Bedrijven die persoonsgegevens binnen de EU verwerken, zijn verplicht om een beleid voor gegevensbescherming te ontwikkelen. Wat zegt de wet over gegevensbescherming? Wat vereist de wet? Moet een bedrijf een functionaris voor gegevensbescherming (FG) aanstellen? In dit artikel behandelen we de belangrijkste vragen over gegevensbescherming en leggen we uit hoe je aan de regelgeving kunt voldoen.

Wat staat er in dit artikel?

• Wat zijn persoonsgegevens?
  
• Wat is de verwerking van persoonsgegevens?
  
• Wat zijn de huidige regelgevingen op het gebied van de bescherming van persoonsgegevens?
  
• Wat zijn de principes van de Algemene Verordening Gegevensbescherming (AVG)?
  
• Wat vraagt de AVG?
  

Wat zijn persoonsgegevens?

Persoonsgegevens—ook wel ‘persoonsgegevens’ genoemd—zijn gegevens waarmee iemand direct of indirect kan worden geïdentificeerd. Persoonsgegevens kunnen bestaan uit voor- of achternamen, burgerservicenummers, telefoonnummers, e-mail- of IP-adressen, internetgedrag of foto's. Geanonimiseerde gegevens (dat wil zeggen gegevens waarmee de persoon niet kan worden geïdentificeerd) worden niet als persoonsgegevens beschouwd. Hetzelfde geldt voor gegevens met betrekking tot een rechtspersoon, zoals een bedrijf.

Wat is de verwerking van persoonsgegevens?

De verwerking van persoonsgegevens verwijst naar een groot aantal processen die op persoonsgegevens worden toegepast. Deze processen kunnen het verzamelen, vastleggen, ordenen, opslaan, wijzigen, raadplegen, onderdrukken, extraheren, verspreiden en verwijderen van gegevens omvatten. Deze activiteiten kunnen al dan niet geautomatiseerd zijn.

Voorbeelden van gegevensverwerking zijn het bijhouden van een klantendossier, het verzamelen van contactgegevens van potentiële klanten en het opslaan van IP-adressen. Meestal hebben de persoonsgegevens die door bedrijven worden verwerkt betrekking op klanten, leveranciers, potentiële klanten, werknemers en sollicitanten.

Wat zijn de huidige regels voor de bescherming van persoonsgegevens?

Sinds 25 mei 2018 vormt de Algemene Verordening Gegevensbescherming (AVG) het kader voor het verzamelen en beheren van gegevens binnen de EU. De AVG heeft de regels gestandaardiseerd voor alle publieke en private entiteiten die persoonsgegevens verwerken binnen de EU. Dit zijn de belangrijkste betrokken entiteiten:

• Organisaties die binnen de EU zijn opgericht, zoals start-ups, kleine en middelgrote bedrijven, grote bedrijven, verenigingen, beroepsorganisaties en publieke entiteiten

• Buitenlandse bedrijven die zich richten op Europese burgers

• Verwerkers die namens andere bedrijven persoonsgegevens verzamelen en beheren

Een bedrijf dat bijvoorbeeld in China is gevestigd en de persoonsgegevens van een persoon in Frankrijk verwerkt, moet zich aan de AVG houden.

Welke instantie is verantwoordelijk voor de bescherming van persoonsgegevens in Frankrijk?

De Nationale Commissie voor Informatietechnologie en Burgerlijke Vrijheden (Commission nationale de l'informatique et des libertés, of CNIL) houdt toezicht op de bescherming van persoonsgegevens die worden verzameld door publieke en private instanties. De CNIL helpt bedrijven om te voldoen aan de geldende regelgeving en is verantwoordelijk voor het opleggen van sancties aan bedrijven die zich niet aan de regels houden.

Wat zijn de principes van de Algemene Verordening Gegevensbescherming (AVG)?

De AVG is gebaseerd op verschillende principes. De verwerking van persoonsgegevens moet rechtmatig, transparant, tijdelijk en veilig zijn, en mag alleen plaatsvinden wanneer dat nodig is (d.w.z. minimale gegevensverwerking). Hier volgt meer informatie over elk principe:

• Rechtmatige doeleinden
  Elke keer dat persoonsgegevens worden verwerkt, moet er een rechtsgrondslag die dit rechtvaardigt. Daarom mag een bedrijf geen persoonsgegevens verzamelen zonder een specifiek en legitiem doel.

• Transparantie
  Alle personen moeten worden geïnformeerd over hun rechten en over het feit dat hun gegevens worden verzameld. Het is belangrijk dat bedrijven de uitoefening van de rechten van personen vergemakkelijken.

• Gegevensminimalisatie
  Een bedrijf mag alleen gegevens verzamelen die strikt noodzakelijk zijn om deze doelen te bereiken.

