Nieuwe Europese privacyregels op komst – Dit is wat jij nu al moet weten

De bescherming van privacygevoelige informatie is een veelbesproken onderwerp. En terecht natuurlijk, want ieders individuele privacy is een groot goed. Ook als werkgever of ondernemer beschik je over privacygevoelige informatie die betrekking heeft op jouw werknemers of klanten. En met de moderne (online) technieken komen daar steeds makkelijker meer gegevens bij. Zo beschikt naar schatting 95% van de bedrijven op de een of andere manier over te beschermen persoonsgegevens. Denk hierbij niet alleen aan personeelsdossiers, maar ook aan via de website gegenereerde klantenbestanden of de voor promoties en marketing gehanteerde mailinglist.

Over vrijwel exact een jaar treden nieuwe Europese privacyregels in werking. Wat moet jij nu al weten om je hier goed op te kunnen voorbereiden? Een overzicht in vogelvlucht.

Huidige regelgeving 2017

Op dit moment heb je op het gebied van de bescherming van privacygevoelige informatie als werkgever en/of ondernemer voornamelijk met de volgende twee zaken te maken:

• Wet bescherming persoonsgegevens. Op dit moment is de Wet bescherming Persoonsgegevens (kortweg: Wbp) de belangrijkste wet in Nederland als het gaat om de bescherming van privacygevoelige informatie. Zo bepaalt de Wbp bijvoorbeeld welke gegevens, onder welke voorwaarden en voor welke doeleinden mogen worden verwerkt. De Autoriteit Persoonsgegevens (AP) is de instantie die toeziet op de correcte toepassing van de Wbp en de beveiliging van de privacygevoelige informatie.
• Meldplicht datalekken. Een verloren USB-stick, een gestolen laptop of een gehackt computersysteem: Het komt steeds vaker voor. Ter uitbreiding van de Wbp is op 01 januari 2016 dan ook de Meldplicht datalekken van kracht geworden. Dit betekent, dat je verplicht bent om een datalek te melden aan de Autoriteit Persoonsgegevens “als het datalek leidt tot (een aanzienlijke kans op) ernstige nadelige gevolgen voor de bescherming van persoonsgegevens”. In een aantal gevallen zal je het datalek overigens ook moeten melden aan de betrokkenen van wie de persoonsgegevens op straat zijn komen te liggen. Wel zo netjes natuurlijk.

Nieuwe Europese privacyregels 2018

In de loop van volgend jaar gaan de huidige privacyregels op de schop. De bestaande nationale privacyregels worden dan vervangen door één set nieuwe Europese privacyregels:

• Algemene verordening gegevensbescherming. Op 25 mei 2018 treedt de Algemene verordening gegevensbescherming (kortweg: AVG) in werking. Met deze Europese verordening wordt bedrijven nog strengere regels opgelegd als het gaat om de bescherming van privacygevoelige informatie. Naast een uitbreiding van de rechten van betrokkenen, is de invoering van de documentatieplicht een van de belangrijkste wijzigingen. Dit betekent dat je als werkgever of ondernemer met documenten moet kunnen aantonen, dat je daadwerkelijk aan de AVG voldoet en welke concrete maatregelen je getroffen hebt (zowel op organisatorisch als op technisch vlak) om aan de AVG te voldoen. Ook het verplicht uitvoeren van een ‘privacy impact assessment’ of zelfs het verplicht aanstellen van een ‘functionaris voor de gegevensbescherming’ behoren tot de mogelijke consequenties die de AVG met zich meebrengt.

Verschil huidige en nieuwe privacyregels

Met het van kracht worden van de Algemene verordening gegevensbescherming (AVG) op 25 mei 2018 komt de huidige Wet bescherming Persoonsgegevens (Wbp) te vervallen. Vanaf dit moment zal je als ondernemer of werkgever aan de strengere eisen en bijvoorbeeld de eerder genoemde documentatieplicht moeten voldoen. De huidige Meldplicht datalekken komt als onderdeel van de Wbp logischerwijs ook te vervallen, maar komt op vergelijkbare wijze wel weer terug in de nieuwe Europese AVG. En ja, bij strengere eisen horen uiteraard ook hogere boetes: Voldoet jouw bedrijf niet aan de AVG? Dan kan de boete oplopen tot liefst 20 miljoen Euro of 4% van de omzet, afhankelijk van wat hoger is… Je bent gewaarschuwd!

Problemen voorkomen? Wees terughoudend

Of de AVG nu al wel of niet van kracht is, je zult als werkgever of ondernemer natuurlijk zowel in 2017 als in 2018 en daarna zorgvuldig om moeten gaan met privacygevoelige informatie van werknemers of klanten. Het is niet meer dan terecht dat hier strenge regels voor zijn en dat deze gehandhaafd worden. De eenvoudigste manier om problemen te voorkomen? Bedenk goed of er een noodzaak is om specifieke gegevens te verzamelen en maak deze gegevens alleen toegankelijk aan individuele personen voor wie en voor zover dat noodzakelijk is. Twijfel je aan het bestaan van een dergelijke noodzaak om privacygevoelige gegevens van jouw werknemers of klanten te verwerken? Wees dan terughoudend en doe het niet.

Nu al voorbereiden

Kun je niet zonder het verzamelen, verwerken en/of vastleggen van privacygevoelige informatie en persoonsgegevens? Onderneem dan nu actie. Het voldoen aan de strengere eisen van de nieuwe Europese privacyregels kan aardig wat tijd kosten. Wacht daarom niet te lang en begin dit jaar al met de noodzakelijke voorbereidingen op de Algemene verordening gegevensbescherming ( AVG) per 25 mei 2018. Lees je de komende maanden alvast in en/of laat je voorlichten, zodat je eventueel benodigde wijzigingen in jouw bestaande privacybeleid kunt oppakken. Dan weet je zeker dat je op tijd klaar bent voor de nieuwe privacyregels. Niets doen is uitdrukkelijk geen optie!