Praktische gids privacy in de onderneming – 2017

Beschrijving

Auteur: Caproni M. ; De Smedt S.

Type werk: Monografie

Uitgever: Wolters Kluwer, Mechelen 2017

Aantal pagina's: 295 P.

Barcode: GT00008360

ISBN: 9789046584347

Beschikbaar: ja

Uitleeninformatie

Deel van:

Aantal exemplaren: 1

Uitleenbaar: Ja

Plaatskenmerk:

INFO 7 CAPR 2017

Korte inhoud:

Inhoudstabel:

Voorwoord . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . V
Deel 1. Inleiding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
Hoofdstuk 1. Inleiding en korte achtergrondschets . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.1. Wat is het opzet van dit boek? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.2. Met welke wetgevende teksten moet ik rekening houden? . . . . . . 4
1.2.1. De Belgische Privacywet van 1992 . . . . . . . . . . . . . . . . . 5
1.2.2. De Europese Privacyrichtlijn van 1995 . . . . . . . . . . . . . . 5
1.2.3. De Algemene Verordening Gegevensbescherming
(AVG of GDPR) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.2.4. De Telecommunicatiewet . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.2.5. Het Wetboek Economisch Recht . . . . . . . . . . . . . . . . . . . 8
1.2.6. De Belgische Camerawet . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.2.7. Arbeidswetgeving en privacygerelateerde cao’s . . . . . . . . 8
1.3. Wie houdt toezicht op de privacywetgeving? . . . . . . . . . . . . . . . . . 9
1.3.1. De ‘toezichthoudende autoriteiten’ . . . . . . . . . . . . . . . . . 9
1.3.2. De Belgische Privacycommissie . . . . . . . . . . . . . . . . . . . . 10
1.3.3. De Artikel 29-Werkgroep (“WP29”) . . . . . . . . . . . . . . . . 11
1.4. Wat verandert er nu precies vanaf 25 mei 2018? . . . . . . . . . . . . . . 11
Deel 2. Wettelijke verplichtingen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
Hoofdstuk 2. Toepassingsgebied en algemene beginselen van de privacywetgeving: wat u zeker moet weten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.1. Wanneer val ik binnen het toepassingsgebied van de wetgeving bescherming persoonsgegevens? . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.1.1. Wat moet ik verstaan onder ‘persoonsgegevens’? . . . . . . 16
2.1.1.1. Mogelijkheid tot directe of indirecte identificatie van een levende persoon . . . . . . . . . . . . . 16
2.1.1.2. Verschil met geanonimiseerde gegevens . . . . . 17
2.1.1.3. In welke categorieën kunnen ‘persoonsgegevens’ worden ingedeeld? . . . . . . . . . . . . . . . . . 19
2.1.1.4. Vallen professionele gegevens hier ook onder? 21
2.1.2. Wanneer ‘verwerk’ ik persoonsgegevens? . . . . . . . . . . . . 22
2.2. Hoe weet ik of ik de hoedanigheid van ‘verantwoordelijke’ of van ‘verwerker’ heb? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2.2.1. Wie is ‘verantwoordelijke’ en wie is ‘verwerker’? . . . . . . 23
2.2.2. Wat is nu het belang van dit onderscheid? . . . . . . . . . . . . 24
2.3. Is het relevant in welk land mijn bedrijf gevestigd is? . . . . . . . . . . 25
2.3.1. Relevantie onder de Belgische Privacywet . . . . . . . . . . . . 25
2.3.2. Relevantie onder de algemene Verordening Gegevensbescherming . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
2.4. Wat moet ik doen om persoonsgegevens op een ‘rechtmatige’ wijze te verwerken? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.4.1. Op welke manier mag/moet ik persoonsgegevens verwerken? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.4.1.1. Met naleving van de zes basisbeginselen en principes van ‘privacy by design’ en ‘privacy by default’ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
2.4.1.2. Op een rechtmatige, behoorlijke en transparante manier . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
2.4.1.3. Voor specifieke, legitieme, en vooraf bepaalde doeleinden (‘doelbinding’) . . . . . . . . . . . . . 41
2.4.1.4. Door de hoeveelheid gegevens die u verwerkt waar mogelijk te minimaliseren . . . . . . . 42
2.4.1.5. Door persoonsgegevens regelmatig bij te werken . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
2.4.1.6. Door de duurtijd van de opslag van persoonsgegevens te beperken . . . . . . . . . . . . . . . 43
2.4.1.7. Door de integriteit en vertrouwelijkheid van persoonsgegevens te waarborgen . . . . . . . . . . . 44
2.4.2. Wat zijn mijn andere wettelijke verplichtingen (als verantwoordelijke/ verwerker)? . . . . . . . . . . . . . . . . . 45
2.5. Waar moet ik op letten wanneer ik ‘gevoelige gegevens’ verwerk? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
