AVG: welke verwerking brengt u vóór het volgende incident in kaart?

De AVG geldt sinds 2018, maar een algemene pagina over conformiteit vormt geen aanbod meer. De Belgische Gegevensbeschermingsautoriteit vraagt verwerkingsverantwoordelijken en verwerkers om een actueel register bij te houden. Ze herinnert er ook aan dat bepaalde inbreuken indien mogelijk binnen 72 uur moeten worden gemeld, behalve wanneer ze waarschijnlijk geen risico voor personen inhouden. Het Europees Comité verduidelijkt dat ook een niet-gemelde inbreuk moet worden gedocumenteerd. Een verdedigbare eerste aankoop bestaat daarom uit het in kaart brengen van één kritieke verwerking, haar rollen, verwerkers, bewijsstukken en incidentscenario. Deze analyse bakent die opdracht af zonder algemene conformiteit, afwezigheid van sancties of een juridische conclusie buiten een bevoegde professional te beloven. Vóór elk commercieel voorstel moeten de aanleiding, de eigenaar en de deadline zichtbaar zijn.

Een controle wordt koopbaar wanneer een nieuwe verwerker, een nieuw doel, een migratie, een incident of een risicovolle verwerking de feiten wijzigt. Ze begint niet met ‘de onderneming conform maken’, maar met een welbepaalde beslissing die de verantwoordelijke moet nemen en documenteren.

De opdrachtgever kiest een werkelijke stroom: rekrutering, marketing, ondersteuning, gezondheid, geolocatie of camerabewaking. De afbakening vermeldt personen, systeem, verantwoordelijke en deadline. Zonder aanleiding dreigt de opdracht algemene documentatie zonder eigenaar op te leveren.

De verwerkingsverantwoordelijke bepaalt de doeleinden en essentiële middelen; de verwerker handelt voor zijn rekening en volgens instructies. Een organisatie kan per verwerking een andere rol hebben. De overeenkomst moet de werkelijke werking, verdere verwerkers en het incidentbeheer weerspiegelen.

De controle volgt wie beslist, wie toegang heeft, wie gegevens hergebruikt en wie personen antwoordt. Ze leidt de rol niet louter af uit de titel van een overeenkomst. Zelfstandig hergebruik kan de kwalificatie wijzigen en vereist aangepast advies.

Het register moet een bruikbaar overzicht geven van verwerkingen, doeleinden, categorieën, ontvangers, doorgiften, bewaartermijnen en maatregelen volgens de rol van de organisatie. Het blijft actueel en kan aan de autoriteit worden voorgelegd; een gekopieerd model zonder verband met de systemen vervult die rol niet.

Elke regel heeft een eigenaar en een controledatum. Onbekende velden worden expliciet als te bevestigen aangeduid. Het register ondersteunt vervolgens de behandeling van rechten, leveranciers, beveiliging en incidenten; het is geen losstaand administratief eindpunt.

Een gegevensbeschermingseffectbeoordeling is vóór de start vereist voor een verwerking die waarschijnlijk een hoog risico inhoudt, onder meer volgens de toepasselijke gevallen en lijsten. Nieuwe technologie of een wijziging in schaal, gegevens of verwerker kan dat risico veranderen; de beslissing moet vóór de lancering worden gemotiveerd.

De controle past de criteria en de lijst van de GBA toe en legt vast of een GEB vereist of niet vereist is, dan wel gespecialiseerd advies nodig is. Ze vult geen formulier mechanisch in. De eigenaar moet het project kunnen aanpassen op basis van de vastgestelde risico's.

Elke inbreuk in verband met persoonsgegevens moet worden geregistreerd en beoordeeld. De verantwoordelijke meldt ze aan de bevoegde autoriteit wanneer de voorwaarden vervuld zijn, indien mogelijk binnen 72 uur na kennisname; de verwerker informeert de verantwoordelijke zonder onredelijke vertraging volgens de overeenkomst.

Het scenario legt waarschuwing, kwalificatie, personen, systeem, beslissing, eventuele melding en communicatie vast. Het team bewaart de feiten en de redenen om wel of niet te melden. Het gebruikt het officiële portaal en de toegelaten talen.

De eerste aankoop is een kaart van één kritieke verwerking met een gecorrigeerd register, rollenkaart, contractuele afwijkingen, GEB-beslissing en incidentscenario. Ze levert geen AVG-certificering of veiligheidsgarantie; juridisch advies en technische remediëring blijven afzonderlijk.

Prijs, volume, termijn en beschikbare privacy- en technische capaciteit worden bij de start bevestigd. De levering eindigt met onmiddellijke acties, afhankelijkheden van leveranciers en een eventueel verbod om door te gaan.

De opvolging omvat wijzigingen in doel, leveranciers, rechten, incidenten en maatregelen. Elke cyclus moet een afwijking sluiten of een risico opnieuw kwalificeren; algemene AVG-nieuwsbrieven volstaan niet om terugkerende dienstverlening te verantwoorden.

De indicatoren zijn gecontroleerde verwerkingen, gecorrigeerde overeenkomsten, behandelde verzoeken en gedocumenteerde incidenten. Ze worden niet als financiële resultaten voorgesteld. Het onderhoud stopt als de bevindingen niet tot beslissingen leiden.

De acquisitie blijft in HOLD zonder precieze aanleiding, beschikbare specialist, afgebakende verantwoordelijkheid en gevalideerde eerste prijs. Algemene AVG-dienstverlening overlapt met cyberbeveiliging; dit aanbod blijft alleen overeind als operationele privacydienst rond één verwerking en haar rollen.

getfishnet kan deze markt activeren als de partner privacykennis en technische deskundigheid combineert, een smalle afbakening aanvaardt en tijdig kan escaleren. Zonder die capaciteit wordt de schijnbare vraag geen koopbare dienst.

Vermelde gezaghebbende bronnen: Gegevensbeschermingsautoriteit; Europees Comité voor gegevensbescherming. URL's en procedures worden in het privédossier bewaard.