Je kan dit document als PDF downloaden als je het offline wil lezen.
Overzichtstabel
- In het kort
- Publieke verplichting van de overheid om bedrijfsgegevens te publiceren
- Direct marketing
- Direct marketing met KBO data
- Nog andere spelregels van toepassing?
- GDPR
- Wat is het GDPR probleem?
- Wat moet je dan WEL doen als data broker of direct marketing?
- Hoe kan je zelf misbruik tegengaan?
- Referentiemateriaal
1. In het kort
Sinds een aantal jaren (2003) heeft de overheid, met name de Federale Overheidsdienst (FOD) Economie, het bedrijvenregister gemoderniseerd en via KBO (Kruispuntbank Ondernemingen) op internet ter beschikking gesteld. Het is een publieke en wettelijke verplichting van de overheid om dat te doen.
Maar dat register bevat natuurlijk heel wat interssante data van bedrijven en hun verantwoordelijke personen.
Niet alleen om contractuele partijen te valideren… maar ook gebruiken heel wat commerciële bedrijven de collectie om die data door te verkopen in de vorm van adressenlijsten.
Er zijn een aantal spelregels die het gebruik van die data aan banden leggen en die je moet kennen, met name de Belgische wet op KBO, de gebruikerslicenties van KBO en … GDPR die belangrijke verplichtingen oplegt voor het hergebruik van publieke data.
Maar daar vegen heel veel data brokers en direct marketing bedrijven dus gewoon hun voeten aan.
Disclaimer: niet alle databrokers schenden de wet en gebruiken wel de juiste data, door persoonlijke gegevens te verwijderen uit hun data collectie. Maar dit is eerder uitzondering dan regel.
Dit artikel
- geeft je wat meer achtergrond bij de spelregels,
- legt uit wat er fout loopt en waar je moet op letten en
- geeft je ook wat tips hoe je jezelf kan beschermen tegen deze praktijk.
Samenvatting
- Direct marketing is elke communicatie, in welke vorm dan ook, gericht op de promotie of verkoop (m.u.v overheid)
- De wet verbiedt om direct marketing te doen met alle KBO data
- In geval van GDPR data zijn er nog bijkomende richtlijnen te volgen
- Neem maatregelen tegen misbruik (verwijder overbodige data of gebruik specifiek mail adres)
2. Publieke verplichting van de overheid om bedrijfsgegevens te publiceren
De contactgegevens van de entiteiten die geregistreerd zijn bij de Kruispuntbank van Ondernemingen worden beschikbaar gesteld zowel via onze “public search” website als via webdiensten / hergebruikbestanden.
Dus de KBO Webdiensten omvatten ondermeer
- Public search: https://economie.fgov.be/nl/themas/ondernemingen/kruispuntbank-van/diensten-voor-iedereen/kruispuntbank-van-0
- Open data: https://kbopub.economie.fgov.be/kbo-open-data die je kan consulteren via maandelijkse updates (gratis download, na registratie) of via API (met een gebruikskost per download)
Het ter beschikking stellen via de “public search” is in overeenstemming met artikel III.31 van het Wetboek van economisch recht en overeenkomstig artikel 1 van het koninklijk besluit van 28 maart 2014 tot uitvoering van artikel III.31 van het Wetboek van economisch recht inzonderheid de bepaling van de gegevens van de Kruispuntbank van Ondernemingen die via internet toegankelijk zijn evenals de voorwaarden voor het raadplegen ervan.
Dit laatste bepaalt dus het volgende: « Artikel 1, §1. De volgende gegevens van de Kruispuntbank van Ondernemingen zijn via het internet toegankelijk:
- 1° het ondernemingsnummer en het (de) vestigingseenheidsnummer(s);
- 2° de benamingen van de onderneming en/of van haar vestigingseenheden;
- 3° de adressen van de onderneming en/of van haar vestigingseenheden;
- (…)
- 10° de verwijzing naar de website van [1 de geregistreerde entiteit]1, haar telefoon- en faxnummer alsook haar e-mailadres.