2.5.1. Mag ik zomaar gezondheidsgegevens of andere gevoelige gegevens verwerken? . . . . . . . . . . . . . . . . . . . . 46
2.5.2. Gelden dezelfde regels voor strafrechtelijke gegevens? . . 48
2.6. Wat met gedragscodes en certificering? . . . . . . . . . . . . . . . . . . . . . 48
Hoofdstuk 3. Nieuwe AVG-verplichtingen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
3.1. Moet ik een aangifte doen bij de Belgische Privacycommissie of een voorafgaandelijke goedkeuring bekomen? . . . . . . . . . . . . . 51
3.2. Wat is een ‘DPO’ en moet ik er een hebben? . . . . . . . . . . . . . . . . . 52
3.2.1. Moet ik verplicht een DPO aanstellen? . . . . . . . . . . . . . . 53
3.2.2. Wie moet ik hiervoor aanstellen? . . . . . . . . . . . . . . . . . . . 56
3.2.3. Kies ik best voor een werknemer of voor een externe DPO, zoals een consultant of advocaat? . . . . . . . . . . . . . . 57
3.2.4. Welke rol zal deze persoon hebben binnen mijn onderneming? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
3.2.5. Zijn er nog andere aandachtspunten bij het aanstellen van een DPO? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
3.2.6. Kan ik binnen mijn groep van vennootschappen afspreken dat er één DPO wordt aangesteld voor de gehele groep? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
3.3. Het register van verwerkingsactiviteiten: hoe, wat en waarom? . . 62
3.3.1. Wat is de bedoeling achter de verplichting om een register van verwerkingsactiviteiten bij te houden? . . . . . 62
3.3.2. Moet elk bedrijf een register van verwerkingsactiviteiten bijhouden? Ook KMO’s? . . . . . . . . . . . . . . . . . . . . . . 63
3.3.3. Welke vorm moet een register van verwerkingsactiviteiten aannemen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
3.3.4. Volstaat het om de informatie die ik voorheen al in het publieke register heb aangemeld, over te nemen in een intern document? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66
3.3.5. Welke informatie moet ik in mijn register van verwerkingsactiviteiten opnemen? . . . . . . . . . . . . . . . . . . . . . . . 66
3.3.6. Hoe lang moet ik dergelijk register bijhouden nadat de betrokken verwerking beëindigd is? . . . . . . . . . . . . . . . . . 70
3.4. De ‘Privacy Impact Assessment’ of ‘PIA’: wanneer en hoe moet ik dergelijke analyse uitvoeren? . . . . . . . . . . . . . . . . . . . . . . 70
3.4.1. Wat houdt deze nieuwe verplichting precies in? . . . . . . . 70
3.4.2. Hoe weet ik of er sprake is van een ‘waarschijnlijk hoog risico’? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
3.4.3. Zijn er richtlijnen over het uitvoeren van een Privacy Impact Assessment (PIA)? . . . . . . . . . . . . . . . . . . . . . . . . 73
3.4.4. Wat is dan het verschil met de ‘voorafgaande raadpleging’? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
3.4.5. Schematisch samengevat . . . . . . . . . . . . . . . . . . . . . . . . . 76
Hoofdstuk 4. Welke rechten hebben individuen onder de privacywetgeving en hoe moet ik hiermee omgaan? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79
4.1. Algemeen kader: welke rechten hebben ‘betrokkenen’? . . . . . . . . 79
4.2. Welke rechten hebben betrokkenen bij de aanvang van een verwerkingsactiviteit? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
4.2.1. Recht op informatie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
4.2.2. Recht op verzet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
4.2.2.1. Wanneer kan dit recht worden uitgeoefend? . . 81
4.2.2.2. Bijzondere aandachtspunten bij het recht op verzet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
4.3. Welke rechten hebben betrokkenen tijdens de duurtijd van de verwerking? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
4.3.1. Recht op toegang/inzage . . . . . . . . . . . . . . . . . . . . . . . . . . 82
4.3.1.1. Welke informatie valt onder het recht op toegang/inzage? . . . . . . . . . . . . . . . . . . . . . . . . 83
4.3.1.2. Bijzondere aandachtspunten bij het recht op toegang/inzage . . . . . . . . . . . . . . . . . . . . . . . . . 83
4.3.2. Recht op verzet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84
4.3.3. Recht op verbetering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84
4.3.4. Recht op overdraagbaarheid van gegevens . . . . . . . . . . . . 85
4.3.4.1. Wanneer kan dit recht worden uitgeoefend? . . 86
4.3.4.2. Wat houdt de ‘overdraagbaarheid’ van gegevens precies in? . . . . . . . . . . . . . . . . . . . . . . . . 86
4.3.4.3. Zijn er ook uitzonderingen op het recht op overdraagbaarheid? . . . . . . . . . . . . . . . . . . . . . 87
