Op veel plekken is er cameratoezicht in de horeca om mensen en goederen te beschermen. Er kan dan inzage in videobeelden worden gevraagd. Moet u daar aan meewerken? Wat zijn de regels?

Inzage videobeelden als betrokkene

Filmt u mensen en staan zij op de beelden, dan hebben zij als betrokkenen volgens de AVG recht op inzage in de beelden. Dat geldt zowel voor werknemers als voor gasten. U moet conform de AVG daar aan meewerken.

Camera op terras?

Heeft u een camera op het terras en/of bij de ingang? Dan lopen ook voorbijgangers op straat kans herkenbaar op beeld te komen. Ook nu geldt dat zij recht op inzage hebben.

De richtlijn voor het bewaren van camerabeelden is vier weken, tenzij er een incident op de beelden zoals een diefstal op de beelden staat. Als de betrokkene na deze vier weken om inzage vraagt, is hij of zij dus te laat.

Verzoek tot inzage videobeelden om andere redenen

Stel, een gast die niet (herkenbaar) op de beelden staat, heeft bepaalde redenen om inzage in de camerabeelden te vragen. U mag dan best meewerken, maar u bent dat niet verplicht. Tip. Als er mensen herkenbaar op beeld staan, kunt u na een belangenafweging inzage in die beelden geven. De belangen van de gast moeten dan dusdanig zwaar wegen, dat zij de inbreuk op de privacy van de personen die op beeld staan rechtvaardigen.

Verzoek tot afstaan van de beelden door gasten en buurtbewoners

Het verzoek van een gast om beelden af te staan, zal niet snel gerechtvaardigd zijn.

Geef eventueel na een belangenafweging inzage, maar geef geen banden mee. Het is beter om de gast of buurtbewoner er op dat u alleen banden aan de politie meegeeft.

Banden afstaan aan de politie

Ook de politie kan aankloppen voor beelden. Deze moet u afstaan als de politie een bevel heeft van de officier van justitie. In gevallen waarop mensen duidelijk in beeld zijn, moet dit strikt genomen zelfs een machtiging van de rechter-commissaris zijn.

Voorbeeld – Inzage
videobeelden na geweldpleging

Een gast wil na een geweldpleging een kopie van de beelden. Hij wil via een civiele procedure smartengeld van de dader. Uw camerabeelden mogen namelijk als bewijs worden ingebracht.

Tip. Als u mee wilt werken aan het verzoek, zorg er dan voor dat de privacyinbreuk zo minimaal mogelijk is. U kunt bijv. alleen een kopie meegeven van het gedeelte waarop het incident te zien is (een geknipt fragment) en andere gasten onherkenbaar maken.

Voorbeeld – Inzage
videobeelden slachtoffer zakkenroller

Een gast wil nadat een zakkenroller hem zijn portemonnee afhandig heeft gemaakt inzage in de beelden. Als hij de zakkenroller kan betrappen wil hij ermee naar de politie stappen.

Tip. De gast heeft recht op inzage (AVG) en u mag een kopie meegeven. Als de gast bij zijn aangifte aangeeft dat er opnames van het incident zijn, kan de politie de beelden ook opvragen. Daaraan moet u meewerken.

Voorbeeld – Inzage
videobeelden door ouder

Een vader wil een kopie van beelden van wat hij onzedelijk betasten vindt. Hij wil ermee de ouders van de dader confronteren.

Tip. Als u beelden afstaat aan een derde, weet u nooit zeker wat er mee gebeurd. Als de intentie, zoals van deze vader, bekend is, kunt u deze persoon beter doorverwijzen naar de politie. U kunt uiteraard wel zelf de beelden bekijken om uit te sluiten of er iets op te zien is.

Voorbeeld – Inzage
videobeelden na auto-inbraak

Een buurtbewoner wil graag inzage in de beelden naar aanleiding van een auto-inbraak. Hij wil checken of de inbraak door uw camera gefilmd is.

Tip. Check zelf de beelden. Als er niets op te zien is, kunt u dat de buurtbewoner mededelen. Als de inbraak te zien is, verwijs dan door naar de politie.

Voorbeeld – Inzage
videobeelden na inbraak in de buurt

Een buurtbewoner wil graag inzage in de beelden naar aanleiding van een inbraak. Hij wil checken of er een bepaald busje op staat, dat naar zeggen in de betreffende nacht voor zijn huis heeft gestaan.