• Beperkte duur
  De duur van de gegevensopslag moet een vaste einddatum hebben. Het bedrijf moet een duidelijk beleid ontwikkelen met betrekking tot gegevensopslag.

• Beveiliging
  Het bedrijf moet beveiligingsmaatregelen nemen om de verzamelde persoonsgegevens te beschermen.

Opmerking: Verwerkers die namens een bedrijf persoonsgegevens verwerken, moeten ook voldoen aan de AVG.

Wat vereist de AVG?

De AVG eist dat een bedrijf informatie en transparantie biedt aan de personen van wie het gegevens verzamelt. Om dit te doen, moeten bedrijven toestemming verkrijgen, de uitvoering van de rechten van klanten vergemakkelijken, een verwerkingsregister bijhouden en de gegevensbeveiliging garanderen.

Personen informeren

Een bedrijf moet alle personen van wie het persoonsgegevens verzamelt, informeren. De informatie moet duidelijk worden gecommuniceerd en moet het volgende bevatten:

• Identiteit en contactgegevens van de verwerker (bijvoorbeeld een manager)

• Reden voor de verwerking

• Rechtsgrondslag voor de verwerking (bijvoorbeeld toestemming van de persoon, uitvoering van een contract, wettelijke verplichting)

• Verplichte of vrijwillige aard van de gegevensverzameling

• Ontvangers van de persoonsgegevens

• Duur van de gegevensopslag

• Rechten van klanten

• Recht om een claim in te dienen bij de CNIL

• Eventuele doorgifte van gegevens naar een land buiten de EU

Als er info ontbreekt, kan er een boete komen van maximaal € 1.500 voor eenmanszaken en € 7.500 voor bedrijven. Bedrijven moeten dit laten weten op het moment dat ze gegevens verzamelen, als er later iets verandert, of binnen een redelijke termijn van een maand (bijvoorbeeld bij indirecte gegevensverzameling).

Toestemming vragen

Bedrijven moeten ook toestemming van klanten vragen als ze het volgende doen:

• Cookies gebruiken

• Promotionele e-mails versturen

• Gevoelige persoonlijke gegevens verzamelen

• Gegevens voor andere doeleinden hergebruiken

Klanten moeten voor alle doeleinden afzonderlijk toestemming kunnen geven als er meer dan één doel is. Bedrijven mogen geen selectievakjes gebruiken die standaard zijn aangevinkt.

Opmerking: het niet verkrijgen van toestemming kan worden bestraft met vijf jaar gevangenisstraf en een boete van € 300.000 voor eenmanszaken of € 1,5 miljoen voor bedrijven.

Individuele rechten garanderen

Bedrijven moeten de rechten respecteren van de personen van wie ze gegevens verwerken. Dit zijn onder andere het recht op toegang, het recht op rectificatie, het recht om vergeten te worden, het recht om bezwaar te maken tegen verwerking en het recht op gegevensoverdraagbaarheid. Het is belangrijk dat bedrijven het voor personen makkelijk maken om hun rechten uit te oefenen.

Schriftelijke verslagen van verwerkingsactiviteiten bijhouden

Een verslag van verwerkingsactiviteiten kan inzicht geven in alle voltooide activiteiten. Het bijhouden van een schriftelijk register is verplicht voor bedrijven met meer dan 250 werknemers.

Gegevensbeveiliging

Het is belangrijk om robuuste mechanismen te creëren om de gegevensbeveiliging te garanderen. Bedrijven kunnen de volgende strategieën implementeren:

• Verplichte klantauthenticatie en toegangsbeperkingen

• Dagelijkse logboeksystemen om ervoor te zorgen dat activiteiten traceerbaar zijn

• Automatische vergrendeling, firewalls, antivirussoftware en virtuele privénetwerken (VPN's)

• Regelmatige back-ups en archivering van gegevens die niet dagelijks worden gebruikt

Je kunt Stripe Checkout rechtstreeks op je website integreren om de veiligheid van de gegevens van je klanten te verbeteren. Checkout maakt het makkelijker om betalingsgegevens van klanten in te voeren en opnieuw te gebruiken, terwijl gevoelige kaartgegevens volledig volgens de regels worden beheerd.

Andere verplichtingen

Als een bedrijf op grote schaal persoonsgegevens verwerkt, kan het verplicht zijn om een DPO aan te wijzen. Bovendien is een gegevensbeschermingseffectbeoordeling (DPIA) verplicht wanneer de verwerkingsactiviteiten van een bedrijf een verhoogd risico vormen voor de rechten en vrijheden van klanten.

Als persoonsgegevens buiten de EU worden doorgegeven (bijvoorbeeld aan een dochteronderneming in China of een buitenlandse contractant), moeten bedrijven toestemming vragen aan de Europese Commissie. Er moet een adequaatheidsbesluit worden genomen voordat het bedrijf zijn gegevens mag doorgeven.