4.3.4.4. Geldt het recht op overdraagbaarheid ook voor hr-gegevens? . . . . . . . . . . . . . . . . . . . . . . 88
4.3.4.5. Bijzondere aandachtspunten bij het recht op overdraagbaarheid van persoonsgegevens . . . . 89
4.3.5. Recht op beperking van de gegevensverwerking . . . . . . . 90
4.3.5.1. Wanneer kan dit recht worden uitgeoefend? . . 90
4.3.5.2. Wat moet ik verstaan onder een ‘beperking’ van persoonsgegevens? . . . . . . . . . . . . . . . . . . 90
4.3.5.3. Bijzondere aandachtspunten bij het recht op gegevensbeperking . . . . . . . . . . . . . . . . . . . . . . 91
4.4. Welke rechten hebben betrokkenen om een gegevensverwerking te laten eindigen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
4.4.1. Recht op verzet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
4.4.2. Beperking . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
4.4.3. Overdraagbaarheid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
4.4.4. Recht op gegevens-wissing (‘recht om vergeten te worden’) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
4.4.4.1. Wanneer kan dit recht worden uitgeoefend? . . 93
4.4.4.2. Zijn er ook uitzonderingen op het ‘recht om vergeten te worden’? . . . . . . . . . . . . . . . . . . . . 94
4.5. Recht om klacht in te dienen/recht op schadevergoeding . . . . . . . 94
4.5.1. Wanneer hebben betrokkenen een klachtrecht? . . . . . . . . 94
4.5.2. Wanneer kan een betrokkene schadevergoeding eisen? . . 95
4.6. Hoe moet ik omgaan met verzoeken van betrokkenen (tot inzage, verbetering, beperking, wissing, enz.)? . . . . . . . . . . . . . . . . . . . . . 96
Hoofdstuk 5. Doorgifte en uitwisseling van persoonsgegevens . . . . . . . . . . . . . . . . . . . 99
5.1. Zijn er beperkingen op het doorsturen van persoonsgegevens naar andere landen of het opslaan van gegevens (op servers) in andere landen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
5.1.1. Binnen de EER: vrije circulatie van persoonsgegevens . . 100
5.1.2. Buiten de EER: belangrijke aandachtspunten . . . . . . . . . . 100
5.1.2.1. Wat is de ‘witte lijst’ en welke landen staan op deze lijst? . . . . . . . . . . . . . . . . . . . . . . . . . . . 100
5.1.2.2. Wanneer mag ik persoonsgegevens doorsturen naar landen die niet op deze lijst staan? . . . 102
5.1.3. Wat zijn ‘BCRs’ en ‘SCCs’ en hoe kies ik het best passende type waarborgen? . . . . . . . . . . . . . . . . . . . . . . . 104
5.1.4. Wat met gedragscodes en certificering? . . . . . . . . . . . . . . 106
5.2. Hoe zit het nu precies met het doorzenden van persoonsgegevens naar de VS? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 107
5.3. Wat met de UK na Brexit? Mag ik dan plots geen persoonsgegevens meer doorsturen naar het Verenigd Koninkrijk? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
Hoofdstuk 6. Beveiliging van persoonsgegevens en gegevenslekken . . . . . . . . . . . . . . . 109
6.1. In hoeverre moet ik mijn databanken met persoonsgegevens beveiligen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
6.1.1. Beveiliging als ‘verantwoordelijke’ . . . . . . . . . . . . . . . . . 109
6.1.2. Beveiliging als ‘verwerker’ . . . . . . . . . . . . . . . . . . . . . . . . 110
6.1.3. Wanneer zijn beveiligingsmaatregelen ‘passend’? . . . . . . 110
6.1.4. Verdere aanbevelingen van de Privacycommissie . . . . . . 113
6.2. Wat moet ik doen bij een ‘gegevenslek’? . . . . . . . . . . . . . . . . . . . . 114
6.2.1. Wat is een ‘gegevenslek’? . . . . . . . . . . . . . . . . . . . . . . . . . 114
6.2.2. Welke risico’s zijn verbonden aan een gegevenslek? . . . . 115
6.2.3. Hoe kan ik preventief handelen? . . . . . . . . . . . . . . . . . . . 116
6.2.4. Hoe moet ik reactief handelen? Moet ik alle gegevenslekken melden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116
6.3. Permanente opvolging en evaluatie van beveiligingsmaatregelen: hoe begin ik eraan? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
6.3.1. Belang van een beveiligingsbeleid . . . . . . . . . . . . . . . . . . 119
6.3.2. Inhoud van een beveiligingsbeleid: . . . . . . . . . . . . . . . . . 120
6.3.3. Implementatie van een beveiligingsbeleid en permanente opvolging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
6.3.4. Wat met ISO of andere certificatie? . . . . . . . . . . . . . . . . . 122
6.4. Bijzondere – sectorspecifieke wetgeving . . . . . . . . . . . . . . . . . . . . 124
6.4.1. Financiële instellingen . . . . . . . . . . . . . . . . . . . . . . . . . . . 124
6.4.2. De telecomsector . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125
