Wat is GDPR?

De Verordening vormt in zekere zin een stijl- en trendbreuk met tal van de vorige privacyregels en nationale principes inzake de gegevensbescherming, doordat ze de verantwoordelijkheid en verplichtingen van de verwerkingsverantwoordelijkenin aanzienlijke mate opschroeft. 

Dat uit zich onder meer in de afschaffing van de voorafgaande machtiging die een verwerker (of verwerkingsverantwoordelijke) kon opvragen bij de Nationale Privacycommissie (in België de Gegevensbeschermingsautoriteit of GBA) en waardoor zo goed als alle ‘gemachtigde’ verwerkingen een a priori rechtmatigheidskarakter kregen.

Sinds 25 mei bepaalt de Verordening dat de verwerkingsverantwoordelijke zelf moet instaan voor al zijn verplichtingen, en te allen tijde moet kunnen aantonen dat zijn verwerking rechtmatig, doelgericht en -gebonden en proportioneel is. 

Het basisprincipe is dat uitgegaan wordt van een minimale gegevensverwerking, en dat elke afwijking van dat principe onder de verantwoordelijkheid valt van de verwerkingsverantwoordelijke.

Die verantwoordelijkheid komt onder meer tot uiting in de verplichte opmaak van het zogenaamde dataverwerkingsregister. Dat vormt bij wijze van spreken het ‘hart’ van de verwerkingsactiviteiten en vormt een levend archief van alle soorten van verwerkingen die een onderneming uitoefent. Dat register kan in theorie ook steeds opgevraagd worden door de Nationale toezichthoudende autoriteiten (zie infra).

Daarnaast bepaalt de Verordening ook dat bepaalde ondernemingen vanaf een bepaald type van verwerkingen, of voor verwerkingen van een specifieke omvang – in mensentaal gaat het om grootschalige verwerkingen of geautomatiseerde verwerkingen, al dan niet van gevoelige gegevens – verplicht een zogenaamde functionaris voor de gegevensbescherming (beter gekend onder de Engelse benaming als Data Protection Officer, of DPO) moeten aanstellen. 

Vooralsnog stellen de Verordening en de adviezen van de toenmalige Article 29 Working Party (nu hervormd naar de EDPB die op Europees niveau de implementatie van de Verordening in goede banen moet leiden) en onze eigen GBA dat die verplichting in principe niet geldt voor de individuele advocaat of voor kleinere kantoren.

Een andere verplichting die geldt, is dat de verwerkingsverantwoordelijken van persoonsgegevens op een transparante wijze moeten communiceren over hun verwerkingen. De meest evidente manier om dat te doen is om te werken via informatiefiches en het gebruik van een privacyverklaring die op een eenvoudige manier te consulteren is

Wanneer een verwerkingsverantwoordelijke geconfronteerd wordt met een datalek of een inbreuk in zijn systemen (bijvoorbeeld door hacking, ransomware of phishing) moet hij dat vanaf nu ook binnen de 72 uur melden aan de Nationale autoriteit voor de gegevensbescherming, en in bepaalde gevallen aan de mogelijks geraakte betrokkenen. 

Meer in het algemeen stelt de Verordening bovendien de verplichtingen inzake een passende en veilige IT-architectuur voor ondernemingen op scherp.

Een onrechtstreekse verplichting, ten slotte, is dat de verwerkingsverantwoordelijke verplicht wordt om tijdig en op gepaste wijze om te gaan met de rechten van de betrokkenen.

Een laatste belangrijke innovatie waarop gewezen moet worden, is dat de Verordening op uniforme wijze de installatie en organisatie van de nationale Gegevensbeschermingsautoriteiten regelt. Waar de lidstaten vroeger vrij waren om de structuur, organisatie, bevoegdheden en sanctiemogelijkheden van hun autoriteiten te regelen, wordt dat nu geharmoniseerd – en scherp gesteld – door de AVG.

Dat betekent voor België onder meer dat de bestaande CBPL omgevormd werd – met de wet van 3 december 2017 – tot de Gegevensbeschermingsautoriteit (GBA). Belangrijk is dat die GBA vanaf nu ook een andere structuur meekreeg en over verregaande bevoegdheden beschikt. Zo werden een inspectiedienst en een geschillenkamer opgericht, die respectievelijk als een soort van gerechtelijke privacy politie en een interne rechtbank opereren. De inspectiedienst kan buigen op intrusieve onderzoeksmogelijkheden zoals verhoren, woonstbetredingen, inbeslagnames en verzegelingen. De geschillenkamer beschikt dan weer over een arsenaal aan sanctiemaatregelen – en wordt ook de kamer die zich zal buigen over de klachten van de betrokkenen – waarvan de beruchte monsterboetes de beruchtste zijn.

Iedereen die persoonsgegevens verwerkt, dient zich dus bewust te zijn dat de GBA weldegelijk het potentieel heeft om hardhandig op te treden, maar uiteraard in eerste instantie ook zal trachten om minder verregaandere oplossingen te vinden, zoals bemiddeling en dergelijke.

Op Vlaams niveau werd door de Vlaamse Regering bovendien ook een Vlaamse Toezichtscommissie (VTC) opgericht, die op gelijkaardige manier over dezelfde bevoegdheden beschikt.