Inleiding

Uw data in kaart brengen

Het opmaken van een soort ‘data-inventaris’ is een eerste zeer belangrijke stap in uw voorbereiding. U moet proberen in kaart te brengen welke data u allemaal verwerkt.

Worden de rechten van de betrokkene gegarandeerd ?

U moet als onderneming rekening houden met heel wat rechten die de GDPR verleent aan betrokkenen. Maak een nauwkeurige evaluatie en ga na waar u eventueel de nodige aanpassingen dient te doen. Het is belangrijk om te weten hoe u voortaan te werk zal gaan wanneer iemand zijn recht wil uitoefenen; wie is hiervoor verantwoordelijk? Weet die persoon wat te doen? Is het technisch mogelijk?

Bent u voorbereid op een datalek

Indien u wordt geconfronteerd met een datalek (bv. uw systeem werd gehackt en al uw data werd gestolen) dan heeft u een meldingsplicht (onverwijld of binnen de 72 uur) nadat u kennis heeft genomen van de inbreuk.
a) Meldingsplicht bij Privacy Commissie (art. 33 GDPR) U moet de Privacy Commissie op de hoogte brengen binnen de 72 uur van een inbreuk wanneer die inbreuk vermoedelijk een risico vormt voor de rechten en vrijheden van personen. U moet enkel de inbreuken melden waarbij de kans groot is dat het schade zal berokkenen bij de persoon in kwestie. Bv. identiteitsdiefstal, schending geheimhoudingsplicht, …
b) Meldingsplicht bij de betrokkene (art. 34 GDPR) Wanneer de inbreuk een hoog risico zou kunnen vormen voor de rechten en vrijheden van de betrokken personen, dan moeten die onverwijld worden verwittigd. Bv. indien niet-geëncrypteerde bankgegevens werden gestolen. De meldplicht ten aanzien van de betrokkene geldt niet in volgende gevallen:

• U heeft reeds passende technische en organisatorische beschermingsmaatregelen genomen met betrekking tot die gegevens (bv. versleuteling).
• U heeft achteraf maatregelen genomen om ervoor te zorgen dat het risico zich niet meer zal voordoen.
• Indien de meldplicht onevenredige inspanningen zou vergen (er moet dan wel een openbare mededeling doen of een even doeltreffende soortgelijke maatregel nemen).

Heeft u een Data Protection Officer (DPO) nodig ?

Het aanstellen van een DPO is volledig nieuw. Sommige ondernemingen zullen een DPO, een soort preventieadviseur voor privacy, moeten aanstellen. Het is een persoon met zowel deskundige als praktische kennis inzake privacy, die de onderneming dient bij te staan bij het toezicht op de interne naleving van de GDPR (art. 37-39).

• Een DPO geeft informatie en advies omtrent de GDPR-verplichtingen aan uw onderneming.
• Een DPO monitort de naleving van de GDPR.
• Een DPO is het centrale aanspreekpunt inzake gegevensbescherming (zowel voor de onderneming, voor de privacy commissie als voor personen wiens gegevens werden verwerkt).
• Een DPO adviseert de onderneming omtrent de verplichte risicoanalyse en de resultaten.

Wanneer een DPO aanstellen

Moet u een Data Protection Impact Assesment (DPIA) uitvoeren ?

Sommige ondernemingen zullen een DPIA, een soort veiligheidsaudit, moeten (laten) uitvoeren voor bepaalde verwerkingen.
Wanneer de DPIA aangeeft dat het verwerken van de persoonsgegevens een hoog risico inhoudt én indien u dat hoog risico niet kan beperken door maatregelen die met het oog op beschikbare technologie en de uitvoeringskosten redelijk zijn, moet u advies inwinnen van de Privacy Commissie en de nodige maatregelen nemen om het risico te bedwingen. Deze verplichting geldt enkel voor hoge risicosituaties. De beoordeling van een ‘hoog risico moet steeds gebeuren in functie van de soorten persoonsgegevens, de omvang en frequentie van de verwerking (art. 35-36). Bv. wanneer een nieuwe technologie wordt geïmplementeerd of wanneer een profileringsoperatie een aanzienlijk effect kan teweegbrengen voor de betrokkene.

Heeft u een register van verwerkingsactiviteiten ?

Elke onderneming die persoonsgegevens verwerkt, zal een register van haar verwerkingsactiviteiten moeten bijhouden (art. 30).

Finaliseren van uw dossier

We hechten veel waarde aan de bescherming van de privacy van onze klanten en werken er voortdurend aan om te voldoen aan de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie. Om ervoor te zorgen dat we volledig in lijn zijn met de GDPR-voorschriften, vragen we alle afdelingen binnen ons bedrijf om deze vragenlijst in te vullen en te beoordelen of het aanstellen van een GDPR EU-vertegenwoordiger noodzakelijk is.