Wat is de AVG?
De AVG is de Algemene verordening gegevensbescherming, Verordening (EU) 2016/679, in het Engels bekend als de GDPR. Het is een verordening en geen richtlijn, dus hij werkt rechtstreeks: er zit geen Nederlandse wet tussen die hem eerst moet omzetten. De AVG is sinds 25 mei 2018 van toepassing. De Uitvoeringswet AVG vult alleen de ruimte in die de verordening aan lidstaten laat. Anders dan de meeste kaders op deze pagina kent de AVG geen drempel: verwerk je persoonsgegevens, dan geldt hij, ongeacht je omvang of je sector.
Wat de verordening regelt en wat dat van je vraagt
Waarom de AVG op een cybersecuritysite staat
Privacy en beveiliging worden vaak als twee onderwerpen behandeld, met twee eigenaren en twee mappen. In de praktijk komen ze bij elkaar op het moment dat het misgaat. Een datalek is meestal een beveiligingsincident met een privacygevolg, en de eis van passende technische en organisatorische maatregelen is letterlijk een beveiligingseis in een privacywet. Wij pakken die beveiligingskant op. Voor het juridische deel zitten er binnen onze groep privacyjuristen, zodat je niet met twee losse partijen zit die naar elkaar wijzen als er iets gebeurt. Zie privacy en AVG voor onze aanpak.
Je hebt altijd een grondslag nodig
Persoonsgegevens verwerken mag alleen als je daar een grondslag voor hebt. De verordening kent er zes: toestemming, noodzaak voor een overeenkomst, een wettelijke verplichting, een vitaal belang, een taak van algemeen belang, en een gerechtvaardigd belang. De meest gemaakte fout is dat organisaties standaard naar toestemming grijpen. Toestemming moet vrij, specifiek, geinformeerd en ondubbelzinnig zijn, en intrekbaar. In een werkgeverrelatie is dat zelden houdbaar, en voor gegevens die je toch al nodig hebt voor je dienstverlening is de overeenkomst de logischer grondslag.
De rechten die je moet kunnen uitvoeren
Betrokkenen hebben recht op inzage, rectificatie, wissing, beperking van de verwerking, overdraagbaarheid van hun gegevens en bezwaar. Daarnaast mag niemand uitsluitend op basis van geautomatiseerde besluitvorming worden beoordeeld als dat rechtsgevolgen heeft. Je moet zo’n verzoek binnen een maand afhandelen. Dat lukt alleen als je weet welke gegevens je waar hebt staan, en juist dat blijkt in de praktijk de bottleneck. Een verzoek om inzage is daarmee ongemerkt ook een test van je informatiehuishouding.
Passende maatregelen, en wat passend betekent
De AVG schrijft geen producten of technieken voor. Passend betekent: in verhouding tot het risico voor de betrokkene, de stand van de techniek en de kosten van uitvoering. In de praktijk komt dat neer op de dingen die je bij elke norm tegenkomt: toegangsbeheer op basis van wat iemand nodig heeft, meervoudige authenticatie, versleuteling waar dat kan, back-ups die je hebt getest, logging, en medewerkers die weten wat ze met gegevens mogen doen. Wie ISO 27001 werkend heeft, heeft dit deel grotendeels al staan.
Datalekken en de klok van 72 uur
Een inbreuk in verband met persoonsgegevens meld je binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico oplevert. Levert het een hoog risico op voor de betrokkenen, dan moet je hen ook zelf informeren. Die 72 uur begint te lopen zodra je ervan op de hoogte bent, niet zodra je het onderzoek af hebt. Daarom is de belangrijkste voorbereiding niet juridisch maar organisatorisch: wie beoordeelt of iets een datalek is, wie meldt, en hoe herkent een medewerker het uberhaupt. Dat laatste hoort thuis in je awarenessprogramma.
De verordening ontleed
Voor elke organisatie die persoonsgegevens verwerkt, ongeacht omvang, sector of rechtsvorm. Er is geen drempel van vijftig medewerkers zoals bij de Cyberbeveiligingswet. Ook een eenmanszaak met een klantenbestand valt eronder. De verordening geldt bovendien buiten de Europese Unie als je goederen of diensten aanbiedt aan mensen in de Unie of hun gedrag volgt. Wat wel meeschaalt met omvang is de zwaarte van je verplichtingen: de uitzondering op het verwerkingsregister voor kleine organisaties is smal, maar de hoeveelheid werk verschilt in de praktijk enorm.
Toestemming, uitvoering van een overeenkomst, een wettelijke verplichting, een vitaal belang, een taak van algemeen belang of openbaar gezag, en een gerechtvaardigd belang. Je kiest er een per verwerking, en je legt die keuze vast. Twee valkuilen. Toestemming lijkt de veiligste keuze maar is de zwakste: hij is intrekbaar en in een gezagsverhouding meestal niet vrij gegeven. En een gerechtvaardigd belang moet je onderbouwen met een afweging tegen de belangen van de betrokkene, niet alleen benoemen.
