Privacywetgeving in België: wat moet je weten?

Privacywetgeving bepaalt hoe organisaties persoonsgegevens mogen verzamelen, gebruiken, bewaren en delen. In België vormt de Europese Algemene Verordening Gegevensbescherming (AVG), internationaal bekend als de GDPR, het belangrijkste wettelijke kader. De regels beschermen de privacy van mensen en leggen tegelijk duidelijke verplichtingen op aan bedrijven, verenigingen en overheden.

Welke privacyregels gelden in België?

De AVG geldt in alle landen van de Europese Unie. In België wordt ze aangevuld door de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens. De Gegevensbeschermingsautoriteit (GBA) houdt toezicht op de naleving van de privacyregels en behandelt onder meer klachten.

De wetgeving is van toepassing zodra een organisatie persoonsgegevens verwerkt. Dat kan bijvoorbeeld gaan om klantengegevens, personeelsdossiers, inschrijvingen voor een nieuwsbrief, camerabeelden of informatie die via een website wordt verzameld.

Wat zijn persoonsgegevens?

Persoonsgegevens zijn gegevens die rechtstreeks of onrechtstreeks naar een persoon verwijzen. Een naam, e-mailadres, telefoonnummer en adres zijn duidelijke voorbeelden. Ook een IP-adres, locatiegegevens, camerabeelden of een online identificatienummer kunnen persoonsgegevens zijn wanneer iemand ermee identificeerbaar is.

Voor bepaalde gevoelige gegevens gelden strengere regels. Het gaat onder meer om gegevens over gezondheid, etnische afkomst, politieke overtuiging, religie, vakbondslidmaatschap en biometrische gegevens die gebruikt worden om iemand uniek te identificeren.

De belangrijkste principes van de AVG

Wie persoonsgegevens verwerkt, moet een aantal basisprincipes respecteren:

• Rechtmatigheid en transparantie: mensen moeten op een geldige en duidelijke manier geïnformeerd worden over het gebruik van hun gegevens.
• Doelbinding: gegevens mogen alleen worden verzameld voor specifieke, uitdrukkelijk omschreven en gerechtvaardigde doeleinden.
• Dataminimalisatie: verzamel niet meer gegevens dan nodig is.
• Juistheid: persoonsgegevens moeten correct en, waar nodig, actueel zijn.
• Bewaarbeperking: bewaar gegevens niet langer dan noodzakelijk.
• Beveiliging: neem passende maatregelen om gegevens te beschermen tegen verlies, misbruik of ongeoorloofde toegang.
• Verantwoordingsplicht: een organisatie moet kunnen aantonen dat ze de regels naleeft.

Een geldige reden om gegevens te verwerken

Een organisatie mag persoonsgegevens niet zomaar gebruiken. Voor elke verwerking moet er een rechtsgrond bestaan. De AVG voorziet zes mogelijke rechtsgronden: toestemming, de uitvoering van een overeenkomst, een wettelijke verplichting, de bescherming van vitale belangen, een taak van algemeen belang of een gerechtvaardigd belang.

Toestemming is dus niet altijd vereist of de juiste keuze. Wanneer een organisatie zich op toestemming baseert, moet die vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De betrokkene moet de toestemming bovendien eenvoudig kunnen intrekken.

Welke rechten hebben mensen?

De AVG geeft mensen verschillende rechten met betrekking tot hun persoonsgegevens. Afhankelijk van de situatie kunnen zij:

• informatie krijgen over het gebruik van hun gegevens;
• inzage vragen in hun persoonsgegevens;
• onjuiste of onvolledige gegevens laten verbeteren;
• vragen om gegevens te laten wissen;
• de verwerking laten beperken;
• bezwaar maken tegen bepaalde verwerkingen;
• hun gegevens in bepaalde gevallen laten overdragen aan een andere organisatie.

Organisaties moeten zulke verzoeken doorgaans binnen één maand behandelen. In bepaalde, complexere gevallen kan die termijn worden verlengd, maar de betrokkene moet daar tijdig over geïnformeerd worden.

Verplichtingen voor organisaties

Organisaties moeten onder meer duidelijk uitleggen welke gegevens ze verzamelen, waarom ze dat doen, hoe lang ze die bewaren en met wie ze die delen. Die informatie staat vaak in een privacyverklaring. Daarnaast moeten organisaties passende technische en organisatorische beveiligingsmaatregelen nemen, zoals toegangsbeheer, veilige opslag en duidelijke interne afspraken.

Wanneer een organisatie gegevens laat verwerken door een externe partij, bijvoorbeeld een cloudleverancier of een marketingplatform, moet ze de afspraken over die verwerking correct vastleggen. De organisatie die het doel en de middelen van de verwerking bepaalt, heet de verwerkingsverantwoordelijke. De partij die gegevens in haar opdracht verwerkt, is de verwerker.

