AVG-proof in 10 stappen

Wij helpen je graag om jouw organisatie AVGproof te maken. Met ons 10 stappenplan krijg je een praktisch overzicht van de belangrijkste acties die nodig zijn om jouw organisatie te laten voldoen aan de AVG-regelgeving. Zo minimaliseer je risico’s en zorg je ervoor dat persoonsgegevens binnen jouw organisatie op een veilige en verantwoorde manier worden verwerkt. 

Stap 1: Bepaal of je een functionaris voor de gegevensbescherming dient aan te stellen

Een functionaris voor gegevensbescherming (FG) is verplicht voor bepaalde organisaties, zoals publieke instellingen of bedrijven die grootschalig persoonsgegevens verwerken. De FG houdt toezicht op de naleving van de AVG en adviseert over privacykwesties. 

Stap 2: Breng in kaart welke persoonsgegevens je verwerkt

De basis van AVG-compliance ligt in het begrijpen welke persoonsgegevens jouw organisatie verwerkt. Denk hierbij aan vragen zoals: Welke gegevens verzamel je? Waarom heb je deze gegevens nodig? En hoe kom je aan deze gegevens? Dit overzicht vormt de fundering voor de vervolgstappen, zoals het opstellen van een verwerkingsregister en de privacyverklaringen en het beoordelen van risico’s. 

Stap 3: Bepaal of je verplicht bent om een DPIA uit te voeren

Een Data Protection Impact Assessment (DPIA) is een instrument om de privacyrisico’s van een gegevensverwerking in kaart te brengen. Het is verplicht bij verwerkingen met een hoog privacyrisico, bijvoorbeeld bij grootschalige monitoring of het verwerken van gevoelige gegevens. Door tijdig een DPIA uit te voeren, kun je risico’s identificeren en passende maatregelen nemen om deze te beperken. 

Stap 4: Stel een privacybeleid op

Een privacybeleid is een essentieel document waarin je vastlegt hoe jouw organisatie omgaat met persoonsgegevens. Dit beleid moet afgestemd zijn op de aard, omvang en context van je verwerkingen. Het opstellen van een goed privacybeleid is een krachtig hulpmiddel om consistentie en transparantie binnen je organisatie te waarborgen. 

Stap 5: Maak een register verwerkingen en register datalekken

De AVG vereist dat organisaties een verwerkingsregister bijhouden waarin alle verwerkingen van persoonsgegevens worden gedocumenteerd. Daarnaast is het verplicht om datalekken te registreren en, indien nodig, te melden bij de Autoriteit Persoonsgegevens. Een goed bijgehouden register helpt je om inzicht te krijgen in je processen en voldoet aan de eisen van toezicht. 

Stap 6: Stel vast wat jouw doel en grondslag zijn voor de gegevensverwerking

Elk gebruik van persoonsgegevens moet gebaseerd zijn op een gerechtvaardigd doel en een wettelijke grondslag, zoals de grondslag toestemming, de grondslag overeenkomst of de grondslag wettelijke verplichting. Zorg ervoor dat je doelstellingen helder en specifiek zijn, zodat je verantwoording kunt afleggen over waarom en hoe je gegevens verwerkt. 

Stap 7: Evalueer de manier waarop je toestemming vraagt, krijgt en registreert

Toestemming van betrokkenen is een van de grondslagen voor gegevensverwerking. Baseer je de verwerking op deze grondslag, dan moet je voldoen aan strikte eisen. Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Evalueer hoe je toestemming vraagt en registreert en pas je processen aan om aan de AVG-eisen te voldoen. 

Stap 8: Stel de wijze vast waarop informatie wordt verschaft aan de betrokkenen

De AVG verplicht je om transparant te zijn over welke persoonsgegevens je verzamelt en met welk doel. Dit wordt de informatieplicht genoemd. Je kunt deze informatie het beste verstrekken in een privacyverklaring, die eenvoudig toegankelijk is via je website of andere kanalen. Zorg ervoor dat de informatie begrijpelijk en volledig is. 

Stap 9: Controleer jouw bewerkers- en verwerkersovereenkomsten en/of sluit verwerkersovereenkomsten

Als je persoonsgegevens door derden laat verwerken, zoals een salarisadministratiebureau of een IT-dienstverlener, ben je verplicht een verwerkersovereenkomst te sluiten. Dit document regelt de verantwoordelijkheden en verplichtingen van beide partijen en beschermt jouw organisatie tegen risico’s bij de samenwerking. 

Stap 10: Bepaal onder welke toezichthouder je valt

Wanneer je persoonsgegevens grensoverschrijdend verwerkt, krijg je te maken met de zogenaamde ‘onestopshop-regel’ van de AVG. Hierbij werk je samen met één leidende toezichthouder, meestal die in het land van jouw hoofdkantoor. Het bepalen van jouw leidende toezichthouder is cruciaal voor een efficiënte naleving van de regels.

WAAROM ONZE PRIVACYRECHT ADVOCATEN INSCHAKELEN?

Onze privacyrecht advocaten bieden juridische en praktische ondersteuning om jouw organisatie volledig AVG-proof te maken. We helpen onder meer bij het opstellen van privacyverklaringen en verwerkersovereenkomsten, het implementeren van AVG-organisatorische maatregelen en begeleiden je bij datalekprocedures, verzoeken van betrokkenen en controles door toezichthouders. Of het nu gaat om internationale gegevensverwerking, privacy op de werkvloer of het voorkomen van boetes, neem gerust contact met ons op en ontdek hoe wij jouw organisatie kunnen helpen om succesvol te voldoen aan de AVG.