AVG betekenis
De betekenis van AVG verwijst naar de Algemene verordening gegevensbescherming: de Europese wet die regelt wat organisaties met informatie over jou mogen doen. Vul je op een website je naam en e-mailadres in en vink je aan dat je akkoord gaat met de privacyvoorwaarden, dan bepaalt deze wet wat er daarna met die gegevens mag gebeuren.
AVG is een initiaalwoord, samengesteld uit de beginletters van die officiële naam. De wet geldt in elk land van de Europese Unie, en de Autoriteit Persoonsgegevens noemt hem de belangrijkste regeling voor het beschermen van persoonsgegevens. Het woord hoort thuis in het privacyrecht, maar je hoeft geen jurist te zijn om het tegen te komen: een webwinkel, je gemeente en je werkgever moeten zich er allemaal aan houden. Ontbreekt er nog iets? Stuur het in en maak kans op een Bol.com waardebon t.w.v. €100!
Wat betekent AVG, letter voor letter?
De betekenis van AVG zit al in de drie woorden achter de letters. De A staat voor algemene, de V voor verordening en de G voor gegevensbescherming. Het middelste woord vertelt welk soort wet het is. Een verordening van de Europese Unie werkt in elke lidstaat meteen door, dus een land hoeft de regels niet eerst in een eigen wet over te nemen. Officieel draagt de AVG het nummer Verordening (EU) 2016/679, en de lange titel die bij dat nummer hoort, laat iets zien wat de afkorting verzwijgt: naast het beschermen van persoonsgegevens regelt de wet ook het vrije verkeer ervan.
Wanneer mag een organisatie jouw gegevens gebruiken?
Aan het begin van de wet staat een principiële keuze: het beschermen van persoonsgegevens geldt als grondrecht. Een organisatie mag gegevens over jou alleen gebruiken als ze daar een geldige grondslag voor heeft, zoals jouw toestemming, een overeenkomst die ze met je sluit of een wettelijke plicht. Verder legt de AVG vast wat die organisatie moet doen, en welke rechten jij tegenover haar hebt. Het woord gebruiken is in dit verband ruim bedoeld. De wet spreekt van verwerken, en daaronder valt vrijwel alles wat je met gegevens kunt doen: verzamelen, vastleggen en opslaan, maar ook raadplegen, doorsturen, combineren en uiteindelijk wissen. Ook een bedrijf dat je e-mailadres alleen bewaart, verwerkt dus persoonsgegevens.
Wie moet zich aan de AVG houden, en wie niet?
Iedereen die met persoonsgegevens werkt, valt onder de AVG. De Autoriteit Persoonsgegevens noemt bedrijven, de overheid en zelfs particulieren, met als voorbeeld iemand die bij zijn huis een camera ophangt. De wet houdt ook niet op bij de grenzen van de EU. Verwerkt een onderneming van buiten de EU gegevens van mensen die in de EU wonen, bijvoorbeeld om die mensen producten of diensten te leveren, dan geldt de AVG ook voor die onderneming. Er is wel een groep met een eigen regeling. Spoort de politie strafbare feiten op of vervolgt justitie een verdachte, dan geldt een aparte Europese richtlijn. Nederland heeft die uitgewerkt in de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens. Voor de gegevens van hun eigen personeel vallen politie en justitie gewoon onder de AVG.
Wanneer is iets een persoonsgegeven onder de AVG?
Een persoonsgegeven is volgens de wet elk stukje informatie over een mens van wie vaststaat wie hij is, of van wie dat valt uit te zoeken. Die persoon heet in de AVG de betrokkene. Soms wijst een gegeven meteen naar jou, zoals je naam, je adres, je telefoonnummer of je pasfoto. Meer over dat rijtje basisgegevens lees je bij wat betekent NAW-gegevens. Andere informatie wordt pas herleidbaar als je haar koppelt aan iets anders; de Autoriteit Persoonsgegevens spreekt dan van indirecte persoonsgegevens. Een klantnummer, een allergie, wat je online koopt en beelden of geluidsopnames waarop je te herkennen bent, horen er allemaal bij. Ook een IP-adres kan een persoonsgegeven zijn. Vervang je een naam door een code, dan blijft de AVG gelden. Een gecodeerd gegeven valt er dus nog onder, een volledig anoniem gegeven niet meer.
