Gegevensbescherming in de sector elektronische communicatie

KERNPUNTEN

Aanbieders van elektronischecommunicatiediensten moeten hun diensten beveiligen door ten minste:

• ervoor te zorgen dat alleen bevoegde personen toegang hebben tot persoonsgegevens;
• persoonsgegevens te beschermen tegen vernietiging, verlies of toevallige wijziging, en tegen elke andere vorm van onwettige of ongeoorloofde verwerking;
• ervoor te zorgen dat er een beveiligingsbeleid wordt ingevoerd voor de verwerking van persoonsgegevens.

De dienstenaanbieder moet de nationale autoriteit binnen 24 uur op de hoogte stellen van iedere inbreuk op persoonsgegevens. Als te verwachten valt dat de persoonsgegevens of de privacy van een gebruiker zullen worden geschonden, dan moet de gebruiker ook op de hoogte worden gebracht, tenzij specifiek vastgestelde technologische maatregelen zijn genomen om de gegevens te beschermen.

EU-landen moeten het vertrouwelijke karakter van communicaties over openbare netwerken waarborgen, en in het bijzonder moeten ze:

• het afluisteren, aftappen, opslaan of anderszins controleren of onder-scheppen van de communicatie en de verkeersgegevens verbieden, indien de betrokken gebruikers daarin niet hebben toegestemd, behalve wanneer de persoon de wettelijke toestemming heeft en in overeenstemming met specifieke vereisten;
• waarborgen dat het opslaan van informatie of de toegang tot informatie die is opgeslagen op de persoonlijke apparatuur van een gebruiker alleen is toegestaan als de gebruiker duidelijk en volledig is geïnformeerd, o.a. over het doeleinde ervan, en de gebruiker het recht heeft gekregen om te weigeren.

Wanneer verkeersgegevens niet langer nodig zijn voor communicatie of facturering, moeten ze worden gewist of anoniem gemaakt. Dienstenaanbieders kunnen die gegevens wel verwerken voor marketingdoeleinden zolang de betrokken gebruiker daarvoor toestemming geeft. Die toestemming kan op elk moment worden ingetrokken.

Toestemming van de gebruiker is ook vereist in een aantal andere situaties, waaronder:

• voordat ongewenste communicatie (spam) naar hem/haar kan worden verstuurd; dit is ook van toepassing op sms en andere vormen van elektronisch berichtenverkeer;
• voordat informatie (cookies) wordt opgeslagen op zijn/haar computer of apparaat of voordat toegang tot die informatie wordt verkregen; de gebruiker moet duidelijke en volledige informatie krijgen, o.a. over het doel van de opslag of toegang;
• voordat telefoonnummers, e-mailadressen of postadressen kunnen worden opgenomen in openbare abonneelijsten.

EU-landen moeten een systeem van sancties hebben met inbegrip van wettelijke sancties voor inbreuken op de richtlijn.

De reikwijdte van de rechten en plichten kan alleen worden beperkt door nationale wetgevingsmaatregelen wanneer dergelijke beperkingen noodzakelijk en proportioneel zijn ter waarborging van specifieke openbare belangen, zoals het mogelijk maken van strafrechtelijke onderzoeken of het garanderen van de nationale veiligheid, de landsverdediging of de openbare veiligheid.