AVG/GDPR – De basics

15 januari 2018 – in opdracht van Nochii Online Marketing

Ben je al helemaal up-to-date over de AVG/GDPR? Of weet je misschien nog niet waar deze term voor staat? De AVG staat voor Algemene Verordening Gegevensbescherming en gaat op korte termijn grote invloed hebben op online marketing. Deze Europese wetgeving zal namelijk vanaf 25 mei 2018 van kracht zijn en vereist de nodige actiepunten. Is jouw organisatie al voorbereid? Volg deze blogreeks om kennis te maken met dit onderwerp en te bepalen welke acties er binnen jouw organisatie nog verricht moeten worden.

De AVG was voorheen de Wet Persoonsregistraties (1981 -2001) en in 1995 kwam hier een Europese Richtlijn voor. Nadeel van deze richtlijn was dat er grote verschillen in normen waren, waardoor de Wet Bescherming Persoonsgegevens in 2001 intrad. Om al deze verschillende richtlijnen en wetgevingen gelijk te trekken op Europees niveau is de AVG in het leven geroepen. Hierdoor is er straks consistentie over welke regels er gelden voor het verwerken van persoonsgegevens en het omgaan met data. Bovendien is “online” duidelijker geformuleerd in de AVG dan voorheen het geval was.

Persoonsgegevens

Wat is nou eigenlijk een persoonsgegeven? Dat klinkt heel erg vanzelfsprekend, maar vaak wordt dit nog onjuist geïnterpreteerd. De definitie van een persoonsgegeven is ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. Let op! Het maakt dus niet uit of je iemand al hebt geïdentificeerd. Oftewel alle informatie over een geïdentificeerde of identificeerbare persoon is een persoonsgegeven. Persoonsgegevens vallen allemaal onder de AVG en voor het verwerken van bijzondere persoonsgegevens gelden aparte regels. Hierbij moet je denken aan gegevens over:

• Godsdienst/levensovertuiging
• Ras
• Politieke gezindheid
• Seksuele voorkeur
• Lidmaatschap vakvereniging
• Strafrechtelijke gegevens
• Genetische gegevens 
• Biometrische gegevens
• Gezondheid

Deze laatste drie zijn er bijgekomen en vragen om nog meer zorgvuldigheid als je deze wilt gebruiken. Advies is om deze gegevens niet te verwerken als je ze niet nodig hebt om risico’s te vermijden.

Rolverdeling

Maar wie is er dan verantwoordelijk? En welke rol heeft een organisatie? Dit leggen we uit aan de hand van een voorbeeld. Stel je bent een groot internationaal parfummerk en je besteedt werkzaamheden uit aan een partij die in opdracht voor jou persoonsgegevens gaat verwerken.
Je hebt namelijk een nieuwe geurlijn gelanceerd en wilt door middel van een online marketing campagne brand awareness creëren en daarnaast aansturen op conversies. In dit geval is het grote internationale parfummerk de opdrachtgever, oftewel de verantwoordelijke. De online marketing partij is in deze situatie de verwerker.
De verwerker handelt uitsluitend in opdracht van de opdrachtgever, maar mag wel een advies geven. De afspraken over het verwerken van persoonsgegevens moet vastgelegd worden in een verwerkingsovereenkomst. Dit is op dit moment ook al verplicht, maar vanaf vanaf 25 mei worden hier sancties opgelegd. De betrokkenen zijn de gebruikers en kunnen ten alle tijden hun toestemming voor het verwerken van persoonsgegevens intrekken.

Marketingpunten

Er zijn een aantal punten die voor marketeers belangrijk zijn.

• Een van deze punten is toestemming. Deze toestemming moet met vrije wil en actief worden gegeven. Een cookiewall waardoor de site niet meer zichtbaar is of de melding ‘door verder te klikken geeft u toestemming’ zijn niet meer toegestaan vanaf 25 mei 2018.
• Je moet specifiek benoemen waar een gebruiker toestemming voor geeft. In de privacy- en cookieverklaring aangeven voor welke doeleinden toestemming wordt gegeven. Geef per actie/verwerking het doel aan. Voor e-mailmarketing betekent dit dat er niet een button met daaronder verschillende onderwerpen wordt gepresenteerd, maar per onderwerp een button. Zodat deze personen in verschillende lijsten kunnen worden afgevangen.
• Het profileren aan de hand van persoonsgegevens. Hieronder valt elke vorm van geautomatiseerde verwerking waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten worden gekoppeld. Dit is wat Facebook bijvoorbeeld doet en dit moet je terug laten komen in je privacy- en cookieverklaring.
• Om boetes te voorkomen is een verwerkingsovereenkomst tussen opdrachtgever en verwerker noodzakelijk. Hierin staan afspraken over de verwerking van persoonsgegevens. Daarnaast staat er vermeld welke derde partijen er worden ingeschakeld, dit in verband met datalekken.
• Wees alert op de privacybeginselen. Dat wil zeggen dat je persoonsgegevens op een rechtmatige, behoorlijke en transparante manier hebt verkregen. Dit moet je tevens ook kunnen aantonen. Je moet kunnen beargumenteren waarvoor je een persoonsgegeven nodig hebt.

Wil je meer weten over de AVG? Meld je dan hier aan voor ons kennisevent en volg deze blogreeks.

Bronnen:
Blog Marketingfacts
Blog DDMA
Webinar Online Tuesday