Is de AVG hetzelfde als de GDPR?
Ja, het gaat om precies dezelfde wet. GDPR is de Engelse naam en staat voor General Data Protection Regulation. Het Algemeen Nederlands Woordenboek geeft GDPR dan ook als synoniem van AVG. Zet je de twee namen onder elkaar, dan zie je dat ze elkaar woord voor woord volgen: general is algemeen, data protection is gegevensbescherming en regulation is verordening. Er bestaat dus geen Europese GDPR met een Nederlandse AVG ernaast. Zoek je op gdpr betekenis, dan kom je bij dezelfde verordening uit, alleen onder haar Engelse naam. Lees je in de voorwaarden van een website GDPR in plaats van AVG, dan gelden daar dezelfde regels.
Waar kom je de AVG tegen buiten de privacyvoorwaarden?
Het vinkje bij de privacyvoorwaarden is het bekendste moment, maar lang niet het enige. Ondernemersplein somt gewone situaties op waarin een ondernemer met de AVG te maken heeft, van een offerte of een rekening tot een nieuwsbrief, een contactformulier op de website en het aannemen van personeel. Vraagt een organisatie om je toestemming, dan is die toestemming alleen geldig als je haar vrij geeft, voor een duidelijk omschreven doel en op basis van voldoende informatie. Bovendien moet ze blijken uit een ondubbelzinnige verklaring of een duidelijke handeling van jouw kant. Meer daarover lees je bij wat betekent consent. Zelfs een visitekaartje kan onder de AVG vallen, zegt de Autoriteit Persoonsgegevens, als iemand zulke kaartjes voor zijn werk systematisch bewaart. En heeft een organisatie een ernstig datalek, dan moet ze dat binnen 72 uur doorgeven aan de Autoriteit Persoonsgegevens, die in Nederland op de AVG toeziet.
Welke rechten geeft de AVG jou?
Tegenover elke organisatie die jouw gegevens gebruikt, heb je recht op heldere uitleg over wat ze ermee doet. Ook mag je opvragen welke gegevens ze van je heeft en die inzien. Staat er iets verkeerd, dan laat je het corrigeren. Je kunt vragen om je gegevens te wissen, wat ook wel het recht op vergetelheid heet. Daarnaast kun je je gegevens laten overzetten naar een andere organisatie. Wil je het gebruik tijdelijk laten stilzetten, bijvoorbeeld zolang een geschil loopt, dan vraag je om beperking van de verwerking. Verder kun je bezwaar maken; gaat het om direct marketing, dan moet de organisatie altijd stoppen. Neemt een systeem een besluit over jou, dan mag je vragen dat een mens ernaar kijkt. Op een verzoek moet een organisatie in principe binnen een maand antwoorden. Overtreedt ze de regels, dan kun je bij de Autoriteit Persoonsgegevens een klacht indienen.
Geen verbod maar spelregels: wat de AVG echt betekent
Een hardnekkig misverstand is dat de AVG het delen van gegevens verbiedt. De wet bepaalt juist wanneer het wel mag. Zorg+Welzijn schreef over een ethicus die de AVG soms een stoplap noemt: iemand roept AVG en het gesprek over gegevens delen is afgelopen. Een tweede misverstand is dat alleen grote bedrijven eraan vastzitten, terwijl de Autoriteit Persoonsgegevens kleine ondernemers er net zo goed onder rekent. Ook beschermt de wet niet elk gegeven. Informatie over een organisatie of over iemand die is overleden, valt erbuiten, tenzij ze toch iets onthult over iemand die nog leeft, bijvoorbeeld een erfelijke ziekte. Wat de AVG wel betekent, blijkt uit de verantwoordingsplicht: een organisatie moet kunnen aantonen dat ze de regels naleeft. Vink je de privacyvoorwaarden aan, dan geef je dus geen vrijbrief weg. De organisatie blijft aan de wet gebonden, en jij houdt je rechten.