6.4.3. De omzetting van de NIS-Richtlijn: valt u onder de bijkomende verplichtingen voor ‘aanbieders van essentiële diensten’ en ‘digitale dienstverleners’? . . . . . . . . . . 126
6.5. Is het nuttig om een cyberrisicoverzekering af te sluiten? . . . . . . . 130
Hoofdstuk 7. Wat zijn de risico’s indien ik de privacywetgeving niet naleef? . . . . . . . . 133
7.1. Kunnen de toezichthoudende autoriteiten een onderzoek voeren en bepaalde boetes opleggen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 133
7.2. Hoe verloopt een klachtenprocedure onder de AVG? . . . . . . . . . . 136
7.3. Wat zijn de arbeidsrechtelijke risico’s? . . . . . . . . . . . . . . . . . . . . . 137
7.4. Zijn er nog andere risico’s verbonden aan de niet-naleving van de privacywetgeving? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
Deel 3. In de praktijk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
Hoofdstuk 8. Policies, disclaimers en verklaringen: welke documenten moet ik opstellen en wat moet ik hierin vermelden? . . . . . . . . . . . . . . . . . . . . . . . 141
8.1. Een privacy policy: hoe begin ik eraan en wat moet ik hierin vermelden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
8.1.1. Hoe begin ik aan het opstellen van een privacy policy? . . 141
8.1.2. Welke informatie moet ik in mijn privacy policy opnemen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 142
8.1.3. Wat indien ik de persoonsgegevens niet van de betrokkene zelf verkregen heb? . . . . . . . . . . . . . . . . . . . . . . . . . 144
8.1.4. Praktische tips bij het opstellen en meedelen van een privacy policy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145
8.2. Heb ik nog een afzonderlijke ‘cookies policy’ nodig? . . . . . . . . . . 146
8.2.1. Welke informatie moet ik in mijn cookies policy opnemen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
8.2.2. Wanneer heb ik een ‘banner’ nodig om cookietoestemming te vragen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 148
8.3. Heb ik ook nog andere documenten of disclaimers nodig? . . . . . . 149
8.3.1. Wanneer u gegevens verzamelt in het kader van een samenwerkingsverband . . . . . . . . . . . . . . . . . . . . . . . . . . . 150
8.3.2. Noodzaak van een contract tussen verantwoordelijke en verwerker . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 150
8.3.3. Wat moet ik zeker opnemen in mijn contract met een dienstverlener? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
Hoofdstuk 9. Gebruik van klantengegevens voor direct marketing en profiling: do’s-and-don’ts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
9.1. Moet ik steeds ‘opt-ins’ verzamelen wanneer ik marketingmailings wil versturen? . . . . . . . . . . . . . . . . . . . . . . . . . 153
9.1.1. Wat is elektronische direct marketing? . . . . . . . . . . . . . . . 153
9.1.2. Aan welke vereisten moet de toestemming voldoen? Moet ik steeds een hokje laten aanvinken? . . . . . . . . . . . . 155
9.1.3. Zijn er ook uitzonderingen op deze regel? Of moet ik in alle gevallen toestemming vragen? . . . . . . . . . . . . . . . . 156
9.1.4. Moet ik bij het versturen van elektronische reclame ook nog aan andere privacyregels denken? . . . . . . . . . . . . 157
9.1.5. Wat bij niet-elektronische direct marketing? . . . . . . . . . . 158
9.2. Mag ik databanken of mailinglijsten aankopen van een professionele verkoper? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 160
9.3. Mag ik zelf mijn databank verkopen of verhuren? Wat met het intra-groep uitwisselen van persoonsgegevens? . . . . . . . . . . . . 161
9.4. In welke mate moet ik rekening houden met de ‘bel-menietlijst’?
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
9.5. Wat zijn de regels inzake profilering? . . . . . . . . . . . . . . . . . . . . . . 163
9.5.1. Profilering vs. geautomatiseerde besluitvorming . . . . . . . 163
9.5.2. Informatieplicht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 164
9.5.3. Profilering voor marketingdoeleinden . . . . . . . . . . . . . . . 164
Hoofdstuk 10. Verwerking van gegevens in het kader van een overname of overdracht van bepaalde activa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
10.1. Bescherming van persoonsgegevens in de verschillende fases van een overnameproces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
10.2. Verkennende gesprekken – non-disclosure agreement . . . . . . . . . 168
10.3. Het duediligenceonderzoek . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 168
10.3.1. Datarooms: zijn ze geoorloofd? . . . . . . . . . . . . . . . . . . . . 169
