De AVG, ook wel bekend als de GDPR (General Data Protection Regulation), is een nieuwe privacywet binnen de Europese Unie waaraan alle organisaties die te maken hebben met persoonsgegevens moeten voldoen. Het is een versterking en uitbreiding van de huidige privacyrechten met als doel om een zo maximaal mogelijke controle voor natuurlijke personen te realiseren ten aanzien van de eigen persoonsgegevens. Vanaf 25 mei 2018 is de AVG van kracht. Maar wat gaat er allemaal precies veranderen en hoe heeft dit impact op jouw organisatie? We leggen het je graag uit.

Wat zijn persoonsgegevens?

De AVG heeft een andere, uitgebreidere betekenis toegekend aan het begrip persoonsgegevens. Niet alleen gegevens als namen, adressen of leeftijd worden onder dit begrip verstaan, maar ook andere gegevens die gekoppeld kunnen worden aan een persoon zoals IP-adressen en cookies. Zelfs als de naam van de persoon achter een cookie niet bekend is, moeten deze gegevens toch als privacygevoelig worden behandeld.

Verwerken van persoonsgegevens

Het verwerken van persoonsgegevens mag onder de AVG niet meer zomaar gebeuren. Er zijn een aantal wettelijke grondslagen die je het recht geven om persoonsgegevens te verzamelen:

• Er is expliciet toestemming verkregen van de betrokken persoon.
• De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst, bijvoorbeeld bij het online verkopen van een product.
• De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting. Denk hierbij bijvoorbeeld aan een bevel van de politie om bepaalde gegevens te verstrekken of het verstrekken van gegevens voor de uitvoering van de belastingwet.
• De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen. Er is sprake van een vitaal belang als het over een belang gaat dat essentieel is voor iemands leven of gezondheid en die persoon niet om toestemming kan worden gevraagd.
• De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
• De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen. Dit belang moet rechtmatig, voldoende duidelijk verwoord en ook echt aanwezig zijn. Dit is zo wanneer een verwerking aantoonbaar noodzakelijk is om bedrijfsactiviteiten te verrichten. Denk bijvoorbeeld aan de personeelsadministratie.

Een belangrijk aspect van de nieuwe wetgeving is de verantwoordingsplicht. De verantwoordingsplicht houdt in dat je moet kunnen aantonen dat het verwerken van persoonsgegevens binnen jouw organisatie aan de regels van de AVG voldoen. Ook moet je aan kunnen tonen dat de juiste technische en organisatorische maatregelen zijn genomen om de persoonsgegevens te beschermen.

Maar hoe doe je dit? 

Lees op onze blog hoe je in 10 stappen je website AVG-proof maakt en welke concrete aandachtspunten er zijn voor een e-commerce.