De Algemene Verordening Gegevensbescherming (AVG) verhoogt de verantwoordelijkheden van organisaties die met persoonsgegevens werken. Individuen wiens gegevens verwerkt worden, beschikken nu over uitgebreidere rechten.
Bovendien zijn alle Europese autoriteiten die toezicht houden op privacy nu gemachtigd om boetes uit te vaardigen aan organisaties die de vastgestelde regels niet naleven.
Toepasselijkheid van de AVG
De AVG is van toepassing op iedereen die persoonsgegevens behandelt. Dit betekent dat het niet alleen geldt voor grote ondernemingen, maar ook voor kleinere mkb-bedrijven, zelfstandigen zonder personeel (zzp’ers) en overheidsinstanties.
Daarnaast is de AVG niet alleen relevant voor organisaties, maar ook voor individuen die persoonsgegevens verwerken, zoals iemand die een camera installeert bij zijn of haar woning.
Specifieke regelgeving voor politie en justitie
Naast de Algemene Verordening Gegevensbescherming (AVG) is er aanvullende wetgeving voor privacy bij politie en justitie. Dit betreft de Europese Gegevensbeschermingsrichtlijn voor Rechtshandhaving.
Deze richtlijn bevat specifieke voorschriften voor het verwerken van persoonsgegevens door rechtshandhavingsautoriteiten met het doel om criminaliteit te voorkomen, te onderzoeken, te detecteren, te vervolgen en straffen uit te voeren.
Echter, voor andere activiteiten van politie en justitie geldt nog steeds de AVG, zoals bij het verwerken van gegevens van het personeel.
In Nederland is deze richtlijn per 1 januari 2019 opgenomen in de Wet Politiegegevens (Wpg) en de Wet Justitiële en Strafvorderlijke Gegevens (Wjsg).
Kernbeginselen van de AVG
De AVG introduceert zes kernbeginselen, ook wel ‘beginselen’ genoemd, die in artikel 5 van de AVG zijn opgenomen. Elke organisatie die persoonsgegevens verwerkt, is verplicht zich aan deze beginselen te houden en moet in staat zijn dit te bewijzen. Dit valt onder de verantwoordelijkheid van de organisatie.
De zes kernbeginselen van de AVG omvatten:
- Rechtmatige, eerlijke en transparante verwerking;
- Beperking tot specifieke doeleinden;
- Minimalisatie van gegevens;
- Nauwkeurigheid van gegevens;
- Beperking van de opslagduur;
- Waarborging van vertrouwelijkheid en integriteit van gegevens.
Wettelijke grondslag, eerlijkheid en duidelijkheid
Voor het verwerken van persoonsgegevens dienen organisaties zich strikt aan de wet te houden. Alleen dan is de verwerking legitiem. Elke verwerking die niet overeenkomt met de AVG wordt als illegaal beschouwd.
Het is essentieel dat betrokkenen duidelijk en eerlijk geïnformeerd worden over de manier en reden van de verwerking van hun persoonsgegevens. Minimaal moeten zij weten wie de organisatie is die hun gegevens verwerkt en wat het doel is van deze verwerking.
Specifieke doelstelling
Organisaties zijn uitsluitend gerechtigd om persoonsgegevens te verzamelen voor een duidelijk en gerechtvaardigd doel. Dit doel dient concreet en vooraf helder gedefinieerd te worden.
Het doel waarmee een organisatie de persoonsgegevens verwerkt, dient in lijn te zijn met het oorspronkelijke doel van de gegevensverzameling. Dit betekent dat een organisatie de verzamelde gegevens niet mag gebruiken voor een geheel ander doel dan waarvoor ze oorspronkelijk verzameld zijn.
Minimaliseren van gegevensverwerking
Wanneer organisaties persoonsgegevens hanteren, dienen ze zich te houden aan het principe van minimale gegevensverwerking.
Dit betekent dat de hoeveelheid verwerkte gegevens moet overeenkomen met het beoogde doel. Organisaties mogen niet meer persoonsgegevens verwerken dan strikt noodzakelijk is voor het realiseren van dit doel.
