Hoe GDPR toepassen in België? | shakeUp

De letterlijke betekenis van de afkorting GDPR is ‘General Data Protection Regulation’. Alle nationale reglementeringen in Europa werden op 25 mei 2018 in een privacywetgeving gegoten.

Maar wat is GDPR nu eigenlijk? De volledige definitie luidt als volgt:

GDPR is een Europese privacy beschermingswet die de persoonsgegevens van Europese burgers beschermt. Het doel van de GDPR wetgeving is om een betere bescherming te garanderen aan natuurlijke personen, bij de verwerking van hun persoonlijke gegevens.

Welke gegevens beschermd worden door de GDPR zijn persoonlijke data zoals:

• naam en achternaam
• thuisadres
• e‑mailadres zoals achternaam@onderneming.be
• nummer van identiteitskaart
• locatiegegevens (bijvoorbeeld de locatiegegevens op een mobiele telefoon)
• internetprotocoladres (IP-adres)
• identificatiecookie
• advertentie-ID van uw telefoon
• gegevens in het bezit van een ziekenhuis of arts, bijvoorbeeld in de vorm van een symbool dat iemand een unieke identiteit geeft

Maar, er zijn ook gegevens die niet als persoonlijk worden beschouwd. Hieronder enkele voorbeelden:

• Ondernemingsnummer of BTW nummer
• e‑mailadres zoals info@onderneming.be
• geanonimiseerde gegevens

Een vaak voorkomende vraag is of GDPR en AVG hetzelfde zijn. AVG is eenvoudigweg de Nederlandstalige benaming van de GDPR. De afkorting AVG staat voor ‘Algemene Verordening Gegevensbescherming’. Er zijn minieme verschillen per land, aangezien ieder land een ander stelsel van wetten hanteert. Zo heeft de GDPR clausules waarbij EU-lidstaten eigen aanvullingen of beperkingen kunnen invoeren op basis van de lokale wetgeving.

Zo kregen er in België lokale toezichthoudende autoriteiten de bevoegdheid om sanctionerend op te treden en richtlijnen uit te stippelen. Logischerwijs ontstaan er hierdoor kleine, lokale verschillen. Bijvoorbeeld, volgens een aanbeveling van de Nederlandse DPA (Data Protection Authority) kunnen zuiver commerciële belangen niet kwalificeren als een gerechtvaardigd belang. Volgens de Belgische DPA kan direct marketing wel mogelijk zijn op basis van een gerechtvaardigd commercieel belang.

Zoals hierboven beschreven zijn er grijze zones te ontwaren in de wetgeving die van toepassing is op Belgische lokaliteiten. Direct marketing is hiervan een goed voorbeeld.

Direct marketing is een vorm van gespecialiseerde marketing die verwijst naar alle directe communicatiemedia gericht op: promotie of verkoop van producten, diensten, alsook merken en ideeën. De boodschap moet gericht zijn aan een of meerdere natuurlijke, geïdentificeerde of identificeerbare personen. Zodra de boodschap gericht is aan een persoon, hetzij op naam hetzij op basis van informatie van die persoon die toelaat om er contact mee op te nemen (zoals bijvoorbeeld zijn IP-adres), spreken we van direct marketing.

De AVG definieert niet wat onder “direct marketing” verstaan wordt. Tot op heden bestaat er nog geen wettelijke, officiële of algemeen aanvaarde definitie van dit begrip op Europees niveau. De GBA (Gegevensbeschermingsautoriteit) geeft evenwel enkele toepassingen van direct marketing:

• je klanten informeren over uw nieuwe producten of diensten
• een profiel van je klanten opstellen
• het mogelijk maken dat derden de gegevens van je klanten gebruiken om buyer persona’s of klantprofielen op te stellen
• gepersonaliseerde aanbiedingen doen voor de verjaardag van je klanten
• je klanten op de hoogte houden van verschillende acties
• je merkimago promoten bij het grote publiek;
• geïnteresseerden uitnodigen voor evenementen (ter promotie van je organisatie)
• klanten en prospects op de hoogte brengen van gerichte aanbiedingen die mogelijks tegemoetkomen aan hun interesses
• nieuwe klanten, abonnees of leden werven

Enkele communicatievormen hierbij zijn: gerichte banner-advertenties, mailings, catalogi en folders per post, correspondenties via telefoon en beeldscherm,…

Het begrip “direct marketing” heeft geen betrekking op

• marktonderzoek
• peilingen
• tevredenheidsenquêtes

Indien een boodschap onder het mom van een peiling of marktonderzoek aan de betrokkenen wordt gericht – zonder dat wordt onthuld dat het eigenlijke doeleinde of ten minste één van de doeleinden direct marketing is – is er sprake van afwenden van het doeleinde. Op deze manier begaat men een overtreding van de AVG-regels. Het zou ook een schending van de ePrivacy-richtlijn kunnen zijn als de communicatie geschiedt zonder de toestemming van het individu. Dit moet steeds uitdrukkelijk gevraagd worden.

Best laat je het opzoeken van deze grijze zones over aan marketingexperts. Op het verzuimen van de GDPR staan fikse geldboetes. Wanneer de verzamelde data niet correct wordt beheerd, een serieus datalek niet wordt gemeld of het bedrijf geen risico-assessment houdt, kan de boete oplopen tot twee procent van de jaarlijkse omzet. Voor ernstige misstappen kan dat bedrag stijgen tot maar liefst vier procent van de omzet, met een maximum van 20 miljoen euro.