AVG
AVG-compliance van een onderneming in Luxemburg: waar begint u
Kort antwoord
AVG-compliance begint met het verwerkingsregister: de verwerkte gegevens, hun doeleinde en hun rechtsgrond inventariseren. Daarna volgen de beveiliging, de informatie aan de betrokkenen, de omkadering van de verwerkers en, zo nodig, de aanwijzing van een DPO. In Luxemburg is de toezichthoudende autoriteit de CNPD.
Een onderneming in Luxemburg in overeenstemming brengen met de AVG is geen eenmalig project maar een gestructureerde aanpak. Ze begint met het in kaart brengen van de verwerkingen (register) en stelt vervolgens elke verwerking veilig met een geldige rechtsgrond, duidelijke informatie aan de betrokkenen en passende beveiligingsmaatregelen. Daarbij komen de contractuele omkadering van de verwerkers, het beheer van gegevenslekken en, in voorkomend geval, de aanwijzing van een functionaris voor gegevensbescherming. De toezichthoudende autoriteit is de CNPD. Voor begeleiding, zie de pagina AVG-advocaat in Luxemburg of de contractuele aspecten van het onderwerp.
In het kort
- Het verwerkingsregister opstellen: de gegevens, doeleinden, rechtsgronden en bewaartermijnen inventariseren.
- Voor elke verwerking een geldige rechtsgrond bepalen (toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang).
- Duidelijke informatie voor de betrokkenen opstellen en een conforme toestemming verkrijgen wanneer die vereist is.
- Evenredige beveiligingsmaatregelen invoeren (toegang, versleuteling, back-ups, incidentbeheer).
- De verwerkers omkaderen met contractuele bepalingen die voldoen aan artikel 28 van de AVG.
- Het beheer van gegevenslekken voorbereiden: interne procedure en melding aan de CNPD binnen 72 uur.
| Rechtsgrond | Voorbeeld van toepassing | Aandachtspunt |
|---|---|---|
| Toestemming | Nieuwsbrief, niet-essentiële cookies | Moet vrij, geïnformeerd en herroepbaar zijn |
| Overeenkomst | Uitvoering van een bestelling, abonnement | Beperkt tot wat noodzakelijk is voor de overeenkomst |
| Wettelijke verplichting | Loonadministratie, boekhouding, aangiften | Opgelegd door een toepasselijke tekst |
| Gerechtvaardigd belang | Beveiliging, omkaderde prospectie | Veronderstelt een gedocumenteerde belangenafweging |
| Vitale belangen | Noodsituaties | Uitzonderlijk gebruik |
| Taak van algemeen belang | Organisaties belast met een taak | Specifiek kader |
Is de AVG van toepassing op mijn onderneming in Luxemburg?
De Algemene verordening gegevensbescherming is van toepassing zodra een onderneming persoonsgegevens verwerkt, dat wil zeggen alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon: naam, adres, e-mail, klantnummer, verbindings- of betalingsgegevens. Vrijwel alle ondernemingen vallen eronder, ongeacht hun omvang.
De AVG heeft een ruime draagwijdte. Ze betreft de verwerkingen door een onderneming die in Luxemburg is gevestigd, maar ook die van niet-Europese ondernemingen die zich richten op personen in de Unie, bijvoorbeeld via een webwinkel. Compliance is dus niet voorbehouden aan grote groepen: een kmo, een startup of een onlinehandel is er volledig aan onderworpen.
Het toepassingsgebied begrijpen is de eerste stap van elke aanpak. Een advocatenkantoor helpt de verwerkingen te kwalificeren en de toepasselijke verplichtingen precies af te bakenen, waarbij de digitale hulpmiddelen alleen dienen om deze juridische analyse te documenteren en te organiseren.
Wat is de rol van de CNPD in Luxemburg?
In Luxemburg is de bevoegde toezichthoudende autoriteit de CNPD (Commission nationale pour la protection des données). Zij ziet toe op de naleving van de AVG en van de Luxemburgse wet van 1 augustus 2018 over gegevensbescherming, begeleidt de organisaties, behandelt klachten en beschikt over een controle- en sanctiebevoegdheid.
De CNPD publiceert richtsnoeren, modellen en aanbevelingen die nuttig zijn om een compliancetraject te structureren. Zij is ook het aanspreekpunt voor de melding van gegevenslekken en voor de eventuele aanwijzing van een functionaris voor gegevensbescherming.
