GDPR 2018 (wet bescherming persoonsgegevens)

Citaat:

---

Oorspronkelijk geplaatst door Tuxis_IE

Ter info: Ik gebruikte je als een bruggetje naar de omslachtigheid waar we mee moeten dealen. Je hebt dus een goed punt. Nu wordt dat in ons geval nog afgehandeld via de AV en privacy policy. Daar staat het wel in. Maar dat is dus niet voldoende.

Ook een dingetje waar we nog weinig over horen, je moet je policies in orde hebben. Een deugdelijke privacy policy op je website, en wat er in staat, dat moet je ook doen. Dus niet heel stoer tiepen dat je geen data aan derden levert en dan inderdaad de boekhouding afgeven aan je accountant :-)

---

Oh, ik kom nog steeds dingen tegen waar ik gewoon niet aan gedacht had, hoor. Die boekhouding bijvoorbeeld, dacht ik net dus inderdaad pas aan. Wat ik meer bedoelde met 'derden' is dat wij geen backups ergens naar een cloud duwen, niet onder water diensten hebben die we als reseller leveren, logs naar een dataminer sturen en dat soort dingen.
Hoe meer je erin duikt hoe meer je tegenkomt. Maar ja, daarom zijn we er ook al maanden mee bezig. (Toch maar eens een factuur sturen gaan GDPR bv of zo)...

En wat nu als je van boekhouder wijzigt? Nieuw GPDR contract opstellen en opnieuw laten tekenen door al je klanten?
Of je voegt een extra backup lokatie toe ergens in de cloud? Iedere keer dat contract aanpassen en goed laten keuren?

Gegevens aan derden e.d. hebben we al wel in de privacy policy staan, net zoals dat je kan verzoeken je gegevens te verwijderen (maar gevolg is dat je geen klant meer bent en diensten af kan nemen). Er staan in de policy wel e.e.a. genoemd over werk door derden, maar wellicht specifiek daar nog boekhouder / accountant bij vermelden.

De privacy policy zal bij alle serieuze partijen wel in orde zijn, net zoals de AV. Maar ja, theoretisch moet je vanaf mei dus eigenlijk met alle klanten een verwerkersovereenkomst hebben want zelfs de meest simpele sites loggen al een IP-adres. Daarnaast zorgen voor een soort draaiboek bij een datalek, actief klanten aansturen software te blijven updaten enzovoorts.

Als klein bedrijf tik je ook niet voor de lol even een flinke smak geld neer om alles juridisch te laten checken voor mei.

Citaat:

---

Oorspronkelijk geplaatst door Spyder01

Gegevens aan derden e.d. hebben we al wel in de privacy policy staan, net zoals dat je kan verzoeken je gegevens te verwijderen (maar gevolg is dat je geen klant meer bent en diensten af kan nemen). Er staan in de policy wel e.e.a. genoemd over werk door derden, maar wellicht specifiek daar nog boekhouder / accountant bij vermelden.

---

Ja en dat is dus ook nog zoiets. Officieel mag jij de gegevens van je klant bewaren voor zolang je de dienst levert. Een klant kan jou ook op elk moment verzoeken die gegevens te verwijderen.

Leuk, maar van de fiscus moet jij 7 jaar je administratie bewaren.

Citaat:

---

Oorspronkelijk geplaatst door Marin

Ja en dat is dus ook nog zoiets. Officieel mag jij de gegevens van je klant bewaren voor zolang je de dienst levert. Een klant kan jou ook op elk moment verzoeken die gegevens te verwijderen.

Leuk, maar van de fiscus moet jij 7 jaar je administratie bewaren.

---

Klopt. Dat is dan het volgende tegenstrijdige. Enorm papierwerk en in theorie op sommige vlakken onmogelijk door dingen zoals de bewaarplicht van 7 jaar boekhouding.

