Privacywetgeving

Privacywetgeving verwijst naar het geheel van wetten en regels die de verwerking van persoonsgegevens regelen met als doel de privacy en de grondrechten van individuen te beschermen. In de Europese Unie vormt de Algemene Verordening Gegevensbescherming (AVG) de kern; zij is de nationale implementatie van de GDPR en geldt sinds 2018 in alle lidstaten. Daarnaast bestaan nationale aanvullingen en sectorale regels, en regels rondom communicatie en cookies in de bredere privacycontext.

Kernbeginselen van privacywetgeving zijn onder meer een rechtmatige grondslag voor verwerking, transparantie richting betrokkenen, doelbinding (de gegevens mogen alleen voor vooraf bepaalde doeleinden worden gebruikt), gegevensminimalisatie, nauwkeurigheid, opslagbeperking, integriteit en vertrouwelijkheid, en verantwoording (maatschappelijk verantwoord handelen) door de verantwoordelijke organisatie. De regels gelden zowel voor de verwerking door organisaties als voor de aanpak door verwerkers die namens anderen data verwerken.

Rechten van betrokkenen omvatten inzage in persoonsgegevens, recht op rectificatie en wissen (recht op vergetening), beperking van verwerking, dataportabiliteit, bezwaar tegen verwerking en tegen profilering, en bescherming bij geautomatiseerde besluitvorming. Organisaties moeten duidelijk communiceren welke rechten beschikbaar zijn en hoe deze kunnen worden uitgeoefend.

Verplichtingen voor organisaties bestaan uit het vaststellen van een geldige rechtsgrondslag voor verwerking, duidelijke informatievoorziening, verwerkersovereenkomsten, het uitvoeren van Data Protection Impact Assessments (DPIA) bij hoog-risico verwerking, en de aanstelling van een Data Protection Officer indien vereist. Ook geldt een meldplicht bij datalekken en moeten passende beveiligingsmaatregelen worden getroffen. Voor internationale transfers gelden passende waarborgen zoals overeenkomstige clausules of adequaatheidsbesluiten.

Toezicht en handhaving staan onder verantwoordelijkheid van nationale toezichthouders (in Nederland de Autoriteit Persoonsgegevens) en Europese instanties. Overtredingen kunnen leiden tot sancties variërend tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Privacywetgeving heeft zo’n internationale reikwijdte en beïnvloedt bedrijfsvoering, verwerkersketens en innovatie.