Wie de positie van de CNPD kent, kan op haar verwachtingen anticiperen. Een advocaat ingeschreven bij de Orde van Advocaten van Luxemburg verzorgt de contacten met de autoriteit, bereidt de antwoorden op eventuele verzoeken voor en stelt de uitwisselingen juridisch veilig, met name bij een controle.
Wat zijn de stappen naar AVG-compliance?
Compliance volgt een geleidelijke logica. De eerste stap bestaat erin de verwerkingen in kaart te brengen: welke gegevens, voor welke doeleinden, op welke rechtsgrond, voor welke duur en met welke ontvangers. Dit overzicht voedt het verwerkingsregister, het centrale document van de aanpak.
Daarna volgen het juridisch veiligstellen van elke verwerking (rechtsgrond, informatie, toestemming), de invoering van technische en organisatorische beveiligingsmaatregelen, de omkadering van de verwerkers en de vaststelling van interne procedures (rechten van de betrokkenen, gegevenslekken).
Compliance staat niet stil: ze moet in de tijd worden onderhouden. Elke nieuwe verwerking, tool of dienstverlener moet in de aanpak worden opgenomen. Begeleiding door een advocaat in ondernemingsrecht maakt het mogelijk deze governance duurzaam te verankeren.
Welke rechtsgrond kiest u voor elke verwerking?
Geen enkele gegevensverwerking is rechtmatig zonder rechtsgrond. De AVG voorziet er meerdere: de toestemming van de persoon, de uitvoering van een overeenkomst, de naleving van een wettelijke verplichting, de bescherming van vitale belangen, een taak van algemeen belang of het gerechtvaardigd belang van de verwerkingsverantwoordelijke.
De keuze van de rechtsgrond is niet vrij: ze hangt af van het werkelijke doeleinde van de verwerking. Een commerciële nieuwsbrief aan prospects berust in beginsel op toestemming (er bestaat een uitzondering voor soortgelijke producten die aan bestaande klanten worden aangeboden), de loonadministratie op een wettelijke verplichting, de uitvoering van een bestelling op de overeenkomst. Een slecht gekozen rechtsgrond verzwakt de hele verwerking.
Het documenteren van de rechtsgrond van elke verwerking is essentieel, want de onderneming moet die kunnen verantwoorden. Deze analyse, die vaak wordt onderschat, is een juridische kwalificatie die door het optreden van een advocaat juridisch wordt veiliggesteld, in samenhang met het opstellen van uw overeenkomsten.
Moet u een verwerkingsregister bijhouden?
Het register van de verwerkingsactiviteiten is de hoeksteen van de compliance. Het vermeldt voor elke verwerking de nagestreefde doeleinden, de categorieën van gegevens en van betrokkenen, de ontvangers, de bewaartermijnen en de beveiligingsmaatregelen. Het vormt het documentaire geheugen van de onderneming.
Hoewel bepaalde verplichtingen inzake het bijhouden van het register lichter zijn voor organisaties met minder dan 250 werknemers, blijft de uitzondering beperkt: zodra een verwerking niet incidenteel is, gevoelige gegevens of gegevens over strafrechtelijke veroordelingen betreft, of een risico kan inhouden, is het register verplicht. In de praktijk moeten vrijwel alle ondernemingen er een bijhouden.
Naast de verplichting is het register een sturingsinstrument. Het maakt het mogelijk de risicovolle verwerkingen te identificeren, zo nodig een gegevensbeschermingseffectbeoordeling voor te bereiden en snel te antwoorden op een verzoek van de CNPD. Het opstellen ervan heeft baat bij juridische omkadering.
Hoe informeert u de betrokkenen en verkrijgt u hun toestemming?
Iedereen van wie gegevens worden verwerkt, heeft recht op transparante informatie: identiteit van de verwerkingsverantwoordelijke, doeleinden, rechtsgrond, ontvangers, bewaartermijn en de rechten waarover hij beschikt (inzage, rectificatie, wissing, bezwaar, overdraagbaarheid). Deze informatie krijgt doorgaans vorm in een privacybeleid.
Wanneer de verwerking op toestemming berust, moet die vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Een vooraf aangevinkt vakje of een algemene toestemming volstaan niet. De toestemming moet even gemakkelijk kunnen worden ingetrokken als ze werd gegeven, en de onderneming moet het bewijs ervan bewaren.
Gebrekkige informatie of een slecht verkregen toestemming zijn veelvoorkomende bronnen van niet-conformiteit. Het opstellen van de informatieverklaringen en van de mechanismen om toestemming te verkrijgen, heeft baat bij een aandachtige juridische nalezing.
Welke maatregelen voor gegevensbeveiliging eist de AVG?