Citaat:

---

Oorspronkelijk geplaatst door Spyder01

Klopt. Dat is dan het volgende tegenstrijdige. Enorm papierwerk en in theorie op sommige vlakken onmogelijk door dingen zoals de bewaarplicht van 7 jaar boekhouding.

---

Nope, het recht om vergeten te worden geldt niet in alle gevallen. En één van die gevallen is indien er reeds een wettelijke verplichting bestaat om de gegevens te bewaren zoals bv de belastingwet.

Ik zit nu even deze (https://privacystore.nl/overeenkomst...rsovereenkomst) door te lopen, maar je kan toch bijna niet een standaard bewerkersovereenkomst maken voor alle klanten? Je moet met zoveel dingen rekening houden die je kan gaan verwerken. En als de klant beslist meer diensten te gaan leveren aan eindklanten waardoor er meer persoonsgegevens verwerkt gaan worden, moet je voor die klant de bewerkersovereenkomst aanpassen (als de klant dat wel aan je doorgeeft)

Citaat:

---

Oorspronkelijk geplaatst door stefantriep

Ik zit nu even deze (https://privacystore.nl/overeenkomst...rsovereenkomst) door te lopen, maar je kan toch bijna niet een standaard bewerkersovereenkomst maken voor alle klanten? Je moet met zoveel dingen rekening houden die je kan gaan verwerken. En als de klant beslist meer diensten te gaan leveren aan eindklanten waardoor er meer persoonsgegevens verwerkt gaan worden, moet je voor die klant de bewerkersovereenkomst aanpassen (als de klant dat wel aan je doorgeeft)

---

True, maar die dienst (aanpassen contacten) hoeft niet gratis te zijn natuurlijk.

Citaat:

---

Oorspronkelijk geplaatst door systemdeveloper

Nope, het recht om vergeten te worden geldt niet in alle gevallen. En één van die gevallen is indien er reeds een wettelijke verplichting bestaat om de gegevens te bewaren zoals bv de belastingwet.

---

Interessant. Dat is dan toch in de meeste gevallen het geval wanneer het gaat om bedrijfsvoering?

Ik lees hierboven toch een hoop dingen die niet helemaal kloppen hoor. Ik reageer even op de belangrijkste:

- Nergens in de GDPR staat dat een firewall het laatste onderhoud moet gehad hebben om dat die anders. De GDPR zegt dat je persoonsgegevens "adequaat" moet beveiligen, rekening houdend met het risico. Medische gegevens moet je dus anders gaan behandelen dan naam + emailadres van nieuwsbrief-bezoekers of ip-adressen - die inderdaad persoonsgegevens zijn, maar vaak niet zo'n enorm risico inhouden.

- Vandaar dat je inderdaad in een shared hosting moet vragen of, en welke persoonsgegevens je hosting klanten bewaren. Als dan iemand zegt dat ie op een shared hosting accountje van 50 eur per jaar een hele patiënten administratie draait, dan moet jij zeggen "euh, zullen we eens praten over een meer dedicated omgeving?".

- bijna alles van de verwerkersovereenkomst kan inderdaad in je AV. Enkel het soort gegevens niet, toch niet als je hosting doet. Biedt je nieuwsbrieven aan, dan zullen die persoonsgegevens misschien beperkt zijn tot naam + emailadres, wat je dan wel kan opnemen in je AV

- ja, je moet voor alle bestaande klanten een aanpassing doen: die verwerkersovereenkomst. Inderdaad, ook voor backup.

- je hoeft niet elke individuele sub-verwerker op te nemen in die overeenkomst. Neem je bv op "wij gebruiken een online-facturatieprogramma van een gekende Europese online dienst", dan kan je gerust van MoneyBird naar Exact Online veranderen zonder dat je de verwerkersovereenkomst moet aanpassen

Uhm... die subverwerkers...

'De verwerker gaat pas met een subverwerker in zee, wanneer voorafgaande schriftelijke toestemming van de verantwoordelijke is verkregen.'

