Op dit moment hebben wij nog te maken met de Wet bescherming persoonsgegevens, maar vanaf 25 mei 2018 is in heel Europa de Europese privacyverordening van toepassing. De privacyverordening is bijvoorbeeld van toepassing wanneer gegevens van klanten, huurders of werknemers worden opgeslagen. Bijna iedere organisatie in de vastgoedwereld krijgt er dan ook mee te maken, zeker ook in het kader van vastgoedbeleggingen. De nieuwe privacywetgeving brengt onder andere verschillende verplichtingen met zich mee op het gebied van het verwerken van persoonsgegevens. Ook is het verwerken van persoonsgegevens niet onder alle omstandigheden toegestaan. Hoog tijd dus om aan de slag te gaan en te bekijken waar u staat!
Wat is een persoonsgegeven?
Er wordt van een persoonsgegeven gesproken wanneer een bepaalde persoon aan de hand daarvan kan worden geïdentificeerd. Gegevens van rechtspersonen, zoals een BV, of overleden personen worden niet aangemerkt als een persoonsgegeven. Bij een persoonsgegeven kunt u dus denken aan gegevens als een naam en een adres, maar ook aan een telefoonnummer, een e-mailadres, een kenteken, en bankrekeningnummer en zelfs een IP-adres. Wanneer dergelijke gegevens van bijvoorbeeld klanten of werknemers van uw organisatie worden verwerkt, zult u moeten voldoen aan de verplichtingen zoals die zijn opgenomen in de privacyverordening.
Voorwaarden voor het verwerken van persoonsgegevens
De privacyverordening stelt verschillende verplichtingen aan de verwerking van persoonsgegevens. Het is daarom van belang na te gaan welke persoonsgegevens u binnen uw organisatie verwerkt en voor welke doeleinden. Voorkomen moet worden dat u allerlei persoonsgegevens opslaat, die u eigenlijk niet nodig heeft. Voor de verwerking van ieder persoonsgegeven moet namelijk een rechtmatige grondslag bestaan.
De eerste mogelijke grondslag betreft de ondubbelzinnige toestemming. Als degene van wie de gegevens worden verwerkt daarvoor toestemming heeft gegeven, dan mag het. Gedacht kan worden aan toestemming voor het gebruik van meetgegevens van een slimme meter. Van belang is nog wel dat de toestemmingsgrondslag niet opgaat in bijvoorbeeld de relatie tussen een werkgever en een werknemer. Het moet namelijk gaan om een volledig vrijelijk gegeven toestemming en dat gaat in een gezagsverhouding natuurlijk niet op.
Ook kan het rechtmatig zijn persoonsgegevens te verwerken voor de uitvoering van een overeenkomst. Wanneer u bijvoorbeeld een bestelling moet afleveren bij een klant, is het noodzakelijk over zijn of haar adresgegevens te beschikken, terwijl het voor het aangaan van een huurovereenkomst noodzakelijk is om te beschikken over onder andere een naam. Verder kan de verwerking van persoonsgegevens toelaatbaar zijn vanwege een wettelijke verplichting. Bijvoorbeeld een werkgever die gegevens over zijn personeel moet opslaan in de personeelsadministratie of een makelaar die verplicht is gegevens van kopers en verkopers van onroerende zaken vast te leggen.
Wanneer geen van de voornoemde grondslagen van toepassing is, mogen gegevens in principe alleen worden verwerkt indien daarbij gerechtvaardigd belang bestaat. Dit kan bijvoorbeeld gaan om een bedrijfsbelang. Het moet noodzakelijk zijn om bepaalde gegevens te verwerken. Van belang is verder dat de gegevens op de minst ingrijpende wijze worden verwerkt en dat steeds een afweging wordt gemaakt tussen het bedrijfsbelang en het belang van de betrokkene.
Beveiliging
Het verwerken van persoonsgegevens hoeft niet meer aan de Autoriteit Persoonsgegevens te worden gemeld. Wel geldt voor de verwerking van persoonsgegevens een documentatieplicht. Dit houdt in dat moet worden vastgelegd welke beveiligingsmaatregelen met het oog op de bescherming van persoonsgegevens zijn genomen. De privacyverordening bepaalt dat persoonsgegevens technisch en organisatorisch moeten worden beveiligd. Dit betekent dat bijvoorbeeld de juiste software moet worden gebruikt. Welke software de juiste is, is op het eerste gezicht lastig te zeggen. Dit hangt onder andere af van de persoonsgegevens die worden opgeslagen. Indien het om zeer privacygevoelige gegevens gaat, zoals medische gegevens, zullen zwaardere beveiligingsmaatregelen nodig zijn. Ook kan software die vandaag een voldoende beveiligingsniveau biedt, morgen alweer verouderd zijn.
Naast het gebruiken van de juiste software, is het van belang binnen een organisatie te bekijken wie toegang heeft tot de persoonsgegevens en deze groep zo beperkt mogelijk te houden. Op deze manier kan het risico dat persoonsgegevens onbedoeld op straat komen te liggen eveneens worden beperkt.
Wat kunt u doen?
In het kader van de voorbereiding op de privacyverordening, is het in de eerste plaats van belang te bekijken op welke wijze deze nieuwe wetgeving binnen uw organisatie van invloed is. Dat betekent dat zal moeten worden bekeken welke persoonsgegevens er binnen uw organisatie worden verzameld en verwerkt en met welk doel. Aan de hand daarvan kan worden bepaald welke verdere stappen uw organisatie zal moeten nemen en welke verplichtingen uw organisatie heeft. In ieder geval moet worden voorkomen dat ten onrechte allerlei persoonsgegevens worden verzameld en bewaard, terwijl dat eigenlijk niet nodig is. Als u zich hier bewust van bent, is de eerste stap al genomen.
