Gegevensbeschermingsbeleid

Uit de AVG volgt een aantal concrete vereisten; daarnaast kunnen uit bepaalde beginselen en artikelen impliciete verplichtingen worden opgemaakt waaraan moet worden voldaan bij de verwerking van persoonsgegevens. Hieronder is een aantal vereisten kort uitgewerkt die tevens door de AP worden aangehaald als belangrijke verplichtingen.

Autoriteit Persoonsgegevens, Hoe voldoe ik aan de verantwoordingsplicht?, laatst geraadpleegd op 18 januari 2021, op https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/verantwoordingsplicht#ben-ik-verplicht-om-een-verwerkingsregister-op-te-stellen-7191.

Des te meer van deze documenten worden opgesteld en bijgehouden, des te beter is de verantwoordelijke in staat om te voldoen aan de verantwoordingsplicht (zie 2.3.7).

Een gegevensbeschermingsbeleid stelt een organisatie in staat om alle verwerkingen van persoonsgegevens in kaart te brengen; “het geeft personen wiens persoonsgegevens verwerkt worden inzicht in de organisatie en de mogelijkheden voor het uitoefenen van zijn of haar rechten”, aldus de AP.

Autoriteit Persoonsgegevens, Verkennend Onderzoek Gegevensbeschermingsbeleid, 17 april 2019, laatst geraadpleegd op 18 januari 2021, op https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/rapportage_verkennend_onderzoek_gegevenschermingsbeleid.pdf, p. 5.

Ondanks dat dit document erg lijkt op een privacyverklaring die organisaties opstellen om te voldoen aan de informatieplicht, zijn dit twee verschillende documenten.

In bepaalde gevallen (“wanneer zulks in verhouding staat tot de verwerkingsactiviteiten”) is het opstellen van een gegevensbeschermingsbeleid verplicht.

Art. 24 lid 2 AVG.

Of dat het geval is, hangt onder andere af van de aard, de omvang, de context en het doel van de verwerking. Volgens de AP zullen organisaties die grote hoeveelheden bijzondere persoonsgegevens verwerken, zoals ziekenhuizen, maar ook bijvoorbeeld bloedbanken en ivf-klinieken, hier in elk geval aan moeten voldoen.

Autoriteit Persoonsgegevens, Verkennend Onderzoek Gegevensbeschermingsbeleid, 17 april 2019, laatst geraadpleegd op 18 januari 2021, op

https://www.autoriteitpersoonsgegevens.nl/sites/default/files/atoms/files/rapportage_verkennend_onderzoek_gegevenschermingsbeleid.pdf, p. 7.

Let op!

De AVG stelt geen vereisten aan de vorm van het gegevensbeschermingsbeleid; wel dient het beleid periodiek te worden geëvalueerd. Het is aan te raden om hier een vaste frequentie voor te kiezen en een persoon aan te wijzen die deze taak op zich neemt. Het gegevensbeschermingsbeleid hoeft niet te worden gepubliceerd, maar de AP raadt dit wel aan. Het is raadzaam om in dat geval te beoordelen of bepaalde informatie, bijvoorbeeld over specifieke beveiligingsmaatregelen, niet beter intern kan worden gehouden.