GDPR
De nieuwe uitdagingen op het gebied van de bescherming van persoonsgegevens zijn het gevolg van technologische ontwikkeling en globalisering. De hoeveelheid persoonlijke gegevens die wordt verzameld en uitgewisseld, is de afgelopen jaren aanzienlijk toegenomen. Misbruik hiervan heeft geleid tot de oprichting van een nieuw wettelijk kader, de General Data Protection Regulation (GDPR). Deze verordening is het resultaat van decennialange inspanningen van het Europees Parlement en de Raad van de Europese Unie en trad in werking op 25 mei 2018. Het is van toepassing op alle EU-lidstaten en de Europese Economische Ruimte (EER). Maar zelfs als een organisatie zich niet in de EU bevindt, als deze persoonsgegevens van EU-burgers of inwoners
verwerkt, of goederen of diensten aan EU-burgers aanbiedt, is de GDPR op die organisatie van toepassing.
De GDPR legt strenge straffen op aan organisaties die de beveiligings- en privacystandaarden schenden, met boetes die kunnen oplopen tot miljoenen euro’s. De GDPR reguleert ook de verplaatsing van persoonlijke gegevens naar landen buiten de Europese Unie. Dit is alleen toegestaan in bepaalde situaties, namelijk als de landen voldoen aan een van de speciale voorwaarden:
- Het land staat op de lijst van landen waarvan de Europese Commissie heeft vastgesteld dat er een adequaat systeem is voor de bescherming van persoonsgegevens.
- Er is specifieke goedkeuring van de relevante EU-autoriteit voor gegevensbescherming voor de export van gegevens.
- Er is expliciete toestemming van de persoon van wie de gegevens worden verwerkt.
- De overdracht is noodzakelijk voor de uitvoering van een contract, de bescherming van vitale belangen of om redenen van algemeen belang.
- Er is een ander mechanisme dat passende beschermingsmaatregelen voor de overdracht bewijst, zoals het aannemen van bindende bedrijfsregels (BCR), het ondertekenen van standaardclausules voor gegevensbescherming, het aannemen van een gedragscode of certificering.
Wet Bescherming Persoonsgegevens in Servië
Om haar wetgeving in overeenstemming te brengen met het EU-kader op dit gebied, heeft de Republiek Servië op 13 november 2018 de wet inzake de bescherming van persoonsgegevens aangenomen (“Official Gazette of RS” nr. 87). Meer details over de Servische wet vind je hier: Link naar de wet.
Als uw organisatie gegevens verwerkt, moet u dit doen in overeenstemming met de zeven principes voor bescherming en verantwoordelijkheid die zijn vastgelegd in artikel 5 van de Wet Bescherming Persoonsgegevens:
- Gegevens moeten rechtmatig, eerlijk en transparant worden verwerkt.
- Gegevens moeten worden verwerkt voor legitieme doeleinden, die expliciet aan de betrokkene worden meegedeeld op het moment dat ze worden verzameld.
- Er mogen alleen gegevens worden verzameld en verwerkt die minimaal nodig zijn voor de vermelde doeleinden.
- Persoonlijke gegevens moeten accuraat en up-to-date worden gehouden.
- Persoonlijke gegevens mogen alleen worden opgeslagen zolang dat nodig is voor het opgegeven doel.
- De verwerking moet zorgen voor de juiste beveiliging, integriteit en vertrouwelijkheid (bijvoorbeeld door encryptie).
Overeenkomsten en Verschillen tussen GDPR en ISO 27701 Normen
De General Data Protection Regulation (GDPR) is verplicht voor organisaties die te maken hebben met juridische of fysieke entiteiten uit de EU, terwijl ISO 27701 verwijst naar vrijwillige certificering van beheersystemen voor persoonlijke gegevens. Bovendien omvat de GDPR het recht van consumenten om hun gegevens te laten wissen en om te bepalen hoe hun gegevens worden gedeeld met derden, iets waar de ISO 27701-norm niet specifiek op ingaat.
Volgens de verordening moeten organisaties toezichthoudende autoriteiten binnen 72 uur na ontdekking op de hoogte stellen van een inbreuk in verband met persoonsgegevens. Het belangrijkste verschil is dat GDPR vereist dat organisaties consumenten (of betrokkenen) op de hoogte stellen wanneer de inbreuk waarschijnlijk zal leiden tot hoge risico’s voor hun individuele rechten. De financiële sancties voor niet-naleving van de eisen op het gebied van cyberbeveiliging en gegevensverwerking onder de GDPR kunnen oplopen tot 4% van de wereldwijde omzet van de organisatie. Met zo’n hoge inzet kunnen bedrijven het zich niet veroorloven om de passende risicobeoordelingen en gegevensbescherming die ISO 27701 biedt, te verwaarlozen.
Door de certificering te behalen, kan een organisatie naleving van GDPR garanderen en de kans op kostbare boetes verkleinen. De certificering behandelt persoonlijke gegevens als informatiebeveiligingsactiva. Als zodanig zijn deze activa onderworpen aan beperkingen met betrekking tot opslag, bewaarperiode, verzameling en toegang, die ook GDPR-vereisten zijn. Terwijl GDPR reguleert hoe persoonlijke gegevens worden verzameld en verwerkt, biedt de standaard richtlijnen over hoe de verzamelde gegevens vertrouwelijk en veilig kunnen blijven.
De regelgeving voor gegevensprivacy wordt steeds complexer en elk jaar komen er nieuwe bepalingen en beschermingen bij. Organisaties die een strategisch voordeel willen behalen ten opzichte van hun concurrenten, zullen beveiligingsstandaarden moeten integreren in elk aspect van hun activiteiten. In sommige gevallen zijn organisaties verplicht om een functionaris voor gegevensbescherming (Data Protection Officer, DPO) aan te stellen.