Stappenplan

Goed voorbereid in 10 stappen

1. Bewustwording
   De eerste stap is het bewust maken van het personeel dat met de nieuwe wet te maken krijgt. Zij kunnen een goede inschatting maken van de tijd en goederen die nodig zijn.

2. Rechten van betrokkenen

   Klanten krijgen in de nieuwe wet steeds meer rechten. Denk hierbij niet alleen aan het recht op inzage en verwijdering, maar ook aan bijvoorbeeld het recht op dataportabiliteit. Hierbij kunnen klanten hun gegevens makkelijk opvragen om deze door te geven aan andere organisaties. Het recht op verwijdering wordt ook uitgebreider dan dat het nu is. Als een klant vraagt om verwijdering, moet je hier in de meeste gevallen binnen een maand gehoor aan geven.

3. Overzicht verwerkingen

   Maak een overzicht van al je verwerkte persoonsgegevens. Noteer waar je de data vandaan hebt, met welk doel je ze hebt opgeslagen en met wie je ze deelt. Zorg dat je ook vermeldt op basis van welke wettelijke grondslag je deze gegevens verwerkt.

4. Privacy Impact Assessment (PIA)

   Bij invoering van de AVG word je ook verplicht om een Privacy Impact Assessment (PIA) uit te voeren als je data verwerkt met een hoog privacyrisico. De PIA is een instrument waarmee je vooraf kunt bepalen wat risico’s zijn die horen bij het verwerken van bepaalde persoonsgegevens.

5. Privacy by design & privacy by default

   Deze twee principes staan centraal binnen de AVG. Privacy by design houdt in dat je bij het ontwerpen van producten en diensten al zorgt dat de privacy van klanten gewaarborgd wordt. Privacy by default wil zeggen dat je technische en organisatorische maatregelen moet nemen waardoor je standaard uitsluitend de strikt noodzakelijke gegevens verzamelt voor het specifieke doel.

6. Functionaris voor de gegevensbescherming

   Als je bedrijf op grote schaal persoonsgegevens verwerkt en dit je kernactiviteit is, ben je verplicht een functionaris voor de gegevensbescherming aan te stellen. Ook overheidsinstanties en publieke organisaties moeten zo’n functionaris hebben. 

7. Meldplicht datalekken?

   De meldplicht datalekken is niet nieuw. Bij de AVG is het echter de bedoeling dat alle datalekken worden vastgelegd op een manier waarop de Autoriteit Persoonsgegevens precies kan zien of je genoeg hebt gedaan aan het beschermen van de gegevens.

8. Bewerkersovereenkomsten

   Heb jij een overeenkomst met een bewerker (verwerker in de AVG)? Controleer dan goed of de maatregelen die jullie zijn overeengekomen om de privacy te waarborgen genoeg zijn voor de AVG. Zie ook het model verwerkersovereenkomst op deze pagina.

9. Leidende toezichthouder?

   Internationaal actief? Als je in meerdere landen in de EU gevestigd bent, val je maar onder een toezichthouder. Bepaal tijdig onder welke je valt.

10. Toestemming

    De AVG legt strengere regels op omtrent de manier waarop je toestemming vraagt, krijgt en registreert. Je klanten moeten een geldige toestemming geven en deze eenvoudig weer kunnen intrekken. Controleer je formulieren goed en pas ze zonodig aan.
    
    Let op: Vanaf 25 mei 2018 geldt een documentatieplicht. Dit wil zeggen dat aangetoond moet kunnen worden dat technische en organisatorische maatregelen zijn genomen om aan de AVG te voldoen.