In een wereld waarin er steeds meer met data gewerkt wordt, is het belangrijk om na te denken over de privacy van gegevens.
In een wereld waarin er steeds meer met data gewerkt wordt, is het belangrijk om na te denken over de privacy van gegevens. Zelfstandig ondernemers die bijvoorbeeld persoonsgegevens van medewerkers, klanten of anderen gebruiken, moeten zich aan bepaalde privacyregels houden van de Algemene Verordening Gegevensbescherming (AVG), de Europese privacywet. Wat houden deze privacyregels precies in voor zelfstandigen en met welke checklist kunnen ze zich aan de privacywet houden?
De AVG is een Europese privacywet die in het Engels "General Data Protection Regulation" (GDPR) heet. Deze privacywet bevat regels voor de zorgvuldige verwerking van persoonsgegevens door bedrijven en organisaties. Deze bedrijven en organisaties moeten bijvoorbeeld goede redenen hebben om persoonsgegevens te mogen verwerken, waarnaast zij niet meer persoonsgegevens mogen gebruiken dan nodig is. De AVG is van toepassing op alle lidstaten van de Europese Unie (EU) en Liechtenstein, IJsland en Noorwegen.
De AVG is ingevoerd voor de bescherming van de privacy van mensen in de EU en dwingt ondernemers, dus ook interim, freelance en zzp professionals, om zorgvuldig met persoonsgegevens om te gaan. Hierbij moeten ze kunnen aantonen dat ze zich aan de privacywet houden met betrekking tot het verzamelen, opslaan, gebruiken, verspreiden en verwerken van persoonsgegevens van klanten, medewerkers en anderen waarvan ze persoonsgegevens verzamelen en gebruiken. De Autoriteit Persoonsgegevens (AP) ziet erop toe dat bedrijven en organisaties zich aan de privacywet houden en mogen ook boetes uitdelen als regels overtreden worden.
Wat zijn precies persoonsgegevens? Dit zijn alle gegevens die een directe link hebben met iemand of waarvan iemand af te leiden is. Denk hierbij aan een naam, woonplaats, adres, foto's, e-mailadres, IP-adres en telefoonnummer. Er is ook nog de categorie "bijzondere persoonsgegevens", waaronder gevoelige informatie over iemand valt. Gegevens zoals ras, godsdienst of levensovertuiging, gezondheid, seksuele leven, politieke voorkeuren, bsn-nummer en strafrechtelijk verleden vallen hieronder. Zowel gewone als bijzondere persoonsgegevens mogen niet verwerkt worden, tenzij hier specifiek toestemming voor gegeven is.
Op wie is de AVG precies van toepassing? Deze privacywet geldt voor alle bedrijven en organisaties die gevestigd zijn binnen de Europese Economische Ruimte (EER) en hier persoonsgegevens verwerken en gebruiken. Dit betekent dat ook interim, freelance en zzp professionals zich aan de AVG moeten houden, ongeacht of ze gegevens geautomatiseerd of handmatig verwerken. Daarnaast geldt de wet ook als iemand anders gegevens voor een bedrijf of zelfstandige verwerkt. Concreet betekent dit dat zelfstandigen al bij het versturen van een nieuwsbrief, offerte of factuur rekening met de AVG moeten houden.
Verschillende regels binnen de AVG zijn belangrijk voor zelfstandigen om rekening mee te houden, waaronder de volgende regels.
Een van de belangrijkste regels is dat bedrijven toestemming moeten vragen voor het bewaren en gebruiken van persoonsgegevens. Klanten moeten bijvoorbeeld weten welke gegevens waarvoor bewaard worden, waarvoor specifieke toestemming vereist is. Dit betekent dat zelfstandigen moeten uitleggen aan klanten waar ze hun gegevens voor gaan gebruiken. Vervolgens mogen deze gegevens ook alleen gebruikt worden voor de doeleinden waarvoor de klant toestemming gegeven heeft. Ter illustratie, als een klant aangeeft de maandelijkse nieuwsbrief te willen ontvangen, mogen zijn of haar contactgegevens niet gebruikt worden voor actiekortingen.
Het is ook belangrijk om een goed overzicht te hebben van wie er toegang heeft tot de gegevens binnen een bedrijf en vanaf welk apparaat. Hiervoor kan bijvoorbeeld een autorisatiematrix gebruikt worden, waarmee toegangsrechten worden geregeld.
Als een zelfstandige wil werken met gegevens met een hoog privacyrisico moet er volgens de AVG een "Data Protection Impact Assessment" (DPIA) uitgevoerd worden. Dit is een onderzoek waarmee risico's van de gewenste gegevensverwerking in kaart gebracht kunnen worden. Vervolgens kunnen maatregelen genomen worden om deze risico's te verkleinen.
Ondernemers dienen ook maatregelen te nemen om gegevens goed te beveiligen, bijvoorbeeld door middel van een antivirusprogramma en door alleen bepaalde mensen toegang te geven tot de gegevens. Als er toch een datalek optreedt, moet dit gedocumenteerd worden voor de AP.
Soms is het noodzakelijk voor ondernemers om een Functionaris voor Gegevensbescherming (FG) aan te stellen, die binnen een onderneming toezicht houdt op de naleving van de AVG-privacyregels. Dit moet overigens wel iemand zijn waarbij er geen sprake is van een risico op belangenverstrengeling.
De volgende punten zijn handig voor zelfstandig ondernemers om te voldoen aan de AVG-privacywet en persoonsgegevens op een veilige, zorgvuldige manier te gebruiken:
Bij Bureau Ad Interim maken we de ideale match tussen zelfstandige professionals en opdrachtgevers. Stuur je cv naar ons op of meld je aan en wij helpen je snel verder.
