Analytics, BI en dataplatforms

• Regulation (EU) 2016/679 — GDPR, Articles 27 and 28
• Directive 2002/58/EC — ePrivacy for device access
• Regulation (EU) 2023/2854 — Data Act for cloud switching

Wie moet aanwijzen

Leveranciers buiten de Unie die analytics of dataplatformdiensten aanbieden aan EU-klanten. Waar het platform alleen verwerkt wat de klant verzendt, is de leverancier een verwerker; waar het verrijkt, benchmarkt of traint op klantgegevens, wordt het een verwerkingsverantwoordelijke voor die doeleinden.

Drempels en vrijstellingen

Geen drempel. Productanalytics ingebed in de applicatie van een klant leest en schrijft op de apparaten van eindgebruikers, wat de ePrivacy-toestemmingseis met zich meebrengt, onafhankelijk van de GDPR-analyse.

Wat op het etiket moet

Niet fysiek. De identiteit van de vertegenwoordiger in de privacyverklaring en in de verwerkingsvoorwaarden voor klanten, en een duidelijke verklaring van wat de leverancier met klantgegevens voor eigen doeleinden doet.

Marktplaatsvelden

EU-ondernemers vereisen de Artikel 28-voorwaarden, de lijst van subprocessors, de overdrachtsanalyse en, sinds de Data Act, contractuele voorwaarden over overstappen en gegevensportabiliteit. Aankopers uit de publieke sector vereisen meer.

Documentatie die u moet bewaren

Artikel 30(2) verwerkerregisters, verwerkingsovereenkomsten met elke klant en subprocessor, de Artikel 27-aanwijzing, standaardcontractclausules met overdrachtsimpactbeoordelingen, procedures voor behoud en verwijdering, en de Data Act overstapvoorwaarden.

Normen en tests

Niet van toepassing, hoewel klanten auditrechten uitoefenen en certificeringen zoals ISO 27001 of SOC 2 verwachten als ondersteunend bewijs in plaats van als naleving.

Taalvereisten

Klantendocumentatie in de taal van de markt; eindgebruikersmeldingen in de taal van de gebruikers.

Vanaf wanneer

De vertegenwoordiger vóór de verwerking begint. De bepalingen voor overstappen in de Data Act worden gefaseerd vanaf september 2025, met kosten voor gegevensoverdracht die vanaf januari 2027 worden ingetrokken.

Bewaartermijn

Klantgegevens alleen voor de contractuele periode plus de afgesproken verwijderingsperiode, met geverifieerde verwijdering bij vertrek.

Bij niet-naleving

Tot €20 miljoen of 4% van de omzet voor onrechtmatige verwerking, en €10 miljoen of 2% voor de ontbrekende vertegenwoordiger. Het gebruik van klantgegevens om modellen te trainen zonder een basis is de terugkerende structurele tekortkoming in deze sector.

Wie handhaaft

Gegevensbeschermingsautoriteiten in de Unie en nationale autoriteiten aangewezen voor de Data Act.

Waar de grens ligt

Aggregatie anonimiseert niet automatisch: benchmarkdatasets opgebouwd uit klantgegevens blijven vaak persoonlijke gegevens, en het gebruik ervan voor de eigen doeleinden van de leverancier vereist een eigen basis en transparantie, niet slechts een contractclausule.

Veelgestelde vragen

Kunnen we klantgegevens gebruiken voor benchmarks?

Alleen met een eigen wettelijke basis en transparantie naar de betrokken personen. Een toestemming in het klantcontract regelt dit niet.

Is het verzamelen van IP-adressen verwerking?

Ja. IP-adressen zijn persoonlijke gegevens in handen van een dienst die ze aan een gebruiker kan koppelen, wat het Hof van Justitie heeft bevestigd.