AVG en gegevensbeveiliging

De wet vraagt passende maatregelen, en dat begrip krijgt invulling door wat gangbaar en haalbaar is.

Beginnen bij het overzicht

Een verwerkingsregister legt vast welke persoonsgegevens worden verwerkt, waarom, hoe lang en met wie ze worden gedeeld. Dat overzicht is niet alleen een verplichting, het maakt ook duidelijk welke systemen extra bescherming verdienen.

Datalek en de meldtermijn

Bij een datalek met risico voor betrokkenen geldt een meldplicht bij de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking. Die termijn loopt door in het weekend, wat vraagt om een vooraf belegd aanspreekpunt in plaats van improvisatie op het moment zelf.

Verwerkersovereenkomsten

Met elke partij die namens de organisatie persoonsgegevens verwerkt, van een hostingpartij tot een salarisadministratie, is een verwerkersovereenkomst nodig. Die legt vast wat de partij wel en niet mag en welke beveiliging is afgesproken.

Kort samengevat

• Verwerkingsregister als vertrekpunt
• Meldtermijn van 72 uur na ontdekking
• Verwerkersovereenkomst met elke partij
• Bewaartermijnen vastleggen en naleven

Dit artikel geeft algemene informatie. Elke omgeving verschilt, en een maatregel die in de ene situatie werkt kan elders ongewenste gevolgen hebben. Bij ingrijpende wijzigingen is toetsing door een ICT-beheerder verstandig.

Joost WierengaRedacteur ICT