AVG: Hoe beveilig ik mijn persoonsgegevens?

Volgens de strengere privacywet AVG die per 25 mei ingaat, moet je je persoonsgegevens op een juiste en doeltreffende manier beveiligen. Op welke wijze geef jij hier invulling aan?

Zijn er zaken die minimaal geregeld moeten worden? Hoe ga ik met deze verplichting om richting mijn leveranciers en serviceproviders?

Want jouw onderneming is volgens de Algemene verordening gegevensbescherming (AVG), die de Wet bescherming persoonsgegevens vervangt, verantwoordelijk voor het nemen van passende technische én organisatorische maatregelen om een adequaat beveiligingsniveau te waarborgen voor de verwerking van persoonsgegevens.

Persoonsgegevens goed beveiligen

Hoe moet ik volgens de AVG die persoonsgegevens dan goed beveiligen? Hiervoor moet je met de volgende zaken rekening houden:

• de stand van de techniek – de huidige technische stand van de techniek is voor wat betreft technische maatregelen bepalend voor wat er minimaal van je verwacht wordt.
• de aard, de omvang en doeleinden van de verwerkingen – de categorieën van persoonsgegevens in samenhang met de hoeveelheid persoonsgegevens en de verwerkingsdoelen zijn medebepalend voor de te nemen maatregelen.
• de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de personen – feitelijk dien je een risico-inschatting te maken van jouw verwerkingen en op basis hiervan tref je je maatregelen.
• verwerkers – je kan alleen een beroep doen op verwerkers die afdoende garanties met betrekking tot het toepassen van technische en organisatorische maatregelen bieden; deze maatregelen moeten worden opgenomen in een verwerkersovereenkomst; jij bent bovendien gerechtigd te (laten) controleren bij jouw verwerker(s) of de maatregelen adequaat zijn.
• de uitvoeringskosten – de AVG biedt tevens ruimte om een kostenafweging te maken. Indien de risico’s beperkt zijn, wordt niet van je verwacht dat je grote investeringen doet om een hoog beschermingsniveau te bereiken.
• beleid – Als je van mening bent dat je, gezien voorgaande zaken, hoge risico’s loopt bij de verwerking van persoonsgegevens dan dien je een passend zogeheten gegevensbeschermingsbeleid uit te voeren. Dat houdt in dat je op basis van een risico-inschatting de beschermingsmaatregelen bepaalt. Voor de meeste mkb-ondernemingen zal een gegevensbeschermingsbeleid niet nodig zijn.

Maatregelen beveiligen

Vervolgens geeft de AVG enkele voorbeelden van mogelijke maatregelen, namelijk:

• pseudonimiseren en versleuteling van persoonsgegevens
• op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten garanderen
• het tijdig herstellen van toegang en beschikbaarheid bij een incident, zoals een datalek
• een evaluatieprocedure om doeltreffendheid van de maatregelen te testen en beoordelen

Pseudonimiseren van persoonsgegevens

Persoonsgegevens kunnen in het geval van pseudonimiseren niet meer aan een specifieke betrokkene worden gekoppeld zonder dat er aanvullende gegevens nodig zijn (een zogenaamde sleutel om informatie te decoderen). Omdat het via het gebruik van een sleutel nog steeds mogelijk is om de betreffende persoon (indirect) te identificeren, kwalificeren pseudoniemen nog steeds als persoonsgegevens. Dit in tegenstelling tot het anonimiseren van persoonsgegevens.

Andere maatregelen

Andere maatregelen die je sowieso moet treffen, zijn:

• wachtwoordbeleid en rechten- en autorisatiestructuur inrichten
• logging en controle (monitoring) van toegang tot de informatiesystemen
• implementatie van actuele beveiligingsupdates
• viruscontrole en firewall inregelen
• monitoring kwetsbaarheden op het interne en externe netwerk
• adequate fysieke beschermingsmaatregelen treffen
• procedures voor opslag, onderhoud en vernietiging van data opstellen
• procedures voor het behandelen van informatiebeveiligingsincidenten en datalekken opstellen
• back up beleid opzetten en uitvoeren adequate back ups

Gedragscode of certificering

Door als onderneming aan te sluiten bij een gedragscode voor de verwerking van persoonsgegevens (bijvoorbeeld binnen jouw branche) of een specifieke certificering, kan je aantonen dat je aan de vereisten voor technische en organisatorische maatregelen die de AVG stelt, voldoet. Een voorbeeld van een algemeen geaccepteerde standaard voor informatiebeveiliging is ISO27001.

Tip: Indien je gebruik wilt maken van bepaalde certificeringen om wat betreft technische en organisatorische maatregelen te voldoen aan de verplichtingen uit de AVG, maak dan keuzes. Want het kan zijn dat jouw onderneming niet alle onderdelen van die certificeringen nodig heeft!

Bron: SRA

Onze video's over de AVG

Klik hieronder op de afbeelding om al onze video's over de AVG te bekijken.