De volledige privacyhuishouding van jouw onderneming

Iedere onderneming verwerkt persoonsgegevens, van personeel, maar ook van klanten. Het is van belang dat jij goed omgaat met deze persoonsgegevens en weet waar jij als onderneming aan moet voldoen. En zelfs als je alles goed doet, loop je altijd het risico op een datalek of een inbreuk op de persoonsgegevens van derden.

Er komt dus nogal wat kijken bij een goede privacyhuishouding. Damsté advocaten – notarissen helpt jou om te voldoen aan alle regelgeving en, als het toch een keer mis gaat, om de gevolgen te beperken en voor een goede afhandeling te zorgen.

Privacy management

Privacy by Design is het uitgangspunt van de Algemene Verordening Gegevensbescherming (AVG). Dit betekent dat elke organisatie zichzelf en haar informatiesystemen moet inrichten op een manier die voldoet aan de eisen van de AVG (compliant zijn). Maar hoe weet je of je daaraan voldoet en wat je eventueel moet doen om compliant te worden? De AVG schrijft zelf voor dat je een verwerkingsregister moet hebben. Elke onderneming is verplicht een verwerkingsregister te hebben, in ieder geval voor de verwerkingen waarvoor zij zelf verantwoordelijk is. Daarnaast kan een onderneming verplicht zijn om een register bij te houden van verwerkingen die zij namens derden uitvoert en waarbij zij slechts optreedt als 'verwerker'.

Het register moet alle soorten verwerkingen bevatten. Maar hoe stel je zo'n register op en wat moet erin staan? 

Privacy assessments

Voor verwerkingen met behulp van nieuwe technologieën, op grote schaal en/of met zeer gevoelige gegevens, vereist de AVG een gegevensbeschermingseffectbeoordeling. Wij helpen bij het bepalen of dit vereist is en wat daarvoor nodig is. We helpen uiteraard ook bij het documenteren ervan.

Verwerkersovereenkomsten

Bijna iedereen krijgt te maken met verwerkersovereenkomsten. Deze zijn vereist wanneer een andere partij namens jou persoonsgegevens verwerkt. Soms is het lastig om te bepalen of een verwerkersovereenkomst nodig is of niet. Wij adviseren hierbij, stellen passende verwerkersovereenkomsten op en beoordelen deze wanneer een andere partij jou er een aanbiedt.

Verwerkersovereenkomsten moeten worden afgestemd op het type verwerking dat plaatsvindt. Algemene overeenkomsten zonder specifieke details over de verwerkingen voldoen meestal niet. Het blijft daarom belangrijk om te beoordelen wat er wordt aangeboden.

Privacyverklaring

Privacyverklaringen zijn bedoeld om mensen te informeren over hun rechten volgens de AVG met betrekking tot een specifieke verwerking van hun gegevens. Het belangrijkste is dat de informatie begrijpelijk moet zijn.

Aangezien het alleen gaat om uitleg van rechten, is het niet zinvol om te eisen dat klanten of systeemgebruikers privacyverklaringen moeten accepteren. Als een privacyverklaring niet goed is, blijft dat uitsluitend een risico voor de aanbieder - dat verandert niet door het 'accepteren' ervan door de gebruiker. Bovendien kan een privacyverklaring geen verplichtingen opleggen, maar is het bedoeld om mensen bewust te maken van hun rechten. En die rechten hebben ze, of ze deze nu accepteren of niet.

Omdat privacyverklaringen gemakkelijk te begrijpen en te gebruiken moeten zijn, moeten ze altijd specifiek zijn voor de verwerking waar het om gaat. Als het lange lappen juridische tekst zijn, is het een slechte privacyverklaring.

Datalekken

Als persoonsgegevens op de verkeerde plek terechtkomen, spreken we van een datalek. Een datalek kan zich snel voordoen, dit kan onschuldig lijken, bijvoorbeeld wanneer een gevoelige e-mail wordt verstuurd naar iemand voor wie deze e-mail niet was bedoelt of met een meer kwaadwillige achtergrond, bijvoorbeeld wanneer een hacker jouw servers infiltreert. Datalekken moeten worden gemeld bij de toezichthouder voor gegevensbescherming, en soms ook bij de betrokken personen. Wanneer moet je wat aan wie melden en hoe doe je dat?