Wat is de AVG?
De afkorting AVG staat voor Algemene Verordening Gegevensbescherming. In deze verordening is alles wat met privacy te maken heeft, vastgelegd.
Vaak horen we mensen spreken over de AVG-wet. Toch klopt de term ‘AVG-wet’ niet helemaal. De AVG zelf is namelijk geen wet. De ‘v’ in AVG staat namelijk voor verordening en een verordening bevat regels die gelden in alle lidstaten van de Europese Unie. We noemen dat ook wel de ‘rechtstreekse werking’ van de verordening. Voor iedereen in de Europese Unie is de regelgeving met een Europese verordening dus gelijk. Als verordeningen in strijd zijn met de nationale wetgeving, dan zijn de regels in de verordening leidend.
De Europese verordening waar het hier allemaal om draait, heet officieel de General Data Protection Regulation (GDPR). Iedere Europese lidstaat werkt de regels uit de verordening uit in de nationale wetgeving. In ons geval staat die nationale uitwerking in de Uitvoeringswet Algemene verordening gegevensbescherming. Hierin vinden we alles wat in de GDPR is vastgelegd, vertaald naar ons eigen rechtssysteem. Als mensen het hebben over de AVG-wet, verwijzen ze dus eigenlijk naar de uitvoeringswet. Het is niet fout, maar het is goed je ervan bewust te zijn dat de verordening zelf dus al een rechtstreekse werking heeft.
Wat wordt er geregeld in de AVG?
Voorheen was onze nationale wetgeving rondom privacy geregeld in de Wet bescherming persoonsgegevens (Wbp). Met de komst van de Algemene verordening gegevensbescherming is de Wet bescherming persoonsgegevens komen te vervallen. De AVG is op veel vlakken vooral een verruiming van de Wbp. Zo is het onder de AVG makkelijker om voor jezelf op te komen als het gaat om de verwerking van persoonsgegevens. De privacyrechten die mensen hebben, zijn met de komst van de AVG aanzienlijk versterkt en uitgebreid. Dat brengt ook met zich mee dat er in de AVG meer verantwoordelijkheden (dan voorheen onder de Wbp) bij organisaties komen te liggen. Tot slot biedt de AVG privacytoezichthouders de mogelijkheid om boetes tot 20 miljoen euro op te leggen. Onder de Wbp was dit niet in alle EU-landen op dezelfde manier geregeld.
Samenvattend kun je stellen dat je in de AVG alles vindt over de verplichtingen van organisaties als het gaat om het verwerken en opslaan van persoonsgegevens. De Uitvoeringswet AVG regelt hoe je kunt optreden tegen overtreding van de regels en je vindt er welke toezichthouders kunnen ingrijpen bij privacy-schendingen.
In de AVG vind je de regels met betrekking tot het opslaan en de verwerking van persoonsgegevens. Persoonsgegevens mogen alleen worden opgeslagen als daar een geldige grondslag voor bestaat. Een van de geldige grondslagen is toestemming van de gebruiker. Heb je deze toestemming niet, dan moet er een vitaal belang, wettelijke verplichting, overeenkomst, algemeen belang of gerechtvaardigd belang zijn om de gegevens te mogen verwerken. Iedereen moet bovendien kunnen weten welke grondslag de basis vormt voor het opslaan van zijn gegevens. In een privacyverklaring leg je daarom vast welke persoonsgegevens je verzamelt, met welk doel en hoelang je deze persoonsgegevens bewaart.
AVG voor uitzendbureaus
In de uitzendbranche was het tot voor kort nog heel gebruikelijk om alle gegevens van de flexwerkers op te slaan. Door de komst van de AVG is het noodzakelijk om eens kritisch naar al deze gegevens te kijken en te beoordelen of je ze wel echt nodig hebt. Het maakt daarbij uit of een uitzendkracht nog steeds voor het uitzendbureau werkt of dat hij geen arbeid meer voor het uitzendbureau verricht. Deze gegevens moet je ook verwijderen of anonimiseren.
Daarnaast is het opstellen van verwerkersovereenkomsten binnen de uitzendbranche een belangrijk onderwerp. Op grond van de AVG geldt dat je met iedereen waaraan je gegevens van jouw klanten verstrekt, een verwerkersovereenkomst dienst aan te gaan. Hierin leg je vast welke gegevens je overdraagt en met welk doel. Voor het uitzenden van arbeidskrachten heb je natuurlijk in de eerste plaats te maken met inleners. Stel daarom altijd een verwerkersovereenkomst op voor de uitwisseling van gegevens met de inlener. Maar ook met de boekhouder, de softwareleverancier en de verloningspartij dien je een verwerkersovereenkomst te hebben.
Omdat arbeidsbemiddelingsbureaus, waaronder dus ook uitzendbureaus, van veel individuen de gegevens verzamelen, is het in deze branche verplicht om een Functionaris voor de Gegevensbescherming aan te wijzen.
Welke boetes staan er op het overtreden van de AVG?
De Autoriteit Persoonsgegevens (AP) controleert in Nederland of iedereen zich aan de AVG houdt. Ben je in overtreding, ofwel omdat je de gegevens niet op de juiste manier vastlegt, ofwel omdat je de gegevens niet op de juiste manier verwerkt, dan kan de AP hiervoor een boete opleggen. Andere sancties die de Autoriteit Persoonsgegevens kan opleggen, zijn een verwerkingsverbod, een last onder dwangsom en een berisping.
De maximale boete voor het overtreden van de AVG is 20 miljoen euro of 4% van de wereldwijde jaaromzet. Dat betekent dat een boete veel impact zal hebben. Des te belangrijker is het om alles in jouw bedrijf volgens de regels vast te leggen én uit te voeren.
Wanneer moet ik een datalek melden?
Hierboven noemden we al even de boete die de Autoriteit Persoonsgegevens aan een bedrijf heeft opgelegd voor het niet tijdig melden van een datalek. € 600.000 is niet mals en daarom is het goed om te weten wanneer je een datalek moet melden en wie je hierover moet informeren.
Wanneer je te maken krijgt met een datalek, dan ben je op grond van de AVG-wetgeving in eerste instantie verplicht om het risico van het lek in te schatten. Deze schat je in op basis van de mogelijke gevolgen van het lekken van de gegevens en de waarschijnlijkheid dat deze gevolgen zich ook daadwerkelijk voordoen. Hoe gevoeliger de gegevens zijn, hoe groter het risico is op schade.
Is je conclusie dat er een risico bestaat, dan moet je het datalek binnen 72 uur melden bij de Autoriteit Persoonsgegevens. Je bent op basis van de AVG bovendien verplicht om de betrokkenen in te lichten als er sprake is van een hoog risico. Op de website van de AP vind je een voorbeeldlijst met mogelijke datalekken, met per situatie een advies om het wel of niet te melden.
Hoe gaat DataChecker om met de AVG?
DataChecker neemt privacy serieus. We zijn ons dan ook terdege bewust van de veiligheidsrisico’s. Onze technologie is zo gebouwd dat alle processen niet alleen voldoen aan de hoogste kwaliteitsnormen, maar ook voldoende veilig zijn als het gaat om gegevensuitwisseling. Onze servers zijn beveiligd en onze processen zijn verantwoordelijk en transparant ingericht. Omdat wij jouw klantgegevens niet langer willen bewaren dan nodig, hanteren we een bewaartermijn van 48 uur na de verwerking.
Ben jij op zoek naar slimme online identificatie- en verificatieoplossingen voor jouw bedrijf? Bekijk dan hier de oplossingen die DataChecker biedt.