10.3.2. Onder welke voorwaarden? . . . . . . . . . . . . . . . . . . . . . . . 169
10.3.2.1. De relatie met de beheerder van de dataroom . 170
10.3.2.2. De relatie met de kandidaat-koper en diens adviseurs die toegang hebben tot de dataroom 170
10.3.2.3. Technische beperkingen . . . . . . . . . . . . . . . . . . 171
10.3.2.4. De inhoud van de dataroom . . . . . . . . . . . . . . . 171
10.3.2.5. Informatie aan de betrokkenen . . . . . . . . . . . . . 172
10.3.3. Het duediligenceonderzoek zelf: is de targetvennootschap compliant? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
10.4. Bij het opstellen van de overdrachtsdocumentatie . . . . . . . . . . . . . 173
10.5. Tussen signing en closing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 174
10.6. Na de overname . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 176
10.6.1. In geval van een asset deal . . . . . . . . . . . . . . . . . . . . . . . . 176
10.6.2. In geval van een share deal . . . . . . . . . . . . . . . . . . . . . . . . 176
10.6.3. Mag de overdrager kopieën bijhouden? . . . . . . . . . . . . . . 177
10.6.4. Verdere samenwerking tussen overdrager en overnemer . 177
Hoofdstuk 11. Wat zijn de wettelijke regels omtrent gebruik van veiligheidscamera’s? . . 179
11.1. Algemene regels omtrent camerabewaking . . . . . . . . . . . . . . . . . . 179
11.1.1. Wanneer is de Belgische Camerawet van toepassing? . . . 179
11.1.2. Moet ik toestemming vragen vooraleer ik camera’s installeer? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
11.1.3. Wat met het pictogram dat vaak gebruikt wordt? Is dit verplicht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 182
11.1.4. Mag ik realtime beelden bekijken? . . . . . . . . . . . . . . . . . . 184
11.1.5. Hoe lang mag ik de opnames bewaren? . . . . . . . . . . . . . . 184
11.1.6. Wie mag/moet ik toegang geven tot de opgenomen beelden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
11.2. Zijn de regels anders bij camerabewaking op de werkvloer? . . . . 186
11.2.1. Wanneer is cao nr. 68 van toepassing? . . . . . . . . . . . . . . . 186
11.2.2. Wanneer mag ik filmen? . . . . . . . . . . . . . . . . . . . . . . . . . . 187
11.2.3. Welke beperkingen gelden? . . . . . . . . . . . . . . . . . . . . . . . 188
11.2.4. Welke procedurevoorschriften moet ik naleven? . . . . . . . 188
11.2.4.1. Informatie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 188
11.2.4.2. Consultatie . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
11.2.5. Bijkomende verplichtingen wanneer de gemaakte beelden bewaard worden . . . . . . . . . . . . . . . . . . . . . . . . . 189
11.2.6. En wat met geheime of verborgen camera’s? . . . . . . . . . . 190
11.2.6.1. Geheime camera’s . . . . . . . . . . . . . . . . . . . . . . 190
11.2.6.2. Verborgen camera’s . . . . . . . . . . . . . . . . . . . . . 191
11.2.7. Moet ik de camerabewaking aangeven bij de Privacycommissie? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
11.2.8. Dashcams . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
11.2.8.1. Is cao nr. 68 ook van toepassing op dashcams? 191
11.2.8.2. Onder welke voorwaarden kunnen dashcams geïnstalleerd worden in de wagen van een werknemer? . . . . . . . . . . . . . . . . . . . . . . . . . . . 192
11.2.8.3. Registratie van een aanrijding: bijzondere aandacht . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 194
11.2.8.4. Wat is de bewijswaarde van beelden genomen met een dashcam? . . . . . . . . . . . . . . . . . . 195
Hoofdstuk 12. Rijksregisternummer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
12.1. Mag ik rijksregisternummers gebruiken? . . . . . . . . . . . . . . . . . . . . 197
12.1.1. De voordelen van het gebruik van het rijksregisternummer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
12.1.2. Wettelijk verbod op het gebruik van rijksregisternummers . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
12.1.3. Machtiging tot gebruik van rijksregisternummers . . . . . . 197
12.1.4. Gebruik door werkgevers . . . . . . . . . . . . . . . . . . . . . . . . . 198
12.1.4.1. Eng geïnterpreteerd . . . . . . . . . . . . . . . . . . . . . 198
12.1.4.2. Gebruik voor andere doeleinden . . . . . . . . . . . 198
Hoofdstuk 13. Toestemming werknemer . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
13.1. Kan ik mij beroepen op de toestemming van een (kandidaat-) werknemer om zijn gegevens te verwerken? . . . . . . . . . . . . . . . . . 201
13.1.1. Vrije toestemming? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
