Gegevensbeschermingsregelgeving

Gegevensbeschermingsregelgeving verwijst naar het geheel van regels en kaders die de bescherming van persoonsgegevens waarborgen. Op EU-niveau vormt de Algemene Verordening Gegevensbescherming (AVG/GDPR) de kern. De regelgeving is direct van toepassing in alle lidstaten en bepaalt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken en delen.

Kernprincipes zijn onder meer wettigheid, eerlijkheid en transparantie; doelbinding; gegevensreductie; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoording. Relevante rechten voor betrokkenen omvatten inzage, rectificatie, wissing, dataportabiliteit, beperking van verwerking, bezwaar en bescherming tegen automatische besluitvorming.

Toepassingsbereik: de regelgeving heeft betrekking op alle verwerkingen van persoonsgegevens in de context van bedrijfsactiviteiten, openbare taken of legitieme belangen, ongeacht of de verwerking online of offline plaatsvindt. Verantwoordelijken (organisaties die gegevens bepalen) en verwerkers (namens hen verwerkende partijen) hebben verplichtingen omtrent beveiliging, documentatie en transparantie. Een functionaris voor gegevensbescherming (DPO) is verplicht bij bepaalde verwerkingen of organisaties.

Datalekken: ernstige inbreuk moet gewoonlijk binnen 72 uur gemeld worden aan de toezichthouder, en soms ook aan betrokkenen. Internationale gegevensoverdrachten vereisen passende waarborgen of een adequaatheidsbesluit.

Handhaving en sancties: toezichthoudende autoriteiten kunnen aanzienlijke boetes opleggen, tot maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van de ernst en de omvang van de overtreding. Nederlandse wetgeving sluit aan bij de AVG en vult specifieke nationale detailhandel aan.