GDPR in de vastgoedsector

GDPR
Bent u er klaar voor?
Mr. Maarten Verhaghe & Mr. Koen Vandenberghe

Wat is GDPR?
Van richtlijn naar wetgeving
Mr. Maarten Verhaghe
Mr. Koen Vandenberghe
 24 okt 1995: niet dwingende richtlijn 95/46/EC wordt
gevolgd door een aantal EU lidstaten.
 Richtlijnen moeten omgezet worden in nationale wetgeving
 Aanpassing Belgische Privacy Wet 8 december 1992
 27 april 2016: de Algemene Verordening
Gegevensverwerking wordt wet in elke EU lidstaat.
 Verordening is onmiddellijk van toepassing en staat boven
nationale wetgeving.
 Vanaf 25 mei 2018
 Boetes tot max 20M EUR of indien hoger 4% van de jaarlijkse
omzet

Wat is GDPR?

Wat is GDPR?
Het handelt over
 Persoonsgegevens van klanten, leveranciers, personeel, …
 Verwerken van persoonlijke data
 Rechtmatige verwerking
 Verantwoordingsplicht voor uw rechtmatigheid
 Bescherming van persoonsgegevens
 Rechten van betrokkenen

Persoonsgegevens binnen de GDPR
Welke categorieën persoonsgegevens?
Identificatie
(naam, adres, tel, mail, …)
Financieel
(inkomsten, rekeningen, beroep,
…)
Persoonlijke kenmerken
(leeftijd, geslacht, grote, gewicht,
… )
Leefgewoontes
(consumptie, interesse,
lidmaatschap, woning, …)
Gevoelige
(gezondheid,
seksualiteit, …)

Persoonsgegevens binnen de GDPR
Wat met professionele gegevens?
 Uitzondering op persoonsgegevens zijn de gegevens van rechtspersonen
Opgelet: mogelijk toch persoonsgegevens
 Eventueel contactgegevens bij klanten en leveranciers
 vb. direct marketing naar klant
 Naam.voornaam@bedrijf.com

De verwerking in de GDPR
 Heel ruime interpretatie
 Definitie:
“een bewerking of een geheel van bewerkingen met betrekking tot
persoonsgegevens of een geheel van persoonsgegevens, al dan niet
uitgevoerd via geautomatiseerde procedés, zoals het verzamelen,
vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen,
opvragen, raadplegen, gebruiken, verstrekken door middel van
doorzending, verspreiden of op andere wijze ter beschikking stellen,
aligneren of combineren, afschermen, wissen of vernietigen van
gegevens”
 Iedere mogelijke handeling die kan worden ondernomen
Wat wordt met verwerking bedoeld?

De toepassing van de GDPR
Het toepassingsgebied van de verordening?
GDPR
OndernemingEuropa

De toepassing van de GDPR
Welke ondernemingen?
Niet incidenteel Gevoelige gegevens Waarschijnlijk risico
Uitzondering op verwerkingsregister voor KMO’s tenzij…
Belgische Privacy Commissie voorziet geen uitzondering
voor KMO’s
Iedere onderneming zal dienen te voldoen aan de GDPR

Verplichtingen onder de GDPR
Welke verplichtingen rusten op de onderneming?
Informatie-
verplichting
Gegevens-
verwerkings-
register
Rechten van
betrokkenen
respecteren
Beveiliging en
melding van
datalekken
Contracten met
verwerkers
DPIA uitvoeren
Aanstellen DPO

Privacy compliance?
Privacy Policy
Cookie Policy
Gegevensverwerkingsregister
Verwerkingsovereenkomsten
Bring your own device – ICT gedragsprotocol – arbeidsreglement
Interne procedures rechten van betrokkenen
Interne procedure databreach

Privacy compliance?
Privacy Policy
Basis voor de volledige gegevensverwerking
- Welke gegevens worden verzameld;
- Welke verwerkingen vinden plaats;
- Hoe lang worden deze gegevens bewaard;
- De rechten van betrokkenen;
- …
Transparant & uitgelegd in een verstaanbare duidelijke taal.

