Reinier adviseert nationale en internationale bedrijven
reinier.russell@russell.nl +31 20 301 55 55Verzamelt of verwerkt uw bedrijf persoonsgegevens? Registreert u bijvoorbeeld klantgegevens? Of bewaart u adresgegevens en telefoonnummers van uw personeel? Dan moet u voldoen aan de nieuwe Europese privacyregels!
De Algemene verordening gegevensbescherming (AVG) zal binnenkort van toepassing zijn. Deze Europese privacywetgeving beschermt de privacy van de burgers in de EU en roept allerlei verplichtingen in het leven voor vele bedrijven en instanties.
Velen denken dat de privacyregels alleen gelden voor de grote dataverwerkingsbedrijven, zoals Facebook en Google. Niets is echter minder waar. De nieuwe privacyregels gelden namelijk voor alle bedrijven en instellingen binnen en buiten de EU die persoonsgegevens van EU-burgers bezitten of verwerken. Hoogstwaarschijnlijk moet ook uw organisatie voldoen aan de verplichtingen.
Let op: voor middelgrote- en kleine bedrijven gelden vaak wel mildere regels en uitzonderingen op de verplichtingen.
Persoonsgegevens zijn gegevens die direct over een persoon gaan of te herleiden zijn naar die persoon. Te denken valt aan namen, adresgegevens, telefoonnummers en gegevens met betrekking tot iemands godsdienst of gezondheid.
Onder het verwerken van persoonsgegevens worden alle handelingen verstaan die kunnen worden uitgevoerd met persoonsgegevens. Denk hierbij bijvoorbeeld aan het verzamelen, registreren, bewaren, bijwerken, raadplegen en wissen van gegevens.
De belangrijkste rechten en verplichtingen die de AVG introduceert zijn de volgende:
Personen moeten desgewenst beschikking kunnen krijgen over hun persoonsgegevens en deze gegevens kunnen doorgeven aan een andere organisatie. Gegevensverwerkers dient ervoor te zorgen dat dit makkelijk mogelijk is.
In bepaalde gevallen moeten persoonsgegevens worden verwijderd en moet er worden voorkomen dat die gegevens verder worden verspreid.
Voor het verwerken van persoonsgegevens is de toestemming van de betrokken persoon vereist. Onder de AVG moet u kunnen aantonen dat u die toestemming heeft gekregen. Daarnaast moet het intrekken van de toestemming net zo makkelijk zijn als het geven van toestemming.
Voorafgaand aan de gegevensverwerking moet er een risicoanalyse worden gemaakt, waarbij interne privacyrisico’s in kaart worden gebracht. Met behulp van deze analyse kunt u maatregelen nemen om de risico’s zo klein mogelijk te maken.
Voor sommige organisaties is het verplicht een functionaris gegevensbescherming aan te stellen. De Functionaris is een onafhankelijk persoon die toeziet op de kwaliteit van het beleid betreffende de bescherming van persoonsgegevens binnen de organisatie.
Wanneer er een inbreuk heeft plaatsgevonden op de door uw organisatie ingestelde beveiligingsmaatregelen voor data (bijvoorbeeld door diefstal van wachtwoorden en klantgegevens, hacking of verlies van gegevens), dan dient u dit te melden aan de privacytoezichthouder. De melding moet u zo snel mogelijk en bij voorkeur binnen 72 uur na ontdekking van het lek doen. Datalekken dient u niet alleen te melden, maar ook te documenteren.
De Algemene verordening gegevensbescherming treedt op 25 mei 2018 in de plaats van de Wet bescherming persoonsgegevens (Wbp). Voldoen bedrijven dan nog niet aan de regels? Dan kunnen zij sancties, zoals hoge boetes, krijgen opgelegd van privacytoezichthouders.
Hoogstwaarschijnlijk moet ook uw organisatie op de schop. Puur administratieve aanpassingen zullen meestal niet voldoende zijn; uw beveiligingssystemen en IT-systemen moeten namelijk ook in orde zijn.
Schakel in ieder geval een advocaat in die u kan vertellen wat er zoal dient te gebeuren en begin het liefst gisteren nog. Het implementeren van technische wijzigingen kan immers lang duren. Wij helpen u graag door u te vertellen hoe u uw onderneming moet inrichten in het kader van de Algemene verordening gegevensbescherming. Neem contact met ons op:
Het schandaal rond Facebook en Cambridge Analytica heeft privacy extra op de kaart gezet. Eind mei treedt de nieuwe Europese privacyverordening in werking. Wat moet u in elk geval nog regelen?
Het EU-VS Privacy Shield is ongeldig verklaard. Dit betekent dat bedrijven een andere juridische grondslag nodig hebben voor de overdracht van gegevens van EU-burgers naar de VS. Wat zijn hun mogelijkheden?
Banken kunnen op grond van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) verplicht zijn een klant te weigeren of de relatie met de klant te beëindigen. Ook goede doelen kan dit overkomen. Wanneer mag een bank de relatie beëindigen? En moet een klant meewerken aan het onderzoek van een bank?
De Wet transparantie en tegengaan ondermijning door maatschappelijke organisaties (Wtmo) legde enkele nieuwe verplichtingen op aan goede doelen. Het wetsvoorstel is echter op 24 maart 2026 door de Eerste Kamer verworpen.
De statutair bestuurder heeft minder ontslagbescherming, maar er moet wel een redelijke grond voor het ontslag aanwezig zijn. Anders moet de werkgever een billijke vergoeding betalen. Die kan hoog zijn, zo blijkt uit een recente uitspraak. Waarom moest de werkgever deze vergoeding betalen?
De Europese AI Act verplicht werkgevers om te zorgen dat werknemers voldoende kennis hebben van de AI-systemen. Dat kan door middel van trainingen, maar ook door een op het bedrijf toegesneden AI-beleid. Wat moet u in een dergelijk beleid opnemen? Welke rol speelt de ondernemingsraad bij de invoering van het AI-beleid?
