Als kleine zelfstandige in België heb je te maken met verschillende wetten en regels op het gebied van gegevensbescherming en privacy. Een belangrijke wet die in dit kader genoemd moet worden, is de Algemene Verordening Gegevensbescherming (AVG wet), ook bekend als de General Data Protection Regulation (GDPR) in het Engels. In deze blog vertellen we je wat je als kleine zelfstandige moet weten over deze AVG wet en wat de gevolgen kunnen zijn als je niet aan de verplichtingen van de GDPR wetgeving voldoet.
Wat is de AVG wet?
De AVG wet is een Europese wet die is ingevoerd om de privacy van burgers beter te beschermen. De AVG wet is van toepassing op alle organisaties die persoonsgegevens verwerken en geldt ook in België. De AVG wet is opgebouwd rond vier pijlers: toestemming, meldingsplicht, transparantie en het recht om vergeten te worden. Het doel van de AVG wet is om de privacy van burgers beter te beschermen en om ervoor te zorgen dat persoonsgegevens op een correcte en transparante manier worden verwerkt.
Toestemming
Een van de belangrijkste pijlers van de AVG wet is toestemming. Dit betekent dat je als ondernemer alleen persoonsgegevens mag verwerken als je daarvoor de toestemming hebt gekregen van de betrokkene. De toestemming moet volgens de Europese privacy wetgeving vrijwillig worden gegeven, specifiek zijn en mag niet onder druk worden afgegeven.
Meldingsplicht
Als ondernemer ben je verplicht om een datalek te melden bij de Autoriteit Persoonsgegevens België en bij de betrokken personen als het lek een hoog risico inhoudt voor de rechten en vrijheden van de betrokkenen.
Transparantie
Als ondernemer ben je verplicht om duidelijk te communiceren over de verwerking van persoonsgegevens. Dit betekent dat je de betrokkenen moet informeren over welke gegevens je verwerkt, waarom je deze gegevens verwerkt en hoelang je deze gegevens bewaart.
Recht om vergeten te worden
De Europese wet op de privacy geeft betrokkenen het recht om vergeten te worden. Dit betekent dat zij kunnen verzoeken dat jij de persoonsgegevens die je verwerkt uit jouw bestanden verwijdert, tenzij er een heel goede reden is om de gegevens alsnog langer te bewaren.
Algemene verordening gegevensbescherming België & bescherming persoonsgegevens
Het beschermen van persoonsgegevens is een belangrijk onderdeel van de AVG wet. Persoonsgegevens zijn gegevens die direct of indirect kunnen worden herleid tot een persoon. Voorbeelden hiervan zijn namen, adresgegevens, telefoonnummers en e-mailadressen. Het is belangrijk om deze gegevens goed te beschermen tegen ongeautoriseerde toegang, diefstal of verlies.
GDPR wetgeving België en verplichtingen voor ondernemingen
Als ondernemer heb je verschillende verplichtingen die rechtstreeks of onrechtstreeks volgen uit de GDPR wetgeving. Zo mag je volgens de AVG wet enkel persoonsgegevens verwerken indien je daar een goede reden voor hebt. In veel gevallen zal je door de AVG wet verplicht zijn om de toestemming van de betrokkenen te vragen en te verkrijgen. Daarnaast is er ook een belangrijke transparantieverplichting om rekening mee te houden, net als een aantal andere verplichtingen.
Rechtsgrond voor verwerking
Als ondernemer moet je een goede rechtsgrond hebben voor de verwerking van persoonsgegevens. Een rechtsgrond kan zijn dat de verwerking noodzakelijk is voor de uitvoering van een overeenkomst, of dat de verwerking noodzakelijk is voor het nakomen van een wettelijke verplichting. Ook kan er toestemming worden gevraagd aan de betrokkene, maar hierbij moet je wel voldoen aan de eerdergenoemde voorwaarden.
Transparantieverplichting
Als ondernemer ben je verplicht om de betrokkenen te informeren over de verwerking van hun persoonsgegevens. Dit moet op een begrijpelijke en toegankelijke manier gebeuren. In veel gevallen betekent dit dat er bijvoorbeeld een privacyverklaring aan de website of aan de overeenkomst wordt toegevoegd.
Verwerking van bijzondere persoonsgegevens
Het verwerken van bijzondere persoonsgegevens, denk maar aan medische gegevens of strafrechtelijke gegevens, is in principe verboden. Dit mag enkel indien er een wettelijke uitzondering is. Als je deze gegevens toch wilt verwerken, moet je voldoen aan enorm strikte voorwaarden.
Data Protection Officer
Als onderneming ben je volgens de AVG wet verplicht om een Data Protection Officer (DPO) aan te stellen, althans indien je op grote schaal persoonsgegevens verwerkt of als je bijzondere persoonsgegevens verwerkt. De DPO moet toezichthouden op de verwerking van persoonsgegevens binnen de onderneming.
Beveiliging
Als ondernemer ben je volgens de AVG wet verantwoordelijk voor het beveiligen van de persoonsgegevens die je verwerkt. Dit betekent dat je passende technische en organisatorische maatregelen moet nemen om de persoonsgegevens te beschermen tegen verlies, diefstal of ongeautoriseerde toegang.
Gevolgen bij inbreuk op AVG wet
Wanneer je als ondernemer niet voldoet aan de verplichtingen uit de AVG wet, kan dat leiden tot boetes. Deze boetes kunnen miljoenen euro’s bedragen, afhankelijk van onder meer de jaaromzet van het bedrijf en het type inbreuk. Daarnaast kan je ook aansprakelijk worden gesteld en kan je te maken krijgen met imagoschade of reputatieschade. Het verlies van vertrouwen van klanten en andere stakeholders kan verregaande gevolgen hebben. Daarom is het belangrijk om netjes te voldoen aan de eisen van de AVG wet.
Veelgestelde vragen over de GDPR voor ondernemers
Als ondernemer heb je wellicht nog vragen over de AVG wet en wat dit voor jouw onderneming betekent. Hieronder hebben we een aantal veelgestelde vragen voor je op een rijtje gezet.
- Welke persoonsgegevens mag ik verwerken?
Als ondernemer mag je alleen persoonsgegevens verwerken als je daarvoor een goede rechtsgrond hebt, zoals toestemming, noodzakelijkheid voor de uitvoering van een overeenkomst of wettelijke verplichting. Verder mag je alleen die persoonsgegevens verwerken die relevant zijn voor het doel van de verwerking. Bijzondere persoonsgegevens, zoals medische gegevens of godsdienstige overtuiging, mag je in principe niet verwerken.
- Wat moet ik doen bij een datalek?
Indien je als ondernemer te maken krijgt met een datalek, ben je verplicht om dit te melden bij de Autoriteit Persoonsgegevens België en bij de betrokken personen als het lek een hoog risico inhoudt voor de rechten en vrijheden van de betrokkenen. Daarnaast moet je er alles aan doen om verdere schade te voorkomen en om het lek te dichten.
- Hoelang mag ik persoonsgegevens bewaren?
Als ondernemer mag je persoonsgegevens niet langer bewaren dan nodig is voor het doel van de verwerking. Je moet hierbij rekening houden met wettelijke bewaartermijnen en met eventuele contractuele afspraken. Als de bewaartermijn is verstreken, moet je de persoonsgegevens verwijderen.
