Algemene verordening gegevensbescherming

Invoering

De Algemene Verordening Gegevensbescherming (AVG) is een kader voor gegevensbeschermingswetten die in april 2016 zijn aangenomen door de Europese Unie (EU). Het vervangt de EU-richtlijn gegevensbescherming uit 1995 en versterkt de bescherming van persoonsgegevens van individuen binnen de EU. De AVG stelt de rechten van individuen vast in verband met hun persoonsgegevens en de verplichtingen van organisaties die deze gegevens verwerken. Het stelt ook een enkele set gegevensbeschermingsregels vast die van toepassing zijn in de hele EU, waardoor de persoonsgegevens van individuen consistent worden beschermd, ongeacht waar deze worden verwerkt. De AVG is van toepassing op organisaties die persoonsgegevens van individuen in de EU verwerken, ongeacht de locatie van de organisatie. Het is ook van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een controller of een verwerker in de EU, ongeacht of de verwerking plaatsvindt in de EU of niet.

Doel van de AVG

De doelstelling van de Algemene Verordening Gegevensbescherming (AVG) is om de persoonsgegevens van individuen in de Europese Unie (EU) te beschermen. De AVG stelt de rechten van individuen vast in verband met hun persoonsgegevens en de verplichtingen van organisaties die deze gegevens verwerken. Het streeft ernaar om individuen meer controle te geven over hun persoonsgegevens door duidelijke regels en procedures vast te stellen voor verzameling, gebruik en opslag van persoonsgegevens. De AVG beoogt ook de gegevensbeschermingswetten in de EU te harmoniseren, zodat de persoonsgegevens van individuen consistent worden beschermd, ongeacht waar deze worden verwerkt. Daarnaast heeft de AVG tot doel de vrije stroom van persoonsgegevens binnen de EU te versterken, terwijl tegelijkertijd wordt gezorgd voor bescherming van persoonsgegevens van EU-burgers wanneer deze naar buiten de EU worden overgedragen. In het algemeen is het doel van de AVG om de persoonsgegevens van EU-burgers te beschermen en een sterk, consistent kader voor gegevensbescherming in de EU te creëren.

Reikwijdte van de AVG

De reikwijdte van de Algemene Verordening Gegevensbescherming (AVG) is breed en omvat de verwerking van persoonsgegevens door organisaties die zijn gevestigd in de Europese Unie (EU) of die goederen of diensten aanbieden aan individuen in de EU of die het gedrag van individuen in de EU monitoren. De AVG is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een controller of een verwerker in de EU, ongeacht of de verwerking plaatsvindt in de EU of niet. Dit betekent dat zelfs als een organisatie niet gevestigd is in de EU, maar wel de persoonsgegevens van individuen in de EU verwerkt, deze toch aan de eisen van de AVG moet voldoen.

Daarnaast is de AVG van toepassing op organisaties die de persoonsgegevens van individuen in de EU verwerken, ongeacht de locatie van de organisatie. Dit betekent dat zelfs als een organisatie buiten de EU gevestigd is, maar wel de persoonsgegevens van individuen in de EU verwerkt, deze toch aan de eisen van de AVG moet voldoen. In het algemeen is de reikwijdte van de AVG breed en van toepassing op organisaties die de persoonsgegevens van individuen in de EU verwerken, ongeacht de locatie van de organisatie of de locatie van de verwerking.

Belangrijkste bepalingen van de AVG

De Algemene verordening gegevensbescherming (AVG) bevat verschillende belangrijke bepalingen die erop gericht zijn de persoonlijke gegevens van individuen in de Europese Unie (EU) te beschermen. Deze bepalingen stellen de rechten van individuen vast in verband met hun persoonlijke gegevens en de verplichtingen van organisaties die deze gegevens verwerken. Enkele van de belangrijkste bepalingen van de AVG zijn:

Recht op informatie

Onder de AVG moeten organisaties transparant zijn over hoe ze persoonlijke gegevens gebruiken en moeten ze individuen duidelijke en bondige informatie geven over hun rechten en hoe hun persoonlijke gegevens worden gebruikt.

Recht op toegang

De AVG geeft individuen het recht om toegang te vragen tot hun persoonlijke gegevens en om een kopie van deze gegevens te krijgen.

Recht op verbetering

De AVG geeft individuen het recht om hun persoonlijke gegevens te laten verbeteren als deze onjuist of onvolledig zijn.

