Algemene Verordening Gegevensbescherming (AVG)

De eerste stappen naar compliance aan de AVG

Toch blijken in de praktijk de meeste bedrijven en organisaties hun stappen op dit vlak met grote regelmaat te hebben uitgesteld tot het allerlaatste moment. Stel dat u nu wakker schrikt. Wat zijn nu de eerste stappen die gezet moeten worden? De toezichthoudende autoriteit, de Autoriteit Persoonsgegevens, geeft op haar blog een aantal handige beginpunten, zoals bewustwording, rechten van betrokkenen en een overzicht van verwerkingen maken. Veel houvast biedt dat ondernemers niet.

Privacy statements en verwerkersovereenkomsten

Bij de weg naar privacy compliance gaat de meeste aandacht van bedrijven en organisaties uit naar de uiterlijke verschijningsvormen van de privacyregels, zoals privacy statements of verwerkersovereenkomsten. Misschien is dat wel logisch, omdat dat een commercieel effect heeft (of omdat de contractuele wederpartij daarom vraagt), maar onze ervaring leert dat het beter is om intern te beginnen met het optuigen van de wettelijk verplichte privacy-administratie.

Verwerkingen van persoonsgegevens

Onze ervaring leert dat het efficiënt en logisch is om te beginnen met het in kaart brengen van alle verwerkingen die een organisatie doet met persoonsgegevens. Zowel het begrip ‘verwerken’ (artikel 4 sub 2 AVG) als ‘persoonsgegevens’ (artikel 4 lid 1 AVG) zijn zeer ruime begrippen. Eigenlijk valt alles wat een bedrijf of organisatie doet met gegevens die gaan over een geïdentificeerd of identificeerbaar natuurlijk persoon (een levend mens) al onder die combinatie van begrippen. Dat betekent dat de AVG van toepassing is, maar ook dat de verwerkingsactiviteiten in kaart moeten worden gebracht.

Privacy-administratie en register voor verwerkingsactiviteiten

De AVG vraagt aan alle bedrijven en organisaties die binnen de Europese Unie zijn gevestigd zich:

1. te houden aan de beginselen en regels van de AVG (artikel 5 lid 1 AVG); en
2. de naleving van die regels aantoonbaar te maken (artikel 5 lid 2 AVG) en hun verwerkingsactiviteiten in kaart te brengen met een register voor verwerkingsactiviteiten (artikel 30 AVG).

Vanuit het in kaart brengen van de verwerkingsactiviteiten komt het bedrijf er al snel achter waar de pijnpunten liggen, zoals het ontbreken van een verwerkingsovereenkomst of van passende beveiligingsmaatregelen. Ook draagt het meteen bij aan de bewustwording. Gebruik vervolgens bij het daadwerkelijke registreren van de verwerkingsactiviteiten een format dat voldoet aan alle eisen die de AVG eraan stelt.

Koen Konings

Koen is informatierecht advocaat bij NORD advocaten in Groningen. Daarnaast geeft hij gastcollege voor de opleiding Data Science van de IT Academy.

Een informatiemaatschappij vereist een informatierechtadvocaat. Dat is mr. Koen Konings. Internet, software, automatisering en verwerking van persoonsgegevens zijn dagelijkse kost voor iedere organisatie, zowel voor leveranciers als voor afnemers. Koen bestrijkt als advocaat al deze gebieden met zijn specialismen in IT-recht, privacy compliance en intellectueel eigendomsrecht. Daarnaast heeft hij jarenlange ervaring als docent IT-recht opgedaan bij de Rijksuniversiteit Groningen en weet hij op bevlogen wijze kennis met de praktijk te verbinden.