De Algemene Verordening Gegevensbescherming (EU 2016/679) is op 25 mei 2018 in werking getreden en voegt nieuwe elementen en aanzienlijke verbeteringen toe aan de bestaande gegevensbeschermingsregeling.
Rollen en verantwoordelijkheden
In de aanloop naar de AVG heeft u zich waarschijnlijk afgevraagd of u een functionaris voor gegevensbescherming (DPO) formeel moest aanstellen – een noodzaak als:
- U bent een overheidsinstantie of -orgaan; of
- Uw kernactiviteiten vereisen grootschalige, regelmatige en systematische monitoring van individuen; of
- Uw kernactiviteiten bestaan uit de grootschalige verwerking van bijzondere categorieën gegevens of gegevens met betrekking tot strafrechtelijke veroordelingen en overtredingen.
Veel organisaties kiezen ervoor om een persoon of afdeling verantwoordelijk te maken voor privacygerelateerde activiteiten, zonder dat daarvoor een formele functionaris voor gegevensbescherming (DPO) nodig is. Het is essentieel voor de naleving van de regelgeving dat de rollen en verantwoordelijkheden met betrekking tot gegevensbescherming binnen uw organisatie bekend en gedocumenteerd zijn.
ROPA – Registratie van verwerkingsactiviteiten
Het documenteren van de verwerkingsactiviteiten die door de organisatie worden uitgevoerd, is een vereiste van artikel 30 van de AVG (zowel in het VK als in de EU) als uw organisatie meer dan 250 werknemers heeft. Het is ook een vereiste voor kleinere bedrijven als de gegevens die u verwerkt:
- zijn geen incidentele
- zullen waarschijnlijk gevolgen hebben voor de rechten en vrijheden van individuen; en
- Het gaat hierbij om gegevens van bijzondere categorieën of gegevens over strafrechtelijke veroordelingen en overtredingen.
Uw ROPA (Register van Persoonsgegevensverwerking) moet een datakaart bevatten van uw systemen die persoonsgegevens bevatten, samen met informatie over de wettelijke grondslag voor de verwerking, de doeleinden en methoden van gegevensverwerking, het delen van gegevens en het beleid en de procedures voor gegevensbewaring.
Het is belangrijk ervoor te zorgen dat deze documentatie regelmatig wordt herzien, aangezien er in de loop der tijd waarschijnlijk updates zullen plaatsvinden.
De ICO heeft aanvullende richtlijnen
Beleid en procedures
Uw beleid en procedures moeten de rollen en verantwoordelijkheden binnen uw organisatie duidelijk omschrijven, met betrekking tot een aantal privacygerelateerde gebieden:
- Gegevensbescherming en documentbeheer
- Informatiebeveiliging, inclusief datalekken en incidentbeheer
- Het verstrekken van informatie naar aanleiding van verzoeken om individuele rechten, zoals verzoeken om inzage in persoonsgegevens en informatieverzoeken
- Gegevensbescherming door ontwerp en standaardinstellingen om ervoor te zorgen dat problemen worden overwogen en gedocumenteerd (privacy-impactbeoordelingen) wanneer nieuwe systemen, diensten, producten en processen worden geïmplementeerd of bestaande worden aangepast
- Het privacybeleid op uw website moet regelmatig worden herzien en de datum van de laatste update moet duidelijk worden weergegeven
Leveranciersmanagement
Het is essentieel dat er contracten zijn met organisaties die namens u gegevens verwerken. In deze contracten moeten de details van de verwerking worden vastgelegd, waaronder:
- Het onderwerp van de verwerking
- Verwerkingsduur
- Aard en doel van de verwerking
- Soort persoonsgegevens en categorieën van betrokkenen
- Indien er subprocessors worden gebruikt.
Er is een kader van due diligence-controles nodig om te waarborgen dat deze organisaties voldoen aan de juiste technische en organisatorische vereisten om de AVG te kunnen naleven.
Het is raadzaam om de contracten en gegevensuitwisselingsovereenkomsten die u met andere organisaties hebt, regelmatig te herzien.
Opleiding
Het is essentieel dat uw medewerkers zich bewust zijn van hun verantwoordelijkheden met betrekking tot de verwerking van persoonsgegevens. Introductie- en herhalingstrainingen moeten informatie bevatten over gegevensbescherming, mogelijke beveiligingsrisico's en het informatiebeheerbeleid en de -structuren van uw organisatie. Het monitoren en documenteren van de voltooiing van trainingen is een belangrijk onderdeel om aan te kunnen tonen dat u aan de regelgeving voldoet.
Overige wetten en voorschriften
Er zijn diverse andere wetten en regelgevingen in het Verenigd Koninkrijk die van invloed zijn op gegevensbeveiliging. Deze omvatten:
- De Privacy and Electronic Communications Regulations (PECR) 2003 hebben betrekking op 'spam' en massale marketingmailings. Er worden ook regelmatig nieuwe regels uitgevaardigd op basis van de PECR. Zo zijn er bijvoorbeeld regels over het gebruik van cookies op websites en, in 2016, de verplichting voor iedereen die een marketingtelefoontje pleegt om zijn of haar telefoonnummer te tonen
- Auteursrecht-, ontwerp- en octrooiwet – gewijzigd in 2002 om softwarediefstal te omvatten
- Er kunnen andere IT-normen en -voorschriften van toepassing zijn: bedrijven die creditcardtransacties verwerken, moeten bijvoorbeeld voldoen aan de Payment Card Industry Data Security Standards (PCI DSS) .
Bronnen en links
ICO- homepage voor organisaties
EU AVG-portaal – www.gdpreu.org
