Zijn jullie bezig met de AVG / GDPR regelgeving?

[Mathias@evelo]

Hallo,

 

Zoals de titel het zegt; zijn jullie daarmee bezig?

 

Ik heb er net wat over zitten lezen maar het is mij nog niet duidelijk of deze regels ook gelden voor een eenmanszaak/zelfstandige. Ik vermoed van wel.

 

Zelf verzamel ik niet actief persoonsgegevens bij mijn job maar als ik er over nadenk dan beschik ik toch wel over (relatief) veel adresgegevens, telefoonnummers, mails van klanten,...

 

Mijn facturatie doe ik via de website van Harvest. Dat is een amerikaans bedrijf. Zou ik best overwegen van over te schakelen naar een meer lokale service? Op zich geen groot probleem maar er komt wel wat gedoe bij kijken.

 

Hoe denken jullie over de GDPR?

 

[Mod edit: titel verduidelijkt met de NL-term]

 

[John B]

Is er al een definitieve en officiële - en bij voorkeur Nederlandstalige - versie van deze regels? Op de site van de rijksoverheid heb ik die (nog) niet kunnen vinden. Ik zie wel allerlei - soms ook heel vage - verhalen op websites van aanbieders van diensten op dit gebied, maar zou het wel prettig vinden om eerst ergens te kunnen lezen wat er nu precies voor regels gelden.

[Mathias@evelo]

Ha, dan ben ik toch al niet alleen :)

 

Ik ben oa hier begonnen: http://www.smartbiz.be/achtergrond/167961/de-gdpr-wetgeving-uitgelegd-vijf-vragen/

[Norbert Bakker]

Is er al een definitieve en officiële - en bij voorkeur Nederlandstalige - versie van deze regels?

 

 

Ja, die heet AVG, Algemene Verordering Gegevensbescherming

 

De AVG op Higherlevel

[Edo van Santen]

ik wacht het wel af. ik verwerk leads en klanten data met de hand en heb geen invul formulieren op mijn websites. Mocht het nodig blijken, kan ik altijd nog een privacyverklaring opstellen en publiceren.

 

ben ook benieuwd hoe de overheid met zijn data omgaat die ze met de sleepwet verzamelen ;-)

[Cosara]

Zoals de titel het zegt; zijn jullie daarmee bezig?

Ja, maar dat is niets nieuws, want voor mij is het slechts een voortzetting en aanscherping van de reeds bestaande privacywetgeving.

 

Ik heb er net wat over zitten lezen maar het is mij nog niet duidelijk of deze regels ook gelden voor een eenmanszaak/zelfstandige. Ik vermoed van wel.

De nieuwe wet geldt voor iedereen.

 

"Deze nieuwe Europese wet dwingt u als ondernemer tot meer actie en maatregelen wanneer u gegevens over klanten, personeel of andere personen vastlegt. Dit geldt voor alle zelfstandige ondernemers. Ook als u geen personeel in dienst heeft of slechts een paar klanten heeft. Al bij het versturen van een offerte, factuur of een nieuwsbrief dient u rekening te houden met de wet."

 

Voor meer informatie: Bereid u voor op de Algemene Verordening Gegevensbescherming (AVG)

 

Met de vriendelijke groeten van Nedzhibe

[John B]

Ja, die heet AVG, Algemene Verordering Gegevensbescherming

Dankjewel. Je moet dan nog wel via het linkje naar de Autoriteit Persoonsgegevens en vervolgens via het linkje naar de AVG naar een pagina waar een linkje naar de wettekst staat.

 

Op de pagina waar jij naar verwijst wordt alleen gesproken over "uw klanten", terwijl de wettekst heel specifiek begint met "De bescherming van natuurlijke personen ...". Ik neem aan dat dat inhoudt dat de wet alleen geldt voor bedrijven die gegevens van consumenten, eenmanszaken, VoFs en maatschappen vastleggen.

