De belangrijke consequenties voor bedrijven met meer dan 250 medewerkers zijn:

• Boetes bij sommige overtredingen gaan omhoog tot 4% van de globale omzet of 20 miljoen euro
• Bedrijven moeten verplicht een Data Protection Officer aanstellen
• Voor nieuwe of gewijzigde HR processen en systemen moet een PIA worden opgesteld (Privacy Impact Assessment)
• De processen rondom verwerking van persoonsgegevens moeten worden bijgehouden in een register, met onder andere de bewaartermijnen en een omschrijving van de beveiligingsmaatregelen
• HR processen, inclusief regels rondom retentie en Information Governance, moeten worden vastgelegd
• Elke persoon heeft het recht om vergeten te worden. Op verzoek moet u de gegevens kunnen opsporen en bewijsbaar vernietigen. Ook moet u de gegevens kunnen meegeven (in een digitaal formaat).
• Het is in sommige gevallen wettelijk verplicht om daadwerkelijke datalekken en het verlies van persoonsgegevens te rapporteren

Een oplossing waarbij het actieve of passieve archief fysiek op één locatie wordt bijgehouden voldoet waarschijnlijk niet aan de nieuwe wet. Er moet tenminste een digitale of fysieke kopie zijn op een andere locatie. Als u niet in staat bent de gegevens te reproduceren (brand, diefstal, hack, ramp, boze medewerker, misverstand), bent u in overtreding.

Reden genoeg om het bestaande HR-archief, de archivering en de processen opnieuw te beoordelen. HR dossiers digitaliseren duurt soms maanden, het is 2018 voor u het weet.