Tip. Controleer zelf de beelden. U kunt de buurtbewoner mededelen of het busje wel of niet op de beelden te zien is. Uitgangspunt is dat er zo min mogelijk openbare weg gefilmd wordt, dus het is mogelijk dat uw camera’s het busje niet gefilmd hebben.

Als u denkt dat een gast of buurtbewoner zijn belang groter is dan het privacybelang van de personen op beeld, kunt inzage in de banden geven. Geef nooit banden mee, maar wijs er op dat u ze gedurende minimaal vier weken voor de politie zult bewaren (langer mag dan ook).

The post Inzage videobeelden (AVG) appeared first on top! communicatie.

Is een gegevensverwerkingsbeleid verplicht?

Een gegevensbeschermingsbeleid (privacybeleid) is verplicht als dat in verhouding staat tot de verwerkingsactiviteiten. Het is afhankelijk van de aard, omvang, context en het doel van de gegevensverwerking. U verwerkt waarschijnlijk bijzondere persoonsgegevens, maar harde richtlijnen over wanneer wel/niet een beleid verplicht is ontbreken.

Heeft u 10 cliënten/patiënten dan lijkt een privacybeleid niet verplicht. Bij 100 is het al de vraag en bij meer dan 100 wordt er sowieso geadviseerd een beleidsstuk op te stellen.

Wat neemt u in op in een gegevensbeschermingsbeleid?

Uit het stuk moet de volgende zaken blijken:

• de categorieën persoonsgegevens;
• de doeleinden waarvoor de gegevens verwerkt worden én de juridische grondslag daarvan;
• de rechten die betrokkenen hebben en hoe zij deze kunnen uitoefenen;
• de organisatorische en technische beveiligingsmaatregelen die u heeft genomen; en
• de bewaartermijnen van de persoonsgegeven.

De aanbevelingen van de AP

Expertise. De aanbevelingen van de AP bevatten een aantal open deuren zoals ‘gebruik expertise’. Heeft u een Functionaris Gegevensbescherming (FG) in dienst, laat die dan het beleid opstellen.

Verplichting? Uiteraard beoordeelt u eerst of u verplicht bent een beleid op te stellen. Is dat niet zo, dan is het wellicht tóch slim om het wel te doen.

Eén document? De derde aanbeveling is praktisch: zorg ervoor dat het beleid vastligt in één document. Vaak is alle informatie verspreid over meerdere documenten zoals het verwerkingsregister en de privacyverklaring. Dat is niet erg, als de informatie een compleet beeld geeft en makkelijk te raadplegen is.

Wellicht dat u uw AVG-documenten kunt samenvoegen in één Excel- of Wordbestand. De AP beveelt aan om het beleid bekend te maken. Naar patiënten toe, zou dat kunnen met een mededeling in de wachtkamer, op de website, e.d. ‘Wilt u ons privacybeleid inzien? Vraag er dan naar aan de balie.’

Concreet. Tot slot stelt de AP dat het beleid concreet moet zijn. Dat is lastig: want hoe concreet is concreet en wat hoort (niet) thuis in het beleidsstuk? Een beleidsstuk moet kort en krachtig, maar wel volledig zijn.

Neem op wat geldt voor de privacy van álle medewerkers, cliënten of patiënten en wat er van hen wordt verwacht. Geef in hoofdlijnen antwoord op privacyvragen of geef inzicht in waar of bij wie een antwoord gevonden kan worden. Verwijs gerust naar andere documenten ter verduidelijking of vervollediging.

Twee voorbeelden

1. Een (oud-)medewerker of een patiënt wil zijn dossier inzien. Neem in het privacybeleid op hoe en bij wie zo’n verzoek moet worden ingediend. Wie dan daadwerkelijk het dossier boven water haalt, e.d. hoeft niet in het privacybeleid te staan.
2. Werkt u voor de verwerking samen met derden? Neem in het beleidsstuk op dat hiermee een verwerkersovereenkomst gesloten wordt/is die voldoet aan de AVG-regels. De verwerkers staan niet in het beleidsstuk; verwijs daarvoor naar het verwerkingsregister.

Voor de (para)-medische praktijk is een privacybeleid verplicht. Geef hierin in hoofdlijnen antwoord op privacyvragen die voor álle cliënten, patiënten en/of medewerkers gelden en verwijs voor details en volledigheid door naar andere documenten.