 

Die wettekst omvat 88 pagina's formele en niet altijd even makkelijk leesbare tekst, wat mij het gevoel geeft - in combinatie met het aantal aanbieders van diensten op dit gebied dat je via Google vindt - dat het vooral een wet is die de consultant-business wat extra leven in gaat blazen.

 

Betekent deze wet (bijvoorbeeld) ook dat de KvK niet langer gegevens over eenmanszaken door mag verkopen aan marketingbedrijven, maar daar nu eerst officieel toestemming voor moet gaan vragen? En dan dus ook niet de gegevens met een non-mailing indicator door mag geven met de melding dat de koper die gegevens niet mag gebruiken (wat ik altijd al vreemd heb gevonden)?

 

En de vraag is bijvoorbeeld of dit ook gevolgen heeft voor dit onlangs gestarte topic, want de wettekst heeft het ook over het vastleggen van IP-adressen om natuurlijke personen te kunnen herkennen. Het willekeurig vastleggen van IP-adressen van bezoekers van een website zou dus ook niet meer mogen?

 

Ik ben ook wel benieuwd waar het recht op inzage (inclusief verstrekking van de gegevens "in een gestructureerd, gangbaar, machineleesbaar en interoperabel formaat") en verwijdering allemaal toe gaat leiden. Als mensen dit massaal gaan doen (het verkrijgen van honderdduizenden handtekeningen voor een raadgevend referendum blijkt immers ook heel gemakkelijk te zijn, dus welke zonderling start de eerste oproep?) kan dit voor een bedrijf wel eens enorme gevolgen hebben.

 

Wat de oorspronkelijke vraag betreft over de toepasselijkheid van de wet voor eenmanszaken lees ik "Voorts worden de instellingen, organen en instanties van de Unie, en de lidstaten en hun toezichthoudende autoriteiten aangemoedigd om bij de toepassing van deze verordening de specifieke behoeften van de kleine, middelgrote en micro-ondernemingen in aanmerking te nemen." Ik neem aan dat daar dus nog aanvullende regels, bepalingen en uitzonderingen voor komen?

 

Tot slot vraag ik me af of de handhaving van deze wet op dezelfde lakse wijze gaat plaatsvinden als die bij de telecommunicatiewet inzake het bel-me-niet register en de regels rondom het versturen van ongevraagde e-mails.

[Ward van der Put]

De SEO van seminarslijters is beter, maar de Autoriteit Persoonsgegevens heeft een uitgebreid dossier ingericht voor de AVG. Daarin vind je onder meer de samenvatting In 10 stappen voorbereid op de AVG (PDF).

[Mathias@evelo]

Ik heb de teksten zo goed mogelijk proberen te lezen maar naar mijn gevoel wordt niet echt duidelijk wat je nu praktisch moet doen als eenmanszaak.

 

Als ik nadenk over mijn situatie dan worden er eigenlijk voortdurend persoonsgegevens en aanverwanten uitgewisseld al van bij het eerste klantencontact: ik ga eens ter plaatse, klant stuurt een mail met uitleg/foto's, ik stuur een offerte, een factuur,...

 

Dan zou ik bij iedere (mogelijke) klant op voorhand een briefje moeten laten tekenen waarop staat hoe ik om ga met hun privacy?

 

[Highio]

Een eenvoudig/praktisch driestappenplan:

 

Wat zijn persoonsgegevens?

Wat kan ik zelf doen?

Thematische beleidsregels

 

Groet,

 

Highio

 

[John B]

Een eenvoudig/praktisch driestappenplan:

Uit jouw eerste link eerst de stelligheid:

 

Maar ook telefoonnummers en postcodes met huisnummers zijn persoonsgegevens.

Om die stelligheid dan vervolgens weer af te zwakken:

 

Tevens dienen telefoonnummers, kentekens van auto's en postcodes met huisnummers onder omstandigheden als een persoonsgegeven te worden aangemerkt.

en

 

Telefoonnummers zijn niet altijd persoonsgegevens in de zin van de wet, bijvoorbeeld niet ...

