AVG Artikel 11 uitgelegd: De sleutel tot dataminimalisatie
GDPR Artikel 11 gaat over de beginselen van dataminimalisatie, die de manier waarop gegevens worden verwerkt grotendeels beperken tot alleen datgene wat noodzakelijk wordt geacht.
Verwerkingsverantwoordelijken moeten alle verwijzingen naar de betrokkene verwijderen of onleesbaar maken zodra de gegevens niet langer nodig zijn. Wanneer dit gebeurt, moeten verwerkingsverantwoordelijken ook meer informatie over de betrokkene verkrijgen om aan de regelgeving te blijven voldoen.
Als proefpersonen opnieuw geïdentificeerd willen worden, moeten verwerkingsverantwoordelijken dit ter harte nemen en stappen formuleren om aan het verzoek te voldoen.
Het is belangrijk op te merken dat, als de betrokkene niet is geïdentificeerd, artikel 11 gedeeltelijk van toepassing is, maar als de betrokkene om heridentificatie vraagt, moet de verwerkingsverantwoordelijke dit proberen (tenzij dit, door de bewijslast, onmogelijk blijkt te zijn).
AVG Artikel 11 Wettelijke tekst
EU AVG-versie
Verwerking waarvoor geen identificatie vereist is
- Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt de identificatie van een betrokkene door de verwerkingsverantwoordelijke niet (meer) vereisen, is de verwerkingsverantwoordelijke niet verplicht aanvullende informatie bij te houden, te verwerven of te verwerken om de betrokkene te identificeren voor de enige doel om aan deze verordening te voldoen.
- Wanneer de voor de verwerking verantwoordelijke, in de in lid 1 van dit artikel bedoelde gevallen, kan aantonen dat hij niet in staat is de betrokkene te identificeren, stelt de voor de verwerking verantwoordelijke de betrokkene daarvan, indien mogelijk, daarvan in kennis. In dergelijke gevallen zijn de artikelen 15 tot en met 20 niet van toepassing, tenzij de betrokkene, met het oog op de uitoefening van zijn of haar rechten uit hoofde van die artikelen, aanvullende informatie verstrekt die zijn of haar identificatie mogelijk maakt.
Britse AVG-versie
Verwerking waarvoor geen identificatie vereist is
- Indien de doeleinden waarvoor een verwerkingsverantwoordelijke persoonsgegevens verwerkt de identificatie van een betrokkene door de verwerkingsverantwoordelijke niet (meer) vereisen, is de verwerkingsverantwoordelijke niet verplicht aanvullende informatie bij te houden, te verwerven of te verwerken om de betrokkene te identificeren voor de enige doel om aan deze verordening te voldoen.
- Wanneer de voor de verwerking verantwoordelijke, in de in lid 1 van dit artikel bedoelde gevallen, kan aantonen dat hij niet in staat is de betrokkene te identificeren, stelt de voor de verwerking verantwoordelijke de betrokkene daarvan, indien mogelijk, daarvan in kennis. In dergelijke gevallen zijn de artikelen 15 tot en met 20 niet van toepassing, tenzij de betrokkene, met het oog op de uitoefening van zijn of haar rechten uit hoofde van die artikelen, aanvullende informatie verstrekt die zijn of haar identificatie mogelijk maakt.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
EU AVG artikel 11 (1) en ISO 27701 clausule 7.4.5
De-identificatie en verwijdering van PII aan het einde van de verwerking
Wanneer PII niet langer een bepaald doel vervult, moeten organisaties de gegevens volledig vernietigen of zodanig aanpassen dat elke vorm van identificatie op welke manier dan ook, zowel intern als extern, wordt voorkomen.
Zodra de organisatie heeft vastgesteld dat de PII op geen enkel moment in de toekomst hoeft te worden verwerkt, moet de informatie worden verwijderd of aangepast op een manier die het voor de betrokkene onmogelijk maakt om te worden geïdentificeerd
EU AVG artikel 11 (2) en ISO 27701 clausule 7.3.2
Informatie vaststellen voor PII-opdrachtgevers
Organisaties moeten de informatie documenteren die PII-opdrachtgevers ontvangen, waarin wordt uiteengezet hoe PII wordt verwerkt.
Er moeten een aantal eisen worden gesteld die bepalen wanneer informatie moet worden verstrekt en wat die informatie precies is, zoals:
- Het doel van het verzamelen en verwerken van de PII.
- Contact details.
- Hoe PII is verkregen.
- Schriftelijke vereisten (contractueel, wettelijk).
- Het proces waarbij toestemming wordt ingetrokken.
- Gegevensoverdrachten.
- Een klachtenprocedure.
- Het interne besluitvormingsproces.
- Bewaartermijnen voor gegevens.
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
EU AVG artikel 11 (2) en ISO 27701 clausule 7.3.3
Informatie verstrekken aan PII-opdrachtgevers
Organisaties moeten schetsen wie de PII-beheerder is en hoe gegevens worden verwerkt, via 'duidelijke en toegankelijke' middelen die de verspreiding van cruciale informatie niet belemmeren.
Informatie moet gemakkelijk te volgen zijn en in lekentermen worden uiteengezet, zodat iedereen die de informatie leest, de aard kan begrijpen van wat er wordt overgebracht, samen met eventuele technische of operationele bijzonderheden (zie ISO 27701, clausule 7.3.2).
Ondersteunende ISO 27701-clausules
- ISO 27701 7.3.2
Ondersteunende controles uit ISO 27701
| AVG-artikel | ISO 27701-clausule | ISO 27701 Ondersteunende clausules |
|---|---|---|
| EU AVG Artikel 11 (1) | ISO 27701 7.4.5 | Geen |
| EU AVG Artikel 11 (2) | ISO 27701 7.3.2 | Geen |
| EU AVG Artikel 11 (2) | ISO 27701 7.3.3 | ISO 27701 7.3.2 |
Hoe ISMS.online helpt
Met onze kant-en-klare omgeving kunt u uw aanpak voor het beschermen van uw Europese en Britse klantgegevens beschrijven en demonstreren op een manier die naadloos in uw beheersysteem kan worden geïntegreerd.
Het ISMS.online-platform bevat ingebouwde begeleiding bij elke stap, evenals onze 'Adopt, Adapt, Add'-implementatieaanpak, die de hoeveelheid inspanning die nodig is om aan de AVG te voldoen, vermindert. Bovendien profiteert u van een aantal tijdbesparende voordelen.
Of u nu problemen ondervindt om aan de AVG te voldoen vanwege een gebrek aan vertrouwen, vermogen of motivatie om actie te ondernemen, wij kunnen u helpen door onze interne experts ter beschikking te stellen of door een van onze vertrouwde partners aan te bevelen.
Meer informatie via een demo boeken.
