WETGEVING
AVG wetgeving: wat de AVG van je vraagt
De AVG, voluit de Algemene Verordening Gegevensbescherming, bepaalt wat je met persoonsgegevens mag doen en wat niet. Verwerk je gegevens zonder geldige grondslag of bewaar je ze langer dan nodig? Dan kan de Autoriteit Persoonsgegevens boetes opleggen tot €20 miljoen of 4% van de wereldwijde jaaromzet. Wie identiteiten verifieert, verwerkt per definitie gevoelige gegevens.
DEFINITIE
Waar staat AVG voor?
De afkorting AVG staat voor Algemene Verordening Gegevensbescherming. In deze Europese verordening is vastgelegd hoe organisaties met persoonsgegevens om moeten gaan: wanneer je ze mag verwerken, hoelang je ze mag bewaren en welke rechten mensen hebben over hun eigen gegevens.
Internationaal heet dezelfde verordening de General Data Protection Regulation, afgekort GDPR. Het gaat om precies hetzelfde stuk regelgeving, alleen in een andere taal. De AVG is van toepassing sinds 25 mei 2018 (bron: Rijksoverheid).
Voor organisaties die identiteiten controleren is de AVG geen randvoorwaarde maar de kern van het proces. Een paspoortscan en een gezichtsvergelijking zijn persoonsgegevens, en biometrische gegevens gelden als bijzondere persoonsgegevens waarvoor een verwerkingsverbod geldt, tenzij je je op een wettelijke uitzondering kunt beroepen.
De AVG bepaalt niet of je gegevens mag verwerken, maar onder welke voorwaarden. Wie die voorwaarden niet kan aantonen, staat zwak bij een controle.
48 uur
bewaartermijn bij DataChecker
Na verwerking bewaren wij klantgegevens standaard niet langer dan 48 uur. Data-minimalisatie is een uitgangspunt van de AVG, geen extraatje.
€20 mln
maximale AVG-boete: 20 miljoen euro of 4% van de wereldwijde jaaromzet (bron: Autoriteit Persoonsgegevens)
72 uur
om een datalek met risico te melden bij de Autoriteit Persoonsgegevens
27 landen
EU-lidstaten waar de AVG rechtstreeks geldt, sinds 25 mei 2018
Ook van toepassing in Noorwegen, IJsland en Liechtenstein via de EER (bron: AP)
ISO 27001
gecertificeerde informatiebeveiliging, jaarlijks getoetst
TWEE BEGRIPPEN
Is de AVG een wet?
Mensen spreken vaak over de AVG-wet. Strikt genomen klopt dat niet: de v in AVG staat voor verordening. Het verschil is geen woordspelletje, want het bepaalt welke regels voorgaan.
EUROPEES NIVEAU
De verordening (AVG)
Een Europese verordening werkt rechtstreeks door in alle lidstaten. Er is geen omzetting in nationale wetgeving nodig om de regels te laten gelden. Voor iedereen in de EU is de basis dus identiek.
Botst een nationale regel met de verordening, dan wint de verordening. Dat is precies waarom de AVG zoveel gewicht heeft.
NEDERLANDS NIVEAU
De Uitvoeringswet AVG
Nederland heeft de verordening uitgewerkt in de Uitvoeringswet Algemene verordening gegevensbescherming. Daarin staat hoe je optreedt tegen overtredingen en welke toezichthouder mag ingrijpen.
Zegt iemand AVG-wet, dan bedoelt hij meestal deze uitvoeringswet. Niet fout, wel goed om te weten dat de verordening zelf al rechtstreeks geldt.
De AVG verving in 2018 de Wet bescherming persoonsgegevens. Wat er vooral veranderde: sterkere rechten voor mensen, meer verantwoordelijkheid bij organisaties, en boetes die in de hele EU gelijk zijn getrokken.
Wat regelt de AVG?
Persoonsgegevens verwerken mag alleen als je daarvoor een geldige grondslag hebt. De AVG kent er zes. Heb je er geen enkele, dan mag je de gegevens niet verwerken, hoe nuttig het ook zou zijn.
GRONDSLAG 1
Toestemming
De betrokkene geeft actief en ondubbelzinnig toestemming. Die toestemming moet vrij gegeven zijn en net zo makkelijk in te trekken als te geven.
GRONDSLAG 2
Wettelijke verplichting
Een andere wet verplicht je de gegevens te verwerken. De identificatieplicht bij indiensttreding is hiervan het bekendste voorbeeld.
