De wet bescherming persoonsgegevens: De belangrijkste regels op een rij

Er is dit jaar nogal wat nieuws over het wetsvoorstel voor de nieuwe Telecomwet de revue gepasseerd. Meest recent staat het gedeelte omtrent de cookiewetgeving behoorlijk in de aandacht. Daarnaast heeft de DDMA onlangs een eerste draft van de code social marketing uitgebracht. Allerlei initiatieven waar je als online marketeer rekening mee hoort te houden. Maar laten we vooral de basis niet uit het oog te verliezen. Een overzicht van hoe je anno 2010/2011 correct om moet gaan met persoonsgegevens.

Persoonsgegevens

Wat verstaat men precies onder persoonsgegevens? Volgens het CBP (College bescherming persoonsgegevens) verstaat men hieronder:

• Elk gegeven dat informatie bevat over een natuurlijk persoon
• Gegevens die een persoon identificeerbaar maken

Deze gegevens mag je enkel gaan verzamelen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen. Belangrijk gegeven hierbij is dat data over ondernemingen of organisaties geen persoonsgegevens zijn. Pas als de vastgelegde gegevens handelen over contactpersonen bij deze ondernemingen is er sprake van persoonsgegevens.

Verwerking van persoonsgegevens

Je verwerkt persoonsgegevens als je één of meer handelingen verricht met betrekking tot persoonsgegevens. Te allen tijde hoort dit te gebeuren volgens het principe van eerlijke verwerking. Dit houdt in dat je gegevens verwerkt:

• In overeenstemming met de wet. Dat betekent dat je naast de Wet bescherming persoonsgegevens ook rekening houdt met andere wetgeving zoals de Telecommunicatiewet
• Op een behoorlijke en zorgvuldige wijze
• Wanneer je deze gegevens verzamelt voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen. Zorg dat je niet te weinig gegevens verzamelt maar let ook op dat je er niet te veel verzamelt
• Wanneer de persoon in kwestie helder en concreet is geïnformeerd over wat er met zijn gegevens gebeurt

De verwerking van de persoonsgegevens is gebaseerd op enkele grondslagen waaraan voldaan moet worden vooraleer je met die data aan de slag mag

• Er moet o.a. sprake zijn van ‘ondubbelzinnige’ toestemming. Dit houdt in dat de betrokkene uit vrije wil en bewust toestemming heeft gegeven zijn gegevens te verwerken en dat bij er bij jou geen enkele twijfel bestaat over deze toestemming
• Als je met iemand een overeenkomst hebt gesloten, mag je de persoonsgegevens verwerken voor zover dit noodzakelijk is om de overeenkomst uit te voeren
• Wanneer er sprake is van een gerechtvaardigd belang mag je ook persoonsgegevens verwerken, tenzij de belangen of rechten van de klant voorrang hebben over dit belang

Een goede bedrijfsvoering of direct marketing behoren tot de gerechtvaardigde belangen. Belangrijk te weten in het geval van direct marketing:

• Voor e-mail en SMS heb je altijd toestemming nodig = opt-in
• Bij direct marketing activiteiten dien je te allen tijde het recht van verzet te bieden = opt-out

Informatieplicht en opt-out

Een klant van wie je de gegevens verwerkt, moet altijd kunnen nagaan wat er met zijn gegevens gebeurt. Je hebt ten opzichte van de klant te allen tijde een informatieplicht. Hierbij hoor je onder andere te informeren voor welk doel je de gegevens verzamelt en verwerkt. Daarnaast heeft je klant het recht bezwaar aan te tekenen tegen de verwerking van zijn persoonsgegevens.

E-mailmarketing

De e-mailmarketeers onder ons moeten erover waken dat er altijd een opt-in is voorzien richting de commerciële en zakelijke relaties. Je dient echter geen opt-in aan te bieden wanneer je eigen klanten benadert voor eigen gelijksoortige producten en diensten. In dit geval is er sprake van een soft opt-in. Zorg er wel voor dat je te allen tijde een opt-out aanbiedt. Op het moment van verzamelen van e-mailadressen is het noodzakelijk je klant te informeren:

• Waarvoor zijn e-mailadres wordt gebruikt
• Voor welke bestandseigenaren de gegevens worden verzameld
• Of de vergaarde informatie gebruikt wordt voor eigen gebruik en/of voor gebruik ten behoeve van derden. (hierbij is wel de toestemming vereist van de klant)

Wanneer je de klant van deze informatie voorziet is het niet langer voldoende te verwijzen naar een privacy verklaring of pagina met algemene voorwaarden. Zorg dus voor een geïnformeerde en specifieke opt-in.

Tell-a-friend

Wie binnen zijn communicatie gebruik wenst te maken van een tell-a-friend formule hoort zeker rekening te houden met het volgende:

• De persoonlijke relatie van de geadresseerde mag deze zonder toestemming reclame toesturen
• De naam van de persoonlijke relatie moet altijd vermeld worden in het ‘Van’-veld
• De initiatiefnemer moet volledige inzage krijgen in het bericht dat hij gaat verzenden
• De reactie van de geadresseerde komt direct aan in de mailbox van de persoonlijke relatie. Het e-mailadres van de persoonlijke relatie staat in het ‘Reply-to’-veld. Er komt op geen enkel moment een adres van de adverteerder aan te pas
• Je mag als adverteerder alleen e-mailadressen en andere persoonsgegevens voor andere doeleinden gebruiken met toestemming van de betrokkenen
• Het is niet toegestaan opgegeven adressen op te slaan in de commerciële database = verbod op harvesten

Voor een meer uitgebreide toelichting omtrent de wet bescherming persoonsgegevens kan je terecht bij het CBP of bij de OPTA (Onafhankelijke Post en Telecommunicatie Autoriteit). Als afsluiter geef ik graag een aantal handige tips die je kan gebruiken bij het omgaan met persoonsgegevens:

• Vergeet nooit het gevoel van online privacy van de consument
• Bepaal een helder en concreet doel
• Informeer helder en concreet over wat er met de gegevens gebeurt
• Gebruik bij direct marketing altijd een opt-out en geef voor e-mail en SMS altijd een opt-in en opt-out
• Ga zorgvuldig met persoonsgegevens om
• Informeer over derdenverstrekking en bied een opt-out aan
• Zorg voor een geïnformeerde en specifieke opt-in