AVG en beveiliging: koppel maatregelen aan de verwerking

Een goed functionerend managementsysteem voor informatiebeveiliging levert bruikbare processen voor de AVG: toegangsbeheer, incidentafhandeling, leveranciersbeoordeling en weerbaarheid. Privacywerk stelt daarnaast de vraag waarom een verwerking rechtmatig, proportioneel en transparant is. Die vragen komen samen in dezelfde bedrijfsactiviteit, maar vragen om verschillende beslissingen.

Voor het management is de opgave om ze met elkaar te verbinden zonder het een als vervanging van het ander te behandelen. Een goed beveiligde klantendatabase kan nog steeds gegevens bevatten die de onderneming nooit had mogen verzamelen. Een geldig klantcontract betekent niet dat iedereen met toegang tot de database die toegang ook nodig heeft. Een ISO 27001-certificaat beantwoordt geen van beide vragen.

Het praktische vertrekpunt is daarom de verwerking, niet een catalogus van maatregelen. Bepaal wat de organisatie met persoonsgegevens wil doen, beoordeel of die activiteit is toegestaan en kies vervolgens maatregelen voor de gevolgen als het misgaat. Leg de onderbouwing, het bewijs, de verantwoordelijke eigenaar en de eerstvolgende gebeurtenis die een herbeoordeling moet uitlokken vast.

Bepaal welke verwerkingen en verantwoordelijkheden binnen de reikwijdte vallen

De Algemene verordening gegevensbescherming reguleert de verwerking van persoonsgegevens. Onder verwerking vallen onder meer verzamelen, opslaan, raadplegen, verstrekken, wijzigen en wissen. Persoonsgegevens zijn alle gegevens over een geïdentificeerde of identificeerbare natuurlijke persoon; het gaat niet alleen om namen of evident gevoelige gegevens.

Zakelijke e-mailadressen, personeelsnummers, apparaat-ID's, locatiegeschiedenissen en supportgesprekken kunnen allemaal persoonsgegevens zijn. Of een bepaalde identificator daaronder valt, hangt af van de context en van de middelen waarvan redelijkerwijs te verwachten is dat ze worden gebruikt om iemand te identificeren. Wie namen vervangt door referentienummers, krijgt doorgaans gepseudonimiseerde gegevens en geen anonieme gegevens, zolang heridentificatie mogelijk blijft. Gepseudonimiseerde persoonsgegevens vallen nog steeds onder de AVG.

Controleer de territoriale werkingssfeer voordat u een werkwijze kiest

Artikel 3 heeft betrekking op verwerkingen in het kader van een vestiging in de EU, ook als de verwerking zelf elders plaatsvindt. Het kan ook gelden voor een organisatie buiten de EU wanneer haar verwerking verband houdt met het aanbieden van goederen of diensten aan personen in de Unie of met het monitoren van hun gedrag daar. Dat een website toegankelijk is, beslist de vraag of de EU wordt gericht op zichzelf niet; beoordeel het daadwerkelijke aanbod en de daadwerkelijke monitoring.

Waar artikel 3, lid 2, van toepassing is, kan artikel 27 een vertegenwoordiger in de Unie vereisen. De uitzonderingen daarop zijn beperkt en hangen niet simpelweg af van de omvang van de onderneming. De uitzondering voor incidentele verwerking vereist bovendien dat aan de gestelde voorwaarden over gevoelige gegevens en risico is voldaan. Een vertegenwoordiger vervangt niet de verwerkingsverantwoordelijke, een functionaris voor gegevensbescherming (FG) of een aanspreekbaar management.

De AVG is op 24 mei 2016 in werking getreden en is sinds 25 mei 2018 van toepassing. Maak bij huidige beslissingen onderscheid tussen het geldende recht en voorgestelde vereenvoudigingen. Een persbericht over een mogelijke vrijstelling is geen reden om een bestaand complianceproces stop te zetten.

Bepaal rollen per activiteit, niet op basis van het etiket van de onderneming

Een verwerkingsverantwoordelijke bepaalt het doel van en de middelen voor de verwerking. Een verwerker verwerkt persoonsgegevens ten behoeve van een verwerkingsverantwoordelijke. Gezamenlijke verwerkingsverantwoordelijken bepalen samen de doelen en middelen en hebben een regeling op grond van artikel 26 nodig waarin hun respectieve verantwoordelijkheden zijn vastgelegd.

Eén onderneming kan meerdere rollen vervullen. Een softwareleverancier kan verwerker zijn voor door klanten geüploade gegevens en verwerkingsverantwoordelijke voor de eigen salarisadministratie, het accountbeheer en een deel van de beveiligingsactiviteiten. Hoe een leverancier zijn rol in het contract benoemt, is relevant, maar kan niet opzij zetten wat partijen in werkelijkheid doen.

Het eerste resultaat moet een kort besluit over de reikwijdte zijn: de betrokken activiteiten, organisatieonderdelen, rollen als verwerkingsverantwoordelijke of verwerker, markten en openstaande vragen. Wijs een eigenaar aan die onduidelijkheden oplost voordat de betreffende verwerking begint of wordt uitgebreid.

Houd het bedrijfsdoel en de rechtsgrond uit elkaar

De artikelen 5 en 6 vormen de basis voor gewone verwerkingen van persoonsgegevens. Beveiliging is één onderdeel van die basis, geen manier om eromheen te werken.

De beginselen van artikel 5 worden meestal als zeven beginselen gepresenteerd: rechtmatigheid, behoorlijkheid en transparantie; doelbinding; minimale gegevensverwerking; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoordingsplicht. De verantwoordingsplicht houdt in dat de verwerkingsverantwoordelijke verantwoordelijk is voor de naleving en die kan aantonen. Daarvoor is geen specifiek softwareproduct nodig, wel een verdedigbare toelichting die met passend bewijs wordt onderbouwd.

Vertaal elk beginsel naar een zakelijke vraag:

Kies per doel een grondslag

Artikel 6 kent zes rechtsgronden. De voorwaarden zijn belangrijker dan de benamingen:

• Toestemming: een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting, die kan worden ingetrokken.
• Overeenkomst: verwerking die noodzakelijk is voor de uitvoering van een overeenkomst met de betrokkene of om op diens verzoek precontractuele maatregelen te nemen.
• Wettelijke verplichting: verwerking die noodzakelijk is om te voldoen aan een toepasselijke wettelijke verplichting.
• Vitale belangen: verwerking die noodzakelijk is om de vitale belangen van iemand te beschermen.
• Taak van algemeen belang: verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van openbaar gezag, met de vereiste wettelijke basis.
• Gerechtvaardigde belangen: verwerking die noodzakelijk is voor gerechtvaardigde belangen, mits die belangen worden afgewogen tegen de belangen, grondrechten en fundamentele vrijheden van de betrokkene.

