Met de Algemene Verordening Gegevensbescherming wordt de verwerking van persoonsgegevens binnen de EU beschermd. Het moet gaan om een rechtmatige verwerking, de persoonsgegevens moeten op de juiste manier worden verwerkt en hier moet transparantie over zijn. Dit brengt voor decentrale overheden diverse verplichtingen met zich mee.
De European Data Protection Board is een onderzoek gestart naar het gebruik van clouddiensten in de publieke sector. Het EDPB wil hiermee de grootste uitdagingen op het gebied van gegevensbescherming bij clouddiensten identificeren. Eind 2022 zal er een gezamenlijk rapport gepubliceerd worden over het gebruik van clouddiensten door overheden.
Op grond van artikel 37 AVG moet de verwerkingsverantwoordelijke in een aantal situaties verplicht een Functionaris voor gegevensbescherming aannemen. Decentrale overheidsorganisaties die persoonsgegevens verwerken zijn bijvoorbeeld verplicht om een FG aan te stellen. Een FG adviseert over de toepassing van de AVG en staat de verwerker en verwerkingsverantwoordelijke bij met het intern toezicht op de naleving van de AVG.
Volgens artikel 35 van de AVG moet een verwerkingsverantwoordelijke in sommige gevallen een gegevensbeschermingseffectbeoordeling uitvoeren wanneer hij een verwerking van persoonsgegevens met een hoog risico uitvoert. Deze term is ook bekend als de data protection impact assessment (DPIA). Met een DPIA maakt een verwerkingsverantwoordelijke voorafgaand aan de verwerking een inschatting van de gevolgen voor de persoonlijke levenssfeer van de betrokkene en welke passende maatregelen hij kan nemen om de AVG na te leven. De betrokkene is degene van wie de persoonsgegevens worden verwerkt. Lees op onderstaande pagina meer over de DPIA.
De verwerkingsverantwoordelijke moet op grond van artikel 32 van de AVG de verwerking van persoonsgegevens passend beveiligen. Het kan echter voorkomen dat persoonsgegevens toegankelijk worden gemaakt voor personen die daar geen toegang tot moeten hebben. Dit is een datalek. Een datalek moet in bepaalde gevallen gemeld worden aan de Autoriteit Persoonsgegevens. Wanneer dat is en welke verplichtingen dit nog meer met zich meebrengt voor decentrale overheden kunt u lezen op deze pagina.
Volgens de AVG moeten de verwerkingsverantwoordelijke en de verwerker van persoonsgegevens een register van de verwerkingsactiviteiten bijhouden. Eerder moest een verwerking van persoonsgegevens nog worden gemeld bij de Autoriteit Persoonsgegevens. Met de AVG is deze meldplicht verdwenen en ligt er meer verantwoordelijkheid bij de organisatie zelf. Wanneer de AP er om vraagt, moeten de verwerkingsverantwoordelijke en verwerker het register ter beschikking stellen.
Volgens de AVG moeten decentrale overheden als verwerkingsverantwoordelijke werken volgens de principes van privacy by design en privacy by default. Wat betekent dit precies? Dat leest u op onderstaande pagina.
Decentrale overheden mogen alleen persoonsgegevens verwerken wanneer zij hier een rechtsgrondslag voor hebben. Dat betekent dat zij een goede reden moeten hebben om persoonsgegevens te verwerken. De AVG stelt zes grondslagen voor het verwerken van persoonsgegevens. Met name de eerste grondslag toestemming dient aan strenge voorwaarden te voldoen. Op deze pagina vindt u meer informatie over de zes grondslagen.
In de AVG zijn regels opgenomen met betrekking tot toezicht en sancties op het gebied van gegevensbescherming. In elke lidstaat is een autoriteit aangewezen die toeziet op juiste naleving van de AVG en sancties kan uitdelen. In Nederland is dit de Autoriteit Persoonsgegevens (AP). Een decentrale overheid die zich niet aan de regels van de AVG houdt, ontvangt mogelijk een boete. Op onderstaande pagina kunt u meer lezen over de toezicht en sancties in het kader van de AVG.
De AVG is een Europese verordening die betrekking heeft op alle lidstaten. Een kenmerk van data en een gedigitaliseerde samenleving is echter dat gegevensstromen niet zomaar ophouden bij de grenzen van de EU. Decentrale overheden moeten ook rekening houden met de AVG wanneer zij persoonsgegevens laten verwerken door organisaties buiten de EU, bijvoorbeeld wanneer deze worden opgeslagen op een server in de VS. Dit is gegevensuitwisseling met derde landen.
Degene van wie de persoonsgegevens worden verwerkt, ook wel de betrokkene genoemd, krijgt onder de AVG een bepaalde mate van controle over deze verwerking. Zo heeft een betrokkene het recht om te weten welke persoonsgegevens een organisatie precies van hem bezit en kan hij in bepaalde gevallen bezwaar maken tegen een verwerking van zijn persoonsgegevens. De verwerkingsverantwoordelijke moet deze rechten respecteren en faciliteren. Op deze pagina vindt u meer informatie over alle rechten van de betrokkene.
De AVG stelt dat een decentrale overheid verwerkingsverantwoordelijke is als zij de doelen en middelen bepaalt van iedere verwerking van persoonsgegevens. Indien de decentrale overheid verwerkingsverantwoordelijke is, heeft zij op grond van de AVG verschillende verplichtingen.
Bij iedere verwerking van persoonsgegevens hoort een verwerkingsverantwoordelijke die de doelen en middelen van de verwerking bepaalt. Onder de AVG krijgt een verwerkingsverantwoordelijke een hoop verplichtingen. Soms werkt een verwerkingsverantwoordelijke samen met een verwerker die de verwerking uitvoert. Ook deze verwerker heeft enkele verplichtingen, en de samenwerking moet vastgelegd worden in een overeenkomst. Dit wordt ook wel een verwerkersovereenkomst genoemd. Decentrale overheden kunnen zowel verwerkers als verwerkingsverantwoordelijken zijn.
