeeld. Experts vermoeden dat juist het uitblijven van de aanstelling van de functionaris voor gegevensbescherming de belangrijkste reden voor boetes zal zijn.

Twijfel: doe de AVG check

Als u niet zeker weet of u een functionaris gegevensbescherming voor uw bedrijf moet aanstellen, gebruik de AVG-check.

Klik hieronder en neem de test:

• Een GEB | gegevensbeschermingseffectbeoordeling is een hulpmiddel om gegevensbeschermingsrisico’s te identificeren voordat persoonsgegevens worden verwerkt. Naar aanleiding van deze GEB kunnen vervolgens (aanvullende) maatregelen worden genomen om de gegevensbeschermingsrisico’s te verkleinen. In het Engels wordt een GEB een “Data Protection Impact Assessment” (DPIA) genoemd.

* Doorgaans: het is al voldoende als een persoon regelmatig (“niet incidenteel”) verwerkingstaken uitvoert die zich af en toe voordoen volgens hun functiebeschrijving of het organisatieplan van de verantwoordelijke instantie en deze taak niet vanaf het begin uitvoert voor een korte periode, bijvoorbeeld als vervanging voor vakantie .

* Wat betekend “betrokken bij” : doorslaggevend voor tewerkstelling in die zin, is dat de persoon taken uitvoert die verband houden met de verwerking van persoonsgegevens. Het gaat dus niet alleen om vaste medewerkers als onderdeel van het personeelsbestand, maar ook om uitzendkrachten, stagiaires, stagiaires, stagiaires, vrijwilligers of zelfs de directeur zelf.

Afkorting AVG dat staat voor…?

De AVG | Algemene verordening gegevensbescherming is een Europese verordening die de regels voor de verwerking van persoonsgegevens door particuliere bedrijven en overheidsinstanties in de hele Europese Unie standaardiseert. Oorspronkelijk gepubliceerd op 27 April 2016. Van toepassing vanaf 25 mei 2018! In deze AVG zijn de belangrijkste regels voor de omgang met persoonsgegevens in Nederland vastgelegd. (Voorheen was dat in de Wet bescherming persoonsgegevens (Wbp)).

In het kort: De Algemene Verordening Gegevensbescherming is vastgesteld om natuurlijke personen te beschermen bij het verwerken van persoonsgegevens en om het vrije verkeer van persoonsgegevens te waarborgen (AVG / artikel 1, 2 en 3).

Wat zijn nu persoonsgegevens?

Lees hier wat er precies wordt bedoeld met “persoonsgegevens “

De verwerking zelf is geregeld in artikel 2, eerste lid: “Volledig en gedeeltelijk geautomatiseerde verwerking van persoonsgegevens en niet-geautomatiseerde verwerking van persoonsgegevens die zijn opgeslagen in een bestandssysteem of bestemd zijn om in een bestandssysteem te worden opgeslagen”.

(Dit suggereert nu dat de klassieke dossiers (bedrukt papier) hiervan uitgesloten zijn. Helaas is dat niet het geval.)

Dit zou in wezen duidelijk maken wat er op het spel staat, maar op wie heeft dit precies betrekking? Misschien is het makkelijker om te omschrijven voor wie het niet geldt:

• Activiteiten die niet binnen het kader van de Unie vallen
• Activiteiten van natuurlijke personen om uitsluitend persoonlijke of familiale activiteiten te verrichten
• Autoriteiten met het oog op het voorkomen, onderzoeken, opsporen of vervolgen van strafbare feiten of handhaving, met inbegrip van de bescherming tegen en het afwenden van bedreigingen voor de openbare veiligheid.

Concreet betekent dit dat strikte naleving van de AVG gevolgen heeft voor bedrijven, gemeenten, organisaties, commerciële personen, artsen en zelfs verenigingen.

Bijzondere categorieën “Persoonsgegevens”

Bijzonders streng zijn de voorschriften voor het hanteren van gegevens volgens AVG-artikel 9: het gaat daar specifiek om persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen of vakbondslidmaatschap blijkt, evenals de verwerking van genetische of biometrische gegevens, gezondheidsgegevens of gegevens over het seksleven of seksuele geaardheid).  Bedenk: als werkgever met werknemers, worden sommige van deze gegevenscategorieën in de verwerkingen toegepast.

Naar mijn mening zou elk bedrijf dat loongegevens en dergelijke beheert en verwerkt, gewoon moeten doen wat hen aan de “veilige kant” plaatst: een externe functionaris voor gegevensbescherming inschakelen om de vereisten (inclusief AVG-artikel 9) te controleren en uit te voeren. (Voor kleine bedrijven hoeft dit niet echt duur te zijn.)

Ik mijn volgende blog ga ik in op de vraag wie er nu een FG daadwerkelijk nodig heeft…

• Verdere informatie kunt u vinden op de site van de Autoriteit Persoonsgegevens.

• Wat is het verschil tussen een wet en een verordening? Lees hier verder.