Bron website VNG

Op 25 mei 2016 is de Europese Algemene Verordening Gegevensbescherming (AVG) in werking getreden. (Decentrale) overheden en bedrijven hebben tot 25 mei 2018 de tijd om aan de regels in de Verordening te voldoen.

Deze nieuwe wetgeving moet zorgen voor harmonisatie van de huidige privacyregelgeving in Europa en verbetering van de privacy(bescherming) van burgers. De oude privacyregelgeving (1995) werd vastgesteld toen internet nog in de kinderschoenen stond. Bij de nieuwe regelgeving gaat het daarom vooral om het beschermen van persoonsgegevens in de digitale wereld. In onze ledenbrief zetten we de belangrijkste wijzingen voor gemeenten op een rij.

De VNG biedt gemeenten een pakket aan ter ondersteuning bij vraagstukken rondom de nieuwe regels voor gegevensbescherming en privacy. De onderdelen van dit ondersteuningspakket worden in deze ledenbrief nader beschreven. Meer informatie hierover is te vinden op de website van de VNG en IBD.

Link naar de ledenbrief van de VNG.

De belangrijkste wijzigingen als gevolg van de AVG zijn in onderstaand overzicht weergegeven:

- Functionaris gegevensbescherming (FG) (Afdeling 4 AVG, art. 37e.v.): de aanwijzing van een FG is niet langer vrijblijvend, maar verplicht voor organisaties die veel persoonsgegevens verwerken zoals gemeenten. De FG is onder meer verantwoordelijk voor het naleven van de AVG. Als een verantwoordelijke of bewerker een publieke autoriteit is, mag ook één functionaris worden aangewezen voor meer dan één organisatie. Gemeenten kunnen er dan voor kiezen gezamenlijk een functionaris aan te wijzen;

- Rechtmatigheid en transparantie (art. 5 lid 1 sub a en art. 6): transparantie is in de AVG opgenomen als een apart beginsel. Het dient transparant te zijn voor een natuurlijk persoon dat zijn persoonsgegevens worden verzameld, gebruikt, geraadpleegd, oftewel worden verwerkt. Daarnaast dient het duidelijk te zijn in hoeverre dit gebeurt en op basis van welke wettelijke grondslag;

- Accountability (art. 24): bedrijven en overheden moeten actief beleid voeren en maatregelen treffen waaruit blijkt dat de AVG wordt nageleefd. Het is dus niet langer voldoende enkel (passief) te informeren over het doel en de middelen van verwerking;

- Vergeetrecht (art. 17): klanten, patiënten, cliënten en burgers hebben straks het recht om ‘vergeten’ te worden. Dat wil zeggen dat ze het recht hebben om zich te laten verwijderen uit databases, tenzij legitieme wettelijke vereisten dit voorkomen.Het in kaart hebben van de wettelijke grondslag van verwerking van persoonsgegevens is in dit kader van groot belang;

- Dataportabiliteit (art. 15 lid. 3): burgers hebben het recht op dataportabiliteit (de burger moet zijn of haar data kunnen meenemen naar een andere dienst) en hebben hiervoor het recht een kopie te ontvangen van de persoonsgegevens die over hem zijn verzameld;

- Profilering (art. 22): burgers hebben het recht niet te worden onderworpen aan een louter op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit (data analytics, big data);

- Privacy by design en privacy by default (art. 6 lid 4 sub e): explicieter dan voorheen dienen er passende technische en organisatorische maatregelen getroffen te worden die de gegevensverwerking strikt beperken tot noodzakelijk en mogen persoonsgegevens in beginsel niet met een onbeperkt aantal natuurlijke personen gedeeld te worden (gegevensminimalisatie of pseudonimisatie: het identificerende gegeven wordt vervangen door een ander identificerend gegeven);

- Gegevensbeschermingseffectbeoordeling (art. 35): omdat het verwerken van persoonsgegevens tot de kernactiviteiten van gemeenten behoort, stelt de Autoriteit Persoonsgegevens het uitvoeren van een gegevensbeschermingseffectbeoordeling (oftewel een impactanalyse) bij nieuwe verwerkingen verplicht, om er voor te zorgen dat de gegevensverwerking op een verantwoorde manier plaatsvindt.