AVG voor privacyprofessionals: wat je moet weten

Wat is de AVG?

De AVG is Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016. De verordening gaat over de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en over het vrije verkeer van die gegevens. Ze trekt Richtlijn 95/46/EG in en is sinds 25 mei 2018 van toepassing in de hele Europese Unie.

De Nederlandse Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de AVG in Nederland en beschrijft de wet op haar site. Dit artikel is een overzicht en geen juridisch advies. De volledige wettekst en de website van de AP zijn leidend.

Voor wie geldt de AVG?

De AVG geldt voor iedereen die persoonsgegevens verwerkt: grote bedrijven, kleine ondernemers, de overheid en ook individuele personen. Verwerking die puur voor persoonlijk of huishoudelijk gebruik is, valt er niet onder. De AP noemt als voorbeelden een verjaardagskalender en een bestand met adressen van familie en vrienden. Vrijwel elke werkgever waar je solliciteert valt dus onder de AVG.

Het territoriale bereik staat in artikel 3. De AVG geldt voor verwerking in het kader van de activiteiten van een vestiging in de Unie. Hij geldt ook voor organisaties buiten de Unie die goederen of diensten aanbieden aan mensen in de Unie, of hun gedrag monitoren, voor zover dat gedrag in de Unie plaatsvindt.

Politie en justitie hebben een apart kader. Voor hun rechtshandhavende taken gelden de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Voor andere taken, zoals de verwerking van personeelsgegevens, geldt de AVG wel.

Welke beginselen kent de AVG?

Artikel 5 noemt zes beginselen voor de verwerking van persoonsgegevens. De AP schrijft dat iedereen die persoonsgegevens verwerkt zich daaraan moet houden en dat hij dat moet kunnen aantonen.

Het zevende beginsel is de verantwoordingsplicht. Volgens artikel 5 lid 2 is de verwerkingsverantwoordelijke verantwoordelijk voor de naleving van de beginselen en kan hij die naleving aantonen. De AP somt een aantal verplichte maatregelen op, zoals een verwerkingsregister, een DPIA bij een hoog privacyrisico, een datalekregister en een privacyverklaring.

Voor een privacyprofessional is bewijs daarom even belangrijk als beleid. Het register, de DPIA en het datalekregister laten zien dat de beginselen in de praktijk werken.

Het beginsel integriteit en vertrouwelijkheid is het raakvlak met security. De AVG vraagt om passende technische en organisatorische maatregelen, zonder precies te zeggen welke. Wat passend is, hangt af van het risico en vraagt overleg tussen privacy, security en de lijn. Artikel 25 gaat over gegevensbescherming door ontwerp en door standaardinstellingen, en artikel 32 over de beveiliging van de verwerking. Hun inhoud staat in de wettekst.

Welke rechtsgronden zijn er voor het verwerken van persoonsgegevens?

Een verwerking is alleen rechtmatig als minstens één van de zes rechtsgronden uit artikel 6 lid 1 geldt:

• toestemming van de betrokkene voor een of meer specifieke doeleinden;
• noodzakelijk voor de uitvoering van een overeenkomst met de betrokkene, of voor maatregelen vóór het sluiten van een overeenkomst op verzoek van de betrokkene;
• noodzakelijk om te voldoen aan een wettelijke verplichting;
• noodzakelijk voor de vitale belangen van de betrokkene of van een ander;
• noodzakelijk voor een taak van algemeen belang of de uitoefening van openbaar gezag;
• noodzakelijk voor de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde, tenzij de belangen of grondrechten van de betrokkene zwaarder wegen. Deze grond geldt niet voor overheidsinstanties bij de uitoefening van hun taken.

Voor het gerechtvaardigd belang noemt de AP drie voorwaarden. Je hebt een daadwerkelijk gerechtvaardigd belang, de verwerking is noodzakelijk om dat belang te behartigen, en je hebt een afweging gemaakt tussen jouw belangen en die van de betrokkenen. De AP raadt aan de grondslag op te nemen in de privacyverklaring.

Bijzondere persoonsgegevens (artikel 9), zoals gegevens over gezondheid, en strafrechtelijke gegevens (artikel 10) mag je volgens de AP niet zomaar verwerken. Dat is verboden, tenzij je aan een aantal strenge eisen voldoet. Een grondslag hebben is dan niet genoeg.