Nauwkeurigheid
Het is de verantwoordelijkheid van de verwerkingsbeheerder om de nauwkeurigheid van de gegevens te waarborgen en ze bij te werken indien dit vereist is.
Individuen hebben daarnaast het recht om organisaties te verzoeken hun persoonlijke informatie te corrigeren als deze onjuist blijkt. Dit staat bekend als het recht op rectificatie.
Bewaartermijn van gegevens
Het is vereist dat organisaties persoonsgegevens verwijderen wanneer deze niet meer nodig zijn voor het doel waarvoor ze oorspronkelijk verzameld werden. Dit betekent dat er een vastgestelde periode is waarbinnen organisaties de gegevens mogen bewaren.
Veiligheid en betrouwbaarheid van gegevens
Een adequate beveiliging van de verwerking van persoonsgegevens is noodzakelijk. Voor gevoelige persoonsgegevens, bijvoorbeeld met betrekking tot de gezondheid van een individu, zijn er strengere regelgevingen van toepassing.
De impact van de AVG
Met de invoering van de AVG zijn organisaties onderhevig aan verhoogde verantwoordelijkheden. Er zijn grotere risico’s verbonden aan het niet naleven van deze regels, waaronder de mogelijkheid van aanzienlijke boetes.
Tegelijkertijd zijn de privacyrechten van personen wiens gegevens door organisaties worden verwerkt, versterkt en uitgebreid.
Belangrijke aspecten van de AVG voor organisaties
Als organisatie zijn er verschillende sleutelelementen van de AVG die voor u relevant zijn:
- Het kan zijn dat u verplicht bent een gegevensbeschermingseffectbeoordeling (DPIA) uit te voeren.
- Mogelijk moet u een functionaris voor gegevensbescherming (FG) aanstellen, die fungeert als een interne toezichthouder.
- U bent verantwoordelijk voor het naleven van de AVG.
Als uw organisatie actief is in meerdere EU-lidstaten, biedt de AVG u de volgende voordelen:
- U ondervindt lagere administratieve en nalevingskosten.
- U profiteert van meer juridische zekerheid.
- Er is sprake van een gelijk speelveld (‘level playing field’), aangezien dezelfde regels gelden voor alle bedrijven in de EU.
- U hoeft slechts met één toezichthouder afspraken te maken (one-stop-shop).
Versterking van privacyrechten door de AVG
Met de komst van de AVG zijn de mogelijkheden voor individuen om controle uit te oefenen over de verwerking van hun gegevens aanzienlijk toegenomen. Hun privacyrechten zijn namelijk versterkt en uitgebreid.
Enkele van deze versterkte rechten omvatten:
- Recht op verwijdering van gegevens (‘recht op vergetelheid’). Voorheen konden mensen een organisatie al verzoeken hun persoonsgegevens te verwijderen. Nu kunnen zij bovendien verlangen dat de organisatie deze verwijdering doorgeeft aan alle andere organisaties die deze gegevens hebben ontvangen.
- Recht op overdraagbaarheid van gegevens. Mensen hebben nu het recht (onder bepaalde voorwaarden) om hun persoonsgegevens in een gangbaar formaat van de organisatie te ontvangen. Dit staat bekend als het recht op overdraagbaarheid van gegevens. Hierdoor kunnen ze hun gegevens eenvoudig overdragen aan een andere aanbieder van vergelijkbare diensten.
Functie van de Autoriteit Persoonsgegevens (AP)
De Algemene Verordening Gegevensbescherming (AVG) samen met de Uitvoeringswet AVG (UAVG) stellen de Autoriteit Persoonsgegevens (AP) aan als de toezichthoudende instantie op de naleving van wet- en regelgeving rondom de verwerking van persoonsgegevens.
De bescherming van privacy is een doorlopend proces. De AP biedt op diverse manieren ondersteuning aan organisaties om te zorgen dat zij voldoen aan de vereisten van de AVG.
