De Algemene Verordening Gegevensbescherming (EU 2016/679) is op 25 mei 2018 in werking getreden en voegt nieuwe elementen en aanzienlijke verbeteringen toe aan de bestaande gegevensbeschermingsregeling.
De Data Protection Act (DPA) 2018, die op 23 mei 2018 in werking trad, implementeerde de AVG (Algemene Verordening Gegevensbescherming) en voegde tevens bepalingen toe aan de Britse wetgeving om de AVG uit te breiden naar sectoren zoals de veiligheidsdiensten en overheidsinstanties, die voorheen niet onder de AVG vielen.
Na de Brexit (na afloop van de Brexit-overgangsperiode vanaf 1 januari 2021) is de Britse AVG de behouden versie van de EU-verordening op grond van artikel 3 van de European Union (Withdrawal) Action 2018 en zoals gewijzigd door de Data Protection, Privacy and Electronic Communications (Amendment Etc) (EU Exit) Regulations 2020.
De Britse GDPR beschermt de rechten van Britse burgers met betrekking tot hun gegevens, de Europese GDPR beschermt de rechten van EU-burgers. Voor organisaties die gegevens verwerken van zowel Britse als EU-burgers zijn beide GDPR-regels van toepassing.
De principes en vereisten van de AVG (Algemene Verordening Gegevensbescherming) van de EU blijven ook in het Verenigd Koninkrijk van toepassing, inclusief de versie die na de Brexit is ingevoerd. Hieronder bespreken we de belangrijkste toepassingsgebieden en enkele definities.
Controllers en processors
De AVG is van toepassing op zowel verwerkingsverantwoordelijken als verwerkers van gegevens. Verwerkingsverantwoordelijken bepalen hoe en waarom persoonsgegevens worden verwerkt. De verwerker handelt in opdracht van de verwerkingsverantwoordelijke om de gegevens te verwerken. Uw organisatie kan een gegevensverwerker, een verwerkingsverantwoordelijke of beide zijn.
Zowel verwerkingsverantwoordelijken als verwerkers hebben specifieke wettelijke verplichtingen:
- Verantwoordelijken moeten er specifiek voor zorgen dat contracten met verwerkers voldoen aan de AVG; en
- Verantwoordelijken voor de verwerking en verwerkers hebben afzonderlijke, maar expliciete verplichtingen om gegevens vast te leggen over persoonsgegevens en verwerkingsactiviteiten
- Verwerkers zijn ook wettelijk verantwoordelijk en aansprakelijk voor eventuele beveiligingsinbreuken.
Raadpleeg ons bijbehorende factsheet 'Gegevensbeveiliging – Algemene Verordening Gegevensbescherming – Naleving waarborgen' voor meer gedetailleerde informatie over de documentatievereisten.
Principes van gegevensbescherming
Persoonsgegevens omvatten:
- rechtmatig, eerlijk en transparant verwerkt
- verzameld voor specifieke, expliciete en legitieme doeleinden
- adequaat, relevant en beperkt tot wat noodzakelijk is voor het doel
- Nauwkeurige en actuele gegevens. Onnauwkeurige gegevens moeten worden verwijderd of gecorrigeerd
- bewaard in een identificeerbare vorm, niet langer dan nodig is
- Verwerkt op een veilige manier en beschermd tegen ongeoorloofde of onrechtmatige verwerking, onopzettelijk verlies, vernietiging of beschadiging.
Rechten van individuen volgens de AVG
Het recht om geïnformeerd te worden
Personen hebben het recht te weten hoe hun persoonsgegevens worden verwerkt. De AVG bevordert transparantie over de verwerking door middel van een privacyverklaring die (onder andere) details bevat over de verwerkingsverantwoordelijke, de bron van de gegevens, de ontvangers van de gegevens, gegevensoverdrachten buiten de EU en de bewaartermijn van de gegevens.
Het recht op inzage (verzoek om inzage in persoonsgegevens)
Personen hebben het recht om bevestiging te krijgen dat hun gegevens worden verwerkt, toegang te krijgen tot hun persoonsgegevens en andere informatie, zoals die in een privacyverklaring is opgenomen.
De maximale termijn voor de afhandeling van een verzoek om inzage in persoonsgegevens is 30 dagen en het recht om kosten in rekening te brengen voor inzage in persoonsgegevens is komen te vervallen, tenzij het verzoek ongegrond, buitensporig of herhaaldelijk is.
Het recht op rectificatie
Personen hebben het recht om onjuiste of onvolledige persoonsgegevens te laten corrigeren. Dit geldt ook voor persoonsgegevens die met derden worden gedeeld of aan derden worden verstrekt.
Het recht op verwijdering
Personen hebben het recht om te verzoeken om verwijdering van hun persoonsgegevens wanneer er geen dwingende reden meer is om deze te verwerken. Dit geldt ook voor persoonsgegevens die met derden worden gedeeld of aan derden worden verstrekt.
Het is belangrijk om te weten dat er extra vereisten gelden wanneer het verzoek betrekking heeft op een kind.
Er zijn enkele uitzonderingen op het recht op verwijdering, bijvoorbeeld wanneer gegevens worden bewaard om te voldoen aan een wettelijke verplichting.
