Gegevensbeskerming yn Nederlân rêst op twa ynstruminten: de Algemiene Ferordening Gegevensbeskerming (AVG), dy't direkt jildt yn 'e hiele EU, en de Nederlânske AVG-ymplemintaasjewet (UAVG), dy't allinich de nasjonale karren ynfollet dy't de Ferordening iepen lit. De UAVG wiist ek de Nederlânske Autoriteit Persoonsgegevens (AP) oan as tafersjochhâlder; it makket gjin lichter rezjym.
Omdat de Regeling direkt fan tapassing is, is de AVG sels dêr't jo organisaasje oan foldwaan moat. De UAVG is fan belang as der in nasjonale kar makke is, en dat binne krekt de punten dy't organisaasjes dy't aktyf binne yn ferskate lidsteaten faak oer it hoed sjogge.
Wat foeget de Útfieringswet ta?
In beheind oantal nasjonale keuzes. Foar tsjinsten fan 'e ynformaasjemaatskippij dy't direkt oan in bern oanbean wurde, hat Nederlân de standertleeftyd fan sechstjin fan 'e AVG hanthavene ûnder artikel 8 AVG, en artikel 5 UAVG wreidet dy regel út: yn oare situaasjes wêr't tastimming de basis is, hat in bern ûnder de sechstjin ek de tastimming fan in âlder of fersoarger nedich, dy't dy op elk momint ynlûke kin.
De UAVG stelt ek útsûnderingen foar gegevens fan spesjale kategoryen. Artikel 29 UAVG lit biometryske gegevens ferwurke wurde foar unike identifikaasje as dit nedich is foar autentikaasje- of feiligensdoelen, in útsûndering dy't brûkt wurdt foar tagongskontrôle- en oanmeldsystemen. Artikels 31 oant en mei 33 UAVG regelje de ferwurking fan kriminele gegevens, en de Wet befettet útsûnderingen foar sjoernalistyk, ûndersyk en argyfearjen.
Hokker ferplichtingen binne yn 'e praktyk fan belang?
Fjouwer dingen binne ferantwurdlik foar it measte wurk. Earst, in oersjoch fan ferwurkingsaktiviteiten ûnder artikel 30 AVG: it dokumint dat de AP earst freget, en it dokumint dat jo twingt om te witten wat jo eins hawwe. Twad, in wetlike basis ûnder artikel 6 AVG foar elke ferwurkingsoperaasje, bewust keazen ynstee fan standert tastimming te jaan, dy't op elk momint ynlutsen wurde kin.
Tredde, in oerienkomst foar gegevensferwurking mei elke ferwurker ûnder artikel 28 AVG, en foldwaande befeiligingsmaatregels as persoanlike gegevens de Jeropeeske Ekonomyske Gebiet ferlitte. Fjirde, in wurkproseduere foar fersykjes fan betrokkenen en foar melding fan ynbreuken oan de AP binnen 72 oeren ûnder artikel 33 AVG.
Hoe wurdt de GDPR hanthavene?
De AP kin ûndersyk dwaan, maatregels befelje, ferwurkingsferbodden oplizze en organisaasjes beboete. Neffens artikel 83 AVG kinne boetes oprinne oant € 10 miljoen of 2% fan 'e wrâldwide jierlikse omset foar oertredings fan bestjoerlike ferplichtingen, en oant € 20 miljoen of 4% fan 'e omset, wat it heechste is, foar oertredings fan 'e kearnprinsipes, rjochten fan betrokkenen of oerdrachtregels.
Yndividuen kinne ek kompensaasje oanfreegje ûnder artikel 82 AVG, en sûnt it kollektive skeafergoedingsregime (WAMCA) yn 2020 fan krêft waard, binne kollektive aksjes oer datalekken in echte bleatstelling wurden yn Nederlân.
Wat moatte jo as kontrôleur kontrolearje?
- Is jo oersjoch fan ferwurkingsaktiviteiten (artikel 30 AVG) folslein en aktueel?
- Hawwe jo in wetlike basis dokumintearre foar elke ferwurkingsoperaasje?
- Is der in ûndertekende ferwurkingsoerienkomst mei elke ferwurker?
- Kinne jo in ynbreuk binnen 72 oeren melde by de AP?
- Hawwe jo in ynfloedbeoardieling op gegevensbeskerming nedich (artikel 35 AVG) foar ferwurking mei hege risiko's?
Wat moatte jo as ferwurker kontrolearje?
- Ferwurkje jo persoanlike gegevens allinich neffens de dokumintearre ynstruksjes fan 'e ferantwurdlike (artikel 28 AVG)?
- Brûke jo subferwurkers allinich mei de autorisaasje fan 'e ferantwurdlike?
- Binne jo feiligensmaatregels beskreaun en hifke?
- Sille jo de ferwurker sûnder ûnnedige fertraging ynformearje nei in ynbreuk?
Wat kinne wy foar jo dwaan mei GDPR-neilibjen?
Us IT-juristen begjinne mei wat jo organisaasje eins docht mei gegevens, net mei in sjabloan. Wy kinne:
- Konseptearje of kontrolearje jo ferslach fan ferwurkingsaktiviteiten en privacyferklearring.
- Beoardielje de wetlike basis foar elke ferwurkingsoperaasje.
- Opstelle en ûnderhannelje oerienkomsten foar gegevensferwurking en oerdrachtklausules.
- Begeliede jo troch in ynfloedbeoardieling op gegevensbeskerming.
- Helpe mei in ynbreukmelding oan de AP en mei in AP-ûndersyk of boete.
Gearfetting
- De GDPR stelt de ynhâldlike regels direkt fêst; de UAVG follet allinnich de nasjonale keuzes yn.
- Bern ûnder sechstjin hawwe âlderlike tastimming nedich as tastimming de basis is (artikel 8 AVG en artikel 5 UAVG).
- Artikel 29 UAVG lit biometryske gegevens ta foar autentikaasje- of befeiligingsdoelen.
- In ferwurkingsrekord, in wetlike basis per operaasje, ferwurkingsoerienkomsten en in 72-oere proseduere foar ynbreuk binne ferantwurdlik foar it measte neilibingswurk.
- Boetes ûnder artikel 83 AVG kinne oprinne oant € 20 miljoen of 4% fan 'e wrâldwide omset; yndividuen en groepen kinne apart kompensaasje oanfreegje.
Faak Stelde Fragen
Hawwe wy in gegevensbeskermingsamtner nedich?
Allinnich dêr't Artikel 37 AVG ien fereasket: oerheidsynstânsjes, en organisaasjes waans kearnaktiviteiten grutskalige reguliere kontrôle of grutskalige ferwurking fan gegevens fan spesjale kategoryen omfetsje. As jo frijwillich ien beneame, binne de wettelike posysje en beskermingen fan tapassing.
Is tastimming de feilichste basis?
Meastentiids net. Tastimming moat frijwillich jûn wurde en kin op elk momint ynlutsen wurde, wêrnei't de ferwurking stopset wurde moat. Legitieme belangen of útfiering fan in kontrakt (artikel 6 AVG) binne faak robúster, mits de beoardieling dokumintearre is.
Is de GDPR op ús fan tapassing as wy bûten de EU binne?
It kin. Neffens artikel 3 AVG is de regeling fan tapassing as jo guod of tsjinsten oanbiede oan minsken yn 'e EU of har gedrach dêr kontrolearje, wêr't jo organisaasje ek fêstige is.
