Aan de basis van de GDPR liggen drie basisprincipes, namelijk transparantie, beveiliging en het proportionaliteitsbeginsel.

Transparantie

Persoonsgegevens dienen op een rechtmatige, behoorlijke en transparante wijze verwerkt te worden. Een behoorlijke verwerking houdt in dat er gehandeld wordt als een ‘goede huisvader’. Iedere inmenging in de persoonlijke levenssfeer moet bij wet voorzien zijn en beantwoorden aan een gerechtvaardigd doel. Het is belangrijk om steeds de wettelijke vereisten inzake de verwerking van persoonsgegevens te bekijken.

Iedereen die tot verwerking overgaat, moet hierover een transparant beleid voeren. De betrokkene moet in begrijpelijke vorm alle informatie en mededelingen krijgen. Hierbij moet een aan de betrokkene aangepaste taal worden gebruikt zodat de communicatie op een heldere en begrijpelijke wijze verloopt. De verwerkingsverantwoordelijke neemt hiervoor ‘passende maatregelen’.

In de praktijk zien we dat in vele gevallen de betrokkenen niet of onvolledig op de hoogte zijn over de verwerking van hun persoonsgegevens. Ook organisaties zijn vaak onwetend over de samenstelling en hoeveelheid van gegevens die ze verzamelen en verwerken. Om dergelijke situaties te vermijden, werd dan ook voor transparantie gekozen als één van de basisprincipes van de GDPR. Een ruime interpretatie van het begrip transparantie draagt dan ook de voorkeur uit waarbij men in de eerste plaats pleit voor een transparante handelingswijze ten opzichte van de betrokkenen. Er dient steeds gecommuniceerd te worden aan de betrokkenen welke gegevens er verwerkt worden, waarom dit gedaan wordt en wat de betrokkene hiertegen kan doen.

Daarnaast moet elke organisatie op de hoogte zijn van wat er met de verzamelde gegevens gebeurt. Hiervoor moet zij in kaart brengen met welke andere organisaties er persoonsgegevens worden uitgewisseld en dient ze hiervoor de juiste overeenkomsten te sluiten. Verder stipuleert de GDPR dat alle verwerkingen worden opgenomen in registers om op die manier een transparant overzicht te creëren over de gegevens die verwerkt worden.

Beveiliging

Naast transparantie omtrent de persoonsgegevens moeten de persoonsgegevens ook voldoende beveiligd worden.

Het internet biedt vele mogelijkheden, maar er schuilen ook vele gevaren. Datalekken zijn dan ook alomtegenwoordig, zelfs bij grote bedrijven zoals  LinkedIn, Adobe, Dropbox,…

De meeste datalekken zijn te wijten aan een te zwakke beveiliging van de persoonsgegevens. Daarom is beveiliging het tweede basisprincipe van de GDPR.

Uitsluitend wie verantwoordelijk is voor de verwerking of de persoon die onder zijn gezag handelt, heeft toegang tot de gegevens en neemt alle voorzorgsmaatregelen om de toegang te beveiligen.

De persoon van wie gegevens verwerkt worden, heeft het recht om die informatie rechtstreeks op te vragen. Daartoe wordt een verzoek gericht tot de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke zal bij de afweging van de belangen van de betrokkene telkens een noodzakelijkheidstoetsing moeten verrichten en moeten motiveren waarom het noodzakelijk is om een verzoek eventueel af te wijzen.

Beveiliging heeft uitwerking op verschillende vlakken. In de eerste plaats moet de IT-infrastructuur van uw organisatie voldoende beveiligd zijn. De beveiliging van uw IT-infrastructuur kan u testen door middel van IT-penetratietesten, dewelke wij voor u kunnen laten uitvoeren via een partner. Na dergelijke testen weet u waar de zwakke plekken in uw IT-infrastructuur zitten en kan u de nodige maatregelen nemen om deze weg te werken.

Daarnaast is er ook de fysieke beveiliging. De fysieke toegang tot persoonsgegevens blijkt in vele organisaties zeer eenvoudig te gaan. Dossiers liggen vaak voor het grijpen, waardoor persoonsgegevens kunnen geraadpleegd worden door onbevoegde personen. Daarom gaat u best na hoe eenvoudig het is voor iemand van buiten uw organisatie om toegang te krijgen tot persoonsgegevens. Op deze manier zal u ook hier de zwakke plekken vinden, waardoor u de nodige maatregelen kan nemen om deze zwakke plekken weg te werken.

Het proportionaliteitsbeginsel

Persoonsgegevens moeten toereikend en ter zake dienend zijn en moeten beperkt blijven tot datgene wat minimaal nodig is voor de doeleinden. Het is niet altijd mogelijk om tot beperkte verwerking over te gaan. Gegevens moeten bewaard worden in een vorm die het niet langer mogelijk maakt de betrokkene te identificeren dan voor de verwezenlijking van de doeleinden noodzakelijk is. Zij dienen juist te zijn en te worden geactualiseerd, de zogenaamde nauwkeurigheidsvereiste. Alle redelijke maatregelen dienen te worden getroffen om gegevens die onjuist zijn onverwijld uit te wissen of te verbeteren.