Het recht om de verwerking te beperken
Personen hebben het recht om de verwerking van persoonsgegevens te beperken. In dat geval kunnen de persoonsgegevens wel worden opgeslagen, maar niet verwerkt.
Het recht op dataportabiliteit
Personen hebben het recht om hun persoonlijke gegevens te verkrijgen en opnieuw te gebruiken bij verschillende diensten. Dit geeft hen het recht om persoonlijke gegevens te verplaatsen, kopiëren of overdragen. Persoonlijke gegevens moeten worden aangeleverd in een gestructureerd, machineleesbaar formaat (zoals .csv).
Het recht om bezwaar te maken
Personen hebben het recht bezwaar te maken tegen de verwerking van persoonsgegevens. De verwerking moet onmiddellijk worden stopgezet, tenzij er dwingende legitieme gronden voor de verwerking bestaan, of indien de verwerking noodzakelijk is voor de vaststelling, uitoefening of verdediging van rechtsvorderingen.
Rechten met betrekking tot geautomatiseerde besluitvorming en profilering
Personen hebben het recht om te eisen dat er waarborgen zijn om te voorkomen dat er schadelijke beslissingen worden genomen zonder menselijke tussenkomst. Dit geldt ook voor de bescherming van persoonsgegevens die worden gebruikt voor profilering.
Verantwoording en bestuur
Het principe van verantwoording vereist dat er passende governance-maatregelen zijn getroffen om de naleving te documenteren. Organisaties moeten daarom:
- maatregelen implementeren die voldoen aan de beginselen van gegevensbescherming
- Beleid en procedures met betrekking tot de opslag en verwerking van persoonsgegevens vastleggen
- Implementeer technische en organisatorische maatregelen om naleving te waarborgen en aan te tonen.
- Stel waar nodig een functionaris voor gegevensbescherming aan.
Zie ons bijbehorende factsheet 'Gegevensbeveiliging – Naleving van de gegevensbeschermingswetgeving waarborgen' voor meer gedetailleerde informatie.
Rechtmatigheid van de verwerking
Het is belangrijk om de wettelijke grondslag van uw verwerking te begrijpen en te documenteren. Er zijn zes:
- Toestemming
- Contractuele verplichting
- Wettelijke verplichting
- Vitale belangen
- Algemeen belang
- Legitieme belangen.
Wat betreft toestemming: deze moet specifiek, ondubbelzinnig en vrijwillig gegeven zijn. Positieve toestemming kan niet worden afgeleid uit passiviteit, zoals het niet aanvinken van een online 'uitschrijven'-knop, of uit het gebruik van vooraf aangevinkte vakjes. Bedrijven moeten ervoor zorgen dat ze de datum, tijd, methode en de exacte bewoordingen vastleggen die gebruikt zijn om toestemming te verkrijgen. Het is daarom belangrijk dat uw bedrijf over de middelen beschikt om dergelijke informatie vast te leggen en te documenteren.
Richtlijnen voor toestemming van de ICO
Een gerechtvaardigd belang geeft u de mogelijkheid om de persoonsgegevens te verwerken, maar alleen binnen de grenzen die zij redelijkerwijs zouden verwachten. Als u zich beroept op een gerechtvaardigd belang, bent u zelf verantwoordelijk voor het waarborgen dat:
- er is een grondslag om legitiem belang te gebruiken
- De verwerking van gegevens is beperkt tot dat specifieke belang en kan worden aangetoond
- De rechten van het individu zijn in een afwegingsproces meegewogen
- De betrokkene wordt geïnformeerd over de legitieme belangen die ten grondslag liggen aan uw privacybeleid.
Richtlijnen van de ICO inzake rechtmatige belangen
Melding van inbreuken
Een datalek met persoonsgegevens is de accidentele of onrechtmatige vernietiging, het verlies, de wijziging, de ongeoorloofde openbaarmaking of de ongeoorloofde toegang tot persoonsgegevens.
De Britse toezichthouder ICO heeft een online zelfbeoordelingstool waarmee de ernst van een datalek kan worden vastgesteld en of een melding noodzakelijk is. Sommige datalekken moeten binnen 72 uur worden gemeld aan de relevante toezichthoudende autoriteit. Het is van cruciaal belang om de beoordeling zo snel mogelijk uit te voeren nadat het datalek is ontdekt.
Richtlijnen van de ICO voor de beoordeling van datalekken met persoonsgegevens
Gegevensoverdracht
Op 28 juni 2021 heeft de Europese Commissie een adequaatheidsbesluit voor het Verenigd Koninkrijk aangenomen, wat betekent dat de meeste gegevens tussen het Verenigd Koninkrijk en de EER kunnen blijven stromen zonder dat aanvullende waarborgen nodig zijn. (De uitzondering hierop zijn gegevens voor immigratiecontrole.)
Bij de overdracht van gegevens naar een 'derde land' kunnen aanvullende waarborgen van toepassing zijn, zoals standaardcontractbepalingen of bindende bedrijfsregels. De eerste link hieronder is afkomstig van de Britse toezichthouder – de ICO. De tweede link is van de Europese Commissie.
Richtlijnen voor gegevensoverdrachtsovereenkomsten van de ICO
EU-regels voor overdrachten buiten het blok
Bronnen en links
ICO- homepage voor organisaties
EU AVG-portaal – www.gdpreu.org
