Een nieuwe informatiesessie voorafgaand aan de Ledenraad op 16 mei trok weer een kleine negentig belangstellenden nadat een paar weken eerder een soortgelijke KVGO-bijeenkomst al voor een vol huis zorgde.
De wetgeving telt voor grafimediabedrijven twee belangrijke aspecten, stelde Tobias op den Brouw, IT-specialist bij Dienstencentrum, tijdens de workshop in Amersfoort.
Grafische bedrijven moeten in de eerste plaats voldoen aan de voorschriften voor gegevensregistraties die ze zelf bijhouden, zoals de personeelsadministratie, mailbestanden of een bestand van bezoekers aan de eigen website. Ook het bijhouden van de gegevens van klanten is aan de nieuwe regels onderhevig.
“U heeft vrijwel altijd meer bestanden met dit soort gegevens dan u denkt. Zo worden meerdere aspecten van de werknemers vastgelegd maar denk ook aan het mailbestand van prospects.”
Verdere verwerking
De grafische sector heeft daarnaast veel te maken met regels voor persoonsdata die opdrachtgevers aanleveren voor verdere verwerking. Van belang is daarbij vooral wie als verantwoordelijke voor de gegevensverwerking en -bescherming wordt aangemerkt.
Een deel van al die bepalingen geldt al langer op basis van de nationale privacy-wetgeving, maar de AVG breidt dat wel uit. Bovendien gelden nu vrijwel gelijke regels binnen de hele Europese Unie.
Op den Brouw: “Ga na deze workshop in ieder geval aan de gang met het register van de verwerkingsactiviteiten, het privacy-beleid binnen uw bedrijf, de verwerkersovereenkomsten die verplicht zijn in de relatie met opdrachtgevers of onderaannemers maar ook met daadwerkelijke technische en organisatorische maatregelen om uw bedrijf beter te beschermen tegen cyberaanvallen.”
Stappenplan
Hij lichtte daarbij vooral het AVG Stappenplan toe dat voor leden beschikbaar is op de KVGO-site. Dat stappenplan is een praktisch hulpmiddel waar alle KVGO-bedrijven wat aan hebben, zo bleek uit de workshop.
Het geeft na een inventarisatie van de persoonsgegevens die in het bedrijf in het geding zijn een verdere uitleg over juridische, organisatorische en ICT-aspecten. Zo moet geregeld en vastgelegd worden welke medewerkers toegang hebben tot bestanden met dergelijke gegevens en/of wie er wijzigingen in kan aanbrengen, moet de toestemming van ontvangers voor direct-marketingactiviteiten geregeld en vastgelegd zijn en dient er ook een handelswijze te bestaan voor het geval zich datalekken voordoen.
“Het is zaak uw medewerkers bewust te maken van deze materie en ervoor te zorgen dat ze hun gedrag daarop afstemmen,” benadrukte Op den Brouw. Hij raadt ledenbedrijven aan vooral de modelovereenkomsten van het KVGO te hanteren omdat de nieuwe regels daarin al verwerkt zijn.