AVG

Definitie van de GDPR

GDPR is het acroniem voor de General Data Protection Regulation, de specifieke wetten inzake gegevensprivacy voor individuele burgers in de Europese Unie (EU) en de Europese Economische Ruimte (EER).

GDPR FAQ’s

Wat is GDPR?

De General Data Protection Regulation (GDPR) is een Europese wet voor gegevensbescherming voor burgers binnen de Europese Unie. De GDPR-regelgeving is in april 2016 opgesteld door het Europees Parlement en ondersteunt gegevensbeveiliging, gegevensverwerking en de overdracht van persoonsgegevens buiten de EU.

De GDPR-wet bestaat voornamelijk om individuen controle te geven over hun persoonsgegevens, en om gegevensregelgeving voor internationale bedrijven te vereenvoudigen door uniforme normen voor regelgeving binnen de EU vast te stellen. GDPR-normen zijn vereisten voor verwerkingsverantwoordelijken (organisaties die gegevens verwerken) om passende technische en organisatorische maatregelen te nemen ter bescherming van persoonsgegevens. Bijvoorbeeld door waarborgen te implementeren in bedrijfsprocessen die gegevens verwerken, zoals pseudonimisering of volledige anonimisering, hoge privacy-instellingen en geïnformeerde toestemming.

Wat is GDPR-naleving?

Elk bedrijf dat persoonsgegevens van burgers in de EU verzamelt, verwerkt of opslaat, moet voldoen aan strikte GDPR-nalevingseisen, anders riskeert het hoge GDPR-boetes. Beveiligingsteams binnen bedrijven die met transacties binnen de EU of export van gegevens buiten de EU te maken hebben, hebben nu hoge verwachtingen ten aanzien van de bescherming en verwerking van persoonsgegevens. Een GDPR Data Protection Officer (DPO) is een leidinggevende rol op het gebied van enterprise security die volgens de GDPR-wet vereist is om toezicht te houden op de gegevensbeschermingsstrategie van het bedrijf en naleving van GDPR-eisen te waarborgen.

De GDPR-tekst laat veel ruimte voor interpretatie en stelt dat bedrijven “redelijke” bescherming van persoonsgegevens moeten bieden, zonder een exacte definitie van “redelijk” te geven. Dit laat ruimte voor GDPR-toezichthoudende autoriteiten om boetes op te leggen voor datalekken en het niet naleven van de regels.

Hoe GDPR-compliant te zijn

Verwerkingsverantwoordelijken van persoonsgegevens moeten GDPR-naleving in hun organisatie waarborgen door strikte privacywaarborgen en transparantie in dagelijkse bedrijfsprocessen te implementeren. Voor mkb-bedrijven kan volledige naleving van de GDPR-eisen een zeer ontmoedigende reeks taken zijn.

Om deze integratie eenvoudiger te maken, tonen veel websites een GDPR-nalevingschecklist zoals deze uitgebreide checklist voor verwerkingsverantwoordelijken. In grote lijnen omvat deze lijst taken voor verwerkingsverantwoordelijken en GDPR-functionarissen voor gegevensbescherming, waaronder:

• Het uitvoeren van een informatie-audit om te zien wie binnen het bedrijf betrokken is bij gegevens

• Het creëren van transparantie in gegevensverwerkingsactiviteiten en kennisgevingen van het privacybeleid

• Het vaststellen van principes van gegevensbescherming door ontwerp in alle organisatorische processen

• Het opzetten van processen voor bewustwording rond gegevensbeveiliging, beoordeling en inbreuken

• Het toewijzen van verantwoordelijkheid voor naleving van GDPR-normen, waarbij verantwoordelijke partijen de bevoegdheid krijgen om gegevensbeschermingsbeleid te evalueren en te implementeren

• Het opstellen van overeenkomsten tussen de organisatie en eventuele derden die betrokken zijn bij persoonsgegevens

• Ervoor zorgen dat betrokkenen volledige transparantie en toegang hebben, evenals rechten op alle informatie die uw organisatie over hen heeft.

