Wie is verantwoordelijk?

De AVG begrijpen

Shalini Kurapati, CIPP/E

Co-founder, Clearbox AI

Belangrijke GDPR-rollen

  • Verwerkingsverantwoordelijke
  • Verwerker
  • Functionaris voor gegevensbescherming (FG)
  • Toezichthouder (SA)/ Autoriteit Persoonsgegevens (DPA)
De AVG begrijpen

Verwerkingsverantwoordelijke

  • Bepaalt doelen en middelen van verwerking
  • Gezamenlijke beslissingen = gezamenlijke verantwoordelijken
  • Eindverantwoordelijk

Voorbeeld: boetiek-patisserie besteedt loonadministratie uit

  • Verwerkingsverantwoordelijke: boetiek
  • Verwerker: loonbedrijf
De AVG begrijpen

Verwerker

Illustratie van een laptopscherm met data-analysegrafieken en twee handen die typen op het toetsenbord. De afbeelding stelt een verwerker voor.

  • Meestal een derde/onderaannemer die persoonsgegevens verwerkt voor de verantwoordelijke
  • Geen directe verantwoordelijkheid
  • Voorwaarden vastgelegd in Data Processing Agreement
  • Sluit aan bij verplichtingen verantwoordelijke voor compliance
De AVG begrijpen

Functionaris voor gegevensbescherming (FG)

Illustratie van een FG, voorgesteld als een vrouw die wijst naar een slotsymbool dat gegevensbescherming voorstelt.

  • Monitort, adviseert, helpt naleven
  • Werkt samen met SA en is contactpunt
  • Zowel bij verantwoordelijken als verwerkers
  • Verplicht voor:
    • Overheidsinstanties
    • Verwerking met hoog risico
  • Risico telt, niet bedrijfsomvang
1 Guidelines on Data Protection Officers ('DPOs') (wp243rev.01)
De AVG begrijpen

Toezichthouder of gegevensbeschermingsautoriteit

Meerdere EU-vlaggen voor een gebouw in Brussel.

  • Onafhankelijke publieke autoriteit
  • Boetes bij niet-naleving
  • Alle lidstaten hebben een SA/DPA
    • Garante per la Protezione dei Dati Personali (ITA)
    • Autoriteit Persoonsgegevens (NL)
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
De AVG begrijpen

Datalekken: wat doe je?

Wat is een datalek?

  • Verlies, onrechtmatige toegang of openbaarmaking
  • Vertrouwelijkheid, integriteit, beschikbaarheid

Wat doe je dan?

  • Meld bij SA/DPA zonder uitstel
  • Binnen 72 uur
  • Bij hoog risico: informeer betrokkenen, volg acties op

Voorbeeld: hack bij online marktplaats

  • FG: belangrijke rol
  • Register van datalekken
  • Datalekbeleid
1 Guidelines on personal data breach notification under regulation 2016/679, WP250 rev.01
De AVG begrijpen

Afstemming tussen landen

Logo van de European Data Protection Board.

Lijst met EDPB-leden met hun respectieve vlaggen

  • Consequente toepassing van regels
  • Samenwerking tussen leden
  • EU27-toezichthouders
  • EDPS, European Data Protection Supervisor
  • IJsland, Noorwegen en Liechtenstein hebben geen stemrecht
1 https://edpb.europa.eu/about-edpb/about-edpb/members_en
De AVG begrijpen

Laten we oefenen!

De AVG begrijpen

Preparing Video For Download...