Veel mkb-bedrijven doen voor hun marketing een beroep op een extern marketingkantoor. Deze kantoren hebben de knowhow om potentiële klanten optimaal te bereiken. Soms kunnen ze ook bestaande klanten opnieuw activeren. Daarvoor hebben ze dan wel prospect- en klantgegevens nodig. Het is heel normaal dat er informatie wordt uitgewisseld tussen beide partijen. Er zijn wel strikte richtlijnen over hoe dit moet verlopen en aan welke voorwaarden moet zijn voldaan. Het correct omgaan met persoonsgegevens is niet alleen een juridische verplichting, maar ook essentieel voor het behoud van het vertrouwen van uw klanten.
Bescherming van persoonsgegevens
De meeste klantgegevens zijn persoonsgegevens die door de wet worden beschermd. Volgens de Algemene Verordening Gegevensbescherming (AVG) vallen persoonsgegevens onder drie categorieën: directe, indirecte en bijzondere persoonsgegevens. Directe persoonsgegevens, zoals naam en adres, liggen voor de hand. Indirecte persoonsgegevens, zoals IP-adressen, kunnen indirect naar iemand leiden. Bijzondere persoonsgegevens omvatten gevoelige gegevens, zoals gezondheidsinformatie of informatie over religieuze overtuigingen.
Grondslagen voor gegevensverwerking
De persoonsgegevens mogen niet zomaar worden gedeeld met een andere partij, bijvoorbeeld een marketingbureau. Daarvoor is nu eenmaal een geldige grondslag nodig. Er zijn verschillende grondslagen voor het verwerken van persoonsgegevens, zoals toestemming, wettelijke verplichting, vitaal belang, publieke taak en gerechtvaardigd belang. Bij het verwerken van bijzondere persoonsgegevens gelden strengere regels. Bij het uitwisselen van persoonsgegevens voor marketingdoeleinden zal men meestal de toestemming moeten krijgen van de klant of prospect. Het is belangrijk dat deze toestemming vrij en geïnformeerd is gegeven en kan worden ingetrokken.
Een privacyverklaring is in dit geval onmisbaar. Dit document, ook wel eens een privacy statement genoemd, moet essentiële informatie bevatten. Het gaat onder meer om de identiteit van de verwerkingsverantwoordelijke, wie de gegevens ontvangt en waar en hoelang de gegevens worden bewaard. Ook de rechten van klanten met betrekking tot hun gegevens moeten schriftelijk zijn meegedeeld. De Autoriteit Persoonsgegevens (AP) wil dat dit in begrijpelijke taal gebeurt en voldoende toegankelijk is voor de betrokken personen.
Verwerkingsverantwoordelijke en verwerker
Het is belangrijk om een onderscheid te maken tussen de verwerkingsverantwoordelijke en de verwerker(s). De verwerkingsverantwoordelijke bepaalt het doel en de middelen van de gegevensverwerking, terwijl de verwerker de gegevens namens de verwerkingsverantwoordelijke verwerkt. In dit geval is het marketingbedrijf de verwerker en is de opdrachtgever de verwerkingsverantwoordelijke. Tussen de verwerkingsverantwoordelijke en de verwerker moeten goede afspraken worden gemaakt. Deze worden opgenomen in een verwerkersovereenkomst. MKB Juristen kan helpen bij het opstellen van al deze documenten die hierbij vereist zijn.
