Juridische diensten

AVG: conformiteit voor Belgische ondernemingen

12 maart 202610 min leestijd

Inleiding

De Algemene Verordening Gegevensbescherming (AVG), van toepassing sinds 25 mei 2018, legt strenge verplichtingen op aan alle ondernemingen die persoonsgegevens van Europese inwoners verwerken. In België waakt de Gegevensbeschermingsautoriteit (GBA) over de naleving van deze regels en kan zij aanzienlijke sancties opleggen.

De fundamentele beginselen van de AVG

De 7 kernbeginselen

De AVG berust op zeven beginselen die elke onderneming moet naleven:

1Rechtmatigheid, behoorlijkheid en transparantie: betrokkenen duidelijk informeren

2Doelbinding: gegevens verzamelen voor welbepaalde doeleinden

3Dataminimalisatie: enkel strikt noodzakelijke gegevens verzamelen

4Juistheid: gegevens actueel houden

5Opslagbeperking: gegevens niet langer bewaren dan nodig

6Integriteit en vertrouwelijkheid: de beveiliging van gegevens waarborgen

7Verantwoordingsplicht (accountability): conformiteit kunnen aantonen

De rechtsgronden voor verwerking

Om persoonsgegevens te verwerken, moet u beschikken over minstens één rechtsgrond:

De toestemming van de betrokkene
De uitvoering van een overeenkomst
Een wettelijke verplichting
De bescherming van vitale belangen
De uitvoering van een taak van algemeen belang
De gerechtvaardigde belangen van de verwerkingsverantwoordelijke

De concrete verplichtingen voor uw onderneming

1. Het verwerkingsregister

Elke onderneming met meer dan 250 werknemers (of die gevoelige gegevens verwerkt) moet een verwerkingsregister bijhouden. In de praktijk beveelt de GBA alle ondernemingen aan dit register bij te houden. Het moet bevatten:

De doeleinden van elke verwerking
De categorieën verwerkte gegevens
De ontvangers van de gegevens
De bewaartermijnen
De getroffen beveiligingsmaatregelen

2. Informatie aan betrokkenen

U moet personen wier gegevens u verwerkt informeren via een duidelijk en toegankelijk privacybeleid, dat bevat:

De identiteit van de verwerkingsverantwoordelijke
De doeleinden en rechtsgronden van de verwerkingen
De ontvangers van de gegevens
De rechten van betrokkenen (inzage, rectificatie, wissing, overdraagbaarheid, bezwaar)
De bewaartermijnen
Het recht om een klacht in te dienen bij de GBA

3. De DPO (Data Protection Officer)

De aanstelling van een DPO is verplicht als:

U een overheidsinstantie of publiek orgaan bent
Uw kernactiviteiten regelmatige en systematische monitoring op grote schaal inhouden
U op grote schaal gevoelige gegevens verwerkt (gezondheid, veroordelingen, enz.)

Zelfs als niet verplicht, wordt het aanstellen van een DPO aanbevolen. De DPO kan een werknemer of externe dienstverlener zijn.

4. De gegevensbeschermingseffectbeoordeling (GEB)

Een GEB is vereist wanneer de verwerking waarschijnlijk een hoog risico inhoudt voor de rechten van betrokkenen, met name bij:

Geautomatiseerde profilering met juridische gevolgen
Grootschalige verwerking van gevoelige gegevens
Systematische monitoring van een publiek toegankelijke zone
Gebruik van nieuwe technologieën

5. Melding van datalekken

Bij een datalek (lekkage, hacking, verlies) moet u:

De GBA melden binnen 72 uur als het lek een risico vormt voor betrokkenen
De betrokkenen informeren als het risico hoog is
Alle inbreuken documenteren, zelfs kleine

Sancties van de Belgische GBA

Sanctiebevoegdheden

De Belgische GBA beschikt over ruime bevoegdheden:

Waarschuwingen en ingebrekestellingen
Bevelen tot conformiteit
Administratieve boetes tot:
10 miljoen EUR of 2% van de wereldwijde omzet (minder ernstige inbreuken)
20 miljoen EUR of 4% van de wereldwijde omzet (ernstigste inbreuken)

Voorbeelden van recente sancties

De Belgische GBA heeft reeds meerdere significante sancties opgelegd aan Belgische ondernemingen voor niet-naleving van de AVG, met name wegens gebrek aan toestemming, onvoldoende transparantie of afwezigheid van adequate beveiligingsmaatregelen.

Actieplan voor conformiteit

De essentiële stappen

1Inventariseren van al uw verwerkingen van persoonsgegevens

2Opstellen van het verwerkingsregister

3Opstellen of bijwerken van uw privacybeleid

4Controleren van de rechtsgronden van elke verwerking

5Implementeren van procedures voor beheer van betrokkenenrechten

6Beveiligen van uw gegevens (versleuteling, toegangscontrole, back-ups)

7Opleiden van uw werknemers inzake gegevensbescherming

8Aanstellen van een DPO indien nodig

Conclusie

Wilt u uw onderneming in overeenstemming brengen met de AVG? LegalBelgique begeleidt u bij alle stappen, van de initiële audit tot de volledige conformiteit. Onze gespecialiseerde juridische adviseurs helpen u uw onderneming en de gegevens van uw klanten te beschermen.

Begeleiding nodig?

Onze experts staan klaar om u te begeleiden bij uw juridische en administratieve procedures in België.

Contacteer ons