Belangrijkste punten
- De GDPR regelt de verwerking van persoonsgegevens van EU-inwoners en geldt wereldwijd voor organisaties die zulke gegevens verwerken.
- Betrokkenen krijgen recht op inzage, rectificatie, wissing, overdraagbaarheid en bezwaar en organisaties moeten die rechten respecteren.
- Datalekken moeten binnen strikte termijnen worden gemeld.
- Compliance vereist een rechtsgrondslag, DPIA’s en soms een functionaris voor gegevensbescherming.
De General Data Protection Regulation (GDPR) is het fundamentele privacykader van de EU dat de gegevens van een persoon beschermt, ongeacht waar de verwerker zich bevindt. De GDPR-regels zijn essentieel voor IT-teams, maar kunnen taaie kost zijn. Een “technicusvriendelijke” woordenlijst maakt de praktijk een stuk eenvoudiger.
GDPR-begrippen en definities uitgelegd
Van algemene definities tot de verplichtingen van verwerkingsverantwoordelijken: hier zijn de belangrijkste GDPR-begrippen voor betere data governance:
Kerndefinities uit de GDPR
Persoonsgegevens
Alle informatie over een identificeerbare natuurlijke persoon, die direct kan zijn (bijvoorbeeld naam, e-mail, IP-adres) of indirect (bijvoorbeeld cookie-ID, locatiegegevens).
Verwerking
Het verzamelen, opslaan, analyseren of verwijderen van persoonsgegevens. Ook geautomatiseerde verwerking (bijvoorbeeld profilering of AI-scoring) telt als verwerking.
Volgens de Europese Commissie omvat verwerking het “verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending [of] verspreiden” van persoonsgegevens.
Toestemming
Een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting van een betrokkene. Toestemming moet per afzonderlijk doel gelden, want gebundelde toestemming is in strijd met de GDPR.
Betrokkene
Een persoon van wie de gegevens worden verwerkt volgens de zeven beginselen van de GDPR.
Verwerkingsverantwoordelijke
Een entiteit die bepaalt waarom en hoe persoonsgegevens worden verwerkt (bijvoorbeeld een e-commercebedrijf dat beslist hoe klantgegevens worden gebruikt).
Verwerker
De entiteit die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke (bijvoorbeeld een cloudprovider die klantendatabases host).
Rechten onder de GDPR
Dit zijn de belangrijkste GDPR-rechten die u moet kennen:
- Recht op inzage: personen kunnen een kopie van hun gegevens opvragen.
- Recht op rectificatie: onjuiste persoonsgegevens moeten worden gecorrigeerd.
- Recht op wissing: gegevens moeten onder bepaalde voorwaarden worden verwijderd (bijvoorbeeld bij intrekking van de toestemming).
- Recht op overdraagbaarheid van gegevens: gegevens moeten in een formaat staan dat computers kunnen verwerken (oftewel “machineleesbaar”).
- Recht van bezwaar: personen kunnen verzoeken om gegevens of de verwerking ervan aanvechten.
Verplichtingen en rollen
Functionaris voor gegevensbescherming (FG of DPO)
De FG ziet toe op de naleving van de GDPR binnen organisaties die grootschalige monitoringtools gebruiken of gevoelige gegevens verwerken (bijvoorbeeld medische dossiers). Let op: niet elke organisatie heeft er een nodig.
Rechtsgrondslag voor verwerking
Voordat de GDPR-regels kunnen worden toegepast, is minstens één rechtsgrondslag nodig:
- Toestemming
- Overeenkomst
- Wettelijke verplichting
- Vitale belangen
- Taak van algemeen belang
- Gerechtvaardigde belangen
Gegevensbeschermingseffectbeoordeling (DPIA)
Het beoordelen en beperken van verwerkingen met een hoog risico via een platform voor governance, risk en compliance (GRC). Dit is het algemene proces:
- Open een risicomanagementtool (bijvoorbeeld Archer of OneTrust).
- Documenteer de verwerkingsactiviteit.
- Beoordeel de risico’s voor betrokkenen.
- Leg risicobeperkende maatregelen vast (bijvoorbeeld versleuteling of dataminimalisatie).
- Bewaar de DPIA voor controle door de toezichthouder.
Datalekken en meldingen
Inbreuk in verband met persoonsgegevens
Een beveiligingsincident dat leidt tot ongeoorloofde toegang, openbaarmaking of verlies van gegevens.
