Privacy en IT-recht

De AVG in het kort

Sinds 25 mei 2018 geldt in de hele Europese Unie de Algemene verordening gegevensbescherming. Een organisatie mag persoonsgegevens alleen verwerken op een van de wettelijke grondslagen, zoals toestemming, de uitvoering van een overeenkomst, een wettelijke plicht of een gerechtvaardigd belang. Verder geldt dat niet meer gegevens mogen worden verzameld dan nodig, dat ze niet langer mogen worden bewaard dan nodig en dat ze goed beveiligd moeten zijn.

Rechten van betrokkenen

Iedereen van wie gegevens worden verwerkt, kan om inzage, correctie of verwijdering vragen, en kan bezwaar maken tegen bepaalde verwerkingen. Een organisatie moet binnen een maand reageren. Die termijn kan met twee maanden worden verlengd bij complexe of talrijke verzoeken, mits dat binnen de eerste maand wordt gemeld. Een klacht kan worden ingediend bij de Autoriteit Persoonsgegevens.

Datalekken

Een datalek dat een risico oplevert voor de betrokkenen, moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens. Is het risico hoog, dan moeten ook de betrokkenen zelf worden ingelicht. Elk datalek moet intern worden vastgelegd, ook als het niet meldplichtig is. De toezichthouder kan boetes opleggen tot twintig miljoen euro of vier procent van de wereldwijde jaaromzet, als dat hoger is.

Meer dan privacy

Het IT-recht omvat ook softwarelicenties, SaaS-overeenkomsten, aansprakelijkheid bij storingen en de Europese regels voor digitale diensten, zoals de Digital Services Act, de Digital Markets Act en de AI-verordening. Contracten over software en data vragen om heldere afspraken over eigendom, beschikbaarheid, beveiliging en exit.

Kantoor op dit terrein