Automatisering speelt een belangrijke rol binnen de bedrijfsvoering van veel verschillende organisaties. De Algemene Verordening Gegevensbescherming (AVG) stelt eisen als het gaat om de verwerking van persoonsgegevens. Het internet staat er bol van als het gaat om privacy, maar wat betekent dit voor de verwerking van persoonsgegevens in een geautomatiseerd systeem?
In deze column zal een aantal van de regels worden uitgelicht die van belang zijn voor u als ondernemer.
Automatisering heeft veel voordelen voor ondernemers, maar brengt ook risico’s met zich mee als het gaat om schending van de privacy van uw klanten en medewerkers. Hierdoor is in 2018 de AVG in werking getreden.In de AVG staan belangrijke regels voor de omgang met persoonsgegevens.
Allereerst is het van belang om te bepalen of uw organisatie überhaupt persoonsgegevens mag verwerken. Uw organisatie dient te voldoen aan één van de zes grondslagen die staan genoemd in de AVG:
- U heeft toestemming van de persoon om wie het gaat.
- Het is noodzakelijk om gegevens te verwerken om een overeenkomst uit te voeren.
- Het is noodzakelijk om gegevens te verwerken omdat u dit wettelijk verplicht bent.
- Het is noodzakelijk om gegevens te verwerken om vitale belangen te beschermen.
- Het is noodzakelijk om gegevens te verwerken om een taak van algemeen belang of openbaar gezag uit te oefenen.
- Het is noodzakelijk om gegevens te verwerken om uw gerechtvaardigde belang te behartigen.
Bij de meeste organisaties is er geen sprake van een noodzakelijke grondslag om gegevens te verwerken. Om alsnog de gegevens te kunnen verwerken, dient er een beroep te worden gedaan op grondslag 1, te weten toestemming vragen van de persoon om wie het gaat.
Bij de automatisering van persoonsgegevens is het ook van belang dat u in kaart brengt welke persoonsgegevens opgeslagen worden. De AVG maakt een onderscheid tussen gewone persoonsgegevens en bijzondere persoonsgegevens. Onder gewone persoonsgegevens vallen de algemene gegevens zoals naam, woonplaats en e-mailadres. Bij bijzondere persoonsgegevens gaat het om gevoelige gegevens die iets zeggen over iemands godsdienst, politieke voorkeur en strafrechtelijk verleden. In beginsel mag een organisatie geen bijzondere persoonsgegevens verwerken, tenzij er een beroep kan worden gedaan op een wettelijke uitzondering.
Daarnaast is het van belang dat uw organisatie niet meer persoonsgegevens verwerkt en opslaat dan noodzakelijk is. Ik adviseer hierbij alleen persoonsgegevens op te slaan in de database die u echt nodig heeft. Als uw organisatie de persoonsgegevens niet heeft verwerkt, kunnen die persoonsgegevens ook niet verkeerd worden gebruikt. Daarbij valt er dan ook niet veel te hacken of te misbruiken.
Als u wil weten of uw organisatie voldoet aan de AVG, kun u het vijfstappenplan raadplegen van de Autoriteit Persoonsgegevens: https://www.autoriteitpersoonsgegevens.nl/avg-voor-ondernemers
Mr. Jacqueline Brouwer is u graag van dienst om te zorgen dat uw onderneming voldoet aan de AVG.