13.1.2. Gevoelige gegevens: bij KB geregeld  toestemming is geen grond . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
13.1.3. Wat zegt de AVG? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 202
13.1.4. Wat met sollicitanten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
Hoofdstuk 14. Recrutering en aanwerving . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
14.1. Mag ik de referenties van een kandidaat checken? . . . . . . . . . . . . 205
14.2. Mag ik een kandidaat screenen op sociale media? . . . . . . . . . . . . . 205
14.3. Mag ik een kandidaat vragen om een uittreksel van zijn strafregister voor te leggen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
14.3.1. Functies waarvoor de wet of de toezichthouder een blanco strafregister vereist . . . . . . . . . . . . . . . . . . . . . . . . 206
14.3.2. Functies waarvoor een blanco strafregister niet door de wet of de toezichthouder vereist is . . . . . . . . . . . . . . . . . . 207
14.3.3. Wat als een commerciële overeenkomst mij oplegt het strafblad van mijn werknemers te controleren? . . . . . . . . 208
14.4. Mag ik onderzoek doen naar de kredietwaardigheid van een kandidaat? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 209
14.5. Mag ik een kandidaat een medische onderzoek laten afleggen? . . 209
14.6. Mag ik een kandidaat vragen een persoonlijkheidstest of psychotechnische test af te leggen? . . . . . . . . . . . . . . . . . . . . . . . . 210
14.7. Welke vragen mag ik stellen aan een kandidaat? . . . . . . . . . . . . . . 211
14.7.1. Algemeen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
14.7.2. Mag ik aan een kandidate vragen of ze zwanger is of een kinderwens heeft? . . . . . . . . . . . . . . . . . . . . . . . . . . . 211
14.7.3. Mag ik aan kandidaat vragen of hij lid is van een vakbond? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212
14.8. Hoe lang kan ik gegevens over kandidaten bijhouden? . . . . . . . . 212
14.9. Mag u kandidaten opnemen in een wervingsreserve? . . . . . . . . . 213
14.10. Mijn bedrijf heeft meerdere vestigingen. Mag ik een sollicitatie voor een van de vestigingen overmaken aan een andere vestiging? . . . . . . . . . . . . . . . . . . . . 213
Hoofdstuk 15. Beheer van gegevens tijdens de tewerkstelling . . . . . . . . . . . . . . . . . . . . . 215
15.1. Publicatie van gegevens van werknemers . . . . . . . . . . . . . . . . . . . 215
15.1.1. Is een foto een persoonsgegeven? . . . . . . . . . . . . . . . . . . . 215
15.1.2. Mag ik voor intern gebruik een fotoboek aanleggen van mijn werknemers? . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
15.1.3. Kan ik werknemers verplichten een badge te dragen met foto en/of naam? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 216
15.1.4. Mag ik de afbeeldingen en contactgegevens van mijn werknemers op mijn website plaatsen? . . . . . . . . . . . . . . 216
15.1.5. Mag ik afbeeldingen van mijn werknemers gebruiken op mijn website, in promotiemateriaal, …? . . . . . . . . . . . 216
15.1.6. Kan de werknemer nadien zijn toestemming intrekken? . 217
15.2. Kan ik gegevens van mijn werknemers opvragen en communiceren aan (buitenlandse) overheidsinstellingen? . . . . . . . . . . . . . . . . . . . 217
15.3. Kan ik gegevens van mijn werknemers overmaken aan de moedervennootschap of de moedervennootschap toegang geven tot deze gegevens? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 218
15.4. Kan ik gegevens overmaken aan derden? . . . . . . . . . . . . . . . . . . . 219
15.4.1. Aan dienstverleners (verzekeringsmaatschappijen, sociaal secretariaat)? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
15.4.2. Aan contractspartijen of tegenpartijen? . . . . . . . . . . . . . . 219
15.4.3. Aan klanten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220
15.4.4. Mag ik aan de leasingmaatschappij communiceren welke werknemer rijdt met de wagen die geflitst werd? . 221
15.5. Welke gegevens mag ik opvragen van mijn werknemers? . . . . . . . 221
15.5.1. Mag ik vragen om relaties op het werk te melden? . . . . . 221
15.5.2. Mag ik vragen om externe functies of mandaten (van verwanten) te melden? . . . . . . . . . . . . . . . . . . . . . . . . . . . 222
15.6. Omgaan met loongegevens . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
Hoofdstuk 16. Bewaren/bewaringstermijnen van gegevens . . . . . . . . . . . . . . . . . . . . . . . 225
16.1. Hoe lang mag/moet ik gegevens van (ex-)werknemers bijhouden? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
16.1.1. Minimumtermijn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