Deze laatste (het mail adres) is natuurlijk cruciaal en zeer interessant voor direct marketing (of als je het spam wil noemen, ook goed).
Met betrekking tot het verstrekken van contactgegevens in het kader van webdiensten/ hergebruik-bestanden, stelt de Kruispuntbank van Ondernemingen, via het volledige bestand voor hergebruik van gegevens, een aantal gegevens ter beschikking. Tussen deze gegevens, zitten ook persoonsgegevens. Het gaat om het geheel van de informatie betreffende de entiteiten natuurlijk persoon alsook de namen en voornamen van de personen die, binnen rechtspersonen, functies uitoefenen of de ondernemersvaardigheden bewijzen.
Belangrijk om te weten is ook dat je als verantwoordelijke van een bedrijf ook “declaratieve”, bijkomende contact gegevens kan toevoegen (dus je mail adres).
Zelfs als je vrijwillig contact data in KBO ingeeft, blijven dat KBO bedrijfsgegevens, maar het kan dus ook persoonlijke data zijn (zoals je mail adres) zijn die onder GDPR valt.
Later in dit artikel lees je meer daarover.
Het verstrekken van contactgegevens in het kader van webdiensten / hergebruikbestanden gebeurt in overeenstemming met artikel III.33 van het Wetboek van economisch recht en het koninklijk besluit van 18 juli 2008 over het hergebruik van openbare gegevens van de Kruispuntbank van Ondernemingen.
3. Direct marketing?
Voor we verder gaan wil ik toch even de interpretatie van “direct marketing” toelichten, want dat vind ik niet zelf uit. En ik wil ook vermijden dat er door de data brokers of de commerciële bedrijven zelf een twist aan gegeven wordt.
Bron: https://gegevensbeschermingsautoriteit.be/burger/thema-s/marketing/wat-is-direct-marketing
“De GBA stelt voor het begrip direct marketing als volgt te interpreteren:
elke communicatie, in welke vorm dan ook, gevraagd of ongevraagd, afkomstig van een organisatie of persoon en gericht op de promotie of verkoop van diensten, producten (al dan niet tegen betaling), alsmede merken of ideeën, geadresseerd door een organisatie of persoon die handelt in een commerciële of niet-commerciële context, die rechtstreeks gericht is aan een of meer natuurlijke personen in een privé- of professionele context en die de verwerking van persoonsgegevens met zich meebrengt.
Direct marketing omvat alle vormen van communicatie, ongeacht of deze gericht zijn op de promotie van goederen of diensten, de promotie van ideeën, voorgesteld of ondersteund door een persoon of organisatie, maar ook de promotie van die persoon of organisatie zelf, met inbegrip van zijn/haar merkimago of de merken die zijn/haar eigendom zijn of door hem/haar worden gebruikt, met uitzondering van de promotie die wordt uitgevoerd op initiatief van overheidsinstanties die strikt handelen in het kader van hun wettelijke verplichtingen of openbare dienstverleningstaken voor diensten waarvoor zij alleen verantwoordelijk zijn.
De berichten kunnen bijgevolg zowel uit de commerciële als de niet-commerciële sector komen, zoals de politieke sector of non-profitorganisaties.”
https://gegevensbeschermingsautoriteit.be/burger/thema-s/marketing/wat-is-direct-marketing
4. Direct marketing met KBO data
De bekendmaking van de contactgegevens is dus volledig in overeenstemming met de taken die de wetgever aan de KBO/FOD Economie heeft toevertrouwd. Voor de FOD Economie is de verwerking is dus rechtmatig in de zin van artikel 6 c) van de GDRR, aangezien die noodzakelijk is voor de naleving van een wettelijke verplichting waaraan de FOD Economie is onderworpen.
Voor het overige moet je weten dat het gebruik voor directmarketingdoeleinden van door de KBO ter beschikking gestelde persoonsgegevens verboden is.
Dit verbod komt zowel in artikel 2, §1 van bovenvermeld Koninklijk Besluit van 18 juli 2008 als in alle KBO hergebruikcontracten van de FOD Economie terug.