Privacy compliance?
Privacy Policy
Opgelet!
- Onderscheid tussen particulieren en professionelen
- Policy op de website ≠ policy op een overeenkomst
Dit privacy beleid is als volgt opgebouwd:
I. Inleiding
II. Wie is de verantwoordelijke voor de verwerking ?
III. Welke categorieën van persoonsgegevens verwerkt X ?
IV. Voor welke doeleinden verwerkt X uw persoonsgegevens ?
1. Wettelijke verplichtingen
2. Contractuele relaties tussen X en u als klant
3. Gerechtvaardigde belangen van X
4. Specifiek gerechtvaardigd belang van X : conventionele direct marketing
5. Uw toestemming voor het verwerken en verzenden van elektronische reclame (elektronische direct marketing)
V. Aan wie maakt X uw persoonsgegevens over?
VI. Hoe lang worden uw persoonsgegevens bewaard ?
VII. Hoe worden uw persoonsgegevens beveiligd ?
VIII. Wat zijn uw rechten bij het verwerken van uw persoonsgegevens ?
1. Recht van inzage, verbetering, beperking, wissing, overdraagbaarheid van gegevens en van bezwaar
2. Recht van verzet tegen het verzenden van elektronische reclame
3. Recht om een klacht in te dienen

Privacy compliance?
• Opgesteld door een advocatenkantoor met
specialisatie in vastgoed en GDPR;
• Gericht op de activiteiten van de makelaar;
• Alle aspecten van het vastgoed in kaart brengt en
welke activiteiten er gevoerd worden;
• Geen ellenlange tekst met irrelevante zaken, maar een
duidelijke praktische tekst die de betrokkene duidelijk
inlicht van de professionele activiteiten binnen uw
onderneming.
Privacy Policy

Privacy compliance?
Cookie Policy
Duidelijke en precieze informatie
- Duidelijke en toegankelijk taal;
- Welke cookies gebruikt worden;
- Welke gegevens bewaard worden;
Opgelet:
Gebruik van cookies is geregeld in de Telecommunicatiewet
• Toestemming van de gebruiker is vereist
• Opt-in
• Uitzonderingen:
• Sessie cookies;
• Winkelmand op webshop

Privacy compliance?
Cookie Policy
• Opgesteld door een advocatenkantoor met
specialisatie in GDPR;
• Duidelijk en tranparant;
• Geen “legalees”
• Overeenkomstig de telecommunicatiewet.

Privacy compliance?
Gedetailleerde weergave van verwerkingsactiviteiten, maar
geen register van verwerkte gegevens.
Voor iedere verwerking dient een registratie te gebeuren:
Welke persoonsgegevens worden bewaard;
Wie is de verwerker;
Welke zijn de verwerkingsdoeleinden;
Rechtsgronden voor de verwerking;
Worden gegevens doorgegeven;
Welke zijn risico’s voor privacy bij verwerking;
De naam van de verwerkingsverantwoordelijke;
De contactgegevens van de actoren;

Privacy compliance?
De GBA kan te allen tijde verzoeken om dit register in te
kijken ter controle.
Vb. vraag tot inlichtingen.
GBA krijgt een overzicht van:
• De verwerkingsactiviteiten;
• De verwerkingsovereenkomsten;
• De doorgifte van gegevens;
• …

Privacy compliance?
• Belangrijkste activiteiten vooraf ingevuld;
• Overzichtelijk en gebruiksvriendelijk door
gebruik van een drop-out menu en
verklarende tabel;
• Aanwezigheid van incidentenregister
Dit register is ook een wettelijke verplichting maar
wordt veelal vergeten in de aanbiedingen van niet
gespecialiseerde spelers op de markt.

Privacy compliance?
Overeenkomst met de verwerker betreffende de verwerking van de toevertrouwde
gegevens
Volgende elementen moeten zeker in de overeenkomst opgenomen worden:
• Beveiliging van gegevens;
• Verwerking van gegevens;
• Rechten en verplichtingen verwerkingsverantwoordelijke;
• Rechten en verplichtingen verwerkers;
• Rechten en verplichting voor eventuele sub-verwerkers;
• Doorgifte van gegevens;
• …
Gekoppeld aan een bestaande overeenkomst (dienstverleningsovereenkomst,
licentieovereenkomst, ...)

