Over een jaar is de storm op zijn hoogtepunt. In Grip op de AVG leggen Koen Versmissen, Jeroen Terstegge en Natalja Krijgsman uit wat er allemaal nieuw is, waarom u eigenlijk te laat bent als u niet al bezig bent, maar ook waarom dat geen ramp is als u maar morgen aan de slag gaat. En dat allemaal gelardeerd met voorbeelden, en op zo’n manier dat het ook te begrijpen is voor wie nog niet of nauwelijks over privacykennis beschikt. Een preview.
Ons boek gaat over ‘privacy’, of liever: het netjes omgaan met gegevens over personen. Daar heeft u ook mee te maken! Want elke organisatie verwerkt persoonsgegevens, al is het maar van de eigen werknemers. In de huidige informatiesamenleving is het echter veel vaker zo dat persoonsgegevens tot in de haarvaten van een organisatie te vinden zijn: diensten verlenen en producten verkopen aan klanten, burgers of patiënten, direct marketing, gebruik van sociale media, fraudebestrijding, cameratoezicht, toegangspasjes, arbo en verzuim, analytics of clouddiensten, allemaal zijn het processen waar persoonsgegevens ingaan, gegenereerd worden en uitgaan.
De AVG (Algemene Verordening Gegevensbescherming) is vanaf 25 mei 2018 de Europese privacywet. Die komt in Nederland in plaats van de huidige Wet Bescherming Persoonsgegevens. De meeste wijzigingen die de AVG met zich meebrengt zijn uitbreidingen of aanscherpingen van wat er eerder was. Als het gaat om regels voor de gegevensverwerking zelf zijn er maar een paar echt nieuwe zaken, met name het recht op dataportabiliteit en het recht om vergeten te worden.
In een ander opzicht is de AVG echter wel geheel nieuw, en laat zij een frisse wind waaien op privacygebied. Het gaat dan niet om de regels voor de gegevensverwerking zelf, maar om alles wat een gegevensverwerkende organisatie moet doen om ervoor te zorgen dat zij het naleven van die regels structureel waarborgt, en daarover ook rekenschap kan afleggen. Dat goed inregelen gaat van vrijwel alle gegevensverwerkende organisaties ten minste een grote inspanning vergen, en vaak zelfs een cultuuromslag.
Met nog ruim een jaar te gaan is het al bijna een onmogelijke opgave om dat allemaal op tijd klaar te hebben. De kans is gelukkig niet zo heel groot dat de toezichthouder, de Autoriteit Persoonsgegevens, meteen in juni volgend jaar enorme boetes gaat uitdelen. Zolang u ten minste kunt aantonen dat u er wel al een tijd serieus mee bezig bent en duidelijke stappen in de goede richting gezet heeft. In ons boek leggen we niet alleen precies uit wat de AVG van u verlangt, maar schotelen we u ook een concrete aanpak voor om daarmee aan de slag te gaan.
Als u dat doet, dan is het van groot belang dat u het doel van de AVG niet uit het oog verliest doordat u krampachtig haar regels probeert te volgen. Waar het uiteindelijk om gaat is niet de letter, maar de bedoeling van de wet: het vinden van een balans tussen enerzijds het waarborgen van het recht op privacy en het recht op gegevensbescherming, en anderzijds het mogelijk maken van verwerking van persoonsgegevens waar die nodig is in een informatiesamenleving. Wilt u optimaal gebruik maken van de mogelijkheden om persoonsgegevens verwerken, dan moet u niet alleen de AVG naleven, maar ook organiseren dat u die compliance structureel goed op orde heeft, én kunnen aantonen dat u dat gedaan heeft. Privacymanagement gaat dus over veel meer dan het verwerken van persoonsgegevens conform de regels van de AVG.
Dr. Koen Versmissen CIPP/E is partner bij Privacy Management Partners. Hij werkte bijna negen jaar voor de Autoriteit Persoonsgegevens (AP), in verschillende beleids- en leidinggevende functies. Ook heeft hij acht jaar ervaring als privacyadviseur en -trainer. Voor de AP schreef hij onder meer de rapporten Sleutels van Vertrouwen en Elektronische overheid en privacy. Koen is een gepromoveerd wiskundige en informaticus. Hij is een van de auteurs van Grip op de AVG.