Art. 2.§ 1. De openbare gegevens van de Kruispuntbank van Ondernemingen kunnen overeenkomstig de nadere regels en de voorwaarden van dit besluit, door de beheersdienst doorgegeven worden aan derden met het oog op [1 …]1 hergebruik.
artikel 2, §1 van bovenvermeld Koninklijk Besluit van 18 juli 2008
Derden mogen evenwel geen persoonsgegevens voor direct marketingdoeleinden gebruiken en/of herverspreiden.
Voor de hergebruik contracten, kan je de voorwaarden terugvinden in de privacy policy en de specifieke gebruiksovereenkomsten, zoals:
- privacy policy Public search: https://economie.fgov.be/nl/themas/ondernemingen/kruispuntbank-van/diensten-voor-iedereen/kruispuntbank-van-0
- licentie public search: https://economie.fgov.be/sites/default/files/Files/Entreprises/KBO/Licentie-webservice-Public-Search-gebruiksvoorwaarden.pdf
- …
Die zeggen allemaal hetzelfde, conform de Belgische wet uiteraard:
“2.2 De licentienemer mag de persoonsgegevens niet gebruiken voor direct-marketing
Van: webservice-Public-Search-gebruiksvoorwaarden.pdf
doeleinden, in overeenstemming met artikel 2 van het koninklijk besluit van 18 juli 2008
betreffende het hergebruik van publieke gegevens van de Kruispuntbank van
Ondernemingen.”
5. Nog andere spelregels van toepassing?
De gegevens van de Kruispuntbank van Ondernemingen (KBO) zijn dus publiek, maar er is in de wet dus een uitdrukkelijk verbod om de gegevens te gebruiken voor direct marketing doeleinden.
Maar dat zijn niet alle regels die hier van toepassing zijn. Want ook GDPR is hier van toepassing, tenminste op de persoonsgegevens die in de bedrijfsdata zitten.
5.1. GDPR
Want GDPR definieert persoonsgegevens als data die een persoon (kunnen) identificeren, dus dat betekent ook dat een persoonlijk professioneel mail adres GDPR data is. Let op, niet alle data in KBO is GDPR data, want algemene bedrijfsdata valt buiten GDPR.
Waarom is de GDPR belangrijk hier?
Buiten het verbod op direct marketing, zeggen KBO en de Belgische wet NIKS over transparantie naar de betrokken bedrijven als je data kopieert uit KBO.
Dat is natuurlijk heel andere koek in GDPR, met name
- Art.5 (Beginselen inzake verwerking van persoonsgegevens)
- ze moeten “worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”)”
- Art 6 (Rechtmatigheid van de verwerking)
- Dit is van belang als publieke data plots gebruikt wordt voor een ander doel, bijvoorbeeld commerciële adreslijsten
- Verhouding tussen gerechtvaardigd belang en toestemming, “wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
- Art. 12: Transparantie voor toepassing van Art. 13 en 14.
- Art. 13: “Te verstrekken informatie wanneer persoonsgegevens bij de betrokkene worden verzameld”
- Art. 14: “Te verstrekken informatie wanneer de persoonsgegevens niet van de betrokkene zijn verkregen”
6. Wat is het GDPR probleem?
6.1 Overheid
Ook op vlak van GDPR heeft de overheid de verplichting om deze data te publiceren, in functie van hun publieke verantwoordelijkheid.
Dit valt onder GDPR artikel 6) 1.c (wettelijke verplichting) en nog belangrijker Art.6.1.e. “taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen”
En bij het opstarten van je bedrijf, bij registratie in KBO dus, krijg je de uitleg en de privacy policy van KBO vult de andere transparantieverplichtingen aan. Je hebt niet veel keuze, het is een publieke verplichting.
6.2 Data broker / direct marketing
Maar dat verandert dus helemaal als een data broker of een direct marketing je data van KBO steelt.
Wat moeten zij dan doen, als je het volgens de regels van GDPR speelt?
