Er zijn een aantal aspecten van de AVG die direct impact hebben op hoe je organisatie omgaat met gebruikersgegevens. Allereerst is het bijhouden van een register van verwerkingsactiviteiten, ook wel het verwerkingsregister genoemd, nu verplicht. Hiermee kun je aantonen dat je in overeenstemming met de AVG handelt. Ook heb je het register nodig als gebruikers vragen om hun gegevens te corrigeren of te verwijderen.

Daarnaast is iedereen verplicht een data protection impact assessment (DPIA) uit te voeren. Hiermee beng je de privacy risico’s van de verschillende gegevensverwerkingen in kaart. Komt er nu uit de DPIA dat je een verhoogd risico hebt? Dan kun je vooraf met de Autoriteit Persoonsgegevens in overleg, zodat je zeker weet dat je niet in strijd met de AVG handelt.

In de AVG staan ook ‘privacy by default’ en ‘privacy by design’ centraal. Dat betekent dat privacy een belangrijke rol speelt bij alles wat je organisatie doet. Denk aan het standaard niet aanvinken van het vakje ‘Ja, ik wil aanbiedingen ontvangen’ en het niet onnodig registeren van de locatie van gebruikers. Wil je dus voldoen aan de AVG, ook in de toekomst, dan zal je deze concepten centraal moeten stellen bij je verdere productontwikkeling. Omdat met de AVG deze concepten centraal staan kunnen hier ook hoge boetes voor worden uitgedeeld. Bij een overtreding van de beginselen of grondslagen van de AVG of het inbreuk maken op de privacy van je gebruikers kan je worden beboet met 20 miljoen euro.

Voor het niet nakomen van bepaalde, voornamelijk procedurele, verplichtingen kun je daarnaast een boete opgelegd krijgen van maximaal 10 miljoen euro. Maar deze boetes zijn natuurlijk niet de belangrijkste reden om als bedrijf te voldoen aan de AVG: consumenten vinden het steeds belangrijker om te weten wat er met hun informatie gebeurt en daar moet je als bedrijf rekening mee houden.