Waarin dat "bijvoorbeeld" bij mij de vraag oproept welke "(bij)voorbeelden" er nog meer zijn naast dat ene genoemde ...

 

[Highio]

Ik zou daar gewoon praktisch mee omgaan, dus geen telefoonnummers of adresgegevens van klanten doorgeven aan derden, behalve bijvoorbeeld aan een transporteur om een levering uit te kunnen voeren.

 

Mijn posting was een poging als leidraad voor Mathias, al fietst die niet in NL rond.

 

Onder 'Overzicht thematische beleidsregels' in 'mijn' derde link worden als actuele thema's beveiliging van persoonsgegevens en het melden van datalekken aangehaald. Harvest ken ik verder bijvoorbeeld ;D niet. Geen idee wat voor partij dat is.

 

Groet,

 

Highio

 

[Ward van der Put]

Voor telefoonnummers geldt hetzelfde als voor IP-nummers: het nummer is een persoonsgegeven als het direct tot één persoon te herleiden is. Het Engelse personally identifiable information (PII) drukt dat duidelijker uit.

 

Een huisadres is geen persoonsgegeven maar het adres van een huis. Het wordt een persoonsgegeven als je ook weet welke persoon in dat huis woont.

 

Ik zou daar gewoon praktisch mee omgaan, dus geen telefoonnummers of adresgegevens van klanten doorgeven aan derden, behalve bijvoorbeeld aan een transporteur om een levering uit te kunnen voeren.

Daar mag best nog een schepje bovenop — en waarschijnlijk beoogt de nieuwe privacyrichtlijn mede dat er veel bewuster mee omgegaan wordt.

 

Ik zeg altijd maar: persoonsgegevens die je zelf niet meer gebruikt, kunnen alleen nog worden misbruikt door derden. Waarom zou je iets bewaren dat je toch niet gebruikt?

 

Heeft Mathias het telefoonnummer van een klant nog nodig nadat hij daar de elektra heeft hersteld?

Zo nee, dan weg ermee.

 

Het vraagt dus vooral een andere mindset: het is niet langer normaal dat je zomaar klantgegevens bewaart; daar moet een duidelijk aanwijsbare en verdedigbare reden voor zijn.

 

(Wat ik persoonlijk wel interessant is, is hoe moeilijk het eigenlijk blijkt als je consequent back-ups maakt: daar zitten vaak nog de gegevens in die je eigenlijk wilt vernietigen of dacht te hebben vernietigd.)

 

[Cosara]

Voorlopig is de huidige Wet Bescherming Persoonsgegevens nog onverminderd van kracht.

 

Als ik de voorgaande reacties lees, is de inhoud van deze wet voor menigeen nog een grote onbekende.

 

Voor meer informatie over de WBP, zie: Handleiding voor verwerkers van persoonsgegevens - Wet Bescherming Persoonsgegevens. Uitgave door het Ministerie van Justitie, Den Haag, april 2002.

 

De nieuw beoogde wet Algemene Verordening Gegevensbescherming (AVG) doet daar nog een schepje bovenop. Als ondernemer zou ik daar toch wel een serieuze zaak van (gaan) maken.

 

zie ook: Autoriteit Persoonsgegevens.

 

Met de vriendelijke groeten van Nedzhibe

[Norbert Bakker]

De nieuw beoogde wet Algemene Verordening Gegevensbescherming (AVG) doet daar nog een schepje bovenop. Als ondernemer zou ik daar toch wel een serieuze zaak van (gaan) maken.

 

Het regent al stappenplannen, softwaretools en adviseurs op dat gebied, maar waar het uiteindelijk om draait is daadkracht en bewustwording.

 

Voor de liefhebbers van achtergrondinformatie en software of gebied van AVG/GDPR: komende week op 1 en 2 november is de Infosecurity beurs in de Jaarbeurs. Deelname na registratie is gratis.

