“De GDPR is niet op ons van toepassing want wij werken enkel B2B": feit of fictie?

De Algemene Verordening Gegevensbescherming (ook bekend onder de Engelse afkorting GDPR) geldt voor elke ondernemer of organisatie die in contact komt met persoonsgegevens.

Alleen persoonsgegevens voor persoonlijk gebruik vallen niet onder de GDPR. Deze kunnen bijvoorbeeld zijn:

• de gegevens in je verjaardagskalender
• de telefoonnummers van je vrienden in je smartphone en WhatsApp-groepen
• een adressenlijst van personen aan wie je privé een kerst- of geboortekaartje wil versturen.

Het is echter een veelvoorkomende misvatting dat de GDPR enkel geldt in B2C-relaties. Ook in B2B-relaties met leveranciers en klanten is de GDPR niet weg te denken.

In zo’n relaties is er eveneens sprake van een verwerking van persoonsgegevens. Denk bijvoorbeeld aan:

• een e-mail die het (professioneel) e-mailadres en de functie van de contactpersoon vermeldt
• de naam van de salesverantwoordelijke op een bestelbon
• de verwerking van HR-gegevens bij je sociaal secretariaat
• de externe IT provider die kan meekijken op je scherm in geval van problemen of
• het versturen van je maandelijkse nieuwsbrief naar je vaste contactenlijst.

Hou er rekening mee dat er bepaalde regels gelden voor het verzenden van dergelijke nieuwsbrieven.

Om te weten welke verplichtingen de GDPR net koppelt aan de verwerking van persoonsgegevens, is het belangrijk om je hoedanigheid in de B2B-relatie na te gaan. Zo dien je te onderzoeken of je (sub)verwerker, verwerkingsverantwoordelijke of gezamenlijke verwerkingsverantwoordelijke bent.

Voor de verwerking van persoonsgegevens van contactpersonen bij leveranciers, klanten en andere partners zijn geen specifieke regels voorzien in de GDPR. De algemene verplichtingen (het vereiste van een rechtmatige grondslag, transparantie, etc.) blijven uiteraard van toepassing.