The post Gegevensverwerkingsbeleid voor de (para)-medische sector appeared first on top! communicatie.

Het AVG-boetebeleid

Kort samengevat komt het neer op:

• afhankelijk van het overtreden artikel geldt een basisboete en een boete-bandbreedte;
• afhankelijk van de omstandigheden wordt die basisboete of het minimum of het maximum van de bandbreedte gehanteerd;
• als dat geen passend resultaat oplevert, kan er een boete uit een hogere of lagere categorie worden opgelegd;
• bij herhaling volgt een verhoging met 50%;
• als de beboete partij onvoldoende draagkracht heeft, kan de boete worden gematigd; bij meerdere boetes wordt het wettelijke boetemaximum nooit overschreden.

Categorieën van overtredingen

Overtredingen zijn in vier categorieën verdeeld. Iedere categorie heeft een basisboete en een bandbreedte.

De AP heeft overtredingen van (meer) administratieve aard in lagere categorieën geplaatst dan andere overtredingen. De schending van privacybeginselen, rechten van betrokken en het niet meewerken met de AP worden in een hoge categorie geplaatst (cat. 3). Het niet voldoen aan eisen rondom verwerkers(overeenkomsten) en het verwerkingsregister worden in lagere categorieën geplaatst (1 of 2).

Meer inzicht in overtredingen per categorie vindt u in deze uitgave van de Staatscourant.

Het toekennen van boetes

In de basis denkt de AP niet direct aan de wettelijke maxima van 10 en 20 miljoen euro (of 2% of 4% van de omzet). Die zijn kennelijk voor de extreme situaties bedoeld.

De basisboetes zijn het uitgangspunt en verder wordt er rekening gehouden met:

• de aard, ernst en duur van de inbreuk;
• de maatregelen die zijn genomen om de schade te beperken;
• eerdere inbreuken;
• medewerking die is verleend aan de toezichthouder;
• het feit of de verwerkingsverantwoordelijke is aangesloten bij een goedgekeurde gedragscode of certificering; én
• de financiële omstandigheden waarin de overtreder verkeert. De AP maakt onderscheid tussen micro-ondernemingen, kleine, middelgrote en grote ondernemingen.

U en AVG-boetes

Stel, er komen personeelsgegevens op straat te liggen, of een medewerker heeft geklaagd geen inzicht te krijgen in zijn dossier… De AP neemt elke klacht in behandeling, maar zal meestal eerst waarschuwen en/of berispen.

Wees proactief (datalek-register) en laat zien dat u iets met de ‘schending’ heeft gedaan. Mocht u controle krijgen, werk dan zo goed mogelijk mee.

U hoeft echt niet zenuwachtig te worden van de hoge AVG-boetes die genoemd worden. Een klacht leidt vaak eerst tot een waarschuwing en/of berisping. Zorg dat u uw AVG-zaakjes op orde heeft en wees proactief bij een mogelijke controle.

The post Het nieuwe AVG-boetebeleid van de AP appeared first on top! communicatie.

Vijf concrete aanbevelingen verwerkingsregister

Dit zijn de aanbevelingen die de AP op basis van verkennend onderzoek naar het verwerkingsregister, in november 2018 naar buiten bracht.

1. Benoem hoe lang en met welk doel je persoonsgegevens wil bewaren. Onder de Europese privacywetgeving is het niet toegestaan persoonsgegevens langer te bewaren dan noodzakelijk is voor het doel waarmee ze verzameld zijn. Ook moeten organisaties kunnen motiveren waarom ze deze gegevens verzamelen.
2. Neem de contactgegevens van de verwerkingsverantwoordelijke op in het register.
3. Zorg voor een overzichtelijk bestand van alle verwerkingen van persoonsgegevens waarin gebruikers eenvoudig kunnen navigeren.
4. Geef duidelijk aan op welke locatie of in welk bestand persoonsgegevens bewaard worden en neem deze locaties of bestanden op in het register. Deze informatie is relevant als mensen een verzoek om inzage of verwijdering indienen.
5. Maak duidelijk welk doel bij welke verwerking hoort. Alleen een opsomming van de verwerkingen per afdeling in combinatie met een opsomming van de diverse doeleinden van de verwerkingen is niet voldoende.

