De AVG Code

Inleiding 9

1 Begrippen en werking van de AVG 17
1.1 De belangrijkste begrippen in de AVG 18
Wat zijn persoonsgegevens? 18
Wat is verwerken? 18
Wat is een veilige omgeving? 19
Wat is een verwerkingsverantwoordelijke? 20
1.2 De werking van de AVG 22
Algemeen 22
De juiste AVG-infrastructuur oftewel het AVG-motorblok 23
Artikel 24 als centraal wetsartikel 23
AVG-compliance 25
Beveiliging van de verwerking van gegevens 26
Vijf maatregelen voor veiligheid 27
Checks en beoordelingen 30

2 De ins en outs van het werken met persoonsgegevens 31
2.1 In welke landen is een privacywet van toepassing? 33
Het adequaatheidsbesluit 33
2.2 De zeven beginselen van het werken met persoonsgegevens 35
1 Het transparantie- en behoorlijkheidsbeginsel 36
2 Het doelbindingsbeginsel 37
3 Het beginsel van gegevensminimalisatie 37
4 Het juistheidsbeginsel 37
5 Het beginsel van de opslagbeperking 37
6 Het integriteits- en vertrouwelijkheidsbeginsel 38
7 Het rechtmatigheidsbeginsel 38
2.3 Persoonsgegevens waarvoor speciale regels gelden 40
Checklist 1 43
Veilig werken met persoonsgegevens en op de juiste manier omgaan met persoonsgegevens 43

3. Omgaan met de rechten van verstrekkers van gegevens 45
3.1 De rechten van de betrokkenen 45
1 Gegevens van het bedrijf of de organisatie die aan de verstrekker van de gegevens vermeld dienen te worden op het moment dat de intake plaatsvindt 47
2 Het bedrijf dient het aan de betrokkene te melden als diens persoonsgegevens niet van hemzelf maar via een andere onderneming of organisatie, dus indirect, zijn verkregen 48
3 Betrokkene heeft het recht van inzage in de door hem verstrekte en opgenomen persoonsgegevens 48
4 Betrokkene heeft het recht van rectificatie of wijziging van de persoonsgegevens, indien aan de orde 49
5 Betrokkene heeft het recht van wissen van een deel dan wel het geheel van zijn gegevens 49
6 Betrokkene heeft het recht op beperking van het werken met zijn gegevens 51
7 Betrokkene heeft het recht op overdraagbaarheid aan een ander van zijn gegevens 52
8 Betrokkene heeft het recht om niet onderworpen te worden aan volledig geautomatiseerde individuele besluitvorming, inclusief profilering die een wettelijk of vergelijkbaar effect heeft 52
9 Het recht van bezwaarmaking tegen een specifieke wijze van werken met gegevens 52
3.2 Aantoonbaar bekendmaken van de rechten 53
3.3 Verzoek tot nakoming van rechten 53
3.4 Hebben we alle rechten nu gehad? 55

4. Een veilige technische en organisatorische infrastructuur 57
4.1 AVG-compliance is het hoogst haalbare 58
4.2 Wat gebeurt er bij een datalek? 58
4.3 Praktische uitwerkingen 61
1 Objectieve beoordeling van de stand van de ICT 61
2 Het overleggen van een datalekregister en een rapportage in het geval van een datalek 62
3 De verplichte privacy- en cookieverklaring op de website 64
4 Het overleggen van het handboek 64
5 Aantonen dat het verwerkingsregister volledig, juist en tijdig bijgewerkt is 64
6 Vermelden van het werken met persoonsgegevens met een verhoogd risico 64
7 De verplichte aanstelling van een functionaris gegevensbescherming (FG) 65
8 Een verplichte Data Protection Impact Assessment 65
4.4 Andere maatregelen die u kunt nemen 66

5 Werken met de AVG in de praktijk 67
5.1 De wet geldt voor alle organisaties 69
5.2 De inrichting van het register van de verwerkingsverantwoordelijke 70
5.3 De inrichting van het register van de verwerker 72
5.4 De functionaris gegevensbescherming 72
De positie en taken van de FG 74
5.5 Contact met de AP over datalekken en klachten 75
5.6 Bezwaar maken tegen een besluit van de Autoriteit Persoonsgegevens 78
5.7 De gegevensbeschermingseffectbeoordeling of DPIA 79
Bepaal de risico’s 80

6 Omgaan met datalekken 83
6.1 Wanneer is een lek een datalek voor de AVG? 83
6.2 Wat gebeurt er bij een datalek? 86
1 Stel het type datalek vast 86
2 Beoordeel de waarschijnlijkheid op een risico voor de betrokkenen. 90
3 Bepaal het risico en de omvang van het risico. 92
6.3 De stappen van het formele traject 95
1 De procedure voor het afhandelen van de datalekken. 95
2 Het tijdstip waarop de meldingsplicht gaat lopen. 96
3 Informatieverstrekking aan de Autoriteit Persoonsgegevens. 97

7 Procedures en handleidingen voor een veilige ict-omgeving 99
7.1 Bottlenecks bij het inrichten van de ICT conform de AVG 99
7.2 Service Level Agreement 102 Welke onderwerpen komen aan bod in de SLA? 103
Handleidingen en procedures in de SLA 104
7.3 Inventarisatie van hard- en software 105
Extra risico: end-of-life 106 Beveiliging van de hardware 106
7.4 Veilig omgaan met wachtwoorden 107
7.5 Beveiliging in de cloud 109
7.6 Beveiliging door acties van de gebruiker 109
7.7 De beveiliging en controle van mobiele apparatuur 110
7.8 Risicoanalyses, tests, back-ups en herstel 111
Beveiliging door risicoanalyses en tests 111
Back-ups 112
7.9 De beveiliging van e-mails en e-mailverkeer 113
7.10 Het risico van openbare wifi 114
De veiligheid van de website 115
(D)DoS-aanvallen: een geval apart 116
7.11 Beveiliging tegen mal- en ransomware 116
7.12 Voorbeelden van externe fraude 117
7.13 Insider threats of interne fraude 119
7.14 Wat als er toch een incident is? 120

Checklist 2 123
In welke mate voldoet u aan de AVG? 123

8 De doorgifte van persoonsgegevens aan derde landen 127
1 Doorgifte van gegevens op basis van een adequaatheidsbesluit 128
2 Doorgifte van gegevens op basis van waarborgen 129
3 Doorgifte van gegevens zonder adequaatheidsbesluit of waarborg 131
4 Doorgifte op basis van rechterlijke uitspraken en besluiten van administratieve autoriteiten 132

Nawoord 133

Bijlage 1 Belangrijke definities uit de AVG 137
Bijlage 2 De Rendement AVG-Tool 139
Bijlage 3 Artikel 24 143
Bijlage 4 Lijst van EU- en EER-landen 147
Bijlage 5 Handige websites 149