GDPR En Bezoekersregistratie: Een Praktische Gids

Geschreven door Pieter-Jan - Geschreven: 12 januari 2023

Als u een bedrijf heeft, heeft u zeker al gehoord van de GDPR, die uitgebreide regeling voor gegevensbescherming. De wet werd in 2018 van kracht in de Europese Unie, en heeft een impact op bedrijven in de EU en ver daarbuiten. Het gaat allemaal om het beschermen van persoonlijke gegevens, en daarbij is het van belang dat bedrijven die gegevens op de juiste manier verzamelen en verwerken.

U heeft intussen ongetwijfeld al enkele noodzakelijke stappen gezet om uw netwerk te beveiligen, maar heeft u ook nagedacht over uw bezoekersbeheer? Als u bijhoudt wie er in uw bedrijf binnen en buiten gaat, is het heel belangrijk dat u ook hierbij de GDPR-regels volgt.

Er zijn verschillende manieren om bezoekers te beheren. Maar of u nu een papieren bezoekerslogboek of een digitaal systeem gebruikt, cruciaal is dat u een solide systeem heeft zodat u bij het verzamelen en verwerken van de persoonlijke gegevens van uw bezoekers voldoet aan de wettelijke verplichtingen.

In dit artikel beantwoorden we de volgende vragen:

De Algemene Verordening Gegevensbescherming (AVV), beter gekend als GDPR (General Data Protection Regulation) is de strengste wet in zijn soort. De bedoeling ervan is mensen meer controle te geven over hun persoonsgegevens en de verwerking ervan. De wet is van toepassing op elke organisatie die persoonsgegevens van EU-burgers verwerkt, ongeacht waar die organisatie gevestigd is.

Om ervoor te zorgen dat bedrijven zich aan de regels houden, legt de GDPR 7 principes vast waaraan organisaties zich moeten houden als ze persoonsgegevens verzamelen, gebruiken en opslaan. Deze principes zijn:

Rechtmatigheid, eerlijkheid en transparantie

Persoonsgegevens moeten op een transparante manier worden verwerkt zonder wetten en regels te overtreden. Organisaties moeten toestemming vragen voor het gebruik en de opslag van persoonlijke data. Dat betekent dat precies moet worden uitgelegd waarvoor de data gebruikt zullen worden, en dat iedereen de mogelijkheid moet krijgen om hiermee in te stemmen of te weigeren.

Doel

Organisaties moeten een duidelijk doel hebben voor het verzamelen van data, zoals beveiliging of marketingdoeleinden.

Dataminimalisatie

Bedrijven mogen alleen de persoonsgegevens verzamelen die nodig zijn voor dat specifieke doel. Als een organisatie bijvoorbeeld data verzamelt voor veiligheidsdoeleinden, mag ze alleen informatie vragen die ze nodig heeft om de veiligheid van haar systemen en faciliteiten te waarborgen.

Accuraatheid

De persoonsgegevens die een bedrijf verzamelt en verwerkt, moeten nauwkeurig en actueel zijn.

Dataretentie

Persoonlijke data mogen niet langer worden bewaard dan nodig is voor het specifieke doel waarvoor ze zijn verzameld.

Integriteit en vertrouwelijkheid

Organisaties moeten de nodige maatregelen nemen om de gegevens die zij verzamelen en verwerken te beschermen. Dat betekent dat ze beveiligingen moeten invoeren om ongewenste toegang tot de data te voorkomen en ervoor te zorgen dat de gegevens niet verloren gaan, beschadigd of vernietigd worden. Enkele mogelijkheiden: encryptie om gegevens te beschermen die via het internet verzonden worden, en veilige aanmeldingsprocedures om ongewenste toegang te voorkomen.

Verantwoordelijkheid

Bedrijven en organisaties die persoonsgegevens verzamelen, gebruiken en opslaan, moeten hun verantwoordelijkheid nemen. Ze moeten processen invoeren om te garanderen dat ze aan de GDPR voldoen. Om aan de verantwoordingsplicht te voldoen, stellen sommige organisaties een data protection officer (DPO) aan, die verantwoordelijk is voor het toezicht op het beleid rond gegevensbescherming.

De GDPR geeft mensen ook bepaalde rechten. Het meest bekend is het recht om vergeten te worden, ‘the right to be forgotten’, wat betekent dat mensen te allen tijde kunnen beslissen hun gegevens te laten wissen. Daarnaast heeft iedereen het recht op toegang tot zijn persoonsgegevens en om te weten hoe die worden gebruikt, om zijn gegevens naar andere diensten over te brengen en om bezwaar te maken tegen het gebruik van zijn gegevens voor bepaalde doeleinden (zoals direct marketing). En als er ooit sprake is van een datalek, hebben mensen het recht om daarover te worden geïnformeerd.