Inzage, rectificatie, wissing, beperking, overdraagbaarheid en bezwaar, plus bescherming tegen uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen. Je handelt een verzoek binnen een maand af, met verlenging tot drie maanden bij complexe verzoeken. Niet elk recht is absoluut: wissing hoeft niet als je de gegevens wettelijk moet bewaren. Wat je in elk geval nodig hebt is een vaste route voor zulke verzoeken en zicht op waar je gegevens staan, inclusief kopieen in mailboxen en exports.
Een overzicht van je verwerkingen: welke gegevens, van wie, waarom, op welke grondslag, hoe lang je ze bewaart en met wie je ze deelt. Voor organisaties onder de 250 medewerkers geldt een uitzondering, maar die is zo beperkt dat vrijwel iedereen er in de praktijk toch een moet hebben. Onderschat het register niet als formaliteit: het is het enige document waarmee je een inzageverzoek, een datalek of een vraag van de toezichthouder snel kunt beantwoorden. Zonder register begint elk incident met zoeken.
Laat je een ander partij gegevens voor je verwerken, bijvoorbeeld je hostingpartij, je salarisadministratie of je clouddienst, dan is dat een verwerker en moet er een verwerkersovereenkomst liggen. Daarin staat wat de verwerker mag, welke beveiliging hij biedt, of hij subverwerkers mag inzetten en wat er gebeurt bij een datalek. Verantwoordelijk blijf jij. Dat is precies waar privacy en ketenbeveiliging elkaar raken: het beoordelen van je leveranciers doe je maar een keer, voor beide onderwerpen tegelijk.
Bij verwerkingen met een waarschijnlijk hoog risico moet je vooraf een gegevensbeschermingseffectbeoordeling doen, in de praktijk DPIA genoemd. Denk aan grootschalige monitoring, profilering met gevolgen voor mensen of grootschalige verwerking van bijzondere gegevens. Een functionaris gegevensbescherming is verplicht voor overheidsinstanties, bij grootschalige regelmatige en stelselmatige observatie, en bij grootschalige verwerking van bijzondere categorieen gegevens. Vrijwillig aanstellen mag, maar dan gelden dezelfde eisen aan onafhankelijkheid. Zie FG-as-a-Service.
Binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij een risico voor betrokkenen onwaarschijnlijk is. Bij een hoog risico informeer je ook de betrokkenen zelf, in duidelijke taal. De klok start zodra je van het lek op de hoogte bent, niet zodra je weet wat er precies is gebeurd, dus een onvolledige melding met aanvulling achteraf is toegestaan en vaak verstandiger dan te laat melden. Leg vooraf vast wie beoordeelt en wie meldt, en registreer ook de lekken die je niet meldt, met de reden waarom niet.
De Autoriteit Persoonsgegevens houdt toezicht. De verordening kent twee boetecategorieen: tot tien miljoen euro of twee procent van de wereldwijde jaaromzet voor onder meer een ontbrekend register of een niet uitgevoerde DPIA, en tot twintig miljoen euro of vier procent voor zwaardere overtredingen zoals verwerken zonder grondslag of het schenden van rechten van betrokkenen, telkens het hoogste van de twee. Naast boetes kan de toezichthouder een verwerking ook verbieden, en dat raakt een bedrijfsproces harder dan een bedrag.
Waarom kiezen voor BOEM?
- Beveiliging en privacy in een hand: wij doen de beveiligingskant, binnen onze groep zitten privacyjuristen voor het juridische deel.
- Een keer inventariseren: het beoordelen van je leveranciers en het in kaart brengen van je gegevens doe je voor de AVG en voor je informatiebeveiliging tegelijk.
- Datalekken zijn een oefening, geen document: wij testen of de meldketen binnen 72 uur werkt in plaats van hem alleen op te schrijven.
- Medewerkers als eerste laag: de meeste datalekken beginnen bij een mens, dus awareness is hier geen bijzaak.
- Aansluiten op wat je al hebt: heb je ISO 27001 of NEN 7510, dan bouwen we erop voort in plaats van ernaast.
Wat kost het om aan de AVG te voldoen?
De vraag is meestal niet of je voldoet maar of je het kunt aantonen
Bij de AVG geldt verantwoordingsplicht: je moet niet alleen voldoen, je moet ook kunnen laten zien dat je voldoet. Dat maakt het werk voorspelbaarder dan het lijkt. Het zwaartepunt zit in het in kaart brengen van je verwerkingen, het op orde brengen van je verwerkersovereenkomsten en het inrichten van een route voor datalekken en verzoeken van betrokkenen. Wat dat kost hangt vooral af van hoeveel systemen en leveranciers je hebt, niet van hoeveel medewerkers.
