Na 125 dagen lijkt de urgentie rondom de AVG verdwenen. Maar daar is weinig reden toe.

Lang hing de datum van 25 mei als een zwaard van Damocles boven de markt. Zouden we allemaal op tijd voldoen aan de nieuwe, aangescherpte privacyregels die met de Algemene Verordening Gegevensbescherming in werking gingen treden?

Het leek lange tijd een soort millenniumbug, maar uiteindelijk bleek het leven na 25 mei toch gewoon verder te gaan. Niets aan de hand dus? Nou zo is het ook weer niet. Nu, 125 dagen later, is voor elke organisatie die privacy serieus neemt nog steeds veel werk aan de winkel, zo vertelde Renske de Groot van de Wijn & Stael advocaten vorige week in haar webinar over de AVG.

De relatieve stilte die na 25 mei over het onderwerp is ingetreden, baart haar dan ook behoorlijk zorgen, zo maakt ze in haar webinar dat ze gaf namens Brainnet duidelijk.

Puntjes op de i ontbreken nog

Organisaties lijken vaak een aantal basisvoorwaarden wel op orde te hebben. Een privacy-statement voor klanten bijvoorbeeld. Er zijn ook verwerkersovereenkomsten. En er is vaak een functionaris voor gegevensbescherming. Maar De Groot krijgt ook de indruk dat het daar blijft hangen. Is er bijvoorbeeld ook een privacy-statement voor sollicitanten? Zijn er duidelijke afspraken over bewaartermijnen van cv’s? Worden personeelsdossiers voldoende beschermd? De ‘nieuwe’ rechten van sollicitanten, inclusief kandidaten voor interim-functies, ziet De Groot als een van de grotere struikelblokken binnen organisaties. Waarbij ze ‘nieuwe’ tussen haakjes zet. Het zijn immers privacy-rechten die veelal ook al voor de AVG van kracht waren.

Een ander groot struikelblok zijn de misverstanden over de begrippen ‘verwerkingsverantwoordelijke’ en ‘verwerker’. “Als je het over de keten van leveranciers, een MSP en afdelingen bij een opdrachtgever hebt, is het eigenlijk heel duidelijk. Iedereen is voor zijn eigen stap in dat proces ‘verwerkingsverantwoordelijke’, met alle verplichtingen die daarbij horen.”

Bewustwording

Naast de puntjes op de i zetten gaat het volgens De Groot nu ook vooral om het bewustwording creëren. “Het management zal bekend zijn met de AVG. Een aantal functionarissen weet de details, maar bij de AVG gaat het uiteindelijk om dat iedereen in de organisaties die met persoonsgegevens omgaat zich bewust is van de regels, de interne procedures en de acties die je moet nemen als er toch iets misgaat. Die cultuuromslag moet bij veel organisaties nog plaatsvinden.”

In haar webinar zet Renske de Groot de praktijkervaringen na 125 dagen AVG overzichtelijk op een rij:

Zie voor meer informatie ook de uitgebreide speciale AVG pagina van Brainnet: AVG en de gevolgen van privacyregels inlenen flexibele deskundigen