Focus 4: gegevensverwerking en persoonlijke verantwoordelijkheden

Wat gebeurt er als we een product van een e-commercesite kopen en de volgende dag beseffen dat het krediet van onze creditcard op is? Hoe worden onze voorkeuren en dus onze gegevens beheerd wanneer we ermee instemmen om door een website of blog te bladeren? En nogmaals: aan wie vertrouwen we eigenlijk persoonlijke informatie toe na het invullen van een contactformulier? Deze en andere vragen zullen we in deze vierde e proberen te beantwoorden laatste inzicht gewijd aan informatiebeveiliging in het digitale tijdperk. Ja, omdat gegevensverwerking hand in hand gaat met de persoonlijke verantwoordelijkheden van sitebeheerders, d.w.z. de mensen die eigenaar zijn van een site of een digitaal project. De situatie is altijd versnipperd geweest, in ieder geval tot een paar jaar geleden. De baanbrekende verandering kwam in 2018, met de komst van Algemene verordening gegevensbescherming, Ook bekend als GDPR. Laten we vanaf dit punt beginnen en kijken hoe we op een professionele manier een gegevensbeheerbeleid kunnen opzetten.

DE EUROPESE AVG EN HET WERKELIJKE TOEPASSINGSGEBIED

Onmogelijk om nog nooit gehoord te hebben van de Algemene Verordening Gegevensbescherming, officieel verordening (EU) n. 2016/679. De AVG, die nu twee jaar van kracht is, markeert het begin van een nieuw tijdperk, waarbij het niveau van gebruikersbescherming wordt verhoogd met betrekking tot de verwerking van persoonsgegevens door websites, blogs, e-commerce en virtuele ruimtes in het algemeen (forums, bestemmingspagina's, platforms voor videostreaming, zoekmachines, enz.). In een paar regels spreken over dit grenzeloze en deels dubbelzinnige wetgevingsinstrument is een onmogelijke missie, het feit blijft dat het onze plicht is om enkele bruikbare richtlijnen te geven om licht te werpen op zo'n omvangrijke en complexe kwestie. Laten we eerst eens kijken naar de hoogtepunten van de AVGlaten we echter proberen te begrijpen wat het werkelijke toepassingsgebied ervan is.

Welke landen worden getroffen door de AVG?

Elk land waarin een organisatie actief is die EU-burgers via het web aanspreekt en bepaalde persoonsgegevens verwerkt, is een land waar de AVG het recht heeft van toepassing te zijn. Dit is de conclusie die is bereikt door de gebieden die door de AVG zijn gespecificeerd bij elkaar op te tellen. Hieruit kan worden afgeleid dat vrijwel alle bedrijven en professionals die betrekkingen hebben met de Europese Unie, van Zwitserland tot de Verenigde Staten van Amerika en vele anderen, zich aan de verordening moeten houden. Voor meer informatie hierover raden we aan om te lezen deze complete gids voor de AVG.

Ervan uitgaande dat de AVG zowel in Zwitserland als in de rest van Europa juridische waarde heeft, laten we punt voor punt i kijken belangrijkste punten om rekening mee te houden de verordening correct te interpreteren en dienovereenkomstig toe te passen.

• elke gebruiker die uw site bezoekt, moet zijn toestemming voor de verwerking van gegevens bevestigen. De toestemming moet op elk moment vrij, specifiek, geïnformeerd en herroepbaar zijn
• bij gebrek aan toestemming wordt aangenomen dat de gegevens NIET worden verzameld of dat het bezoek aan de site wordt verhinderd
• de toestemmingen moeten worden gearchiveerd en onthouden, zodat ze altijd kunnen worden gevonden door agenten en overheidsinstanties
• het toestemmingsregister moet een reeks essentiële gegevens bevatten, zoals het moment waarop de toestemming is gegeven
• toestemming is niet de enige mogelijke rechtsgrondslag, maar een van de 6 die de AVG biedt. In veel situaties en voor veel bedrijven blijft consensus echter de gemakkelijkste weg

DE ePRIVACY-RICHTLIJN (COOKIEWET)

De AVG is niet de enige referentie die in acht moet worden genomen. Richtlijn 2009/136/EG (ook bekend als de e-privacyrichtlijn) is het tweede fundamentele instrument voor het correcte beheer van persoonsgegevens. specifieke wetgeving de regels voor het gebruik van cookies van derden binnen uw eigen virtuele ruimte, of liever de vereisten die de activering van cookies bij het eerste bezoek van een nieuwe gebruiker mogelijk maken. Nogmaals, het principe is gebaseerd op maximale bescherming, waarbij de gebruiker de volledige mogelijkheid wordt geboden om de toegang van cookies tot zijn gegevens met een simpele klik te weigeren. Zoals we in de laatste paragraaf zullen zien, moet de beheerder en dus de beheerder van de website de gebruiker een systeem, meestal een banner, ter beschikking stellen om accepteer of weiger de toegang tot cookies.