Noem niet meerdere grondslagen als uitwisselbare verzekering. Stel vast welke grondslag elk doel werkelijk draagt en communiceer die correct. Een bepaling toevoegen aan een klantcontract maakt een verwerking niet automatisch noodzakelijk voor dat contract. Evenzo vereist een beroep op gerechtvaardigde belangen een beoordeling; het is geen algemene vrijbrief om beschikbare gegevens te gebruiken.

Als praktische aanbeveling: documenteer een belangenafweging rond het nagestreefde belang, de noodzaak, de gevolgen voor mensen, hun redelijke verwachtingen en de waarborgen. Overweeg minder ingrijpende alternatieven. Houd de analyse in verhouding tot de activiteit, maar specifiek genoeg zodat iemand buiten het project haar kan begrijpen.

Toestemming is niet per definitie veiliger. Zij moet werkelijk vrijwillig zijn waar de omstandigheden een keuze vereisen, en intrekken moet in de praktijk werken. In arbeidsrelaties is het bijzonder twijfelachtig of instemming vrij wordt gegeven. Intrekking beëindigt de verwerking op basis van die toestemming voor de toekomst; ze wist niet automatisch gegevens waarvoor een afzonderlijke wettelijke bewaarplicht geldt. Schakel dezelfde verwerking niet achteraf over op een andere grondslag alleen omdat de toestemming is ingetrokken. Elke afzonderlijke verwerking, zoals wettelijk verplichte bewaring, heeft een eigen toepasselijke grondslag en passende transparantie nodig.

Bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens, vereisen naast een grondslag uit artikel 6 ook een uitzondering op grond van artikel 9. Voor persoonsgegevens van strafrechtelijke aard gelden afzonderlijke eisen uit artikel 10. Een onderneming mag geen van beide categorieën goedkeuren alleen omdat de gewone verwerking van klantgegevens al is beoordeeld.

Bouw een register van verwerkingen dat beslissingen kan sturen

Het register van verwerkingsactiviteiten op grond van artikel 30 is nuttig omdat het de juridische analyse verbindt met de operationele werkelijkheid. Het register van een verwerkingsverantwoordelijke bevat de doelen, categorieën van betrokkenen en gegevens, ontvangers, doorgiften, zo mogelijk de beoogde termijnen voor het wissen en zo mogelijk een algemene beschrijving van de beveiligingsmaatregelen. Verwerkers hebben een andere registerplicht voor de verwerkingen die zij ten behoeve van verwerkingsverantwoordelijken uitvoeren.

De uitzondering voor organisaties met minder dan 250 werknemers is voorwaardelijk. Zij geldt niet voor verwerkingen die niet incidenteel zijn, waarschijnlijk het genoemde risico met zich meebrengen of de genoemde gevoelige categorieën omvatten. Een kleine onderneming die doorlopend personeels- of klantgegevens verwerkt, mag er niet van uitgaan dat het aantal medewerkers haar van de registerplicht ontslaat.

Gebruik verwerkingsactiviteiten als ordenende eenheid. “Cloudinfrastructuur” is meestal te breed om uit te leggen waarom gegevens worden verwerkt. “Afhandelen van supportverzoeken van klanten” is bruikbaarder, omdat het een doel heeft, aanwijsbare personen, gegevenscategorieën, ontvangers, bewaarregels en ondersteunende systemen.

Een praktisch werkregister kan verder gaan dan de wettelijke velden:

• Bedrijfseigenaar en privacybeoordelaar.
• Doel en relevante rechtsgrond.
• Gegevensbronnen, categorieën en betrokken groepen.
• Relaties als verwerkingsverantwoordelijke, verwerker of gezamenlijke verwerkingsverantwoordelijke.
• Applicaties, exports, logbestanden en verdere ontvangers.
• Bewaarregels en de manier waarop verwijdering wordt uitgevoerd.
• Verwijzingen naar privacyverklaring, afhandeling van rechten, leveranciers en doorgiften.
• Uitkomst van de DPIA-screening en gekoppelde maatregelen.
• Datum van goedkeuring, openstaande acties en aanleidingen voor herbeoordeling.

De extra velden zijn een aanbeveling voor de coördinatie, geen bewering dat artikel 30 elk onderdeel uitdrukkelijk vereist. Hun waarde is dat ze het register bruikbaar maken bij een lancering, een inzageverzoek, een leverancierswissel of een incident.

Stem het register af op de systemen die mensen werkelijk gebruiken

Een jaarlijkse vragenlijst brengt waarschijnlijk niet elke spreadsheetexport, proefapplicatie of AI-abonnement op teamniveau aan het licht. Vergelijk het register met inkoopgegevens, lijsten met goedgekeurde applicaties, systeeminventarissen en gesprekken met proceseigenaren. Bekijk ook gedeelde schijven en handmatige overdrachten waar die de activiteit wezenlijk beïnvloeden.

Verwar een inventaris van bedrijfsmiddelen niet met een register van verwerkingen. De inventaris beschrijft systemen en afhankelijkheden; het register beschrijft het gebruik van persoonsgegevens. Verbind ze, zodat één applicatie meerdere doelen kan ondersteunen zonder dat die doelen opgaan in een vage omschrijving.

Zie voor meer context over de werkwijze data discovery en privacy. Discovery moet een toetsbare lijst met afwijkingen opleveren, niet de aanname dat elk gevonden veld juist is geclassificeerd of juridisch is beoordeeld.

Vertaal artikel 32 naar maatregelen voor echte gevolgen

Artikel 32 AVG verplicht verwerkingsverantwoordelijken en verwerkers om passende technische en organisatorische maatregelen te treffen die op het risico zijn afgestemd. Bij de beoordeling wordt rekening gehouden met de stand van de techniek, de uitvoeringskosten, de aard, omvang, context en doeleinden van de verwerking en de waarschijnlijkheid en ernst van de risico's voor de rechten en vrijheden van personen.

Tot de relevante gevolgen behoren de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of toegang tot gegevens, al dan niet onbedoeld of onrechtmatig. Daardoor zijn beschikbaarheid en integriteit even belangrijk als vertrouwelijkheid. Het wegvallen van de toegang tot een dienst kan mensen schaden, ook als er geen gegevens zijn gestolen.

