Vanaf 25 mei 2018 moet je als bedrijf bij de verwerking van persoonsgegevens voldoen aan de GDPR. Deze verordening vervangt de Wet bescherming persoonsgegevens (Wbp). Zowel de GDPR als de Wbp stellen eisen waaraan moet worden voldaan bij de verwerking van persoonsgegevens. Maar wat houdt de GDPR precies in? En wat betekent dat voor jouw organisatie?
De GDPR
De GDPR; General Data Protection Regulation is een Europa-brede verordening. Deze privacyverordening gaat over ‘de bescherming van natuurlijke personen’. Dit in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens. De Nederlandse benaming voor deze verordening luidt AVG; Algemene Verordening Gegevensbescherming. De GDPR geldt voor alle organisaties die persoonsgegevens verwerken. Hier vallen ook gegevens van personeel en klanten onder. Daardoor krijgt vrijwel ieder bedrijf te maken met de GDPR.
Persoonlijke gegevens moeten op de juiste manier vastgelegd en beheerd worden. De klant centraal stellen en zuinig zijn op de data van klanten is meer dan ooit van belang. Een voorbeeld hiervan is het versturen van een nieuwsbrief aan klanten. Dit mag onder de nieuwe regels alleen nadat de klant hier zelf expliciet toestemming voor heeft gegeven. Op deze manier wordt opdringerigheid, van bijvoorbeeld rondsturen van (ongewenste) nieuwsbrieven, teruggedrongen.
De impact van de GDPR is daardoor groot, maar biedt ook voordelen. De belangrijkste is dat er straks één privacystandaard voor de gehele Europese Unie geldt. Wanneer je aan de GDPR voldoet, voldoe je doorgaans ook aan de regels in andere lidstaten binnen de Europese Unie.
Wat betekent dit voor jouw organisatie?
In Nederland kennen we al de Meldplicht Datalekken, maar de GDPR gaat een stap verder. Met de nieuwe verordening wil de EU Europese burgers controle over hun persoonlijke gegevens teruggeven. Er gelden strenge voorwaarden en de GDPR is bindend. Overtredingen worden zwaar bestraft en je loopt daarmee kans op hoge boetes; tot maar liefst €20.000.000 of 4% van je jaaromzet! Reden genoeg dus om hier serieus mee om te gaan.
Een van de veranderingen is dat je als bedrijf een verwerkingsregister bij moet houden. Hierin worden alle verwerkingen van persoonsgegevens geregistreerd. Ook moet je alle datalekken intern documenteren. Zelfs wanneer deze niet onder de meldingsplicht vallen.
Verder moet er een verwerkersovereenkomst worden gesloten met alle leveranciers en afnemers die persoonsgegevens voor je verwerken. Deze lijkt op de bewerkersovereenkomst uit de Wbp, maar er zijn verschillen. Bovendien kan toestemming van een klant nodig zijn wanneer diens persoonsgegevens worden verwerkt. Dit is met name van belang wanneer je zelf IT-diensten levert, gezien er dan vaak sprake is van ketenverantwoordelijkheid.
Niets doen is geen optie. De boetes zijn hoog en hiermee ook de gevolgen voor de organisatie. Maar als ondernemer kan het moeilijk zijn om alle juridische termen en open eindes te doorgronden. Heb je vragen over de GDPR? Of wil je meer informatie over dit onderwerp? Neem een kijkje in ons GDPR-dossier op gdpr.eshgro.nl
Jouw pad naar NIS2 compliance
