GDPR staat voor General Data Protection Regulation en is een Europese wet die de Nederlandse Wet Bescherming Persoonsgegevens (WBP) per 1 mei 2016 heeft vervangen. Organisaties hebben twee jaar de tijd gekregen om hun huidige zaken op orde te brengen en aan de eisen van de GDPR te voldoen.
De GDPR gaat over de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Dit zijn dus zowel medewerkers van een organisatie als bijvoorbeeld klanten van een webwinkel. De GDPR is in het Nederlands vertaald in de Algemene Verordening Gegevensbescherming (AVG). De wet is in werking getreden maar pas van toepassing vanaf 25 mei 2018. Organisaties hebben twee jaar de tijd gekregen om hun data en het beleid daaromtrent op orde te brengen. De nieuwe wetgeving heeft verschillende principes, die betrekking hebben op de transparantie, doelbeperking, gegevensbeperking, juistheid, bewaarbeperking, integriteit & vertrouwelijkheid en verantwoording. Dit betekent bijvoorbeeld dat de persoon van wie de gegevens verwerkt worden, hiervan op de hoogte is, hier toestemming voor gegeven heeft en zijn rechten omtrent de gegevens kent. Ook is het zo dat enkel de noodzakelijke gegevens die voor het beoogde doel noodzakelijk zijn, mogen worden verzameld. Toch blijft het een ingewikkelde wet, met name doordat de juridische teksten niet één op één kunnen worden vertaald naar IT-omgevingen.
Het meest belangrijke doel van deze nieuwe wetgeving is om de veiligheid van gegevens te garanderen. Dit betekent dat in het huidige tijdperk van digitalisering en automatisering de beveiliging van persoonsgegevens optimaal moet zijn, om bijvoorbeeld een datalek te voorkomen. Hiervoor moeten zowel technische, administratieve en beleidsmatige stappen worden genomen.
De maximale boete op niet-naleving van deze wet is twintig miljoen euro, of vier procent van de jaarlijkse wereldwijde omzet in geval van een onderneming.
