AVG, wat moet ik ermee?

Wat zijn persoonsgegevens?

Er zijn veel soorten persoonsgegevens. Voor de hand liggende gegevens zijn iemand zijn of haar naam, adres en woonplaats, maar ook telefoonnummers en postcodes met huisnummers zijn persoonsgegevens. Deze gegevens moeten verwerkt worden volgens de regelgeving van de AVG. Wanneer je dit niet correct doet, riskeer je sancties van de Autoriteit Persoonsgegevens (AP). Meer informatie over deze sancties vind je onder het kopje Privacy-Waakhond.

Het verzamelen van persoonsgegevens gaat vaak verder dan je wellicht denkt. Denk bijvoorbeeld eens aan de gegevens die je via een website verzamelt met bijvoorbeeld cookies of het gedetailleerd omschrijven van een persoon beide voorbeeld kunnen classificeren als persoonsgegevens. Niet geheel als een verrassing dan dat deze gegevens dus AVG-conform verwerkt moeten worden om sancties van de AP te voorkomen.

Naast ‘gewonen’ persoonsgegevens zijn er ook bijzondere persoonsgegevens. Dit zijn bijvoorbeeld persoonsgegevens als ras, godsdienst of gezondheid. Deze gegevens zijn extra beschermd door de wet en mogen dus niet verwerkt worden, tenzij hier bij (ook weer volgens de wet) een uitzondering op is gemaakt.

AVG, wat moet ik ermee?

Klanten hebben, dankzij de AVG, meer mogelijkheden om voor zichzelf op te komen en zijn ook beter beschermd tegen mogelijk misbruik van hun persoonsgegevens. Ze hebben meer zeggenschap over deze gegevens en vooral ook over wat bedrijven met deze gegevens doen. Klanten kunnen bijvoorbeeld inzage vragen in opgeslagen data, of verleende toestemming intrekken (zie Draaiboek Verzoek Betrokkenen).

De AVG is ingevoerd om burgers meer rechten te geven over hun persoonsgegevens en om ervoor te zorgen dat bedrijven en organisaties zorgvuldiger en transparanter met deze gegevens omgaan. Dankzij de AVG hebben burgers meer regie over hun persoonsgegevens en is de kans op misbruik door bedrijven drastisch afgenomen.

Alle bedrijven en organisaties die persoonsgegevens vastleggen of verwerken van personen (zowel klanten, personeel als anderen) uit de Europese Unie, vallen onder de AVG. Haast elke ondernemer heeft hier dus wel mee te maken. Tevens moeten ook internationale bedrijven die zaken doen in de EU zich aan deze wetgeving houden.

Privacy-Waakhond

Om ervoor te zorgen dat iedereen de AVG ook daadwerkelijk naleeft is de AP bevoegd om verschillende soorten sancties op te leggen aan bedrijven en organisaties die de privacywetgeving overtreden. De belangrijkste sancties zijn de boete, de last onder dwangsom, de berisping en het verwerkingsverbod. Deze vier hebben we even puntsgewijs uiteengezet;

1. De boete is een van de bekendere sancties en kan angstaanjagend hoog oplopen. De AP kan een boete opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet. Het bedrijf Uber heeft bijvoorbeeld in 2018 een boete van maar liefst €600.000 moeten betalen voor het te laat melden van een datalek (waarvoor de termijn 72 uur bedraagt, zie Draaiboek Datalekken).
2. Daarnaast kan de AP ook een last onder dwangsom opleggen bij overtredingen. De organisatie moet dan een dwangsom betalen als de overtreding niet binnen een bepaalde termijn gestopt of opgelost is. Een voorbeeld hiervan is de dwangsom van €900.000 die aan het UWV is opgelegd voor de slechte beveiliging van hun werkgeversportaal. Deze overtreding is toen op tijd gestopt, waardoor het UWV de dwangsom werd kwijtgescholden.
3. Vervolgens kan de AP ook een berisping geven. Dit is een minder zware sanctie die alleen toeziet op de manier waarop een bedrijf of organisatie persoonsgegevens verwerkt en deze manier al dan niet afkeurt.
4. Ten slotte bestaat er ook nog het verwerkingsverbod. Hiermee bepaalt de AP dat een bedrijf of organisatie bepaalde persoonsgegevens, of categorieën hiervan, niet (meer) mag verwerken. Zo heeft de AP bijvoorbeeld besloten de Belastingdienst een verwerkingsverbod te geven voor het gebruik van het BSN in het btw-identificatienummer van zelfstandigen.

De regelgeving omtrent de AVG kan erg ingewikkeld zijn voor beginnende ondernemers en de torenhoge boetes die de AP uit kan delen, zijn ook allesbehalve geruststellend.

Om het wat makkelijker te maken om mee aan de slag te gaan heeft Lex alle benodigde documentatie omtrent de privacywetgeving gebundeld in een handig pakket!