Bent u als organisatie nog AVG-proof?!

Sinds 25 mei 2018 is de Europese Privacy-verordening in werking getreden. Bijna iedere week verschijnt er wel een publicatie over de privacy-verordening die voor de nodige opschudding zorgt en menig bestuurder hoofdpijn bezorgt. Kort en goed; ieder bedrijf, iedere instelling, vereniging en/of stichting wordt geacht maatregelen te hebben getroffen om de privacy van persoonsgegevens zoveel mogelijk in acht te nemen. Daartoe zal iedere organisatie een privacy-beleid moeten hebben conform de in de verordening opgenomen voorschriften.

Voor verenigingen is een aansluiting via de Stichting AVG mogelijk. Je kunt daar via het maken van een eigen account een inlogcode krijgen om vervolgens in ca. 12 -15 stappen tot een eigen AVG verklaring te komen. Deze AVG verklaring zal bij de Stichting AVG worden geregistreerd en als een disclaimer werken (zonder garanties). Vervolgens zul je als organisatie regelmatig stil moeten staan bij het te voeren privacy-beleid en de handhaving ervan binnen de eigen organisatie.

Een globaal overzicht van de te nemen 12 -15 STAPPEN

1. Als eerste dient het bestuur van de organisatie een functionaris te laten registreren die zich bezighoudt met het AVG programma.
2. Vervolgens dient geïnventariseerd te worden welke persoonsgegevens binnen de organisatie worden gevraagd en met welk doel en waar en hoe lang deze worden bewaard.
3. Vervolgens dient de doelbinding stap voor stap te worden doorlopen.
4. Daarna wordt een juridisch privacy-beleid met rechten van betrokkenen vastgesteld en waar nodig verder ontwikkeld.
5. Met toeleveranciers, netwerkbeheerders, administratiekantoren, en/of afnemers van producten die persoonsgegevens voor u verwerken, moet u zogenoemde verwerkersovereenkomsten sluiten.
6. De software moet veilig en altijd up-to-date zijn.
7. In het kader van het te voeren privacy-beleid dient er gewerkt te worden met geautoriseerde medewerkers.
8. Vervolgens moet in het te voeren privacy-beleid een paragraaf gewijd worden aan het verwijderen van persoonsgegevens.
9. Daarbij moeten medewerkers worden geïnformeerd en bewust worden gemaakt van de te nemen/genomen beveiligingsmaatregelen.
10. De organisatie dient te beschikken over toestemming van de geadresseerden in geval van direct marketing.
11. Ook dient de organisatie te beschikken over toestemmingsverklaringen van ouders met betrekking tot het gebruik van persoonsgegevens van hun minderjarige kinderen. In het bijzonder speelt hierbij de toestemming voor het gebruik van bijvoorbeeld foto- en filmmateriaal een rol.
12. De organisatie dient een eigen AVG verklaring aan te vragen en daarmee een disclaimer te verkrijgen.

NB: voor bedrijven gelden nog een aantal stappen die hier niet zijn genoemd.

Zorg ervoor dat u als organisatie kunt blijven aantonen dat u zich bewust bent van de gevaren van de schending van de privacy en dat u stappen heeft genomen voor het ontwikkelen van een beleid dat op het beschermen van de privacy binnen de organisatie is gericht.