Directeur Cecile Schut van de Autoriteit Persoonsgegevens heeft op de ledenvergadering van het Nederlands Genootschap voor Functionarissen...Directeur Cecile Schut van de Autoriteit Persoonsgegevens heeft op de ledenvergadering van het Nederlands Genootschap voor Functionarissen Gegevensbescherming (NGFG) van 27 juni 2018 enkele interessante uitspraken gedaan aangaande de Algemene Verordening Gegevensbescherming (AVG). Ik geef ze hieronder zo goed mogelijk weer:

Over handhaving

Handhaving richt zich nu vooral op de overheid, zorg, en de handel in persoonsgegevens.
Een (D)PIA wordt verplicht voor o.a. ’heimelijke informatieverzameling’, verwerking gegevens over kredietwaardigheid, bestedingspatronen of financiële situatie. Zie voor de volledige lijst de site van de AP.
De vorm van het verwerkingsregister is vrij, maar elke verwerking van persoonsgegevens moet goed in kaart zijn gebracht.
Hoeveel tijd mag een organisatie nemen voor het onderzoeken van een incident, alvorens het gemeld wordt? "We raden aan incidenten direct te melden, en daarna pas een onderzoek in te stellen. Het is altijd mogelijk een melding terug te trekken.
Tot nu toe hebben we geen boetes opgelegd.

Over certificering

Certificering voor de AVG wordt niet verplicht.
Het proces om een AVG certificering geaccrediteerd te krijgen, duurt 8 tot 18 maanden. De eerste accreditatie laat nog zeker tot eind 2018 op zich wachten.
Normenkaders kunnen opgesteld worden door een nationale schemabeheerder als de NEN, of door individuele / commerciële partijen.
De AP gaat geen opleidingen tot Functionaris Gegevensbescherming verzorgen of certificeren. Dat zou ons een marktpartij maken en dat past niet bij de rol van toezichthouder.

Over de Functionaris Gegevensbescherming

We hebben aandacht voor de positionering van de FG. Organisaties die de FG passeren in de contacten met de AP, worden hierop gewezen.
Het kunnen inkopen van FG diensten is in principe “een goede zaak”, mits de kwaliteit voldoende is. Het uit de zaal gegeven voorbeeld van een 'FG op afroep', zonder voldoende kennis van de organisatie en context, valt daar waarschijnlijk niet onder.

Over organisaties en hun medewerkers

Een organisatie mag géén foto’s van medewerkers op de website of op social media plaatsen zonder toestemming van de werknemers.
Mag je gegevens over ziekte van medewerkers delen om bijv. een beterschapskaartje te sturen? "Ik zou zeggen: een bloemetje mag altijd". Toon meer

.

.

.

.

.

.

.

.

.

.

.