Een algemene verklaring dat “beveiliging volgens de branchestandaard geldt” is niet genoeg om uit te leggen waarom maatregelen bij een bepaalde activiteit passen. Begin met scenario's: wie kan worden getroffen, wat kan er gebeuren, hoe waarschijnlijk is dat en hoe ernstig kunnen de gevolgen zijn? Verbind daarna elk belangrijk scenario met preventieve, detecterende en herstellende maatregelen.

Toegangsbeperkingen moeten het doel volgen

Vraag bij een supportactiviteit welke medewerkers welke klantgegevens nodig hebben, of gevoelige bijlagen afzonderlijke beperkingen nodig hebben en wanneer tijdelijke toegang moet vervallen. Houd rekening met bevoorrecht beheer, toegang voor supportmedewerkers van leveranciers, bulkexports, gedeelde accounts en noodtoegang.

Bruikbaar bewijs zijn onder meer roldefinities, goedkeuringen van toegang, registraties van in-, door- en uitstroom, regelingen voor bevoorrechte toegang en afgeronde toegangsreviews. Een toegangsbeleid bewijst een beoogde regel. Een recente review waaruit blijkt dat overbodige rechten zijn ingetrokken, levert bewijs dat de regel ook wordt toegepast.

Het management moet zich afvragen of de organisatie geautoriseerde toegang kan onderscheiden van passend gebruik. Een medewerker kan een technisch geldig account hebben en de gegevens toch voor een niet-toegestaan doel gebruiken. Training, toezicht, het ontwerp van toegang en onderzoeksprocessen spelen allemaal een rol.

Versleuteling vraagt om een besluit over de inzet

Artikel 32 noemt versleuteling en pseudonimisering als maatregelen om te overwegen; het legt geen algemene plicht op om in elke situatie alles te versleutelen. Waar voor versleuteling wordt gekozen, moet worden vastgelegd waartegen zij beschermt en waartegen niet.

Versleuteling tijdens transport beschermt gegevens tussen eindpunten wanneer de protocollen en de authenticatie van de eindpunten goed zijn ingesteld. Versleuteling in rust beschermt opgeslagen gegevens in bepaalde dreigingsscenario's. Geen van beide voorkomt automatisch dat een geautoriseerde applicatie of beheerder de gegevens in leesbare vorm ziet.

Ga na wie de sleutels beheert, hoe de toegang ertoe is gescheiden en hoe sleutels worden gegenereerd, geroteerd, ingetrokken, geback-upt en hersteld. Door de provider beheerde versleuteling kan voor sommige risico's passend zijn en andere onopgelost laten. Versleuteling waarvan de sleutels beschikbaar zijn voor dezelfde gecompromitteerde actor, pakt het beoordeelde scenario mogelijk niet aan.

Het besluit van het management gaat niet over welk algoritme het zelf moet implementeren. Het gaat erom of het ontwerp het relevante risico aanpakt en of de technisch eigenaar die conclusie kan onderbouwen. Zie versleuteling en sleutelbeheer voor de verschillen op maatregelniveau.

Weerbaarheid moet worden aangetoond, niet aangenomen

Artikel 32 gaat over de blijvende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, en over het vermogen om na een incident de beschikbaarheid en de toegang tijdig te herstellen. Een geslaagde back-uptaak bewijst niet dat de organisatie een bruikbare dienst kan herstellen.

Stel hersteldoelen vast op basis van de verwerking en de gevolgen van een onderbreking. Test het herstel, de afhankelijkheden, de inloggegevens en de omgang met persoonsgegevens in herstelde omgevingen. Bewaar bewijs van wat is hersteld, hoe lang het duurde, wat misging en wat is gecorrigeerd. Bewaar- en wisregels moeten ook rekening houden met de werking van back-ups.

Toets de doeltreffendheid met relevant bewijs

Artikel 32 omvat een procedure voor het regelmatig testen, beoordelen en evalueren van maatregelen. De passende methode hangt af van de maatregel: toegangsreviews, hersteloefeningen, configuratiecontroles, kwetsbaarheidsonderzoek, leveranciersbeoordelingen en incidentoefeningen kunnen allemaal bijdragen.

Een penetratietest kan nuttig zijn, maar is geen universele vervanging voor deze activiteiten en geen algemene AVG-eis. Leg de geteste reikwijdte en de beperkingen vast. Een test van één applicatie bewijst niet dat een nieuw ingevoerde marketingexport, leveranciersverbinding of herstelprocedure voldoende wordt beheerst.

Houd voor elke wezenlijke maatregel een eigenaar, een beschrijving van de implementatie, relevant bewijs, een beoordelingsdatum en een aanleiding voor de volgende herbeoordeling bij. Dit is een praktische structuur voor bewijs, geen door artikel 32 voorgeschreven sjabloon.

Hergebruik het ISMS zonder conclusies over beveiliging en privacy samen te voegen

ISO/IEC 27001 gaat over een managementsysteem voor informatiebeveiliging met een afgebakende reikwijdte. De risicobeoordeling, risicobehandeling, operationele processen, interne audit en directiebeoordeling daarvan kunnen het beheer van AVG-maatregelen ondersteunen.

Die overlap is waardevol. Bewijs over toegangsbeheer, leveranciersbeoordelingen, incidentoefeningen en hersteltests hoeft voor privacy vaak niet opnieuw te worden gemaakt. De relevantie ervan moet echter worden getoetst aan de verwerkingsactiviteit en de actuele reikwijdte.

Certificering door een onafhankelijke certificatie-instelling heeft betrekking op de vastgelegde ISMS-reikwijdte. Zij omvat niet automatisch elk product, elke entiteit, elke leverancier of elke verwerkingsactiviteit. De Verklaring van Toepasselijkheid legt de toepasselijkheid van maatregelen en de behandelingsbesluiten vast; het is geen verklaring dat aan elke AVG-verplichting is voldaan.

ISO 27001 is bovendien zelf geen algemene wettelijke meldregeling voor inbreuken. De meldplichten uit de AVG moeten afzonderlijk worden beoordeeld. Omgekeerd betekent naleving van de AVG niet dat een organisatie elke eis heeft ingevoerd die nodig is voor ISO 27001-certificering.

De AVG voorziet wel in certificeringsmechanismen op grond van de artikelen 42 en 43. Zo'n certificering vermindert de verantwoordelijkheid van de verwerkingsverantwoordelijke of verwerker niet en staat niet gelijk aan een ISO 27001-certificaat of een algemene verklaring van wettelijke naleving.

De managementvraag is dus hergebruik van bewijs met afzonderlijke conclusies: wat toont dit stuk aan, voor welke systemen en welke periode, en welke privacyvragen blijven onbeantwoord?