GRONDSLAG 3
Overeenkomst
De verwerking is nodig om een contract uit te voeren. Zonder adres kun je nu eenmaal niets bezorgen, en zonder bankrekening niets uitbetalen.
GRONDSLAG 4
Vitaal belang
De verwerking is nodig om iemands leven of gezondheid te beschermen. In de praktijk een uitzonderingsgrond, geen dagelijkse werkbasis.
GRONDSLAG 5
Algemeen belang
De verwerking dient een taak van algemeen belang of openbaar gezag. Vooral relevant voor overheden en publieke instellingen.
GRONDSLAG 6
Gerechtvaardigd belang
Je hebt een zwaarwegend eigen belang, zoals fraudepreventie. Dit vraagt wel een afweging tegen de privacy van de betrokkene, en die afweging moet je kunnen laten zien.
In je privacyverklaring leg je vast welke gegevens je verzamelt, op welke grondslag, met welk doel en hoelang je ze bewaart. Dat document is geen formaliteit, het is je verantwoording.
De zes grondslagen staan in artikel 6 van de AVG. Je bepaalt zelf welke grondslag van toepassing is en moet die keuze kunnen onderbouwen: dat is de verantwoordingsplicht (bron: Autoriteit Persoonsgegevens).
Identiteitscontrole met data-minimalisatie als uitgangspunt
VERIFICATIE ZONDER OPSLAG
ID Verificatie
Documentcontrole, gezichtsvergelijking en liveness detectie stellen vast dat iemand is wie hij zegt te zijn. De verwerking gebeurt binnen de EU, en na de controle bewaren wij de gegevens standaard niet langer dan 48 uur.
Dat betekent: je krijgt de zekerheid die je nodig hebt, zonder een groeiend archief aan paspoortscans dat je zelf moet beveiligen en verantwoorden.
MINDER GEGEVENS DELEN
Digital ID
Digital ID maakt van een eenmalige verificatie een herbruikbare digitale identiteit in de wallet van de gebruiker. Bij een volgende controle deel je alleen de uitkomst, niet opnieuw het hele document.
Minder gegevens die rondgaan, minder partijen die iets bewaren. Dat is data-minimalisatie in de praktijk.
Voor uitzendbureaus: arbeidsbemiddelingsbureaus verwerken gegevens van veel mensen tegelijk. Daarom is een Functionaris voor de Gegevensbescherming in deze branche verplicht, en zijn verwerkersovereenkomsten met inleners, boekhouder en verloningspartij geen optie maar een vereiste.
Wanneer moet je een datalek melden?
Bij een datalek schat je eerst het risico in. Dat doe je op basis van de mogelijke gevolgen voor de betrokkenen en de kans dat die gevolgen zich voordoen. Hoe gevoeliger de gegevens, hoe groter de kans op schade.
Concludeer je dat er een risico is, dan meld je het lek binnen 72 uur bij de Autoriteit Persoonsgegevens. Is het risico hoog, dan moet je ook de betrokkenen zelf informeren. De AP publiceert een voorbeeldlijst met situaties en het bijbehorende advies.
SANCTIES VAN DE AUTORITEIT PERSOONSGEGEVENS
- Boete tot 20 miljoen euro of 4% van de wereldwijde jaaromzet
- Last onder dwangsom bij aanhoudende overtreding
- Verwerkingsverbod op specifieke gegevensstromen
- Berisping
- Waarschuwing
Hoe de AVG samenhangt met andere wetgeving
De AVG staat niet op zichzelf. Wie identiteiten controleert, krijgt met meerdere wetten tegelijk te maken.
Wet op de Identificatieplicht (WID)
Verplicht je de identiteit van elke werknemer vast te stellen. Dat betekent per definitie het verwerken van persoonsgegevens, dus de AVG bepaalt hoe je dat mag doen.
Wwft
Verplicht cliëntenonderzoek bij financiële instellingen. De Wwft schrijft voor dàt je gegevens moet vastleggen, de AVG bepaalt hoelang en onder welke voorwaarden.
Wet ketenaansprakelijkheid (WKA)
Maakt je medeverantwoordelijk voor wie er in je keten werkt. Controleren betekent gegevens verwerken, ook van mensen die niet bij jou op de loonlijst staan.
Hoe gaat DataChecker om met de AVG?
