Begrippenlijst Data Protection & Privacy

Wat is “anonimiseren” of “pseudonimiseren”?

Marketeers spreken vaak over geanonimiseerde of gepseudonimiseerde gegevens, onder meer in (Google) Analytics accounts. Ze gaan er gemakshalve vanuit dat er dan geen sprake is van verwerking van persoonsgegevens volgens de GDPR.  Enige voorzichtigheid is nochtans geboden.  

‘Pseudonimiseren van persoonsgegevens’ betekent dat je die gegevens zo bewerkt dat ze niet meer aan een specifieke betrokkene te linken zijn, tenzij je er extra gegevens aan toevoegt. Bijvoorbeeld bij een analytics identifierdie de persoon niet met naam identificeert, maar die wel veel informatie in zich draagt over de onderliggende persoon. En die mits gekoppeld met bijvoorbeeld een IP-adres of device fingerprints in de toekomst wél een persoon kan identificeren. Gepseudonimiseerde persoonsgegevens blijven wel degelijk persoonsgegevens onder de GDPR.  

Om van ‘anonieme gegevens’ te kunnen spreken, moet het definitief en onomkeerbaar onmogelijk zijn om een persoon nog te identificeren.  Onder meer de Franse en Ierse autoriteiten wezen er al zeer terecht op dat veel persoonsgegevens die als anoniem beschouwd worden dat in werkelijkheid niet zijn omdat ze op een bepaald moment wel teruggeleid kunnen worden naar een bepaalde persoon - bijvoorbeeld door het koppelen van verschillende databases.  In een marketingcontext is dat bijvoorbeeld het geval met analytische data. Ook met ‘anonieme’ gebruikersprofielen is dat zo. Nochtans kan dit op het ogenblik dat iemand bijvoorbeeld een account aanmaakt, met terugwerkende kracht wél aan die persoons gelinkt worden.  Voorzichtigheid is hier dus geboden en een grondig onderzoek is nodig voordat je besluit dat je enkel anonieme data verwerkt.

Wat is een "Customer Data Platform"?

Customer Data Platform (CDP) omvat applicaties die als voornaamste functionaliteit hebben om een eengemaakt klantenbeeld (single customer view) te creëren door data uit verschillende bronnen te koppelen aan een unieke persoon.

Wat is "Dataclassificatie"?

Elke vorm van opdeling van data assets in categorieën. In het kader van de GDPR en van beveiliging van data wordt classificatie vooral gebruikt om aan te geven of gegevens wel degelijk persoonsgegevens zijn en/of gegevens in een van de categorieën van artikel 9 (de zogenaamde “gevoelige” persoonsgegevens). Voor beveiliging kennen we onder andere de confidentialiteitsclassificatie van ISO 27001 die met 3-5 klassen aangeeft in welke mate documenten of data gedeeld mogen worden buiten de organisatie. Bijvoorbeeld openbare gegevens, interne gegevens, vertrouwelijke gegevens.

Wat is een "Data lake"?

Een dataopslagplaats voor al jouw gestructureerde en ongestructureerde gegevens. Je kan jouw gegevens opslaan zoals ze zijn, zonder dat je de gegevens eerst hoeft te structureren. Je kan verschillende soorten analyses uitvoeren, van dashboards en visualisaties tot data science, realtimeanalyses en machine learning om betere beslissingen te nemen.

Wat is ‘Dataveiligheid’?

Elke dag opnieuw lees je over cyberaanvallen bij bedrijven. Cryptolocker-aanvallen trekken daarbij het gros van de aandacht naar zich toe. Maar in de schaduw zijn bedrijven even vaak het slachtoffer van pure hacking en gegevensdiefstal. Cybercriminelen merken ook dat hun online activiteiten lonen: winsten uit criminaliteit zijn enorm, de pakkans is minimaal. Bovendien zien we steeds vaker dat ook interne medewerkers in bedrijven al lang geen ‘digibeten’ meer zijn. In conflictsituaties weten ze heel goed hoe ze de digitale kwetsbaarheden van hun werkgever kunnen uitbuiten. Cyberrisico’s zijn met andere woorden permanent aanwezig en komen vaak uit onverwachte hoek. 

Nochtans is de dataveiligheid garanderen één van de hoekstenen van de GDPR.  Artikel 5, I., f, artikel 24 en artikel 28, 3, e GDPR verplichten zowel de verantwoordelijke voor de verwerking als elke verwerker om alle “passende technische en organisatorische maatregelen” te nemen om een “passende beveiliging” te waarborgen, met inbegrip van bescherming tegen ongeoorloofde of onwettige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging, met behulp van passende technologie.  Cyber security en de GDPR zijn dan ook onlosmakelijk met elkaar verbonden.

