Wat is de AVG (GDPR)? De Europese privacywet uitgelegd
De AVG (Algemene verordening gegevensbescherming), in het Engels bekend als de GDPR, is de privacywet van de Europese Unie. Ze bepaalt hoe organisaties de persoonsgegevens van mensen in de EU verzamelen, bewaren en gebruiken, en ze geldt sinds 25 mei 2018.
Haar bereik is groter dan veel teams denken. De verordening geldt voor organisaties binnen én buiten de EU, zodra ze goederen of diensten aanbieden aan mensen in de EU of hun gedrag volgen, volgens artikel 3. Een Amerikaans softwarebedrijf met Europese gebruikers valt er net zo goed onder als een Nederlandse of Vlaamse webwinkel. De volledige wettekst is Verordening (EU) 2016/679.
Op het niveau van de definitie eist de AVG een paar kernzaken. Een organisatie moet een rechtsgrond hebben (toestemming is er maar één van zes) voordat ze persoonsgegevens verwerkt. Mensen krijgen afdwingbare rechten op hun gegevens: inzage, correctie, verwijdering en overdraagbaarheid. En wanneer een datalek waarschijnlijk een risico vormt voor mensen, moet de organisatie haar toezichthouder binnen 72 uur na kennisname informeren, waar dat haalbaar is (artikel 33). Die toezichthouder is in Nederland de Autoriteit Persoonsgegevens (AP) [BE: de Gegevensbeschermingsautoriteit (GBA)].
De handhaving heeft tanden. De boetes kennen twee niveaus: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor de lichtere overtredingen, en tot 20 miljoen euro of 4%, afhankelijk van welk bedrag hoger is, voor de zwaarste (gdpr.eu).
Dit is een definitie, geen juridisch advies. Voor vragen over naleving schakel je een professional op het gebied van gegevensbescherming in.
Waarom het belangrijk is voor maatwerksoftware
De verplichtingen uit de AVG reiken tot in het ontwerp van de software zelf: wat je logt, hoe lang je het bewaart, of gebruikers hun gegevens kunnen exporteren of wissen. Dat gedrag vanaf het begin inbouwen kost weinig, terwijl het er achteraf aan toevoegen pijnlijk is. Het is een vaste afweging in elk meertalig product dat we bouwen voor EU-markten, naast de beveiligingspraktijken (in het Engels) die dat ondersteunen.