 

^{(ondergetekende is er op woensdag 1 november, ik zal later op deze dag een agenda-item aanmaken voor als er meer HL-leden gaan en we elkaar kunnen/willen treffen)}

 

En voor de IT en security specialisten of juristen onder de HL-leden en lezers: een column over een vooral praktische "gezond boeren verstand" aanpak van AVG voor de ondernemer wordt zeer op prijs gesteld

(ja, ik zou m zelf wel weer kunnen schrijven: maar laat graag ruimte aan een ander ;))

 

[Maxn]

Zelf verzamel ik niet actief persoonsgegevens bij mijn job maar als ik er over nadenk dan beschik ik toch wel over (relatief) veel adresgegevens, telefoonnummers, mails van klanten,...

 

Ken de Belgische regels niet.

Maar in Nederland moet je nu ook al melding bij de Autoriteit Persoonsgegevens doen als je dergelijke persoonsgegevens langdurig wilt opslaan.

 

Alleen als je de klantgegevens binnen twee jaar verwijderd, of als je de gegevens op basis van andere wetgeving (zoals de fiscale bewaarplicht) langer moet bewaren, ben je vrijgesteld.

 

http://wetten.overheid.nl/BWBR0012461/2017-05-25#Hoofdstuk2_Paragraaf3_Artikel13

 

==

 

Ik ben ook wel benieuwd waar het recht op inzage (inclusief verstrekking van de gegevens "in een gestructureerd, gangbaar, machineleesbaar en interoperabel formaat") en verwijdering allemaal toe gaat leiden.

 

Het recht op inzage en verwijdering heb je nu toch ook al?

Alleen het recht op dataportabiliteit is nieuw.

Het is dus straks mogelijk om de gegevens in digitaal formaat te ontvangen.

 

[Floor May]

Kort samengevat: de reikwijdte van de AVG is enorm. Een uitbreiding ten opzichte van de WBP.

Als ik zo in de praktijk kijk, zal eigenlijk iedere organisatie die iets met persoonsgegevens doet ook iets met de privacyregels moeten doen. Dat was overigens nu onder de WPB ook al, maar het heeft veel meer aandacht nu (vermoedelijk vanwege de hoge boetes).

 

Door de bank genomen zullen er door eenmanszaken minder maatregelen getroffen hoeven worden dan door multinationals. Maar er zijn uitzonderingen, want niet alleen de omvang van organisaties speelt een rol. Ook is van belang of je veel data verzamelt. Of je trackt/monitort. En of je bijzondere persoonsgegevens verwerkt (denk aan medisch, religie etc).

 

Ik begrijp dat deze wet voor veel mensen als last wordt gezien, maar in het algemeen is het -wat mij betreft, en gelet op de wetgeving ook wat Europa betreft- niet erg dat organisaties transparant moeten zijn in wat ze met persoonsgegevens doen. Een groot misverstand is dat door de wet niets meer mag. Er mag een hele hoop, maar er gelden wel bepaalde regels waar je aan moet voldoen.

 

[John B]

Het recht op inzage en verwijdering heb je nu toch ook al?

Natuurlijk, maar net zoals Floor aangeeft komt er nu opeens weer een heleboel aandacht voor deze wetgeving en dat zou in deze tijd met allerlei nieuwe media en eenvoudig te communiceren massa-oproepen nog wel eens voor verrassingen kunnen zorgen.

 

[Floor May]

Het recht op inzage en verwijdering heb je nu toch ook al?

Natuurlijk, maar net zoals Floor aangeeft komt er nu opeens weer een heleboel aandacht voor deze wetgeving en dat zou in deze tijd met allerlei nieuwe media en eenvoudig te communiceren massa-oproepen nog wel eens voor verrassingen kunnen zorgen.

 

 

Er zijn veel rechten die "we" al hadden, maar er zitten soms ook inhoudelijke wijzigingen

in. Dataportabiliteit is nieuw inderdaad. Dit is om vendor lock in te voorkomen. Je moet makkelijk kunnen overstappen naar een andere partij. Dit recht geldt overigens maar in bepaalde gevallen.

