De GDPR is van toepassing, behalve wanneer je ze gebruikt als natuurlijke persoon voor zuiver persoonlijke of huishoudelijke activiteiten

De GDPR is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van “persoonsgegevens” die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

Het heeft daarbij geen enkel belang of je deze gegevens verwerkt vanuit een winstoogmerk of zonder winstoogmerk.

“Persoonsgegevens” betekent alle informatie over een natuurlijke persoon die toelaat om die persoon te identificeren, evenals alle informatie die gekoppeld kan worden aan een identificeerbare persoon.

“Verwerking” betekent elke bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens, daarin begrepen het gebruiken, verzamelen, opslaan, raadplegen, ordenen, enz.

Bron: art. 2 GDPR

Werk deze zelfscan verder af. Druk op ‘Volgende’ hieronder.

Er is geen actie te nemen.

Er is geen actie te nemen.

Je moet een verwerkingsregister opstellen, tenzij wanneer je slechts sporadisch persoonsgegevens verwerkt. Zodra je bijv. personeel hebt of gezondheidsgegevens verwerkt moet je altijd een verwerkingsregister hebben.

De verwerking van persoonsgegevens moeten opgenomen worden in een tabel die onder meer de volgende gegevens bevat:
– de naam en de contactgegevens van de verwerkingsverantwoordelijke/de verwerker,
– de reden waarom de gegevens gebruikt worden,
– de categorieën van betrokkenen (klanten, leveranciers, etc.),
– de categorieën van persoonsgegevens (contactgegevens, gebruiksgegevens, etc.),
– de maatregelen ter bescherming van persoonsgegevens in je organisatie,
– enz.

Deze tabel moet actueel gehouden worden en alle nieuwe verwerkingen van persoonsgegevens moeten er in worden opgenomen.

Je hoeft geen verwerkingsregister bij te houden wanneer geen werknemers* hebt EN wanneer je slechts incidenteel persoonsgegevens verwerkt EN je geen bijzondere gegevens verwerkt EN de verwerking geen risico inhoudt voor de rechten en vrijheden van degenen wiens gegevens je verwerkt.

Bron: Privacycommissie + art 30 GDPR

Dataregister op te stellen (meer info).

Er is geen actie te nemen.

Je e-mail moet:

• een aantal vermeldingen bevatten,
• de kans geven aan je bestemmeling om zich uit te schrijven voor volgende e-mails,
• nadere informatie geven over hoe de gegevens van je bestemmeling verwerkt worden.

Je e-mail moet de volgende informatie bevatten:
– de reden waarom je die klant kan e-mailen (“Je ontvangt deze e-mail omdat je klant bent bij ons” of “je ontvangt deze e-mail omdat je via onze website aangegeven hebt dat je meer nieuws over onze producten wil ontvangen.”)
– het e-mailadres waaraan de mail gericht wordt
– de mogelijkheid van je klant om zich uit te schrijven (“Wens je geen mails van ons meer te ontvangen, schrijf je dan uit via de volgende link”). Uitschrijven moet gemakkelijk en laagdrempelig zijn.
– de naam van je organisatie, de rechtsvorm (bvba, vzw, enz.), je ondernemingsnummer, je adres, je bankrekeningnummer
– een verwijzing naar je privacy policy.  Hierin verduidelijk je in detail welke gegevens je verzamelt, waarvoor je die kan gebruiken, welke veiligheden de gegevens beschermen, enz.

Wanneer iemand zich uitschrijft, mag je die persoon geen mails meer sturen.

• Informatie toe te voegen aan alle e-mails (meer info)
• Landingspagina met uitschrijfmogelijkheid voorzien (meer info)
• Privacy policy voorzien (meer info)
• Cookie policy voorzien (meer info)

Er is geen actie te nemen.

Je moet je klanten op eenvoudige maar duidelijke wijze informeren over:
– hoe je hun gegevens zal gebruiken
– hun recht om bepaalde gegevens niet meer te laten gebruiken,
– de details van hoe je de gegevens verwerkt (Privacy Policy).

Je mag de persoonsgegevens van je klanten enkel verwerken indien je klanten behoorlijk en transparant informeert over:
– wat je met hun gegevens zal doen,
– welke rechten zij daarbij hebben,
– hoe je hun rechten beschermt.

