thumb|Overzicht algemene verordening gegevensbescherming De Algemene Verordening Gegevensbescherming (AVG) is de Europese verordening voor de bescherming van persoonsgegevens, die op 25 mei 2018 in alle EU-lidstaten van kracht werd. Zij versterkt de grondrechten van de burgers in het digitale tijdperk en bevordert het handelsverkeer door de regels voor bedrijven in de digitale eengemaakte markt te verduidelijken. De AVG (met rechtstreekse werking) standaardiseert de regels voor de verwerking van persoonsgegevens door particuliere bedrijven en overheidsinstanties in de hele Europese Unie. Volgens overweging 18 en artikel 2.2, aanhef en onder c, is de verordening niet van toepassing op de verwerking van persoonsgegevens door een natuurlijke persoon in het kader van een louter persoonlijke of huishoudelijke activiteit die als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit.
Het doel is niet alleen om de bescherming van persoonsgegevens binnen de Europese Unie te garanderen, maar ook om het vrije verkeer van gegevens binnen de Europese interne markt te waarborgen. De verordening geldt wereldwijd voor alle ondernemingen en organisaties die persoonsgegevens bijhouden en verwerken van natuurlijke personen in de Europese Unie, onafhankelijk of er al dan niet betaald wordt voor diensten of producten.
De verordening verving de databeschermingsrichtlijn uit 1995, die niet meer op de huidige digitale wereld aansloot.
De AVG is in mei 2016 in werking getreden. Organisaties kregen tot 25 mei 2018 de tijd om hun bedrijfsvoering met de AVG in overeenstemming brengen. De maximale boete is 20 miljoen euro of 4% van de jaarlijkse wereldwijde omzet in het geval van een grote onderneming, waarbij de hoogste variant geldt.
Voor opsporingsinstanties en het Openbaar Ministerie geldt aparte privacywetgeving.
Voorgeschiedenis Reeds in de 19e en 20e eeuw werden de grote principes inzake privacy vooropgesteld. Dit leidde na de Tweede Wereldoorlog tot een reeks internationale verdragen.
Binnen de Europese Unie kwam in 1995 de databeschermingsrichtlijn tot stand. In januari 2012 stelde de Europese Commissie een grondige hervorming voor van de databeschermingsrichtlijn uit 1995, waarop in maart 2012 zowel de Europees Toezichthouder voor gegevensbescherming als de Werkgroep Artikel 29 (de voorloper van het Europees Comité voor gegevensbescherming) advies uitbrachten. Op 12 maart 2014 keurde het Europees Parlement een eerste versie van de AVG met een overweldigende meerderheid goed. Het zou dan nog tot december 2015 duren alvorens het Parlement, de Europese Raad en de Commissie tot een finale tekst besloten, die op 24 mei 2016 in werking is getreden, met een overgangsperiode van twee jaar.
Definitie persoonsgegevens Persoonsgegevens zijn gegevens die aan een individu verbonden kunnen worden, of waarmee een individu kan worden geïdentificeerd, bijvoorbeeld naam, foto, telefoonnummer, adres, bankrekeningnummer, e-mailadres, IP-adres, vingerafdruk en medische data.
In artikel 4, eerste lid, AVG worden persoonsgegevens gedefinieerd als "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon".
