Op 14 april jl. heeft het Europees Parlement een Europese Privacyverordening, de Algemene Verordening Gegevensbescherming, aangenomen. Deze verordening zal de huidige nationale privacywetten van de Europese landen (en dus ook de Nederlandse Wet bescherming persoonsgegevens) gaan vervangen.

De Europese Privacyverordening treedt op 25 mei 2016 in werking en is van toepassing met ingang van 25 mei 2018. Organisaties hebben dus twee jaar de tijd om aan de nieuwe regels te voldoen.

De belangrijkste elementen van de verordening zijn:

• Versterking van de verantwoordelijkheden van organisaties die persoonsgegevens verwerken, waaronder:
  • verzwaring van de verplichting om persoonsgegevens te verwijderen zodra ze niet meer nodig zijn voor het doel waarvoor ze zijn verzameld of verwerkt (‘het recht om vergeten te worden’); en
  • invoering van de verplichting om datalekken binnen 72 uur te melden bij de toezichthoudende autoriteit (hetgeen in Nederland al vanaf 1 januari 2016 geldt).
• Het recht op dataportabiliteit: hierdoor moet het voor betrokkenen eenvoudiger worden om persoonsgegevens over te dragen van de ene naar de andere partij.
• Dataminimalisatieplicht: organisaties moeten zodanig worden ingericht dat er zo weinig mogelijk persoonsgegevens worden verzameld.
• Privacy by Design en Privacy by Default: bij het ontwikkelen van systemen moet privacy en bescherming van persoonsgegevens al van begin af aan in het ontwerpproces worden meegenomen en persoonsgegevens mogen in beginsel niet voor een onbeperkt aantal natuurlijke personen toegankelijk gemaakt worden.
• Functionaris Gegevensbescherming: voor bepaalde organisaties (zoals overheidsinstanties of organisaties die in grote mate persoonsgegevens verwerken) wordt het verplicht een Functionaris Gegevensbescherming aan te stellen.
• Privacy Impact Assessment: wanneer een verwerking van persoonsgegevens een hoog privacyrisico inhoudt, moet de verantwoordelijke vooraf een Privacy Impact Assessment uitvoeren.
• De handhavingsmogelijkheden van de Autoriteit Persoonsgegevens worden verruimd. De Autoriteit Persoonsgegevens kan op basis van de verordening boetes opleggen tot 20 miljoen euro of maximaal 4 procent van de wereldwijde jaaromzet van de verantwoordelijke.

Heeft u vragen over de Europese Privacyverordening of andere privacyregels? Neem dan contact op met ons team privacy.

15 juli 2016