Tijd dus voor een plan van aanpak! Laat je niet afschrikken door de complexiteit van de wetgeving rondom het werken met persoonsgegevens — voor iedere situatie zijn er passende oplossingen te vinden.

De Wbp is door de overheid in het leven geroepen om de burger het gevoel te geven dat er door bedrijven veilig en controleerbaar met hun gegevens wordt omgegaan. Zodat burgers hun gegevens durven achter te laten, ten behoeve van zichzelf en het bedrijfsleven. Uit onderzoek is echter gebleken dat de wet zijn doel niet bereikte: slechts 15% van de burgers evaart een gevoel van zeggenschap over hun gegevens (bron: ec.europa.eu). Ook blijken de regels omtrent bescherming van persoonsgegevens niet in heel Europa gelijk te zijn.

Beter voorkomen dan genezen dus! 25 mei 2018 lijkt nog ver weg, maar op die datum moet je als organisatie aan de wet voldoen. De aanloopperiode, de tijd waarin je je als organisatie mag voorbereiden op de AVG, is dus nu! De Autoriteit Persoonsgegevens raadt alle bedrijven dan ook met klem aan om in 2017 de bedrijfsprocessen, applicaties, diensten en goederen binnen het bedrijf zorgvuldig onder de loep te nemen met betrekking tot privacy en beheersbaarheid van persoonsgegevens. Punten waarop je als bedrijf niet aan de AVG voldoet kunnen dan nog op tijd worden aangepast.

Dit recht valt onder stap 2 van de checklist AVG: de rechten van betrokken. Onder de AVG moet een burger in 2018 kunnen inzien welke informatie een bedrijf van hem of haar heeft vastgelegd. Deze mogelijkheid tot inzage moet elk bedrijf faciliteren.

Facebook heeft dit opgelost door binnen het platform een knop te bieden waarmee je als gebruiker je persoonlijke gegevens kan inzien. Ook kun je een archief downloaden waarin alle gegevens staan die je ooit met Facebook hebt gedeeld.

Bij gevoelige gegevens moet er extra goed nagedacht worden over de manier waarop je gebruikers inzage verleent. Denk bijvoorbeeld aan het Elektronisch Patiënten Dossier waar een arts mee werkt. Een burger mag hierin altijd zelf inzage hebben, maar gezien de aard van de gegevens doe je dit liever niet met een ‘self service’ hulpmiddel zoals de knop in Facebook. Patiënten wordt aangeraden hun dokter te verzoeken om inzage en uitleg terwijl ze in de behandelkamer zijn (bron: Patientenfederatie).

Ook dit recht valt onder stap 2 van de checklist AVG en geeft burgers het recht om de organisatie te vragen al hun gegevens te verwijderen. Dat klinkt misschien eenvoudig, maar in de praktijk is het vaak behoorlijk complex en zien wij dat veel websites en apps geen knop hebben waarmee een gebruiker zich volledig uit het systeem kan verwijderen. En denk bijvoorbeeld ook aan de complicaties die dit geeft voor je back-up procedure. Wanneer een gebruiker zichzelf namelijk verwijdert en je die avond een backup terugzet van de dag ervoor, dan staat diezelfde persoon weer in het systeem. Hier moet je dus een strategie voor bedenken en implementeren.

Dit recht wordt beschreven in stappen 3, 4 en 5 van de checklist AVG. In veel websites en applicaties worden gegevens oneindig lang bewaard. Onder de AVG mag je gegevens niet langer bewaren dan voor het doel noodzakelijk is. Dit kun je op verschillende manieren interpreteren, maar het vereist in elk geval een actieve administratie van de persoonsgegevens. Zo kan je bijvoorbeeld logfunctionaliteit laten inbouwen, waarmee je kan zien wie er al meer dan een jaar niet meer actief is geweest. Het systeem checkt het log op een afgesproken tijd en stuurt de betreffende mensen een waarschuwing dat hun account verwijderd zal worden als ze niet binnen twee weken inloggen. Volgens de procedure verwijdert het systeem vervolgens twee weken later alle mensen die nog steeds de status ‘1 jaar inactief’ hebben.

Voor elke organisatie geldt hierbij: bouw ook management-checks in op de naleving van de procedures op de werkvloer. Voor sommige organisaties is het aanstellen van een functionaris voor gegevensbescherming zelfs verplicht (stap 6 van de checklist AVG). Geen overbodige luxe, want onze ervaring is dat de meeste beveiligingsfouten niet ontstaan door de software, maar door menselijke fouten.

Dit recht valt onder stap 10 van de checklist AVG. Anders dan onder de Wbp, moet je als bedrijf onder de AVG kunnen aantonen dat je een geldige toestemming voor het verwerken van iemands gegevens hebt gekregen. Het woord ‘geldig’ is hierbij van groot belang. Immers, als je gegevens van kinderen verwerkt, is de toestemming van het kind zelf niet voldoende: als bedrijf moet je dan toestemming hebben van minimaal één van de ouders, voordat je de gegevens van het kind mag verwerken.

Het vereist dus een gedegen kennis van de AVG en veel aandacht voor je bedrijfsprocessen om straks goed voorbereid te zijn op de wet AVG. Natuurlijk hoef je dit niet allemaal alleen te doen. Techniek kan je hierin faciliteren en is altijd nauwkeuriger dan een mens ooit zal zijn!