Hiertoe legde het Hof van Justitie van de Europese Unie in antwoord op een prejudiciële vraag in Nowak/DPC (C-434/16) het volgende uit:
De volgende regels moeten worden gevolgd wanneer het om persoonsgegevens gaat: transparantie: de persoon van wie de gegevens verwerkt worden, is hiervan op de hoogte, heeft hiervoor toestemming gegeven en kent zijn rechten. doelbeperking: de persoonsgegevens worden voor een welbepaald gewettigd doel verzameld, en mogen niet voor andere zaken gebruikt worden gegevensbeperking: enkel de gegevens die voor het beoogde doel noodzakelijk zijn, mogen worden verzameld juistheid: de persoonsgegevens moeten correct zijn en blijven bewaarbeperking: de persoonsgegevens mogen niet langer bewaard worden dan nodig voor het beoogde doel integriteit en vertrouwelijkheid: de persoonsgegevens moeten beschermd worden tegen toegang door onbevoegden, verlies of vernietiging verantwoording: de verantwoordelijke moet kunnen aantonen aan deze regels te voldoen
Inhoud Toepassingsgebied De verordening is van toepassing indien de voor de verwerking verantwoordelijke, een organisatie die gegevens verzamelt van EU burgers, of een verwerker, een organisatie die gegevens verwerkt namens voor de verwerking verantwoordelijke zoals cloud-dienstverleners of namens de betrokkene (persoon), in de EU is gevestigd. De verordening is ook van toepassing op buiten de EU gevestigde organisaties die persoonsgegevens verzamelen of verwerken van binnen de EU gevestigde personen. Volgens de Europese Commissie "zijn persoonsgegevens alle gegevens die betrekking hebben op een individu, ongeacht of het gaat om zijn privé-, beroeps- of openbare leven. Het kan gaan om een naam, een huisadres, een foto, een e-mailadres, bankgegevens, berichten op sociale netwerksites, medische informatie of het IP-adres van een computer." Het maakt hierbij niet uit of de gegevens elektronisch of op papier worden verwerkt.
De verordening is niet bedoeld om van toepassing te zijn op de verwerking van persoonsgegevens voor activiteiten op het gebied van nationale veiligheid of rechtshandhaving in de EU; industriële groepen die zich zorgen maken over mogelijke wetsconflicten hebben zich echter afgevraagd of artikel 48 van de AVG kan worden ingeroepen om te proberen te voorkomen dat een voor de verwerking verantwoordelijke die onder de wetgeving van een derde land valt, zich houdt aan een rechtsorde van de wetshandhavings-, gerechtelijke of nationale veiligheidsinstanties van dat land om aan die autoriteiten de persoonsgegevens van een persoon uit de EU bekend te maken, ongeacht of de gegevens zich in of uit de EU bevinden. Artikel 48 bepaalt dat een rechterlijke beslissing van een rechterlijke instantie en een beslissing van een administratieve autoriteit van een derde land die een voor de verwerking verantwoordelijke of verwerker ertoe verplicht persoonsgegevens door te geven of openbaar te maken, alleen erkend of afdwingbaar kan zijn op grond van een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtshulp dat van kracht is tussen het verzoekende derde land (niet-EU) en de EU of een lidstaat. Het hervormingspakket inzake gegevensbescherming omvat ook een afzonderlijke gegevensbeschermingsrichtlijn voor de politiële en strafrechtelijke sector die regels bevat voor de uitwisseling van persoonsgegevens op nationaal, Europees en internationaal niveau.
Eén set regels en één loket Voor alle lidstaten van de EU gelden dezelfde regels. Elke lidstaat dient een onafhankelijke gegevensbeschermingsautoriteit te hebben om klachten te behandelen en te onderzoeken, administratieve overtredingen te bestraffen, enz. De toezichthoudende autoriteiten in elke lidstaat werken samen met andere toezichthoudende autoriteiten, verlenen wederzijdse bijstand en organiseren gezamenlijke acties. Indien een bedrijf in de EU meerdere vestigingen heeft, zal het één enkele toezichthoudende autoriteit als "leidende autoriteit" hebben, gebaseerd op de locatie van zijn "hoofdvestiging" waar de belangrijkste verwerkingsactiviteiten plaatsvinden. Het Europees Comité voor gegevensbescherming coördineert de toezichthoudende autoriteiten. Dit Comité vervangt de werkgroep artikel 29.
Er zijn uitzonderingen voor gegevens die in het kader van de werkgelegenheid of de nationale veiligheid worden verwerkt en die nog steeds onderworpen kunnen zijn aan individuele nationale regelgeving (artikel 2, lid 2, onder a), en artikel 82 van de AVG).
