De nieuwe Europese privacywetgeving en wat u daarover moet weten

Verwerken van persoonsgegevens

Om de privacy van klanten, werknemers, leveranciers en andere betrokkenen te beschermen is in 1995 de Europese privacyrichtlijn in het leven geroepen. In Nederland is de nationale uitvoering van deze richtlijn de Wet bescherming persoonsgegevens (Wbp). De Wbp geeft regels voor het verwerken van alle gegevens die informatie verschaffen over een identificeerbare natuurlijke persoon (persoonsgegevens). De Wbp is in beginsel van toepassing op elke handeling of elk geheel van handelingen met persoonsgegevens, al dan niet via een computersysteem.

Hierbij moet u denken aan de volgende handelingen:

• het verzamelen, vastleggen en ordenen;
• bewaren, bijwerken en wijzigen;
• opvragen, raadplegen, gebruiken;
• verstrekken door middel van doorzending;
• verspreiden of enige andere vorm van terbeschikkingstellen;
• samenbrengen, met elkaar in verband brengen; en
• het afschermen, uitwissen of vernietigen van persoonsgegevens.

Algemene Verordening gegevensbescherming

Door de snelle technologische ontwikkelingen is de privacywetgeving achterhaald en daarom is deze de afgelopen jaren herzien. Het resultaat is de op 4 mei 2016 gepubliceerde Algemene Verordening Gegevensbescherming. De Verordening is vanaf 25 mei 2018 van toepassing en is – anders dan de richtlijn uit 1995 – rechtstreeks van toepassing in alle EU-lidstaten.

Meld- en documentatieplicht

Anders dan onder de huidige wetgeving hoeven bedrijven vanaf 25 mei 2018 de verwerking van persoonsgegevens niet meer te melden bij de Autoriteit Persoonsgegevens. Wel moet men een functionaris voor de gegevensverwerking aanstellen. Daarnaast wordt er in de Verordening nadruk gelegd op de verantwoordelijkheid van het bedrijf zelf om de wet na te leven en aan te kunnen tonen dat zij zich aan de wet houden. Dit betekent dat bedrijven met documenten moeten kunnen aantonen dat zij de juiste organisatorische en technische maatregelen hebben genomen om aan de Verordening te voldoen. Tegelijkertijd biedt de Verordening meer instrumenten die bedrijven helpen om de wet na te leven, zoals modelbepalingen voor de doorgifte van persoonsgegevens (zie ook: Persoonsgegevens verloren of gestolen. Wat nu?).

Privacy impact assessment

De Verordening verplicht bedrijven ook om een Privacy Impact Assessment (PIA) uit te (laten) voeren. In de PIA heeft privacy betrekking op de informationele privacy, waaronder de vastlegging en verwerking van persoonsgegevens. De Autoriteit Persoonsgegevens zal tezijnertijd samen met andere Europese privacytoezichthouders een lijst opstellen van alle verwerkingen waarbij organisaties verplicht zijn om een PIA uit te voeren. Een PIA is in ieder geval verplicht als:

• op grote schaal bijzondere persoonsgegevens worden verwerkt;
• op grote schaal en systematisch mensen worden gevolgd in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht); en
• systematisch persoonlijke aspecten worden geëvalueerd.

Meer rechten voor betrokkene

Door de Verordening krijgen mensen van wie de gegevens worden verwerkt (zoals uw klanten) meer mogelijkheden om voor zichzelf op te komen bij de verwerking van hun gegevens. In de Verordening staat bijvoorbeeld wat de voorwaarden zijn voor bedrijven om toestemming te krijgen van mensen om hun persoonsgegevens te mogen verwerken. Daarnaast kan iedereen vanaf 25 mei 2018 eisen dat het bedrijf de verwijdering van de persoonsgegevens doorgeeft aan alle andere organisaties aan wie zij gegevens heeft verstrekt. Ook heeft een ieder vanaf 2018, onder bepaalde voorwaarden, het recht om zijn of haar gegevens in een standaardformaat te ontvangen. Op die manier kan een klant zijn persoonsgegevens gemakkelijk doorgeven aan een andere aanbieder van dezelfde soort dienst. De klant of werknemer kan straks ook van een bedrijf eisen dat zij de persoonsgegevens direct doorstuurt naar een andere dienstverlener.