Dit is ongetwijfeld één van de meest vage bepalingen uit de GDPR.  Wat zijn “passende technische en organisatorische maatregelen” en wat is precies een “passende beveiliging”? Een en ander kan alleen begrepen worden vanuit de verantwoordingsplicht die we eerder al beschreven.  Elk bedrijf of elke afdeling moet een risicoanalyse doen voor de interne werking. Op basis van een “risk based approach” moet je vervolgens de grootste risico’s eerst wegwerken. Je houdt daarbij rekening met het risico, maar ook met de technische, financiële en organisatorische mogelijkheden.  Belangrijk daarbij is dat je alles goed documenteert. Uit die documentatie blijkt dat voor elk vastgesteld risico naar best vermogen en volgens de context de meest “gepaste” oplossing wordt gekozen.

Waaruit die risico’s en de gepaste technische en organisatorische maatregelen binnen een marketing- of webshopafdeling kunnen bestaan? Bij wijze van voorbeeld geven we enkele “klassiekers”. Maar deze lijst is niet volledig en hangt af van jouw specifieke situatie.  

• Het delen van het paswoord voor de Mailchimp- of Google Analytics-account met iedereen binnen het team
• Het noteren van die paswoorden in een file op het bedrijfsnetwerk of op een post-it in de kantoren
• Het gebruik van eigen devices of thuisnetwerken bij het gebruik van online accounts zoals Mailchimp, Hubspot, CMS-systemen of meer in het algemeen bij het verwerken van persoonsgegevens toebehorende aan het bedrijf zonder daarbij te zorgen voor gepaste veiligheid (antivirus, firewall, VPN dubbele authenticatie, …)
• Het gebruik van Adtech-tools zonder voorafgaand onderzoek naar de GDPR- compliance en veiligheidsgaranties die deze tools kunnen bieden. Typische aandachtspunten zijn het aanbieden van een verwerkersovereenkomst, datalokalisatie binnen of buiten de EER, data protection by design en default, …
• Het gebruik van eigen, zelfgekozen tools of zogenaamde “shadow IT” door medewerkers buiten medeweten van het management en/of IT en zonder voorafgaande risicoanalyse
• Het beroep doen op externe partners (e-mailmarketingpartner, directmailpartner, onlinemarketingpartner, …) zonder voorafgaande garanties naar GDPR-compliance in de vorm van een verwerkersovereenkomst

Wat is “Doelgebondenheid“?

Doelgebondenheid is het basisprincipe dat de meeste aandacht verdient.  Artikel 5, I., b GDPR zegt dat gegevens slechts “voor welbepaalde uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt.”

Wat betekent dit? Je moet voor elke verwerking vooraf een duidelijk doel bepalen. (“waarom verwerken we deze gegevens?”). De verzameling en verwerking van die gegevens mag je dan alleen daarvoor gebruiken.¹ Je moet als bedrijf bovendien die doelen duidelijk maken aan de personen van wie je persoonsgegevens verzamelt. Dat is immers onderdeel van jouw transparantieverplichting.  We komen straks terug op de uitzonderingen maar je mag de betreffende gegevens niet “hergebruiken” voor andere doeleinden.  

Laten we doelgebondenheid praktisch verduidelijken. Een klassiek voorbeeld is de organisatie van een online wedstrijd op een eigen actiepagina of eventueel via social media. Doelnemers moeten vragen beantwoorden en hun gegevens achterlaten om kans te maken op een mooie prijs. De reden dat deelnemers in de eerste plaats hun naam en e-mailadres achterlaten, is om hen als winnaar te contacteren. Dat is het initiële doel waarvoor zij hun gegevens achterlaten en in se is dat ook de enige reden (of het enige doel) waarvoor hun gegevens gebruikt kunnen worden. 

Maar als marketeer organiseer je zo’n online wedstrijd natuurlijk niet enkel om je klanten te plezieren.  De onderliggende reden is meestal database-verrijking: je wil nieuwe contacten kunnen toevoegen aan je database of je wil bestaande contacten aanvullen met bijkomende informatie.  Nochtans mag je de data van de deelnemers niet zonder meer toevoegen aan je marketingdatabase.  Dat is immers niet het doel waarvoor de deelnemers hun data met jou gedeeld hebben.  Als je de deelnemersgegevens wil toevoegen aan je marketingdatabase is dat een tweede, zelfstandig doel. Straks zullen we zien dat je hiervoor een afzonderlijke rechtsgrond nodig hebt. In dit geval zal dat naar alle waarschijnlijkheid een toestemming of opt-in zijn.  

Wat zijn ‘gevoelige’ of ‘bijzonder beschermde’ gegevens?

