De AVG, voluit Algemene verordening gegevensbescherming, is een Europese wet die regelt hoe organisaties omgaan met persoonsgegevens. De wet geldt sinds 25 mei 2018 in alle landen van de Europese Unie en geeft mensen rechten over hun eigen gegevens. In het Engels heet de wet GDPR.
Wat de AVG regelt
Een persoonsgegeven is elk gegeven waarmee een persoon direct of indirect te herkennen is, zoals een naam, e-mailadres of telefoonnummer. Ook een IP-adres kan onder omstandigheden een persoonsgegeven zijn.
Wie persoonsgegevens verwerkt, heeft daarvoor een wettelijke grondslag nodig, zoals toestemming of een overeenkomst. Gegevens mogen alleen voor een vooraf bepaald doel worden gebruikt, er mogen er niet meer worden verzameld dan nodig is en ze moeten goed beveiligd zijn.
Rechten van betrokkenen
De AVG geeft mensen over wie gegevens worden bewaard een aantal rechten:
- inzage: weten welke gegevens een organisatie van hen heeft;
- correctie: onjuiste gegevens laten aanpassen;
- verwijdering: onder voorwaarden gegevens laten wissen;
- beperking en bezwaar: de verwerking laten beperken of er bezwaar tegen maken;
- overdraagbaarheid: de eigen gegevens in een bruikbare vorm meenemen.
De AVG bij websites
Voor websites en webshops betekent de AVG onder meer dat een privacyverklaring duidelijk uitlegt welke gegevens worden verzameld en waarom. Voor het plaatsen van bepaalde cookies gelden daarnaast aparte regels. Met bedrijven die gegevens namens de website verwerken, zoals een hostingpartij, worden afspraken vastgelegd in een verwerkersovereenkomst.
Beveiliging hoort er ook bij, bijvoorbeeld een verbinding via HTTPS. Bij een datalek moet de organisatie dat in veel gevallen binnen 72 uur melden bij de toezichthouder, in Nederland de Autoriteit Persoonsgegevens.