De 72-uursmeldplicht
Verwerkingsverantwoordelijken moeten de toezichthouder binnen 72 uur na kennisname van een datalek informeren.
Melding aan betrokkenen
Als een datalek consumentengegevens treft, moeten de betrokken personen worden geïnformeerd.
Juridische en toezichtsbegrippen
Toezichthoudende autoriteit (SA)
De nationale of regionale toezichthouder (bijvoorbeeld de Commission Nationale de l’Informatique et des Libertés in Frankrijk).
Bijzondere categorieën van persoonsgegevens
Gevoelige gegevens, waaronder biometrische, medische, raciale en politieke gegevens. Voor deze categorie gelden strengere beschermingseisen.
Adequaatheidsbesluit
Een status die aan een land buiten de EU wordt toegekend als bevestiging dat het gegevensbeschermingsniveau aan de criteria voldoet.
Modelcontractbepalingen (SCC’s)
Is er geen adequaatheidsbesluit, dan vormen SCC’s een juridisch alternatief om gegevens buiten de EU door te geven.
Territoriaal toepassingsgebied (artikel 3)
Een regel die bepaalt of een bedrijf onder de GDPR valt, ongeacht de geografische locatie.
Veelvoorkomende misverstanden over de GDPR
De reikwijdte van de GDPR wordt vaak verkeerd begrepen en dat kan tot compliance-problemen leiden. Dit zijn de meest voorkomende misverstanden van IT-bedrijven over de GDPR-regels.
De GDPR geldt alleen voor EU-landen
Vaak wordt aangenomen dat alleen bedrijven in de Europese Unie onder de GDPR-regels vallen, maar de wetgeving geldt voor elke organisatie die persoonsgegevens van EU-inwoners verwerkt – of dat nu voor goederen, diensten of het volgen van gedrag is.
Kleine bedrijven zijn vrijgesteld
De GDPR geldt voor organisaties van elke omvang. Zolang ze persoonsgegevens uit de EU verwerken, moeten zelfs kleine start-ups zich eraan houden.
Toestemming is altijd verplicht
Zoals eerder gezegd is toestemming slechts een van de vele rechtsgrondslagen voor gegevensverzameling en niet de enige voorwaarde voor gegevensverwerking onder de GDPR.
GDPR-compliance is puur een juridische kwestie
De GDPR vraagt om samenwerking: ook technische afdelingen moeten waarborgen implementeren zoals versleuteling, toegangscontroles, detectie van datalekken, versiebeheer en meer.
🥷🏻| Vind en isoleer gecompromitteerde endpoints automatisch via één centraal dashboard.
Lees hoe NinjaOne IT management vereenvoudigt.
Versleuteling van gegevens is genoeg voor compliance
Het versleutelen van persoonsgegevens is essentieel voor GDPR-compliance, maar binnen de hele organisatie zijn proactieve maatregelen nodig, zoals:
- Dataminimalisatie
- Eigenaarschapsmatrices
- Interne meldingsprocedures
- Respect voor de rechten van betrokkenen
Verwijderen voldoet altijd aan het “recht op vergetelheid”
Organisaties moeten de gegevens van een betrokkene grondig uit hun systemen verwijderen. Dat betekent back-ups controleren, archieven wissen en afstemmen met externe verwerkers.
Integratie met NinjaOne vereenvoudigt de rapportage
NinjaOne geeft u een overzicht van uw volledige infrastructuur, met een continue stroom aan informatie over de gezondheid van endpoints, de voortgang van patches, ticketupdates en meer. Zo wordt de eerste stap naar GDPR-compliance eenvoudiger: zichtbaarheid.
| Aspect | Met NinjaOne |
| Zichtbaarheid en rapportage | Volgt belangrijke updates, apparaten en ticketworkflows voor directe zichtbaarheid |
| Asset management | Monitort configuraties voor een vlottere documentatie rond betrokkenen |
| Audittrails | Automatiseert de logging van gebruikersactiviteit en systeemgebeurtenissen voor verifieerbare registraties |
Inzicht in de GDPR-regels maakt de weg vrij voor compliance
Het juridische kader van de GDPR bepaalt hoe gegevens van EU-inwoners overal ter wereld moeten worden verwerkt. Een overzichtelijke woordenlijst helpt IT-experts om te bepalen welke onderdelen beter kunnen. En met de juiste tools profiteert u van remote management en meer zicht op uw omgeving voor volledige compliance.
Gerelateerde onderwerpen:
