Jazeker. Zodra je persoonsgegevens gebruikt voor de uitoefening van je bedrijf val je onder de AVG. Dat betekent bijvoorbeeld dat je moet kunnen verantwoorden wat je met persoonsgegevens doet en waarom.

Het is belangrijk een bewaartermijn vast te stellen voor de persoonsgegevens. De gegevens moeten juist zijn zodat je er op kunt vertrouwen. De termijn is afhankelijk van het doel van de verwerking en eventuele wettelijke eisen. Een bewaartermijn kan bijvoorbeeld zijn twee jaar na het laatste contact dat je met een klant hebt gehad. Of 24 uur voor camerabeelden: als er geen incident is geweest heb je ze niet meer nodig.

Een DPIA doe je wanneer je van plan bent persoonsgegevens te gaan verwerken waarvan duidelijk is dat het risico’s teweeg brengt. Omdat het gaat over een kwetsbare groep. Of omdat het gaat om een hele nieuwe technologie. Er zijn formats beschikbaar, maar voor een goede risico -inschatting is kennis en ervaring van privacyregelgeving én van de verwerking nodig. Begin dus altijd met de juiste kennis in huis te halen.

Scholen horen terughoudend om te gaan met het verspreiden van fotomateriaal van kinderen, maar ook van leerkrachten en ouders. Toestemming vragen ligt voor de hand, maar houd het wel praktisch en werkbaar.

Een zorginstelling verwerkt bijzondere persoonsgegevens: gegevens over gezondheid. Daar zijn extra maatregelen voor nodig. Omdat het niet om een eenmalige verwerking gaat, is een van die maatregelen dat de instelling een FG aanwijst. Deze adviseert en houdt toezicht op de processen en het naleven van de gemaakte afspraken om persoonsgegevens zorgvuldig te verwerken.

De vraag die de huisarts zich als eerste moet stellen is: is de foto voor de ontvanger herleidbaar tot de patiënt? Dat kan bijvoorbeeld het geval zijn als het gaat om een uitzonderlijke casus. Als dat wel het geval is, is toestemming nodig.