gegevensbeschermingswetgeving

Gegevensbeschermingswetgeving is het juridisch kader dat de verwerking van persoonlijke gegevens regelt en de privacyrechten van individuen beschermt. Het beschrijft wat organisaties mogen doen met persoonsgegevens, welke toestemming vereist is en welke beveiligingsmaatregelen verplicht zijn. In Europa regelt de Algemene Verordening Gegevensbescherming (AVG) dit, met aanvullende nationale regels.

In Nederland wordt de AVG uitgevoerd via de Uitvoeringswet AVG en werd de Wet bescherming persoonsgegevens (Wbp) vervangen. De handhaving ligt bij de Autoriteit Persoonsgegevens (AP). Europese lidstaten kunnen aanvullende regels vaststellen, maar deze mogen de kernbeginselen en de rechten van betrokkenen niet ondermijnen.

Belangrijke beginselen zijn rechtmatigheid, eerlijkheid en transparantie; doelbinding; gegevensminimalisatie; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoording. Een verwerking moet gebaseerd zijn op een rechtsgrondslag zoals toestemming, uitvoering van een overeenkomst, wettelijk voorschrift, vitale belangen, publieke taak of legitieme belangen. Voor bijzondere persoonsgegevens gelden strengere eisen.

Individuen hebben rechten zoals inzage, rectificatie, wissing (recht op vergetelheid), beperking van verwerking, dataportabiliteit, bezwaar en bescherming tegen geautomatiseerde besluitvorming. Organisaties moeten privacy by design en privacy by default toepassen en in veel gevallen een data protection impact assessment (DPIA) uitvoeren.

Transparante en veilige data-uitwisseling binnen en buiten de EU vereist passende waarborgen of een adequaatheidsbesluit. Incidenten moeten vaak worden gemeld aan de AP en, bij risico voor betrokkenen, aan de betrokkenen. Handhaving kan boetes en corrigerende maatregelen omvatten.