Bereid in 10 stappen jouw organisatie voor op de nieuwe privacywetgeving

Vanaf 25 mei 2018 moeten organisaties voldoen aan de Algemene verordening gegevensbescherming (AVG). De Autoriteit Persoonsgegevens (AP) heeft een 10 stappenplan opgezet zodat bedrijven zich op de juiste manier kunnen voorbereiden op deze nieuwe privacywetgeving.

De AVG is een privacywetgeving die voor de gehele Europese Unie zal gelden. In Nederland zal de AVG de huidige Wet bescherming persoonsgegevens (Wbp) vervangen. De nieuwe wet versterkt de privacy rechten van mensen en breidt deze uit. Dit zal zorgen voor meer verplichtingen voor organisaties die persoonsgegevens verwerken. Zij zullen steeds meer aan moeten kunnen tonen dat zij zich aan de wet houden.

Mocht de wet door organisaties overtreden worden, kunnen de boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. De AP adviseert organisaties op tijd te beginnen met de implementatie van de regels.

De tien stappen die de AP benoemt heeft, zijn als volgt:

Stap 1: Bewustwording

Zorg ervoor dat de mensen binnen jouw organisatie op de hoogte zijn van de nieuwe privacyregels.

Stap 2: Rechten van betrokkenen

Zorg ervoor dat betrokkenen hun privacy rechten goed uit kunnen oefenen. Dit geldt voor zowel bestaande rechten, als nieuwe rechten.

Stap 3: Overzicht verwerkingen

Breng jouw gegevensverwerkingen in kaart. Onder de AVG heb je namelijk een documentatieplicht, waarbij je moet kunnen aantonen dat jouw organisatie in overeenstemming met de AVG handelt.

Stap 4: Privacy impact assessment (PIA)

PIA is een instrument om vooraf de privacy risico’s van gegevensverwerking in kaart te brengen en maatregelen te kunnen nemen om deze risico’s te verkleinen. Onder de AVG kun je verplicht zijn om PIA uit te voeren.

Stap 5: Privacy by design en privacy by default

Maak jouw organisatie vertrouwd met de onder de AVG verplichte uitgangspunten van privacy by design en privacy by default en ga na hoe je deze beginselen binnen jouw organisatie in kunt voeren.

Stap 6: Functionaris voor de gegevensbescherming (FG)

Onder de AVG kunnen organisaties verplicht zijn om een FG aan te stellen. Ga na of dit voor jouw organisatie geldt.

Stap 7: Meldplicht datalekken

Onder de AVG verandert er niet veel aan het meldplicht datalekken. Wel zullen er strengere eisen aan de eigen registratie van datalekken gesteld worden.

Stap 8: Bewerkersovereenkomsten

Heb jij jouw gegevensverwerking uitbesteed? Ga dan na of de bestaande contracten voldoen aan de vereisten in de AVG.

Stap 9: Leidende toezichthouder

Heeft jouw organisatie vestigingen in meerdere EU-lidstaten of hebben jouw gegevensverwerkingen betrekking op meerdere lidstaten? Dan hoef je onder de AVG nog maar met één privacy toezichthouder zaken te doen: de leidende toezichthouder.

Stap 10: Toestemming

Jouw gegevensverwerking kan gebaseerd zijn op toestemming van de betrokkenen. De AVG stelt strengere eisen aan deze toestemming. Ga na of jouw manier van toestemming vragen voldoet aan deze eisen.

Lees hier het volledige tienstappenplan van de AP.