Het zal geen enkele GC zijn ontgaan dat eind mei de AVG van kracht wordt. Vanaf dat moment moet iedere organisatie passende maatregelen hebben doorgevoerd voor het omgaan met data lekken, eDiscovery, M&A-data rooms en andere data verzamelingen die veel persoonlijke gegevens bevatten. Hoewel veel nog onduidelijk is en er geen pasklare oplossing is voor alle vereisten, is er wel veel wat de General Counsel kan doen om straks compliant te zijn en toch slagvaardig te blijven.
Op 25 mei a.s. wordt de Algemene Verordening Gegevensbescherming (AVG) ook wel aangeduid met de Engels term General Data Protection Regulation (GDPR), van kracht. Met de AVG gaat de Europese Commissie de persoonsgegevens van individuen binnen de Europese Unie strenger beschermen.
Vanaf dat moment moet iedere organisatie passende maatregelen hebben doorgevoerd voor het omgaan met data lekken, eDiscovery, M&A-data rooms en andere data verzamelingen die veel persoonlijke gegevens bevatten.
Geen pasklare oplossing
Hoewel veel consultants anders doen geloven, is er geen pasklaar wondermiddel om alle vereisten van de AVG af te dekken. De nieuwe wetgeving is veel te breed en omvat te veel aspecten van gegevensbescherming, privacy en security.
Iedereen heeft straks het recht tot inzage in zijn of haar persoonlijke informatie en iedereen kan zich straks beroepen op “het recht om te worden vergeten”. Dat betekent dat u in staat moet zijn te allen tijde specifieke persoonsgegevens te traceren en te verwijderen. En dat moet u ook nog eens kunnen bewijzen aan de aanvrager en een eventuele toezichthouder.
Bedrijven moeten voldoen aan zeer strenge cyberbeveiligingseisen, verplichte encryptie en eventuele datalekken direct melden. Voor iedere corporate transactie gelden strakke regels voor het verwerken, opslaan en doorgeven van persoonlijke gegevens. En ieder bedrijf is verplicht om altijd vooraf expliciete toestemming te vragen voor het opslaan van bepaalde persoonlijke informatie en dit bewijsbaar vast te leggen.
Daarnaast zijn er nog steeds veel vragen over de praktische implicaties van verschillende onderdelen van de wetgeving. Er is dus geen pasklare oplossing die GC kunnen omarmen. Maar er is wel heel veel wat GC al kunnen doen om op zijn minst de meest dringende zaken aan te pakken. Als u op 25 mei de volgende vragen bevestigend kunt beantwoorden, bent u al een heel eind.
- Bent u in staat om persoonlijke informatie te redigeren en te pseudonimiseren voordat deze openbaar wordt aan derden?
- Bent u in staat om oudere archieven op te ruimen die persoonlijke informatie bevatten waarvoor geen zakelijk doel bestaat of waarvoor geen expliciete toestemming is verleend?
- Kunt u de gegevens van uw bedrijf opslaan in verschillende rechtsgebieden?
- Kunt u getroffen personen na een datalek op tijd informeren?
- Kunt u reageren op het verzoek om te worden vergeten?
Ronde Tafel “Omgaan met persoonlijke data in het tijdperk van de AVG”
Tijdens het GCN-congres in april verzorgt ZyLAB samen met een GC de ronde tafel-sessie “New ways of working” – Omgaan met persoonlijke data in het tijdperk van de AVG”. Tijdens deze ronde tafel delen diverse general counsel hun ervaringen en laat Hans Willers van ZyLAB zien met welke technieken GC zich kunnen voorbereiden op de invoering van de AVG. Aan bod komen onder andere de volgende onderwerpen:
- Wat zijn de eisen en kosten van AVG-compliant Software as a Service (SaaS) en in-house databeheer? Hoe kunnen die kosten beperkt worden?
- Hoe ruimen we oude archieven op en hoe maken we de opslag compliant met de AVG?
- Wat zijn de gevolgen van de “right to be forgotten” voor uw organisatie? Kan iedereen zomaar alles gaan opvragen?
- eDiscovery, arbitrage, verzoeken van toezichthouders, dataonderzoeken en M&A gaan totaal veranderen in het tijdperk van de AVG? Wat staat ons te wachten?
- Hoe te handelen bij een datalek? Hoe kunt u snel alle eventueel betrokken individuen notificeren?
- Praktische workshop in Redaction & Pseudonimization voor het identificeren van privacygevoelige gegevens en snel reageren op een datalek.