16.1.2. Maximumtermijn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
16.2. In welk formaat moet of mag ik gegevens bewaren? . . . . . . . . . . . 227
Hoofdstuk 17. Biometrie – vingerafdruk – irisscans enz. . . . . . . . . . . . . . . . . . . . . . . . . 229
17.1. Kan ik een toegangscontrole aan de hand van vinger- of handpalmafdruk opleggen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229
17.2. Kan ik mijn kassa’s of andere toestellen uitrusten met een biometrische toegang? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
Inhoudstafel XVI Praktische gids privacy in uw onderneming – Wolters Kluwer 17.3. Aan welke technische vereisten moet voldaan zijn? . . . . . . . . . . . 230
17.4. Moet ik hierover voorafgaand overleg plegen met de ondernemingsraad? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
Hoofdstuk 18. Controle van internet, e-mail en andere elektronische communicatie . . . 235
18.1. Welke bepalingen moet ik respecteren? . . . . . . . . . . . . . . . . . . . . . 235
18.2. Cao nr. 81 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
18.2.1. Op welke communicatietechnieken is cao nr. 81 van toepassing? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
18.2.2. Om welke redenen mag ik de elektronische communicatie van werknemers controleren? . . . . . . . . . . . . . . . . . 236
18.2.3. Hoe moet ik te werk gaan? . . . . . . . . . . . . . . . . . . . . . . . . 238
18.3. Zijn er nog verdere beperkingen aan mijn controlerecht? . . . . . . . 242
18.4. Ik wil controleren maar ik heb de voorafgaande informatieprocedure niet gevolgd. Wat nu? . . . . . . . . . . . . . . . . . . 243
18.4.1. Gevallen waarin het resultaat van de controle wél aanvaard werd als bewijsmateriaal . . . . . . . . . . . . . . . . . . 243
18.4.2. Gevallen waarin het resultaat van de controle niét aanvaard werd als bewijsmateriaal: . . . . . . . . . . . . . . . . . 244
18.5. Mag ik toegang nemen tot de mailbox van een zieke of afwezige werknemer? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
18.6. Wat bij ontslag van een werknemer? . . . . . . . . . . . . . . . . . . . . . . . 246
18.7. Wat met zelfstandige consultants of managers? . . . . . . . . . . . . . . . 247
18.8. Doorzoeken van computers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
Hoofdstuk 19. Monitoring-technologieën telewerk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
19.1. Mag ik monitoring-technologieën gebruiken om misbruik van telewerk te voorkomen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Hoofdstuk 20. Telefonie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
20.1. Mag ik telefoongesprekken opnemen? . . . . . . . . . . . . . . . . . . . . . . 251
20.1.1. Artikel 8 EVRM . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 251
20.1.2. Artikel 314bis Strafwetboek . . . . . . . . . . . . . . . . . . . . . . . 251
20.1.3. Artikel 124 Telecommunicatiewet . . . . . . . . . . . . . . . . . . 252
20.1.4. Wettelijke uitzonderingen . . . . . . . . . . . . . . . . . . . . . . . . . 253
20.2. Mag een werkgever die geen bank of callcenter is de gesprekken van zijn personeel opnemen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 254
20.3. Kan ik een opgenomen gesprek gebruiken? . . . . . . . . . . . . . . . . . . 256
20.4. Mag ik gsm-facturen en lijsten met telefoongesprekken van werknemers inkijken? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257
20.5. Mag ik de smartphones die ik ter beschikking stel voorzien van ‘mobile device management’? . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258
Hoofdstuk 21. Bring your own device . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
21.1. Concept . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
21.2. Risico’s en aandachtspunten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259
21.3. Beveiliging van het toestel van de werknemer . . . . . . . . . . . . . . . . 259
21.4. Kan u inzage nemen in het toestel van de werknemer? . . . . . . . . . 260
21.5. Het opmaken van een ‘bring your own device’ policy . . . . . . . . . . 261
Hoofdstuk 22. Geolokalisatie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
22.1. Mag het? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263
22.2. Welke voorwaarden moeten worden nageleefd? . . . . . . . . . . . . . . 264
22.2.1. Finaliteit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
22.2.2. Toelaatbaarheid . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 264
22.2.3. Proportionaliteit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
