24@7 Consultancy

Wat betekent de GDPR voor bedrijven?

Op 25 mei 2018 zullen bedrijven die persoonsgegevens verzamelen, volledig moeten voldoen aan de nieuwe set regels van de GDPR. Met persoonsgegevens wordt alle informatie bedoeld waarmee iemand geïdentificeerd kan worden: een naam, adres, telefoonnummer, e-mailadres, foto, en vele andere factoren. Hier lees je wat nu wel en niet als persoonsgegeven wordt beschouwd.

De voornaamste vernieuwingen in de GDPR draaien rond vier pijlers:

1. Transparantie: Bedrijven moeten burgers informeren over hoe de data wordt verzameld en verwerkt, en dat op een begrijpelijke manier.

2. Data-overdracht: Burgers zullen hun gegevens kunnen overdragen van de ene dienstverlener naar de andere, bijvoorbeeld om van telecomoperator te wisselen.

3. Recht om vergeten te worden: Bedrijven moeten persoonsgegevens kunnen wissen als de persoon in kwestie daarom vraagt, en als er geen geldig tegenargument gegeven kan worden – ook als de data inmiddels gedeeld is met derde partijen.

4. Meldplicht bij datalekken: Bedrijven zijn verplicht een datalek te melden binnen de 72 uur, tenzij kan worden aangetoond dat het lek geen gevaar is voor de verzamelde persoonsgegevens.

Om die regels na te leven, moeten bedrijven exact weten waar ze persoonsgegevens verzamelen, en hoe deze beschermd en verwerkt worden. Daarom is het voor bepaalde bedrijven aangeraden om een data protection officer aan te nemen; iemand die instaat voor de handhaving van de GDPR binnen het bedrijf.

Op 6 oktober zijn van beide normen de 2015 versies door de NEN gepubliceerd. Dat betekent dat bedrijven zich nu volgens deze nieuwe versies kunnen laten certificeren. Voor bedrijven die een lopend certificaat hebben, gaat nu een overgangsperiode van 3 jaar in. Zij kunnen overgaan op de 2015 versie bij vernieuwen van hun certificaat.

De grootste wijziging van deze normen is, naast de indeling van de norm volgens de HLS (High Level Structure), dat kwaliteitsbeleid en milieubeleid gebaseerd moet zijn op een risico- en kansen afweging. De verplichte procedures en registraties zijn verdwenen en daarvoor in de plaats komen registraties of instructies op basis van de risico/kansen afweging.

Dit heeft als gevolg dat de implementatie nu wat anders verloopt: eerst wordt de risico/kansen afweging opgesteld. Op basis van de hier gevonden risico’s en kansen worden maatregelen bepaald. Dan wordt beleid opgesteld en vertaald in een plan van aanpak. Op basis daarvan wordt dan het handboek opgesteld en worden implementaties uitgevoerd.