Elke uitleg van de algemene verordening gegevensbescherming begint bij de betrokkene. Een softwarebedrijf komt haar van de andere kant tegen: als de partij die de gegevens van anderen bewaart, in twee rollen tegelijk, met een reeks verplichtingen die aan- en uitgaat met de omvang van het bedrijf en de soort gegevens. Dit is de lezing van die kant, bepaling voor bepaling, voor een bedrijf dat in de Unie software levert of exploiteert. De gratis bepaling stelt negen vragen en schrijft dezelfde lezing voor uw geval op.

Twee rollen, per verwerking, niet per bedrijf

Artikel 4, punt 7, maakt u verwerkingsverantwoordelijke voor elke verwerking waarvan u het doel en de middelen bepaalt. Uw klantrelatiegegevens, uw prospectlijst, uw personeelsdossiers, de analytics op uw eigen website: u beslist waarom en hoe, dus u bent de verwerkingsverantwoordelijke, wat uw product ook doet.

Artikel 4, punt 8, maakt u verwerker voor de verwerking die u namens een verwerkingsverantwoordelijke uitvoert. Een SaaS die de eindgebruikersgegevens van zijn klanten opslaat, een gehoste API die persoonsgegevens ontvangt om een resultaat terug te geven, een managed service die de systemen van een klant beheert: voor die gegevens beslist de klant, en u verwerkt op zijn instructies. De meeste softwarebedrijven zijn dus beide, en de rollen hangen aan de verwerking, niet aan het bedrijf. De catalogus achter de AVG-pagina draagt de regels voor elke rol, en de bepaling noemt de verwerkersregels apart.

De verwerkersrol brengt een contract mee. Artikel 28, lid 3, vereist dat de verwerking wordt geregeld in een overeenkomst die het onderwerp, de duur, de aard en het doel, het soort gegevens en de categorieën van betrokkenen vastlegt, en acht voorwaarden: verwerking alleen op schriftelijke instructies, vertrouwelijkheid van de gemachtigde personen, de beveiligingsmaatregelen van artikel 32, de voorwaarden voor het inschakelen van een andere verwerker, bijstand bij de rechten van betrokkenen, bijstand bij de artikelen 32 tot en met 36, wissen of terugbezorgen aan het einde, en de informatie die nodig is om de naleving aan te tonen, audits inbegrepen. Een bankklant onder DORA stuurt zijn eigen clausules erbovenop; de twee sets staan naast elkaar in dezelfde overeenkomst.

Het register van verwerkingsactiviteiten, en waarom de vrijstelling bij 250 personen een product in gebruik nooit ontslaat

Artikel 30, lid 1, vereist van elke verwerkingsverantwoordelijke een register van verwerkingsactiviteiten: de naam en contactgegevens van de verwerkingsverantwoordelijke, de gezamenlijke verwerkingsverantwoordelijke, de vertegenwoordiger en de functionaris als die er is; de doeleinden; de categorieën van betrokkenen en van persoonsgegevens; de categorieën van ontvangers; doorgiften aan derde landen met de documenten inzake de waarborgen waar op artikel 49, lid 1, wordt gesteund; indien mogelijk de termijnen voor wissing; en indien mogelijk een algemene beschrijving van de beveiligingsmaatregelen van artikel 32, lid 1. Artikel 30, lid 2, vereist van elke verwerker het spiegelregister van de verwerkingen die voor elke verwerkingsverantwoordelijke worden uitgevoerd.

Artikel 30, lid 5, zegt dat de verplichting niet geldt voor een onderneming die minder dan 250 personen in dienst heeft, en neemt dat in dezelfde zin terug: tenzij de verwerking waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen, de verwerking niet incidenteel is, of de verwerking bijzondere categorieën van gegevens of gegevens over strafrechtelijke veroordelingen omvat. Een product in gebruik verwerkt elke dag van het jaar persoonsgegevens. Die verwerking is niet incidenteel, dus de vrijstelling is weg voordat de omvang van het bedrijf wordt geteld. Het register is een verplichting op elke omvang voor elk softwarebedrijf met een live product, en het is het document waarnaar elke andere verplichting in dit artikel terugverwijst.

