Wat regelt de AVG?
De AVG gaat over persoonsgegevens: alle informatie over een persoon die je kunt identificeren. Dat kan direct, met een naam, of indirect, bijvoorbeeld met locatiegegevens of een online identificator. IP-adressen en identificatiecookies zijn voorbeelden van zulke online identificatoren.
Je mag persoonsgegevens alleen verwerken als je een van de zes grondslagen uit artikel 6 hebt:
- Toestemming: de persoon geeft toestemming voor een of meer specifieke doelen.
- Overeenkomst: je hebt de gegevens nodig om een contract uit te voeren, zoals een bestelling.
- Wettelijke plicht: een wet verplicht je tot de verwerking.
- Vitaal belang: de verwerking beschermt de vitale belangen van de persoon of van iemand anders.
- Algemeen belang: je voert een taak van algemeen belang of van openbaar gezag uit.
- Gerechtvaardigd belang: de verwerking is nodig voor jouw belang of dat van een ander, en de belangen en grondrechten van de persoon wegen niet zwaarder.
Welke rechten en boetes kent de AVG?
De mensen van wie je gegevens verwerkt, heten in de AVG betrokkenen. Ze hebben onder meer recht op inzage, correctie en verwijdering van hun gegevens. Dat laatste heet ook het recht op vergetelheid. In bepaalde gevallen mogen ze hun gegevens ook meenemen naar een andere partij of bezwaar maken tegen een verwerking.
Tegen direct marketing kan iemand altijd bezwaar maken. Daarna mag je de gegevens niet meer voor direct marketing gebruiken. Gaf iemand toestemming, dan moet intrekken net zo makkelijk zijn als het geven ervan.
In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthouder. Bij de zwaarste overtredingen kan een boete oplopen tot 20 miljoen euro. Voor een onderneming ligt het maximum op 4% van de wereldwijde jaaromzet, als dat bedrag hoger is.
Voorbeeld: de AVG bij een webshop
Webwinkel Groenhart verkoopt kamerplanten vanuit Amersfoort. Voor elke verwerking kiest de winkel een grondslag:
- Bestellingen: naam en adres zijn nodig om de plant te bezorgen. Grondslag: de overeenkomst.
- Nieuwsbrief: alleen voor mensen die zich zelf aanmelden, via een opt-in. Grondslag: toestemming.
- Facturen: de winkel moet ze bewaren voor de Belastingdienst. Grondslag: een wettelijke plicht.
Komt het klantenbestand door een hack bij onbevoegden terecht, dan is er sprake van een datalek. Ook daarvoor geeft de AVG regels.
Verwar de AVG niet met
- Cookiewet: de regels voor cookies staan in artikel 11.7a van de Telecommunicatiewet. Die regels gelden naast de AVG, niet in plaats ervan.
- Wbp: de Wet bescherming persoonsgegevens gold in Nederland vóór de AVG. De Uitvoeringswet AVG heeft die wet ingetrokken.
Veelgestelde vragen over AVG
Waar staat AVG voor?
AVG staat voor Algemene verordening gegevensbescherming. Het is de Europese privacywet die sinds 25 mei 2018 geldt. In het Engels heet ze General Data Protection Regulation, afgekort GDPR.
Wat is het verschil tussen de AVG en de GDPR?
Er is geen verschil. AVG is de Nederlandse naam en GDPR de Engelse. Beide namen gaan over dezelfde wet: Verordening (EU) 2016/679.
Geldt de AVG ook voor kleine bedrijven?
Ja. Verwerk je gegevens van klanten of medewerkers, dan geldt de AVG, ook voor een zzp’er of een kleine webshop. Puur persoonlijk of huishoudelijk gebruik valt er wel buiten.