Meester over uw data

1. U mag uw persoonsgegevens opvragen, verbeteren en wissen

Organisaties die gegevens over u bewaren, moeten helder uitleggen hoe ze daarmee omgaan. Welke informatie verzamelen ze, wat doen ze ermee, hoelang houden ze ze bij? Vaak staat die informatie in een privacyverklaring op de website.

U kunt ook een overzicht van uw gegevens opvragen. In dat geval moet u aantonen dat u wel degelijk diegene bent van wie u de data opvraagt. Anders wordt het voor criminelen wel erg makkelijk om identiteiten te stelen.

Bevatten uw gegevens fouten, dan moeten bedrijven die verbeteren. In afwachting mogen ze de data niet meer gebruiken. U kunt op elk moment ook eisen dat ze (een deel van) uw gegevens vernietigen. Dat moet binnen de maand gebeuren.

Er zijn enkele uitzonderingen op dit principe, onder meer voor informatie die wordt bewaard in het algemeen belang (volksgezondheid, wetenschappelijk onderzoek, belastingen).

2. U kunt uw gegevens meenemen van het ene bedrijf naar het andere

‘Dataportabiliteit’ is een nieuw principe in de privacywetgeving. Voortaan kunt u van een bedrijf eisen dat het een bestand met uw gegevens doorgeeft aan een ander bedrijf.

De functie kan een goede zaak zijn voor de concurrentie tussen dienstverleners. Zo zou u uw energieleverancier kunnen verplichten uw verbruiksprofiel door te geven aan een prijsvergelijkingssite, zodat die een energieleverancier met betere voorwaarden kan zoeken.

Of stel dat u klant bent bij de muziekstreamingdienst Spotify en een beter aanbod krijgt bij een andere dienst. Dankzij de GDPR wordt het dan mogelijk over te stappen met behoud van playlists en voorkeuren.

Hoe de functie precies zal worden toegepast, is nog niet duidelijk. De dataoverdracht wordt pas zinvol als bedrijven het gestandaardiseerd doen, zodat de consument zijn gegevens met één klik van partij A naar partij B kan versluizen.

3. U hoeft zich niet meer zomaar in een hokje te laten stoppen

De GDPR legt strengere regels op voor de ‘geautomatiseerde verwerking’ van persoonsgegevens. Daaronder valt ook het fenomeen ‘profiling’, waarbij een algoritme u op basis van uw gegevens in een bepaald hokje stopt. Denk aan de online advertenties op basis van uw surfgedrag.

Het tracken van uw surfgedrag met cookies blijft toegelaten (mits toestemming, zoals vandaag), maar als bedrijven die gegevens willen gebruiken om u gerichter te benaderen, moeten ze uw toestemming vragen.

Beslissingen die een belangrijke impact kunnen hebben op consumenten, zoals het weigeren van een verzekeringscontract of een krediet, mogen niet enkel door een computer op basis van profieldata worden genomen.

4. U krijgt meer controle over uw mails en uw brievenbus

De meeste Europese landen hanteren al het principe van de ‘opt-in’: bedrijven mogen alleen mails en post sturen naar wie daarvoor zijn toestemming gaf. Dat blijft zo, maar de regels worden strenger. De ‘opt-in’ moet duidelijk zijn omschreven, mag geen deel uitmaken van ruimere voorwaarden en mag niet standaard aangevinkt zijn. En u moet altijd de mogelijkheid hebben om uw toestemming weer in te trekken.

Organisaties die al een adressenbestand gebruiken, moeten nagaan of alle mensen in dat bestand hun toestemming hebben gegeven volgens de nieuwe regels. Indien niet moeten ze opnieuw om toestemming vragen.

5. Telemarketing kan alleen met uw toestemming

De GDPR-regels laten in principe niet toe dat bedrijven zonder toestemming contact met u opnemen. Er zijn wel enkele uitzonderingen. De belangrijkste is het ‘gerechtvaardigd belang’. Weegt het belang van het bedrijf zwaarder dan uw privacy, dan mag het u toch contacteren zonder toestemming.

‘Dat kan voor contacten met klanten die in het verlengde liggen van een product of een dienst die eerder werden verkocht’, zegt de Privacycommissie. Een autodealer mag wel een brochure met de nieuwe modellen sturen naar iemand aan wie hij enkele jaren geleden een auto verkocht. Maar een energieleverancier mag niet meer zomaar mensen opbellen met een commercieel aanbod. De draagwijdte van die uitzondering moet nog verder worden verduidelijkt door de Europese privacyregulator of via de rechtspraak.