Hoe de AVG-verordening van de EU de outsourcingsector zal beïnvloeden

Wat is de EU AVG?

De Europese Unie (EU) Algemene Gegevensbeschermingsverordening (GDPR) is een nieuwe privacywetgeving die van invloed is op de verwerking van informatie. Het is al jaren gebruikelijk dat bedrijven specifieke diensten uitbesteden aan vertrouwde derde partijen. Een aanzienlijk deel van de uitbesteding betreft informatiediensten, waardoor grote hoeveelheden data de EU verlaten. Vanaf 25 mei wordt het voor bedrijven steeds moeilijker om dit te doen vanwege de nieuwe AVG. Maar waarom gebeurt dit?

Waarom gebeurt dit?

De AVG is deels een reactie van wetgevers op de groeiende vraag van burgers naar inzicht in wat er met hun gegevens gebeurt. Nu er in de media regelmatig melding wordt gemaakt van massale beveiligingsinbreuken, is dit probleem nog nooit zo actueel geweest als nu. Er wordt aangenomen dat de AVG bedrijven zal dwingen om te bepalen hoe ze met klantgegevens omgaan. De voor de hand liggende vraag die zich dan opdringt, is: wat worden persoonsgegevens genoemd?

Wat zijn persoonsgegevens?

De AVG-richtlijn is vrij duidelijk en voorschrijvend over wat persoonsgegevens zijn. Kortom, het omvat alle gegevens die betrekking hebben op een individu. Denk hierbij aan foto's, e-mailadressen, financiële gegevens, IP-adressen en medische informatie. Interessant genoeg, gezien de recente gebeurtenissen rond Facebook, omvat het ook berichten op sociale media en locatiegegevens. Het is zeker een uitgebreide lijst, een lijst die elk bedrijf zou moeten kennen.

Hoe zit het met werknemersgegevens?

Een van de meest ingrijpende aspecten van de nieuwe richtlijn is dat iedereen als individu wordt behandeld. Of de gegevens nu betrekking hebben op iemand die onder werktijd werkt of privé zijn, ze zijn nog steeds aan het individu gekoppeld. Daarmee verdwijnt het grijze gebied over de vraag of gegevens die via iemands werk zijn verkregen persoonsgegevens zijn: dat zijn ze altijd.

Welke bevoegdheden zijn er?

Vanaf 25 mei moet elk bedrijf toestemming vragen als het van plan is gegevens buiten de EU te verplaatsen. Deze toestemming kan alleen worden verleend door individuele klanten, een richtlijn die de hoeksteen van de aanpak moet worden. Vanwege de kostbare en tijdrovende aard van het vragen aan elke individuele klant, is dit onpraktisch. Naar verwachting zal de grootschalige outsourcing naar India, de Filipijnen en Vietnam van de ene op de andere dag worden stopgezet. Zo niet, dan kunnen er boetes worden opgelegd tot 4% van de jaaromzet.

Hoe wordt toestemming van de klant verleend?

Tot nu toe konden bedrijven eerst handelen en later disclaimers toevoegen om toestemming te dekken. Het was voldoende om opt-outs toe te voegen die met marketingmateriaal werden meegestuurd en ervan uit te gaan dat klanten desgewenst zullen afhaken. De AVG verandert dit allemaal. Bedrijven moeten aantonen dat ze voor elke actie toestemming hebben gekregen. Er is geen algemene dekking en geen retroactieve toekenning van opt-outs. Klanten hebben ook het recht om hun toestemming op elk moment in te trekken. Veel meer gegevens blijven binnen de EU.

Welke nieuwe rechten hebben klanten?

Klanten hebben nu gratis toegang tot hun gegevens. Bedrijven zijn verplicht een elektronische kopie te verstrekken en uit te leggen hoe ze deze hebben gebruikt. Ook krijgen ze het recht om persoonsgegevens te laten verwijderen als een klant de relatie wil beëindigen. Daarnaast hebben deze klanten het recht om hun gegevens eenvoudig tussen platforms te verplaatsen. Dit biedt meer vrijheid om een ​​nieuwe provider te kiezen en geeft de macht weer terug aan het individu.

Hoe kunnen klanten hun rechten uitoefenen?

Mocht een klant de verwerking van zijn of haar gegevens willen stopzetten, dan is het bedrijf verplicht dit onmiddellijk te doen. Hetzelfde geldt voor verzoeken om onjuiste of verouderde gegevens te corrigeren. Misschien wel het meest urgent in de huidige context: bedrijven hebben 72 uur de tijd om alle betrokkenen te informeren over datalekken. Deze regel is bedoeld om grootschalige datalekken, zoals bij Yahoo, die jarenlang onopgemerkt bleven, een halt toe te roepen.

Het effect op bedrijven

De AVG is geen IT-technische kwestie, maar een vergaande richtlijn die elk bedrijf moet begrijpen. Het heeft gevolgen voor de marketing- en verkoopactiviteiten van bedrijven van elke omvang. Bedrijven kunnen niet langer e-mailadressen verzamelen en gebruiken zoals ze willen. Er komen beperkingen op de verkoop van informatie aan andere bedrijven en de klant blijft eigenaar van zijn of haar gegevens. Zelfs als u een marketinglijst van een ander bedrijf koopt, bent u zelf verantwoordelijk voor de naleving van de AVG.

Zelfs iets simpels als het toevoegen van klantgegevens aan een centrale database na een beurs zal veranderen. De verstrekkende aard van de richtlijn zorgt ervoor dat er geen mazen in de wet of grijze gebieden zijn. Gegevens die aan een individu zijn gekoppeld, zijn altijd persoonlijk; of ze nu tijdens werktijd zijn verzameld of niet. Ze kunnen niet langer met veronderstelde toestemming via onze externe kanalen worden verkocht. Dit maakt het een dwingende wetgeving die geen enkel bedrijf zich kan veroorloven licht op te vatten.