Bijv.:
“Wij dragen je privacy hoog in het vaandel en geven je gegevens nooit door aan derden.
Wij gebruiken bovenstaande gegevens enkel om onze diensten te leveren en om je te informeren over deze en aanverwante diensten die wij bieden.
Je kan je steeds verzetten (optout) tegen het in de toekomst ontvangen van onze e-mails, via de uitschrijflink onderaan onze e-mail.
Onze volledig privacybeleid vind je hier [link naar privacy policy op website].”

Bron:

Infozin invoegen bij registratieformulier (meer info)

Privacy policy voorzien (meer info)

Er is geen actie te nemen.

Je personeel moet op een veilige manier met ICT omgaan. Dat is zowel belangrijk voor de veiligheid van je bedrijf (bescherming tegen besmetting, virussen, enz).als voor de veiligheid van je persoonsgegevens.

ICT-Policy of Acceptable Use Policy voorzien (meer info)

Data-Policy voorzien (meer info)

Arbeidsreglement aanpassen (meer info)

Er is geen actie te nemen.

Een gegevensveiligheidsbeleid is het eerste instrument waarmee je aan de wereld duidelijk maakt hoe je onderneming en je leveranciers met privacy omgaan.

Gegevensveiligheidsbeleid voorzien (meer info)

Er is geen actie te nemen.

Verplichtingen van werknemers volgen uit de met hen bestaande contractuele relatie. Reglementen en verplichtingen inzake privacy en ICT-veiligheid zijn enkel afdwingbaar wanneer ze in lijn zijn met de arbeidsovereenkomst en het arbeidsreglement. De GDPR-verplichtingen moeten dus uit het arbeidsreglement volgen.

Arbeidsovereenkomst en arbeidsreglement aanpassen (meer info)

Er is geen actie te nemen.

De eerste stap naar bescherming van persoonsgegevens is het technisch beschermen van die gegevens tegen toegang door onbevoegden, door bijv. computers te encrypteren, performante firewallbescherming te voorzien, anti-phishingmaatregelen te implementeren, enz.
Vervolgens moet de interne ICT-organisatie zo opgezet worden dat:

• persoonsgegevens op zo weinig mogelijk plaatsen bewaard worden,
• enkel die personen toegang hebben tot de persoonsgegevens die daar echt toegang toe moeten hebben (“need to know”),
• er geen twijfel kan bestaan over welke persoonsgegevens de juiste zijn,
• enz.

Bron: art. 32 GDPR

Werknemers data policy voorzien (meer info).

Werknemers ICT policy voorzien (meer info).

Gegevensveiligheidsbeleid implementeren (meer info).

Er is geen actie te nemen.

Opdat jij als bedrijf correct met persoonsgegevens omgaat, moeten je werknemers weten hoe zij daarmee mogen en moeten omgaan.

Werknemers datapolicy voorzien (meer info)

ICT policy voorzien (meer info)

Indien je persoonsgegevens van mensen uit meerdere EU-landen verwerkt, dan moet je mogelijk rekening houden met de specifieke privacyregelingen in elk van de landen waar je gegevens verzamelt én van de landen waar je gegevens verwerkt.

Privacy compliance check te doen voor andere landen.

Er is geen actie te nemen.

Deze gegevens zijn bijzonder beschermd en om deze te mogen verwerken, moet je aan bijkomende voorwaarden voldoen.

Er zijn specifieke vereisten voor het verwerken van gevoelige gegevens. Deze vereisten verschillen afhankelijk van de soort gegevens.
Bron: art. 9 en 10 GDPR

Er is geen actie te nemen.

Deze gegevens zijn bijzonder beschermd en om deze te mogen verwerken, moet je aan bijkomende voorwaarden voldoen.

De verwerking van persoonsgegevens van minderjarigen onder de 13 jaar (in België, in bepaalde EU-landen ligt deze grens op 15 of 16 jaar) is bijzonder beschermd en moet aan bijkomende voorwaarden voldoen.
De GDPR gaat ervan uit dat deze groep zich minder bewust is van de risico’s, gevolgen van het delen van hun gegevens en van hun rechten.
In het bijzonder zal je in een aantal gevallen de ouders moeten betrekken, zal je altijd betere en duidelijker informatie moeten verstrekken aan kinderen én voorzichtiger moeten omspringen met de verwerking van gegevens van kinderen (bewaartermijn, rechtmatig belang, enz.).