Geef management, beveiliging en privacy elk eigen verantwoordelijkheden

Een werkbaar organisatiemodel vraagt meer dan een gedeelde compliance-inbox. Bedrijfseigenaren moeten hun verwerkingen beschrijven en onderbouwen; beveiliging moet relevante maatregelen beoordelen en invoeren; privacyspecialisten moeten adviseren over wettelijke eisen, rechten, privacyverklaringen en beoordelingen. Het management moet middelen beschikbaar stellen en wezenlijke beslissingen binnen de grenzen van de wet nemen.

Een FG is niet voor elke onderneming verplicht. Artikel 37 geldt voor overheidsinstanties en -organen, met uitzondering van gerechten, en voor organisaties waarvan de kernactiviteiten voldoen aan de genoemde voorwaarden van grootschalige monitoring of verwerking van gevoelige gegevens. Nationaal recht kan aanvullende eisen stellen; controleer daarom de relevante rechtsgebieden.

Waar een FG is aangewezen, heeft deze onafhankelijke advies- en toezichtstaken, moet hij of zij naar behoren en tijdig worden betrokken en rapporteert hij of zij rechtstreeks aan het hoogste leidinggevende niveau. De FG mag geen instructies krijgen om tot een gewenste conclusie te komen en mag geen tegenstrijdige taken krijgen waarmee hij of zij doelen en middelen van verwerkingen bepaalt.

Maak de FG niet de eigenaar van elke maatregel, de goedkeurder van elk bedrijfsdoel en tegelijk degene die diezelfde beslissingen controleert. Dat bundelt onverenigbare verantwoordelijkheden en kan operationele teams het idee geven dat hun verantwoordelijkheid bij iemand anders is komen te liggen.

Een bruikbare goedkeuringsregistratie vermeldt de voorstellende eigenaar, het advies van specialisten, het beoordeelde bewijs, de beslisser, voorwaarden en openstaande acties. Kiest het management voor een andere rechtmatige aanpak dan de aanbevolen aanpak, leg dan de onderbouwing vast. Het management kan een ontbrekende rechtsgrond of een verplichte contractbepaling niet omzetten in naleving door er “risico geaccepteerd” bij te zetten.

De handleiding over de verantwoordelijkheden van CISO en FG licht de grens in eigenaarschap verder toe. Voor de CEO is de belangrijkste toezichtsvraag of meningsverschillen terechtkomen bij iemand die de verwerking kan aanpassen, de maatregel kan financieren of het voorstel kan stoppen, en niet alleen bij iemand die een document goedkeurt.

Beoordeel leveranciers op rol, contract en uitvoering

Beveiligingsbeoordeling en AVG-beoordeling van leveranciers overlappen, maar zijn niet hetzelfde. Stel eerst vast of de leverancier verwerker is, zelfstandig verwerkingsverantwoordelijke, gezamenlijk verwerkingsverantwoordelijke, of voor verschillende diensten verschillende rollen vervult.

Op grond van artikel 28 mogen verwerkingsverantwoordelijken alleen werken met verwerkers die afdoende garanties bieden voor passende technische en organisatorische maatregelen. Voor verwerkers is een bindende overeenkomst of een andere geldige rechtshandeling nodig met de voorgeschreven inhoud. Een geheimhoudingsbeding alleen voldoet daar niet aan.

De eisen van artikel 28 omvatten onder meer:

• Onderwerp, duur, aard en doel van de verwerking.
• Soorten persoonsgegevens en categorieën van betrokkenen.
• De verplichtingen en rechten van de verwerkingsverantwoordelijke.
• Verwerking uitsluitend op basis van schriftelijke instructies, met inbegrip van de relevante bepalingen over doorgifte.
• Geheimhouding en beveiligingsmaatregelen op grond van artikel 32.
• Voorwaarden voor het inschakelen van andere verwerkers.
• Bijstand bij verzoeken van betrokkenen en bij bepaalde nalevingsverplichtingen.
• Teruggave of verwijdering van gegevens aan het einde van de dienstverlening, behoudens toepasselijke wettelijke verplichtingen.
• Informatie- en auditafspraken om naleving aan te tonen.

Bekijk naast de verwerkersovereenkomst ook de werkelijke dienstvoorwaarden. Een leverancier kan verwijdering toezeggen en tegelijk bepaalde logbestanden voor een eigen doel als verwerkingsverantwoordelijke bewaren. Een enterpriseabonnement kan gebruik voor training uitsluiten terwijl een proefaccount dat niet doet. Een verwerker kan meerdere subverwerkers inzetten met verschillende locaties en supportregelingen.

Toestemming voor subverwerkers kan op grond van artikel 28 specifiek of algemeen zijn. Bij een algemene schriftelijke toestemming moet de verwerker de verwerkingsverantwoordelijke informeren over voorgenomen toevoegingen of vervangingen, zodat bezwaar mogelijk is. De operationele vraag is wie die meldingen ontvangt en beoordeelt voordat ze in een onbeheerde inbox verdwijnen.

Houd de contractbeoordeling gescheiden van de beoordeling van doorgiften. Een overeenkomst op grond van artikel 28 is op zichzelf geen doorgiftemechanisme in de zin van hoofdstuk V. Evenmin legt het ondertekenen van een verwerkersovereenkomst de rechtsgrond voor de activiteit van de verwerkingsverantwoordelijke vast.

Behandel niet-onderhandelbare voorwaarden als een zakelijke beslissing

Kleinere klanten hebben vaak weinig onderhandelingsmacht. Dat maakt een vroege beoordeling belangrijker, niet optioneel. Documenteer de tekortkoming, vraag naar beschikbare alternatieven en overweeg de configuratie aan te passen, minder gegevens te gebruiken, een andere dienst te kiezen of niet door te gaan.

Als een verplichte eis niet wordt vervuld, kan goedkeuring door de directie dat niet herstellen. Gaat het om een keuze tussen rechtmatige opties met verschillende restrisico's, dan kan het management met gedocumenteerd advies beslissen. Inkoop moet die situaties onderscheiden in plaats van elk bezwaar onder één uitzonderingscategorie te scharen.

Een leveranciersbeoordeling moet eindigen met een besluit, voorwaarden, verwijzingen naar bewijs en aanleidingen voor herbeoordeling, niet alleen met een ingevulde vragenlijst.

Richt de afhandeling van rechten in vóór het eerste lastige verzoek

De artikelen 15 tot en met 22 bevatten rechten zoals inzage, rectificatie, gegevenswissing, beperking van de verwerking, overdraagbaarheid, bezwaar en bescherming bij bepaalde uitsluitend geautomatiseerde besluiten. Voor deze rechten gelden verschillende voorwaarden en uitzonderingen; één workflow die “alles verwijdert” bedient ze niet allemaal.