Een rechtsgrond kies je per verwerking en niet per organisatie. Dezelfde persoonsgegevens kunnen voor het ene doel op een overeenkomst berusten en voor een ander doel op toestemming. Wie in privacy werkt, vraagt daarom eerst: voor welk doel verwerk je dit? De AP schrijft dat je de grondslag zelf bepaalt voordat je begint met verwerken. Leg die keuze vast, zodat je haar kunt onderbouwen.

Welke rechten hebben betrokkenen?

Hoofdstuk III van de AVG (artikel 12 tot en met 23) regelt de rechten van betrokkenen:

• informatie bij het verzamelen van gegevens (artikel 13 en 14);
• inzage (artikel 15);
• rectificatie (artikel 16);
• gegevenswissing, het recht op vergetelheid (artikel 17);
• beperking van de verwerking (artikel 18);
• overdraagbaarheid van gegevens (artikel 20);
• bezwaar (artikel 21);
• geautomatiseerde individuele besluitvorming, waaronder profilering (artikel 22).

Volgens artikel 12 geef je onverwijld, en in ieder geval binnen één maand na ontvangst van het verzoek, informatie over het gevolg dat je aan een verzoek hebt gegeven. Afhankelijk van de complexiteit en het aantal verzoeken kan die termijn met nog eens twee maanden worden verlengd. De betrokkene wordt dan binnen die ene maand over de verlenging geïnformeerd, met de reden. Het afhandelen is in beginsel kosteloos.

Een inzageverzoek is in de praktijk vooral werk voor een privacyteam: vinden waar gegevens van iemand staan, in de systemen van de afdelingen en bij verwerkers, en de informatie tijdig en compleet terugkoppelen. Een actueel verwerkingsregister helpt daarbij.

Wat is het verwerkingsregister?

Artikel 30 verplicht verwerkingsverantwoordelijken tot een register van hun verwerkingsactiviteiten. Verwerkers houden een register bij van de categorieën verwerkingen die ze voor een verwerkingsverantwoordelijke uitvoeren. Het register staat op schrift, elektronisch mag ook, en moet op verzoek beschikbaar zijn voor de toezichthouder.

Daarin staan onder meer de verwerkingsdoeleinden, de categorieën betrokkenen en persoonsgegevens, de categorieën ontvangers, indien mogelijk de bewaartermijnen en een algemene beschrijving van de beveiligingsmaatregelen. De verplichting geldt niet voor organisaties met minder dan 250 personen in dienst, tenzij de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, niet incidenteel is, of bijzondere of strafrechtelijke gegevens betreft. De AP schrijft dat verwerkingen in de praktijk zelden incidenteel zijn.

Een register begint meestal bij een inventarisatie met de afdelingen die gegevens gebruiken, zoals HR, marketing en klantenservice. Dat vraagt veel gesprekken en weinig techniek. Daarna blijft het een werkdocument dat actueel moet blijven.

Het register bijhouden is de verantwoordelijkheid van de organisatie en niet de taak van de functionaris voor gegevensbescherming (FG).

Wanneer moet je een DPIA uitvoeren?

Artikel 35 verplicht tot een gegevensbeschermingseffectbeoordeling (DPIA) vóór de verwerking, wanneer een soort verwerking, in het bijzonder met nieuwe technologieën, waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen. De wet noemt met name drie gevallen:

• een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen;
• grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens;
• stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

De AP heeft een lijst van verwerkingen waarvoor een DPIA verplicht is. Die lijst is niet uitputtend. Staat een verwerking er niet op, dan gebruik je de negen criteria van de Europese privacytoezichthouders. Als vuistregel is een DPIA nodig als de verwerking aan twee of meer criteria voldoet. Voorbeelden zijn het beoordelen van mensen op basis van persoonskenmerken, geautomatiseerde besluiten, gevoelige gegevens, gegevens over kwetsbare personen en het gebruik van nieuwe technologieën. Voldoet een verwerking aan geen of één criterium en voer je geen DPIA uit, dan moet je dat kunnen onderbouwen.

Een DPIA bevat ten minste een beschrijving van de verwerkingen en doeleinden, een beoordeling van noodzaak en evenredigheid, een beoordeling van de risico's en de beoogde maatregelen. Is er een FG, dan vraag je diens advies. Dat advies hoort in het rapport, samen met wat er met het advies is gedaan.

