Wat betekent 'kunnen aantonen' concreet? Moeten we alles documenteren?

Lid 1 vraagt maatregelen die de naleving zowel waarborgen als aantoonbaar maken, en overweging 74 voegt toe dat u ook de doeltreffendheid van die maatregelen moet kunnen laten zien. Het artikel schrijft geen vaste vorm voor. Uw documentatie moet laten zien welke maatregelen u waarom heeft getroffen, hoe u het risico heeft beoordeeld en dat de maatregelen werken.

Is een gegevensbeschermingsbeleid verplicht voor een klein bedrijf?

Lid 2 zegt dat een beleid onderdeel is van de maatregelen wanneer dat in verhouding staat tot de verwerkingsactiviteiten. Het hangt dus af van wat u verwerkt en welk risico daaraan zit, niet alleen van de omvang van uw bedrijf. Overweging 75 noemt situaties die het risico verhogen, zoals bijzondere categorieën van persoonsgegevens, profilering, gegevens van kwetsbare personen of grote aantallen betrokkenen.

Hoe vaak moeten we onze maatregelen herzien?

Lid 1 zegt dat de maatregelen worden geëvalueerd en indien nodig geactualiseerd, zonder een vaste termijn te noemen. Een logisch moment is elke verandering in de aard, de omvang, de context of het doel van de verwerking, of in het risico voor betrokkenen (lid 1, overweging 76). Leg vast wanneer u evalueert en wat de uitkomst was, want ook dat is onderdeel van het aantonen.

Artikel 24: Verantwoordelijkheid van de verwerkingsverantwoordelijke

Praxikon houdt artikel 24 (Verantwoordelijkheid van de verwerkingsverantwoordelijke) uit de AVG, naast de EU AI Act bij, met per uitspraak de vindplaats erbij.

Hoofdstuk IVVan kracht sinds 25-05-2018

Artikel 24 legt de kern van de verantwoordingsplicht bij de verwerkingsverantwoordelijke: u moet passende technische en organisatorische maatregelen treffen om de AVG na te leven en om dat te kunnen aantonen (lid 1). Welke maatregelen passend zijn hangt af van de aard, de omvang, de context en het doel van de verwerking en van het risico voor de rechten en vrijheden van mensen (lid 1, overweging 76). Die maatregelen zijn niet eenmalig: u evalueert ze en werkt ze bij als dat nodig is (lid 1). Waar dat in verhouding staat tot de verwerking hoort daar een gegevensbeschermingsbeleid bij (lid 2). Het artikel bestaat omdat de AVG niet alleen vraagt dat u de regels volgt, maar ook dat u kunt laten zien dat u ze volgt en dat uw maatregelen werken (overweging 74).

Kernbegrip: Verantwoordingsplicht: u moet niet alleen de regels naleven, maar ook met maatregelen en documentatie kunnen aantonen dat u dat doet

Raakt direct:verwerkingsverantwoordelijke

Duiding door Praxikon op basis van de tekst en de overwegingen; de officiële tekst hieronder gaat voor.

Officiële tekst

Rekening houdend met de aard, de omvang, de context en het doel van de verwerking, alsook met de qua waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen om te waarborgen en te kunnen aantonen dat de verwerking in overeenstemming met deze verordening wordt uitgevoerd. Die maatregelen worden geëvalueerd en indien nodig geactualiseerd.

Wanneer zulks in verhouding staat tot de verwerkingsactiviteiten, omvatten de in lid 1 bedoelde maatregelen een passend gegevensbeschermingsbeleid dat door de verwerkingsverantwoordelijke wordt uitgevoerd.

Het aansluiten bij goedgekeurde gedragscodes als bedoeld in artikel 40 of goedgekeurde certificeringsmechanismen als bedoeld in artikel 42 kan worden gebruikt als element om aan te tonen dat de verplichtingen van de verwerkingsverantwoordelijke zijn nagekomen.

Bron: EUR-Lex, Verordening (EU) 2016/679. Officiële tekst, ongewijzigd overgenomen.

Wat betekent dit voor u?

Verwerkingsverantwoordelijke

Leg per verwerking vast welke risico's er zijn voor de mensen om wie het gaat en welke technische en organisatorische maatregelen u daarvoor heeft getroffen (lid 1). Plan een vast moment om die maatregelen te evalueren en bij te werken (lid 1). Voer een gegevensbeschermingsbeleid in als de omvang van uw verwerkingen dat rechtvaardigt (lid 2); aansluiting bij een goedgekeurde gedragscode (artikel 40) of een goedgekeurd certificeringsmechanisme (artikel 42) kan één van de elementen zijn waarmee u naleving aantoont (lid 3).

Functionaris gegevensbescherming

Het artikel noemt u niet, maar overweging 77 ziet uw aanwijzingen als één van de bronnen waarmee de verwerkingsverantwoordelijke passende maatregelen kan bepalen en naleving kan aantonen. U kunt de risicobeoordeling en de periodieke evaluatie van maatregelen (lid 1) daarom actief begeleiden.

