GDPR - BEDREIGING OF KANS? SPONSORREPORT JAARCONGRES 2018

Transcriptie

1 GDPR - BEDREIGING OF KANS? SPONSORREPORT JAARCONGRES 2018 MICHIEL VAN RIJN VAN ALKEMADE SPORTSCLOUD 19 APRIL 2018

2 Technologie innovatie gaat keihard Veel organisaties betrokken bij behavorial targeting Steeds meer externe marketing software providers

3 VOICE INTERFACES VIRTUAL REALITY CHATBOTS MACHINE LEARNING MEER DATA AUGMENTED REALITY SENSOR TECH BIG DATA ARTIFICIAL INTELLIGENCE

4 Compliance Customer Experience

5 Uitdagingen Analytics Retargeting Existing Database Personalization Customer Experience Digital Governance Strategy

6 Ongereguleerd

7 Kritischer naar alle aspecten van data verzameling kijken We zullen meer gedisciplineerd met data omgaan Betere inkoop bij derde partijen (marketing & IT)

8 Algemene verordening gegevensverwerking (AVG) Introduceert uniform privacy regime door de hele EU Van toepassing in alle EU Lid Staten vanaf 25 mei 2018 De AVG is gebaseerd op de principes van de huidige wetgeving maar introduceert verplichtingen met betrekking tot verantwoordingsplicht à naleving aantonen

9 AVG - persoonsgegevens AVG is van toepassing op het verwerken van persoonsgegevens Alle information over een geïdentificeerde of identificeerbare natuurlijke persoon ( betrokkene ) Voorbeelden: naam, adres, , telefoonnummer, geboortedatum, creditcardgegevens, locatiedata, etc. Verwerking van bijzondere persoonsgegevens is als hoofdregel verboden, zoals gegevens over ras, gezondheid, politieke overtuiging.

10 GDPR/AVG waarom van belang?

11 AVG essentie: Hoofdregel: uitdrukkelijke toestemming vereist van de ontvanger. Uitzondering: geen toestemming nodig als je de ontvanger al een product of dienst hebt verkocht, mits: de contactgegevens zijn verzameld in het kader van die verkoop: het een aanbieding betreft voor een soortgelijk(e) product of dienst; gedurende die eerdere bestelling uitdrukkelijk opt-out is aangeboden

12 Grondslag voor gegevensverzameling Toestemming gebruiker Overeenkomst Vitale belangen Algemeen belang Wettelijke verplichting Gerechtvaardigd belang

13 Grondslag voor gegevensverzameling Toestemming gebruiker let op: toestemming kan ook weer worden ingetrokken

14 Grondslag voor gegevensverzameling Vitale belangen Algemeen belang De grondslag van algemeen belang kan eigenlijk alleen gebruikt worden door (semi-)overheid, in bepaalde gevallen. Vitale belangen van de betrokkene is voor de meeste organisaties ook geen geldige grondslag. Dit belang kan bijvoorbeeld gebruikt worden als een persoon in een ziekenhuis behandeld wordt na een ongeluk.

15 Grondslag voor gegevensverzameling Wettelijke verplichting De wettelijke verplichting kan bijvoorbeeld gelden, omdat je sommige factuurgegevens moet bewaren voor de Belastingdienst.

16 Grondslag voor gegevensverzameling Overeenkomst Voor de uitvoering van de overeenkomst zijn vaak persoonsgegevens nodig. Denk bijvoorbeeld aan webwinkels die de naam en het adres van een klant nodig hebben om de juiste producten naar de juiste persoon en het gewenste adres te kunnen versturen.

17 Grondslag voor gegevensverzameling Gerechtvaardigd belang Een gerechtvaardigd belang kan een ondernemersbelang zijn, bijvoorbeeld voor statistieken of om klanten aan te kunnen trekken. Er moet bij deze grondslag altijd een afweging worden gemaakt tussen het belang van de verantwoordelijke (de onderneming meestal) en de belangen en grondrechten van de betrokkene. Oftewel, het verwerken van persoonsgegevens op deze grondslag mag niet een te sterke inbreuk maken op de privacybelangen van de betrokkene.

18 Welke persoonlijke gegevens verzamelt uw organisatie? Begin eens met een lijst van alle opslagsystemen binnen de organisatie. Welke persoonlijke gegevens worden daarin bewaard? Houd in de gaten dat persoonlijke gegevens in de betekenis van de AVG een ruim begrip is. Het gaat om álles wat je van je klanten, prospects, medewerkers en andere natuurlijke personen verzamelt, weet en opslaat.

