GDPR

De Algemene verordening gegevensbescherming (AVG; in het Engels GDPR) is het kader van de Europese Unie voor de verwerking van persoonsgegevens. De verordening legt plichten op aan verwerkingsverantwoordelijken en verwerkers en geeft betrokkenen afdwingbare rechten. Die rechten hebben voorwaarden, procedures en uitzonderingen; het zijn geen onvoorwaardelijke opdrachten om elk gegeven te verstrekken, te wijzigen of te wissen.

Enkele rechten

• Inzage (Art. 15): uitsluitsel, toegang tot persoonsgegevens en de informatie die de verordening voorschrijft, met waarborgen voor onder meer de rechten en vrijheden van anderen.
• Rectificatie (Art. 16): correctie van onjuiste persoonsgegevens en aanvulling van onvolledige gegevens, rekening houdend met het verwerkingsdoel.
• Gegevenswissing (Art. 17): wissing wanneer een wettelijke grond van toepassing is; wettelijke uitzonderingen kunnen bewaring vereisen of toestaan.
• Dataportabiliteit (Art. 20): bij daarvoor in aanmerking komende geautomatiseerde verwerking op basis van toestemming of een overeenkomst, ontvangst van door de betrokkene verstrekte gegevens in een gestructureerd, gangbaar en machineleesbaar formaat, en rechtstreekse overdracht wanneer dat technisch mogelijk is.
• Bezwaar (Art. 21): een voorwaardelijk recht bij bepaalde verwerkingen en een onvoorwaardelijk recht om verwerking voor direct marketing te stoppen.

Een verwerkingsverantwoordelijke reageert in beginsel onverwijld en binnen één maand. Wettelijke verlengingen, identiteitscontroles, beperkingen en uitzonderingen kunnen gelden.

Enkele plichten

Verwerkingsverantwoordelijken moeten een rechtsgrond bepalen en waarborgen dat verwerking beginselen volgt zoals doelbinding, dataminimalisatie, juistheid, opslagbeperking, beveiliging en verantwoordingsplicht. Wanneer een verwerkingsverantwoordelijke een verwerker inschakelt, moet een bindende overeenkomst of andere rechtshandeling de voorwaarden uit Art. 28 bevatten.

Een verwerkingsverantwoordelijke meldt een inbreuk in verband met persoonsgegevens onverwijld en, waar mogelijk, binnen 72 uur nadat zij ervan kennis heeft genomen aan de bevoegde toezichthouder, tenzij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van personen. Voor communicatie aan betrokkenen geldt de afzonderlijke, hogere drempel uit Art. 34.

Relatie tot soevereiniteit

De AVG maakt deel uit van datacomplianceDatacomplianceDe afdwingbare kant van de organisatorische laag: de toepasselijke wetgeving, rechtsgebieden, contracten, licenties, beleidsregels, beslissingsbevoegdheden en leveranciersafspraken die bepalen wat een organisatie met data mag en moet doen.Lees meer →in de organisatorische laag. Zij stelt grenzen aan de rechtmatige uitoefening van controle, maar toont op zichzelf niet aan dat een organisatie onafhankelijk kan werken of een leverancier kan verlaten. Een dienst kan aan de AVG voldoen en toch lock-in veroorzaken; technisch onafhankelijke infrastructuur kan nog steeds onrechtmatig of onverantwoord worden gebruikt.

Deze pagina biedt een beknopte oriëntatie, geen juridisch advies of compliance-oordeel.

Bronnen

• Europese Unie. (2016). Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016. Publicatieblad van de Europese Unie, L 119, 1–88. EUR-Lex
• European Data Protection Board. (z.d.). Guidelines, recommendations and best practices. EDPB