De functionaris voor gegevensbescherming

Artikel 37, lid 1, vereist een functionaris voor gegevensbescherming in drie gevallen, waarvan er twee een particulier bedrijf bereiken: wanneer de kernactiviteiten bestaan uit verwerkingen die vanwege hun aard, hun omvang of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen (punt b), en wanneer de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën van gegevens uit hoofde van artikel 9 of van gegevens over strafrechtelijke veroordelingen en strafbare feiten uit hoofde van artikel 10 (punt c).

"Kernactiviteiten" is de toets die de meeste gevallen beslist. Een bedrijf waarvan het product gedragsanalytics, ad-tech, locatievolging of werknemersmonitoring is, observeert mensen als bedrijf; een bedrijf dat een factureringsproduct exploiteert doet dat niet, hoeveel records het ook bewaart. De functionaris kan een personeelslid of een externe zijn (artikel 37, lid 6), wordt aangewezen op grond van professionele kwaliteiten en deskundigheid op het gebied van het gegevensbeschermingsrecht (artikel 37, lid 5), en de contactgegevens worden bekendgemaakt en aan de toezichthoudende autoriteit meegedeeld (artikel 37, lid 7).

Waar artikel 37, lid 1, er geen vereist, kan het recht van een lidstaat dat doen (artikel 37, lid 4). Duitsland doet dat: paragraaf 38 BDSG vereist een functionaris vanaf 20 personen die voortdurend met geautomatiseerde verwerking van persoonsgegevens bezig zijn. Een bedrijf dat van elders naar Duitsland verkoopt, valt niet onder die regel; een bedrijf dat daar gevestigd is wel.

De effectbeoordeling

Artikel 35, lid 1, vereist een gegevensbeschermingseffectbeoordeling vóór elke verwerking die waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, met name bij het gebruik van nieuwe technologieën. Artikel 35, lid 3, noemt drie gevallen waarin zij in elk geval vereist is: een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, waaronder profilering, waarop besluiten met rechtsgevolgen of vergelijkbaar wezenlijke gevolgen worden gebaseerd; grootschalige verwerking van bijzondere categorieën of strafrechtelijke gegevens; en stelselmatige en grootschalige monitoring van een openbaar toegankelijk gebied. De toezichthoudende autoriteiten publiceren verdere lijsten op grond van artikel 35, lid 4.

De inhoud is artikel 35, lid 7: een systematische beschrijving van de verwerking en de doeleinden, een beoordeling van de noodzaak en evenredigheid, een beoordeling van de risico's, en de beoogde maatregelen om ze aan te pakken. Blijft het restrisico hoog, dan vereist artikel 36, lid 1, voorafgaande raadpleging van de toezichthoudende autoriteit voordat de verwerking begint. Voor een softwarebedrijf is het eerste geval het geval om in de gaten te houden: een scoring-, ranking- of screeningfunctie die besluiten over mensen oplevert, is een systematische en uitgebreide beoordeling, of iemand het nu profilering noemt of niet.

De vertegenwoordiger, voor een bedrijf buiten de Unie

Artikel 3, lid 2, past de verordening toe op een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan betrokkenen in de Unie, of met het volgen van hun gedrag daar. Waar het geldt, vereist artikel 27, lid 1, een schriftelijk aangewezen vertegenwoordiger in de Unie. Artikel 27, lid 2, onder a, stelt verwerking vrij die incidenteel is, geen bijzondere categorieën op grote schaal omvat en waarschijnlijk geen risico inhoudt. Een product dat aan personen in de Unie wordt aangeboden, is geen incidentele verwerking, dus een bedrijf buiten de Unie met klanten erin heeft normaal de vertegenwoordiger nodig; de vrijstelling is geschreven voor het bedrijf dat de verordening per ongeluk tegenkomt, niet voor een bedrijf dat in de Unie verkoopt.

