Wat is GDPR?

GDPR is de afkorting van General Data Protection Regulation. Of de nieuwe Europese regelgeving rond de bescherming van persoonsgegevens. In het Nederlands klinkt dit als de Algemene Verordering Gegevensbescherming (AVG). GDPR en AVG zijn dus één en hetzelfde.

Deze GDPR is van kracht vanaf 25 mei 2018.

Wat betekent de GDPR concreet voor je kmo of onderneming?

In elk bedrijf circuleert heel wat info over (potentiële) klanten, leveranciers, partners waarmee je samenwerkt, personeelsgegevens, noem maar op. Door slordigheden, of in bepaalde gevallen hacking of datalekken, durven deze persoonsgegevens wel eens in handen te vallen van derden die daar helemaal geen toestemming voor hebben gekregen.

Goed beheer van deze gegevens is dus heel belangrijk. Zowel voor je eigen onderneming als voor de persoon waarvan je beschikt over welbepaalde data. Daarom duikt nu de GDPR op die het beheer en de beveiliging van persoonlijke gegevens van Europese burgers regelt.

Geen vies beestje dus. Maar een privacywet die kansen schept voor jouw kmo of zaak.

Bekijk de GDPR als iets waarvan je zaak beter wordt. En vooral: betrek heel je bedrijf bij dit verhaal. Want de bescherming van persoonsgegevens ligt bij ál je medewerkers.

Belangrijkste aandachtspunten in de GDPR

Voorwaarden voor een geldige verwerking

Houd je als bedrijf aan de spelregels en voltooi zo op een geldige manier de verwerking van persoonsgegevens: hiervoor heb je of de uitdrukkelijke toestemming van de betrokkene of de persoonsgegevens zijn noodzakelijk voor de uitvoering van een overeenkomst, of om op verzoek van de betrokkene voor de sluiting van een overeenkomst maatregelen te nemen. Om te voldoen aan een bestaande wettelijke plicht (vb. kiesplicht), noodzakelijk voor de vitale belangen van de betrokkene (bvb. gezondheidszorg), noodzakelijk voor de vervulling van een taak van algemeen belang/openbare orde (bvb. snelheidscontroles), eigen gerechtvaardigd belang verwerker/derden, dat zwaarder weegt dan het belang van de betrokkene (uitgesloten bij kinderen).

Recht om ‘vergeten te worden’

De GDPR breidt ‘het recht om vergeten te worden’ uit. Concreet betekent dit dat individuen van bedrijven kunnen eisen om hun persoonsgegevens te verwijderen. Als een persoon hierom vraagt, dan moet je als bedrijf de persoonlijke data wissen uit de database. Ook als die gedeeld zijn met andere partijen.

Datalek melden binnen 72 uur

Krijg je te kampen met een datalek (bijvoorbeeld door hacking), dan heb je als bedrijf de plicht om dit te melden binnen 72 uur. Aan wie? Zowel aan de betrokkenen zelf als aan de Privacycommissie.

Data Protection Officer (DPO)

In grote organisaties stelt de GDPR dat je een Data Protection Officer of DPO moet aanstellen. Deze persoon houdt in het oog dat het bedrijf de persoonsgegevens verzamelt en beheert met de grootste zorg en volgens de regels van de GDPR.

Voor de meeste kleinere bedrijven is het niet eens nodig om een Data Protection Officer aan te stellen. Hoe dan ook is het handig als medewerkers weten bij welke collega ze terechtkunnen met vragen over GDPR. Lees meer over de DPO.

Boetes

Leef je de GDPR niet na, dan heeft de Privacycommissie de bevoegdheid om je te sanctioneren. Zowel met corrigerende maatregelen als geldboetes.

Toch is het op dit moment koffiedik kijken hoe dit in een uitwerking krijgt in de praktijk.

Je bedrijf klaar maken voor de GDPR?

Download het stappenplan van de Privacycommissie.

Op deze gdpr-gids.be lees je blogberichten die dit stappenplan ondersteunen. Met concrete voorbeelden uit de praktijk.

Verschijnt er een nieuw artikel, dan krijg je hiervan een melding in je browser. Zo gidsen we je bedrijf graag mee naar GDPR compliancy.