Privacy compliance?
Opgelet!
- Wederzijdse rechten en verplichtingen
- Gevaar voor onevenwicht
- Verwerkingsovereenkomst is altijd de verantwoordelijkheid van de
verwerkingsverantwoordelijke
- Opletten voor:
- Bepalingen die niet kunnen gerealiseerd worden;
- Extra administratieve last
- Copy paste van overeenkomsten
- Kwaliteitslabels
- Vrijwaringsbedingen

Privacy compliance?
“De Verwerker werkt aantoonbaar in overeenstemming met ISO27001/ISO27002, en
heeft een passend, geschreven beveiligingsbeleid geïmplementeerd voor de verwerking
van Persoonsgegevens, waarin in ieder geval de in artikel 6.1 genoemde maatregelen
zijn gezet.”
“Wanneer niet afdoende voorzien is in hetzij de onder artikel 7.2 bedoelde
verplichtingen of bepalingen, hetzij de onder artikel 7.3 bedoelde kennisgeving, zal de
Verwerker door elke persoon als vermeld in artikel 7.1 de vertrouwelijkheidsverklaring
in Bijlage 2 laten invullen en ondertekend aan de Verwerkingsverantwoordelijke over
maken”
Voorbeelden van onevenwichtige bepalingen

Privacy compliance?
Vertrouwelijkheidscontract
Mevrouw / De heer ……………………………………………………………………...(naam en voornaam),
……………………………………………………………. (functie), hierna “de Werknemer” genoemd, heeft, in het raam van de missie die
haar/hem door ………… (naam bedrijf, adres, bedrijfsnummer) werd toevertrouwd (hierna “de Verwerker” genoemd),
toegang tot (bepaalde) persoonsgegevens (hierna “de Gegevens” genoemd).
De Werknemer verbindt er zich hiermee toe:
zich alleen toegang te verschaffen tot de Gegevens die noodzakelijk zijn voor het uitvoeren van de haar/hem
toevertrouwde opdracht in het kader van de verwerking van persoonsgegevens;
de Gegevens waarvan zij/hij kennis heeft genomen, alleen toe te vertrouwen aan anderen in de mate dat dit voor de
uitvoering van haar/zijn opdracht in het kader van de verwerking van persoonsgegevens noodzakelijk is en op voorwaarde
dat de persoon aan wie deze Gegevens kenbaar worden gemaakt gemachtigd is er kennis van te nemen;
de toegangscodes en/of wachtwoorden om zich toegang tot de Gegevens te verschaffen niet kenbaar te maken;haar/zijn
wachtwoord dat toegang biedt tot de Gegevens regelmatig te wijzigen.
De Werknemer erkent:
van de Verwerker alle informatie te hebben gekregen voor het uitvoeren van de haar/hem toevertrouwde opdracht in het
kader van de verwerking van persoonsgegevens;
zich ingeschreven te hebben en de bedoeling te hebben om de opleiding die door de Verwerker georganiseerd wordt van
…………… [datum invoegen] te volgen / hebben gevolgd m.b.t. de verbintenissen die zij/hij moet nakomen in
overeenstemming met de vigerende wetgeving en normering, zijnde:

Privacy compliance?
“De Verwerker maakt audits, waaronder inspecties, door de
Verwerkingsverantwoordelijke gemachtigde controleur mogelijk en draagt eraan bij. …
kosten van deze audit zullen voor rekening van de Verwerker komen wanneer blijkt dat
deze zich niet aan de verplichtingen van huidige Overeenkomst heeft gehouden.”
“kan de Verwerkingsverantwoordelijke alle kosten welke voortvloeien uit deze
maatregel of boete verhalen op de Verwerker. “
“De Verwerker legt op verzoek van de Verwerkingsverantwoordelijke een kopie over
van de verzekeringspolis en het bewijs van de premiebetaling, dan wel een verklaring
van de verzekeraar betreffende het bestaan van deze verzekeringen en het betaald zijn
van de premies.”
Voorbeelden van onevenwichtige bepalingen

Privacy compliance?
• Onevenwichtige overeenkomst
• Niet goedgekeurd door begunstigde
• Verwerking gaat zonder overeenkomst verder
• Verwerkingsverantwoordelijke is verantwoordelijk
• Sanctie in de GDPR: 10.000.000,00 EUR

Privacy compliance?
• Generiek gedeelte dat gebruikt kan worden naar iedere
verwerker toe, dit enkel door de bijlage van de
overeenkomst te wijzigen:
1. Een bijlage voor de zelfstandige medewerker
van uw kantoor;
2. Een bijlage voor de VME in het geval uw kantoor
optreedt als syndicus;
3. Een bijlage die volledig door de makelaar zelf
ingevuld kan worden.
• Evenwichtig opgesteld
• Geen extra administratieve opvolging

