Privacy gaat iedereen wat aan

Hoe bepaalt u als ondernemer of u persoonsgegevens mag verwerken? Daarvoor hebben wij een stappenplan gemaakt. In 5 stappen uw basis op orde!

Voor u als ondernemer zal de grondslag meestal ‘uitvoeren van een overeenkomst’ zijn. Dat houdt in dat u persoonsgegevens nodig heeft om bijvoorbeeld een bestelling te leveren aan uw klant.

De eisen aan toestemming zijn door de AVG strenger geworden. Maar het is een misverstand dat u nu voor al uw verwerkingen toestemming nodig zou hebben.

Heeft u een grondslag voor uw verwerking? Dan is het belangrijk dat u die registreert in uw privacyverklaring en uw verwerkingsregister. Zo kunt u zich verantwoorden naar uw klanten en naar de AP.

Het uitgangspunt is dat u de noodzakelijke informatie over uw zieke werknemer mag vastleggen. Zoals informatie om te laten beoordelen of u het loon moet doorbetalen. Of hoe het verder moet met de lopende werkzaamheden.

Als werkgever mag u geen informatie over de aard en oorzaak van iemands ziekmelding vastleggen. U mag er zelfs niet naar vragen. Dat voelt misschien onnatuurlijk. Zeker als u een goede relatie met uw werknemer hebt. Maar er is een goede reden voor.

Hoewel u er niet naar mag vragen, vertellen veel werknemers uit zichzelf waarom zij zich ziek melden. Het is dan ook begrijpelijk dat u die informatie vanuit betrokkenheid met de naaste collega’s wilt delen. Maar toch is dat niet uw rol. Laat het over aan uw werknemer.

Bepaalt u welke persoonsgegevens worden verzameld, met welk doel en de manier waarop? Dan bent u de verwerkingsverantwoordelijke. Klinkt simpel maar kan soms toch lastig zijn. Deze 3 situaties geven extra houvast. Inclusief voorbeeldlijst en stroomschema.

Uw klanten en medewerkers hebben hun persoonsgegevens aan ú toevertrouwd. Het is dus logisch dat u deze gegevens niet zomaar met een willekeurige organisatie mag delen. Waar moet u op letten?

Verwerkt u persoonsgegevens in opdracht van een andere organisatie? Dan moet ook ú aan bepaalde regels voldoen. U moet bijvoorbeeld een verwerkersovereenkomst hebben. En de persoonsgegevens passend beveiligen.

Weet u wat er in een verwerkersovereenkomst moet staan? En dat u geen afspraken op mag nemen die in strijd zijn met de AVG? Ook kijken wij bij de beoordeling van een verwerking altijd naar de feitelijke situatie.

Waarom is het zo belangrijk dat u als ondernemer snel in actie komt bij een datalek? Wat kan er eigenlijk misgaan als u niet snel genoeg reageert op een datalek? Of niets doet?

Zodra u een datalek heeft ontdekt, moeten uw eerste acties erop gericht zijn om de schade te beperken. Aan wat voor soort maatregelen moet u dan denken?

U moet zelf een inschatting maken of u een datalek moet melden aan de AP en de betrokken personen. Dit doet u door naar een aantal factoren te kijken. De AP heeft ze voor u opgesomd. Ook bieden we een voorbeeldlijst met datalekken die u wel/niet hoef te melden.

De AP geeft tips om te zorgen dat uw bedrijf in de startblokken staat zodra er een datalek is. Want om snel te kunnen handelen moeten uw medewerkers een datalek herkennen. En direct intern melden bij de juiste persoon.

Weet u waar uw bedrijf het meest kwetsbaar is als het gaat om een datalek? Een goed beveiligingsplan helpt daarbij. En dat begint met een risicoanalyse. Deze vragen helpen u op weg.

In de AVG staat niet expliciet dat het gebruik van deze diensten verboden is. Wel kunnen er situaties zijn waarin het gebruik van deze kanalen als een gebrek aan beveiliging wordt gezien.

Loggen is in de meeste gevallen niet verplicht maar wel een logische beveiligingsmaatregel. U kunt dan goed bijhouden wat er met de persoonsgegevens gebeurt. En daarmee onder meer een datalek snel signaleren.

Bij een verzoek om inzage kunt u ervoor kiezen om een kopie van de persoonsgegevens op te nemen in een overzicht. Wilt u weten hoe u dat doet? Bekijk het voorbeeldoverzicht van de AP.

Wanneer een klant inzage wil in zijn persoonsgegevens, wilt u natuurlijk zeker weten dat die persoon is wie hij zegt te zijn. Een volledige kopie ID vragen gaat bijna altijd te ver. Welke opties heeft u?

U mag persoonsgegevens niet langer bewaren dan nodig is, staat er in de wet. Maar er staat geen concrete formule bij voor het vaststellen van een bewaartermijn. Hoe bepaalt u dan wat passend is?

Vaak kunt u niet alle persoonsgegevens wissen wanneer een klant daar om vraagt. Bijvoorbeeld omdat u bepaalde gegevens moet bewaren vanwege fiscale regels.