Zelfs als je de boel verhuist naar een ander datacenter (= subverwerker) zou je daar in principe schriftelijk toestemming voor moeten hebben van de klant. Dit is dus ook zo als je de gegevens direct doorstuurt naar een andere boekhouder. Als een klant je toestemming geeft om zijn gegevens te delen met boekhouder A die zijn zaakjes (volgens de klant) veilig heeft en je besluit dan om zonder toestemming die gegevens bij een boekhouder B in Mexico onder te brengen, dan breek je de de keten in het proces van verwerking tussen de verwerkingsverantwoordelijke, verwerkers en subverwerkers.

Op https://www.informatiebeveiligingsdi...en-v1.00-2.pdf staat een factsheet waar dit letterlijk in staat.

Het BS level van de GDPR is weer een puntje gestegen...

Ik weet niet welke tekst jij quote, maar dat is een misquote van de GDPR. Artikel 28.2 spreekt over "... zonder voorafgaande specifieke of algemene schriftelijke toestemming". Een algemene toestemming "ik ga mijn backups opslaan bij een andere EU provider" (want boekhouder is een gek voorbeeld: ga jij gegevens van klanten-van-je-klanten aan je boekhouder bezorgen?) volstaat dus, zonder te moeten zeggen welke dat is...

Citaat:

---

Oorspronkelijk geplaatst door frankske

Ik weet niet welke tekst jij quote, maar dat is een misquote van de GDPR. Artikel 28.2 spreekt over "... zonder voorafgaande specifieke of algemene schriftelijke toestemming". Een algemene toestemming "ik ga mijn backups opslaan bij een andere EU provider" (want boekhouder is een gek voorbeeld: ga jij gegevens van klanten-van-je-klanten aan je boekhouder bezorgen?) volstaat dus, zonder te moeten zeggen welke dat is...

---

Ik heb het niet over klanten-van-klanten. Ik ben ook verwerker van de gegevens van mijn directe klanten middels mijn boekhouding en boekhouder?

En een algemene toestemming 'ik ga mijn backups ergens anders opslaan' is krom. Je kunt een algemene toestemming aan elke klant vragen maar niet voor een algemeen 'iets'. Dat 'iets' zal wel concreet omschreven moeten worden anders kan de klant het niet ondubbelzinnig goedkeuren of bezwaar tegen maken.

Citaat:

---

Oorspronkelijk geplaatst door systemdeveloper

Ik heb het niet over klanten-van-klanten. Ik ben ook verwerker van de gegevens van mijn directe klanten middels mijn boekhouding en boekhouder?

---

Voor die case heb je helemaal geen verwerkersovereenkomst nodig. Je directe klanten-gegevens zijn immers "jouw" gegevens (jij bent verwerkingsverwantwoordelijke, niet verwerker, van die gegevens).

Citaat:

---

Oorspronkelijk geplaatst door frankske

Voor die case heb je helemaal geen verwerkersovereenkomst nodig. Je directe klanten-gegevens zijn immers "jouw" gegevens (jij bent verwerkingsverwantwoordelijke, niet verwerker, van die gegevens).

---

Dus voor alle duidelijkheid; Wij zijn reseller van hosting pakketjes / servers bij een bepaalde hostingprovider.

1. Wij verkopen een pakket aan een klant. De site en mail worden gehost. Veelal sluiten we onderhoudscontracten af met onze klanten.
2. Wij sluiten een verwerkersovereenkomst met de klant. Als ik het goed begrepen heb vermelden wij in deze overeenkomst met de klant dat we gegevens doorgeven aan 'derden'. Moeten wij hier de naam vermelden van de betreffende hostingpartij? Dit zou namelijk het hele begrip van reseller onderuit helpen, aangezien we dan by by kunnen zeggen tegen onze winstmarge.
3. Wij moeten een verwerkersovereenkomst sluiten met de hostingpartij ?
4. Moet onze klant ook een verwerkersovereenkomst met de betreffende hostingpartij afsluiten?