Klant krijgt recht op dataportabiliteit

In de Wbp kenden we al het recht op inzage, maar vanaf 25 mei 2018 heeft elke klant van uw kantoor door invoering van de AVG ook het recht op dataportabiliteit. Dit recht valt in twee delen uiteen:

• desgevraagd dient u de klant alle door de klant aan u verstrekte persoonsgegevens op een overzichtelijke en voor de klant eenvoudig bruikbare wijze te verstrekken;
• de klant heeft vervolgens het recht om deze gegevens aan een derde te verstrekken.

Het gaat dus om alle gegevens die de klant u heeft verstrekt en die u digitaal heeft opgeslagen. Het gaat dus niet om de gegevens die u heeft opgeslagen in een papieren dossier. Waarschijnlijk maakt u voor een hypotheekadvies gebruik van adviessoftware. Alle gegevens die u tijdens de inventarisatie van de klant heeft ontvangen, zoals inkomen, vermogen, levenspartner en toekomstwensen, zijn te beschouwen als persoonsgegevens die de klant aan u heeft verstrekt. Maar ook de gegevens die ontstaan doordat de klant, binnen de relatie die u met hem heeft, zelf genereert. Bijvoorbeeld de door de klant op uw site bezochte pagina’s en/of verstrekte reviews. Voor schadeverzekeringen gaat het om het schadeverleden waarbij u als adviseur van de klant betrokken bent geweest. Gegevens worden al snel vermoed te zijn aangeleverd door de klant.

Wat houdt het recht op dataportabiliteit in?
Als u data van klanten verzamelt, heeft u de wettelijke plicht de klant te informeren over het wettelijke recht op dataportabiliteit. Hierbij moet de klant duidelijk gemaakt worden dat hij ook het recht op dataportabiliteit heeft wanneer hij de relatie met uw kantoor wil beëindigen. Belangrijk is verder dat het voor de klant duidelijk is dat hij het recht op dataportabiliteit heeft náást het recht op inzage van zijn persoonsgegevens. Het recht van inzage en het recht op dataportabiliteit zijn twee verschillende rechten. Gegevens die u zelf heeft gegenereerd, bijvoorbeeld een segmentatie van uw klanten, vallen niet onder het recht op dataportabiliteit maar wel onder het recht op inzage.

Hoe moet u de gegevens aanleveren?
Als uw klant u verzoekt hem de (digitale) persoonsgegevens aan te leveren die u over hem heeft, dan dient u deze gegevens in een gestructureerde, gangbare en machine leesbare vorm te verstrekken. Dat klinkt ingewikkeld. Waar het om gaat is dat er geen kunstgrepen worden uitgehaald waardoor de klant niets kan doen met de gegevens die u hem verstrekt. Dus geen bestand waarin de gegevens kris kras door elkaar staan, codes gebruiken die u wel kent maar de klant niet of via een opslagtechniek die voor de gemiddelde klant niet toegankelijk is.

Welke termijn moet u hanteren?
Een verzoek van de klant moet ‘onverwijld’ worden gehonoreerd en mag in ieder geval niet langer dan één maand onbeantwoord blijven.

Welke kosten mag u in rekening brengen?
Voor het verstrekken van deze gegevens mag u geen kosten in rekening brengen. Dit onderstreept het belang dat u eenvoudig, snel en tegen lage kosten vanuit uw systemen deze gegevens moet kunnen genereren. Er geldt een uitzondering voor klanten die u blijven bestoken met informatieverzoeken. In bijzondere situaties mag u dan wel kosten in rekening brengen. Van deze uitzondering zullen naar verwachting eerder banken en verzekeraars gebruik maken dan het reguliere, financiële advieskantoor.

Overdragen van gegevens
Heeft de klant van u gegevens ontvangen, dan mag hij deze zonder uw toestemming aan een ander overdragen. U moet niet alleen de gegevens aan de klant kunnen verstrekken, maar er ook voor zorgen dat de klant de gegevens direct kan doorgeven aan de andere organisatie die deze met zijn instemming kan ontvangen. Dit kan via een application programming interface (API).

Deze verplichting van dataportabiliteit geldt ook voor anderen. Een klant kan dus ook bij een bank, verzekeraar of andere financieel adviseur zijn gegevens opvragen en deze aan u overhandigen. Dataportabiliteit maakt dus in zekere mate een einde aan de discussie wie eigenaar van de klantgegevens is. De klantgegevens zijn in de eerste plaats van de klant zelf. Het is de klant die bepaalt wie deze gegevens mag hebben.
Dataportabiliteit is nadrukkelijk een recht dat in het leven is geroepen om de vrije stroom van persoonsgegevens binnen de EU te bevorderen en daarmee de concurrentie tussen ondernemingen te bevorderen. Concreet moet het voor de consument makkelijker worden om van dienstverlener te wisselen. De ‘oude’ dienstverlener kan dat niet meer verhinderen door te weigeren de gegevens die de klant heeft aangeleverd aan de klant te verstrekken, waardoor de klant opnieuw aan een nieuwe dienstverlener kosten moet betalen om alle gegevens opnieuw te inventariseren.

Dit artikel is gebaseerd op informatie van de Contactgroep Automatisering. De Contactgroep Automatisering is een samenwerkingsverband van 16 softwarebedrijven uit de financiële dienstverlening. Vanuit hun positie zullen zij financieel dienstverleners bijstaan in de nieuwe vereisten op gebied van privacy, door hun software zo in te richten dat door financieel dienstverleners makkelijk kan worden voldaan aan de nieuwe wetgeving.