GDPRvereisten

GDPR, officieel de Algemene Verordening Gegevensbescherming, regelt hoe organisaties persoonsgegevens mogen verwerken binnen de EU. In Nederland spreekt men vaak van de AVG. De regels beschermen privacy en zorgen voor uniforme toepassing in lidstaten.

Een kernvereiste is een geldige rechtsgrond voor verwerking. Rechtsgronden zijn onder meer toestemming, contractuele noodzaak, wettelijke verplichting, vitale belangen, taak van openbaar belang of gerechtvaardigd belang, mits de belangen van de betrokkene niet zwaarder wegen.

Belangrijke verwerkingsprincipes zijn rechtmatigheid, eerlijkheid en transparantie; doelbinding; gegevensminimalisatie; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoordingsplicht. Organisaties moeten kunnen aantonen dat zij voldoen en een verwerkingsregister bijhouden.

Betrokkenen hebben rechten zoals inzage, rectificatie, verwijderen, beperking, dataportabiliteit en bezwaar tegen verwerking, inclusief tegen automatische besluitvorming. Privacy by design/by default is verplicht; DPIA’s zijn vereist bij risicovolle verwerkingen.

Voor sommige verwerkingen geldt de verplichting tot een Functionaris voor Gegevensbescherming (DPO) en tot verwerkersafspraken. Beveiligingsmaatregelen moeten passend zijn en een datalek moet doorgaans binnen 72 uur worden gemeld.

Internationale doorgifte buiten de EU/EEA is alleen toegestaan met passende waarborgen, zoals standaardcontractbepalingen of een adequaatheidsbesluit. Toezicht en handhaving liggen bij nationale autoriteiten zoals de Autoriteit Persoonsgegevens, met mogelijke boetes bij niet-naleving.