Wat betekent 'kunnen aantonen' concreet? Moeten we alles documenteren?

Lid 1 vraagt maatregelen die de naleving zowel waarborgen als aantoonbaar maken, en overweging 74 voegt toe dat u ook de doeltreffendheid van die maatregelen moet kunnen laten zien. Het artikel schrijft geen vaste vorm voor. Uw documentatie moet laten zien welke maatregelen u waarom heeft getroffen, hoe u het risico heeft beoordeeld en dat de maatregelen werken.

Is een gegevensbeschermingsbeleid verplicht voor een klein bedrijf?

Lid 2 zegt dat een beleid onderdeel is van de maatregelen wanneer dat in verhouding staat tot de verwerkingsactiviteiten. Het hangt dus af van wat u verwerkt en welk risico daaraan zit, niet alleen van de omvang van uw bedrijf. Overweging 75 noemt situaties die het risico verhogen, zoals bijzondere categorieën van persoonsgegevens, profilering, gegevens van kwetsbare personen of grote aantallen betrokkenen.

Hoe vaak moeten we onze maatregelen herzien?

Lid 1 zegt dat de maatregelen worden geëvalueerd en indien nodig geactualiseerd, zonder een vaste termijn te noemen. Een logisch moment is elke verandering in de aard, de omvang, de context of het doel van de verwerking, of in het risico voor betrokkenen (lid 1, overweging 76). Leg vast wanneer u evalueert en wat de uitkomst was, want ook dat is onderdeel van het aantonen.

Artikel 24: Verantwoordelijkheid van de verwerkingsverantwoordelijke

Praxikon houdt artikel 24 (Verantwoordelijkheid van de verwerkingsverantwoordelijke) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 24 legt de kern van de verantwoordingsplicht bij de verwerkingsverantwoordelijke: u moet passende technische en organisatorische maatregelen treffen om de AVG na te leven en om dat te kunnen aantonen (lid 1). Welke maatregelen passend zijn hangt af van de aard, de omvang, de context en het doel van de verwerking en van het risico voor de rechten en vrijheden van mensen (lid 1, overweging 76). Die maatregelen zijn niet eenmalig: u evalueert ze en werkt ze bij als dat nodig is (lid 1). Waar dat in verhouding staat tot de verwerking hoort daar een gegevensbeschermingsbeleid bij (lid 2). Het artikel bestaat omdat de AVG niet alleen vraagt dat u de regels volgt, maar ook dat u kunt laten zien dat u ze volgt en dat uw maatregelen werken (overweging 74).

Kernbegrip: Verantwoordingsplicht: u moet niet alleen de regels naleven, maar ook met maatregelen en documentatie kunnen aantonen dat u dat doet

Raakt direct:verwerkingsverantwoordelijke

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.

Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Leg per verwerking vast welke risico's er zijn voor de mensen om wie het gaat en welke technische en organisatorische maatregelen u daarvoor heeft getroffen (lid 1). Plan een vast moment om die maatregelen te evalueren en bij te werken (lid 1). Voer een gegevensbeschermingsbeleid in als de omvang van uw verwerkingen dat rechtvaardigt (lid 2); aansluiting bij een goedgekeurde gedragscode (artikel 40) of een goedgekeurd certificeringsmechanisme (artikel 42) kan één van de elementen zijn waarmee u naleving aantoont (lid 3).

Functionaris gegevensbescherming

Het artikel noemt u niet, maar overweging 77 ziet uw aanwijzingen als één van de bronnen waarmee de verwerkingsverantwoordelijke passende maatregelen kan bepalen en naleving kan aantonen. U kunt de risicobeoordeling en de periodieke evaluatie van maatregelen (lid 1) daarom actief begeleiden.

Compliance checklist

Per verwerking is beoordeeld wat de aard, de omvang, de context en het doel zijn en welk risico de verwerking oplevert voor de rechten en vrijheden van betrokkenen (lid 1).Het risico is objectief beoordeeld op waarschijnlijkheid en ernst, en er is vastgesteld of sprake is van een risico of een hoog risico (overweging 76).Voor elke verwerking zijn passende technische en organisatorische maatregelen getroffen en vastgelegd (lid 1).De documentatie laat zien dat de verwerking volgens de AVG verloopt, inclusief of de maatregelen doeltreffend zijn (lid 1, overweging 74).De maatregelen worden op vaste momenten geëvalueerd en waar nodig bijgewerkt (lid 1).Er is een gegevensbeschermingsbeleid dat in verhouding staat tot de verwerkingen en dat ook daadwerkelijk wordt uitgevoerd (lid 2).Als de organisatie is aangesloten bij een goedgekeurde gedragscode (artikel 40) of een goedgekeurd certificeringsmechanisme (artikel 42), is dat opgenomen als element in de verantwoording (lid 3).

Gerelateerde overwegingen

(74)

De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaa...

(75)

Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personenkan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijk...

(76)

De waarschijnlijkheid en de ernst van het risico voor de rechten en vrijheden van de betrokkene moeten worden bepaald onder verwijzing naar de aard, het toepassingsgebied, de context en de doeleinden ...

(77)

Richtsnoeren voor de tenuitvoerlegging van passende maatregelen, en om aan te tonen dat de verwerkingsverantwoordelijke of de verwerker de regels naleeft, vooral wat betreft de vaststelling van het ri...

Kruisverwijzingen

Art. 40: Gedragscodes Art. 42: Certificering

Veelgestelde vragen

← Art. 23: Beperkingen Art. 25: Gegevensbescherming door ontwerp en door standaardinstellingen →

Samenhang

Thema’s waarin dit terugkomt

Wie is verantwoordelijk: rollen in beide wetten

De tegenhanger in de andere wet

Rechtspraak

Russmedia: beheerder van een online marktplaats is verantwoordelijke voor persoonsgegevens in advertenties en moet vooraf controleren
2025-12-02 · definitief, Hof van Justitie van de EU (Grote kamer), X tegen Russmedia Digital SRL en Inform Media Press SRL

Richtsnoeren

Richtsnoeren 4/2019 over artikel 25 gegevensbescherming door ontwerp en door standaardinstellingen
2020-10-20 · definitief, European Data Protection Board (EDPB)