De AVG-plichtenkaart hieronder geeft de zes kernverplichtingen waar iedere verwerkingsverantwoordelijke aan moet voldoen. Open een blok voor de concrete verplichting, de artikelen en de verwijzing naar de Autoriteit Persoonsgegevens (AP).
AVG-plichtenkaart
Wat wordt er van u verwacht?
Op grond van artikel 30 van de AVG bent u verplicht een verwerkingsregister bij te houden. Dit is geen interne aangelegenheid: de AP kan het register opvragen bij een controle. Een deugdelijk register bevat per verwerking:
- naam en contactgegevens van de verwerkingsverantwoordelijke (en eventueel de FG);
- doeleinden van de verwerking;
- categorieën van betrokkenen en van persoonsgegevens;
- categorieën van ontvangers;
- doorgifte aan derde landen (en de waarborgen daarbij);
- bewaartermijnen (of de criteria om die te bepalen);
- een beschrijving van de technische en organisatorische beveiligingsmaatregelen.
Toezichthouder: Autoriteit Persoonsgegevens — Model verwerkingsregister. Organisaties met minder dan 250 medewerkers hebben een lichte verlichting, maar moeten wél registreren zodra de verwerking niet incidenteel is, bijzondere persoonsgegevens bevat of een risico inhoudt.
Wanneer is een DPIA verplicht?
Artikel 35 van de AVG verplicht u een Data Protection Impact Assessment (DPIA, in het Nederlands: gegevensbeschermingseffectbeoordeling) uit te voeren wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen. De AP heeft een lijst gepubliceerd van verwerkingen waarvoor altijd een DPIA nodig is, bijvoorbeeld:
- systemen voor grootschalige profilering of scoring;
- verwerking van bijzondere persoonsgegevens op grote schaal;
- systemen voor cameratoezicht op openbare plaatsen;
- combinaties of koppelingen van gegevens uit verschillende bronnen.
Een DPIA bestaat uit een beschrijving van de verwerking, een beoordeling van de noodzaak en evenredigheid, een risico-inschatting en de maatregelen om die risico's te beperken.
Toezichthouder: AP — DPIA-richtsnoer. Voorafgaand overleg met de AP is mogelijk bij resterend hoog risico (art. 36 AVG).
Wat is een datalek en wanneer meldt u het?
Een datalek is een inbreuk op de beveiliging die leidt tot verlies, ongeautoriseerde toegang of vrijgave van persoonsgegevens (art. 4 lid 12 AVG). Bij een datlek geldt een dubbele meldplicht:
- Aan de AP (art. 33): meld het lek zo snel mogelijk en uiterlijk 72 uur nadat u er kennis van heeft genomen. Doe dit ook buiten kantoortijd — het 72-uur-tijdvak loopt door.
- Aan betrokkenen (art. 34): wanneer het datalek waarschijnlijk een hoog risico inhoudt voor hun rechten en vrijheden, informeert u hen onverwijld.
Documenteer ieder datalek intern, ook als u het niet hoeft te melden — u moet kunnen aantonen dat u aan de verantwoordingsplicht (art. 5 lid 2) voldoet.
Toezichthouder: AP — Meldpunt datalekken. Voor de boeteregeling: de AP kan boetes opleggen tot 4% van de wereldwijde jaaromzet of € 20 miljoen, afhankelijk van welk bedrag hoger is.
Wie moet een FG aanstellen?
Op grond van artikel 37 van de AVG moet u een Functionaris gegevensbescherming (FG, of DPO) aanwijzen in elk van deze gevallen:
- de verwerking wordt verricht door een overheidsinstantie of openbaar lichaam (met uitzondering van rechterlijke instanties);
- de kernactiviteiten bestaan uit het op grote schaal monitoren van betrokkenen;
- de kernactiviteiten bestaan uit het op grote schaal verwerken van bijzondere persoonsgegevens (art. 9) of strafrechtelijke gegevens (art. 10).
De FG wordt benoemd op grond van zijn of haar professionele kwaliteiten, mag geen instructies ontvangen over de uitvoering van taken, en rapporteert rechtstreeks aan de hoogste leidinggevende. Een FG kan een werknemer zijn of een externe dienstverlener — maar in beide gevallen moet onafhankelijkheid zijn gewaarborgd.
Toezichthouder: AP — Functionaris gegevensbescherming. Voor de formele aanmelding gebruikt u het online meldloket FG van de AP.
Hoe stelt u bewaartermijnen vast?
Artikel 5 lid 1 onder e van de AVG stelt het bewaartermijnenprincipe: persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk voor de doeleinden waarvoor zij worden verwerkt. Concreet betekent dit:
- stel per categorie van persoonsgegevens een bewaartermijn vast, met een onderbouwing;
- combineer wettelijke bewaartermijnen (bijv. fiscale 7-jaartermijn, archiefwet) met AVG-beginselen — de langste geldende termijn is leidend;
- beschrijf in het verwerkingsregister welke criteria u heeft gebruikt;
- richt een verwijder- of anonimiseringsroutine in die op de einddatum automatisch triggert.
Toezichthouder: AP — Bewaartermijnen onder de AVG. Voor sectorale handreikingen: de AP publiceert per sector richtlijnen (zorg, onderwijs, gemeenten).
Wat houdt dat in de praktijk in?
Artikel 25 van de AVG verplicht u tot twee verwante beginselen:
- Privacy by design — al tijdens het ontwerp van een product, dienst of systeem kiest u voor maatregelen die de verwerking van persoonsgegevens minimaliseren en beveiligen. Denk aan pseudonimisering, dataminimalisatie, encryptie en logische toegangscontrole.
- Privacy by default — de standaardinstellingen van een product of dienst zijn ingesteld op de strakst mogelijke privacybescherming. Een gebruiker hoeft niet zelf actief iets uit te zetten om zijn gegevens te beschermen.
Beide beginselen moeten aantoonbaar worden toegepast: documenteer de gekozen maatregelen, betrek de FG bij ontwerpbeslissingen en neem ze op in uw verwerkingsregister.
Toezichthouder: AP — Privacy by design & by default. Europees: EDPB guidelines over art. 25.