Op grond van artikel 12 moeten organisaties onverwijld reageren en in de regel binnen een maand na ontvangst van het verzoek. Verlenging met ten hoogste twee maanden is mogelijk als dat nodig is, gelet op de complexiteit en het aantal verzoeken, maar de betrokkene moet binnen de eerste maand met redenen worden geïnformeerd. Verzoeken zijn in beginsel kosteloos; een vergoeding vragen of weigeren is alleen mogelijk onder de voorwaarden van de verordening, bijvoorbeeld bij kennelijk ongegronde of buitensporige verzoeken, wat de verwerkingsverantwoordelijke moet aantonen.

Richt een operationele route in die werkt via support, HR, sales en privacykanalen:

1. Registreer de ontvangst, de gevraagde rechten en de termijn.
2. Bevestig de betrokken verwerkingsverantwoordelijke en de reikwijdte.
3. Verifieer de identiteit op proportionele wijze als er gegronde twijfel is.
4. Zoek de gegevens op en bepaal de relevante systemen, ontvangers en verwerkers.
5. Beoordeel de toepasselijke voorwaarden, uitzonderingen en rechten van anderen.
6. Bereid het antwoord of de handeling voor en laat die controleren.
7. Lever veilig aan en bewaar een passende registratie van de afhandeling.

Vraag niet standaard om identiteitsbewijzen als een minder ingrijpende verificatie volstaat. Geef evenmin gevoelige gegevens vrij omdat iemand een e-mailadres kent. Verificatie is zelf een verwerking van persoonsgegevens en vraagt om een proportionele aanpak.

Een antwoord op een inzageverzoek vraagt meestal om meer dan een lijst met categorieën. Artikel 15 omvat een kopie van de persoonsgegevens die worden verwerkt en aanvullende informatie. Beoordeel informatie over derden en hun rechten vóór verstrekking; zie de naam van een ander niet als reden om alles achter te houden.

Het recht op gegevenswissing is niet absoluut. Wettelijke bewaarplichten en andere uitzonderingen van artikel 17 kunnen van toepassing zijn. Als verwijdering vereist is, bepaal dan hoe die doorwerkt in gekoppelde diensten en bij relevante ontvangers, en hoe bij het terugzetten van back-ups wordt voorkomen dat gewiste gegevens ongemerkt terugkeren. Leg rechtmatige beperkingen correct uit.

Automatisering kan termijnen bewaken en zoekacties organiseren, maar iemand moet beslissen of de resultaten volledig zijn, of weglakkingen gerechtvaardigd zijn en of een uitzondering van toepassing is. Een snel gegenereerd standaardantwoord heeft geen waarde als een systeem met de gevraagde gegevens ontbreekt.

Zie inzageverzoeken van betrokkenen voor een uitgebreidere werkwijze. Het management moet periodiek een representatief verzoek testen, van ontvangst tot veilige levering, in plaats van alleen te vertrouwen op een gepubliceerde procedure.

Gebruik DPIA's om het ontwerp kritisch te toetsen vóór goedkeuring

Een gegevensbeschermingseffectbeoordeling (DPIA) op grond van artikel 35 is vereist vóór een verwerking die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen. De verordening noemt specifieke gevallen, waaronder bepaalde ingrijpende geautomatiseerde evaluaties, grootschalige verwerking van gevoelige gegevens en stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten. Ook de relevante lijsten van toezichthoudende autoriteiten moeten worden meegewogen.

Screen voorgestelde activiteiten vroeg. Als praktische aanbeveling: leg de onderbouwing vast wanneer de screening uitwijst dat een DPIA niet nodig is, zeker in grensgevallen. Een korte screeningsregistratie maakt het mogelijk het besluit opnieuw te bekijken wanneer de omvang, technologie of het doel verandert.

De volledige DPIA moet vier samenhangende elementen behandelen:

• Een systematische beschrijving van de beoogde verwerking en de doeleinden, met inbegrip van het gerechtvaardigde belang waar relevant.
• De noodzaak en evenredigheid van de verwerking met betrekking tot die doeleinden.
• De risico's voor de rechten en vrijheden van betrokkenen.
• De beoogde maatregelen om de risico's aan te pakken en naleving aan te tonen.

Begin en eindig niet met een lijst van beveiligingsdreigingen. Vraag eerst of de voorgestelde gegevens, frequentie, ontvangers en het besluitvormingsproces noodzakelijk zijn. Een minder ingrijpend ontwerp kan een risico doeltreffender wegnemen dan een extra technische maatregel.

Een productiviteitsproject voor medewerkers kan bijvoorbeeld voorstellen om doorlopend schermafbeeldingen te maken. Versleuteling en beperkte toegang kunnen het risico op openbaarmaking verkleinen, maar laten ernstige vragen over proportionaliteit, monitoring, de verwachtingen van medewerkers en de geschiktheid van minder ingrijpende maatregelen open. Het bedrijfsdoel moet worden onderzocht voordat het beveiligingsontwerp zinvol kan zijn.

Beoordeel het risico voor mensen, niet alleen de blootstelling van de onderneming

Houd rekening met financieel verlies, discriminatie, identiteitsmisbruik, verlies van vertrouwelijkheid, uitsluiting van diensten en andere relevante gevolgen. Een scenario kan beperkte financiële gevolgen hebben voor de onderneming en tegelijk grote gevolgen voor een individu.

Documenteer de voorgestelde mitigerende maatregelen, de eigenaren van de uitvoering en de beoordeling van het restrisico. Vraag het advies van de FG als er een FG is aangewezen. Ga na of wijzigingen in de verwerking of het risico een actualisering van de beoordeling vereisen.

Artikel 36 vereist een voorafgaande raadpleging van de toezichthoudende autoriteit wanneer uit de DPIA blijkt dat de verwerking een hoog risico zou opleveren als geen maatregelen worden genomen om het risico te beperken. Kan de organisatie dat hoge risico niet voldoende aanpakken, dan kan zij de vereiste raadpleging niet vervangen door een interne status “geaccepteerd”. Het management kan de activiteit herontwerpen, uitstellen of laten vallen; het kan niet over de rechten van anderen beschikken alsof die uitsluitend een commercieel risico zijn.

Verbind incidentrespons met beslissingen over meldingen onder de AVG

Een inbreuk in verband met persoonsgegevens is een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot vernietiging, verlies, wijziging of ongeoorloofde verstrekking van of toegang tot persoonsgegevens. Dat is breder dan een aanvaller die een database steelt. Een verkeerd verstuurde bijlage, een kwijtgeraakt onbeveiligd apparaat of een incident dat de beschikbaarheid of integriteit van persoonsgegevens aantast, kan een beoordeling vereisen.

