Privacykennis, praktisch uitgelegd

De Algemene verordening gegevensbescherming, beter bekend als de AVG, bevat veel juridische en technische begrippen.

Vrijwel iedere organisatie verwerkt persoonsgegevens. Denk aan de namen en e-mailadressen van klanten, contactgegevens van leveranciers, personeelsdossiers, camerabeelden of gegevens die via een website worden verzameld. Volgens de Algemene verordening gegevensbescherming, beter bekend als de AVG, moet een organisatie overzicht houden over deze verwerkingen.

Veel organisaties maken gebruik van externe leveranciers. Denk aan een salarisverwerker, een onlineboekhoudprogramma, een cloudopslagdienst of een partij die nieuwsbrieven verstuurt. Zodra zo’n leverancier namens jouw organisatie persoonsgegevens verwerkt, moet je nagaan welke privacyrol deze partij heeft. Is de leverancier een verwerker? Dan ben je volgens de AVG verplicht om schriftelijke afspraken te maken in een verwerkersovereenkomst. Een verwerkersovereenkomst is echter niet bij iedere samenwerking of gegevensuitwisseling nodig. Het is daarom belangrijk om eerst vast te stellen wie bepaalt waarom en op welke manier de persoonsgegevens worden verwerkt.

Wanneer een organisatie persoonsgegevens deelt met een externe partij, ontstaat vaak de vraag welke rol deze partij heeft volgens de AVG. Is de leverancier een verwerker of is deze zelf verwerkingsverantwoordelijke?

De grondslag bepaalt waarom een organisatie persoonsgegevens mag verwerken. Zonder passende grondslag is de verwerking niet rechtmatig, ook niet wanneer de gegevens goed worden beveiligd of voor een begrijpelijk doel worden gebruikt. De AVG kent zes (uitputtende) mogelijke grondslagen. Welke grondslag van toepassing is, hangt af van het doel en de omstandigheden van de verwerking. Het is daarom belangrijk om vóór de start van een verwerking te bepalen op welke grondslag deze wordt gebaseerd.

Organisaties gebruiken steeds meer persoonsgegevens en digitale systemen. Denk aan personeelssoftware, cameratoezicht, gezondheidsgegevens, locatiegegevens en toepassingen waarmee personen automatisch worden beoordeeld. Zulke verwerkingen kunnen voordelen bieden, maar ook gevolgen hebben voor de privacy en andere rechten van mensen.