allowCookies
Onthoudt uw voorkeuren voor cookietoestemming.
Gedocumenteerde bewaartermijn: 365 dagenType: HTTP-cookie
In november 2021 heeft de Belgische Gegevensbeschermingsautoriteit (GBA) een fitnessclub berispt omdat zij onrechtmatig persoonsgegevens van één lid had doorgestuurd naar een ander lid.
Door een fout in de boekhouding werden de betalingen van clublid A toegewezen aan het account van clublid B. Clublid A leek daardoor onterecht achterstallige lidgelden te hebben. De fout kwam aan het licht toen een medewerker van de club aan clublid A de contactgegevens van clublid B doorgaf. Daarbovenop deelde hij ook informatie over de meest recente clubbezoeken van dat lid. Zo konden de leden het “onder elkaar” uitklaren. De medewerker leek te zijn vergeten dat je persoonsgegevens niet zomaar (laat staan onbeperkt) mag verwerken of doorgeven.
Principes van doelbinding & gegevensminimalisatie
In de eerste plaats mogen persoonsgegevens enkel worden gebruikt voor het doel waarvoor ze werden verzameld. Het is duidelijk dat lid B zijn persoonsgegevens niet heeft gegeven om die – zonder toestemming – te laten delen met andere clubleden. Dat lid A (per vergissing) het lidgeld van lid B had betaald, verandert niets aan dat basisprincipe.
Daarnaast geldt dat persoonsgegevens op de minst ingrijpende manier en met zo weinig mogelijk gegevens moeten worden verwerkt. Dat noemen we het principe van gegevensminimalisatie.
De club moest de persoonsgegevens van beide leden wel gebruiken om hen te contacteren toen de fout werd ontdekt. Maar om het probleem op te lossen (de afrekening rechtzetten), was het helemaal niet nodig om de leden rechtstreeks met elkaar in contact te brengen. De club had elk van hen eenvoudig afzonderlijk kunnen contacteren. Het was niet nodig om op een “indringende” manier persoonsgegevens door te geven, laat staan om bijkomende irrelevante informatie, zoals details over recente clubbezoeken, mee te delen.
Tijdens haar onderzoek herinnerde de GBA aan de principes van gegevensminimalisatie en doelbinding. Ze beschouwde de inbreuk van de fitnessclub als een eenmalig incident door een menselijke fout. De club betreurde het incident en nam maatregelen om toekomstige GDPR-schendingen te vermijden. Daarom beperkte de GBA zich tot een berisping.
Maar het had erger kunnen aflopen… Overtredingen van de GDPR en haar basisprincipes kunnen verregaande gevolgen hebben: de boetes van de GBA kunnen oplopen tot 20.000.000 euro of 4% van de jaarlijkse wereldwijde omzet van een onderneming.
Met andere woorden: think before you link
Vragen over dit onderwerp?
Onze specialisten staan voor u klaar. Plan een vrijblijvend gesprek of stel uw vraag via ons contactformulier.
Plan een kennismaking