Een DPIA is geen formulier maar een afweging vooraf, en een samenwerking tussen privacy, security en het projectteam. Privacy beschrijft de verwerking en de risico's voor mensen, security brengt de technische maatregelen in, en het projectteam kan de verwerking nog aanpassen. Bij AI-systemen speelt ook de AI-verordening, zie AI Act voor compliance en security.

Wanneer is een functionaris voor gegevensbescherming verplicht?

Artikel 37 verplicht tot een functionaris voor gegevensbescherming (FG, in het Engels data protection officer of DPO) in drie gevallen: als een overheidsinstantie of overheidsorgaan de verwerking verricht (behalve gerechten bij hun rechterlijke taken), als de kerntaak bestaat uit regelmatige en stelselmatige observatie van betrokkenen op grote schaal, of als de kerntaak bestaat uit grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens. De AP schrijft dat lidstaten extra gevallen kunnen aanwijzen en dat Nederland dat niet heeft gedaan. Is het onduidelijk of je een FG moet aanstellen, dan moet je kunnen onderbouwen waarom je dat wel of niet doet.

Een FG kan personeelslid zijn of de taken uitvoeren op basis van een dienstverleningsovereenkomst. Een organisatie kan ook vrijwillig een FG aanstellen.

Artikel 38 bepaalt dat de FG geen instructies krijgt over de uitvoering van zijn taken, dat hij niet wordt ontslagen of gestraft omdat hij die uitvoert, en dat hij rechtstreeks verslag uitbrengt aan het hoogste leidinggevende niveau. De FG mag andere taken hebben, maar die mogen niet tot een belangenconflict leiden. De AP schrijft dat een FG binnen de organisatie geen functie mag hebben waarin hij het doel en de middelen van een verwerking bepaalt, zoals een managementfunctie als hoofd financiën, strategie, marketing, IT, HRM of CISO. Een CISO bepaalt mede hoe gegevens worden beveiligd, en de FG moet daar juist toezicht op houden.

Artikel 39 noemt als taken: de organisatie en medewerkers informeren en adviseren, toezien op naleving (inclusief bewustwording, opleiding en audits), op verzoek adviseren over de DPIA, samenwerken met de toezichthouder en optreden als contactpunt voor die toezichthouder. De AP schrijft dat een FG bovengemiddelde vakkennis nodig heeft, onder meer van wet- en regelgeving, van de verwerkingen van de organisatie en van IT en informatiebeveiliging. De FG is niet persoonlijk aansprakelijk voor een overtreding binnen de organisatie.

Noem je een vrijwillig aangestelde medewerker FG, dan gelden voor die persoon dezelfde regels als voor een verplichte FG. De AP schrijft dat je zo iemand beter privacy officer kunt noemen als je niet dezelfde eisen aan die persoon stelt. Heeft iemand een andere functienaam en een ander takenpakket, dan gelden de wettelijke FG-regels niet, maar dan moet duidelijk zijn dat die persoon geen FG in de zin van de wet is.

Welke werkgevers een data protection officer of privacy officer hebben, zie je op de werkgeverspagina's voor data protection officers en privacy officers. Let in een vacature op de rapportagelijn en het takenpakket, niet alleen op de titel. Combineert een vacature de FG-rol met een beslissende rol zoals CISO, dan past dat niet bij wat de AP over belangenconflicten schrijft.

Wat moet je doen bij een datalek?

Volgens artikel 33 meld je een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat je er kennis van hebt genomen, aan de toezichthouder, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van mensen. Bij een waarschijnlijk hoog risico informeer je volgens artikel 34 ook de betrokkenen onverwijld. Alle inbreuken documenteer je, met de feiten, de gevolgen en de genomen corrigerende maatregelen. Lees voor de uitwerking het artikel over de meldplicht datalekken.

Welke boetes kan de AVG opleggen?

De AVG kent twee boetecategorieën. Voor inbreuken op onder meer de verplichtingen van de artikelen 25 tot en met 39, zoals beveiliging, het verwerkingsregister, de melding van datalekken, de DPIA en de FG, gelden boetes tot 10 miljoen euro of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, als dat meer is. Voor inbreuken op de basisbeginselen (artikelen 5, 6, 7 en 9) en de rechten van betrokkenen (artikelen 12 tot en met 22) gelden boetes tot 20 miljoen euro of, voor een onderneming, tot 4% van de totale wereldwijde jaaromzet, als dat meer is.