Sommige organisaties moeten ook een register van verwerkingsactiviteiten bijhouden. In bepaalde situaties is een functionaris voor gegevensbescherming (DPO) verplicht. Bij verwerkingen die waarschijnlijk een hoog risico vormen voor de privacy van mensen kan vooraf een gegevensbeschermingseffectbeoordeling nodig zijn.

Cookies en websites

Voor het plaatsen of uitlezen van niet-noodzakelijke cookies is in de meeste gevallen voorafgaande toestemming nodig. Dat geldt bijvoorbeeld vaak voor analytische of advertentiecookies. Strikt noodzakelijke cookies, die nodig zijn om een dienst te leveren die de bezoeker uitdrukkelijk heeft gevraagd, kunnen doorgaans zonder toestemming worden gebruikt. Een cookiebanner moet bezoekers duidelijke keuzes geven; toestemming mag niet worden afgedwongen met misleidende knoppen of onduidelijke informatie.

Een privacyverklaring en cookiebeleid moeten aansluiten bij wat een website werkelijk doet. Het volstaat dus niet om standaardteksten over te nemen zonder na te gaan welke gegevens en cookies de website effectief gebruikt.

Wat bij een datalek?

Een datalek is een beveiligingsincident waarbij persoonsgegevens verloren gaan, gewijzigd worden of toegankelijk worden voor onbevoegden. Denk aan een gehackte databank, een verloren laptop of een e-mail met persoonsgegevens die naar de verkeerde ontvanger is verstuurd.

Een organisatie moet elk incident beoordelen en documenteren. Als het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van mensen, moet de Gegevensbeschermingsautoriteit in principe binnen 72 uur na ontdekking op de hoogte worden gebracht. Is het risico voor de betrokkenen hoog, dan moeten ook zij zonder onnodige vertraging geïnformeerd worden.

Praktische controlelijst

• Breng in kaart welke persoonsgegevens je verzamelt en waar ze worden bewaard.
• Leg voor elke verwerking het doel en de rechtsgrond vast.
• Verzamel alleen gegevens die je echt nodig hebt.
• Informeer mensen helder en op tijd.
• Stel redelijke bewaartermijnen vast en verwijder gegevens wanneer ze niet meer nodig zijn.
• Beveilig gegevens en beperk toegang tot wie die nodig heeft.
• Maak afspraken met externe verwerkers.
• Voorzie een werkwijze voor privacyverzoeken en datalekken.
• Controleer regelmatig of je privacyverklaring, cookiebeleid en interne procedures nog kloppen.

Tot slot

Privacywetgeving is meer dan een privacyverklaring op een website. Ze vraagt dat organisaties zorgvuldig omgaan met persoonsgegevens, transparant communiceren en kunnen aantonen hoe ze de regels toepassen. De precieze verplichtingen hangen af van de organisatie en de aard van de verwerking. Voor specifieke juridische vragen is het verstandig advies in te winnen bij een privacydeskundige of juridisch adviseur.

7 voordelen van privacywetgeving

1. Beschermt de persoonlijke levenssfeer.
2. Geeft mensen meer controle over hun gegevens.
3. Verplicht organisaties transparant te zijn.
4. Beperkt onnodige gegevensverzameling.
5. Moedigt betere gegevensbeveiliging aan.
6. Geeft mensen rechten op inzage en correctie.
7. Versterkt het vertrouwen tussen klanten en organisaties.

Vijf nadelen van privacywetgeving

1. Privacyregels kunnen complex zijn.
2. Naleving vraagt tijd en middelen.
3. Administratieve verplichtingen kunnen zwaar wegen.
4. Een datalek kan leiden tot boetes en reputatieschade.
5. Regels kunnen innovatie en gegevensgebruik beperken.

Beschermt de persoonlijke levenssfeer.

Een belangrijk voordeel van privacywetgeving is dat ze de persoonlijke levenssfeer beschermt. Organisaties mogen persoonsgegevens niet zomaar verzamelen of gebruiken: ze moeten daar een geldige reden voor hebben en duidelijk uitleggen wat ze met die gegevens doen. Zo krijgen mensen meer controle over hun informatie en worden ze beter beschermd tegen ongewenste verspreiding, misbruik of al te verregaande opvolging.

Geeft mensen meer controle over hun gegevens.

Een belangrijk voordeel van de privacywetgeving is dat mensen meer controle krijgen over hun persoonsgegevens. Ze hebben onder meer het recht om te weten welke gegevens een organisatie verzamelt en waarom, om hun gegevens in te kijken of te laten verbeteren, en in bepaalde gevallen om ze te laten wissen. Zo kunnen mensen bewuster beslissen hoe hun gegevens worden gebruikt en sneller optreden wanneer informatie niet klopt of ongewenst wordt verwerkt.

Verplicht organisaties transparant te zijn.

Privacywetgeving verplicht organisaties om transparant te zijn over de manier waarop ze persoonsgegevens verzamelen en gebruiken. Mensen moeten duidelijke informatie krijgen over welke gegevens worden bijgehouden, waarom dat gebeurt, hoelang de gegevens worden bewaard en met wie ze eventueel worden gedeeld. Zo weten klanten, medewerkers en bezoekers beter waar ze aan toe zijn en kunnen ze hun privacyrechten makkelijker uitoefenen. Die openheid versterkt bovendien het vertrouwen tussen mensen en organisaties.

