GDPR: nieuwe regels om persoonlijke gegevens van de burger te beschermen

De GDPR die van kracht gaat 25 mei 2018 werd door veel bedrijven onthaald als een onaangename extra wetgeving die veel onzekerheid met zich zou meebrengen. Maar wat kunnen we ervan verwachten?

De ‘General Data Protection Regulation’ (GDPR) of de ‘Algemene Verordening Gegevensbescherming’ (AVG) is de nieuwe wetgeving rond het beschermen van de gegevens van Europese burgers. Aangezien de laatste update van deze wetgeving bijna 20 jaar oud is en afstamt uit een periode waar er nog geen sprake was van bijvoorbeeld ‘cloud’ of ‘smartphones’, is het dan ook logisch dat er nieuwe richtlijnen worden voorzien. Aan de hand van vier pijlers lichten we de grootste veranderingen even toe.

Transparantie

Transparantie houdt in dat bedrijven op een proactieve manier de burgers moeten informeren over hoe ze persoonlijke data van hun klanten gaan verzamelen en verwerken. Dit alles in duidelijke en verstaanbare taal. Alles draait hier om ‘accountability’. Als bedrijf moet men kunnen aantonen dat men in regel is. Deze regels zouden moeten verweven zijn in de structuur van een bedrijf, met als hoofddoel de steeds correcte verwerking van persoonsgegevens.

Recht om…

 De burger heeft recht op informatie, inzage, verbetering, beperking van verwerking, overdraagbaarheid en om “vergeten” te worden. Vooral dit laatste is iets wat we al enkele malen in verschillende media zijn tegengekomen. Bedrijven moeten bereid zijn persoonsgegevens te verwijderen en ook in staat zijn hiertoe, als de persoon in kwestie hierom vraagt. Dit is zeker ook het geval als de data inmiddels werd gedeeld met derden.

Minimale gegevensverwerking

Volgens de GDPR moeten persoonsgegevens vooral een meerwaarde bieden, to the point, maar vooral beperkt zijn. Bedrijven dienen zich te beperken tot het noodzakelijke om tot hun doeleinden te komen. Het is dus de bedoeling dat enkel gegevens worden verwerkt die noodzakelijk zijn voor de vastgestelde doeleinden.

Meldingsplicht bij datalekken

Bedrijven zullen ook actief aangespoord worden een datalek te melden binnen 72 uur, tenzij kan worden aangetoond dat dit bepaalde lek geen gevaar vormt voor de verzamelde persoonsgegevens. Zowel de Privacy Commissie als de betrokken personen bij het lek moeten hiervan worden geïnformeerd.

De GDPR kan enerzijds rekenen op behoorlijk wat kritiek, maar het feit dat er nieuw leven geblazen wordt in een verouderd en versnipperd framework kan alleen maar positief aanzien worden. Er is geen reden tot paniek. Toch moet er ook niet te gemakzuchtig mee worden omgesprongen, aangezien sancties en reputatieverlies om de hoek liggen.