Formuleer privacy- en beveiligingsbeleid
Een andere vereiste van de AVG is dat je beleid moet vastleggen over hoe je omgaat met de persoonsgegevens. In dat beleid informeer je de mensen die betrokken zijn bij de verwerking van persoonsgegevens over de nieuwe privacyregels. Zij moeten weten wat de nieuwe privacyregels inhouden en welke gevolgen die regels hebben voor bestaande werkprocessen, middelen, bevoegdheden en voor de waarborging van de veiligheid. In het beleid ligt ook vast hoe de gegevens worden beveiligd. Dit kan in verschillende documenten tot uiting komen. Een voorbeeld privacy- en beveiligingsbeleid vind je in de FMB onder E.374. Daarnaast heeft Fiscount speciaal voor administratie-, belastingadvies- en kleine accountantskantoren op abonnementsbasis ook een compact kwaliteitshandboek: het Fiscount Kwaliteitskader (FKK) beschikbaar, waarin het privacybeleid ook is opgenomen. Je vindt het FKK in de FMB onder E.387.
Ook degenen van wie je persoonsgegevens verwerkt in het kader van jouw dienstverlening, moet je informeren over hoe jij omgaat met zijn/haar persoonsgegevens. Dat doe je met een privacyverklaring. Een voorbeeld vind je in de FMB onder E.060. Je kunt de privacyverklaring op jouw website plaatsen, waarnaar je kunt verwijzen bij gebruik van andere communicatiemiddelen.
En wat doe je als er toch een datalek is?
Eigenlijk is deze vraag al beantwoord op 1 januari 2016. Toen werd de meldplicht datalekken ingevoerd. Onder de AVG blijft dit hetzelfde. Er komt wel een verplichting bij: je moet iedere datalek die zich heeft voorgedaan vastleggen in een register. De Autoriteit Persoonsgegevens (AP) kan zo controleren of je aan de meldplicht hebt voldaan. Je moet de te volgen procedure bij een datalek schriftelijk vastleggen. Voor een voorbeeld in de FMB zie E.121. Zo nodig moet je de datalek melden aan de persoon van wie de gegevens zijn gelekt. In die mededeling geef je ook aan welke maatregelen je hebt getroffen. Een modelbrief hiervoor tref je in de FMB aan onder E.361.