BESCHERMING VAN PERSOONSGEGEVENS: Wat zijn de aandachtspunten bij het digitaliseren van een commerciële activiteit?

Onder druk van de verplichte sluitingsmaatregelen en de invoering van “click and collect” door het ministerieel besluit van 1 november 2020 zijn veel ondernemingen dringend aan een digitale ommezwaai begonnen om zo veel mogelijk te kunnen blijven werken.

Dit houdt noodzakelijkerwijs de verwerking in van bepaalde persoonsgegevens (contactgegevens, afleveradres, bankgegevens).

De vragen die ondernemingen, die hun activiteiten geheel of gedeeltelijk willen digitaliseren, zich zullen stellen, zullen vooral verschillen naargelang ze al dan niet beschikken over de e-mailadressen van hun klanten (bijvoorbeeld via een getrouwheidsprogramma).

1. Als de onderneming nog geen database heeft van haar (potentiële) klanten, waar moet zij dan op letten bij het samenstellen van deze database?

Als de onderneming start met een blanco vel papier, moet zij zich eerst de volgende drie vragen stellen:

•  Voor welke doeleinden heeft de onderneming de gegevens nodig? Deze identificatie van de behoeften is essentieel en zal de geldigheid van alle andere stappen beïnvloeden. Het is dan ook noodzakelijk om zich vragen te stellen bij het project dat wordt nagestreefd: is het de bedoeling om goederen aan de consument te leveren, om hem diensten op afstand te leveren, om hem advertentiemails te sturen?
• Welke gegevens heeft de onderneming nodig? De algemene verordening gegevensbescherming (hierna “AVG” genoemd) verplicht dat het verzamelen van gegevens zoveel als mogelijk moet worden beperkt (het “minimaliseringsbeginsel”). Afhankelijk van de vastgestelde doelen zullen de benodigde gegevens dus niet altijd dezelfde zijn. Heeft de onderneming immers de geboortedatum van zijn klanten echt nodig als het enige doel dat werd geïdentificeerd de levering van de door hen bestelde goederen is?
• Wat is de rechtvaardigingsgrond van de voorgestelde verwerkingen? De AVG vereist dat alle verwerkingen gebaseerd moeten zijn op een van de in de AVG genoemde rechtsgronden. Voor bedrijven zijn de meest gebruikte gronden:
  (1) de uitvoering van een met een natuurlijke persoon gesloten overeenkomst (bv. als de persoon een goed heeft besteld, zal zijn of haar postadres nodig zijn om de overeenkomst uit te voeren),
  (2) het rechtmatige belang van de onderneming (mits de rechten en vrijheden van personen niet prevaleren boven dit belang) (bv. een rechtmatig belang kan zijn dat er maatregelen worden genomen om de identiteit van personen te verifiëren, om te voorkomen dat dezelfde persoon meermaals van een promotieactie profiteert),
  (3) een wettelijke verplichting (bv. het bewaren van bepaalde gegevens kan worden opgelegd door belasting- en/of boekhoudregels) en,
  (4) de toestemming van de betrokkene (bv. als de onderneming de verzamelde gegevens wil doorverkopen, heeft zij de toestemming nodig van de personen op wie het betrekking heeft).

De antwoorden op deze vragen zullen de basis vormen voor het register van verwerkingsactiviteiten dat krachtens de AVG moet worden bijgehouden.
Het zal de onderneming ook in staat stellen om de informatie op te stellen die zij moet sturen naar de personen van wie zij de gegevens verzamelt op grond van het transparantiebeginsel. Dit houdt in dat aan individuen wordt uitgelegd welke gegevens worden verzameld, om welke reden(en) en volgens welke modaliteiten (rechtvaardigingsgrondslag, bewaartermijn, rechten van de betrokkenen, etc.).

Tot slot is het in dit stadium van cruciaal belang om na te denken over de manier waarop de gegevens worden opgeslagen en beveiligd: het is inderdaad de verantwoordelijkheid van de onderneming om ervoor te zorgen dat het beveiligingsniveau voldoende is met betrekking tot het risico voor de betrokken personen. Hoe gevoeliger de gegevens (bijv. bankgegevens), hoe hoger het beveiligingsniveau zal moeten zijn.

2. Als de onderneming al beschikt over de e-mailadressen van zijn klanten, kan zij hen dan een e-mail sturen om hen te informeren over de invoering van een e-commercedienst?

Het kan gebeuren dat een onderneming al over klantcontactgegevens beschikt, die het bijvoorbeeld in het kader van een getrouwheidsprogramma zou hebben verzameld. Kan zij deze gebruiken om contact op te nemen met haar klanten en hen te informeren over de invoering van een e-commercedienst?

Naast de naleving van de in punt 1 genoemde beginselen door de onderneming, moet uiteraard ook rekening worden gehouden met twee andere aspecten.

Eerst moet worden nagegaan of het nieuwe doel (het verzenden van een marketingbericht) verenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verzameld. Dit zal per geval moeten worden onderzocht, met name in het licht van de oorspronkelijke omstandigheden waarin de gegevens zijn verzameld en de legitieme verwachtingen van de betrokkenen.

Ten tweede zal de onderneming moeten nagaan of zij al dan niet de toestemming van de betrokken personen nodig heeft. Op het gebied van de elektronische marketing worden de toepasselijke regels bepaald door een Koninklijk Besluit van 4 april 2003. Volgens dit besluit is de onderneming vrijgesteld van het verkrijgen van de voorafgaande toestemming van de betrokken personen om hen reclame per e-mail te sturen wanneer aan de volgende drie cumulatieve voorwaarden is voldaan:

(1) de contactgegevens zijn verkregen in het kader van de verkoop van een product of dienst en met inachtneming van de regels inzake de bescherming van de persoonlijke levenssfeer (met name de regels in punt 1 hierboven);
(2) de reclame heeft betrekking op producten of diensten die vergelijkbaar zijn met die welke eerder zijn aangekocht en die de onderneming zelf levert;
(3) de onderneming heeft haar klanten bij het verzamelen van hun elektronische contactgegevens de mogelijkheid geboden om kosteloos en op eenvoudige wijze zich te verzetten tegen het toesturen van reclame.

3. Conclusie

Hoewel de coronacrisis de digitale transitie heeft versneld, is het essentieel dat ondernemingen rekening houden met de regelgeving voor de verwerking van persoonsgegevens. Naast de reputatierisico’s voor hun klanten kunnen de boetes die de Belgische gegevensbeschermingsautoriteit oplegt immers zeer zwaar zijn. Zo legde zij bijvoorbeeld een boete van € 10.000 op aan een handelaar die een klantenkaart wilde aanmaken met een identiteitskaart van een klant, een boete van € 10.000 aan een bedrijf dat per ongeluk reclame-mails had gestuurd naar een persoon die geen klant was, of een boete van € 15.000 aan de exploitant van een website die zijn verplichtingen inzake transparantie en toestemming voor cookies niet nakwam.

Tot slot moet worden benadrukt dat het veel gemakkelijker – en dus veel goedkoper – is om een modus operandi op te zetten die voldoet aan de regelgeving, veeleer dan te proberen om deze achteraf conform te krijgen.