Wat is de AVG?

AVG betekenis

Wie zoekt op wat is avg, vindt meestal twee afkortingen door elkaar. AVG is de Nederlandse naam, GDPR de Engelse: General Data Protection Regulation. Het gaat om dezelfde wet, Verordening (EU) 2016/679.

De AVG draait om persoonsgegevens: alle informatie over een persoon die je kunt herkennen. Een naam, een e-mailadres, een telefoonnummer, een IP-adres, een foto, een klantnummer dat naar iemand te herleiden is. Ook gegevens die je niet direct aan een naam koppelt, kunnen persoonsgegevens zijn als je de persoon met wat moeite kunt achterhalen.

Een paar soorten gegevens zijn extra beschermd, zoals gezondheid, religie, etniciteit en biometrie. Die mag je in principe niet verwerken, op een paar uitzonderingen na.

De AVG staat in ons overzicht van AI begrippen.

De zes grondslagen

• Toestemming De persoon heeft vrij en duidelijk toegestemd, bijvoorbeeld voor een nieuwsbrief. Intrekken moet net zo makkelijk zijn.
• Overeenkomst Nodig om een contract uit te voeren, zoals een adres om een bestelling te bezorgen.
• Wettelijke plicht Een wet verplicht het, zoals het bewaren van facturen voor de fiscus.
• Vitaal belang Nodig om iemands leven of gezondheid te beschermen. In het bedrijfsleven zeldzaam.
• Algemeen belang Voor een taak van algemeen belang of openbaar gezag. Vooral voor overheden.
• Gerechtvaardigd belang Je hebt een eigen belang dat zwaarder weegt dan de privacy van de persoon. Dat moet je afwegen en vastleggen.

Hoe werkt de AVG?

De AVG rust op een paar basisregels. Persoonsgegevens verwerk je:

• rechtmatig, eerlijk en transparant, met een grondslag en uitleg aan de persoon;
• voor een duidelijk doel, en niet zomaar voor iets anders;
• zo min mogelijk, alleen wat nodig is voor dat doel;
• juist en actueel;
• niet langer dan nodig;
• veilig, beschermd tegen verlies en onbevoegde toegang.

Mensen hebben rechten: ze mogen hun gegevens inzien, laten verbeteren of verwijderen, en bezwaar maken. Jij moet kunnen aantonen dat je je aan de regels houdt.

De boetes zijn fors: voor de zwaarste overtredingen tot €20 miljoen of 4 procent van de wereldwijde jaaromzet, als dat hoger is. Voor het mkb is de boete meestal niet het grootste risico. Reputatieschade en verlies van vertrouwen van klanten wegen vaak zwaarder.

AVG voorbeelden uit het mkb

Een fictieve webshop met zes medewerkers. Wat betekent de AVG voor hen?

Een register van verwerkingen is voor bedrijven onder de 250 medewerkers niet altijd verplicht. Die uitzondering vervalt als je regelmatig persoonsgegevens verwerkt, als de verwerking risico's heeft of als je bijzondere gegevens verwerkt. In de praktijk geldt de plicht daarom voor bijna elk bedrijf met klanten.

De AVG en AI

Zet je AI in, dan geldt de AVG gewoon. Een paar punten krijgen extra gewicht:

• Waar gaan de gegevens heen? Een AI-dienst buiten de EU betekent doorgifte, en daarvoor gelden extra regels.
• Traint de leverancier op je gegevens? Kies een zakelijk abonnement waarin dat uitgesloten is.
• Is er een verwerkersovereenkomst met de AI-leverancier?
• Is een DPIA nodig? Die risicoanalyse is verplicht bij verwerkingen met een hoog risico, bijvoorbeeld op grote schaal of met gevoelige gegevens.
• Neemt de AI beslissingen over mensen? Volledig geautomatiseerde besluiten met grote gevolgen zijn beperkt. Houd een mens erbij.

Leg vast wat medewerkers wel en niet in AI-tools mogen invoeren. Dat doe je in een AI-beleid. Praktische tips staan in ChatGPT en privacy.

Verwante begrippen

• AI Act: de Europese wet voor AI-systemen, die naast de AVG geldt.
• Data Act: Europese regels voor het delen van data, ook data die niet over personen gaat.
• NEN 7510: de beveiligingsnorm voor de zorg, die een deel van de AVG concreet maakt. Zie wat is NEN 7510.
• Verwerkersovereenkomst: het contract met een partij die namens jou persoonsgegevens verwerkt.

Veelgestelde vragen

Verder lezen

Meer begrippen uitgelegd

Terug naar de kennisbank