Verantwoordelijkheid en verantwoordingsplicht De aankondigingseisen blijven gehandhaafd en worden uitgebreid. Zij moeten de bewaartermijn voor persoonsgegevens bevatten en er moet contactinformatie worden verstrekt aan de verantwoordelijke voor de verwerking en de functionaris voor gegevensbescherming.
Geautomatiseerde individuele besluitvorming, met inbegrip van profilering (artikel 22), kan worden betwist, net als in de databeschermingsrichtlijn (artikel 15). Burgers hebben het recht om vragen te stellen en te strijden tegen belangrijke beslissingen die hen betreffen en slechts op algoritmische basis zijn genomen.
Om aan te kunnen tonen dat de AVG wordt nageleefd, moet de voor de verwerking verantwoordelijke maatregelen nemen die voldoen aan de beginselen van gegevensbescherming door ontwerp (privacy by design) en gegevensbescherming door standaardinstellingen (privacy by default). Volgens gegevensbescherming door ontwerp en gegevensbescherming door standaardinstellingen (artikel 25) moeten gegevensbeschermingsmaatregelen worden ontworpen voor de ontwikkeling van bedrijfsprocessen voor producten en diensten. Dergelijke maatregelen omvatten onder meer zo spoedig mogelijke pseudonimisering van persoonsgegevens door de voor de verwerking verantwoordelijke (overweging 78).
Het is de verantwoordelijkheid en aansprakelijkheid van de voor de verwerking verantwoordelijke om effectieve maatregelen te treffen en de conformiteit van de verwerkingsactiviteiten aan te tonen, zelfs als de verwerking wordt uitgevoerd door een gegevensverwerker namens de voor de verwerking verantwoordelijke. (overweging 74).
Bij specifieke risico's voor de rechten en vrijheden van de betrokkenen moeten gegevensbeschermingseffectbeoordelingen (artikel 35) worden uitgevoerd. Risicobeoordeling en risicobeperking is vereist en voorafgaande goedkeuring van de nationale gegevensbeschermingsautoriteiten is vereist voor grote risico' s. Er zijn gegevensbeschermingsfunctionarissen (artikelen 37-39) nodig om de naleving binnen organisaties te waarborgen.
Zij moeten worden benoemd:
voor alle overheidsinstanties, met uitzondering van rechterlijke instanties die in hun hoedanigheid van rechter optreden; indien de kernactiviteiten van de voor de verwerking verantwoordelijke of de verwerker als volgt zijn: verwerkingen die vanwege hun aard, reikwijdte en/of doeleinden vereisen dat de betrokkenen op grote schaal regelmatig en systematisch worden gevolgd; verwerking op grote schaal van speciale categorieën van gegevens overeenkomstig artikel 9 en persoonsgegevens in verband met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10.
Wettelijke basis voor verwerking Gegevens mogen niet worden verwerkt tenzij er ten minste één wettelijke basis is om dit te doen: De betrokkene heeft toestemming gegeven voor de verwerking van persoonsgegevens voor een of meer specifieke doeleinden. Verwerking is noodzakelijk voor de uitvoering van een contract waar betrokkene deel van is of om op verzoek van de betrokkene stappen te ondernemen voordat hij een contract sluit. Verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting waaraan de voor de verwerking verantwoordelijke is onderworpen. Verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te behartigen. De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of voor de uitoefening van officiële autoriteit van de voor de verwerking verantwoordelijke. Verwerking is noodzakelijk met het oog op de rechtmatige belangen die door de voor de verwerking verantwoordelijke of door een derde worden behartigd, tenzij de belangen of fundamentele rechten en vrijheden van de betrokkene, die bescherming van persoonsgegevens vereisen, prevaleren boven deze rechtmatige belangen, met name wanneer de betrokkene een kind is.
Toestemming