Het recht vergeten te worden is nu ook vastgelegd in de wet.

 

In ieder geval verstandig als organisatie de processen zo in te richten dat je aan verzoeken van data subjecten kunt voldoen (awareness, modelbrieven, identificatiemethodes, technisch mogelijk maken aan verzoek te voldoen). En ja...Houd rekening met de termijnen waarbinnen je moet reageren op verzoeken.

[Floor May]

Zelf verzamel ik niet actief persoonsgegevens bij mijn job maar als ik er over nadenk dan beschik ik toch wel over (relatief) veel adresgegevens, telefoonnummers, mails van klanten,...

 

Ken de Belgische regels niet.

Maar in Nederland moet je nu ook al melding bij de Autoriteit Persoonsgegevens doen als je dergelijke persoonsgegevens langdurig wilt opslaan.

 

Alleen als je de klantgegevens binnen twee jaar verwijderd, of als je de gegevens op basis van andere wetgeving (zoals de fiscale bewaarplicht) langer moet bewaren, ben je vrijgesteld.

 

http://wetten.overheid.nl/BWBR0012461/2017-05-25#Hoofdstuk2_Paragraaf3_Artikel13

 

==

 

Ik ben ook wel benieuwd waar het recht op inzage (inclusief verstrekking van de gegevens "in een gestructureerd, gangbaar, machineleesbaar en interoperabel formaat") en verwijdering allemaal toe gaat leiden.

 

Het recht op inzage en verwijdering heb je nu toch ook al?

Alleen het recht op dataportabiliteit is nieuw.

Het is dus straks mogelijk om de gegevens in digitaal formaat te ontvangen.

 

 

Deze meldingsplicht gaat overigens verdwijnen. Organisaties worden nu zelf verplicht een register bij te houden waarin de verwerkingen van persoonsgegevens staan (verwerkingregister). Uitzonderingen daargelaten. De Autoriteit Persoonsgegevens kan inzage vragen in dit register.

 

Termijnen voor bewaren zijn afhankelijk van de doelen. Dit moet in ieder geval medegedeeld worden aan de data subjecten.

[John B]

In ieder geval verstandig als organisatie de processen zo in te richten dat je aan verzoeken van data subjecten kunt voldoen (awareness, modelbrieven, identificatiemethodes, technisch mogelijk maken aan verzoek te voldoen).

Daar kwam al eerder een vraag over voorbij. Hoe ga je gegevens uit backups verwijderen? Of hoeft dat niet, als je daar bij eventueel terugzetten van een backup maar rekening mee houdt?

 

Ook interessant hoe je dat doet met mails. Iemand meldt zich tegelijk met een bestelling aan voor een nieuwsbrief (opt-in). In die mail staan dus ook zijn adres en eventueel zijn telefoonnummer. Die heb je niet nodig voor het versturen van de nieuwsbrief, dus die zou je na de levering moeten verwijderen. Maar die mail moet je dan weer wel bewaren om die opt-in te kunnen aantonen ...

[Floor May]

Goede punten.

 

Voor zover ik weet is het zuiver juridische antwoord "ja", maar gaat dat in de praktijk niet werken.

Er ligt nu een framework, en de praktijk gaat uitwijzen hoe daar wel of geen invulling aan wordt gegeven. Mijn algemene tip is om er zo pragmatisch mogelijk mee om te gaan. Doe wat je kunt doen, en als je iets niet kunt, documenteer deze beslissing en leg deze uit. (die vlieger gaat natuurlijk niet in alle gevallen op).

 

Wat betreft adres etc...Wie zegt dat je dat niet enige tijd in het systeem mag bewaren voor andere doeleinden? Ook hier zal steeds een afweging moeten worden gemaakt.

[kuifje]

 

Heeft Mathias het telefoonnummer van een klant nog nodig nadat hij daar de elektra heeft hersteld?

