De algemene verordening gegevensbescherming (GDPR) verplicht u transparant te zijn omtrent hoe u met persoonsgegevens omgaat. Een persoon die zijn gegevens aan u toevertrouwt, moet duidelijke en concrete informatie ontvangen omtrent wat er met zijn gegevens zal gebeuren. Meestal wordt deze toelichting gegeven door middel van een privacy policy. De exacte omvang van de wettelijke verplichtingen krijgt bovendien meer en meer invulling door geschillenbehandeling inzake GDPR. Is uw privacy policy nog steeds up-to-date?

Actuele informatie

De GDPR bevat een lijst van de informatie die u minstens moet meedelen aan de betrokkenen. Zo moet u bijvoorbeeld communiceren voor welke doeleinden u de gegevens zal verwerken, de bewaartermijn ervan, de wettelijke grondslag, wie de gegevens zal ontvangen, enz. Daarnaast moet u de betrokkenen ook wijzen op de rechten die zij kunnen uitoefenen t.a.v. u en op welke wijze zij dit kunnen doen (o.a. uitoefening van het recht op inzage, verbetering van persoonsgegevens, het wissen ervan).

Deze informatie moet actueel zijn. Als u binnen de onderneming een beslissing neemt die een invloed heeft op uw beleid inzake gegevensbescherming, dan moet u nagaan of uw privacy policy aangepast dient te worden (vb. nieuwe dienstverlening, nieuwe software, langere bewaartermijnen, beslissingen inzake direct marketing).

Concrete informatie

De Gegevensbeschermingsautoriteit is de Belgische autoriteit die toeziet op de naleving van de verplichtingen onder GDPR. In een aantal dossiers werd reeds de privacy policy van een onderneming onder de loep genomen. Belangrijk om hierbij te onthouden is dat voorwaardelijke bewoordingen en onvolledige opsommingen als ontoereikend worden beschouwd. Dit wijst immers op onnauwkeurige informatie. Uitdrukkingen als “uw gegevens worden niet langer bewaard dan nodig is voor de doeleinden waarvoor ze worden verwerkt” zonder verdere precisering is te vaag. Dit geldt ook voor andere bepalingen in uw privacy policy. Wees zo concreet mogelijk!

Direct marketing

De Gegevensbeschermingsautoriteit publiceerde begin dit jaar een aanbeveling omtrent direct marketing. Daarin wordt ook ingezoomd op de transparantieverplichtingen die daarmee gepaard gaan. De loutere mededeling “Wij verwerken uw gegevens voor direct marketingdoeleinden”  wordt in de meeste gevallen niet gezien als nauwkeurige informatieverstrekking in de zin van de GDPR. Dit vereist verdere specificatie. Hierbij dient rekening gehouden te worden met het type communicatie (vb. telefoon, e-mail, sms), de frequentie ervan (vb. wekelijks, maandelijks) en de inhoud (vb. nieuwsbrief, kortingsbonnen).

Indien u persoonsgegevens verzamelt voor direct marketing doeleinden, dan moet u de betrokkene bovendien informeren dat deze ten allen tijde bezwaar kan maken tegen deze verwerking en hoe hij dit kan doen.

Heeft u vragen omtrent uw Privacy Policy? Heeft u hulp nodig bij de opmaak ervan? Neem vrijblijvend contact op met mij voor meer informatie.