GDPR en emailcommunicatie

[Darkraver8]

Volgens de wet Algemene Verordening Gegevensbescherming hebben individuelen het recht om vergeten te worden.
Klanten die ons systeem afnemen werken met zulke individuen. Op zich geen probleem, dat zou volgend jaar allemaal GDPR compliant moeten zijn.

Echter zit ik nog met de volgende vraag: soms als er iets mis gaat in ons systeem (persoon kan niet geupdate /verwijderd/etc worden) en mailt de klant naar ons of wij dat kunnen doen. Dan vragen zij bijvoorbeeld "kunnen jullie voor mij Jan Janssen verwijderen?". Deze staan vervolgens in hun 'verzonden' email box en in ons email pakket (Gmail). ZIjn dat ook persoonsgegevens die geanonimiseerd moeten worden? En hoe?

[McKaamos]

Ik ben geen GDPR expert, maar er is toch zoiets als doelbinding?
Zolang je een doelbinding hebt mag je de gegevens hebben. Is de desbetreffende taak verricht, moeten de gegevens weer weg.
Dat betekent dat je de email moet weggooien nadat je klaar bent met wat je klant heeft gevraagd. Aan hun kant moeten ze zorgen dan hun verzonden mail ook verwijderd is, maar dat is niet jouw pakkie an.

[Yucon]

Goede vraag, nog nooit bij stilgestaan. Ik wil er wel bij opmerken dat het verschil tussen inbox en verzonden items een beetje kunstmatig is. Bijna iedereen behandelt deze twee anders, ook als het om archiveren gaat bijvoorbeeld. Maar eigenlijk zijn het dezelfde dingen.

[DJMaze]

McKaamos schreef op maandag 27 november 2017 @ 08:30:
Ik ben geen GDPR expert, maar er is toch zoiets als doelbinding?
Zolang je een doelbinding hebt mag je de gegevens hebben. Is de desbetreffende taak verricht, moeten de gegevens weer weg.
Dat betekent dat je de email moet weggooien nadat je klaar bent met wat je klant heeft gevraagd.

Correct, echter....
Als de wet en regelgeving bepaalt dat je gegevens langer moet bewaren (bijv. facturen 7 jaar) dan kan je niet die gegevens wissen omdat je ze dus 7 jaar moet bewaren.

[TheRookie]

McKaamos schreef op maandag 27 november 2017 @ 08:30:
Ik ben geen GDPR expert, maar er is toch zoiets als doelbinding?
Zolang je een doelbinding hebt mag je de gegevens hebben. Is de desbetreffende taak verricht, moeten de gegevens weer weg.
Dat betekent dat je de email moet weggooien nadat je klaar bent met wat je klant heeft gevraagd. Aan hun kant moeten ze zorgen dan hun verzonden mail ook verwijderd is, maar dat is niet jouw pakkie an.

Geeft rare situaties mbt "bewijslast" dat je iets op verzoek van een klant gedaan hebt; ook auditors zullen daar niet blij mee zijn

Ja, ik heb dat account ivm recht op vergeten verwijderd, maar als onderdeel van dat recht op vergeten heb ik óók de mail/communicatie waarin ik dat formele verzoek gekregen heb, moeten verwijderen ...

[Yucon]

TheRookie schreef op maandag 27 november 2017 @ 13:04:
[...]


Geeft rare situaties mbt "bewijslast" dat je iets op verzoek van een klant gedaan hebt; ook auditors zullen daar niet blij mee zijn


[...]

Denk ook eens aan een vraag "ik wil dat jullie alles van me verwijderen *en* me nooit meer benaderen".

Dat wordt wel een beetje lastig om te regelen denk ik

[McKaamos]

DJMaze schreef op maandag 27 november 2017 @ 12:58:
[...]

Correct, echter....
Als de wet en regelgeving bepaalt dat je gegevens langer moet bewaren (bijv. facturen 7 jaar) dan kan je niet die gegevens wissen omdat je ze dus 7 jaar moet bewaren.

Bewaarplicht is ook doelbinding
Alles wat er voor zorgt dat je de gegevens in bewaring moet houden, is doelbinding. Het doel is b.v. kunnen factureren. Dan is er een binding tussen kunnen factureren en het nodig hebben van de gegevens.
En als de belastingdienst b.v. zegt dat je een administratie van X jaar moet hebben, dan is dat ook een doelbinding.
ZOdra er geen doelbinding meer bestaat, ben je verplicht de gegevens te verwijderen. En als je dat niet doet, dan ben je alsnog verplicht om gehoor te geven aan de wens van de desbetreffende persoon om die gegevens alsnog te verwijderen.

Yucon schreef op maandag 27 november 2017 @ 18:36:
[...]

Denk ook eens aan een vraag "ik wil dat jullie alles van me verwijderen *en* me nooit meer benaderen".

Dat wordt wel een beetje lastig om te regelen denk ik

Zoals je het zo schetst, ja
Maar eigenlijk toch niet. Want als bedrijf mag je niet zomaar contact opnemen met willekeurige burgers zonder dat je kan aantonen dat je gegevens met hun medeweten hebt ontvangen en zij goedkeuring hebben gegeven aan het feit dat je contact op kan nemen.
Dus alles verwijderen zou sowieso al gelijk staan aan nooit meer contact opnemen

Uiteraard is de praktijk weerbarstiger dan de theorie, maar daar hebben we dan weer een Bel-me-niet-register voor. En dan kan je weer gaan klagen bij de OPTA als je wel gebeld wordt, etc.

[ Voor 31% gewijzigd door McKaamos op 27-11-2017 22:04 ]

[Killjoy]

McKaamos schreef op maandag 27 november 2017 @ 21:59:
[...]

Bewaarplicht is ook doelbinding
Alles wat er voor zorgt dat je de gegevens in bewaring moet houden, is doelbinding. Het doel is b.v. kunnen factureren. Dan is er een binding tussen kunnen factureren en het nodig hebben van de gegevens.
En als de belastingdienst b.v. zegt dat je een administratie van X jaar moet hebben, dan is dat ook een doelbinding.
ZOdra er geen doelbinding meer bestaat, ben je verplicht de gegevens te verwijderen. En als je dat niet doet, dan ben je alsnog verplicht om gehoor te geven aan de wens van de desbetreffende persoon om die gegevens alsnog te verwijderen.

Houd er wel rekening mee dat 'het doen bewaren van gegevens om aan de belastingwet te voldoen' een ander doel is dan 'het leveren van een product of dienst (en de daarmee samenhangende facturering)'. Dus dat betekent dat je moet administreren dat de gegevens alleen nog worden gebruikt voor het belastingdoel. Je mag de gegevens niet meer gebruiken voor het leveren van een product of dienst.