Wat u moet weten.

Heel wat aspecten van de AVG worden meer en meer gezien als overdreven regelgeving die nog weinig te maken heeft met de concrete bescherming van de betrokkenen. Dit is anders wanneer het gaat om de rechten van de betrokkenen. Als iemand zich wenst uit te schrijven op een nieuwsbrief of wil weten of zijn/haar adres nog steeds correct is, valt er inderdaad nog weinig te discussiëren. Hier gaat het commercieel belang van de onderneming overigens hand in hand met de AVG belangen. Ook vanuit commercieel oogpunt, heeft een onderneming er alle belang bij om aan dergelijke wensen en bezorgdheden van haar klanten tegemoet te komen.

De ervaring leert ons dat klanten zich vaak in eerste instantie richten tot de klantendienst van de betrokken onderneming (of enige andere dienst die volgens de privacyverklaring gecontacteerd kan worden). In sommige lidstaten, waaronder België, Nederland en Frankrijk, vereist de gegevensbeschermingsautoriteit overigens dat de betrokkene zich eerst wendt tot de onderneming alvorens hij/zij een officiële klacht kan indienen. Bijgevolg is de klantendienst van ondernemingen voor klanten vaak het eerste aanspreekpunt bij vragen en bezorgdheden.

Klanten kunnen verzoeken om inzage te krijgen in hun persoonsgegevens, hun persoonsgegevens te wissen, hen uit te schrijven voor direct marketing, etc. Daarnaast kunnen zij ook meer algemene (al dan niet terechte) bezorgdheden uiten inzake de verwerking van hun persoonsgegevens. Wanneer deze verzoeken of bezorgdheden niet correct of onvolledig beantwoord worden, of zelfs volledig onbeantwoord blijven, is dit alvast vanuit commercieel oogpunt absoluut ongewenst en is de kans reëel dat de klant zich in tweede instantie zal richten tot de gegevensbeschermingsautoriteit. Omgekeerd kan goede communicatie de commerciële band met klanten versterken en kan op die manier een klacht bij de autoriteit wellicht in veel gevallen vermeden worden.

Wanneer een klant beslist om een klacht in te dienen, en de gegevensbeschermingsautoriteit vervolgens beslist om een onderzoek op te starten, is dit vaak het begin van heel wat meer dan wat men initieel zou verwachten. De gegevensbeschermingsautoriteit zal zich immers vaak niet beperken tot een onderzoek naar het antwoord van de klantendienst. In veel gevallen zal zij bovendien een meer diepgaand onderzoek voeren naar de naleving van de AVG door de betrokken onderneming. Bijvoorbeeld, betreft de klacht het meermaals tevergeefs uitschrijven op direct marketing, dan zou het onderzoek wel eens kunnen nagaan hoe de betrokken onderneming klantengegevens verzamelt, welke gegevens zij verzamelt, met wie zij daarvoor samenwerkt en of er wel verwerkersovereenkomsten werden afgesloten, of het register volledig is, de privacyverklaring volledig is, er passende technische en organisatorische maatregelen werden genomen, etc. Kortom, het correct gevolg geven aan een (relatief eenvoudig) verzoek is dus niet alleen vanuit zuiver commercieel oogpunt wenselijk, maar ook vanuit een juridisch oogpunt rekening houdende met de verregaande bevoegdheden van de gegevensbeschermingsautoriteiten.

Wat u moet doen.

Zorg dat uw klantendienst op de hoogte is van het belang van de naleving van de AVG en zijn sleutelrol als eerste contactpunt bij klachten. Organiseer daarom opleidingen rond de AVG voor uw medewerkers die instaan voor de klantendienst (of die als contactpunt vermeld worden in de privacyverklaring). Tijdens de opleiding is het van belang een aantal basisregels in kaart te brengen. Zo moeten uw medewerkers in staat zijn enerzijds adequaat te reageren op eenvoudige verzoeken van betrokkenen, maar anderzijds ook aan te voelen wanneer een doorverwijzing naar bijvoorbeeld een juridische afdeling of DPO noodzakelijk is. Dit houdt onder meer in dat zij zich bewust zijn van de termijn van (in principe) één maand om verzoeken te beantwoorden, dat zij weten wanneer zij om (bijkomende) identificatie moeten vragen, dat zij in geval van een afwijzing de klant wijzen op zijn/haar recht om de gegevensbeschermingsautoriteit te contacteren, etc. Ter ondersteuning kan u schema’s en modellen aanbieden aan uw medewerkers die ze kunnen gebruiken bij de afhandeling van verzoeken van klanten. Dit gezegd zijnde, moet u voorzichtig omspringen met dergelijke standaardprocedures en documenten. Vaak uit de klant een bepaalde bezorgdheid en wenst hij/zij als gevolg van die bezorgdheid een bepaald recht uit te oefenen. Zeker als die bezorgdheid onterecht is, is het ten zeerste aan te raden om niet alleen het standaardantwoord te bezorgen met betrekking tot het uitgeoefende recht, maar om concreet de bezorgdheid van de klant weg te nemen.

Ook indien uw onderneming samenwerkt met een externe klantendienst, moet u nagaan dat deze externe partner voldoende organisatorische maatregelen neemt, o.m. inzake de opleiding van zijn medewerkers. Als verwerkingsverantwoordelijke bent u verantwoordelijk voor uw verwerker. Het gebruik van een externe klantendienst ontslaat u dus niet van uw verplichtingen onder de AVG. Zorg er daarom minstens voor dat een adequate AVG-opleiding van de medewerkers uitdrukkelijk contractueel verankerd is in de verwerkersovereenkomst. Daarnaast is het aan te raden om de zaken waarvoor de externe klantendienst instaat goed af te dekken in (bijlage bij) de overeenkomst en hieromtrent een maandelijkse rapportering af te spreken. Op basis van die rapportering kan uw onderneming dan van tijd tot tijd een spot check uitvoeren om na te gaan hoe de klantendienst specifieke zaken concreet heeft afgehandeld.

Tot slot kan u alle genomen maatregelen in het kader van uw klantendienst best documenteren. De verplichting tot het bijhouden van organisatorische maatregelen volgt immers onder meer uit de verantwoordingsplicht die de AVG oplegt.

Wilt u meer weten over opleidingen voor uw klantendienst? Deze topic komt aan bod in ons AVG compliance programma.