Sinds 25 mei 2018 is de GDPR van toepassing. Omdat je dagelijks persoonsgegevens verwerkt, heeft deze wetgeving ook invloed op jouw werking. FVF biedt je praktische modellen aan, verdeeld in drie categorieën: klant, kantoor en datalek, om je te helpen GDPR-conform te werken.
GDPR heeft ook een belangrijke impact op de werkzaamheden van de verzekeringsmakelaars aangezien ook zij op dagelijkse basis persoonsgegevens van klanten verwerken. FVF verzamelde hier alle informatie met betrekking tot GDPR en de gevolgen voor het makelaarskantoor, zodat je als verzekeringsmakelaar GDPR-conform kan werken.
Controle
Kondigde de GBA een controle aan op je kantoor?
DPO (Data Protection Officer)
Slechts in uitzonderlijke gevallen dient er binnen een makelaarskantoor een DPO te worden aangesteld.
De expert waarmee FVF samenwerkt kan als externe DPO optreden. Hij heeft een uitgebreide expertise in de verzekeringssector in kader van GDPR.
Indien je hierover nog vragen hebt en/of een beroep wil doen op de betalende diensten van de expert, kan je contact opnemen met FVF.
Download hieronder alle modellen in het kader van GDPR.
1. Klant
Klantenfiche
De bekende klantenfiche werd hier en daar aangepast om in overeenstemming te zijn met GDPR. Waar vooral aandacht aan moet worden besteed, is de expliciete toestemming van uw klanten voor het verwerken.
Verklaring voor prospecten per post
Dit model bevat een clausule die je kan gebruiken in het kader van je direct marketingactiviteiten naar prospecten toe per brief. In geval een prospect per brief wordt gecontacteerd, volstaat het om een 'opt-out'-clausule te voorzien waarbij die persoon kan aangeven dat hij bijvoorbeeld geen mails of post meer wenst te ontvangen.
Verklaring prospecten per post
verklaring voor prospecten per mail
Voor prospecten (natuurlijke personen) moet je uitdrukkelijke toestemming vragen als je deze potentiële klanten verder per e-mail wil contacteren, en ben je ook verplicht te melden hoe je hun persoonsgegevens in je bezit hebt gekregen.
Verklaring prospecten per mail
geen verwerkersovereenkomst - communicatie aan klant
Als verzekeringsmakelaar ben je tegenover de verzekeringsnemer noch verwerker, noch verwerkingsverantwoordelijke. Indien je hierover toch vragen zou krijgen, kan je je klanten deze toelichting bezorgen.
Communicatie geen verwerkersovereenkomst
2. Kantoor
Privacyverklaring
De privacy policy is een beleidsdocument waarin je toelicht hoe je persoonsgegevens verzamelt, verwerkt en gebruikt. Ze vormt het algemene beleid van je kantoor op het vlak van gegevensverwerking, conform de toepasselijke wetgeving, waaronder de GDPR. Dit document moet op je website geplaatst worden.
register van verwerkingsactiviteiten
De GDPR verplicht de verwerkingsverantwoordelijke en de verwerkers om een register bij te houden van de verwerkingsactiviteiten die worden verricht. Dit register moet je aanvullen, personaliseren voor je kantoor en bijhouden op je kantoor.
Register van verwerkingsactiviteiten
model van verwerkersovereenkomst
De GDPR voorziet in de verplichting om verwerkersovereenkomsten op te stellen die jij, als verantwoordelijke voor de verwerking, kunt voorleggen aan de verwerkers waarop je een beroep doet. In deze overeenkomsten verbinden zij zich ertoe om de persoonsgegevens te verwerken binnen het kader van hun opdracht(en) en met respect voor de verplichtingen die uit de GDPR voortvloeien. In dergelijke overeenkomsten maak je afspraken over de duur, de beschrijving en de doeleinden van de gegevensverwerking, de te nemen beveiligingsmaatregelen, enzovoort.
Model van verwerkersovereenkomst
bijlage bij de overeenkomst verzekeringsubagent
Conform de GDPR is jouw subagent als verzekeringsmakelaar te beschouwen als een subverwerker, terwijl jij optreedt als verwerker. De verhouding tussen jullie beiden – als verwerker en subverwerker – wordt geregeld via een verwerkersovereenkomst, die als Bijlage 1 een integraal onderdeel vormt van de overeenkomst met de verzekeringssubagent.
Bijlage en model verzekeringssubagent
Verwerkersovereenkomst met verzekeringsmaatschappij
- Makelaar als verwerker:
In zijn verhouding tot de verzekeringsmaatschappijen treedt de makelaar hetzij op als verwerker, hetzij als verwerkingsverantwoordelijke. Dit model biedt voor de leden een adequaat hulpmiddel om een verwerkersovereenkomst te sluiten in de hoedanigheid van verwerker. FVF raadt aan om de inhoud van dit model te toetsten aan de inhoud van de overeenkomst die door de maatschappijen wordt voorgelegd.
Makelaar als verwerker - Makelaar als verwerkingsverantwoordelijke:
In zijn verhouding tot de verzekeringsmaatschappijen treedt de makelaar hetzij op als verwerker, hetzij als verwerkingsverantwoordelijke. Dit model biedt voor jou een adequaat hulpmiddel om een verwerkersovereenkomst te sluiten in de hoedanigheid van verwerkingsverantwoordelijke. FVF raadt aan om dit document als model aan te bieden aan de verzekeringsmaatschappij.