Op grond van de artikelen 33 en 34 beoordelen verwerkingsverantwoordelijken twee verschillende meldingsdrempels:

De termijn van 72 uur loopt vanaf de kennisneming, niet simpelweg vanaf het tijdstip van het oorspronkelijke incident of de volgende werkdag. Wordt later gemeld, dan moeten de redenen voor de vertraging worden vermeld. Informatie mag gefaseerd worden verstrekt als het niet mogelijk is alles tegelijk te verstrekken zonder verdere onnodige vertraging.

Bereid de escalatieketen vooraf voor: incidentleider, privacyadviseur, verantwoordelijke beslisser bij de verwerkingsverantwoordelijke, technische onderzoekers, communicatie en contactpersonen bij leveranciers. Zoek het meldkanaal van de bevoegde autoriteit op vóór er een noodsituatie is. Een verwerker moet niet wachten op een eigen definitieve risicoconclusie voordat hij de verwerkingsverantwoordelijke informeert.

Het incidentdossier moet vastleggen wat er is gebeurd, welke gegevens en personen zijn getroffen, de waarschijnlijke gevolgen, de inperking en het herstel, en de besluiten over melding. Artikel 33, lid 5, vereist documentatie van inbreuken in verband met persoonsgegevens, met inbegrip van de feiten, de gevolgen en de genomen corrigerende maatregelen. Bewaar ook de onderbouwing om niet te melden, zodat het besluit later te begrijpen is.

Versleuteling kan de risicoanalyse en de analyse onder artikel 34 beïnvloeden, maar alleen als de bescherming relevant en doeltreffend is. “De dienst gebruikt versleuteling” is niet genoeg als een aanvaller via een gecompromitteerd account leesbare gegevens heeft ingezien. Artikel 34 bevat ook andere uitzonderingen, zoals naderhand genomen maatregelen die ervoor zorgen dat het hoge risico zich waarschijnlijk niet meer zal voordoen; beoordeel de werkelijke voorwaarden in plaats van een algemene uitzondering toe te passen.

Oefen één scenario waarbij een leverancier betrokken is en één met een interne openbaarmaking. De oefening moet naast de technische inperking ook het verzamelen van bewijs en de beslissingsbevoegdheid toetsen.

Behandel internationale doorgiften als een afzonderlijke beoordeling

De eisen voor doorgifte in hoofdstuk V gelden naast de rest van de AVG. Een doorgiftemechanisme levert geen rechtsgrond op grond van artikel 6, en een rechtsgrond neemt de noodzaak van een passende doorgifteregeling niet weg.

Breng de werkelijke ontvangers en toegangswegen in kaart. Hosting in een datacenter in de EU is relevant, maar bewijst op zichzelf niet dat er geen doorgifte naar een derde land plaatsvindt of dat aan alle privacyverplichtingen is voldaan. Houd rekening met supporttoegang, subverwerkers, beheerderstoegang, verdere verstrekking en de betrokken partijen.

Het doorgiftekader van de AVG omvat adequaatheidsbesluiten op grond van artikel 45, passende waarborgen op grond van artikel 46 en beperkte afwijkingen op grond van artikel 49. Controleer op het moment van het besluit welk mechanisme relevant is en wat de reikwijdte ervan is.

Wie steunt op een adequaatheidsregeling die beperkt is tot deelnemende organisaties, moet de exacte ontvanger en de gedekte activiteit verifiëren. Een groepsmaatschappij of een vergelijkbare handelsnaam is niet noodzakelijk de gedekte ontvanger. Leg de uitkomst en de datum van de controle vast.

Worden modelcontractbepalingen gebruikt, kies dan de bepalingen die passen bij de werkelijke rollen van de partijen en vul de relevante bijlagen in. Beoordeel de wetgeving en praktijk in het land van bestemming en of aanvullende maatregelen nodig zijn om de bescherming doeltreffend te maken. Een ondertekend contract alleen beantwoordt niet elke vraag over doorgifterisico's.

Een praktisch doorgiftedossier vermeldt de exporteur en de importeur, de gegevens en doelen, locaties en toegang, verdere doorgiften, het gekozen mechanisme, de relevante beoordeling, technische of organisatorische maatregelen en aanleidingen voor herbeoordeling. Documentatie van de provider kan dit werk ondersteunen, maar vragen of een provider “een beoordeling heeft” is iets anders dan de relevante bevindingen ervan beoordelen.

Het management moet weten welke diensten van een bepaald mechanisme afhankelijk zijn en welke wijzigingen een herbeoordeling vereisen. Dat ondersteunt een bewust noodplan, zonder te suggereren dat elke leverancier dezelfde contractuele terugvaloptie nodig heeft.

Beoordeel AI-gebruik als verwerking, niet alleen als een nieuw hulpmiddel

Een AI-toepassing kan nieuwe ontvangers introduceren, aanvullende persoonsgegevens afleiden, prompts bewaren of een nieuw doel mogelijk maken. Die veranderingen zijn van belang, ook als de toepassing de bestaande single sign-on en toegangsmaatregelen van de organisatie hergebruikt.

Stel vóór de goedkeuring van persoonsgegevens in een AI-dienst vast:

• De precieze taak en of persoonsgegevens daarvoor nodig zijn.
• De categorieën invoer, uitvoer en betrokkenen.
• De rol van de provider bij elk gebruik, met inbegrip van eventuele doelen voor training of verbetering.
• Bewaring, menselijke toegang, subverwerkers en doorgifteregelingen.
• Contractuele toezeggingen en relevante configuratie-instellingen.
• Risico's op het gebied van juistheid, openbaarmaking, afhandeling van rechten en besluitvorming.

Ga er niet van uit dat elke modelprovider uitsluitend verwerker is. Zijn rol hangt af van de verwerking die hij uitvoert en de doelen die hij bepaalt. Evenmin maakt een overeenkomst op grond van artikel 28 de voorgestelde verstrekking automatisch rechtmatig. Beoordeel doel, rechtsgrond, transparantie, noodzaak en alle andere toepasselijke eisen.

Is de onderneming zelf verwerker, dan kan het inschakelen van een AI-provider een subverwerkersrelatie creëren. Controleer de instructies van de klant en de afgesproken procedure voor toestemming voordat u klantgegevens verstuurt. Een nieuwe contractwijziging is niet altijd nodig, maar naleving van de bestaande contractuele en wettelijke afspraken wel.