Meer info

Er is geen actie te nemen.

Er is geen actie te nemen.

Je moet voor elke verwerking afzonderlijk toestemming krijgen.

Je mag gegevens enkel verwerken als je daartoe het recht heb. Dit recht kan je bvb verkrijgen door toestemming te vragen aan de klant.

Bron: art. 7 GDPR

Je moet je klanten op eenvoudige maar duidelijke wijze informeren over:

• hoe je hun gegevens zal gebruiken (meer info)
• hun recht om bepaalde gegevens niet meer te laten gebruiken en zich uit te schrijven (meer info)
• hun recht om gegevens op te vragen (meer info)
• de details van hoe je de gegevens verwerkt (Privacy Policy – meer info).

Er is geen actie te nemen.

Je moet elke persoon wiens data je verwerkt een integrale kopie kunnen bezorgen van alle data die je van hem verwerkt.

Bron: art 15 en 20 GDPR

• voorzie de mogelijkheid om persoonsgegevens op te vragen (meer info)
• voorzie een workflow om aanvragen te behandelen (meer info)

Er is geen actie te nemen.

Je moet aan elke persoon wiens gegevens je vraagt, meedelen wat je met zijn gegevens gaat doen en hoe je die gaat verwerken.

Persoonsgegevens die je ontvangt en verzamelt van sollicitanten moeten conform de GDPR verwerkt worden.

Wanneer iemand op een vacature reageert dan deelt die kandidaat zijn persoonsgegevens met jou als werkgever. Daarnaast kan je bijkomende informatie opzoeken aangaande de kandidaat en een verslag maken van je gesprek.

Om dit te mogen moet de kandidaat op voorhand geïnformeerd worden over hoe je die gegevens zal verwerken. Dit gebeurt via een melding in je vacature, met verwijzing naar je privacy policy.

(meer info)

Je moet je sollicitanten inlichten wat je met hun gegevens gaat doen (in advertentie).
Als je ze voor andere doeleinden wil gebruiken dan de sollicitatie (bijv. marketing, nieuwsbrief, etc) dan heb je daar toestemming voor nodig.
Als je deze gegevens langer wil bewaren dan moet je dat op voorhand melden en regelmatig een herinneringsmail sturen aan de kandidaat met vraag of de gegevens correct zijn en of je deze nog mag bewaren voor toekomstige sollicitaties.

Toestemming betekent dat die expliciet, afzonderlijk en actief gegeven moet worden.
Let op: bij het bewaren van gegevens zijn verschillende principes van toepassing zoals:

• Doelbinding
• Bewaarbeleid
• Informatieplicht

(Meer info)

Er is geen actie te nemen.

Iedereen heeft het recht om zich tegen een volledig automatische beslissing te verzetten en moet hierover geïnformeerd worden.

De klant heeft het recht om te eisen dat een mens de beslissing neemt. Die kan dezelfde beslissing nemen dan de computer.

• Doe een data protection impact assessment (meer info)
• Update je privacypolicy (meer info)
• Stel een DPO aan (meer info)

Er is geen actie te nemen.

Indien je gegevens op die manier bekomt, moet je zeker zijn dat je de gegevens ook mag gebruiken, zoals wanneer je ze zelf zou verzameld hebben.
Je moet dus een wettelijke grond zoals geldige toestemming hebben. Wanneer je ze van iemand anders krijgt, dan moet die persoon geldige toestemming hebben om de gegevens door jou te laten gebruiken.
Bovendien moet je alle personen wiens gegevens je zo ontvangt, binnen de maand na ontvangst informeren dat je hun gegevens hebt. Ze moeten de kans krijgen om zich uit te schrijven (“opt-out”).

(Meer info)

Er is geen actie te nemen.

Je moet een verwerkingsovereenkomst afsluiten met je opdrachtgever.

Je verwerkt die gegevens voor rekening van je opdrachtgever.

Je moet met je opdrachtgever duidelijk schriftelijk afspreken wat je wel en niet mag met die data en of je onderaannemers mag gebruiken.
Je mag die gegevens niet gebruiken voor andere doeleinden en niet langer dan nodig bewaren.