Compliance checklist

Per verwerking is beoordeeld wat de aard, de omvang, de context en het doel zijn en welk risico de verwerking oplevert voor de rechten en vrijheden van betrokkenen (lid 1).Het risico is objectief beoordeeld op waarschijnlijkheid en ernst, en er is vastgesteld of sprake is van een risico of een hoog risico (overweging 76).Voor elke verwerking zijn passende technische en organisatorische maatregelen getroffen en vastgelegd (lid 1).De documentatie laat zien dat de verwerking volgens de AVG verloopt, inclusief of de maatregelen doeltreffend zijn (lid 1, overweging 74).De maatregelen worden op vaste momenten geëvalueerd en waar nodig bijgewerkt (lid 1).Er is een gegevensbeschermingsbeleid dat in verhouding staat tot de verwerkingen en dat ook daadwerkelijk wordt uitgevoerd (lid 2).Als de organisatie is aangesloten bij een goedgekeurde gedragscode (artikel 40) of een goedgekeurd certificeringsmechanisme (artikel 42), is dat opgenomen als element in de verantwoording (lid 3).

Gerelateerde overwegingen

(74)

De verantwoordelijkheid en aansprakelijkheid van de verwerkingsverantwoordelijke moeten worden vastgesteld voor elke verwerking van persoonsgegevens die door of namens hem wordt uitgevoerd. Meer bepaa...

(75)

Het qua waarschijnlijkheid en ernst uiteenlopende risico voor de rechten en vrijheden van natuurlijke personenkan voortvloeien uit persoonsgegevensverwerking die kan resulteren in ernstige lichamelijk...

(76)

De waarschijnlijkheid en de ernst van het risico voor de rechten en vrijheden van de betrokkene moeten worden bepaald onder verwijzing naar de aard, het toepassingsgebied, de context en de doeleinden ...

(77)

Richtsnoeren voor de tenuitvoerlegging van passende maatregelen, en om aan te tonen dat de verwerkingsverantwoordelijke of de verwerker de regels naleeft, vooral wat betreft de vaststelling van het ri...

Kruisverwijzingen

Art. 40: Gedragscodes Art. 42: Certificering

Aanvullend op het overzicht onderaan deze pagina: uitspraken, richtsnoeren en boetes die dit artikel uitleggen of toepassen, nieuwste eerst. Elk item is nagelopen tegen de officiële bron.

Rechtspraak (3)

25 januari 2024 · C-687/21 · HvJ EU
MediaMarktSaturn
Een document dat per vergissing aan een derde is meegegeven, bewijst op zichzelf niet dat de maatregelen ontoereikend waren. Een zuiver hypothetisch risico op misbruik is geen schade.
14 december 2023 · C-340/21 · HvJ EU
Natsionalna agentsia za prihodite
Een geslaagde hack bewijst op zichzelf niet dat de beveiliging tekortschoot; de rechter toetst de maatregelen concreet en de verwerkingsverantwoordelijke moet bewijzen dat ze passend waren. Angst voor misbruik kan immateriële schade zijn.
27 oktober 2022 · C-129/21 · HvJ EU
Proximus
Opname in openbare telefoongidsen vereist toestemming in de zin van de AVG. Een verzoek om verwijdering uit gidsen is een beroep op het recht op wissing, en de gidsaanbieder moet andere aanbieders en zoekmachines redelijkerwijs informeren.

Boetes (2)

1 september 2023 · Data Protection Commission (Ierland)€ 345.000.000
TikTok: kinderaccounts standaard openbaar
Accounts van kinderen stonden standaard op openbaar en de functie Family Pairing was niet goed beveiligd, terwijl kinderen onvoldoende werden geïnformeerd. Op last van het EDPB werd ook vastgesteld dat misleidende ontwerpkeuzes het beginsel van eerlijke verwerking schonden.
Besluit van 1 september 2023, bekendgemaakt op 15 september 2023. TikTok heeft het besluit aangevochten bij het Gerecht van de EU (zaak T-1030/23) en bij de Ierse High Court.
2 september 2022 · Data Protection Commission (Ierland)€ 405.000.000
Instagram: gegevens van kinderen standaard openbaar
Kinderen tussen 13 en 17 jaar konden een zakelijk account openen waarbij hun e-mailadres of telefoonnummer openbaar werd, en persoonlijke accounts van kinderen stonden standaard op openbaar. Op last van het EDPB werd ook een inbreuk op de grondslag voor de verwerking vastgesteld.
Besluit van 2 september 2022, bekendgemaakt op 15 september 2022. Meta heeft beroep ingesteld bij de Ierse High Court.

Gecontroleerd op 5 november 2026

Veelgestelde vragen

← Art. 23: Beperkingen Art. 25: Gegevensbescherming door ontwerp en door standaardinstellingen →

Samenhang

Thema’s waarin dit terugkomt

Wie is verantwoordelijk: rollen in beide wetten

De tegenhanger in de andere wet