Op 14 april 2016 is de Algemene Verordening Gegevensbescherming (“AVG”) formeel aangenomen. Dit betekent dat de AVG over twee jaar daadwerkelijk in werking treedt.
Ondernemingen die persoonsgegevens verwerken, hebben dus nog twee jaar om zich op de AVG voor te bereiden. Dit lijkt wellicht een lange tijd, maar gezien de verschillen tussen de huidige privacy wetgeving en de AVG is het verstandig om nu al met de voorbereidingen te starten.
De AVG verlangt, meer nog dan de huidige wetgeving, dat de verantwoordelijke in control is ten aanzien van de volledige verwerking van persoonsgegevens, van het moment van verkrijging tot het moment van vernietiging (de data lifecycle). Dit vereist dat ondernemingen volledig inzicht hebben in de datastromen en de locatie van hun gegevens. Ook dienen er Privacy Impact Assessments (“PIA’s”) en risicoanalyses uitgevoerd te worden. Daarnaast is er nog een aantal andere, nieuwe verplichtingen die op ondernemingen komen te rusten.
Om meer inzicht te krijgen in de nieuwe vereisten die de AVG met zich mee brengt, zullen we om de week een specifiek onderwerp uit de AVG behandelen.
Voordat we naar de inhoud van de AVG gaan kijken, zetten we in deze blog eerst uiteen op welke wijze de AVG afwijkt van het huidig regelgevend kader op het gebied van gegevensbescherming dat niet op een Verordening maar een Richtlijn is gebaseerd.
Wat is het verschil tussen een richtlijn en een verordening?
Een richtlijn is gericht tot lidstaten en is verbindend ten aanzien van het te bereiken resultaat. Dit betekent dat het aan de nationale instanties over wordt gelaten om de vorm en middelen te kiezen waarmee het doel van de richtlijn wordt gerealiseerd. De richtlijn bevat een resultaatverplichting en is er op gericht om uiteenlopende wetgeving van verschillende lidstaten op elkaar af te stemmen. Dit wordt harmonisatie genoemd. Belangrijk is dat de bepalingen uit een richtlijn eerst omgezet moeten worden in nationale wetgeving voordat ze werking hebben. Doordat elke lidstaat een eigen implementatie uitvoert, bestaat de kans op verschillen in implementatie en interpretatie.
Op dit moment zijn de regels omtrent gegevensbescherming te vinden in de Wet bescherming persoonsgegevens (Wbp). Deze wet is een omzetting van de Privacyrichtlijn. Wanneer de regels uit de verordening van kracht worden, zal de Wbp plaats moeten maken.
Een verordening heeft juist algemene strekking, is verbindend in al haar onderdelen en is rechtstreeks toepasselijk in elke lidstaat. De verordening mag, in tegenstelling tot de richtlijn, niet worden omgezet in nationaal recht en is gericht tot eenieder. Het doel van een verordening is dat er geen verschillen bestaan tussen de inhoud van de verordening en de nationale wetgeving van lidstaten.
Lees hier de volledige tekst van de AVG.
Met dank aan Jules van Engelen
