14. Persoonsgegevens

GEGEVENS

14.1. Juridische basis

De Digitale Code van de KR is een uitgebreid regelgevend document dat de relaties in de digitale omgeving regelt, inclusief de verwerking van persoonsgegevens, digitale diensten, digitale platforms, digitale ecosystemen en grensoverschrijdende gegevensuitwisseling. Wat betreft de bescherming van persoonsgegevens stelt de code de rechten van de gegevenssubjecten vast, de verplichtingen van organisaties die gegevens verwerken, evenals de eisen aan beveiliging en grensoverschrijdende gegevensoverdracht.

Persoonsgegevens zijn digitale gegevens die informatie van persoonlijke aard bevatten. Dit is elke informatie die direct of indirect een persoon kan identificeren. Bijvoorbeeld naam, biometrische gegevens, persoonlijk identificatienummer, burgerlijke staat, e-mailadres, telefoonnummer, bankgegevens, gezondheidstoestand, nationaliteit

Een gegevenssubject is een natuurlijk persoon op wie de persoonsgegevens betrekking hebben. Bedrijven die persoonsgegevens van werknemers, klanten en andere natuurlijke personen verzamelen en gebruiken, zijn doorgaans de eigenaren van de persoonsgegevens en dragen de hoofdverantwoordelijkheid voor de naleving van de wetgeving op het gebied van gegevensbescherming.

Dergelijke bedrijven zijn verplicht een reeks organisatorische en technische maatregelen te implementeren:

• het implementeren van ingebouwde gegevensbescherming, dat wil zeggen rekening houden met de belangen van gebruikers en de levenscyclus van gegevens al in de ontwerpfase van digitale systemen;

• het bijhouden van een register van bewerkingen met persoonsgegevens in overeenstemming met de aanbevelingen van de toezichthouder;

• het aanstellen van een verantwoordelijke voor de verwerking van persoonsgegevens voor organisaties met meer dan tien werknemers;

• het organiseren van training voor medewerkers over de regels voor omgang met gegevens.

De Digitale Code stelt een uitputtende lijst vast van rechtmatige gronden voor de verwerking van persoonsgegevens. Verwerking is toegestaan indien deze noodzakelijk is voor ten minste één van de volgende doeleinden:

uitvoering van een overeenkomst waarbij het gegevenssubject partij is, of voorbereiding van de sluiting daarvan op initiatief van het subject

naleving door de eigenaar van de gegevens van wettelijke of regelgevende verplichtingen

bescherming van vitale belangen van het subject of een andere natuurlijke persoon; uitvoering van publieke of maatschappelijk nuttige taken (bescherming van mensenlevens, humanitaire, ecologische doeleinden)

verwezenlijking van legitieme belangen van de eigenaar van de gegevens of een derde, mits daarbij de rechten en vrijheden van het gegevenssubject niet worden geschonden

Bij afwezigheid van de genoemde gronden is verwerking alleen mogelijk op basis van toestemming van het subject, en uitsluitend voor de doeleinden waarvoor de toestemming is verkregen. De wet stelt strenge eisen aan de toestemming. Deze moet vrijwillig, specifiek, geïnformeerd en bewust zijn.

De betrokkenen van persoonsgegevens zijn voorzien van te beschermen rechten, waaronder:

• het recht op informatie over de verwerking;

• het recht op toegang tot hun persoonsgegevens;

• het recht op rectificatie en aanvulling van gegevens;

• het recht op gegevensoverdraagbaarheid;

• het recht op verwijdering van gegevens;

• het recht om bezwaar te maken tegen verwerking;

• het recht op beperking van verwerking.

De Digitale Code regelt ook de grensoverschrijdende overdracht van persoonsgegevens. Overdracht van gegevens naar buitenlandse staten is toegestaan onder naleving van de vereisten van de wetgeving van de KR, inclusief het verkrijgen van toestemming van de betrokkene, een internationale overeenkomst of andere gronden voorzien in de wetgeving.