Uw verwerkingsregister

Check of úw verwerkingsregister voldoet aan deze vijf aanbevelingen en pas het register eventueel aan. Heeft u al eerder ons model Verwerkingsregister gekocht? Dan hoeft u zich verder over deze aanbevelingen geen zorgen te maken.

Met ons Model Verwerkingsregister voldoet u aan de nieuwste aanbevelingen van de Autoriteit Persoonsgegevens. Neem contact op voor meer informatie.

The post Aanbevelingen verwerkingsregister AP (Autoriteit Persoonsgegevens) appeared first on top! communicatie.

Blij met Blokker

  Met accu, dat wel. Nu hoef ik niet alle apparatuur met een accu. Soms is dat wel handig, maar voor mij hoeft dat echt niet voor alles en nog wat. Ook niet voor een baardtrimmer; die accu’s gaan gewoonweg niet lang mee en dan kun je het hele ding weggooien. Maar u begrijpt het wel, er waren geen trimmers zonder accu meer te krijgen. En dus kocht ik er een mét accu. En u begrijpt ook wel dat die onlangs stuk ging. Althans, hij werkte nog prima, maar de accu wilde niet meer oplaaien en hij deed het ook niet met adapter. Dus ik terug naar Blokker.

  Sorry, geen bonnetje. Er zat nog garantie op. Dus ik zoeken naar het bonnetje. Hiervoor een hele stapel privé-administratie moeten doorworstelen. Het grote voordeel: mijn kantoor eindelijk eens opgeruimd. Ik kwam bonnetjes en garantiebewijzen van drie jaar oud tegen… pfff…. De bon van Blokker zat er echter niet tussen. Ik moest tóch een nieuwe trimmer hebben en dacht: “Eigen schuld, dikke bult, dan koop je maar een nieuwe”. De fiets op en naar Blokker. Ik zoek een nagenoeg dezelfde trimmer uit en loop naar de kassa.

  Een vriendelijke kassajuffrouw. Ik waagde het er maar op en zei tegen een heel vriendelijke kassajuffrouw: “Ik heb begin van het jaar een trimmer gekocht, waarvan de accu nu al niet meer oplaat. Ik heb echter geen bonnetje meer.” Ik zag de juffrouw kijken en denken: “Het staat hem anders heel erg goed, die wat langere baard”. Dat zei ze echter niet. In plaats daarvan zei ze wel: “Ik zal mijn leidinggevende even bellen wat we kunnen doen”, en ze belde haar leidinggevende die achter in het magazijn bezig was. Tijdens het gesprek vroeg ze me of ik indertijd gepind had; dat wist ik niet meer.

  Ongekende service. Hoogst verbaasd was ik toen de juffrouw (of zeg je tegenwoordig gewoon mevrouw?) de telefoon oplegde en zei dat ze hem wel gewoon wilde ruilen. Zonder bon en zonder ander aankoopbewijs. Wow! Dat is nog eens service.

  Dus: Blokker moet blijven. Geweldig is dat toch? Moeten alle winkels dit nu zo doen? Natuurlijk niet want er zullen altijd mensen zijn die er misbruik van maken. Maar ik word er wel heel blij van. Het maakte ook verder niet uit dat ik lang moest wachten totdat de juffrouw/mevrouw me uiteindelijk geholpen had. Er stonden drie mensen aan de kassa en ze was maar alleen in de winkel. En dat vond ík helemaal niet erg. Dus? Blokker moet blijven! Ze hebben het niet makkelijk en de familie heeft er al veel geld in gestoken. De kans blijft echter groot dat Blokker uit het straatbeeld gaat verdwijnen. De winkelketen staat sinds een tijdje te koop. Waar moeten we dan met z’n allen naar toe? Naar de Hema, waar het ook slecht gaat? Misschien toch maar allemaal ietsje minder op internet kopen en de winkeliers wat meer gunnen.

Blij met Fitbit

  Pech gehad. Op de Fitbit Charge 2 van mijn vrouw zat plotseling op onverklaarbare wijze (waarschijnlijk van het schilderen, verven of schuren) een kras op het glas. Jammer, maar ook nu: eigen schuld, dikke bult. Je hebt het tenslotte zelf gedaan en Fitbit kan daar ook niets aan doen. Ik heb toch maar een mailtje gestuurd en gevraagd of het glas misschien vervangen kon worden en zo. Binnen één dag had ik antwoord. Het glas kan niet vervangen worden! Of ik wel even een foto kon maken en die naar hun toe kon mailen. Ik moest wel een ‘case-nummer’ aan de foto toevoegen. Dit een paar dagen later gedaan? En wat denkt u? Na twee dagen viel er een nieuwe Fitbit in de bus! Wow! Dat is service of niet?

