Deze 8 stappen helpen uw organisatie AVG compliant en privacy-proof te maken

28/1/22 - Vandaag is het de Europese dag van de privacy. De dag waarop al sinds 2007 jaarlijks stil wordt gestaan bij de bescherming van persoonsgegevens, ter ere van de ondertekening van het Dataprotectieverdrag op 28 januari 1981. Deze dag heeft tot doel de Europese burgers te informeren over hun rechten betreffende het gebruik van hun persoonsgegevens. Bedrijven en organisaties worden op deze dag ook opgeroepen en aangespoord om de bescherming van persoonsgegevens te verbeteren. Nu privacy een continu en dynamisch proces is, is het ook van belang jaarlijks te kijken naar de grootste veranderingen binnen de bescherming van persoonsgegevens. Het is daarom van belang om te toetsen of uw organisatie (nog) voldoet aan de volgende punten die zien op een aantal vereisten uit de AVG.

1. Maak uw verwerkingen inzichtelijk

Allereerst is van belang dat alle verwerkingen binnen de organisatie in kaart worden gebracht. Het kan handig zijn om hiervoor een verwerkingsregister in te richten. Dit is in ieder geval verplicht indien uw organisatie uit meer dan 250 werknemers bestaat én wanneer u persoonsgegevens verwerkt. Daarnaast is het van belang om in kaart te brengen welke grondslagen de organisatie heeft voor de verwerkingen die plaatsvinden. Deze grondslagen zijn terug te vinden in artikel 6 AVG.

2. Creëer bewustwording binnen uw organisatie

Er dient te worden gezorgd voor bewustwording binnen de organisatie op het gebied van privacy en gegevensbescherming. Deze bewustwording kan u onder andere teweegbrengen door het geven van trainingen of cursussen binnen uw organisatie.

3. Stimuleer uitoefening van privacy rechten

Op grond van de AVG hebben mensen bepaalde rechten wat betreft hun privacy en het verwerken van hun persoonsgegevens. Voor het creëren van een gezond privacybeleid binnen uw organisatie, is het van belang dat u gehoor geeft aan de mensen die een beroep doen op deze privacy rechten. De belangrijkste rechten waar rekening mee moet worden gehouden zijn: 

• Het recht op inzage;
• Het recht op vergetelheid;
• Het recht op rectificatie en aanvulling;
• Het recht op dataportabiliteit;
• Het recht op beperking van de verwerking;
• Het recht met betrekking tot geautomatiseerde besluitvorming en profilering;
• Het recht om bezwaar te maken tegen de gegevensverwerking;
• Het recht op duidelijke informatie betreffende de verwerking van hun persoonsgegevens.

Het is ook van belang dat mensen binnen uw organisatie deze rechten goed kunnen uitoefenen en de organisatie hier adequaat op kan reageren. Aangeraden wordt dan ook om regelmatig te controleren of uw organisatie op de juiste manier gehoor geeft aan de mensen die een beroep doen op hun privacy rechten. Hiervoor kan het instellen van een intern beleid ook van grote waarde zijn.

4. Voer een DPIA uit

Wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen is een DPIA verplicht. Er dient na te worden gegaan welke DPIA’s er al daadwerkelijk zijn uitgevoerd binnen uw organisatie en welke er nog uitgevoerd dienen te worden. Aan de hand van deze DPIA’s moeten de juiste maatregelen voor de bescherming van persoonsgegevens en de rechten en vrijheden van personen worden genomen.

5. Maak privacy onderdeel van ontwerp nieuwe processen en systemen

Om te voldoen aan het vereiste van privacy by design and default moet privacy een onderdeel worden bij het ontwerpen van nieuwe processen of systemen. Hierbij dient u privacy ook als standaard mee te nemen bij het ontwerpen van deze nieuwe processen en systemen.

6. Stel een Functionaris Gegevensbeschermig aan

De Functionaris voor Gegevensbescherming (FG) is een onafhankelijk persoon die intern toezicht houdt op de naleving van de AVG. Het aanstellen van een FG is voor bijna alle organisaties verplicht.

7. Stel een intern datalek-beleid op

In het geval van een datalek is het van belang dat uw organisatie weet hoe te handelen bij het ontdekken van een datalek. Door het opstellen van een intern datalek-beleid kan iedereen op de hoogte worden gesteld van deze handelingen. Daarbij is het van het grootste belang dat iedereen zich ervan bewust is dat een datalek binnen 72 uur aan de Autoriteit Persoonsgegevens (AP) dient te worden gemeld.

 8. Breng uw verwerkers in kaart

Naast het in kaart brengen van de verwerkingen binnen uw organisatie is het ook van belang dat wanneer verwerkingen worden uitbesteed aan een verwerker, deze ook in kaart worden gebracht. De juiste afspraken met deze partijen dienen te worden gemaakt middels een verwerkersovereenkomst. Bij deze verwerkersovereenkomsten moet na worden gegaan of deze in de praktijk ook daadwerkelijk worden nageleefd.