GDPR-deadline niet gehaald? Dit kun je er nog aan doen

Sinds 25 mei zouden alle bedrijven moeten voldoen aan de GDPR. Heb jij het al voor elkaar? Heb je aan alles gedacht? Loop deze checklist even door.
De regulering is niet iets van dit moment, we moeten er jaren mee vooruit. Als je alles goed hebt ingeregeld, gaat dat ook lukken.

Ben je al te laat? Zo pak je het aan!

1. Prioriteer meedogenloos

Het is misschien niet haalbaar om op alle niveaus aan de GDPR te voldoen, vooral als jouw bedrijf veel data verwerkt. Om de kwaliteit van je werk hoog te houden, moet je kiezen op welke onderdelen je gaat inzetten. Je moet nog jaren met de GDPR werken, je moet op alle fronten met je oplossingen leven, dus focus op kwaliteit.

2. Bouw een goed bestuursmodel

Bedenk dat het geen eenmalig project is. Denk er ook over na hoe je alles up-to-date houdt als alles eenmaal is ingeregeld.

3. Houdt het zakelijke doel van alle documentatie in het oog

De GDPR vereist dat bedrijven een enorme hoeveelheid data documenteren. Het risico bestaat dat er honderden pagina’s met documenten worden gemaakt, en dat vervolgens niemand de zakelijke noodzaak ziet om dit up-to-date te houden. Bedenk wat het zakelijke doel is en richt een proces in om de documentatie in de toekomst automatisch bij te werken.

4. Overweeg wat rechten van betrokkenen echt betekenen

Wanneer moet je bijvoorbeeld het recht om te worden vergeten implementeren? We hebben allemaal systemen die niet kunnen worden bijgewerkt voor de GDPR. Die systemen kunnen we ook niet meteen van de hand doen. Bekijk welke systemen kunnen blijven werken zoals ze nu doen en welke systemen aanpassing nodig hebben.

Hoe heeft F-Secure de GDPR geïmplementeerd?

In deze webinar deelt onze Privacy Officer Hannes Saarinen wat hij heeft geleerd tijdens onze eigen GDPR-reis. Doe er je voordeel mee!

Alle F-Secure-producten ondergingen een privacy-effectbeoordeling. Hieronder onze checklist en tips over prioriteiten.

1. Ben je een controller of een processor? Processors hebben minder verplichtingen. Controleer dit zodat je geen extra werk gaat doen.
2. GDPR geeft juridische gronden aan de hand waarvan je je data verwerkt. Bekijk goed welke je toepast voor welk doel, en welke data subject rechten je moet implementeren op jouw systemen.
3. Leg de bewaartermijn vast. Wanneer je data verzamelt, maak je een plan. Je neemt het zakelijke doel op, de reden voor het verzamelen van de data en hoe lang je ze bewaart.
4. Denk na over gegevensoverdracht en het vrijgeven van data, wat je in contracten zet en met wie je ze afsluit.
5. Beperk de toegang en versterk de beveiliging. Statistieken tonen aan dat datalekken voor bedrijven de grootste oorzaak zijn van boetes op het gebied van privacy. Als je de GDPR gewoon als risicobeperkende maatregel neemt, moet je ervoor zorgen dat de kans op inbreuken in persoonlijke gegevens laag blijft. Zorg voor een goede toegangscontrole en een solide beveiligingskader. Beschik over mogelijkheden om inbreuken op te sporen en de Autoriteit Persoonsgegevens op de hoogte te stellen, voordat jouw datalek het nieuws haalt.
6. Werk het privacy-beleid bij. Hier draait het eigenlijk allemaal om bij de GDPR of een andere verordening inzake gegevensbescherming. Wees transparant naar klanten en zorg voor een solide privacy-verhaal. Pas als je de vorige stappen in het GDPR-proces hebt doorlopen, weet je wat je in het beleid moet schrijven.
7. Schakel de relevante rechten voor data subjects in en spreek het proces af. Niet iedereen heeft een leuk portaal, maar iedereen zou een oefening moeten doen om hier goed mee om te gaan.
8. DPIA (Data Protection Impact Assessments) zijn vereist voor verwerking met hoog risico.

Kort samengevat

Als je er nog helemaal geen tijd voor hebt gehad, update dan in ieder geval het privacy-beleid. En zorg ervoor dat je over goede beveiligingsoplossingen beschikt die ook overtredingen kunnen detecteren.

Hier lees je hoe security-oplossingen kunnen helpen om te voldoen aan de GDPR.