19 AVG essentie: Hoofdregel: toestemming vragen + informeren Art. 11.7a Telecommunicatiewet Dus: - Stel de informatie direct duidelijk beschikbaar - Houd de verklaring leesbaar: wie, wat, waar, waarom, etc. - Voorkom dat zonder toestemming alsnog cookies actief zijn Zie toe op plaatsen van cookies, niet op gebruik van de verzamelde gegevens!

20

21 Als toestemming nodig is Artikel 7 Expliciet (dus niet: gebruik impliceert toestemming ) Default uit Niet verstopt in de A.V. Aantoonbaar Inwoners EU Kinderen? à akkoord van ouders (art. 8)

22 AVG: basisprincipes in het (heel) kort Artikel 5 AVG: Rechtmatigheid, behoorlijkheid en transparantie Doelbinding Minimale gegevensverwerking Juistheid (gegevens zijn juist en actueel) Opslagbeperking (niet langer bewaren dan noodzakelijk) Integriteit en vertrouwelijkheid (passende beveiliging) Verantwoordingsplicht (naleving aantonen!)

23 Basisprincipes een voorbeeld Artikel 5 AVG: Mag je een mailadres doorgeven aan een sponsor of andere derde? Een adres is vrijwel altijd een persoonsgegeven. Een doorgifte daarvan is een verwerking. Als organisatie ben je verantwoordelijke voor die verwerking. Dus: de doorgifte moet voldoen aan alle regels voor dataprotectie

24 Kennen de betrokkenen personen het doel dat u heeft met hun gegevens? Dat wil zeggen: alle doelen, niet alleen wat er bij inschrijving wordt gemeld.

25 Nette voorlichting door NOC*NSF

26 Basisprincipes een voorbeeld Stap 1: Is er überhaupt een grondslag voor de verstrekking? Stap 2: Zo ja, welke gegevens zijn dan noodzakelijk? Stap 3: Organiseer een veilige overdracht Stap 4: Stel vast of de betrokkene moet worden geïnformeerd Stap 5: Documenteer de verstrekking (en leg afspraken vast!)

27 Waar moet je aan voldoen als je gegevens hebt? Recht op inzage Recht op verwijdering

28 Op welke manier geeft u de betrokken personen inzage in de gegevens? De AVG verplicht bedrijven om mensen inzage te geven in hun dossier. Kunnen ze een digitale kopie krijgen van hun eigen gegevens? Let op: de identiteit van de aanvrager moet deugdelijk worden gecheckt.

29 Profilering: gerechtvaardigd belang?

30 Profilering: absoluut recht van bezwaar Absoluut recht van bezwaar (art 21 lid 2 AVG) Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van zijn betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing.

31 Kunt u van alle verwerkingen de rechtmatigheid bewijzen? Het is dus zaak om ook de administratie rondom de privacybescherming op orde te hebben.

32 Meldplicht datalekken U blijft verplicht om datalekken te melden bij de A.P. En datalekken te registreren. Ook moet u alle betrokkenen informeren.

33 Conclusie 1. Communicatie met leden en fans hoeft niet te lijden onder privacy (en vice versa) 2. Benut de regels van de AVG om gegevensverwerkingen goed te organiseren 3. Wees zo transparant mogelijk, informeer goed en geef toegang waar mogelijk

34 GDPR compliance = more satisfied and loyal customers, brand uplift and differentiation What business benefits do you expect becoming GDPR / eprivacy compliant will bring to your organization? Improved customer satisfaction Increased customer loyalty Improved brand perception Increased customer engagement Greater brand differentiation in the marketplace

35 Tips vanuit de business opportunity 1. Kijk er breder naar dan alleen voldoen aan de regels 2. Privacy bij design, niet als sluitstuk 3. Niet alleen de letter van de wet, ook de geest 4. Toestemming en voorkeuren als prettige consument ervaring 5. Wees open en maak alles makkelijk vindbaar

36 Tot slot Er is een stappenplan AVG als online tool beschikbaar via de autoriteit persoonsgegevens Er is veel informatie op diverse overheidssites, specifiek voor sport ook bij diverse bondssites Ook bij NOC*NSF is veel te vinden

37 BEDANKT!