Alle organisaties in Nederland moeten eind mei 2018 voldoen aan de EU-verordening over databescherming. Deze is veel strenger dan de huidige Wet bescherming persoonsgegevens.
Een jaar voor de invoering van de verordening is nog slechts twaalf procent van de organisaties helemaal voorbereid op de nieuwe regels. Dat blijkt uit het Privacy Governance-onderzoek van PwC. Meer dan de helft van de organisaties is nog niet begonnen met voorbereidingen.
Recht ‘om vergeten te worden’
De Europese Algemene Verordening Gegevensbescherming (AVG) gaat op 25 mei 2018 in en heeft grote gevolgen voor de verwerking en bescherming van persoonsgegevens binnen organisaties. Centraal staan het verkrijgen van inzicht in de verwerkingen van persoonsgegevens en datastromen en het vooraf borgen van privacy bij nieuwe producten en systemen (privacy by design & privacy by default). Ook krijgt iedereen het recht ‘om vergeten te worden’.
Begin op tijd
Veel organisaties onderschatten de voorbereidingstijd die de talrijke procedurewijzigingen en technische aanpassingen van hen vragen, zo blijkt uit het onderzoek.
Datalekken
Dat driekwart (74 procent) geen inzage- of correctieprocedures en de helft (51 procent) geen beleidsregels voor datalekken heeft en ruim een derde datalekken niet bijhoudt, geeft bovendien te denken. Aan deze regels moet een organisatie op basis van de huidige Nederlandse wetgeving al voldoen.
Belangrijkste conclusies uit rapport:
- Verwerking persoonsgegevens: Driekwart (74 procent) heeft verwerkingen van persoonsgegevens nog niet inzichtelijk en gedocumenteerd, terwijl dit wel een verplichting is. Slechts 19 procent van de organisaties heeft dit inmiddels wel gedaan.
- Right to be forgotten: 69 procent heeft geen enkele procedure geïmplementeerd voor de afhandeling van inzage- en correctieverzoeken van betrokkenen.
- Meldplicht datalekken: slechts 49 procent heeft een draaiboek klaarliggen in geval van een datalek.
- Data Protection Officer: 17 procent heeft de verantwoordelijkheid voor privacy neergelegd bij een privacy officer.
21 procent heeft nog niemand aangewezen die de rol van Data Protection Officer gaat vervullen. - Bewerkersovereenkomst: 13 procent sluit geen bewerkersovereenkomst af met derde partijen waarmee persoonsgegevens worden gedeeld. Belangrijkste reden is de onbekendheid hiervan.
- Privacy Impact Assessment: De helft (50 procent) voert geen Privacy Impact Assessment uit bij organisatiewijzigingen die grote impact hebben op de verwerking van persoonsgegevens.
- Bewaartermijnen: Een derde heeft geen bewaartermijnen geïmplementeerd.
- Mankracht: het grootste struikelblok voor tijdige implementatie is gebrek aan mankracht (39 procent), gevolgd door onvoldoende kennis (34 procent).
- Deadline: Slechts 12 procent zegt klaar te zijn voor de nieuwe EU-verordening. De helft (52 procent) verwacht voor de deadline van 25 mei 2018 klaar te zijn met voorbereidingen.
Bron: Salarisnet.nl