De Autoriteit Persoonsgegevens (AP) heeft een stappenplan gepubliceerd dat organisaties kan helpen in voorbereiding op de nieuwe Europese privacywetgeving. Vanaf 25 mei 2018 moeten organisaties voldoen aan deze nieuwe wet, de Algemene verordening gegevensbescherming (AVG). Overtredingen van deze wet kunnen oplopen tot boetes van 20 miljoen euro of 4 procent van de wereldwijde jaaromzet.

De AVG geldt voor de hele Europese Unie (EU) en vervangt in Nederland de huidige Wet bescherming persoonsgegevens (Wbp). Deze nieuwe wet versterkt en breidt privacyrechten van mensen uit en zorgt voor meer verplichtingen voor organisaties die persoonsgegevens verwerken, zo stelt de Autoriteit Persoonsgegevens. De nadruk ligt, meer dan nu, op de verantwoordelijkheid van organisaties om te kunnen aantonen dat zij zich aan de wet houden. De toezichthouder adviseert organisaties op tijd te beginnen met de implementatie van de regels.

Om hierbij te helpen heeft de Autoriteit Persoonsgegevens 10 stappen opgesteld die organisaties kunnen doorlopen in de voorbereiding op de nieuwe privacywet (pdf). De eerste stap is volgens de AP zorgen voor bewustwording in de organisatie. In de tweede stap wordt gewezen op de rechten van betrokkenen. Organisaties moeten zorgen dat mensen hun rechten kunnen uitoefenen. Het gaat dan om bestaande rechten, zoals het recht op inzage en verwijdering van hun gegevens. Maar ook om nieuwe rechten, zoals het recht op dataportabiliteit; het recht om persoonsgegevens te ontvangen die een organisatie van hen heeft, deze zelf op te slaan of door te geven aan een andere organisatie.

Verder adviseert de toezichthouder organisaties onder meer in kaart te brengen welke persoonsgegevens zij verwerken, waar de gegevens vandaan komen en met wie de organisatie ze deelt. Onder de AVG moeten organisaties een register bijhouden om te kunnen aantonen dat ze in overeenstemming met de wet handelen. Ook worden zaken als Privacy by design & privacy by default, bewerkersovereenkomsten en de meldplicht datalekken genoemd.

Privacy impact assessment

Een ander punt van aandacht is dat onder de AVG organisaties verplicht kunnen zijn een privacy impact assessment (PIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, om vervolgens maatregelen te kunnen nemen om de risico's te verkleinen. Een PIA is verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de mensen van wie de organisatie gegevens verwerkt. De Autoriteit Persoonsgegevens zal nog een lijst van verwerkingen publiceren waarvoor een PIA verplicht is.