De Autoriteit Persoonsgegevens (AP) heeft 10 stappen benoemd die organisaties kunnen helpen in de voorbereidingen op de nieuwe Europese privacywetgeving. Vanaf 25 mei 2018 moeten organisaties voldoen aan deze nieuwe wet, de Algemene Verordening Gegevensbescherming (AVG). Overtredingen van deze wet kunnen oplopen tot boetes van 20 miljoen euro of 4% van de wereldwijde jaaromzet. De AP heeft samen met de andere Europese privacytoezichthouders ook guidelines opgesteld die meer uitleg geven over wanneer en hoe organisaties een privacy impact assessment (PIA) moeten uitvoeren.
De AVG geldt voor de hele Europese Unie (EU) en vervangt in Nederland de huidige Wet bescherming persoonsgegevens (Wbp). Deze nieuwe wet versterkt en breidt privacyrechten van mensen uit én zorgt voor meer verplichtingen voor organisaties die persoonsgegevens verwerken. De nadruk ligt – meer dan nu- op de verantwoordelijkheid van organisaties om te kunnen aantonen dat zij zich aan de wet houden. De AP adviseert organisaties op tijd te beginnen met de implementatie van de regels.
10 stappen
De AP heeft 10 stappen opgesteld die organisaties kunnen doorlopen in de voorbereiding op de nieuwe privacywet. Stap 1 is volgens de AP zorgen voor bewustwording in de organisatie. Wat houden de nieuwe regels in? En wat betekenen deze regels voor menskracht en middelen? De AP wijst in stap 2 op de rechten van betrokkenen. Organisaties moeten zorgen dat mensen hun rechten kunnen uitoefenen. Het gaat dan om bestaande rechten, zoals het recht op inzage en verwijdering van hun gegevens. Maar ook om nieuwe rechten, zoals het recht op dataportabiliteit; het recht om persoonsgegevens te ontvangen die een organisatie van hen heeft, deze zelf op te slaan of door te geven aan een andere organisatie.
Ook moeten organisaties er rekening mee houden dat mensen bij de AP klachten kunnen indienen over de manier waarop organisaties met hun gegevens omgaan. De AP is verplicht deze klachten te behandelen.
Verder adviseert de toezichthouder organisaties onder meer in kaart te brengen welke persoonsgegevens zij verwerken, waar de gegevens vandaan komen en met wie de organisatie ze deelt. Onder de AVG moeten organisaties een register bijhouden om te kunnen aantonen dat ze in overeenstemming met de wet handelen.
Privacy impact assessment
Onder de AVG kunnen organisaties verplicht zijn een privacy impact assessment uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, om vervolgens maatregelen te kunnen nemen om de risico’s te verkleinen. Een PIA is verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Dat is in ieder geval zo als een organisatie:
– systematisch en uitvoerig persoonlijke aspecten evalueert, waaronder profilering;
– op grote schaal bijzondere persoonsgegevens verwerkt;
– op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht).
De Europese privacytoezichthouders hebben guidelines met criteria opgesteld om het risico te bepalen. Daarnaast publiceert de Autoriteit Persoonsgegevens (AP) op termijn een lijst van verwerkingen waarvoor een PIA verplicht is.
Feedback guidelines PIA
De privacytoezichthouders hebben de guidelines opgesteld met input van verschillende stakeholders. De komende zes weken staat het document open voor opmerkingen en suggesties. De toezichthouders kunnen de guidelines waar nodig aanvullen en verrijken om deze zo praktisch mogelijk te laten zijn. Reacties kunnen tot en met 23 mei 2017 in het Engels worden gemaild naar JUST-ARTICLE29WP-SEC@ec.europa.eu en presidenceg29@cnil.fr.
Nederlandse organisaties kunnen ook opmerkingen insturen of vragen over het proces stellen aan de Autoriteit Persoonsgegevens via guidelines@autoriteitpersoonsgegevens.nl of anders via 070 – 8888 500.
Meer guidelines
In december 2016 publiceerden de Europese privacytoezichthouders al guidelines die een aantal andere begrippen uit de AVG verduidelijkten; functionaris gegevensbescherming (FG), dataportabiliteit en leidende autoriteit. De toezichthouders hebben de feedback hierop verwerkt en inmiddels aangepaste guidelines gepubliceerd.
