AVG… moet ik daar ook wat mee?

Maak overzichtelijk (en houd actueel) waar welke persoonsgegevens worden vastgelegd, waarvoor deze dienen, wie er toegang (ook extern?) toe heeft en hoe lang ze bewaard worden.

Dit wordt vanuit de AVG niet verplicht gesteld voor kleinere bedrijven, maar ik raad het wel iedereen aan. Een dergelijk overzicht maakt namelijk eenvoudig duidelijk hoe de stroom in elkaar steekt. Verder zorgt dit meteen voor bewustwording dat sommige vanzelfsprekendheden  aandacht behoeven.

Denk aan e-mail verkeer, sociale media, inschrijfformulier voor je nieuwsbrief, de boekhouder, de back-up naar de cloud, IP gegevens voor Google Analytics etc.

Ga verder na of er bijzondere persoonsgegevens worden verwerkt, zoals medische gegevens, religieuze gegevens, BSN, e.d. (meer informatie). Als dit het geval is, zijn er strengere eisen gesteld. Aangezien deze behoorlijk specifiek zijn, ga ik hier in deze blog niet verder op in.

Op welke apparaten en applicaties werk je met persoonsgegevens? Wellicht bewaar je nog ergens papieren met persoonsgegevens in een kast? Zijn er koppelingen, of transfers tussen systemen, of tussen derden? Wie heeft hier toegang toe? Hoe lang wordt deze data bewaard? Maak ook dit overzichtelijk en bekijk per punt of dit voldoende is beveiligd. Of moeten er aanpassingen plaatsvinden. En zijn er procedures ingericht die de apparaten en applicaties up to date houden en dus de risico’s beperken?

Ik zal je een aantal voorbeelden geven:

• Wanneer je formulieren op je website hebt staan, waar persoonsgegevens ingevoerd worden, dan dien je de verbinding te beveiligen met encryptie; SSL certificaat.
• Als je een webshop hebt die natuurlijk persoonsgegevens vastlegt, dan moet je ervoor zorgen dat het systeem onderhouden wordt en dus voorzien is van de laatste security patches.
• Als je als zelfstandige regelmatig in koffiezaken werkt en daar gebruik maakt van het openbare wifi netwerk, dan is het zeker raadzaam om bijvoorbeeld gebruik te maken van een beveiligde VPN verbinding.
• Laat wachtwoorden niet slingeren op je bureau, schrijf ze niet op een geeltje en plak ze niet op de rand van je beeldscherm. Gebruik sterke wachtwoorden en bijvoorbeeld een wachtwoordkluis als KeePass.
• Wanneer je op je website het bezoek analyseert met Google Analytics worden standaard IP-gegevens geregistreerd. Meld dit in een cookie-melding, of maak aanpassingen binnen Analytics waardoor dit niet hoeft, door het anonimiseren van de IP-gegevens.

De overheid heeft een generator beschikbaar gesteld:

Privacyverklaring generator.

Privacy by design

Bij het ontwerpen van (nieuwe) processen moeten deze zo ingericht worden dat privacy de aandacht krijgt die het nodig heeft. Dus wanneer een koppeling met een extern systeem nodig is, dat hier standaard een beveiligde verbinding voor wordt gebruikt. Of dat je opneemt in het contract van een nieuwe medewerker dat deze zich houdt aan de eisen van je beleid, dus dat de medewerker geen wachtwoorden op een blaadje schrijft. Of de pc vergrendelt wanneer hij er niet achter zit.

Privacy by default

Dit is zeer verwant aan het vorige onderwerp, maar hier kun je denken aan een webshop, waar soms standaard het vinkje voor het abonneren op de nieuwsbrief aanstaat bij het afrekenen. Dit mag dus niet meer. De betrokkene moet altijd expliciet akkoord gaan met zoiets en jij moet dit ook aan te kunnen tonen.

Een ander voorbeeld is het monitoren en registreren van het bezoek op een website. Wanneer hier persoonsgegevens worden opgeslagen, dan moet de betrokkene hier akkoord voor geven, dus in veel gevallen ben je verplicht dit te melden (cookiemelding) en pas nadat er akkoord is gegaan, mag de registratie starte

Om dit te kunnen bepalen, zijn er richtlijnen opgesteld.

Een van de grootste wijziging in de wetgeving zijn de rechten die de betrokkene krijgt en jij moet hier gehoor aan geven.

• De betrokkene mag vragen welke persoonsgegevens van hem verzameld zijn. Je moet dit binnen een maand op leveren.
• Als de gegevens niet (meer) correct zijn, heeft de betrokkene het recht om de gegevens aan te passen.
• De betrokkene heeft het recht om “vergeten” te worden. Zijn gegevens moeten, voor zover wettelijk mogelijk, worden gewist.
•  De betrokkene mag zijn gegevens opvragen, zodat deze op een andere plek (door een andere partij) verwerkt kunnen worden. Deze gegevens moeten in een gangbare vorm worden aangeleverd.

Zorg ervoor dat je weet wat je moet doen, wanneer er een verzoek komt.

Denk aan de techneut die vanuit India op je systeem inlogt, of de back-up die in de VS staat.

Zo ja, dan gelden extra eisen. Voor dit specifieke geval verwijs ik je voor meer informatie door naar de Autoriteit Persoonsgegevens. Doorgifte buiten EU.

Het is wel verplicht voor:

• overheidsinstellingen en publieke organisaties
• organisaties die vanuit hun kernactiviteiten op grote schaal individuen volgen,
  zoals het stelselmatig observeren van personen
• organisaties die hoofdzakelijk zijn belast met het grootschalig verwerken van
  bijzondere persoonsgegevens.

Wie voorgaande stappen volgt en bovendien de richtlijnen van zijn beroepsvereniging volgt, zit doorgaans wel goed. Wil je garanties dat je alles juridisch compleet hebt dichtgespijkerd, laat dan de zaken checken door een jurist.