Zo nee, dan weg ermee.

 

 

 

Volgens mij heeft hij dat wel nodig:

 

1) De klant verwacht het, dus het is businessmatig verstandig het te doen. Die klant kan best over een jaar een email sturen: 'Bel me eens op, ik heb nog een klus' en dan verwacht hij dat je het nummer nog hebt, en weet welke klus je eerder hebt gedaan. Zeker bij activiteiten waarbij een persoonlijk netwerk van belang is, kun je bijna niet zonder het bewaren van gegevens.

 

2) Er kan iets mis zijn, dat later aan het licht komt, met een component. Dan moeten wel alle klanten waar die component geinstalleerd is, gecontacteerd kunnen worden.

[Mathias@evelo]

Ik ben best voorstander van een sterke privacy wetgeving. Nu is het de uitdaging om dit te vertalen naar de praktijk, daar wil ik best wel wat energie in steken. Op de langere termijn waarschijnlijk een goede investering.

 

Ik zal ook eens een mail sturen naar de beroepsvereniging waar ik lid ben.

 

Waar ik mijn nog vragen over stel is over hoe ver men gaat in de definitie van een 'verwerker'. Is mijn webmail een verwerker? Want daar staat heel veel informatie in.

Is facebook een verwerker? Want er zijn klanten die hun vragen stellen via fb messenger.

Is mijn facturatie webservice een verwerker?

 

Die twee laatste zijn dan nog niet-europese bedrijven.

[Ward van der Put]

Er kan iets mis zijn, dat later aan het licht komt, met een component. Dan moeten wel alle klanten waar die component geinstalleerd is, gecontacteerd kunnen worden.

Ja, dat lijkt een ijzersterk argument en is daarom een goed voorbeeld!

 

De klassieke, kort door de bocht invulling wordt dan een opt-in: kruis het hokje aan indien u van 20 jaar fabrieksgarantie gebruik wilt maken en wij daartoe uw contactgegevens mogen bewaren. Ook 20 jaar lang logischerwijs. Klaar.

 

Maar is dat wel zo logisch? De nieuwe invulling van die logica is dataportabiliteit. De verkoper en de fabrikant hoeven eigenlijk geen persoonsgegevens te bewaren als de koper virtueel een digitaal garantiebewijs op zak heeft, om maar wat te noemen.

 

Waarom moet ik eigenlijk vooraf een apparaat registreren? Ik moest onlangs zowel mijn nieuwe tv als mijn nieuwe scheerapparaat registreren, waarbij ik bij de laatste ook nog lid kon worden van een scheerclub, de gratis membership card zat al in de doos. Is het enkele feit dat ik later achteraf kan aantonen dat ik recht heb op garantie niet voldoende?

 

[Norbert Bakker]

Waarom moet ik eigenlijk vooraf een apparaat registreren?

Voor marketingdoeleinden, nergens anders voor

 

Is het enkele feit dat ik later achteraf kan aantonen dat ik recht heb op garantie niet voldoende?

Voor de wettelijke garantie hoeft zelfs dat niet.

 

Voor de onverplichte fabrieksgarantie en/of verlengde garantie kan de fabrikant of leverancier aanvullende voorwaarden stellen, zoals registratie...of sturing op onderhoud en reparaties (via eigen kanalen bijvoorbeeld). Je bent niet verplicht om aan die voorwaarden te voldoen, maar dan vervallen je extra rechten.

 

De verkoper en de fabrikant hoeven eigenlijk geen persoonsgegevens te bewaren als de koper virtueel een digitaal garantiebewijs op zak heeft, om maar wat te noemen.

Het heeft met logica niets van doen, het is alleen marketing: en deelname is vrijwillig. In die zin zal de AVG op het 20 jaar vastleggen van gegevens sec geen noemenswaardige impact hebben, maar wél op wat er wordt gevraagd, hoe het wordt vastgelegd en wat er met die info mag gebeuren (verkopen bijvoorbeeld?).