Shortcuts die niet werken
We zien het regelmatig: ondernemers die denken dat ze met een slimme constructie onder de GDPR uit kunnen komen. Dat is begrijpelijk, de wet voelt als een last. Maar de realiteit is dat creatieve ontwijking je meer kost dan eerlijke compliance.
Hier zijn de meest voorkomende trucs en waarom ze niet werken.
”Ik zet gewoon een cookiebanner neer”
Een cookiebanner is geen wondermiddel. Als de banner niet goed is geconfigureerd, niet-essientiele cookies al worden geladen voor toestemming, of de keuze niet echt vrij is (bijvoorbeeld geen duidelijke weigerknop), dan voldoet het niet. Toezichthouders kijken niet naar de banner zelf, maar naar wat er technisch gebeurt.
”Ik laat iedereen een algemene toestemming tekenen”
Een brede, generieke toestemming (“ik ga akkoord met de verwerking van mijn gegevens”) voldoet niet. Toestemming moet specifiek zijn per doel, geinformeerd, en vrij gegeven. Je kunt niet alles bundelen in een enkel vakje.
”Ik bewaar de gegevens op een server buiten de EU”
De GDPR volgt de gegevens, niet de server. Als je gegevens verwerkt van mensen in de EU, maakt het niet uit waar je de gegevens opslaat. De wet is van toepassing.
”Ik noem het geen persoonsgegevens”
Het maakt niet uit hoe je het noemt. Als de gegevens direct of indirect herleidbaar zijn tot een persoon, zijn het persoonsgegevens. Een klantnummer dat gekoppeld kan worden aan een naam is een persoonsgegeven. Een IP-adres is een persoonsgegeven.
”Ik laat het door een verwerker doen, dan ben ik er niet verantwoordelijk voor”
Uitbesteden kan, maar de verantwoordelijkheid niet. Als verwerkingsverantwoordelijke blijf je verantwoordelijk voor wat er met de gegevens gebeurt, ook als je de verwerking uitbesteedt. Je moet een verwerkersovereenkomst afsluiten en toezicht houden.
”Ik heb een privacyverklaring, dus ik ben compliant”
Een privacyverklaring is een begin, maar het is slechts een van de vele verplichtingen. Zonder verwerkingsregister, zonder beveiligingsmaatregelen, zonder verwerkersovereenkomsten en zonder een proces voor datalekken en inzageverzoeken ben je niet compliant.
Wat wel werkt
Volg de intentie van de wet:
- Wees transparant over wat je doet met gegevens
- Verzamel niet meer dan nodig
- Beveilig wat je hebt
- Respecteer de rechten van betrokkenen
- Documenteer je keuzes
Het is minder werk dan de meeste ontwijkingsconstructies, en het werkt daadwerkelijk.
GDPRWise helpt je om stap voor stap aan alle verplichtingen te voldoen. Geen trucs, geen omwegen.