Algemene taak als verwerkingsverantwoordelijke
Eerst en vooral bij het copieren van KBO data, zeker voor het gebruik voor commerciele doeleinden, met name werven van klanten, gaat het dus bijna altijd om “direct marketing”.
Het kopieren en gebruiken van KBO data is illegaal door de Belgische wet, jammer maar helaas, dat heeft niks met GDPR te maken.
Je zou dus “gerechtvaardigd belang” kunnen inroepen, maar zelfs dan zijn er belangrijke voorwaarden aan verbonden. Dat leg ik straks uit onder de verplichting van art. 14.
Transparantie
GDPR Art. 12. 1
“De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt,“
Bepaling van DAR/SAR (subject data access request), Art. 12. 3
“De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven.”
Eerste direct contact betrokken persoon (Art. 13)
Art.13 is van toepassing als je de gegevens direct van de betrokken persoon krijgt.
Indirect contact (Art. 14)
Volgens Art. 14 moet je de betrokken persoon verwittigen bij het verzamelen van de gegevens als ze niet rechtstreeks van de betrokken persoon komen en de nodige details bezorgen, inclusief
- wanneer de gegevens verkregen zijn
- doeleinde verwerking;
- de ontvangers (dus de marketing bedrijven, in dit geval)
- hoelang de gevens opgeslagen worden;
- gerechtvaardigde belangen;
- de bron. (“Art. 14 §2.f de bron waar de persoonsgegevens vandaan komen, en in voorkomend geval, of zij afkomstig zijn van openbare bronnen;”)
- en nog andere info…
En nog veel belangrijker volgens Art. 14 §3, moet de betrokken persoon moet daarvan verwittigd worden, ik citeer : “
- a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt;
- b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene; of
- c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt.
En net daar gaan HEEL VEEL data brokers en direct-marketing bedrijven NOG EENS in de fout, geen transparantie, geen bronvermelding, geen details van collectie, … Een simpele vermelding in de “privacy policy” is niet voldoende…
7. Wat moet je dan WEL doen als data broker of direct marketing?
Enkele tips
- Zorg dat je een heel duidelijke en expliciete privacy en data protection policy hebt, die publiek beschikbaar is en goed leesbaar.
- Gebruik GEEN KBO data.
- Dat is illegaal. Heeft niks met GDPR te maken, geen direct marketing met KBO data volgens de wet.
- Contacteer het prospectbedrijf via de algemene contact gegevens, via hun website, … via andere kanalen.
- Bij gebruik van algemene bedrijfsgegevens (algemeen telefoon nummer, info@bedrijf.url…) dan is GDPR niet van toepassing.
- Als je gegevens van persoon, de bedrijfsverantwoordelijke zélf ontvangt
- Pas Art.12 -, 13 en 14 toe
- Wees transparant, vertel waar de gegevens vandaan komen
- Vraag bij eerste contact om toestemming, of regel een andere wettelijke grond die stand houdt.
- Bij weigering of intrekken toestemming, verwijder data onmiddellijk, tenzij andere redenen van toepassing zijn.
- Als je contact gegevens verzamelt uit andere bronnen dan de persoon zelf,
- VERWIJDER ALLE PERSOONLIJKE DATA, dan is het géén GDPR data.
- Pas Art.12, 13 en 14 toe
- Wees transparant, vertel waar de gegevens vandaan komen
- Vraag bij eerste contact om toestemming
- Bij weigering, verwijder de data onmiddellijk
- Onderhoud je data op regelmatige tijdstippen, vb check met de contactpersoon minstens 1x per jaar dat de data nog up to date is, bij weigering of gebrek aan antwoord: wis de data
- Beperk de data opslag tot redelijke bruikbare termijn, dat is een paar jaar. GEEN 15 jaar, zoals sommige data brokers doen. Email adressen zijn na een paar jaar niet meer vers. Er verandert vrij veel in de contact gegevens.
7. Hoe kan je zelf misbruik tegen gaan?
Dit heb ik in het kort uitgelegd in dit LinkedIn artikel: Data Protection Life Hack: stop de direct-marketing spam met je KBO data.
