Klaar voor de GDPR-wetgeving?

Elke website die gegevens verzamelt van zijn bezoekers, zal vanaf eind mei 2018 helemaal in regel moeten zijn met de nieuwe regels op vlak van General Data Protection Regulation (GDPR), of ‘Algemene Verordening Gegevensbescherming’ (AVG) in het Nederlands. Een hele mond vol, maar wat betekent die term nu net en wat houdt die nieuwe regelgeving in? Wij zorgen voor een woordje extra uitleg, want je zal hoe dan ook in regel moeten zijn om potentiële monsterboetes (tot 20 miljoen euro of 4 % van de jaarlijkse wereldwijde omzet!) te vermijden.

De nieuwe GDPR-wetgeving heeft verregaande gevolgen voor élke soort gegevensverzameling, zoals je inmiddels wel al doorhebt. Maar hoe uiten deze regels zich nu concreet? Wij sommen alvast enkele voorbeelden uit de praktijk op:

• Sollicitanten: cv’s doormailen naar collega’s ter inkijk mag niet meer, tenzij je het cv zodanig anonimiseert dat de identiteit van de persoon er niet meer uit af te leiden valt. Stel dat de kandidaat niet weerhouden is, dan mag je zijn gegevens niet bewaren, tenzij die daar expliciet (op papier of anders aantoonbaar) toestemming voor geeft. Elke vorm van het cv (in een mailbox, lokaal opgeslagen op een laptop, uitgeprint, …) moet vernietigd worden, volgens het ‘right to be forgotten’-principe.
• Promotionele acties: bij een promo-actie verzamel je naam, adres, e-mail … Behoudens expliciete goedkeuring van de deelnemer mag deze data niet meer gebruikt worden buiten het kader van de actie, en moet deze onherroepelijk gewist worden.
• Bestaande databases: bestanden van oud-werknemers, oud-leden en dergelijke meer mogen niet meer bijgehouden worden, tenzij àl deze personen hun expliciete toestemming geven of indien er gegronde en aantoonbare reden is om deze data zonder expliciete toestemming toch te bewaren.
• Minderjarigen: bij data van minderjarigen (in dit geval jonger dan 16 jaar) is altijd toestemming nodig van de ouders! Als dataverzamelaar ben je verplicht ‘redelijke inspanningen’ (dit is voorlopig nog een grijze zone, zonder expliciete afbakening) te doen om de leeftijd te achterhalen, naargelang de context.
• E-commerce: bij anonieme aankopen moeten de persoonsgegevens verwijderd worden nadat de bedenktijd verlopen is. Enkel zaken die betrekking hebben tot de facturatie mag je bijhouden. Als bij een databaselek met informatie van betaalkaarten blijkt dat het bedrijf en/of webshop niet GDPR-compliant is, dan draait het bedrijf - en eventueel ook de technische partner - op voor de volledige schade.
• Tracking: bij profiling (naam + segmenteren) van bezoekers op een site/applicatie, moet duidelijk gemeld worden aan de bezoeker met wat er getrackt wordt en waarom. Opt-out moet altijd kunnen, en dus moet er ook een degelijke privacy policy, die dit duidelijk toelicht, aanwezig zijn.
• Verkrijgen/aankoop van databases: bij aankoop of andere manier van verkrijgen van data, moet je iedereen binnen de 30 dagen verwittigen met vermelding van je bron (‘data verkregen van X’), tenzij de betrokkenen dit al weten of de inspanning te groot is (ook dit is weer een grijze zone).

Voor meer informatie lees ook onze andere artikels: GDPR voor marketeers in 6 stappen en Jouw cookiebeleid in regel met GDPR dankzij Google Tag Manager (GTM) + stappenplan.