GDPR basis principes

De GDPR werd ingevoerd als reactie op de groeiende zorgen over de manier waarop data door organisaties worden verzameld, gebruikt en opgeslagen. Nu het internet en digitale technologieën de wereld overnemen, zweven massa’s persoonlijke gegevens rond in de cloud. Misbruik, datalekken en andere veiligheidsproblemen duiken op, en dat baart zorgen.

Door duidelijke regels en richtlijnen vast te leggen en mensen meer controle over hun persoonsgegevens te geven, wil de GDPR deze zorgen wegnemen.

Buiten de EU bestaat nergens een wet die gelijkwaardig is aan de GDPR. Toch blijven organisaties in niet-Europese landen niet buiten schot. Van de VS tot Japan, overal ter wereld moeten bedrijven die zaken doen in de EU zich houden aan de GDPR. De wet geldt immers voor elke organisatie die persoonlijke data van mensen uit de EU verwerkt, ongeacht waar die organisatie gevestigd is.

Als een bedrijf de regels van de GDPR niet naleeft, dreigen er zware sancties. Dat kan gaan van een boete over een bevel om gegevens te wissen tot een verbod op activiteiten waarbij data verwerkt worden.

Sinds de invoering van de GDPR volgden al veel sancties. Onder andere techbedrijven en banken kregen boetes opgelegd. Enkele voorbeelden:

In 2019 kreeg Google een boete van 50 miljoen euro van de Franse gegevensbeschermingsautoriteit (CNIL) omdat het bedrijf niet duidelijk genoeg was over zijn beleid rond dataprotectie.
In 2020 kreeg British Airways een boete van 20 miljoen pond van de Britse gegevensbeschermingsautoriteit (ICO) voor een datalek waarbij de persoonsgegevens van 500.000 klanten werden gelekt.
In 2021 legde de Britse gegevensbeschermingsautoriteit (ICO) de hotelgroep Marriott International een boete op van 18,4 miljoen pond voor een datalek waarbij de gegevens van 339 miljoen gasten blootgesteld werden.

Bottom line: als u een hoge boete wilt vermijden, is het belangrijk dat u als organisatie de GDPR serieus neemt.

De GDPR is van toepassing op bezoekersbeheersystemen omdat deze systemen doorgaans de persoonlijke gegevens verzamelen, gebruiken en opslaan van mensen die een bedrijf of organisatie bezoeken.

Dit zijn de belangrijkste GDPR-vereisten die relevant zijn voor bezoekersbeheersystemen:

Uitdrukkelijke toestemming vragen voor het verzamelen, gebruiken en opslaan van gegevens
Duidelijke en uitgebreide informatie verstrekken over hoe de gegevens gebruikt zullen worden
Maatregelen nemen om persoonsgegevens te beschermen
Het recht op toegang tot, correctie of verwijdering van je eigen persoonsgegevens
Het recht om je eigen persoonsgegevens te kunnen verkrijgen en hergebruiken voor andere diensten

Systemen voor bezoekersbeheer moeten aan deze vereisten voldoen om persoonlijke gegevens te beschermen en de rechten van burgers te eerbiedigen.

Lees meer
Aan de slag met digitale bezoekersregistratie in minder dan 30 minuten.
Koud en onpersoonlijk? Alleen voor grote bedrijven? 5 mythes over digitaal bezoekersbeheer.

Of u nu een papieren logboek of een digitale oplossing voor bezoekersbeheer gebruikt, bezoekersgegevens moeten behandeld en opgeslagen worden volgens de regels van de GDPR. Een papieren logboek dat aan uw receptie ligt rond te slingeren kan in dit opzicht mogelijk problemen opleveren.

Problemen die zich kunnen voordoen:

Als het logboek onbeveiligd en toegankelijk aan de receptie wordt achtergelaten, kan iedereen de gegevens van de vorige bezoekers inkijken.
Wanneer u papieren aanmeldingsformulieren gebruikt, kan het moeilijk zijn om alleen relevante gegevens van verschillende soorten bezoekers op te vragen.
Als u veel data verzamelt, is het niet eenvoudig om bezoekers duidelijk en volledig te informeren over hoe hun gegevens gebruikt zullen worden.
Het is onmogelijk ervoor te zorgen dat de informatie van uw gasten veilig wordt opgeslagen: papier kan gemakkelijk worden gestolen, gefotografeerd of verloren.
Op verzoek moeten organisaties specifieke bezoekersgegevens kunnen wissen. Dat is ingewikkeld bij het gebruik van papieren logboeken.

