De Algemene Verordening Gegevensbescherming (AVG) werd op 25 mei 2018 ingevoerd. Toch voldoen meer dan drie jaar later nog veel organisaties niet aan de AVG. In 5 eenvoudige stappen helpt cm: u op weg.
De AVG, die een implementatie is van de Europese Privacy Richtlijn, pakt het verwerken van persoonsgegevens opeens veel serieuzer aan dan zijn voorganger de Wet bescherming Persoonsgegevens (Wbp). Er kwam een actieve toezichthouder, de Autoriteit Persoonsgegevens (AP), organisaties moesten transparanter en meer in controle zijn over persoonsgegevens. En al vaak gememoreerd: de boetes voor overtreding van de Wet werden fors hoger.
De afgelopen drie jaar heeft de privacywaakhond, de Autoriteit Persoonsgegevens, inderdaad met enige regelmaat boetes uitgedeeld. Het Bureau Krediet Registratie ontving tot op heden de hoogste boete: 830.00 euro voor het berekenen van kosten als betrokkene, de persoon van wie gegevens zijn vastgelegd, hier inzage in wilde. Een recht dat volgens de AVG kosteloos uitgeoefend moet kunnen worden. Voor het niet melden van een datalek ontvingen Booking.com en Uber een boete van 475.000 euro respectievelijk 600.000 euro.
De boetes die opgelegd worden zijn dus niet mals, al is het de vraag hoe groot de pakkans is. Een groter risico is het toegenomen bewustzijn over de AVG en privacy. In 2019 groeide het aantal klachten over organisaties explosief, in 2020 bleef het aantal op hetzelfde hoge niveau van meer dan 25.000 meldingen. Klanten en medewerkers zijn zich dus veel meer bewust van privacy en maken gebruik van de rechten die de AVG hen biedt. Daarbij komt dat de privacywaakhond AP die met een onderbezetting kampte, inmiddels extra budget heeft gekregen om fors uit te breiden.
AVG: Waarom voldoen organisaties nog niet?
Toch voldoen nog veel organisaties niet aan de AVG. Ze lopen daarmee dus een steeds groter risico. De oorzaken waarom niet voldaan wordt, verschillen.
Ten eerste realiseren veel organisaties zich niet dat, ook al werken ze met zakelijke klanten, toch persoonsgegevens worden verwerkt. Ook de gegevens van medewerkers zijn persoonsgegevens die onder de AVG vallen. Alleen al het in dienst hebben van medewerkers vereist dus de toepassing van de AVG.
Een tweede reden is dat veel organisaties gebruikmaken van clouddiensten van Amerikaanse leveranciers zoals Google, Amazon of Microsoft. De afhankelijkheid van deze diensten stelt hen niet in staat om de regels na te leven omdat deze diensten niet altijd transparant zijn over wat zij met persoonsgegevens doen. In het FD luidde het CIO Platform, het platform voor chief information officers, hierover recentelijk de noodklok.
Voldoen aan de AVG in 5 eenvoudige stappen
Aan deze laatste reden waarom niet aan de AVG wordt voldaan, is lastig wat te doen. De onderhandelingspositie van de individuele organisaties richting de techreuzen is nihil. Daarom wordt er ook gepleit voor het aanpassen van de wetgeving.
Vanzelfsprekend is dit geen excuus om niet aan de verplichtingen uit de AVG te voldoen. Voldoen aan de AVG hoeft ook niet ingewikkeld te zijn. Als u het 5 stappenplan volgt, voldoet ook uw organisatie aan de AVG. De AVG kent 7 beginselen waaraan u in 5 stappen kunt voldoen.
De principes Aantoonbaarheid, Transparantie en Informatie zijn daarbij het belangrijkste vertrekpunt om te voldoen aan de AVG. Aantoonbaarheid betekent dat u aan moet kunnen tonen dat uw organisatie voldoet aan de AVG. Daarvoor is een aantal documenten nodig uit het 5 stappenplan.
Transparantie vraagt om open en helder te zijn over de persoonsgegevens die worden verwerkt. Het derde principe is dat u degene van wie u persoonsgegevens verwerkt informeert over wat het doel is, waarom u ze verwerkt, hoe lang u de gegevens bewaart en dergelijke.