Sommige cookies zijn vrijgesteld van dit soort toestemming, maar het is zeer waarschijnlijk dat een zakelijke showcase-site ten minste één digitaal token of cookie host. Het privacybeleid moet gerapporteerd worden in een specifiek document, en dit geldt ook voor het cookiebeleid. Op dit moment staat de ePrivacy-richtlijn, oftewel de cookiewet, ter discussie, omdat de intenties van de wetgevers gericht zijn op de overgang naar wat de ePrivacy-verordening zal worden, die samenwerkt met de AVG. Naar alle waarschijnlijkheid echter er zullen geen noemenswaardige veranderingen zijn in de bepalingen, daarom is het nu goed om ons nu aan te passen en voorbereid aan te komen voor de goedkeuring van de verordening, die voorbestemd is om binnen een paar jaar officieel te worden.

DE CALIFORNIË CONSUMENTENPRIVACYACT (CCPA)

De California Consumer Privacy Act is op 1 juli 2020 in werking getreden, een van de meest gestructureerde vormen van bescherming die momenteel is goedgekeurd in de Verenigde Staten, evenals basisrichtlijn voor elke Amerikaanse staat buiten Californië. Zoals voor Europa het geval is met de AVG, heeft ook de CCPA enorme gevolgen voor de VS, bijvoorbeeld om over de grenzen van het eigen land heen te gaan. Hoewel de CCPA niet zo beperkend is, kan deze ook een reële impact hebben op uw bedrijf in Zwitserland of een ander land. De voorwaarden waaraan u moet voldoen, naast het aanspreken van inwoners van Californië, zijn onder meer:

• een jaarlijkse bruto-omzet hebben van meer dan $ 25 miljoen; of
• minimaal 50% van de omzet halen uit de verkoop van persoonsgegevens

of

• elk jaar de persoonlijke informatie van 50.000 of meer consumenten kopen, ontvangen, verkopen of delen voor commerciële doeleinden.

Moeilijk? Niet precies. Aangezien IP-adressen persoonsgegevens zijn, is het waarschijnlijk dat elke website die haal in een jaar uit Californië 50.000+ unieke bezoekers vallen binnen de reikwijdte van de CCPA. Dit is slechts één voorbeeld van hoe globalisering, ook en vooral informatietechnologie, nu verbindingen en onderlinge afhankelijkheden tussen nationale wetgevingen heeft gecreëerd.

HOE TE VOLDOEN AAN GEGEVENSRICHTLIJNEN

In het licht van wat tot nu toe is geschreven, is aanpassing aan nationale, Europese en internationale richtlijnen zeker geen toegankelijke taak zonder gebruik te maken van geschikte hulpmiddelen. Het is geen toeval dat ze de afgelopen jaren zijn ontwikkeld volledige platforms ontworpen om verplichtingen te beheren van de AVG (en niet alleen) met een snelle, praktische en deels automatische aanpak. De beheerder van de website, d.w.z. de eigenaar van de organisatie, de webmaster of het bureau dat het project volgt, hoeft zich alleen maar te registreren op deze platforms en de gegevens in te vullen die het systeem nodig heeft (gegevenseigenaar, url van de site, enz.). Op dit punt zullen de software en de gerelateerde plug-in gebruikers de banner laten zien die de algemene voorwaarden van datatracking en cookieactivering.

Dezelfde platforms, in ieder geval de meest bekende, kunnen privacybeleidsdocumenten, cookiebeleid en eventuele algemene voorwaarden genereren, met een vooraf opgemaakte tekst die u alleen maar hoeft in te vullen en naar behoefte aan te passen. Onder de namen van de meest succesvolle platforms noemen we in willekeurige volgorde het Italiaanse Iubenda, het Amerikaanse Quantcast of het Deense Cookiebot, elk gespecialiseerd in een reglement of reeks reglementen. De geboden oplossingen zijn gratis maar in dit geval hebben ze een beperkte functionaliteit. Wij bij Innovando raden daarom aan om het plan te kiezen dat het beste overeenkomt met de omvang en effectieve methoden van gegevensverzameling van de organisatie, en zo elke hypothese van misdaad te vermijden. U knoeit niet met gebruikersgegevens, vooral omdat de sancties, in geval van niet-naleving, ze kunnen heel erg zout zijn.

We hopen dat we je alle informatie hebben gegeven die je nodig hebt. Zo niet, neem dan vrijblijvend contact met ons op voor een gratis en persoonlijk advies over gegevensbescherming.