Beginnen met een nulmeting
Wil je onderbouwd weten waar je staat, dan doen we een GAP-analyse voor een vaste prijs van 2.500 euro, waarin de beveiligingskant en de privacykant naast elkaar liggen. Het werk daarna rekenen we af op een dagtarief van 1.200 euro. Gaat het je vooral om het juridische deel, de rol van functionaris gegevensbescherming of doorlopende ondersteuning, kijk dan bij Privacy-as-a-Service en FG-as-a-Service. Daar maken we een voorstel op basis van je omvang en je verwerkingen.
Of je belegt het structureel
De AVG is nooit af. Er komen systemen bij, leveranciers wisselen en je verwerkingen veranderen mee met je dienstverlening. Binnen ons Security Partner-model van 1.500 euro per maand blijft iemand dat bijhouden, samen met je informatiebeveiliging. Dat is dezelfde cyclus, met een onderwerp erbij, in plaats van een tweede traject naast het eerste.
Voor elke organisatie die persoonsgegevens verwerkt, ongeacht omvang of sector. Er is geen drempel zoals bij de Cyberbeveiligingswet. Ook organisaties buiten de Europese Unie vallen eronder als zij goederen of diensten aanbieden aan mensen in de Unie of hun gedrag volgen. Wat verschilt is niet of de AVG geldt, maar hoeveel werk hij voor jou betekent.
De verordening is sinds 25 mei 2018 van toepassing. Omdat het een verordening is en geen richtlijn werkt hij rechtstreeks, dus er zit geen Nederlandse omzettingswet tussen. De Uitvoeringswet AVG vult alleen de ruimte in die de verordening uitdrukkelijk aan de lidstaten laat, bijvoorbeeld rond de leeftijdsgrens voor toestemming van kinderen.
Niets. GDPR is de Engelse afkorting van General Data Protection Regulation, AVG is de Nederlandse afkorting van Algemene verordening gegevensbescherming. Het is dezelfde verordening, Verordening (EU) 2016/679. In internationale contracten en documentatie van leveranciers zie je meestal GDPR staan.
Nee. Je meldt binnen 72 uur bij de Autoriteit Persoonsgegevens, tenzij het onwaarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Levert het een hoog risico op, dan informeer je hen ook zelf. Belangrijk: ook de lekken die je niet meldt registreer je intern, met de reden waarom niet. Die registratie is precies wat een toezichthouder opvraagt.
Verplicht is een FG voor overheidsinstanties en publieke organen, bij grootschalige regelmatige en stelselmatige observatie van betrokkenen, en bij grootschalige verwerking van bijzondere categorieen persoonsgegevens zoals gezondheidsgegevens. Buiten die gevallen mag je er vrijwillig een aanstellen, maar dan gelden dezelfde eisen aan positie en onafhankelijkheid. Zie FG-as-a-Service als je de rol wilt beleggen zonder iemand in dienst te nemen.
Voor de beveiligingskant scheelt het veel. De eis van passende technische en organisatorische maatregelen sluit direct aan op wat ISO 27001 van je vraagt, en toegangsbeheer, logging, back-ups en leveranciersbeheer heb je dan al staan. Maar de AVG is breder dan beveiliging: grondslagen, rechten van betrokkenen, bewaartermijnen en het verwerkingsregister zitten niet in de norm. Een certificaat is dus geen bewijs dat je aan de AVG voldoet.
De verordening kent twee categorieen: tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, en tot twintig miljoen euro of vier procent voor de zwaarste overtredingen, waarbij telkens het hoogste van de twee bedragen geldt. De Autoriteit Persoonsgegevens kan daarnaast een verwerking beperken of verbieden. Voor de meeste organisaties is dat laatste ingrijpender dan een boete, want het raakt direct een bedrijfsproces.
Met een overzicht van je verwerkingen: welke persoonsgegevens verwerk je, waarom, op welke grondslag en met wie deel je ze. Dat verwerkingsregister is de basis onder alles wat daarna komt, van een inzageverzoek tot een datalekmelding. Daarna kijk je naar je verwerkersovereenkomsten en naar je beveiligingsmaatregelen. Plan een vrijblijvend gesprek en we bepalen samen waar de grootste risico’s zitten.
Plan vandaag nog een vrijblijvende telefonische intake
In een vrijblijvend gesprek kijken we welke persoonsgegevens je verwerkt, waar de risico’s zitten en of je op dit moment kunt aantonen dat je voldoet.
BOEM Cybersecurity als partner, verhalen uit de praktijk
Wij zijn trots op onze klanten. Lees hier meer over deze klanten en hun succesverhalen.