Nu hoeven echt niet alle winkeliers dat te doen, maar ik word er wél blij van!

Amerikaans?

Een te klein fietsje. Het doet me denken aan een voorbeeld uit de marketing literatuur. Een moeder koopt voor de verjaardag van haar dochtertje een klein fietsje in een typisch Amerikaans warenhuis. Het fietsje blijkt echter net te klein en de vader (wie anders?) wordt er op uitgestuurd om het fietsje te ruilen. Hij loopt in de winkel recht op de klantenbalie af en zegt dat zijn vrouw vorige week hier het fietsje heeft gekocht en dat hij dat nu wilt ruilen. De medewerker kijkt hem wat verward aan en roept de manager. Die zegt: “We zullen kijken wat we doen kunnen, meneer. Wilt u maandag misschien terugkomen?”

  Wow, dat is service! Thuisgekomen moppert hij tegen zijn vrouw dat ze hem niet meteen konden helpen. Dan blijkt dat hij naar het verkeerde warenhuis is gegaan. En daar verkopen ze helemaal geen fietsjes. ‘s Maandags gaat hij met lood in zijn schoenen naar de winkel. Daar staat een iets groter fietsje op hem te wachten. De manager is het fietsje bij de concurrent wezen ruilen.

Nu hoeven echt niet alle winkels dit te doen, maar ik word er wel héél blij van.

Fijne feestdagen…

The post Perikel: blij met Blokker en Fitbit appeared first on top! communicatie.

Wat moet ik met een verwerkingsregister? En is dat verplicht?

Een onderdeel van de documentatieplicht is het verwerkingsregister. Wilt u meer weten over het Verwerkingsregister? Neem contact op!

AVG: veilig persoonsgegevens verwijderen

Wanneer is privacyrisico-onderzoek (een DPIA) verplicht?

Dit moet u over datalekken en het datalek-register weten

Persoonsgegevens opslaan in een kluis

De AVG en de cookies van uw website

Verzoek om klantgegevens te verwijderen: wat moet u doen?

The post De belangrijkste AVG-vragen (en antwoorden) op een rijtje appeared first on top! communicatie.

Wanneer klantgegevens verwijderen?

U moet klantgegevens verwijderen (persoonsgegevens) als:

• deze niet meer nodig zijn voor de doelen waarvoor u de gegevens verwerkt;
• de betrokkene zijn eerder gegeven toestemming voor gebruik heeft ingetrokken;
• de betrokkene bezwaar maakt tegen het verwerken van zijn persoonsgegevens. Let op. Dit geldt alleen als het bezwaar gericht is tegen direct marketing. In andere gevallen moeten de belangen van de betrokkene zwaarder wegen dan het belang van uw organisatie;
• de verwerking onrechtmatig is (de wettelijke grondslag ontbreekt bijvoorbeeld);
• de bewaartermijn is verlopen.

En wanneer niet?

Soms hoeft u persoonsgegevens niet te verwijderen. Bijv. als de verwerking ervan noodzakelijk is voor de uitoefening van de vrijheid van meningsuiting en informatie of als het wettelijke verplicht is. Tip. De AVG kent ook een algemene uitzondering: het verzoek hoeft niet ingewilligd te worden als na belangenafweging blijkt dat de belangen van de organisatie zwaarder wegen dan het recht van de betrokkene.

Bestaande klanten

Als een bestaande klant u benaderd om zijn gegevens te wissen, is het allereerst van belang om zijn identiteit vast te stellen. Een telefoontje kan immers van iedereen afkomen. Dit kan bijv. door een e-mail of brief met een kopie van het legitimatiebewijs of inzage daarvan op kantoor.

Na ontvangst van het verzoek is het tijd om inzichtelijk te krijgen welke persoonsgegevens verwerkt worden door uw kantoor. Vallen de persoonsgegevens (of de verwerking hiervan) onder een van de hiervoor genoemde gronden? En zo ja, is er een uitzondering van toepassing? Veel gegevens worden bewaard in het kader van de Belastingwet en de Wwft vallen daarom onder de tweede uitzonderingsgrond. Gegevens die buiten de wettelijke verplichtingen vallen, moeten wel gewist of geanonimiseerd worden.

