Hoe beveilig ik mijn persoonsgegevens?

Je moet volgens de AVG persoonsgegevens op een juiste en doeltreffende manier beveiligen. Op welke wijze geef je daar invulling aan?

Zijn er zaken die minimaal geregeld moeten worden? Hoe ga ik met deze verplichting om richting mijn leveranciers en serviceproviders? Want de onderneming is volgens de AVG verantwoordelijk voor het nemen van passende technische én organisatorische maatregelen om een adequaat beveiligingsniveau te waarborgen voor de verwerking van persoonsgegevens.

Persoonsgegevens goed beveiligen
Hoe moet ik volgens de AVG die persoonsgegevens dan goed beveiligen? Hiervoor moet je met de volgende zaken rekening houden:

  • de stand van de techniek – de huidige technische stand van de techniek is voor wat betreft technische maatregelen bepalend voor wat er minimaal van je verwacht wordt
  • de aard, de omvang en doeleinden van de verwerkingen – de categorieën van persoonsgegevens in samenhang met de hoeveelheid persoonsgegevens en de verwerkingsdoelen zijn medebepalend voor de te nemen maatregelen
  • de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de personen – feitelijk dien je een risico-inschatting te maken van de verwerkingen en om op basis hiervan maatregelen te treffen
  • verwerkers – je kunt alleen een beroep doen op verwerkers die afdoende garanties met betrekking tot het toepassen van technische en organisatorische maatregelen bieden; deze maatregelen moeten worden opgenomen in een verwerkersovereenkomst; je bent bovendien gerechtigd te (laten) controleren bij verwerker(s) of de maatregelen adequaat zijn
  • de uitvoeringskosten – de AVG biedt tevens ruimte om een kostenafweging te maken. Indien de risico’s beperkt zijn, wordt niet van je verwacht dat je grote investeringen doet om een hoog beschermingsniveau te bereiken.
  • beleid – als je van mening bent dat je, gezien voorgaande zaken, hoge risico’s loopt bij de verwerking van persoonsgegevens, dan dien je een passend zogeheten gegevensbeschermingsbeleid uit te voeren. Dat houdt in dat je op basis van een risico-inschatting de beschermingsmaatregelen bepaalt. Voor de meeste mkb-ondernemingen zal een gegevensbeschermingsbeleid niet nodig zijn. 

Maatregelen beveiligen
Vervolgens geeft de AVG enkele voorbeelden van mogelijke maatregelen, namelijk:

  • pseudonimiseren en versleuteling van persoonsgegevens
  • op permanente basis de vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van de systemen en diensten garanderen
  • het tijdig herstellen van toegang en beschikbaarheid bij een incident, zoals een datalek
  • een evaluatieprocedure om doeltreffendheid van de maatregelen te testen en beoordelen.

Pseudonimiseren van persoonsgegevens
Persoonsgegevens kunnen in het geval van pseudonimiseren niet meer aan een specifieke betrokkene worden gekoppeld zonder dat er aanvullende gegevens nodig zijn (een zogenaamde sleutel om informatie te decoderen). Omdat het via het gebruik van een sleutel nog steeds mogelijk is om de betreffende persoon (indirect) te identificeren, kwalificeren pseudoniemen nog steeds als persoonsgegevens. Dit in tegenstelling tot het anonimiseren van persoonsgegevens.

Andere maatregelen
Andere maatregelen die je sowieso moet treffen, zijn:

  • wachtwoordbeleid en rechten- en autorisatiestructuur inrichten
  • logging en controle (monitoring) van toegang tot de informatiesystemen 
  • implementatie van actuele beveiligingsupdates
  • viruscontrole en firewall inregelen
  • monitoring kwetsbaarheden op het interne en externe netwerk
  • adequate fysieke beschermingsmaatregelen treffen 
  • procedures voor opslag, onderhoud en vernietiging van data opstellen
  • procedures voor het behandelen van informatiebeveiligingsincidenten en datalekken opstellen
  • back-upbeleid opzetten en uitvoeren adequate back-ups.

Gedragscode of certificering
Door als onderneming aan te sluiten bij een gedragscode voor de verwerking van persoonsgegevens (bijvoorbeeld binnen de branche) of een specifieke certificering, kun je aantonen dat je aan de vereisten voor technische en organisatorische maatregelen die de AVG stelt, voldoet. Een voorbeeld van een algemeen geaccepteerde standaard voor informatiebeveiliging is ISO27001.

Tip:
Indien je gebruik wilt maken van bepaalde certificeringen om wat betreft technische en organisatorische maatregelen te voldoen aan de verplichtingen uit de AVG, maak dan keuzes. Want het kan zijn dat je onderneming niet alle onderdelen van die certificeringen nodig heeft!

Zoek dichtstbijzijnde locatie

Vul een plaats of postcode in om de dichtstbijzijnde locatie te vinden.