De GDPR beschouwt bepaalde persoonsgegevens als ‘bijzonder beschermd’ door hun gevoelige aard. Die gegevens worden limitatief opgesomd in de artikels 9 en 10 en de verwerking ervan is aan nog veel striktere voorwaarden onderworpen. Je moet denken aan gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuiging of het lidmaatschap van een vakbond blijken en de verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon of gegevens over gezondheid, of gegevens met betrekking tot iemands seksuele gedrag of seksuele geaardheid en daarnaast ook strafrechtelijke gegevens. 

Als je dit soort gegevens wilt verwerken, kan je best individueel advies inwinnen. In elk geval is het in het korte bestek van dit hoofdstuk niet mogelijk om in detail in te gaan op de verwerking van deze gevoelige gegevens.  Bijzonder beschermde gegevens zitten soms in een onverwacht hoekje.  Ook gegevens over leefgewoonten, sportieve prestaties of voedingsvoorkeuren kunnen immers gevoelig blijken te zijn.

Wat is een “rechtsgrond” en welke rechtsgronden kent de GDPR? 

Onder GDPR is de verwerking van persoonsgegevens in principe verboden, behalve wanneer je als verantwoordelijke voor de verwerking één van de zes limitatief opgesomde rechtsgronden kan inroepen. We komen in de loop van deze gids terug op deze rechtsgronden en op de specifieke uitdagingen die elke rechtsgrond met zich mee brengt. 

Dit zijn de zes mogelijke rechtsgronden.

• Verwerking op basis van de voorafgaande, vrije, geïnformeerde en expliciete toestemming van de betrokkene
• Verwerking van persoonsgegevens die absoluut noodzakelijk is om een overeenkomst met de betrokkene te kunnen uitvoeren (of voorbereiden), bijvoorbeeld het leveringsadres bij een online aankoop
• Verwerking op basis van een wettelijke verplichting of een wettelijke toelating, bijvoorbeeld in de context van boekhoudkundige of sociaalrechtelijke verplichtingen
• Verwerking van persoonsgegevens die noodzakelijk is voor de bescherming van de vitale belangen van de betrokkene, bijvoorbeeld door hulpdiensten op de spoedafdeling van een ziekenhuis
• Verwerking (door een overheid) die noodzakelijk is voor de uitoefening van een taak van algemeen belang of van openbaar gezag
• Verwerking van persoonsgegevens die ingegeven is door ‘gerechtvaardigde belangen’ van de verwerkingsverantwoordelijke of van een derde.

Voor bijzonder beschermde of gevoelige gegevens gelden overigens strengere voorwaarden en bijkomende rechtsgronden.  Dit soort gegevens kan je in principe nooit verwerken, tenzij met de vrije, voorafgaande, geïnformeerde en expliciete toestemming van de betrokkene.

Wat betekent “verantwoordingsplicht” of “accountability”? 

De GDPR bevat verbazend weinig absolute verbodsbepalingen.  De verordening laat erg veel aan de eigen beslissing van de verantwoordelijke voor de verwerking over. Ze vertrekt daarbij van een zogeheten ‘verantwoordingsplicht’ of een verplichting tot ‘accountability’.  Wie persoonsgegevens wil verzamelen of verwerken moet op elk ogenblik kunnen aantonen dat dit proportioneel en verantwoordbaar gebeurt. Wie met persoonsgegevens aan de slag wil gaan, draagt dus zelf de verantwoordelijkheid om te onderzoeken of dat conform de regels uit de GDPR kan. Je draagt ook de verantwoordelijkheid om te bewijzen dat je vooraf effectief hebt onderzocht of je aan die regels voldoet. Wie dat niet doet en zonder overleg aan de slag gaat, riskeert aanzienlijke boetes.

Accountability verplicht je dus 

• om vooraf te onderzoeken of je de GDPR respecteert
• dat je steeds kunt bewijzen dat je de impact en de voorwaarden van elke verwerking bent nagegaan

Dat betekent voor marketing en webshop dat je vooraf moet stilstaan bij de impact van elke nieuwe actie, klantenkaart, website of webshop, nieuwe tools of apps, aankoop of huur van data, …  en dat je die voorafgaande denkoefening best goed documenteert in vergaderverslagen, interne adviezen of zelfs in formele “impact assessments”.  Blijkt achteraf dat die leuke nieuwe heatmapping tool die je al een tijdje gebruikt zo lek is als een zeef en permanent data doorstuurt naar derde bedrijven? Dan heeft dat wettelijke gevolgen als je niet kan aantonen dat je vooraf getracht hebt alle risico’s correct in te schatten en te zorgen voor een veilige én correcte verwerking.

Wat is ‘verwerking van persoonsgegevens’?

De term ‘verwerking’ gaat in deze context over élk gebruik van persoonsgegevens. De GDPR spreekt van ‘verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens’.  Die verwerking gebeurt ofwel door de verantwoordelijke voor de verwerking van persoonsgegevens zelf, ofwel in diens opdracht door een door hem of haar aangestelde verwerker.