Hoe hoog zijn GDPR-boetes bij niet-naleving?

Een bedrijf of verwerkingsverantwoordelijke die vastgestelde regels overtreedt, kan onderworpen worden aan GDPR-sancties. Toezichthoudende autoriteiten van individuele lidstaten volgen 10 criteria om het bedrag van GDPR-boetes te bepalen dat een niet-conform bedrijf verschuldigd is (volgens gdpreu.org):

• * Aard van de overtreding – aantal getroffen personen, de schade die zij hebben geleden, de duur van de overtreding en het doel van de verwerking

• Intentie – of de overtreding opzettelijk of nalatig is

• Beperking – maatregelen die zijn genomen om schade voor betrokkenen te beperken

• Preventieve maatregelen – hoeveel technische en organisatorische voorbereidingen het bedrijf eerder heeft geïmplementeerd om niet-naleving te voorkomen

• Geschiedenis – eerdere relevante overtredingen, die zo kunnen worden geïnterpreteerd dat ook overtredingen onder de Data Protection Directive worden meegenomen en niet alleen onder de GDPR, en eerdere administratieve corrigerende maatregelen onder de GDPR, van waarschuwingen tot verwerkingsverboden en boetes

• Samenwerking – hoe coöperatief het bedrijf is geweest met de toezichthoudende autoriteit om de overtreding te verhelpen

• Gegevenstype – welke soorten gegevens door de overtreding worden geraakt

• Melding – of de overtreding proactief aan de toezichthoudende autoriteit is gemeld door het bedrijf zelf of door een derde partij

• Certificering – of het bedrijf voldeed aan goedgekeurde certificeringen of zich hield aan goedgekeurde gedragscodes

• Overig – andere verzwarende of verzachtende factoren kunnen financiële impact op het bedrijf door de overtreding omvatten

Als er meerdere overtredingen bij een bedrijf plaatsvinden, moeten boetes worden betaald op basis van de zwaarste overtreding in plaats van een combinatie daarvan. GDPR-boetes van een lager niveau kunnen oplopen tot €10 miljoen of 2% van de internationale jaaromzet van het bedrijf over het voorgaande jaar, afhankelijk van welk bedrag hoger is. GDPR-sancties van het hoogste niveau lopen op tot €20 miljoen of 4% van de jaaromzet over het voorgaande jaar, afhankelijk van welk bedrag hoger is.

Waarom is de GDPR ingevoerd?

Met betrekking tot de achtergrond van de General Data Protection Regulation stelt de website van de Europese Commissie eenvoudigweg dat “Strengere regels voor gegevensbescherming betekenen 1. Mensen hebben meer controle over hun persoonsgegevens en 2. Bedrijven profiteren van een gelijk speelveld.”

GDPR-wetgeving is ingesteld om individuen meer bescherming en rechten te bieden door een standaard voor gegevensbescherming te creëren binnen alle bedrijven die in de EU actief zijn. De General Protection Data Regulation vervangt de eerdere reeks gegevensbeschermingswetten van de Europese Unie met de titel Data Protection Directive, vastgesteld in 1995.

Is EMOTIV GDPR-compliant?

Gegevens die worden gegenereerd door producten of diensten van EMOTIV worden automatisch versleuteld, opgeslagen en veilig geback-upt naar gebruikersaccounts via onze eigen EMOTIV Cloud-software. EMOTIV zet zich in voor het beveiligen en verwerken van uw informatie met administratieve, technische en fysieke waarborgen by design en volgt de GDPR-regelgeving nauwgezet, met gebruik van industriestandaardversleuteling.

U kunt uw EEG-gegevens overal opslaan en openen met een gerust hart, wetende dat ze volledig beschermd en privé zijn. Alle medewerkers van EMOTIV zijn getraind in veilige en respectvolle omgang met persoonsgegevens, volgens de vereisten van de GDPR en de California Consumer Privacy Act (CCPA).