Identiteitsverificatie betekent het verwerken van paspoortnummers, gezichtsbeelden en werkvergunningen. DataChecker is gebouwd op data-minimalisatie en EU-verwerking.
ISO 27001 gecertificeerd
Onafhankelijk getoetst informatiebeveiligingsbeleid. Jaarlijkse audit op processen, toegang en risicobeheer.
Verwerking binnen de EU
Gegevens worden binnen de Europese Unie verwerkt en opgeslagen. Privacy by design en data-minimalisatie zijn het uitgangspunt.
48 uur bewaartermijn
Klantgegevens worden na verwerking standaard niet langer dan 48 uur bewaard. Wat er niet is, kan ook niet lekken.
Vragen over de AVG
Waar staat AVG voor?
AVG staat voor Algemene Verordening Gegevensbescherming. Het is de Europese privacywetgeving die bepaalt hoe organisaties met persoonsgegevens moeten omgaan. In het Engels heet dezelfde verordening de General Data Protection Regulation (GDPR).
Is de AVG een wet of een verordening?
Strikt genomen is de AVG een verordening, geen wet. Een Europese verordening werkt rechtstreeks door in alle lidstaten, zonder dat omzetting in nationale wetgeving nodig is. Nederland heeft de verordening wel uitgewerkt in de Uitvoeringswet AVG. Wie spreekt over de AVG-wet, bedoelt meestal die uitvoeringswet.
Voor wie geldt de AVG?
De AVG geldt voor iedereen die persoonsgegevens verwerkt: grote bedrijven, mkb’ers, zzp’ers en de overheid. Ook individuele personen kunnen eronder vallen, bijvoorbeeld iemand die een camera bij zijn huis ophangt. Verwerking voor puur persoonlijk gebruik, zoals een verjaardagskalender, valt er wel buiten (bron: Autoriteit Persoonsgegevens).
Sinds wanneer geldt de AVG?
De AVG is van kracht sinds 25 mei 2018. Daarmee verving de verordening de Nederlandse Wet bescherming persoonsgegevens (Wbp), die op datzelfde moment kwam te vervallen.
Wat zijn persoonsgegevens volgens de AVG?
Een persoonsgegeven is elk gegeven waarmee een persoon direct of indirect te identificeren is: naam, adres, e-mailadres, maar ook een documentnummer. Daarnaast kent de AVG bijzondere persoonsgegevens, waaronder gegevens over gezondheid, ras of etnische afkomst, religieuze overtuiging en biometrische gegevens die tot een persoon herleidbaar zijn. Voor die categorie geldt een verwerkingsverbod, tenzij je je op een wettelijke uitzondering kunt beroepen (bron: Autoriteit Persoonsgegevens).
Welke boetes staan er op het overtreden van de AVG?
De Autoriteit Persoonsgegevens kan een boete opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet. Daarnaast kan de toezichthouder een last onder dwangsom opleggen, een verwerkingsverbod instellen, een berisping geven of een waarschuwing afgeven (bron: Autoriteit Persoonsgegevens).
Wanneer heb ik een privacyverklaring nodig op mijn website?
Zodra je via je website persoonsgegevens verzamelt, en dat gebeurt al bij een contactformulier, een nieuwsbriefinschrijving of analytics-cookies, heb je een privacyverklaring nodig. Daarin leg je vast welke gegevens je verzamelt, op welke grondslag, met welk doel en hoelang je ze bewaart.
Wat is het verschil tussen de AVG en de GDPR?
Er is geen inhoudelijk verschil. AVG is de Nederlandse benaming, GDPR de Engelse. Het gaat om precies dezelfde Europese verordening, alleen in een andere taal aangeduid.
Hoe combineer ik identiteitscontrole met de AVG?
Door alleen te verwerken wat nodig is, en niet langer te bewaren dan nodig. Bij ID Verificatie gebeurt de verwerking binnen de EU en hanteert DataChecker standaard een bewaartermijn van 48 uur. Met Digital ID deel je bij een volgende controle alleen de uitkomst in plaats van opnieuw het hele document. Plan een demo om te zien hoe dat in jouw proces past.
Verifieer identiteiten zonder een archief op te bouwen
De AVG vraagt niet om minder controle, maar om zorgvuldiger omgaan met wat je verzamelt. DataChecker verwerkt binnen de EU, is ISO 27001-gecertificeerd en bewaart klantgegevens standaard niet langer dan 48 uur.