GDPR in de praktijk?
De makelaar, schematisch voorgesteld:
MAKELAAR
Makelaar
Klanten Kopers Huurders Eigenaars Prospect Leveranciers
Zelfstandige
medewerker
Verwerkings-
verantwoordelijke
Verwerker
Betrokkenen

Betrokkene
Scenario 1: Directe relatie met opdrachtgever
DOEL VAN DE VERWERKING
Uitvoeren makelaarsopdracht
Wettelijke verplichtingen
Administratie
Facturatie
Aanbiedingen (mailings)
PERSOONSGEGEVENS MEEDELEN
Naam
Adres
Mailadres
Telefoonnummer
Bankrekeningnummer
Woninggegevens
MAKELAAR

Betrokkene
Scenario 1: BETROKKENE - VERWERKINGSVERANTWOORDELIJKE
VERPLICHTINGEN
VERWERKINGSVERANTWOORDELIJKE
Privacy policy – in makelaarsopdracht
Beveiliging- en beschermingsbeleid
Meldplicht databreach
RECHTEN
Recht op beperkte verwerking
Recht op verbetering
Recht om vergeten te worden
Recht op toegang en inzage
….
MAKELAAR

VERWERKER
(Office 365,
FORTISSIMMO,
externe server (hosting),
CRM software (SAP, …)
Facebook?
Scenario 2: ONDERNEMING - VERWERKER
DOEL VERWERKER
Gegevens omzetten in bruikbare vorm
- Statistiek
- Offertes
- …
Uitvoeren van de overeenkomst
- Levering
- Publiciteit
- …
DOORGEVEN GEGEVENS Opdrachtgever
Naam
Adres
Mailadres
Telefoonnummer
Woninggegevens
MAKELAAR

VERWERKER
(Office 365,
FORTISSIMMO,
externe server (hosting),
CRM software (SAP, … )
Scenario 2: Rechten en verplichtingen
VERPLICHTINGEN
VERWERKER
Uitvoeren verwerkingsovereenkomst
Rechten van betrokkenen
Meldplicht databreach aan
VERPLICHTINGEN
VERANTWOORDELIJKE
Melding in Privacy Policy
Verwerkingsovereenkomst met derde
Naleving overeenkomst controleren
Melding in Gegevensverwerkingsregister
MAKELAAR

SUB-VERWERKER
(Website, portaalsite, facebook
… )
Scenario 3: VERWERKER – SUB-VERWERKER
VERWERKER
(Dropbox,
FORTISSIMMO,
externe server,
CRM software, … )
DOEL SUB-VERWERKER
Gegevens omzetten in bruikbare
vorm
Uitvoeren van de overeenkomst
- Publiciteit website/krant (De
zondag, Immo Proxio, …)
Naam
Adres
Mailadres
Telefoonnummer
Woninggegevens

SUB-VERWERKER
(website, portaalsite, facebook
… )
VERWERKER
(Dropbox,
FORTISSIMMO,
externe server,
CRM software, … )
VERPLICHTINGEN SUB-VERWERKER
Uitvoeren verwerkingsovereenkomst
Meldplicht databreach aan verwerker
VERPLICHTINGEN VERWERKER
Verwerkingsovereenkomst
Meldplicht databreach aan

DERDE
(Boekhouder, overheid ,…. )
Scenario 4: ONDERNEMING – DERDE
DOEL DERDE
Uitvoering van zijn overeenkomst
Controle anti-witwaswetgeving
Naam
Adres
Mailadres
Telefoonnummer
…
MAKELAAR

DERDE
(Boekhouder, overheid ,…. )
VERPLICHTINGEN
Privacy policy
Toestemming betrokkene?
VERPLICHTINGEN
Naleven rechten van betrokkene
Melden aan derde uitoefening van
rechten
Melding aan betrokkene?
Toestemming betrokkene ? Opt-in ?
MAKELAAR

DERDE
(Adverteerder, portaalsite,
bouwpromotor, Data-verrijker
… )
Scenario 5: ONDERNEMING – DERDE (verkoop
gegevens door ONDERNEMING of door de derde)
DOEL DERDE
Direct Marketing
Profiling
Marktonderzoek
Naam
Adres
Mailadres
Telefoonnummer
Woninggegevens
MAKELAAR

