AVG: hoe staan we er voor?
(door Gerrit van Rooij en Jan van den Berg, DPO Network) De Algemene Verordening Gegevensbescherming (AVG) is ruim een half jaar geleden van kracht gegaan. In 2018 was er daarom veel te doen rond privacy en de bescherming van persoonsgegevens. Nu, met een nieuw jaar voor de boeg, is het een goed moment om vooruit te kijken.
Graag delen we onze ideeën met u, maar we zijn vooral ook geïnteresseerd in hoe het u vergaat. Aan het eind van dit blog vragen we door middel van een enquête om uw mening. Geheel in lijn met de AVG, vinden we dat uw gegevens niet van ons zijn maar van u. De uitkomst van onze enquête delen we graag met u zodat u er ook echt iets aan heeft.
Papieren tijger?
Een veel gehoorde opmerking is dat naleving van de AVG vooral een papieren tijger is met een lage ‘pakkans’, omdat het de Autoriteit Persoonsgegevens (AP) ontbreekt aan de capaciteit.
Ondertussen heeft de AP het Toezichtkader voor 2018-2019 gepubliceerd en haar capaciteit uitgebreid. Daarin geeft ze aan dat er extra focus zal komen te liggen op zowel de beveiliging van persoonsgegevens, het hanteren van juiste grondslagen en de uitwisseling van persoonsgegevens. Ook zal naleving actief gecontroleerd gaan worden.
Zo heeft de AP bij alle banken en verzekeraars gecheckt of er een Functionaris Gegevensbescherming is aangesteld. Ook wordt in het bedrijfsleven, waaronder de financiële dienstverlening, steekproefsgewijs getoetst of het register van verwerkingsactiviteiten wordt bijgehouden.
Recent heeft de AP sanctionerend opgetreden en heeft ze een dwangsom opgelegd aan Theodoor Gillissen Bankiers vanwege het niet naleven van de privacywetgeving. Ook heeft de AP een boete opgelegd aan Uber vanwege het niet tijdig melden van een datalek en aan de Politie vanwege het niet op orde hebben van het toegangsbeleid. In andere Europese landen zijn er inmiddels meerdere boetes opgelegd.
Mensen hechten wel degelijk aan hun privacy maar laten zich in de praktijk vaak leiden door gemak en voordelen die in ruil voor hun persoonsgegevens te verkrijgen zijn. De zogenaamde privacy paradox. Dat neemt niet weg dat consumenten meer en meer gebruik maken van hun recht van inzage en gegevens-wissing. Daarbij worden ze geholpen door initiatieven als My Data Done Right en de De Datavakbond.
Niet altijd duidelijk
De AVG is er duidelijk over dat de wet moet worden nageleefd. Echter, omdat de wet neutraal is geformuleerd met betrekking tot techniek en sectoren, is de AVG er niet altijd duidelijk over hoe dat moet gebeuren. Om die reden staan er veel open normen in de AVG. Toelichtingen van de toezichthouders en of uitspraken van rechters moeten hier invulling aan gaan geven.
Wat het BSN betreft: hier is inderdaad al veel over gesproken. Volgens het ministerie van Financiën mogen financiële dienstverleners het BSN niet verwerken omdat het niet noodzakelijk is. Volgens de brancheorganisatie Adfiz mag het wel zolang je daar de machtiging van de consument voor hebt. Het blijft onduidelijk. Inmiddels heeft de sector het ministerie nogmaals gevraagd om overleg daarover. We blijven het volgen.
De AVG geeft geen absolute normen voor de beveiliging van persoonsgegevens. Bij het bepalen van passende veiligheidsmaatregelen moet rekening worden gehouden met context, risico’s en kosten en van de stand van de techniek. Wel is duidelijk dat er steeds meer wordt nagedacht over beveiligingsmaatregelen.
Welke risico’s loop ik?
Het grootste risico dat u loopt is dat uw klanten de dupe worden van een beveiligingsincident waarvoor u verantwoordelijk bent waardoor persoonsgegevens op straat komen te liggen. Datalekken zijn dagelijks in het nieuws. Neem dus uw maatregelen! Voorkom reputatieschade. Vertrouwen komt immers te voet en gaat te paard. Niet alleen de wet vraagt om een zorgvuldige omgang met persoonsgegevens, ook klanten en relaties beoordelen organisaties daarop. Zaak dat het goed geregeld is.
Enquête en benchmark
Om te kunnen weten waar u staat nodigen we u uit om mee te doen aan onze privacy-enquête. Vooral willen we dat u er iets aan heeft. Wanneer u meedoet, krijgt u van ons een benchmark waarmee de manier waarop u persoonsgegevens verwerkt kunt vergelijken met hoe er gemiddeld door collega-organisaties in uw branche mee wordt omgegaan.
De uitkomst van de enquête biedt ons de mogelijkheid om onze dienstverlening aan u te kunnen verbeteren en af te stemmen op uw bedrijfsvoering. Ook daarvan kan u profiteren. Uiteraard zullen wij uw gegevens veilig verwerken en garanderen uw anonimiteit.
Ga naar de enquête.
Reactie toevoegen
Meer over
Beleidsregels gegevensverwerking zieke werknemers voldoen
De ervaringen met de beleidsregels van de Autoriteit Persoonsgegevens met betrekking tot de gegevensverwerking omtrent zieke werknemers zijn wisselend, blijkt uit...
Adfiz legt de laatste hand aan een model Datalekregister. Adfiz: “In de AVG staat dat je een overzicht moet bijhouden van alle datalekken die zich binnen je...
Banken pleiten voor balans tussen eigenaar en gebruiker van data
De NVB vindt dat voor een juiste balans tussen de verschillende partijen in de data-economie – de datagebruikers en -eigenaren – een nieuw wettelijk...
Banken pleiten voor mogelijk gebruik van biometrische gegevens financiële diensten
De Nederlandse Vereniging van Banken staat achter het wetsvoorstel Verzamelwet Gegevensbescherming. Dit voorstel is een aanpassing op de Uitvoeringswet AVG, die...
Uitkijken met doorverkopen persoonsgegevens
Onder de AVG is het uitkijken met het doorverkopen van persoonsgegevens. Doorverkoop kan in beginsel alleen rechtmatig zijn wanneer de betrokkene hier toestemming...
AP: meeste klachten gaan over schending privacyrecht
In 2019 dienden ruim 27.800 mensen een klacht in bij de Autoriteit Persoonsgegevens vanwege een mogelijke privacyschending. Dat is bijna 79 procent meer dan in 2018....
AVG geeft geen recht op kopie document met persoonsgegevens
Het recht op inzage van persoonsgegevens die worden verwerkt staat niet gelijk aan het delen of opsturen van de stukken waarin de persoonsgegevens van de consument...
"Geen valide reden voor schenden privacywet"
Er is geen enkele valide reden om niet te voldoen aan de privacywetgeving. Dat stelt minister Bruins in antwoord op Kamervragen over de toegang die marketingmedewerkers...
Ockto mag DUO toevoegen als databron
De minister is niet van plan ervoor te zorgen dat Ockto DUO niet toevoegt als databron. De minister in antwoord op Kamervragen: "Ockto is een private...
Is 'Barbieboete' wel verzekerd?
(door Peter Hartman, RiskFit Innovation) Juist van een ziekenhuis mag worden verwacht dat de persoonlijke en medische gegevens van een patiënt optimaal worden...