Algemene verordening gegevensbescherming (AVG)

De AVG is het basiskader voor alles wat een organisatie met gegevens over mensen doet: klanten, personeel, sollicitanten, bezoekers, leveranciers. Elke verwerking heeft een van de zes grondslagen nodig, moet uitlegbaar zijn aan de betrokkene en moet passend beveiligd zijn. De verordening kent geen ondergrens naar bedrijfsomvang: een bedrijf met vijf medewerkers valt er even goed onder als een beursfonds, al zijn sommige verplichtingen — het verwerkingsregister, de functionaris voor gegevensbescherming — wel aan omvang of risico gekoppeld.

Waarvoor is dit bedoeld

Eén set regels voor de hele Unie, zodat persoonsgegevens vrij kunnen stromen en tegelijk beschermd zijn. De kern is verantwoording: de organisatie die het doel en de middelen van een verwerking bepaalt, moet kunnen aantonen dat zij zich aan de regels houdt.

Voor wie

Iedere verwerkingsverantwoordelijke en verwerker met een vestiging in de Unie, ongeacht waar de verwerking plaatsvindt (art. 3, lid 1). Daarnaast geldt de verordening voor organisaties buiten de Unie die goederen of diensten aanbieden aan mensen in de Unie of hun gedrag volgen (art. 3, lid 2). Verwerkingsverantwoordelijke is wie het doel en de middelen bepaalt; verwerker is wie dat namens een ander doet, zoals een hostingpartij of een salarisadministratiekantoor (art. 4).

Wat er niet onder valt

Verwerking door een natuurlijke persoon bij een zuiver persoonlijke of huishoudelijke activiteit, en verwerking door bevoegde autoriteiten met het oog op opsporing, vervolging en strafexecutie (art. 2, lid 2). Die laatste categorie valt onder een eigen richtlijn, in Nederland uitgewerkt in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Gegevens die niet tot een geïdentificeerde of identificeerbare natuurlijke persoon herleidbaar zijn, zijn geen persoonsgegevens (art. 4, lid 1). Het plaatsen en uitlezen van cookies heeft een eigen grondslag in artikel 11.7a van de Telecommunicatiewet.

Wat je moet doen

Voor elke verwerking een grondslag hebben uit artikel 6, lid 1: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, publieke taak of gerechtvaardigd belang. Mensen vooraf informeren (art. 12 tot en met 14), niet meer gegevens verwerken dan nodig, de beveiliging op het risico afstemmen (art. 32) en met elke verwerker een verwerkersovereenkomst sluiten (art. 28).

Verwerkersovereenkomst

De verwerker mag alleen op schriftelijke instructie verwerken, moet geheimhouding regelen, de beveiligingsmaatregelen van artikel 32 treffen, dezelfde eisen doorleggen aan subverwerkers, helpen bij verzoeken van betrokkenen, na afloop de gegevens wissen of teruggeven en audits mogelijk maken (art. 28, lid 3). Een subverwerker inschakelen mag alleen met voorafgaande schriftelijke toestemming, specifiek of algemeen; bij algemene toestemming moeten wijzigingen worden gemeld.

Verwerkingsregister

Organisaties met minder dan tweehonderdvijftig medewerkers hoeven geen register bij te houden, tenzij de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, niet incidenteel is, of bijzondere categorieën gegevens dan wel strafrechtelijke gegevens betreft (art. 30, lid 5). Personeelsadministratie en klantenbestanden zijn structureel en niet incidenteel, waardoor de uitzondering in de praktijk zelden volledig opgaat.

Functionaris voor gegevensbescherming

Verplicht bij verwerking door een overheidsinstantie, bij organisaties die hoofdzakelijk betrokkenen op grote schaal regelmatig en stelselmatig observeren, en bij organisaties die hoofdzakelijk op grote schaal bijzondere categorieën gegevens of strafrechtelijke gegevens verwerken (art. 37, lid 1). Buiten die drie gevallen mag het vrijwillig.

Effectbeoordeling

Een gegevensbeschermingseffectbeoordeling is verplicht bij verwerkingen die waarschijnlijk een hoog risico opleveren, in het bijzonder bij nieuwe technologie (art. 35, lid 1). Genoemd worden onder meer stelselmatige geautomatiseerde beoordeling met rechtsgevolgen, grootschalige verwerking van bijzondere of strafrechtelijke gegevens en grootschalige stelselmatige observatie van openbaar toegankelijke ruimten (art. 35, lid 3). De toezichthouder publiceert een lijst van verwerkingen waarvoor de beoordeling verplicht is (art. 35, lid 4).

Datalekken

Een inbreuk melden bij de toezichthouder zonder onredelijke vertraging en zo mogelijk binnen tweeënzeventig uur na kennisname, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen (art. 33). Latere meldingen moeten worden toegelicht, informatie mag in stappen komen, en alle inbreuken moeten intern worden gedocumenteerd. Bij een waarschijnlijk hoog risico worden ook de betrokkenen zelf geïnformeerd (art. 34).

Rechten van betrokkenen

Inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar, plus regels over geautomatiseerde besluitvorming (art. 15 tot en met 22). De reactietermijn is onverwijld en in ieder geval binnen een maand na ontvangst, met een verlenging van twee maanden als dat nodig is, mits de betrokkene binnen de eerste maand over die verlenging wordt geïnformeerd (art. 12). Antwoorden is kosteloos; alleen bij kennelijk ongegronde of buitensporige verzoeken mag een redelijke vergoeding worden gevraagd of het verzoek worden geweigerd, en de bewijslast daarvoor ligt bij de organisatie.

Doorgifte buiten de EU

Doorgifte aan een derde land of internationale organisatie mag alleen als aan de voorwaarden van hoofdstuk V is voldaan en het beschermingsniveau in stand blijft (art. 44). De instrumenten zijn onder meer een adequaatheidsbesluit van de Commissie (art. 45) en passende waarborgen zoals modelcontractbepalingen (art. 46).

Schadevergoeding

Wie materiële of immateriële schade lijdt door een inbreuk op de verordening, kan schadevergoeding vorderen van de verwerkingsverantwoordelijke of de verwerker (art. 82). De verwerker is alleen aansprakelijk als hij zijn eigen verplichtingen niet is nagekomen of buiten dan wel tegen de rechtmatige instructies van de verantwoordelijke heeft gehandeld.

Verhouding tot andere regels

De Uitvoeringswet AVG vult de nationale keuzeruimte in. De Dataverordening laat het gegevensbeschermingsrecht voorgaan als beide van toepassing zijn. Voor cookies en vergelijkbare technieken geldt eerst de toestemmingsregel uit de Telecommunicatiewet, en pas daarna de AVG voor de verwerking die erop volgt.

Toezicht NL

De Autoriteit Persoonsgegevens. Betrokkenen kunnen bij haar een klacht indienen; de AP kan onderzoeken instellen, maatregelen opleggen en boetes uitdelen.

Boete

Twee niveaus. Tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, als dat hoger is, voor verplichtingen uit onder meer de artikelen 8, 11, 25 tot en met 39 en 42 en 43 — daaronder vallen beveiliging, verwerkersovereenkomsten, register, datalekmelding en effectbeoordeling (art. 83, lid 4). Tot twintig miljoen euro of vier procent voor de basisbeginselen en de voorwaarden voor toestemming (art. 5, 6, 7 en 9), de rechten van betrokkenen (art. 12 tot en met 22) en doorgifte naar derde landen (art. 44 tot en met 49), en voor het niet opvolgen van een bevel van de toezichthouder (art. 83, lid 5 en lid 6).