Potentiële klanten

Stel, u verwerkt persoonsgegevens van potentiële klanten om ze bijv. op de hoogte te stellen van nieuwe woningen die u in de verkoop heeft gekregen. Als u gevraagd wordt gegevens te verwijderen, zult u dat in de praktijk snel doen. Tenslotte verwerkt u deze gegevens (meestal) niet in het kader van een wettelijke verplichting. Gegeven toestemming zal bij een verzoek tot wissen vaak ingetrokken zijn of worden. Gegevens moeten dan gewist of geanonimiseerd worden. Let op. Dat geldt voor álle gegevens: gegevens in systemen, in de cloud en op papier. Denk dus aan uw mailingsysteem, uw lijst met contactpersonen, uw crm-systeem, uw boekhoudsysteem, enz.

Tot slot

Een verzoek tot wissen moet binnen één maand na indiening van het verzoek afgerond zijn. Bij zeer complexe zaken heeft u twee maanden de tijd, maar dit moet u binnen één maand gemotiveerd aan de betrokkene melden. Het is daarom zaak zo snel mogelijk met een verzoek te beginnen. Tip. Bij een bestaande klant zal het merendeel van de gegevens onder een wettelijke verplichting vallen. Bij potentiële klanten ligt dat vaak anders en moet er wel gewist of geanonimiseerd worden.

Van potentiële klanten zult u op verzoek meestal de persoonsgegevens binnen één maand moeten verwijderen of anonimiseren. De persoonsgegevens van bestaande klanten vallen meestal onder een wettelijke verplichte bewaartermijn. Na die termijn moet u ze wissen.

The post Verzoek tot klantgegevens verwijderen: wat speelt (AVG)? appeared first on top! communicatie.

Wat is een DPIA?

Sommige bedrijven zijn volgens de Algemene verordening gegevensbescherming (AVG) verplicht een data protection impact assessment (DPIA) uit te voeren. Hiermee brengt u de privacyrisico’s van een gegevensverwerking in kaar. Daarna kunt u maatregelen nemen om die risico’s te verkleinen.

Voor wie is een DPIA verplicht?

Een DPIA is alleen verplicht als een gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert voor de mensen van wie de organisatie gegevens verwerkt. Let op. Dit moet ú als verwerkingsverantwoordelijke wel zelf bepalen.

Wanneer is DPIA verplicht?

Formeel is een DPIA in ieder geval verplicht als u:

• systematisch en uitgebreid persoonlijke aspecten evalueert gebaseerd op geautomatiseerde verwerking, waaronder profiling (bijv. profielen opbouwen van websitebezoekers), en daarop besluiten baseert die gevolgen hebben voor mensen;
• op grote schaal bijzondere persoonsgegevens verwerkt of strafrechtelijke gegevens verwerkt;
• op grote schaal en systematisch mensen volgt in een publiek toegankelijk gebied (bijvoorbeeld met cameratoezicht).

Dat is allemaal een hele mond vol. Gelukkig is er nu een lijst met voorbeelden van werkingen van persoonsgegevens waarbij een DPIA verplicht is.

Download de lijst met verwerkingen van persoonsgegevens waarbij een DPIA verplicht.

Is een DPIA voor u verplicht? Wat dan?

En wat nu als u aan de slag moet? Een DPIA bestaat uit de volgende vier stappen:

• Stap 1. Breng in kaart welke persoonsgegevens verwerkt worden en de reden waarom.
• Stap 2. Bepaal of deze verwerkingen gerechtvaardigd zijn. Denk daarbij aan het kunnen uitvoeren van een overeenkomst, een gerechtvaardigd belang voor u als ondernemer of als u toestemming heeft van de betrokkene.
• Stap 3. Beoordeel de privacyrisico’s voor de betrokkenen.
• Stap 4. Bepaal maatregelen om de risico’s voor de betrokkenen te beperken.

De AP verwijst voor een handreiking voor de uitvoering van een DPIA naar de handreiking van de NOREA, de beroepsorganisatie van IT auditors.

Download hier eventueel de handreiking voor de uitvoering van de DPIA.

Dus moet ú zich druk maken?

Nee, meestal niet. Het geldt met name voor grote bedrijven en in geval u bijv.:

• als winkelier of horecaondernemer met een zwarte lijst werkt;
• als u camera’s heeft hangen;
• als u medewerkers controleert (e-mails, gps, e.d.); en
• in sommige gevallen van online marketing (als u bijv. een webshop heeft.