DERDE
(Adverteerder, portaalsite,
bouwpromotor, Data-verrijker
… )
VERPLICHTINGEN
Privacy policy
Toestemming betrokkene ?
VERPLICHTINGEN
Naleven rechten van betrokkene
Melden aan derde uitoefening van
rechten
Toestemming betrokkene ? Opt-in ?
MAKELAAR

GDPR in de praktijk? Direct Marketing
GARAGEHOUDER
(WEBSHOP,
MAKELAAR,
RESTAURANT,
ADVOCAAT …) Makelaar
Eigen
Mailings
Doorgifte
binnen EER
Doorgifte
buiten EER

GDPR in de praktijk? Direct Marketing ?
GARAGEHOUDER
(WEBSHOP,
MAKELAAR,
RESTAURANT,
ADVOCAAT …)
Makelaar
Eigen
Mailings
VERPLICHTINGEN
Vermelden in Privacy Policy
Geen toestemming betrokkene vereist:
- Rechtstreekse klant
- Bestaande klant
- Contractuele relatie
- Gelijkaardige producten of diensten
die de KMO zelf aanbiedt
- Mogelijkheid voor betrokkenen om
zich kosteloos uit te schrijven
Oplossing
Gerechtvaardigd belang van de
onderneming  Belangenafweging

GARAGEHOUDER
(WEBSHOP,
MAKELAAR,
RESTAURANT,
ADVOCAAT …)
MAKELAAR
Doorgifte
binnen EER
VERPLICHTINGEN
Principe: vrij verkeer van persoons-
gegevens binnen EER
Toestemming betrokkene vereist:
- Voorafgaandelijke toestemming
- Vrije toestemming
- Specifieke toestemming
- Geïnformeerde toestemming
- Wetboek Economisch recht “Opt-in”

GARAGEHOUDER
(WEBSHOP,
MAKELAAR,
RESTAURANT,
ADVOCAAT …)
MAKELAAR
Doorgifte
buiten EER
VERPLICHTINGEN
Principe: geen vrij verkeer buiten EER
Uitzonderingen:
- Witte lijst EU Commissie
- US Privacy Shield
- Wettelijke uitzonderingen
- Toestemming doorgifte
Toestemming betrokkene vereist:
- Vrije toestemming
- Wetboek Economisch recht “Opt-in”

GARAGEHOUDER
(WEBSHOP,
MAKELAAR,
RESTAURANT,
ADVOCAAT …)
Makelaar
Doorgifte
binnen EER
Doorgifte
buiten EER
PROBLEMEN? Aankopen lijsten/databanken
Principe: geen probleem, maar…
Toestemming betrokkene?
Inlichten betrokkene
- Transparantie
Zelf de toestemming verkrijgen van
betrokkene:
- Vrije toestemming
- Wetboek Economisch recht “Opt-in

De GDPR en risico’s bij niet naleving
Welke risico’s?
1. Administratieve sancties tot 20M EUR of indien meer 4% totale
wereldwijde jaaromzet opgelegd door GBA (de vroegere Privacy
Commissie);
2. Winst- en reputatieschade door persbelangstelling;
3. Schadevergoeding wegens schending van rechten betrokkene;
4. Stakingsvorderingen door andere ondernemingen die het stopzetten
van de onwettige praktijken vorderen (concurrentievervalsing);
5. Strafsancties naar aanleiding van een afgerond strafonderzoek.

Privacy compliance?
Bewustmaking
Inventaris Data
Audit
Transparantie
Privacy Verklaring
Databreach

Privacy compliance?
1. Privacy Policy
2. Cookie Policy
3. Gegevensverwerkingsregister
4. Incidentenregister
5. Verwerkingsovereenkomsten met 3 bijlagen
6. Privacy Assessment voor de verwerker
7. Eén uur gratis telefonische ondersteuning door gespecialiseerd kantoor

Privacy compliance?
1. Compleet pakket met alle essentiële documenten
2. Specifiek voor het vastgoed
3. Gebruiksvriendelijk en gemakkelijk implementeerbaar
4. Uiterst concurrentiële prijs

Bedankt!
Contactgegevens
VDV Advocaten
Henri Horriestraat 44-46
8800 Roeselare
Belgium
Tel: +32 51 23 13 53
www.vdvadvocaten.be
Maarten Verhaghe
Advocaat & Data Protection Officer

GDPR in de vastgoedsector

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Similar to GDPR in de vastgoedsector

Similar to GDPR in de vastgoedsector (20)

GDPR in de vastgoedsector