De 17 meest gestelde vragen rond GDPR | Values Magazine
De 17 meest gestelde vragen rond GDPR
Volgens onderzoek van de Nederlandse koepel organisatie DDMA (Data Driven Marketing Association) zijn heel wat organisaties nog niet klaar voor de GDPR, die op 25 mei 2018 ingaat. De voorbereiding op deze nieuwe wet is een complexe aangelegenheid en vraagt veel van organisaties. DDMA heeft de meest gestelde vragen op een rij gezet. Om organisaties te helpen bij GDPR starten wij deze week met een reeks artikels over GDPR.
Zwaar – boete van 20 miljoen euro of 4 procent van de inkomsten
Minder zwaar – boete van 10 miljoen euro of 2 procent van de inkomsten
3. Welke organisaties lopen het meeste risico?
Dat is een beetje in een glazen bol kijken. De Privacy commissie is straks verplicht om klachten van individuen in behandeling te nemen en zal dus meer gaan opereren op basis van die klachten van consumenten. Waarschijnlijk zal de bakker om de hoek dus niet als eerste een handhavingsverzoek krijgen, maar eerder partijen die veel – misschien gevoelige – gegevens verwerken.
De GDPR definieert persoonsgegevens als "alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon". Uit de rechtspraak weten we dat naw (naam-adres-woonplaats) -gegevens, e-mailadressen, ip-adressen, locatiegegevens en smartphone-identifiers persoonsgegevens (kunnen) zijn. Maar een bezoekersprofiel, aankoopgeschiedenis of klikgedrag dat bij dat persoonsgegeven hoort, is dan dus ook een persoonsgegeven. Het gaat immers om "alle informatie over…".
Ja, ook een b2b-gegevens, bijvoorbeeld een werk e-mailadres, kan een persoonsgegeven zijn. Het risico op klachten lijkt hierover lager, omdat een werk e-mailadres minder invloed heeft op iemands persoonlijke leven dan bijvoorbeeld een privé GSM nummer. De impact op de privacy is doorgaans wat lager, maar de privacywetgeving blijft van toepassing als het persoonsgegevens betreft.
Open deur: als je je aan de wetgeving houdt. Voor de verwerking van persoonsgegevens heb je een rechtmatige 'grondslag' nodig. Voor marketing zijn drie grondslagen relevant:
Onder de GDPR krijgen individuen meer controle over hun persoonsgegevens. Het nieuwe recht op dataportabiliteit is daar een voorbeeld van en staat ook wel bekend als gegevensoverdraagbaarheid ('data portability'). Mensen kunnen een deel van hun persoonsgegevens overdragen van de ene aanbieder aan de andere.
Als iemand bijvoorbeeld wil wisselen van bank of energieleverancier dan kan hij/zij dus zijn/haar persoonsgegevens meenemen. Dit recht is niet alleen een juridische en technische uitdaging, maar vergt ook een bepaalde mate van samenwerking met concurrenten.
Nee, een verzoek om data over te dragen impliceert niet ook direct een verzoek op het recht van verzet of vergetelheid. Dit kan natuurlijk wel, dus als iemand ook een beroep doet op die andere rechten, moet je daarmee ook aan de slag. Als iemand overstapt, speelt daarnaast natuurlijk de vraag of je de persoonsgegevens nog nodig hebt. Zo niet, dan moet je de gegevens in het kader van data minimalisatie wél verwijderen.
Transparantie is een belangrijk onderdeel van de GDPR en als organisatie ben je verplicht je bezoekers, leden, klanten en prospects te informeren over de verwerking van hun persoonsgegevens. Zo moet je bijvoorbeeld informeren over de doeleinden waarvoor je gegevens verwerkt, welke rechten mensen hebben en hoe ze daar gebruik van kunnen maken.
Dit kun je natuurlijk doen in een privacy verklaring, maar daarnaast kun je ook op andere plekken informeren. Bijvoorbeeld in een inlog-omgeving door in een filmpje uit te leggen wat je precies doet. Sluit aan bij je doelgroep en leg zo eenvoudig mogelijk uit wat je waarom aan het doen bent.
12. Wat moet ik veranderen in mijn privacy verklaring?
Veel dingen blijven hetzelfde. Je moet blijven informeren over de soorten persoonsgegevens die je verwerkt en voor welke doeleinden je dat doet. Daarnaast moet je consumenten informeren over hun rechten, inclusief de nieuwe rechten zoals het recht op dataportabiliteit en het recht om vergeten te worden. Ook moet je duidelijk maken hoe lang je gegevens bewaart, of de data eventueel aan derden worden doorgegeven en dat mensen een klacht kunnen indienen bij de Privacy commissie.
Als je een verwerker inschakelt (of als jij als verwerker wordt ingeschakeld), moet je inderdaad een verwerkersovereenkomst afsluiten. De GDPR geeft een vast lijstje met onderwerpen dat je moet behandelen in de verwerkersovereenkomst. Bijvoorbeeld afspraken over de doeleinden van de verwerking, de manier van beveiliging van gegevens, de hulp bij het uitvoeren van rechten van individuen en de manier waarop je omgaat met persoonsgegevens buiten de EU.
Omdat data steeds belangrijker worden voor organisaties, zullen ook steeds meer mensen ermee te maken krijgen. Het is dus van belang binnen je hele organisatie een bewustzijn te creëren over de privacyregels. Dit is vaak ook nodig om aan de GDPR te voldoen, want privacy by design alleen door juristen toe laten passen, is waarschijnlijk niet succesvol.
15. Moet ik een data privacy officer of DPO aanstellen?
Sommige organisaties zijn verplicht een data privacy officer of DPO aan te stellen. Hoe meer gegevens je verwerkt en hoe gevoeliger die gegevens zijn, hoe groter de kans dat je verplicht bent om er een aan te stellen.
Een DPO heeft wettelijk bepaalde taken en heeft een bepaalde mate van ontslagbescherming. Een DPO is dus een speciale titel. Omdat de vereisten voor het aanstellen van een DPO vaag zijn geformuleerd, is het voor veel organisaties helaas (nog) lastig te zeggen of zij verplicht zijn om een DPO aan te stellen. Maar los daarvan heeft het vaak de voorkeur om in ieder geval één persoon (of afdeling) binnen je organisatie verantwoordelijk te maken voor privacy. Op die manier gaat het GDPR-traject sneller lopen en is het gemakkelijker om draagvlak te creëren.
De GDPR is direct van toepassing in alle EU-lidstaten. Onder de huidige wetgeving hadden lidstaten meer ruimte om nationale verschillen te implementeren. Daardoor is actief zijn in meerdere EU-landen en samenwerken met andere EU-organisaties straks in principe makkelijker, omdat er minder verschil is.
Het oorspronkelijke artikel is geschreven door Matthias de Bruyne en vindt u terug op de website van DDMA