Artikel 22 gaat over bepaalde besluiten die uitsluitend op geautomatiseerde verwerking zijn gebaseerd en rechtsgevolgen of vergelijkbare aanmerkelijke gevolgen hebben. Een menselijke controle in naam lost het probleem niet op als de beoordelaar de uitkomst niet werkelijk kan beoordelen of wijzigen. Besluiten over werving, toelating en financiën vragen bijzondere aandacht.

De AI-verordening en de AVG leggen verschillende verplichtingen op. Een beoordeling onder de AI-verordening vervangt geen DPIA, en naleving van de AVG betekent niet dat aan de AI-verordening is voldaan. Gebruik het actuele overzicht van de Europese Commissie over de AI-verordening voor de toepassingsdata, in plaats van een oud invoeringsschema mee te nemen in een lopend project.

Voor intern privacywerk kan AI beschrijvingen opstellen op basis van goedgekeurde bronnen, documenten vergelijken of vragen voorstellen. Behandel de uitvoer als concept. Een plausibele maar onjuiste rechtsgrond, een gemiste ontvanger of een onjuiste bewaartermijn kan een verzorgd document inhoudelijk fout maken.

Automatiseer de coördinatie en behoud een verantwoordelijke beoordeling

Groeiende organisaties krijgen te maken met terugkerend werk: bijwerken van het verwerkingsregister, termijnen van verzoeken van betrokkenen, leveranciersdocumenten, acties uit beoordelingen, verlopen bewijs en herbeoordelingen. Automatisering kan invoer en termijnen organiseren. Zij mag het verschil tussen informatie verzamelen en een verdedigbare conclusie trekken niet verhullen.

Begin met een stabiel proces en duidelijk eigenaarschap. Wie een onduidelijke overdracht automatiseert, verspreidt de onduidelijkheid alleen maar sneller. Bepaal wat een taak opent, wie die ontvangt, welk bewijs nodig is, wie het resultaat controleert en wanneer het werk klaar is.

Bewaar bij door AI ondersteund opstellen de goedgekeurde bronnen en maak onzekerheden zichtbaar. Laat een gegenereerde samenvatting niet ongemerkt de plaats innemen van een leverancierscontract of een beoordeling. Beoordelaars moeten aangeleverde feiten, afgeleide suggesties en openstaande vragen van elkaar kunnen onderscheiden.

Pas ook op de werkstroom zelf het principe van minimale rechten toe. Dossiers van verzoeken van betrokkenen, incidentregistraties en beoordelingen van medewerkers kunnen gevoelige informatie bevatten. Ruime toegang tot een compliancewerkruimte kan de beperkingen ondermijnen die juist worden gedocumenteerd. Beperk persoonsgegevens in bewijsmateriaal tot een minimum en scherm materiaal af dat werkelijk identificatie vereist.

Bruikbare managementindicatoren zijn onder meer achterstallige acties, ontbrekende eigenaren, registraties die na een wezenlijke wijziging op beoordeling wachten en maatregelen met verouderd of onvoldoende bewijs. Het enkele aantal documenten zegt minder. Meet of besluiten en corrigerende werkzaamheden worden afgerond, niet alleen of er meer tekst is gegenereerd.

Uitgewerkt voorbeeld: een marketingkoppeling die beveiligingsmaatregelen hergebruikt

Het volgende voorbeeld is illustratief. Stel dat een groeiend B2B-softwarebedrijf een bestaande klantendatabase heeft, een ISMS voor zijn productiedienst en een voorgesteld campagneplatform. Marketing wil onboardingberichten versturen en later aanvullende producten promoten. Het platform zou contactgegevens, gebeurtenissen over productgebruik en vrije tekst uit supportnotities ontvangen. Er wordt geen echte klantuitkomst of Secani-functionaliteit mee bedoeld.

1. Scheid de voorgestelde doelen

Het oorspronkelijke verzoek luidt “de klantbetrokkenheid verbeteren”. De bedrijfseigenaar herschrijft dit tot specifieke doelen: noodzakelijke onboarding voor de dienst, optionele promotionele communicatie en analyse van campagneprestaties.

De privacybeoordelaar beoordeelt de grondslag voor elk doel, in plaats van het klantcontract op alle drie toe te passen. Voor promotionele communicatie kunnen ook nationale regels voor elektronische marketing gelden. De onderneming gaat er niet van uit dat een belangenafweging onder de AVG die afzonderlijke eisen op zichzelf afdekt.

Het eerste resultaat is een besluit over doel en grondslag, met toegewezen openstaande vragen. Marketing mag niet met het uitgebreide gebruik beginnen alleen omdat de koppeling een technische beveiligingscontrole heeft doorstaan.

2. Beperk de voorgestelde gegevensstroom

Supportnotities zijn handig voor personalisatie, maar onnodig voor het goedgekeurde onboardingbericht. Ze kunnen bovendien informatie bevatten waarvan klanten niet verwachtten dat die voor marketing zou worden hergebruikt. Het ontwerp laat ze weg.

De technisch eigenaar beperkt de productgebeurtenissen tot wat nodig is voor de goedgekeurde werkstroom en sluit gedetailleerde gebruikersgeschiedenissen uit waar geaggregeerde of eenvoudigere gebeurtenisgegevens volstaan. Dat verkleint de blootstelling voordat er een extra maatregel bij komt.

Het verwerkingsregister beschrijft nu de werkelijke velden, betrokken gebruikers, ontvanger, doelen en bewaaraanpak. De privacyverklaring wordt getoetst aan de goedgekeurde activiteit in plaats van aan het oorspronkelijke brede verzoek.

3. Controleer leveranciers- en doorgifteregelingen

Inkoop stelt de rol van het platform bij het versturen van campagnes vast en controleert of de provider eigen doelen nastreeft. Het team beoordeelt de verwerkersovereenkomst op grond van artikel 28, de afspraken over subverwerkers, de verwijderingsvoorwaarden, de supporttoegang en het toepasselijke doorgiftemechanisme.

Een hostingoptie in de EU wordt als relevant feit vastgelegd, niet als het einde van de doorgifteanalyse beschouwd. Ontbreekt vereiste informatie, dan blijft de taak open en vermeldt de lanceringsvoorwaarde wat moet worden opgelost.

4. Hergebruik beveiligingsbewijs zorgvuldig

De koppeling kan gebruikmaken van de bedrijfsbrede identiteitsmaatregelen en een bestaand proces voor toegangsbeheer. Het bewijs van die maatregelen wordt gekoppeld in plaats van opnieuw gemaakt. Het nieuwe campagneplatform heeft echter eigen rechten, exports en bewaarinstellingen.