Bij het bepalen van de boete wegen onder meer mee: de aard, ernst en duur van de inbreuk, opzet of nalatigheid, de genomen maatregelen, eerdere inbreuken, de samenwerking met de toezichthouder en de manier waarop de toezichthouder van de inbreuk te weten kwam, onder andere of de organisatie die zelf meldde. De AP kan daarnaast een last onder dwangsom, een verwerkingsverbod, een berisping of een waarschuwing opleggen.

De factoren in de afweging gaan over wat een organisatie heeft gedaan en kan laten zien. Een actueel register, een DPIA en een datalekregister tellen daarom ook bij een sanctie.

Wat regelt de Uitvoeringswet AVG?

De Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) is de Wet van 16 mei 2018 houdende regels ter uitvoering van de AVG. Elke EU-lidstaat moet op een aantal punten zelf wetgeving maken, en in Nederland is dat voor een belangrijk deel in de UAVG gebeurd (wettekst). Artikel 6 UAVG wijst de AP aan als toezichthoudende autoriteit. Nederland heeft voor bepaalde situaties ook zelf uitzonderingen geregeld. Volgens artikel 41 UAVG kan de verwerkingsverantwoordelijke de verplichtingen en rechten uit de artikelen 12 tot en met 21 en artikel 34 AVG buiten toepassing laten, voor zover dat noodzakelijk en evenredig is, onder meer voor de nationale veiligheid, de openbare veiligheid en de voorkoming en vervolging van strafbare feiten. Artikel 42 UAVG bepaalt dat de mededeling van een datalek aan de betrokkene (artikel 34 AVG) niet van toepassing is op financiële ondernemingen. Wie in Nederland met de AVG werkt, leest de AVG dus samen met de UAVG.

Welke functies werken met de AVG?

Functies waarin de AVG een rol speelt, zijn onder meer:

• Functionaris voor gegevensbescherming (FG). Adviseert en houdt toezicht op de naleving van de AVG. Bekijk de vacatures voor data protection officer.
• Privacy officer. Doet in sommige organisaties het dagelijkse privacywerk: verzoeken van betrokkenen, DPIA's en afspraken met verwerkers. Bekijk de vacatures voor privacy officer.
• Compliance officer. Ziet toe op de naleving van regels, waaronder de AVG. Bekijk de vacatures voor compliance officer.
• CISO en information security officer. Leveren de beveiligingsmaatregelen voor persoonsgegevens, die een wettelijke verplichting zijn. Bekijk de vacatures voor CISO en information security officer. Het verschil tussen beide staat in de carrieregids.
• Incident responder. Behandelt beveiligingsincidenten, en bij een datalek werkt die samen met privacy. Bekijk de vacatures voor incident responder.
• IT-auditor. Toetst of de maatregelen werken en of je dat kunt aantonen. Bekijk de vacatures voor IT-auditor.

Privacy en security werken samen. Privacyteams beoordelen of er een datalek is en wat gemeld moet worden, en security-teams leveren de maatregelen, de monitoring en de incidentafhandeling. Voor een security- of risicofunctie draait de AVG-kennis vooral om de beginselen, de rechtsgronden op hoofdlijnen, de datalekregels en het idee van een DPIA. Wie privacy als specialisme kiest, gaat dieper in op de rechten van betrokkenen, verwerkersovereenkomsten en doorgifte buiten de EU.

Security-professionals hebben ook met NIS2 te maken, zie NIS2 en de Cyberbeveiligingswet. Bij de AVG sluiten CIPP/E (Europees privacyrecht) en ISO 27701 (een privacy-managementsysteem) aan.

Let in een vacature op de woorden naast AVG, zoals DPIA, verwerkersovereenkomst, verwerkingsregister, datalekken of privacy by design. Die woorden laten zien of een functie vooral juridisch, vooral procesmatig of vooral technisch is.

Welke vaardigheden in vacatures naast AVG staan, zie je bij de vacatures met de vaardigheid AVG. Meer over het vakgebied vind je bij compliance en privacy, en andere wetten en kaders in de kennisbank.