Heb je zelf een onderaannemer die gegevens verwerkt, dan moet je

• dit opnemen in de verwerkingsovereenkomst met de opdrachtgever,
• op voorhand afspreken dat je van onderaannemer mag wijzigen zonder je opdrachtgever zijn toestemming,
• de opdrachtgever informeren wanneer je van onderaannemer verandert.

Je opdrachtgever mag de nieuwe onderaannemer weigeren indien de wijziging risico inhoudt.

Is je onderaannemer buiten de EU gevestigd, dan moet het contract met je opdrachtgever voorzien dat je het recht hebt om de persoonsgegevens door onderaannemers buiten de EU te laten verwerken.

Bron: art. 28 GDPR

(meer info)

Er is geen actie te nemen.

Je opdrachtnemer verwerkt dan die gegevens voor jouw rekening.
Je moet met je opdrachtnemer duidelijk afspraken maken (schriftelijk) over
– wat hij wel en niet mag met die data,
– hoe hij die data moet beveiligen,
– hoe lang hij de data mag bewaren.

Je opdrachtnemer mag de data enkel gebruiken voor de doelen waarvoor jij ze mag gebruiken (bijv. je hebt enkel toestemming gekregen om een nieuwsbrief te verzenden, dan mag je opdrachtnemer die nieuwsbrief in jouw plaats sturen, maar geen andere reclame sturen).

Contracten met leveranciers aanpassen, met verwerkersovereenkomst (meer info)

Er is geen actie te nemen.

Er is geen actie te nemen.

Je moet toegang tot data beveiligen:
– technisch: bijv. data enkel toegankelijk maken met login en paswoord, loggen wie toegang heeft, harde schijven van computers en USB-sticks encryptereb
– organisatorisch: je personeel moet voorzichtig omgaan met data, een datalek herkennen én melden.

Wanneer een datalek gebeurt, moet je dit (bijna altijd) melden aan de Gegevensbeschermingsautoriteit (Privacy Commissie) ding aan Autoriteit en in veel gevallen ook aan degenen wiens data gelekt werd.

Je moet een datalek:
– binnen de 72u melden aan de Gegevensbeschermingsautoriteit, tenzij er geen risico bestaat voor de schending van de privacy, veiligheid of andere rechten.
– onmiddellijk melden aan de betrokkenen wanneer een groot risico bestaat voor de schending van hun privacy, veiligheid of andere rechten.
Bron: art. 33 GDPR

• Datalek register opzetten
  (meer info)
• Datalek communiceren (meer info)
• ICT beveiliging aanscherpen en personeel hierop trainen (meer info)

Er is geen actie te nemen.

Indien je persoonsgegevens gaat gebruiken (verwerken) op een manier die mogelijk een groot risico inhoudt voor de privacy, veiligheid of andere rechten van personen, dan moet je vooraf een grondige schiftelijke analyse maken van de privacyrisico’s en hoe je die gaat voorkomen.

Doe een Data Protection Impact Assessment (DPIA) voor elke nieuwe verwerking van persoonsgegevens (meer info)

Je moet een Data Protection Officer (DPO) aanstellen.

Je hebt een DPO nodig wanneer je kernactiviteiten vereisen dat je:
– regelmatig en stelselmatig gebruikers (of het gebruik) van je dienst of product observeert.
– op grote schaal persoonsgegevens verwerkt.

Overheidsorganen moet steeds een DPO hebben.
Bron: art. 37 GDPR

Analyse of DPO vereist (meer info)
DPO aanstellen indien nodig (meer info)

Er is geen actie te nemen.

Je mag enkel persoonsgegevens buiten de EU (laten) verwerken indien ofwel:
– het land als GDPR-compliant beschouwd wordt door de Europese Commissie,
– een contract gesloten wordt dat voldoende garanties geeft voor de veilige behandeling van de persoonsgegevens.

(meer info)

Er is geen actie te nemen.

Ontvang je graag meer informatie over hoe je de GDPR gemakkelijk kan implementeren?

Je kan je steeds uitschrijven. Lees ons privacybeleid voor meer info.   Rond de quiz af door hieronder op “Zie Resultaat” te drukken.