De Algemene Verordening Gegevensbescherming (AVG / GDPR)

De Algemene Verordening Gegevensbescherming (AVG), ook wel de Global Data Protection Regulation (GDPR) is de uniforme Europese wetgeving voor bescherming van persoonlijke gegevens die op 25 mei 2018 van kracht wordt.

De AVG vervangt de lokale wetgeving op dat gebied, in Nederland is dat de Wet Bescherming Persoonsgegevens (Wbp) uit 2000. Een van de verplichtingen die hierin wordt opgelegd is het voorzien in een passende beveiliging van de gegevensbewerking door het treffen van organisatorische en technische maatregelen. De uitbreiding van de WBP per 1-1-2016 met de Meldplicht Datalekken regelt een meldingsverplichting naar de Autoriteit Persoonsgegevens en eventueel betrokkenen bij inbreuken op de beveiliging van gegevensbewerking. Sinds januari 2016 kan de Autoriteit Persoonsgegevens verder (hoge) boetes opleggen bij diverse overtredingen.

De AVG omvat in feite de Wbp en gaat een stuk verder. Zo moet er een register worden bijgehouden van gegevensverwerkingen en dienen Privacy Impact Assessments te worden uitgevoerd bij verwerkingen waarbij er een risico bestaat voor de privacy, hetgeen in het bijzonder geldt bij gebruik van nieuwe technologieën.

Voldoet u al aan de Wbp, dan bent u al een stuk op weg om op 25 mei 2018 te voldoen aan de AVG. Hoe dan ook is het tijd om het AVG-traject te starten.

Als startpunt stellen wij voor om op korte termijn in te zetten op

1. Voldoen aan de Wbp; dit is al sinds 2000 verplicht, en sinds januari 2016 is daar de Meldplicht Datalekken en de boetemogelijkheid bij gekomen.
2. In kaart brengen van het gebruik van persoonsgegevens in de organisatie met het oog op de AVG.
3. Opstellen van een privacybeleid als voorbereiding op de AVG.
4. Creëren van awareness binnen de organisatie.
5. Toetsen van het informatiebeveiligingsbeleid om te voldoen aan de AVG.