Stap 1: Maak een Register van verwerkingsactiviteiten
De eerste stap om aan deze principes te voldoen is: maak een zogenoemd Register van verwerkingsactiviteiten. In het register neemt u alle verwerkingen van persoonsgegevens op. Dit is de backbone van uw privacybeleid. Hiermee maakt u de verwerkingen inzichtelijk en zorgt u ervoor dat u hierover in controle bent.
In het register wordt per verwerking onder andere vermeld op welke personen de gegevens betrekking hebben, welke soort gegevens worden vastgelegd, wat het doel is en of gegevens naar derden gaan. En u geeft aan welke organisatorische en technische maatregelen zijn getroffen om de persoonsgegevens te beschermen.
Stap 2: Bepaal de grondslag van de verwerking
In deze fase bepaalt u ook de grondslag voor de verwerking, de tweede stap. Dit is de juridische basis waarop u de gegevens mag verwerken. De AVG kent zes grondslagen waarop gegevens mogen worden verwerkt. Deze zijn limitatief, dat wil zeggen dat de persoonsgegevens alleen verwerkt mogen worden als dit op één van deze zes gronden kan.
Stap 3: Stel een privacyverklaring op
Hiermee is de grootste klus geklaard en kunt u starten met de derde stap: het opstellen van een privacyverklaring. In de privacyverklaring informeert u degene van wie gegevens worden verwerkt. Hierbij put u uit het Register van verwerkingsactiviteiten. U informeert in de privacyverklaring welke gegevens u verwerkt, met welk doel, hoe lang ze bewaard worden, enzovoorts. En u neemt de rechten die de betrokkenen hebben op en geeft aan hoe ze deze rechten uit kunnen oefenen. Deze rechten, onder andere het recht van inzage, staan beschreven in de AVG.
Stap 4: Stel een protocol datalekken op
Natuurlijk zijn er voldoende technische en organisatorische maatregelen getroffen om de persoonsgegevens te beveiligen tegen onbevoegd gebruik door derden. Maar desondanks kan het misgaan. Bijna wekelijks zijn er berichten over hacks waarbij persoonsgegevens in het ongerede komen.
Om daarop voorbereid te zijn, stelt u een protocol datalekken op. Hierin beschrijft u onder andere wat er moet gebeuren als een datalek zich voordoet, wie verantwoordelijk is voor welke taak, wanneer er melding aan de AP moet worden gedaan. Bij het protocol legt u een Register datalekken aan, een incidentenregister waarin u het datalek vastlegt, welke persoonsgegevens daarbij betrokken waren, wie het lek ontdekte en welke maatregelen getroffen zijn om het incident in de toekomst te voorkomen.
Stap 5: Sluit verwerkersovereenkomsten af
Als persoonsgegevens aan een andere partij, een derde, worden overgedragen dan is het noodzakelijk hiervoor een verwerkersovereenkomst af te sluiten. Dit is onder andere het geval als persoonsgegevens in de cloud opgeslagen worden. Met de leverancier van de dienst wordt deze overeenkomst afgesloten, waarbij de rollen, rechten en verplichtingen met betrekking tot de persoonsgegevens over en weer geregeld worden.
Onderhoud
Als u deze 5 stappen heeft doorlopen, voldoet u aan de AVG en loopt u in ieder geval in dat opzicht geen risico meer. Maar daarmee bent u er nog niet. De business ontwikkelt zich en er komen wellicht nieuwe verwerkingen bij, systemen veranderen en nieuwe gegevens worden vastgelegd. Het is daarom verstandig om minimaal één keer per jaar het register na te lopen en te actualiseren. Als er zaken veranderen die gecommuniceerd moeten worden, past u ook de privacyverklaring aan en publiceert deze.
Ook het Register datalekken vraagt minimaal één keer per jaar aandacht. Op basis van het register kijkt u of er trends zijn in de datalekken en of er naast de ad-hocmaatregelen meer structurele verbeteringen nodig zijn om de persoonsgegevens veilig te stellen.
Auteur: Mr. N.J. Mookhoek CIPP/E is oprichter van www.deprivacyguru.nl
Dit artikel is verschenen in cm: 2021, afl. 5.
