Op donderdag 15 juni organiseerde MEC Belgium een nieuwe ‘Inspiration Session’ over de nieuwe Europese referentietekst inzake de bescherming van persoonlijke gegevens. Dat treedt in werking op 25 mei 2018 en zorgt momenteel voor heel wat vragen bij de bedrijven.
 
Om klaarder te zien in de Algemene Verordening Gegevensbescherming (AVG) zoals aanvaard door het Europese Parlement in april 2016, werd Meester Catherine Forget uitgenodigd door MEC Belgium. Als advocate bij de Balie van Brussel is meester Forget gespecialiseerd in de Rechten van de Mens, in wetgeving in verband met de bescherming van de persoonlijke levenssfeer, IT-criminaliteit en Cybersecurity. Zij is eveneens onderzoekster bij het CRIDS (Centre de Recherche Information, Droit et Société – Centrum voor Informatie-Research, Recht en Veiligheid) aan de Universiteit van Namen. Minder dan een jaar vóór de inwerkingtreding van deze nieuwe Europese Verordening, moeten vele ondernemingen zich nog in regel stellen. Dit is een langdurig en tijdrovend werk als men de vele, uiterst belangrijke veranderingen beschouwt die de AVG heeft aangebracht in vergelijking met de huidige Richtlijn over de bescherming van de persoonsgegevens zoals aanvaard in 1995.
 
Eén van de belangrijkste kenmerken van de nieuwe AVG is dat het recht op de gegevensbescherming geen absoluut recht is. Dit betekent dat het niet kan worden ingeroepen tegenover alles en iedereen, maar dat het moet worden afgewogen tegenover de wettelijke belangen van de andere partijen. Dit is het eerste goede nieuws voor ondernemingen. Bovendien: ook al heeft de AVG als doel de huidige in Europa geldende bepalingen te harmoniseren, dan nog wordt dit genuanceerd door uitzonderingen die worden overgelaten aan de nationale wetgeving van de 28 lidstaten. De impact van de AVG kan daarom meer of minder belangrijk zijn, naargelang de nationale wetgevers beslissen deze verordening strikt of minder strikt in eigen wetten te gieten. Het is aan de Staten om te beslissen over de mate van harmonisatie van de AVG. Wat deze verordening vooral wil bereiken, is een loyale, doeltreffende en transparante verwerking van de gegevens volgens een welbepaald, expliciet en gerechtvaardigd doeleinde en met een algemene beperking van het aantal data. De bewaring van gegevens in de tijd mag niet overdreven zijn en hun vertrouwelijkheid moet worden verzekerd.
 
Concreet betekent dit voor de ondernemingen dat de belangrijkste impact van de vele veranderingen die werden aangebracht zich zal vertalen in een enorm werk in het klasseren, rangschikken en behandelen van de persoonlijke gegevens. Nu de persoonlijke rechten werden versterkt, moeten ondernemingen snel reageren mochten er vragen of klachten van het publiek opduiken. Deze versterkte rechten omvatten namelijk een nieuw recht in verband met de overdraagbaarheid van gegevens, een recht op informatie op het moment dat de gegevens worden verzameld, een recht op toegang met uitzondering indien dit de rechten en vrijheden van anderen negatief beïnvloedt, en recht op correctie en wissen van gegevens - behalve in het kader van het gebruik door de rechterlijke macht, een recht op verzet, een recht op de beperking van de verwerking van de gegevens, enz.
 
Bovendien gelden voor zij die verantwoordelijk zijn voor de verwerking van de gegevens (de fysieke persoon of de rechtspersoon die beslist over de modaliteiten en de manieren van behandeling) en hun onderaannemers strengere verplichtingen. De ondernemingen zijn voortaan verplicht een register van verwerkingsactiviteiten voor te leggen. Zij zijn ook verplicht om te zorgen voor een verhoogde veiligheid, meer bepaald wat pseudoniem-gebruik betreft. Dit betekent dat persoonlijke gegevens niet meer kunnen worden toegekend aan een andere persoon zonder eerst inlichtingen over hem in te winnen. Andere verplichtingen voorzien onder andere in een voorafgaande analyse van de impact van de verwerking, de kennisgeving aan de Commissie voor de Bescherming van de Persoonlijke Levenssfeer (ingeval van inbreuk op het gebruik van persoonlijke gegevens) en aan de natuurlijke persoon, de aanstelling in bepaalde ondernemingen van een verantwoordelijke voor de bescherming van persoonlijke gegevens, enz.
 