22.2.4. Transparantie . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 265
22.3. Moet ik hierover overleggen met mijn ondernemingsraad of vakbondsafvaardiging ? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 266
Hoofdstuk 23. Voor fiscale doeleinden volgen via smartphone . . . . . . . . . . . . . . . . . . . . 267
23.1. Mag ik werknemers voor fiscale doeleinden (laten) volgen via hun smartphone? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
23.2. Mag u werknemers verplichten dergelijke applicatie te gebruiken? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
23.3. Waar moet u nog op letten? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 267
23.4. Hoe moet u de applicatie invoeren ? . . . . . . . . . . . . . . . . . . . . . . . 268
Hoofdstuk 24. Klokkenluidersregelingen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269
24.1. Algemene regeling . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269
24.1.1. Is een klokkenluidersregeling geoorloofd naar Belgisch recht? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269
24.1.2. Aan welke voorwaarden moet de klokkenluidersregeling voldoen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
24.2. Specifieke regeling voor de melding van financiële inbreuken . . . 272
24.2.1. Meldingen aan de FSMA . . . . . . . . . . . . . . . . . . . . . . . . . 272
24.2.2. Verplichte klokkenluidersregeling binnen financiële instellingen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 274
Hoofdstuk 25. Alcohol- en drugstests . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
25.1. Mag ik mijn werknemers onderwerpen aan alcohol- en drugstests? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275
25.2. Is de toestemming van de werknemer vereist? . . . . . . . . . . . . . . . . 276
25.3. Welke tests mag ik afnemen? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 276
25.3.1. Tests geviseerd door cao nr. 100 . . . . . . . . . . . . . . . . . . . . 276
25.3.2. Wat dan met bloed- of urinetests? . . . . . . . . . . . . . . . . . . 277
25.4. Kan een positieve test aanleiding geven tot sancties? . . . . . . . . . . 277 25.5. Kan ik een sollicitant onderwerpen aan een alcohol- of drugstest? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
25.6. Verwerking van de resultaten . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
Hoofdstuk 26. Fouillering en controleren van bezittingen van werknemers . . . . . . . . . . 281
26.1. Toegangscontroles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
26.2. Uitgangscontroles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282
26.2.1. Controle van de eigen werknemers . . . . . . . . . . . . . . . . . . 282
26.2.2. Controle van derden . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
26.3. Andere controles . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284
26.4. Wat te doen met onwillige werknemers? . . . . . . . . . . . . . . . . . . . . 285
Hoofdstuk 27. Gezondheidsgegevens van werknemers . . . . . . . . . . . . . . . . . . . . . . . . . . 287
27.1. Wat mag ik weten over de gezondheidstoestand van mijn werknemers? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
27.2. Wat is de rol van de preventieadviseur-arbeidsgeneesheer? . . . . . 287
27.3. Wat met het gezondheidsdossier van de werknemer? . . . . . . . . . . 288
27.4. Welke rechten heeft de werknemer inzake zijn medisch dossier ? . . 288
27.5. Mag u de afwezigheden van de werknemer bijhouden in zijn personeelsdossier? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289
27.6. Mag ik mijn werknemers een activity tracker geven? . . . . . . . . . . 290
Hoofdstuk 28. Mag ik mijn werknemers laten schaduwen door een privédetective? . . . 293
28.1. Voorwaarden voor toelaatbaarheid als bewijsmateriaal . . . . . . . . . 293
28.1.1. De Privédetectivewet . . . . . . . . . . . . . . . . . . . . . . . . . . . . 293
28.1.2. Artikel 22 Grondwet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 294
28.1.3. De Privacywet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 294
28.2. De waarde van het detectiveverslag . . . . . . . . . . . . . . . . . . . . . . . . 295
28.3. Het detectiveverslag en de timing van een ontslag om dringende reden . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295
Hoofdstuk 29. De toekomst: naar een voorspelbaardere privacyanalyse binnen de hr-context? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2

Paginanummer

Praktische gids privacy in de onderneming – 2017

Beschrijving

Uitleeninformatie

Korte inhoud:

Inhoudstabel:

Nieuwe zoekopdracht