Breng sowieso in kaart welke persoonsgegevens u verwerkt en wat de privacyrisico’s zijn. Dat kan prima met een verwerkingsregister.

Wilt u een handig Model Verwerkingsregister? Neem contact op!

De meeste kleine ondernemingen zijn niet verplicht om een DPIA uit te voeren. Check aan de hand van de nieuwe lijst van de AP of u wel of niet verplicht bent dit te doen en breng uw verwerkingen van persoonsgegevens altijd in kaart met het verwerkingsregister.

The post DPIA: Wanneer is een privacyrisico-onderzoek verplicht? appeared first on top! communicatie.

Wat speelt er op dit moment?

Vermogensbeheerder Theodoor Gilissen moest onlangs een dwangsom (AVG-boete) betalen aan de Autoriteit Persoonsgegevens (AP).

De AP onderzocht onlangs ook 91 ziekenhuizen en 33 zorgverzekeraars. Maar er zijn meer ‘onderzoeken’ gaande. Zo deed de Volkskrant een test of diverse grote organisaties zouden slagen voor het AVG -examen. Dit was de uitkomst:

Volkskrant zaterdag 11 augustus 2018

• Ziggo > Gezakt
• Tele 2 > Geslaagd met vlag en wimpel
• Amazon > Gezakt
• Coolblue > Geslaagd
• Alibaba > Gezakt
• OV-chipkaart > Herkansing
• Zalando > Gezakt
• Marktplaats > Gezakt
• Bijenkorf > Geslaagd
• Albert Heyn > Gezakt

Moet de mkb-ondernemer zich nu zorgen maken?

Nee, zeker niet. Maar de mkb-ondernemer kan nu wel eens in kaart brengen welke risico’s hij/zij eigenlijk loopt. Welke persoonsgegevens door wie, waar, hoe binnen zijn bedrijf verwerkt worden.

Dat kan door een verwerkingsregister in te vullen. Voor sommige bedrijven is dat zelfs verplicht, maar het is voor iedereen aan te raden. We hebben daarvoor een model verwerkingsregister gemaakt (Excel). Het is makkelijk te begrijpen en te gebruiken én is voorzien van een checklist met uitleg. Blijkbaar zijn veel ondernemers hiermee geholpen.

Daarom hebben we het tegen een kleine vergoeding (v/a € 25) online gezet.  U kunt het hier downloaden.

Download het voorbeeld Verwerkingsregister

 

Lees ook alles over:

• Veilig persoonsgegevens verwijderen
• Omgaan met cookies
• Datalekken en het datalek-register
• Persoonsgegevens opbergen in een kluis

Download het voorbeeld Verwerkingsregister

 

The post Flinke AVG-boete – reden voor paniek? appeared first on top! communicatie.

Waarom een Datalek-register?

U kunt nooit alles onthouden. Weet u bijvoorbeeld nog of u of een werknemer vorig jaar in februari een mailtje met persoonsgegevens per ongeluk naar een verkeerd mailadres heeft gestuurd? En wat dan als u ooit controle krijgt? Tip. Leg daarom élk mogelijk datalek en mogelijk incident vast in dit register. Oók als u het niet gemeld heeft aan de Autoriteit Persoonsgegevens.

Het model Datalek-register

Het model Datalek-register is gemaakt in excel en bestaat uit 5 bladen:

• Blad 1. Het voorblad. Een korte inleiding.
• Blad 2. Updates. Hierin geeft u aan wanneer u het register heeft aangevuld.
• Blad 3. Incidenten. Van elk mogelijk incident moet u 13 gegevens registreren. Aan de hand van een voorbeeld ziet u wat en hoe.
• Blad 4. FAQ’s – Datalek-register. Aan de hand van 11 veel gestelde vragen met antwoorden krijgt u uitleg over datalekken en het register. U ziet hier ook verwijzingen naar externe bronnen en krijgt handige downloads aangeboden.
• Blad 5. Het 6-Stappenplan Datalek-registratie. Middels een stappenplan krijgt u inzicht wat u moet doen bij een datalek-incident.

Download het model

Het excelsheet is tegen een kleine vergoeding vanaf € 15 te verkrijgen.

The post Het model Datalek-register appeared first on top! communicatie.