Makelaar als verwerkingsverantwoordelijke
- Makelaar als verwerker:
clausule niet GDPR-gerelateerde activiteit
Het kan aangewezen zijn om in de overeenkomsten met externe dienstverleners, die niet optreden als verwerker van persoonsgegevens en dus in een niet GDPR gerelateerde activiteit, maar die toch toegang zouden kunnen hebben tot persoonsgegevens, een clausule te voorzien waarin een absoluut verbod wordt opgelegd aan het personeel van deze dienstverlener om noch actief, noch passief kennis te nemen van persoonsgegevens. In deze clausule zou tevens moeten worden bepaald dat zij aansprakelijk worden gesteld indien zij persoonsgegevens waarvan ze toch kennis zouden nemen, aan derden doorgeven.
Clausule niet GDPR-gerelateerde activiteit
register opleiding van het personeel
Het behoort tot de verantwoordelijkheid van de werkgever zijn personeelsleden enerzijds in te lichten over de GDPR verplichtingen die voor het kantoor gelden, en anderzijds over de rechten van de klanten.
Register opleiding van het personeel
clausules verbonden aan arbeidsovereenkomst - arbeidsreglement
Clausule arbeidsreglement/overeenkomst
GDPR bepaalt dat de verwerkingsverantwoordelijke en verwerker maatregelen treffen om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder hun gezag en toegang heeft tot persoonsgegevens, deze slechts verwerkt in opdracht van de verwerkingsverantwoordelijke. Als werkgever moet je er dus op toezien dat uw personeelsleden GDPR respecteren. Het kan daarom aangewezen zijn een privacy clausule op te nemen in de arbeidsovereenkomst of in het arbeidsreglement.
De clausule kan vooral belangrijk zijn wanneer een kantoormedewerker vertrekt. Zo voorkom je dat een ex-medewerker misbruik maakt van klantgegevens, bijvoorbeeld door die te gebruiken voor commerciële doeleinden van een eigen of ander kantoor.
Clausule arbeidsreglement/-overeenkomst
Modellen omgang met mailbox bij afwezigheid werknemer
Model tijdelijke afwezigheid werknemer
Model einde contract werknemer
GDPR en sollicitanten
Aangezien sollicitanten persoonsgegevens ter verwerking aan een makelaarskantoor overmaken, is het belangrijk dat makelaars de privacy van deze sollicitanten respecteren en de regels inzake GDPR naleven.
Dit formulier informeert sollicitanten over het beleid van het kantoor wat de verwerking van hun persoonsgegevens betreft in het kader van de sollicitatieprocedure. Tevens wordt aan de sollicitanten gevraagd om hun toestemming te geven voor het bewaren van deze gegevens gedurende een periode van twee jaar.
Dit formulier is voor makelaars een nuttig werkinstrument om een wervingspool aan te leggen indien zij tot aanwerving van een medewerker wensen over te gaan.
cookies
Voor het gebruik van uw website dien je een cookiebanner en een cookiebeleid te ontwikkelen.
- Cookiebanner
Voorstel tekst: “Deze website gebruikt cookies om gegevens over uw gebruik van de website te verzamelen, te analyseren en te onthouden zodat wij u een betere surfervaring kunnen bieden.”
(Laten) toevoegen (door uw website ontwikkelaar):
- Omschrijving van de soorten cookies die de website gebruikt, bv. marketing cookies
- De niet-essentiële cookies moeten door de websitebezoeker kunnen worden aanvaard of worden geweigerd. We raden aan om alle niet-essentiële cookies met 1 klik te aanvaarden, maar de mogelijkheid te geven om de cookies te beheren en een andere keuze te maken. 2 knoppen toevoegen:
- 1 knop die alle niet-essentiële cookies aanvaardt
- 1 knop die de betrokkene toelaat de niet-essentiële cookies te beheren en zijn/haar keuze bevestigt
- Link naar cookiebeleid
- Cookiebeleid
Je stelt het cookiebeleid op je website ter beschikking van de websitebezoekers. Via de cookiebanner kan de websitebezoeker hier kennis van nemen.
Opgelet:
- Cookies van derden zijn verbonden aan specifieke verplichtingen en kunnen risico’s inhouden (bv. indien er cookies van derden worden geplaatst, kunnen die derden mogelijks overgaan tot profilering). Indien nodig aan te vullen.
- Het intrekken van de toestemming/aanvaarding moet even gemakkelijk kunnen gebeuren als het geven ervan (bv. bij elk bezoek informatie weergeven).
Je neemt best contact op met jouw websiteontwikkelaar.
3. Datalek
Meldingen
Wanneer er een datalek met betrekking tot persoonsgegevens wordt vastgesteld, gelden een aantal meldingsverplichtingen. Indien het datalek een waarschijnlijk hoog risico inhoudt voor de rechten en vrijheden van de klant, moet je hen inlichten over de waarschijnlijke gevolgen van het datalek en over de voorgestelde of genomen maatregelen ter beperking van de schadelijke gevolgen ervan. Je dient de klant ook mee te delen waar deze meer informatie omtrent het datalek kan verkrijgen. Onder bepaalde omstandigheden zullen ook de verwerkingsverantwoordelijke of de Gegevensbeschermingsautoriteit op de hoogte moeten worden gebracht.
Melding verwerkingsverantwoordelijke
Melding aan Gegevensbeschermingsautoriteit
De melding van gegevenslekken bij de Gegevensbeschermingsautoriteit gebeurt via een elektronisch formulier, dat na invulling via een webportaal wordt bezorgd. Je kan hiervoor het stappenplan op de website van de GBA volgen.
register van datalekken
Treedt de makelaar op als verwerkingsverantwoordelijke, dan dient hij in ieder geval alle datalekken in verband met persoonsgegevens te documenteren. Je moet dan naast de feiten omtrent het datalek ook de gevolgen ervan en de genomen corrigerende maatregelen beschrijven, zodat de Gegevensbeschermingsautoriteit bij een latere controle kan nagaan of GDPR werd nageleefd.
Register van datalekken