Om de naleving van de GDPR te garanderen, kunnen bedrijven overwegen een veiliger alternatief voor een papieren logboek te gebruiken, zoals een digitaal bezoekersbeheersysteem waarmee gegevens op een veilige en transparante manier kunnen worden verzameld en opgeslagen.

Lees meer
De veiligheid in uw bedrijf verhogen? Dit zijn 7 manieren waarop bezoekersbeheersystemen kunnen helpen.
De tijd van het papieren bezoekerslogboek is voorbij: 7 redenen om uw papieren logboek te vervangen in 2023.

Er zijn een aantal stappen die organisaties kunnen nemen om ervoor te zorgen dat hun bezoekersbeheersysteem voldoet aan de regels van de GDPR:

1. Vraag toestemming

De GDPR vereist dat organisaties expliciete toestemming vragen om gegevens te kunnen gebruiken. Zorg ervoor dat uw systeem bezoekers vraagt te bevestigen dat ze het privacybeleid hebben gelezen, of dat het opties biedt welke gegevens opgeslagen kunnen worden.

2. Informeer

De GDPR geeft uw bezoekers het recht te weten wat u met hun gegevens van plan bent. Als organisatie is het uw verantwoordelijkheid om open en duidelijk te zijn over hoe hun gegevens gebruikt zullen worden, voor welk doel en hoelang ze worden opgeslagen.

3. Vraag alleen wat u nodig heeft

Wees selectief: u mag alleen de informatie opvragen die u werkelijk nodig heeft. Om het incheckproces te stroomlijnen, kunt u specifieke procedures creëren voor verschillende soorten gasten: van bezoekers die toegang nodig hebben tot beveiligde zones, heeft u bijvoorbeeld meer informatie nodig dan van een voedselleverancier.

4. Controleer wie toegang heeft

Organisaties moeten passende maatregelen nemen om persoonlijke gegevens te beschermen. Eén manier om de gegevens van uw bezoekers te beschermen tegen nieuwsgierige ogen is toegangscontrole, zodat alleen geautoriseerd personeel toegang heeft tot de data.

5. Versleutel informatie

Cloud-gebaseerde bezoekersbeheersystemen bieden een veilige manier om gegevens op te slaan. Ze gebruiken versleutelde databases en HTTPS-filetransfers om te beschermen tegen ongewenste toegang.

6. Respecteer de rechten van uw gasten

Vergeet niet dat bezoekers hun toestemming te allen tijde kunnen intrekken. Als bedrijf moet u hun gegevens op verzoek kunnen verwijderen, anonimiseren of wijzigen. Met de meeste bezoekersbeheersystemen kunt u een vermelding van het bezoek bijhouden, maar persoonsinformatie zoals de naam en het bedrijf van de bezoeker verwijderen.

7. Log uw activiteiten

Als organisatie bent u verplicht om uw activiteiten rond gegevensverwerking bij te houden. Wat voor soort gegevens verzamelt u? Waarvoor gebruikt u ze? En met wie deelt u ze?

Bezoekersbeheersystemen zijn een belangrijk hulpmiddel voor organisaties die moeten bijhouden wie hun gebouwen bezoekt. Door bovenstaande stappen te volgen, kunnen bedrijven ervoor zorgen dat hun bezoekersbeheersysteem voldoet aan de GDPR en dat ze de persoonlijke gegevens van hun bezoekers beschermen in overeenstemming met de eisen van de wet.

Vizito neemt gegevensbescherming serieus. De volgende functies zorgen ervoor dat uw bedrijf voldoet aan de GDPR bij het verzamelen van bezoekersgegevens:

Toestemming vragen aan uw bezoekers
Bepalen wie toegang heeft tot bezoekersgegevens
Verschillende soorten bezoekers instellen, om te verzekeren dat u alleen de informatie verzamelt die u nodig heeft
Bepalen wanneer bezoekersinformatie automatisch verwijderd wordt
Alle gegevens veilig opslaan op de Vizito-servers.

Om een idee te krijgen van hoe digitale bezoekersregistratie uw bedrijf kan helpen groeien, kunt u Vizito 14 dagen gratis uitproberen. Chat met ons of vraag nu een demo aan om te ontdekken hoe Vizito u kan helpen uw receptie te verbeteren.

Nog vragen? Dit zijn de 7 meestgestelde vragen over digitaal bezoekersbeheer – en onze antwoorden.