De Algemene Verordening Gegevensbescherming (AVG) vormt de kern van de Europese wetgeving inzake digitale privacy. "De digitale toekomst van Europa kan alleen worden gebouwd op vertrouwen. Met solide gemeenschappelijke normen voor gegevensbescherming kunnen mensen er zeker van zijn dat ze de controle hebben over hun persoonlijke gegevens", aldus Andrus Ansip, vicevoorzitter voor de Digitale Eengemaakte Markt, tijdens de goedkeuring van de hervormingen. in december 2015.
De AVG is van toepassing op alle bedrijven die gegevens van EU-ingezetenen verzamelen en verwerken. Bedrijven buiten de EU moeten een AVG-vertegenwoordiger aanstellen en zijn aansprakelijk voor alle boetes en sancties.
Kritische vereisten van de AVG zijn:
- Rechtmatige, eerlijke en transparante verwerking
- Beperking van doel, gegevens en opslag
Verzamel alleen de noodzakelijke informatie en verwijder alle persoonlijke informatie nadat de verwerking is voltooid - Rechten van betrokkenen
Een klant kan vragen welke gegevens een organisatie over hem heeft en wat het beoogde gebruik van de gegevens is. - Toestemming
Organisaties moeten toestemming van de klant vragen als persoonsgegevens voor andere dan legitieme doeleinden worden verwerkt. De klant kan zijn toestemming ook op elk gewenst moment intrekken. - Inbreuken op persoonsgegevens
Afhankelijk van de ernst en de regelgeving moet de klant binnen 72 uur na constatering van de inbreuk op de hoogte worden gebracht. - Privacy by design
Organisaties moeten organisatorische en technische mechanismen inbouwen om persoonsgegevens te beschermen bij het ontwerp van nieuwe systemen en processen. - Gegevensbeschermingseffectbeoordeling
Een gegevensbeschermingseffectbeoordeling moet worden uitgevoerd bij het opstarten van een nieuw project, een nieuwe verandering of een nieuw product. - Gegevensoverdrachten
Organisaties moeten ervoor zorgen dat persoonlijke gegevens worden beschermd en dat de AVG-vereisten worden nageleefd, zelfs als een derde partij dit doet - Functionaris voor Gegevensbescherming
Wanneer er binnen een organisatie sprake is van grootschalige verwerking van persoonsgegevens, dient de organisatie een Functionaris Gegevensbescherming aan te stellen. - Bewustwording en training
Organisaties moeten hun medewerkers bewust maken van de cruciale AVG-vereisten
Om AVG in de cloud te realiseren, moeten we deze aanvullende stappen nemen
- Organisaties moeten weten waar de gegevens worden opgeslagen en verwerkt door CSP
- Organisaties moeten weten welke CSP's en cloud-apps voldoen aan hun beveiligingsnormen. Organisaties moeten adequate beveiligingsmaatregelen nemen om persoonsgegevens te beschermen tegen verlies, wijziging en ongeautoriseerde verwerking.
- Organisaties dienen een gegevensverwerkingsovereenkomst te hebben met de CSP en de cloud-apps die zij gebruiken.
- Organisaties zouden alleen de gegevens moeten verzamelen die zij daadwerkelijk nodig hebben en de verwerking van persoonsgegevens verder moeten beperken.
- Organisaties moeten ervoor zorgen dat de overeenkomst voor gegevensverwerking wordt nageleefd en dat persoonsgegevens niet voor andere doeleinden worden gebruikt door CSP of cloud-apps.
- Organisaties moeten naar wens gegevens uit alle gegevensbronnen in CSP kunnen verwijderen.