Privacy

Hans de Willigen fiscalist en apartner REIN Advocaten en Adviseurs te Assen. deWilligen@rein.nl

In het kader van de actualiteiten zal ik in deze column dit keer aandacht besteden aan de ontwikkelingen op het gebied van de Privacy. Veel ondernemers hebben het gevoel dat ze niets meer mogen en zien door de bomen het bos niet meer. Vanaf 25 mei 2018 worden de nieuwe privacyregels uit de Algemene Verordening Gegevensbescherming (AVG, of ook wel GDPR) gehandhaafd. Vanaf dat moment zal de Autoriteit Persoonsgegevens (AP) toezien op de naleving van die regels. De praktijk van onze privacy-juristen leert dat mensen door de bomen het bos niet meer zien en dat ze niets meer mogen of dat de effecten geweldig worden onderschat.

Ook in de recreatiesector komen talrijke situaties voor waarbij privacy een rol speelt, bijvoorbeeld:

• Mag ik camera’s plaatsen op mijn terrein?
• Mag ik een kopie van een identiteitsbewijs maken?
• Waar sla ik de persoonsgegevens van mijn gasten op? In de cloud?
• Worden de persoonsgegevens in de cloud binnen Europa of daarbuiten opgeslagen?
• Mag ik eigenlijk wel persoonsgegevens van kinderen verwerken?

Veel van de bovenstaande vraagstukken speelden ook al in de oude wet, de Wet Bescherming Persoonsgegevens (Wbp). Elke vraag moet per situatie beoordeeld worden. Toch vraagt de nieuwe wet een aantal – administratieve –  aanpassingen. Uit de nieuwe wetgeving volgt dat – vrijwel – elke ondernemer een privacy administratie moet aanleggen. Zo kun je als ondernemer aantonen dat je voldoet aan de verplichtingen die voortvloeien uit de AVG.
Om te voldoen aan de AVG moet je als recreatieondernemer voldoen aan de informatieplicht. Dat betekent dat u een privacyverklaring op elke plek waar u persoonsgegevens ontvangt, dient te zetten. Het is verstandig om de privacyverklaring in ieder geval onder de website, een eventuele app en onder aan de e-mail te zetten. In de privacyverklaring wijst u diegene over wie de persoonsgegevens gaan op wat u met zijn of haar persoonsgegevens doet.
Daarnaast is het van belang dat u verwerkersovereenkomsten sluit met derden die persoonsgegevens namens u verwerken. Dit kan bijvoorbeeld een softwareleverancier zijn, de IT-partij die uw cloudomgeving beheert, uw salarisadministrateur of uw accountant. Een verwerkersovereenkomst is een standaardovereenkomst waarin u onder andere duidelijke afspraken over de beveiliging van de persoonsgegevens maakt en waarin u het doel van de verwerking bepaalt.
Ook moet u een privacyregister aanleggen. In het register houdt u onder andere bij welke typen persoonsgegevens u verwerkt, met welk doel en op welke grondslag u dat baseert. De grondslag kan bijvoorbeeld een wettelijke verplichting tot bewaring van een bepaald type persoonsgegevens zijn, de uitvoering van een overeenkomst of ondubbelzinnige toestemming van degene over wie de persoonsgegevens gaan.
Uiteraard is dit een greep uit de stappen die u moet zetten om te voldoen aan de nieuwe privacyregels. Privacy staat momenteel enorm in de belangstelling en zal de komende periode alleen maar meer aandacht krijgen. De Autoriteit Persoonsgegevens heeft al aangegeven dat zij niet terughoudend zal zijn met het opleggen van boetes. Hier geldt dus dat u beter kunt voorkomen dan genezen.
Wilt u meer weten over privacy en hoe u kunt voldoen aan de nieuwe regelgeving? Ik breng u dan graag in contact met één van onze speciale privacy-juristen.