De AVG legt passende technische en organisatorische maatregelen op om de beveiliging van de gegevens te waarborgen, in functie van de risico's. Die maatregelen omvatten het toegangsbeheer, versleuteling wanneer dat relevant is, regelmatige back-ups, logging en een duidelijk beleid voor incidentbeheer.
Beveiliging is niet alleen een IT-kwestie: ze is ook organisatorisch. Bewustmaking van het personeel, beheer van de toegangsrechten, omkadering van het telewerk en procedures bij een incident maken er integraal deel van uit. Het niveau van de eisen is evenredig met het risico voor de betrokkenen.
Een beveiligingslek kan tot een gegevenslek leiden en de onderneming aansprakelijk maken. De technische maatregelen afstemmen op een solide contractueel en procedureel kader is een gezamenlijke taak van de onderneming, haar dienstverleners en haar juridisch adviseur.
Verwerkers, DPO, gegevenslekken en sancties: wat bepaalt de AVG?
Wanneer een onderneming een verwerking toevertrouwt aan een dienstverlener (hosting, software, loonadministratie), moet deze verwerker worden omkaderd met een overeenkomst die voldoet aan artikel 28 van de AVG en die de verplichtingen inzake beveiliging, vertrouwelijkheid en bijstand preciseert. De aanwijzing van een functionaris voor gegevensbescherming (DPO) is in bepaalde gevallen verplicht en in andere aanbevolen.
Bij een gegevenslek dat een risico kan meebrengen, moet de onderneming dat in beginsel binnen 72 uur bij de CNPD melden nadat zij er kennis van heeft gekregen en, als het risico hoog is, de betrokkenen informeren. Een vooraf vastgestelde interne procedure maakt het mogelijk deze termijn na te leven en de reactie te documenteren.
Bij niet-naleving van de AVG riskeert men administratieve boetes tot 20 miljoen euro of 4 % van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt (art. 83 AVG), en vorderingen van de betrokkenen. Daarom staat de rol van de advocaat centraal: hij kwalificeert de verplichtingen, maakt de documentatie sluitend, omkadert de overeenkomsten en begeleidt de onderneming tegenover de CNPD. Om te beginnen kunt u een offerte aanvragen of een consult plannen.
| Stap | Doel | Resultaat |
|---|---|---|
| In kaart brengen | De verwerkingen inventariseren | Verwerkingsregister |
| Rechtsgrond | Elke verwerking juridisch veiligstellen | Gedocumenteerde verantwoording |
| Informatie | De betrokkenen informeren | Privacybeleid |
| Beveiliging | De gegevens beschermen | Technische en organisatorische maatregelen |
| Verwerkers | De dienstverleners omkaderen | Clausules volgens artikel 28 |
| Gegevenslekken | Snel reageren | Procedure en melding aan de CNPD |
Afhankelijk van uw profiel
Voor de kmo
Een kmo moet beginnen met haar verwerkingsregister, de rechtsgrond van elk gebruik van gegevens bepalen (klanten, werknemers, prospects), haar toegang beveiligen en haar dienstverleners omkaderen. De aanwijzing van een DPO is alleen in bepaalde gevallen verplicht, maar de documentatie blijft onmisbaar.
Voor de startup
Een startup heeft er baat bij AVG-compliance te integreren vanaf het ontwerp van haar product (privacy by design): minimale gegevensverwerking, een duidelijke rechtsgrond, transparante informatie en conforme verwerkersovereenkomsten. Zo vermijdt zij kostbare aanpassingen bij een kapitaalronde of een due diligence.
Voor de e-commerce
Een e-commercesite verwerkt commercieel gevoelige gegevens: bestellingen, betalingen, klantaccounts, cookies. Hij moet zorg besteden aan de precontractuele informatie, de toestemming voor niet-essentiële cookies, de beveiliging van de betalingen en de afstemming tussen het privacybeleid en de verkoopvoorwaarden.
Voor de verwerkingsverantwoordelijke
De verwerkingsverantwoordelijke staat garant voor de compliance: hij bepaalt de doeleinden, kiest de rechtsgronden, omkadert de verwerkers en legt verantwoording af aan de CNPD. Hij moet zijn compliance op elk moment kunnen aantonen (accountability), wat een nauwgezette en actuele documentatie veronderstelt.
Officiële bronnen
Wijzigingsgeschiedenis
- : AVG-toestemming voorgesteld zonder rangorde tussen de rechtsgronden, cookieregel gekoppeld aan de gewijzigde wet van 30 mei 2005, drempel van 250 werknemers en aanvang van de termijn van 72 uur verduidelijkt.