Om al deze veranderingen te begrijpen, worden voorbeelden uit de praktijk aangedragen. Allereerst is het nu zo dat als iemand anoniem via het Internet een vragenlijst invult, er veel informatie ontbreekt. In de toekomst moet ook in dit geval de AVG worden gerespecteerd.  Startend vanuit het IP-adres moet de identificatie van de vragende persoon mogelijk zijn. Ten tweede: bij de behandeling van gegevens voor marketingdoeleinden is het nu nog mogelijk om vaag te blijven, maar voortaan moet het uiteindelijke doel duidelijker bekend worden gemaakt. Dat is waarom, ten derde, bij de installatie van een mobile app een formulier van akkoord wordt voorzien dat verschillend is voor elk type van gegeven dat wordt verzameld. De huidige eenmalige pop-up die vraagt om toegang tot uw contacten en uw agenda om de app te kunnen gebruiken zal worden vervangen door verschillende pop-ups naargelang de gebruikte gegevens. Hieruit volgt de verplichting voor de gebruiker om alsmaar opnieuw te aanvaarden dat al zijn gegevens worden gebruikt als hij gebruik wil maken van de volledige service van de app of de website. Ten vierde, indien persoonlijke gegevens zonder toestemming worden gekaapt, gestolen of op welke manier dan ook publiek worden gemaakt, bestaat er voortaan een meldingsplicht aan de betrokken personen, daar waar dit tot nu toe slechts een aanbeveling was. De opsomming van tastbare voorbeelden is lang … Tussen vandaag en 25 mei 2018 hebben de ondernemingen er alle baat bij om zich te schikken naar de administratieve eisen van de Europese Verordening. Indien niet, kan het bedrag van de boete oplopen tot 20 miljoen euro of 4% van het jaarlijkse zakencijfer.
 
Bovenop het exorbitante bedrag van de boete, is het voor de marketingsector echter nog belangrijker te weten welke impact de AVG zal hebben op de targeting van consumenten. De concepten “profiling” en “target marketing” komen voor in de verordening, maar deze specifieke terminologie is niet erg duidelijk. “Profiling” impliceert een geautomatiseerde verwerking van persoonlijke gegevens en het gebruik van deze gegevens om bepaalde aspecten van een natuurlijk persoon te evalueren. Een dergelijke definitie slaat niet op niet-geautomatiseerde verwerking. Bovendien wordt “tracking” niet beschouwd als “profiling” in die zin dat dit neerkomt op de intentie om beslissingen te nemen over de persoon of om het gedrag en de voorkeuren van deze persoon te voorspellen. Ook al is “profiling” in beginsel verboden, dat neemt niet weg dat deze nieuwe AVG niets aan de huidige realiteit verandert, in zoverre de verbruiker correcte toegang wordt verleend tot de gebruiksvoorwaarden van zijn gegevens en hij die heeft aanvaard.
 
Des te meer omdat nog moet worden bepaald welke geautomatiseerde verwerkingsactiviteiten van de gegevens als “profiling” worden beschouwd, en ook naar welke “profiling” activiteiten artikel 22 van het AVG refereert. Kortom, ondanks alle complexiteit van de aangebrachte veranderingen door de Europese tekst op het gebied van de bescherming van gegevens, zal dit geen al te grote impact hebben op het niveau van targeting. De belangrijkste impact betreft eerder het opslaan, de archivering en de terbeschikkingstelling van persoonlijke gegevens. Ten slotte nog dit: al deze nieuwe reglementen maakt het de gebruiker mogelijk zich bewuster te zijn van het delen van zijn gegevens. Het is nu afwachten of hij zich terughoudend zal opstellen om deze gegevens te delen, of net niet.