Recht op verwijdering (“recht om vergeten te worden”)

De AVG geeft individuen het recht om te verzoeken dat hun persoonsgegevens worden gewist in bepaalde omstandigheden, zoals als de gegevens niet langer nodig zijn voor de doelstelling waarvoor ze zijn verzameld.

Recht op beperking van verwerking

De AVG geeft individuen het recht om te verzoeken dat hun persoonsgegevens alleen voor bepaalde doeleinden worden verwerkt, of helemaal niet worden verwerkt.

Recht op gegevensportabiliteit

De AVG geeft individuen het recht om hun persoonsgegevens in een gestructureerde, veelgebruikte en machineleesbare vorm te ontvangen en deze gegevens naar een andere organisatie te verzenden.

Recht op bezwaar

De AVG geeft individuen het recht om bezwaar te maken tegen de verwerking van hun persoonsgegevens voor bepaalde doeleinden, zoals voor doeleinden van direct marketing.

Rechten in verband met geautomatiseerde besluitvorming en profilering

De AVG geeft personen het recht om niet onderworpen te worden aan een beslissing die alleen op geautomatiseerde verwerking is gebaseerd, waaronder profilering, als het juridische gevolgen voor hen heeft of hen significant beïnvloedt.

Over het algemeen hebben deze belangrijke bepalingen van de AVG als doel personen meer controle te geven over hun persoonlijke gegevens en duidelijke regels te stellen voor de verzameling, gebruik en opslag van deze gegevens.

Boetes voor niet-naleving

Organisaties die niet voldoen aan de Algemene Verordening Gegevensbescherming (AVG) kunnen grote boetes krijgen. De AVG stelt een gestapelde systeem van boetes in, met de mogelijkheid voor hogere boetes voor ernstigere overtredingen. Onder de AVG kunnen organisaties een boete krijgen tot 4% van hun jaarlijkse wereldwijde omzet of € 20 miljoen (welke het hoogst is) voor de ernstigste overtredingen, zoals ongeoorloofde verwerking van persoonlijke gegevens of het niet melden van een datalek. Voor minder ernstige overtredingen, zoals het niet verkrijgen van toestemming voor de verwerking van persoonlijke gegevens of het niet bijhouden van gegevens van verwerkingsactiviteiten, kunnen organisaties een boete krijgen tot 2% van hun jaarlijkse wereldwijde omzet of € 10 miljoen (welke het hoogst is).

De AVG geeft ook de toezichthoudende instanties de bevoegdheid om een reeks andere sancties op te leggen, zoals waarschuwingsbrieven, berispingen en bevelen tot staking van verwerking, naast boetes. In het algemeen stelt de AVG een systeem van zware sancties voor niet-naleving in, om ervoor te zorgen dat organisaties de bescherming van persoonlijke gegevens serieus nemen en om naleving van AVG-vereisten te stimuleren.

Overgangsperiode en ingangsdatum

De Algemene Verordening Gegevensbescherming (AVG) is op 27 april 2016 door de Europese Unie (EU) aangenomen en is op 25 mei 2018 van kracht geworden. Organisaties hadden een overgangsperiode om hun beleid en praktijken in overeenstemming te brengen met de vereisten van de AVG. Tijdens deze overgangsperiode werd van organisaties verwacht dat ze hun gegevensbeschermingsbeleid en -praktijken herzien, beoordelen of ze voldoen aan de AVG-vereisten en de nodige wijzigingen aanbrengen om ervoor te zorgen dat ze in overeenstemming waren met de AVG.

De AVG is van toepassing op de verwerking van persoonsgegevens door organisaties die in de EU zijn gevestigd of die goederen of diensten aanbieden aan personen in de EU, of die toezicht houden op het gedrag van personen in de EU. Het is ook van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de EU, ongeacht of de verwerking al dan niet in de EU plaatsvindt. Dit betekent dat ook als een organisatie niet in de EU is gevestigd, maar de persoonsgegevens van personen in de EU verwerkt, zij toch moet voldoen aan de eisen van de AVG. Over het algemeen is de AVG op 25 mei 2018 van kracht geworden en is van toepassing op organisaties die de persoonsgegevens van personen in de EU verwerken, ongeacht de locatie van de organisatie of de locatie van de verwerking.