De beveiligingseigenaar beoordeelt accountovername, ongeautoriseerde bulkexport, onjuiste mapping van gebeurtenissen en verlies van afmeldvoorkeuren. Het team beperkt de toegang, keurt de vereiste koppelingsrechten goed, test de mapping met geschikte testgegevens en controleert hoe records worden verwijderd of geblokkeerd.

De bestaande hersteloefening voor de productiedienst bewijst niet dat campagnevoorkeuren juist kunnen worden hersteld. De eigenaar controleert afzonderlijk het herstelgedrag dat voor deze werkstroom relevant is.

5. Rond beoordeling en goedkeuring af

De privacybeoordelaar voert op basis van de werkelijke activiteit een DPIA-screening uit en legt de onderbouwing vast. Het team controleert ook hoe verzoeken om inzage, bezwaar en wissing het platform bereiken. In het bijzonder mag een bezwaar tegen marketing niet door de volgende databasesynchronisatie ongedaan worden gemaakt.

Het management beoordeelt een beknopt besluitpakket: goedgekeurde doelen, verwijderde gegevens, conclusies over leverancier en doorgifte, maatregelen, openstaande voorwaarden, afhandeling van rechten en benoemde eigenaren. Elke onopgeloste verplichte eis blokkeert de betreffende verwerking, in plaats van te worden omgezet in een geaccepteerde commerciële uitzondering.

6. Leg de volgende aanleiding vast

De goedkeuring is gekoppeld aan de beoordeelde configuratie. Het toevoegen van gedragsscores, het uploaden van supportnotities, gewijzigde trainingsvoorwaarden bij de provider of een nieuwe ontvanger leiden tot herbeoordeling. Het team kan ongewijzigd beveiligingsbewijs hergebruiken en tegelijk de nieuwe privacyvragen opnieuw beoordelen.

Dat is het centrale onderscheid: gemeenschappelijke maatregelen kunnen geldig blijven terwijl het doel, de ontvanger of het effect op mensen wezenlijk verandert.

Breng de aanpak in de praktijk met een afgebakende eerste reikwijdte

Kies één verwerkingsactiviteit met zichtbaar eigenaarschap in de organisatie en beheersbare afhankelijkheden. Klantenservice, onboarding van medewerkers of een representatieve productwerkstroom kan tekortkomingen aan het licht brengen zonder dat eerst de hele organisatie opnieuw hoeft te worden ingericht.

Als praktische aanbeveling: begin met vier resultaten:

• Een afgestemde beschrijving van de verwerking en een beoordeling van de rollen.
• Een lijst met privacybesluiten, waaronder grondslag, privacyverklaring, bewaring, rechten en DPIA-screening.
• Een scenariogebaseerde beoordeling van maatregelen, gekoppeld aan bestaand beveiligingsbewijs.
• Een goedkeuringsregistratie met eigenaren, openstaande acties en aanleidingen voor wijziging.

In Secani kunnen teams beginnen met een afgebakende reikwijdte, ondersteunende applicaties, systemen, diensten en providers modelleren en bewijs koppelen aan eisen, maatregelen en besluiten. Ontbrekend bewijs en openstaande beoordelingsvragen kunnen toegewezen taken worden. Door AI ondersteunde suggesties blijven conceptwerk, met herleidbaarheid naar bronnen en expliciete menselijke goedkeuring. Zo krijgen beveiligings- en privacybeoordelaars een gedeelde bewijscontext, terwijl hun eigen conclusies zichtbaar blijven; het vervangt geen verwerkingsregisters, afhandeling van rechten of juridische analyse.

Breid pas uit nadat de eerste werkstroom in de praktijk is beproefd. Test er een leverancierswissel, een verzoek van een betrokkene en een relevant incidentscenario op. Kan het team de eigenaar niet aanwijzen, het bewijs niet terugvinden of het besluit niet uitleggen, verbeter dan eerst het operationele proces voordat er meer activiteiten bijkomen.

Stel bij de directiebeoordeling drie vragen: komt het register overeen met de huidige verwerking, pakken de maatregelen de gevolgen voor mensen aan, en leidt een wezenlijke wijziging betrouwbaar tot heropening van het besluit? Die vragen bieden een praktische volgende stap om beveiligingszekerheid te verbinden met verantwoording onder de AVG.

Vragen die het management expliciet moet beantwoorden

Kan een CEO een uitzondering op de AVG goedkeuren?

Het management kan kiezen tussen rechtmatige opties en middelen toewijzen om risico's aan te pakken. Het kan geen wettelijke eisen opzij zetten, geen verwerking zonder toepasselijke grondslag toestaan en een vereiste voorafgaande raadpleging niet vervangen door interne goedkeuring.

Is voor elke wijziging in een verwerking een nieuwe DPIA nodig?

Nee. Toets de wijziging aan de drempel voor een hoog risico en beoordeel bestaande beoordelingen opnieuw wanneer de verwerking of het risico verandert. Een gedocumenteerd screeningsbesluit is nuttiger dan automatisch een volledige DPIA opstellen of aannemen dat de oude uitkomst altijd blijft gelden.

Wat moet als eerste worden beoordeeld als de middelen beperkt zijn?

Geef voorrang aan verwerkingen met mogelijk ernstige gevolgen voor mensen, openstaande vragen over rechtmatigheid of contracten, en operationele termijnen zoals verzoeken van betrokkenen en de reactie op datalekken. Gebruik lacunes in het bewijs als leidraad voor onderzoek, maar ga er niet van uit dat de activiteit met de meeste ontbrekende documenten noodzakelijk het grootste risico vormt.

Welke autoriteit handhaaft de AVG en wat kunnen overtredingen kosten?

Stel vast welke toezichthoudende autoriteit voor de verwerking bevoegd is. Bij grensoverschrijdende verwerkingen die daarvoor in aanmerking komen, hangt het mechanisme van de leidende toezichthoudende autoriteit doorgaans af van de hoofdvestiging of enige vestiging van de verwerkingsverantwoordelijke of verwerker in de EU, waarbij andere betrokken autoriteiten worden betrokken. Een vertegenwoordiger op grond van artikel 27 creëert geen vestiging in de EU en geen toegang tot dat mechanisme.

Artikel 83 kent twee hoofdcategorieën van maximale administratieve geldboeten: tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet van de onderneming in het voorgaande boekjaar, en tot 20 miljoen euro of 4%, waarbij in elke categorie het hoogste bedrag geldt. Welke categorie van toepassing is, hangt af van de inbreuk; het gaat om maxima, niet om automatische sancties. Autoriteiten houden rekening met de omstandigheden en kunnen ook corrigerende maatregelen opleggen of de verwerking beperken. Artikel 82 regelt daarnaast schadevergoeding wanneer een inbreuk materiële of immateriële schade veroorzaakt.