• Cookie- en privacybeleid moeten in aparte documenten. Zo mag de informatie uit artikel 13 en 14 GDPR (wat meestal in uw privacybeleid staat) niet opgenomen worden in uw algemene voorwaarden. 
• Duidelijk zichtbaar privacybeleid. Een privacybeleid dat in kleine letters onderaan een webpagina wordt geplaatst, zonder enige aandacht te trekken, voldoet niet. U kan bv. wel het privacybeleid onmiddellijk op het scherm laten verschijnen. 
• Duidelijke cookiebanner. In de cookiebanner moet u de mogelijkheid en wijze van het plaatsen van cookies aangeven. In dit verband moet u zeer duidelijk zijn over de doeleinden waarvoor de cookies gegevens verzamelen. 
• Transparantie. Wanneer u gebruik maakt van persoonsgegevens die via sociale media zijn verzameld, zal het niet altijd voldoende zijn om eenvoudig te verwijzen naar het beleid inzake gegevensgebruik van deze sociale netwerken.
• Toestemming vereist voor instructieve en niet-functionele cookies (waaronder analytische cookies). Deze toestemming vereist een opt-in. 
• Toestemming cookies moet gemakkelijk kunnen worden ingetrokken. U kan dit via een "stel voorkeuren in"-knop bovenaan de cookieverklaring of door een "cookies beheren"-knop onder iedere webpagina. 
• Intrekken toestemming cookies van derden. Wanneer er "cookies van derden" geplaatst worden, is het onvoldoende om de betrokkene door te verwijzen naar de informatiepagina's van die derden.

Conclusie

De GBA verschaft meer en meer duidelijkheid over haar interpretatie van de GDPR. Dit is positief, maar noopt ook tot meer verantwoordelijkheid. Het is daarom belangrijk om haar standpunten te volgen en uw verwerkingen en beleiden aan te passen.

Voor meer over het cookie- en privacybeleid, zie ook onze vorige nieuwsbrief Cookie- en privacybeleid: do's en dont's volgens de GBA.

Magalie Manshoven, advocaat
Jan Coninx, advocaat