GDPR 2.0 EN DE GEVOLGEN VOOR DE ONDERNEMING - DEEL 1

De nieuwe Belgische Privacywet – 05/09/2018

Op 5 september 2018 werd de wet betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens in het Belgisch Staatsblad gepubliceerd. Hiermee trad deze onmiddellijk in werking.
Deze wet zorgt voor een verdere implementering van de GDPR en een privacy regulatie voor
De een groot gedeelte wettekst legt de focus op de verwerking van persoonsgegevens binnen de opdracht van deze overheden, maar voorziet ook in verschillende belangrijke wijzigingen/aanvullingen op de Europese verordening die rechtstreeks invloed zullen hebben op het privacy beleid van de Belgische ondernemingen.
Wat betekent dit nu voor de Belgische ondernemingen?

In deze eerste sessie staan we stil bij:
•    Het territoriale toepassingsgebied van de wet;
•    De leeftijd vanaf wanneer een minderjarige toestemming kan geven;
•    De bijkomende maatregelen bij het verwerken van bijzondere categorieën van persoonsgegevens;
•    De bijkomende maatregelen bij de verwerking van strafrechtelijke veroordelingen en strafrechtelijke feiten;

De invloed op het territoriale toepassingsgebied

De Belgische wet is net als GDPR van toepassing op
o    de verwerking van persoonsgegevens door een Belgische verwerkingsverantwoordelijke of verwerker,  ongeacht of de verwerking op het Belgisch grondgebied plaatsvindt;
o    op de niet-Europese verwerker, als de verwerking van personen op het Belgische grondgebied gebeurt, en deze verwerker goederen of diensten op de markt aanbiedt of het gedrag van deze personen monitort.

Er wordt voor deze algemene regeling een afwijking voorzien als de verwerkingsverantwoordelijke een vestiging heeft in een ander EU-land. Als deze een beroep doet op een verwerker met een vestiging op Belgisch grondgebied, is het recht van de lidstaat in kwestie van toepassing op de Belgische verwerker, als de verwerking plaatsvindt op het grondgebied van de betreffende lidstaat.

Vanaf wanneer kan een minderjarige toestemming geven ?

De Belgische wetgever brengt de leeftijd van 16 jaar terug naar 13 jaar.

In de GDPR-verordening wordt bepaald dat enkel een minderjarige vanaf de leeftijd vanaf 16 jaar zijn of haar toestemming kan geven voor het verkrijgen van elke dienst die gewoonlijk tegen vergoeding, langs elektronische weg, op afstand en op individueel verzoek van een afnemer verricht wordt (vb. webshop, online games,  ….).


Bijkomende maatregelen bij de verwerking van bijzondere categorieën van persoonsgegevens

Een onderneming die persoonsgegevens zoals ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid, gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid verwerkt, wordt door de nieuwe Belgische wet, naast de GDPR, bijkomende maatregelen opgelegd.

Dit zijn vooral maatregelen gericht op het personeel van de verwerkingsverantwoordelijke of verwerker ten einde de veiligheid van de persoonsgegevens en de verwerking ervan te verzekeren:
a.    Het aanwijzen van categorieën van personen die toegang hebben tot de persoonsgegevens;
b.    Een lijst bijhouden van de categorieën van personen die toegang hebben tot de persoonsgegevens en deze ter beschikking houden van de Gegevensbeschermingsautoriteit;
c.    De aangewezen personen aan de hand van een wettelijke of statutaire verplichting, of door een evenwaardige contractuele verplichting de verplichting opleggen het vertrouwelijk karakter van deze gegevens in acht te nemen.

Bijkomende maatregelen bij de verwerking van strafrechtelijke veroordelingen en strafbare feiten
De nieuwe wet voorziet in een uitbreiding van de bepalingen van de GDPR door te voorzien in limitatieve uitbreiding van de rechtvaardigingsgronden voor de verwerking van deze persoonsgegevens. Dit betreft onder meer:
-    Een verwerking die noodzakelijk is voor het beheer van de eigen geschillen;
-    Een verwerking door advocaten of andere juridische adviseurs in de mate dat dit nodig is om de belangen van de cliënt te verdedigen;
-    De verwerking noodzakelijk is voor het algemeen belang die door een wet, decreet, ordonnantie of Uniestatelijk recht zijn vastgesteld;
-    De verwerking is noodzakelijk voor wetenschappelijk, historisch of statisch onderzoek;
-    Een verwerking waarvoor de betrokkene zijn of haar expliciete toestemming heeft gegeven;
-    De verwerking van persoonsgegevens die door betrokkene zelf openbaar zijn gemaakt.

Ook voor deze verwerking voorziet de wet extra maatregelen gericht op het personeel van de verwerkingsverantwoordelijke of verwerker ten einde de veiligheid van de persoonsgegevens en de verwerking te verzekeren.
d.    Het aanwijzen van categorieën van personen die toegang hebben tot de persoonsgegevens;
e.    Een lijst bijhouden van de categorieën van personen die toegang hebben tot de persoonsgegevens en deze ter beschikking houden van de Gegevensbeschermingsautoriteit;
f.    De aangewezen personen aan de hand van een wettelijke of statutaire verplichting, of door een evenwaardige contractuele verplichting de verplichting opleggen het vertrouwelijk karakter van deze gegevens in acht te nemen.

In een tweede deel van deze serie gaan we op 28 september verder in op
•    Verplichte aanstelling van een DPO;
•    Een nieuwe gegevensverwerkingsovereenkomst voor gegevens onrechtstreeks bekomen via derden;
•    Vordering tot staking van een verwerking die een inbreuk inhoudt op de privacywetgeving;
•    De vertegenwoordiging van betrokkenen door belangengroepen;
•    De voorziene strafrechtelijke sancties.