GDPR betekent GDPR – Heeft u uw SAR-plan opgesteld?

De EU-AVG zal door Groot-Brittannië worden aangenomen, ongeacht de Brexit, dus er is nu actie nodig. Voor bedrijven die op verantwoorde wijze bekijken hoe zij aan de eisen van deze Europese verordening zullen voldoen, zullen Subject Access Requests (SAR's) ongetwijfeld deel uitmaken van hun overwegingen.

Onder de nieuwe EU AVG moeten organisaties “zonder onnodige vertraging en uiterlijk binnen één maand” op SAR’s reageren. Dit is een korter tijdsbestek dan onder de bestaande DPA, waarin 40 dagen staan. Misschien nog wel veeleisender is dat naast de persoonsgegevens ook aanvullende informatie aan verzoekers moet worden verstrekt. Dit omvat, waar mogelijk, details over “de beoogde periode waarvoor de persoonlijke gegevens worden opgeslagen of, indien niet mogelijk, de criteria die zijn gebruikt om die periode te bepalen”.

Verdere informatie is ook nodig om de rechten van de aanvragers uit te leggen om de rectificatie of verwijdering van hun gegevens te verzoeken, om bezwaar te maken tegen verwerkingsactiviteiten, samen met hun recht om klachten in te dienen bij gegevensbeschermingsautoriteiten. Organisaties moeten identificeren waar ze de persoonlijke gegevens van de aanvragers vandaan hebben gehaald in gevallen waarin deze niet rechtstreeks van het individu zijn verzameld. Aanvragers hebben ook het recht om details te ontvangen over de toegepaste waarborgen wanneer hun gegevens buiten de Europese Economische Ruimte worden overgedragen.

Think Het Information Commissioner's Office (ICO) Jaarverslag voor het boekjaar 2015/16*, 42% van cDe ervaringen die met hen zijn opgegroeid, waren gericht op SAR. Dit onderstreept de moeilijkheden die organisaties al ondervinden bij het naleven van de bestaande, minder belastende regelgeving. Het geeft aan dat organisaties nog een lange weg te gaan hebben om aan de verwachtingen van klanten, personeel en toezichthouders te voldoen!

Het Plan

Onder de ICO's Voorbereiden op de Algemene Verordening Gegevensbescherming (AVG) – 12 stappen die u nu moet nemen**, de 5e beschrijft de behoefte aan procedures en een plan voor hoe een organisatie met SAR's zal omgaan.

Gezien de nieuwe eisen is het belangrijk dat het personeel voldoende is opgeleid om te kunnen identificeren wat een verzoek inhoudt en hoe het proces wordt afgehandeld. Dagen wachten voordat het proces wordt gestart en gegevens uit systemen worden opgehaald, zal riskant zijn, aangezien de boetes waarschijnlijk hoog zullen zijn stijver onder de AVG.

• Bepaal hoe u uw AVG-project gaat beheren, met duidelijk inzicht in al het werk dat moet worden voltooid om dit te bereiken bewijs van naleving.
• Spreek intern beleid af dat uw pragmatische procedures en processen beschrijft.
• Bepaal wie er getraind moet worden en hoe laat u zien dat er training heeft plaatsgevonden.
• ondernemen screening en beoordeling van de impact op de privacy.
• Informatie identificeren en adresseren, fysieke en wetgevende privacyrisico's.
• Zorg voor een methode om SAR's toe te wijzen aan getrainde personen, samen met deadlines en waarschuwingen, terwijl de zichtbaarheid en managementrapportage behouden blijven.

De AVG zou dus een belangrijke rol kunnen spelen risico voor organisaties en een plan om dit aan te pakken SAR's en alle andere aspecten van de vereisten zijn nodig:

• Zorg ervoor dat ze een duidelijke werkstroom hebben waar ze hun werk kunnen volgen.
• Geef ze de mogelijkheid om snel toegang te krijgen tot versiebeheerde sjabloonantwoorden met gestandaardiseerde bewoordingen (met de aanvullende details die moeten worden bekendgemaakt naast de gegevens van de aanvrager)
• Geef medewerkers de tools waarmee ze andere teamleden eenvoudig en effectief de opdracht kunnen geven om hun deel van het proces uit te voeren.
• Integreer uw AVG-werk in uw bredere ISMS of informatiebeveiliging normen.
• Demonstreer effectief bestuur aan een toezichthouder in geval van een onderzoek.

Toezichthouders zullen ongetwijfeld ook op zoek zijn naar een krachtige houding om de beveiliging van persoonsgegevens door verwerkingsverantwoordelijken en verwerkers aan te tonen. Daarom onze softwareoplossing, ISMS.online, bevat alle tools en raamwerken voor het beheren van GDPR-compliance en informatiebeveiliging in overeenstemming met de vereisten van ISO 27001.

Jaarverslag en financiële overzichten van de Informatiecommissaris 2015/16

Gids voor de Algemene Verordening Gegevensbescherming (AVG)