Blogs over de AVG, persoonsgegevens en je leveranciers

Je werkt met persoonsgegevens van klanten, personeel of patiënten, en de AVG stelt daar eisen aan. Moet je een functionaris gegevensbescherming aanstellen? Wanneer is een DPIA verplicht? En wat teken je wel en niet in de verwerkersovereenkomst die je klant meestuurt? Deze blogs geven per vraag een praktisch antwoord, zonder dat je de hele verordening hoeft te lezen. Ze zijn geschreven door Esmée Piening, advocaat privacyrecht; wat wij voor je doen, lees je op de pagina Privacyrecht.

Veelgestelde vragen over de AVG

Wanneer moet ik een DPIA uitvoeren?

Een DPIA (gegevensbeschermingseffectbeoordeling) is onder de AVG verplicht bij verwerkingen van persoonsgegevens met een hoog privacyrisico. Veel organisaties weten niet wanneer die verplichting geldt of hoe ze de beoordeling aanpakken. Wat erin moet staan, lees je in DPIA uitvoeren: wanneer en hoe?.

Heb ik ook bij een klein project een verwerkersovereenkomst nodig?

Ja, als je bij dat project persoonsgegevens verwerkt in opdracht van je klant. De AVG kent geen ondergrens voor de omvang van de opdracht; de overeenkomst moet schriftelijk zijn, maar elektronisch mag ook. Voor een klein project volstaat vaak een kort model, zolang de verplichte onderdelen erin staan. Lees Verwerkersovereenkomst leverancier: wat teken je wel en wat niet?.

Moet ik als leverancier het model van mijn klant gebruiken?

Nee. De AVG eist een schriftelijke overeenkomst met een vaste minimale inhoud, maar schrijft niet voor wiens model je gebruikt. Je mag een eigen model voorstellen of het model van je klant aanpassen; houdt je klant vast aan zijn tekst, dan onderhandel je over de bijlagen en een lijst met afwijkingen. Wat wij daarbij voor je doen, lees je op de pagina Verwerkersovereenkomst opstellen.

Een privacyvraag of een verwerkersovereenkomst op je bureau? Neem contact op met onze privacyadvocaat Esmée voor een vrijblijvend gesprek.