gegevensbeschermingswetten

Gegevensbeschermingswetten zijn wetten die persoonsgegevens beschermen en regels stellen voor de verzameling, opslag, verwerking en overdracht van persoonlijke informatie. Ze hebben tot doel de privacy van individuen te waarborgen, misbruik te voorkomen en transparante verwerkingen mogelijk te maken.

In de Europese Unie is de Algemene verordening gegevensbescherming (AVG, ook bekend als GDPR) het belangrijkste kader. De verordening stelt regels over wie wat mag doen met persoonsgegevens, onder welke omstandigheden en met welke waarborgen. Belangrijke beginselen zijn onder meer doelbinding, gegevensminimalisatie, integriteit en vertrouwelijkheid, en verantwoording door de verwerkingsverantwoordelijke. Daarnaast krijgen burgers rechten zoals inzage, correctie, het recht op gegevenswissing, beperking van verwerking, dataportabiliteit en het recht om bezwaar te maken tegen profiling.

Toepassing en handhaving verlopen via nationale toezichthouders en de Europese Toezichthouders voor gegevensbescherming. In Nederland is de Autoriteit Persoonsgegevens de toezichthouder. Handhaving kan leiden tot boetes die kunnen oplopen tot maximaal 20 miljoen euro of 4 procent van de wereldwijde jaaromzet, afhankelijk van wat hoger is. Andere verplichtingen omvatten privacy by design en by default, een plicht tot een gegevensbeschermingseffectbeoordeling (DPIA bij hoog risico), en meldplicht bij datalekken binnen een korte termijn aan de relevante autoriteit en soms aan betrokkenen.

Naast de AVG bestaan er aanvullende wetten en richtlijnen, zoals de ePrivacy-regelgeving, die specifieke regels stelt voor elektronische communicatie. Verschillende landen onderhouden ook nationale vertaalde regels die complementair zijn aan de EU-kaders. Historisch gezien werd in sommige landen een strengere nationale wetgeving vervangen of aangevuld door de AVG.