Doorgiften, en de gronden die een cloudcontract moet noemen

Artikel 44 staat een doorgifte aan een derde land alleen toe onder de voorwaarden van hoofdstuk V, verdere doorgiften inbegrepen. De gronden zijn er drie: een adequaatheidsbesluit van de Commissie op grond van artikel 45, voor de Verenigde Staten het besluit over het Data Privacy Framework van 10 juli 2023, dat alleen de daaronder gecertificeerde bedrijven dekt; passende waarborgen op grond van artikel 46, in de praktijk de standaardcontractbepalingen die de Commissie op 4 juni 2021 heeft vastgesteld; en de afwijkingen van artikel 49 voor specifieke situaties, die geen basis zijn voor een lopende dienst. Een cloudaanbieder met Europese regio's is nog steeds een doorgiftevraag op de dag dat support, back-ups of telemetrie buiten de EER reiken, en het register van artikel 30 is de plaats waar de grond voor elke doorgifte wordt vastgelegd.

De twee termijnen

Artikel 33, lid 1, vereist dat de verwerkingsverantwoordelijke een inbreuk in verband met persoonsgegevens zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat hij er kennis van heeft genomen aan de toezichthoudende autoriteit meldt; een latere melding draagt de redenen voor de vertraging. Artikel 33, lid 2, vereist dat de verwerker de verwerkingsverantwoordelijke zonder onredelijke vertraging na de kennisname informeert, wat voor een SaaS betekent dat de termijn van de klant begint met uw bericht. Artikel 34, lid 1, voegt de mededeling aan de betrokkenen toe wanneer de inbreuk waarschijnlijk een hoog risico voor hen inhoudt.

Artikel 12, lid 3, stelt de andere termijn: informatie over het gevolg dat aan een verzoek van een betrokkene is gegeven, wordt zonder onredelijke vertraging en in ieder geval binnen een maand na ontvangst verstrekt, verlengbaar met twee verdere maanden waar nodig, rekening houdend met de complexiteit en het aantal verzoeken. Beide termijnen lopen vanaf een gebeurtenis, niet vanaf een datum, en daarom horen ze in de incident- en verzoekregisters thuis en niet in een kalender; NIS2 en de CRA laten de hunne op dezelfde manier lopen, vanaf de kennisname.

Wat ISO 27701 u geeft, en wat niet

ISO/IEC 27701 breidt een ISO 27001-managementsysteem uit naar privacy: bijlage A noemt de maatregelen voor een verwerkingsverantwoordelijke, bijlage B die voor een verwerker, en de catalogus achter de bepaling noemt voor elke verplichting de maatregel waarvan de registratie in de lezing van StandardOS het bewijs is. Het register van verwerkingsactiviteiten, de verwerkersovereenkomstvoorwaarden, de inbreukprocedure, het doorgifteregister en de afhandeling van verzoeken van betrokkenen hebben alle een maatregel achter zich. De verordening noemt geen norm en verleent geen vermoeden van conformiteit: een certificaat is bewijs dat het proces bestaat, en de toezichthoudende autoriteit leest het proces tegen de tekst. Artikel 83 stelt de plafonds voor wie het fout doet op EUR 10 miljoen of 2 % van de wereldwijde jaaromzet voor de verplichtingen van de artikelen 25 tot en met 39, en EUR 20 miljoen of 4 % voor de beginselen, de rechtsgronden, de rechten van betrokkenen en de doorgiften.

Negen antwoorden beslissen welke van deze verplichtingen voor uw bedrijf gelden. De bepaling schrijft ze op met de bepaling achter elke regel, in uw taal, om te kopiëren of te downloaden.