Vanaf 25 mei 2018 wordt de  Algemene Verordening Gegevensbescherming (AVG) van kracht en moeten alle organisaties voldoen aan de daarin opgenomen administratieplicht. Bovendien moeten organisaties waar 250 of meer personen werkzaam zijn een verwerkingsregister gaan bijhouden. De AVG kent een grotere administratieplicht dan nu onder de Wet bescherming persoonsgegevens (Wpb) het geval is. Deze plicht brengt mee dat organisaties, voor zover zij daar niet al over beschikken, systemen moeten implementeren waarmee verwerkingen van gegevens kunnen worden gedocumenteerd.

Datalekken
Op dit moment geldt er op grond van de Wbp al een administratieplicht waardoor organisaties een overzicht moeten bijhouden van alle datalekken die bij de Autoriteit Persoonsgegevens zijn gemeld. In dit overzicht moeten organisaties in ieder geval feiten en gegevens over de aard van de inbreuk en de tekst van de kennisgeving aan de betrokkene opnemen. Dit overzicht moet minimaal een jaar bewaard worden.

De AVG kent een bredere administratieplicht. Op grond van de AVG dienen ‘alle inbreuken’ in verband met persoonsgegevens (datalekken) te worden gedocumenteerd. Bijvoorbeeld bij elk incident waarbij iemand per ongeluk toegang krijgt tot gegevens geldt naar de letter van de AVG de administratieplicht.

Verwerkingsregister
Ondernemingen waar meer dan 250 personen werkzaam zijn, moeten naast de administratie rondom datalekken ook een verwerkingsregister aanleggen. In dit register moet nauwkeurig worden opgenomen welke verwerkingen plaatsvinden, door wie, op welke grondslag en voor welk doel, waar en hoe lang de gegevens worden bewaard. De Autoriteit Persoonsgegevens kan dit register ook opvragen. Het is verstandig tijdig een verwerkingsregister aan te leggen; dat helpt u ook bij het in kaart brengen van datastromen binnen uw organisatie.

Indien de organisatie haar persoonsgegevens door een derde (verwerker) laat beheren, is ze strikt genomen onder de Wbp en de AVG niet verplicht om afspraken te maken met de verwerker over de verdergaande administratieplicht onder de AVG. Dit is echter wel verstandig om te doen, omdat de toezichthouder kan vragen om inzage in de wettelijk verplichte administratie. Als die administratie er niet is, dan kan de Autoriteit Persoonsgegevens, handhavend optreden en zelfs boetes opleggen.

Indien u vragen heeft over de verplichtingen die de AVG u oplegt, zoals de administratieplicht, neem dan contact op met ons team privacy.

oktober 2017