Gepubliceerd op 26 maart 2018
Op 25 mei treden de nieuwe Europese privacyregels van de ‘General Data Protection Regulation’ in werking. Deze GDPR of AVG (Algemene verordening gegevensbescherming) vervangt de nationale privacywetgeving van de Europese lidstaten.
Er komt dus één gezamenlijke wetgeving, want de nationale wetgevingen dateren uit het begin van de jaren negentig en bleken al langer verouderd. Bovendien laat deze Europese verordening de Privacycommissie toe om controles uit te voeren en tevens ondernemingen te beboeten als die hiermee niet in regel zijn. Een bijkomende reden om als onderneming de privacyregels na te leven!
Waar liggen ondernemers wakker van? We geven hier graag een
overzicht van hun meest gestelde vragen over GDPR.
Wanneer mag ik, als bedrijf, nog persoonsgegevens van iemand gebruiken?
Om de persoonsgegevens van iemand als bedrijf te mogen gebruiken moet u:
- een duidelijk doel hebben waarvoor u deze data wenst te gebruiken; waarbij het eveneens van belang is dat u data die u verwerft voor een bepaald doel niet zomaar mag gebruiken voor een ander doel.
- een wettelijke basis hebben om de gegevens te mogen verwerken. Wettelijke basissen voor legitieme verwerking van persoonsgegevens kunnen o.a. zijn een wettelijke verplichting (bv. voor loonadministratie), een contractuitvoering (elke actie in het kader van een contractuitvoering), toestemming (medische gegevens), een gerechtvaardigd belang (zo overstijgen de belangen van de onderneming het belang van de privacy bv. in het kader van fraude- of risicobestrijding).
Nog belangrijk om te weten: op gegevens die u gewoon memoriseert, is
de AVG (Algemene verordening gegevensbescherming) niet van
toepassing.
Wanneer moet u de toestemming hebben om persoonsdata te gebruiken?
Een persoon zal toestemming moeten geven voor specifieke doeleinden
en/of specifieke data zoals bij de verwerking van gevoelige gegevens,
medische gegevens, gegevens van minderjarigen (< 16 jaar voor
privacy), verwerking van gegevens in het kader van taping (op band
vastleggen) e.a. Een persoon kan de toestemming te allen tijde terug
intrekken. Het intrekken van toestemming moet even eenvoudig kunnen
als het geven van toestemming.
Wat betekent het recht van verzet van een persoon in het kader van de nieuwe wetgeving?
Een persoon kan verzet aantekenen tegen de verwerking van zijn
persoonsgegevens met gerechtvaardigd belang, o.a. tegen het gebruik
ervan voor direct marketing (zoals bv. het versturen van promotionele
mails, contacteren per telefoon,...).
Wat betekent het inzagerecht in het kader van GDPR?
U moet het individu op zijn eenvoudig verzoek een overzicht geven van
de gegevensverwerking: welke data u voor welke doeleinden gebruikt,
met welke wettelijke basis, voor hoelang, wat de bron is van deze
data, naar wie en waar deze data verspreid worden. Hierbij aansluitend
kan een persoon altijd vragen zijn gegevens aan te passen en/of te
verbeteren.
Wat moet u doen als uw computer en uw gegevens gehackt worden?
Indien u wordt geconfronteerd met een datalek (bv. uw systeem werd
gehackt en alle data werden gestolen) dan hebt u een meldingsplicht
binnen de 72 uur nadat u kennis hebt genomen van de inbreuk.
Er moet ook een dataregister worden aangelegd. Wat houdt dat in?
Het dataregister moet inzicht geven in welke persoonsgegevens u
bijhoudt en voor welke doeleinden die gebruikt worden. Verder ook
hoelang u die bewaart en de wettelijke basis ervoor. Het persoonlijk
dataregister moet ook aantonen (tegenover de Privacycommissie) dat u
de (nieuwe) regelgeving ernstig neemt. Weet tenslotte ook dat wanneer
u de data niet meer gebruikt voor een bepaald doel, u die moet
verwijderen. Dat moet u ook doen wanneer de maximale bewaartermijn is
verstreken.
Moeten ondernemers/zelfstandigen ook een DPO (data protection officer) aanstellen?
Voor ondernemers is dit, anders dan voor grote bedrijven, geen
verplichting (zie artikel 37, lid 1 AVG). Het is echter wel aanbevolen
en verstandig om binnen uw bedrijf een contactpersoon aan te stellen
die de rol opneemt van ‘privacy-aanspreekpunt’, bij wie de verzoeken
tot uitoefening van de rechten worden gecentraliseerd en die bv. met
leveranciers van software onderhandelt over het naleven van de AVG,
die nieuwe projecten kritisch bekijkt, enz. Voor ondersteunende
activiteiten (zoals personeelsbeheer, loonadministratie, boekhouding)
kunt u als ondernemer ook een beroep doen op een derde verwerker, die
dan de verantwoordelijkheid met betrekking tot de AVG draagt, maar als
ondernemer moet u zelf ook de privacyrechten van het individu
garanderen.
Drie relevante tips
- Maak werk van het opmaken van een personal dataregister, het in kaart brengen van alle verwerkingen van persoonsgegevens. Dat is de rode draad in het kader van de GDPR-vereisten. Van daaruit start alles.
- Zorg voor transparantie ten overstaan van uw klanten over welke gegevens voor welke doeleinden gebruikt worden. Doe dat met een duidelijke informatieclausule, gebaseerd op het personal data register.
- Zorg dat er iemand de privacy behartigt binnen uw bedrijf opdat
het GDPR-compliant is en om vragen van klanten en derde partijen te
beantwoorden. Ga met de gegevens van uw klanten om alsof het uw
eigen gegevens zouden zijn.
