Seminar Intrasurance 31 januari 2018 The CMR Agency Marc Stubbé. Wat betekent de nieuwe Europese privacywetgeving voor u en uw klantcontacten?

Transcriptie

1 Seminar Intrasurance 31 januari 2018 The CMR Agency Marc Stubbé Wat betekent de nieuwe Europese privacywetgeving voor u en uw klantcontacten?

2 GDPR = AVG General Data Protection Regulation Algemene Verordening Gegevensbescherming 25 mei 2018

3 "GDPR as the biggest legal change of the digital age" Mark Lomas- Cap Gemini "This is perhaps one of the most significant milestones achieved in data protection in our lifetime and the democratisation of the world s biggest single digital market is now complete". Jan Philipp Albrecht MEP

4 Nederland komt laat in actie

5 Boetes tot het hogere bedrag van 20 miljoen 4% van jaarlijkse wereldwijde omzet

6 Wat zijn/worden de aandachtspunten van de AVG en persoonsgegevens? Klanten Medewerkers Leveranciers

7 Categorieën persoonsgegevens Gewone persoonsgegevens: Gevoelige persoonsgegevens: Bijzondere persoonsgegevens: Biometrische persoonsgegevens: NAW, , telefoonnummer financieel, locatie, postcode? ras, gezondheid, vakbond vingerafdruk, gezichtsscan Ook: gepseudonimiseerde persoonsgegevens blijven persoonsgegevens.

8 Verwerking persoonsgegevens Een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegeven of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen. = alle DM gebruik maar ook alle opslag en uitwisseling van klantendata klantgegevens. 8

9 To do 1: Breng in kaart Welke persoonsgegevens verwerkt je organisatie 1 Wat zijn de bronnen van die gegevens 2 Wat zijn de stromen van die gegevens binnen (en buiten) jouw organisatie Wat zijn de doeleinden voor de verwerkingen Wat is de bewaartermijn

10 2. Verantwoordelijke of verwerker? Verantwoordelijke: bepaalt doel en de middelen van de persoonsgegevens: wie, wat, waarvoor, hoe lang? Etc. Verwerker: werkt (vaak) in opdracht voor verantwoordelijke om een deel van de verwerkingen uit te voeren. Bijvoorbeeld: ICT partij, ESP, telemarketing bureau, etc. 10 Ketenaansprakelijkheid!

11 Verplichte (sub)verwerkersovereenkomst Onder andere:; Duur, aard, type persoonsgegevens 1 Alleen verwerken o.b.v. instructies verantwoordelijke Beveiliging Voorafgaande toestemming voor subverwerker Overeenkomst met subverwerker

12 - - To do 2: Breng in kaart: Met welke partijen je samenwerkt 1 Wat jouw rol is in die samenwerking 2 Of er nieuwe overeenkomsten nodig zijn Of en hoe je een register van verwerkingsactiviteiten hebt geregeld dan wel gaat regelen

13 3. AVG rechtmatige grondslag voor gegevensverwerking Toestemming 1 Scherpe voorwaarden opt in Vereist vanwege overeenkomst Wettelijke verplichting 2 3 Alleen voor overeenkomsten; extra voorwaarden Andere wetten Beschermen vitale belangen van iemand Gerechtvaardigd belang verantwoordeljke of verwerker 4 5 Speciale gevallen, vnl gezondheidsgegevens Opt-out; gerechtvaardigd; duidelijk, schaalbaar

14 Checklist bij iedere case: 1. Om welke gegevens gaat het? 2. Wat is de rol van jouw organisatie? 3. Welke grondslag is er? 14

15 4. Met welke waarborgen altijd rekening mee houden? Transparantie 1 Goede beveiliging Doelbinding Dataminimalisatie Rechten van betrokkenen

16 Samenvatting

17 Tussenpersoon relaties Handelen namens de verzekeraar Ontvangen Tekencommissie voor de werkzaamheden VOLMACHTEN TUSSENPERSONEN BEMIDDELAAR Bemiddelen tussen (meerdere) Verzekeraars en/of Volmachten en de klant en adviseert klanten Ontvangen daarvoor een beloning in de vorm van provisie of worden door de klant betaald via een service-abonnement VERBONDEN BEMIDDELAARS Bemiddelen namens één Verzekeraar of Volmacht en de klant en adviseert klanten Ontvangen daarvoor een beloning in de vorm van provisie of worden door de klant betaald via een service-abonnement LEAD PROVIDERS Geven géén advies maar brengen alleen klanten aan en zijn daarbij gebonden aan strenge wet- en regelgeving: Mogen alleen NAW-gegevens doorgeven; Ontvangen daarvoor een Leadprovidersvergoeding MENGVORMEN Er zijn ook tussenpersonen die zelf een Volmacht hebben van één of meerdere Verzekeraars, dan is het een combinatie die administratief strikt gescheiden dient te zijn Iedere van deze partij valt onder de AVG Kwalificeert voor gegevens van haar klanten als verwerkingsverantwoordelijke Verwerkersovereenkomsten met gegevensverwerkers (bijvoorbeeld programma in de cloud) zijn verplicht Verwerkingsregister is ook voor veel partijen verplicht Voor de grote tussenpersonen is een Functionaris Gegevensbescherming ook mogelijk verplicht

18 5. Aandacht svp - tussenpersonen AVG-plicht als elk ander bedrijf 1 Kom in actie Regelmatig meeste gevoelige persoonsgegevens Gegevensverantwoordelijke - verwerking bij verzekeraars Adviesrol bij klanten-bedrijven met bijvoorbeeld data medewerkers Nieuwe risicos, nieuwe verzekeringen Extra kwetsbaar bij bijvoorbeeld gezondheidsdata FG plicht Kan niet de last bij de verzekeraar leggen Veel B2B verzekeringsklanten zullen geholpen moeten worden met AVG kwesties Mogelijkheden van verzekeringen security risico en rechtsbijstand

19 Anders met klanten en persoonsgegevens omgaan

20 De AVG-GDPR bril Kans Bedreiging Wat betekent de wet voor onze business en hoe kan ik daar voordeel uit halen? Hoe ga ik om met de compliance last en hoe voorkom ik beperkingen en risicos in mijn business?

21 AVG en klanten 3 Bezwaar tegen gebruik 2 Inzicht in reden van gebruik 4 Overdracht data 1 Toegang tot data AVG Consumentenrechten Persoonlijke data 5 Verwijderen van alle data

22 AVG en knelpunten Login mijn data Reden tot gebruik Goedkeuring Overdragen data Verwijderen data Geen toestemming vereist bij diensten zonder processing Verlenen toegang tot verkregen data Digitaal inzichtelijk bij elektronische diensten Binnen een maand Duidelijke affirmatieve handeling Specifiek en nonambigue informatie Verantwoordelijkhei d voor toestemming Privacy by default Recht op bezwaar (elektronisch) Toestemming omkeerbaar en intrekbaar Ook om geautomatiseerde beslissingen te bestrijden Recht op data portabiliteit (elektronisch) Geldt enkel voor data verschaft door data subject Recht op verwijdering van data (elektronisch) Zonder onnodige vertraging Ook voor ingezette derde partijen

23 Pega research consumenten willen hun data 82%!

24 Customer in Control Personalisatie - Vb

25

26 Operationeel

27 Readygdpr.com/tussenpersonen 1 maart live

28 vragen?