Rechtmatigheid van het delen van persoonsgegevens met derde partijen

Inleiding

Het delen van persoonsgegevens met een partner of met derde partijen, bijvoorbeeld adverteerders, is aan verschillende voorwaarden verbonden. Het is goed om je bewust te zijn van de voorwaarden en de eventuele risico’s die zich bij het delen van persoonsgegevens voor marketingdoeleinden kunnen verwezenlijken. Er is hierop ook wetgeving van toepassing, zoals de Algemene Verordening Gegevensbescherming (AVG).

Meer weten over dit onderwerp of een andere juridische vraag? Mail dan naar: [email protected]

Achtergrond

De belangrijkste uitgangspunten van de AVG is dat het transparant moet zijn voor betrokkenen welke persoonsgegevens er verzameld en/of gedeeld worden, en met welke partijen dit geschiedt. Daarnaast dient er een wettelijke grondslag te zijn voor het delen van persoonsgegevens en dienen er goede afspraken gemaakt te worden met de derde partijen. Daarnaast is het afhankelijk van de soort persoonsgegevens die worden gedeeld, of er nog aanvullende maatregelen of restricties van toepassing zijn.

Belangrijke aandachtspunten bij het delen van persoonsgegevens zijn:

Transparantieplicht: informatie over de herkomst en het delen van de persoonsgegevens en de partijen waarmee de persoonsgegevens gedeeld worden moeten kenbaar zijn.

Grondslag: er dient een rechtsgeldige grondslag te zijn voor het delen van de data. Hierbij ligt toestemming voor de hand. De toestemming dient specifiek te berusten op het delen van persoonsgegevens en dient daarnaast geïnformeerd, in vrijheid en actief gegeven te zijn. Ook indien persoonsgegevens verplicht gedeeld moet worden op grond van de Data Act, dient er op een juiste manier toestemming te zijn gegeven.

Doorgifte buiten de EER: controleer of er persoonsgegevens worden gedeeld met partijen die buiten de EER gevestigd zijn. Indien dit het geval is, dient er een doorgiftemechanisme van toepassing te zijn.

Rechten van betrokkenen: zorg ervoor dat de rechten van betrokkenen kunnen worden nageleefd voor en nadat de persoonsgegevens gedeeld zijn met de derde partij.

Overeenkomst derde partijen: zorg ervoor dat er met de derde partij afspraken zijn gemaakt over welke persoonsgegevens wordt gedeeld, op welke manier dit gedaan wordt, hoe de persoonsgegevens beveiligd worden en welke maatregelen er getroffen dienen te worden indien het misgaat met de persoonsgegevens.

Wat zijn de risico’s

Boetes en sancties: niet naleving van bovenstaande aandachtspunten kan leiden tot dwangsommen of hoge boetes van € 20.000.000 of 4% van de wereldwijde jaaromzet. Zo is er aan Whatsapp Ireland een boete van 225 miljoen euro opgelegd*, omdat zij niet voldeden aan de transparantieplicht.

Misbruik of verlies van gegevens: kan leiden tot identiteitsdiefstal, phishing en/of oplichting. Daarnaast kan het verlies over de controle van persoonsgegevens leiden tot datalekken en schade voor betrokkenen.

Reputatieschade: gebrek aan transparantie, een rechtsgeldige grondslag of het niet uitoefenen van bepaalde rechten kan het vertrouwen van consumenten schaden.

*Lees meer >>

Dit moet je in ieder geval doen:

Onderzoek welke persoonsgegevens gedeeld worden: gaat het om algemene, bijzondere of gevoelige persoonsgegevens? Let op: bij het delen van bijzondere of gevoelige persoonsgegevens zijn aanvullende bepalingen van toepassing op grond van de AVG.

Onderzoek met welke partij persoonsgegevens gedeeld worden: betreft dit bijvoorbeeld een overheids- of zorginstantie? Dan zijn er aanvullende regels van toepassing.

Onderzoek waar de persoonsgegevens wordt verwerkt: is dit buiten de EER? Dan zijn er aanvullende regels van toepassing. Er dient dan een zogenaamd doorgiftemechanisme van toepassing te zijn.

Onderzoek of de persoonsgegevens mogen worden verwerkt: is er toestemming uitgevraagd voor het delen van deze persoonsgegevens? En is dit bij de partner of derde partij ook op de juiste manier uitgevraagd?

Bied transparantie: stem de transparantieverplichting met de derde partij af en zorg ervoor dat alle partijen die betrokken zijn transparant zijn over het delen van de persoonsgegevens.

Vastleggen van de verwerking: leg de juiste afspraken vast in een overeenkomst.

Meer weten over dit onderwerp of een andere juridische vraag? Mail dan naar: [email protected]