7.1 Proactief/preventief
Verwijder je declaratieve gegevens uit KBO
Voor de details zie: Data Protection Life Hack: stop de direct-marketing spam met je KBO data.
Declaratieve gegevens zijn optioneel, en niet strikt noodzakelijk voor de werking van KBO.
Maar het kan om bepaalde redenen toch wel handig zijn…
Zorg dat je KBO-gegevens als persoonsgegevens onder GDPR vallen
Gebruik geen algemeen mail adres. Maak het persoonlijk, dan kan je de rechten onder GDPR afdwingen.
Let op: Bij gebruik van algemene bedrijfsgegevens (algemeen telefoon nummer, info@bedrijf.url…) dan is GDPR niet van toepassing.
Natuurlijk als je graag marketing ontvangt of het nodig hebt, dan is deze discussie niet zo belangrijk.
TIP: gebruik een alias zoals uitgelegd in het LinkedIN article, zodat je je mailbox netjes kan houden.
7.2 Reactief
Als je ondanks de voorzorgen TOCH spam krijgt, die je niet wil ontvangen, kan je actie ondernemen.
Hou er rekening mee dat dit vaak tijd neemt en soms een lastige administratieve route is.
Mogelijke acties
Dus, dan zijn er een aantal mogelijke opties (- eenvoudig, +/- vergt wat werk, ++ moeilijk)
- (-) Dien een subject data acces request (DAR/SAR) in bij het direct marketing bedrijf dat je contacteert, zodat je weet
- waar de data vandaan komt,
- welke data ze hebben,
- enz…
- TIP: zorg dat je voldoende details opvraagt, zie GDPR art. 13 en 14.
- (-) Dien een DAR/SAR in bij de data broker die contact data levert
- (+/-) Stel het direct marketing bedrijf officieel in gebreke, dit is een eerste officiële klacht, los van de GDPR rechten, die vaststelt dat er een inbreuk is gepleegd. Het is wettelijk geldig om dit via mail te doen.
- (+/-)Stel de data broker officieel in gebreke, dit is een officiële klacht, los van de GDPR rechten, die vaststelt dat er een inbreuk is gepleegd. Het is wettelijk geldig om dit via mail te doen.
- (+/-) Leg een klacht neer bij de GBA, wanneer
- blijkt dat ze illegaal data verzameld wordt
- je GDPR rechten niet gerespecteerd worden
GDPR SAR/DAR + ingebreke stelling
Klacht bij KBO & FOD Eco
Hoewel de FOD Economie weinig kan doen aan het misbruik van data, hebben een aantal data brokers een licentie bij KBO. Dus het loont om misbruiken te rapporteren, zo dat ze actie kunnen nemen, waar mogelijk.
Klacht GBA
Op de website van de gegevensbeschermingsautoriteit vind deze link om een klacht in te dienen.
https://gegevensbeschermingsautoriteit.be/burger/acties/klacht-indienen
Wees voorbereid, neem voldoende tijd om dit goed aan te pakken,
- want ze vragen dat je eerst probeert om de klacht op te lossen met de tegenpartij.
- En ze vragen bewijs te leveren, en om je klacht goed te onderbouwen.
En besef dat een procedure met de GBA tijd neemt. Dus verwacht niet meteen resultaat op korte termijn.
Daarentegen is het wel belangrijk om klacht neer te leggen, want dat geeft ook duidelijk aan bij de GBA hoe ernstig dit probleem is, als er meerdere slachtoffers dit rapporten. Zowel binnen de sector van direct marketing, of specifiek voor een bepaald bedrijf dat de regels niet respecteert.
8. Referentie materiaal
Direct marketing en de aanbevelingen van GBA
Direct marketing en privacy: zo moet het volgens de GBA I DGDM (degroote-deman.be)
Gegevensbeschermingsautoriteit (GBA)
https://gegevensbeschermingsautoriteit.be/burger/thema-s/marketing/wat-is-direct-marketing