Beperkt onnodige gegevensverzameling.

Privacywetgeving beperkt de verzameling van onnodige gegevens door organisaties te verplichten alleen informatie op te vragen die nodig is voor een duidelijk omschreven doel. Zo worden mensen niet gevraagd om meer persoonsgegevens te delen dan nodig, wat hun privacy beter beschermt en het risico op misbruik of datalekken verkleint.

Moedigt betere gegevensbeveiliging aan.

Privacywetgeving moedigt organisaties aan om persoonsgegevens beter te beveiligen. Ze moeten passende maatregelen nemen om gegevens te beschermen tegen verlies, diefstal, misbruik en toegang door onbevoegden. Denk bijvoorbeeld aan sterke wachtwoorden, beperkte toegangsrechten, veilige opslag en regelmatige back-ups. Zo helpt de wetgeving privacyrisico’s te verkleinen en het vertrouwen van klanten en medewerkers te versterken.

Geeft mensen rechten op inzage en correctie.

Een belangrijk voordeel van de privacywetgeving is dat mensen het recht hebben om hun persoonsgegevens in te kijken en onjuiste of onvolledige informatie te laten verbeteren. Zo kunnen ze nagaan welke gegevens een organisatie over hen bijhoudt en erop toezien dat die correct zijn. Dat helpt om fouten recht te zetten en geeft mensen meer controle over hun persoonlijke informatie.

Versterkt het vertrouwen tussen klanten en organisaties.

Privacywetgeving versterkt het vertrouwen tussen klanten en organisaties. Wanneer een organisatie duidelijk uitlegt welke persoonsgegevens ze verzamelt en hoe ze die beschermt, voelen klanten zich beter geïnformeerd en gerespecteerd. Door zorgvuldig met gegevens om te gaan en de privacyrechten van klanten te respecteren, bouwt een organisatie aan een betrouwbare relatie op lange termijn.

Privacyregels kunnen complex zijn.

Een nadeel van privacywetgeving is dat de regels soms complex kunnen zijn. Organisaties moeten rekening houden met verschillende verplichtingen, uitzonderingen en termijnen, die bovendien afhangen van de manier waarop persoonsgegevens worden verzameld en gebruikt. Vooral voor kleine ondernemingen kan het lastig zijn om te bepalen welke maatregelen nodig zijn en hoe ze aan de regels kunnen voldoen. Dat vraagt tijd, kennis en soms extra advies of ondersteuning.

Naleving vraagt tijd en middelen.

De privacywetgeving naleven vraagt tijd en middelen. Organisaties moeten onder meer in kaart brengen welke persoonsgegevens ze verwerken, hun privacyverklaringen en procedures bijwerken, medewerkers informeren en passende beveiligingsmaatregelen nemen. Voor kleine ondernemingen kan dat een stevige investering betekenen, zeker wanneer ze niet over een eigen privacyverantwoordelijke beschikken of externe expertise nodig hebben.

Administratieve verplichtingen kunnen zwaar wegen.

Een mogelijk nadeel van de privacywetgeving is dat de administratieve verplichtingen zwaar kunnen wegen, vooral voor kleine ondernemingen en verenigingen. Ze moeten bijvoorbeeld bijhouden welke persoonsgegevens ze verwerken, hun privacyverklaring en interne procedures opstellen en aanpassen, verzoeken van betrokkenen behandelen en afspraken met externe verwerkers vastleggen. Dat vraagt tijd, kennis en soms extra middelen die niet altijd beschikbaar zijn.

Een datalek kan leiden tot boetes en reputatieschade.

Een datalek kan voor een organisatie ernstige gevolgen hebben. Als persoonsgegevens onvoldoende beveiligd zijn of de privacyregels niet worden nageleefd, kan de Gegevensbeschermingsautoriteit een boete opleggen. Daarnaast kan het vertrouwen van klanten, medewerkers en partners afnemen, met reputatieschade en mogelijk verlies van klanten tot gevolg. Ook de kosten voor het onderzoeken en aanpakken van het lek kunnen aanzienlijk zijn.

Regels kunnen innovatie en gegevensgebruik beperken.

Een mogelijk nadeel van privacywetgeving is dat strenge regels innovatie en het gebruik van gegevens kunnen beperken. Organisaties moeten zorgvuldig nagaan welke gegevens ze mogen verzamelen en waarvoor ze die mogen gebruiken. Dat vraagt tijd en middelen, en kan experimenten met nieuwe technologieën of datagedreven diensten vertragen. Vooral kleinere bedrijven kunnen het moeilijk vinden om de nodige expertise en procedures op te bouwen. Tegelijk is het belangrijk om privacy niet als een rem op vernieuwing te zien, maar als een voorwaarde voor verantwoord en betrouwbaar gegevensgebruik.