Als tussenpersonen verzamelen, bewaren en verwerken marktplaatsen persoonsgegevens van twee doelgroepen: klanten en verkopers. Als zodanig zijn marktplaatsen onderworpen aan strikte transparantieregels die worden opgelegd door de Algemene verordening gegevensbescherming (AVG), een wet die de verzameling en het gebruik van persoonsgegevens in de EU reguleert.

Het is belangrijk voor marktplaatsen om te weten wat de AVG van platformen vereist en wie er verantwoordelijk is voor persoonsgegevens. Marktplaatsen moeten ook begrijpen hoe ze de wet kunnen naleven. In dit artikel leggen we uit hoe de AVG van invloed is op marktplaatsen en hun verplichtingen ten opzichte van klanten en verkopers.

Kernpunten

• De Algemene verordening gegevensbescherming (AVG) is het heersende juridische kader voor het beheer en de beveiliging van persoonsgegevens in Europa. Net als andere ondernemingen die persoonsgegevens van inwoners van de EU verwerken, moeten marktplaatsen voldoen aan de AVG.
  
• Onder de AVG moeten marktplaatsen bepaalde informatie aan klanten en verkopers verstrekken en hun toestemming verkrijgen. Ze moeten persoonsgegevens beveiligen, registers van verwerkingsactiviteiten bijhouden en het voor personen makkelijk maken om hun rechten uit te oefenen.
  
• Marktplaatsen moeten hun betrokkenheid bij gegevensverwerking definiëren, indien nodig contracten voor gezamenlijke verwerkingsverantwoordelijken opstellen en strenge ken-je-klant KYC-controles (Know Your Customer) uitvoeren om hun klanten te verifiëren.
  

Overzicht van de AVG

De AVG is een Europese wet die de online bescherming en beveiliging van persoonsgegevens in de EU reguleert. De wet versterkt de rechten van de gebruiker en helpt bij het creëren van een veiligere digitale omgeving. De AVG heeft gevolgen voor alle Europese ondernemingen – waaronder marktplaatsen – en internationale platforms die de persoonsgegevens van EU-inwoners verwerken.

Volgens de AVG worden gegevens als persoonlijk beschouwd als ze direct of indirect kunnen worden gebruikt om een particulier te identificeren. Dit omvat voor- en achternamen, e-mailadressen, fysieke en IP-adressen (Internet Protocol), bankgegevens, telefoonnummers, identificatienummers en internetgedrag.

Voor marktplaatsen is AVG-compliance verplicht. Het kan ook helpen om vertrouwen op te bouwen bij klanten en leveranciers, en het merkimago te versterken.

Algemene AVG-verplichtingen voor marktplaatsen

Volgens Artikel 13 en Artikel 14 van de AVG moeten platformen klanten en verkopers informeren dat hun persoonsgegevens het onderwerp zijn van verwerking. Voor specifieke soorten verwerking, waaronder gerichte advertenties en e-mailmarketing, moeten verkopers en klanten toestemming kunnen geven voor de verzameling en het gebruik van hun gegevens.

Marktplaatsen moeten ook zorgen voor adequate gegevensbeveiliging, registers van gegevensverwerkingsactiviteiten bijhouden en particulieren de mogelijkheid bieden om hun rechten uit te oefenen.

Klanten en verkopers informeren

Klanten en verkopers op een platform hebben het recht om te weten of hun persoonsgegevens worden verzameld, opgeslagen, gebruikt of naar externe partijen worden verzonden. Op het moment dat gegevens worden verzameld, moeten marktplaatsen privacybeleid weergeven dat in duidelijke en eenvoudige bewoordingen het type verzamelde gegevens, de opslagperiode en het doel van de verzameling vermeldt. Ze moeten ook een juridische basis hebben om de verzameling te rechtvaardigen.

Artikel 6 van de AVG somt de juridische bases op voor het verzamelen en verwerken van persoonsgegevens:

• Uitvoering van een contract
  
• Uitdrukkelijke toestemming van de particulier
  
• Compliance met een juridische verplichting
  
• Bescherming van vitale belangen
  
• Vervulling van een taak van algemeen belang
  
• Behartiging van een gerechtvaardigd belang (bijv. websitebeveiliging, fraudepreventie, interne administratie, marketing)
  

Marktplaatsen moeten klanten en verkopers ook informeren als hun gegevens worden gedeeld met externe partijen (bijv. onderaannemers of betaaldienstverleners) en de namen van ontvangers van gegevens vermelden. Voor compliance met de AVG is het belangrijk om ervoor te zorgen dat het privacybeleid makkelijk toegankelijk is. Ze kunnen bijvoorbeeld worden weergegeven wanneer klanten en verkopers accounts aanmaken of op elke webpagina.

Toestemming vragen

In bepaalde gevallen moeten marktplaatsen geïnformeerde toestemming van particulieren verkrijgen om hun gegevens te gebruiken, met name wanneer de verwerking niet is gebaseerd op een van de juridische gronden (bijv. de uitvoering van een contract of een gerechtvaardigd belang).

Specifiek is er toestemming vereist voor e-mailmarketing, niet-essentiële cookies, gegevensverzameling die tot discriminatie kan leiden (bijv. op basis van etniciteit of geaardheid) en het hergebruik van gegevens voor andere doeleinden.

Klanten en verkopers moeten voorafgaand aan de verwerking vrijelijk en ondubbelzinnig toestemming kunnen geven. De gebruikte taal moet duidelijk, eenvoudig en makkelijk te begrijpen zijn. Marktplaatsen mogen geen vooraf aangevinkte selectievakjes gebruiken.

Gegevens beschermen

Een noodzakelijk onderdeel van compliance met de AVG is het beschermen van persoonsgegevens. Platformen moeten betrouwbare beveiligingsmaatregelen nemen en anticiperen op frauduleuze activiteiten. Ze moeten opgeslagen gegevens versleutelen en het Transport Layer Security (TLS)-protocol volgen. Dit voorkomt dat onderschepte, gelekte of gestolen gegevens kunnen worden gelezen. Marktplaatsen moeten ook voldoen aan de vereisten van de Payment Card Industry Data Security Standard (PCI DSS) om betaalinformatie te beschermen.

Voor een extra beveiligingslaag kunnen marktplaatsen ook SCA (sterke cliëntauthenticatie) vereisen bij het inloggen op accounts en de toegangsrechten van werknemers beperken.

De meeste platformen stellen een functionaris voor gegevensbescherming (FG) aan om toezicht te houden op compliance met de AVG. FG's zijn nuttig bij het op grote schaal verwerken van gevoelige gegevens. Ze kunnen een onpartijdige beoordeling van de huidige praktijken voor gegevensbeheer geven en advies uitbrengen. Marktplaatsen moeten datalekken binnen 72 uur melden bij de juiste autoriteiten – de Commission for Information Technology and Civil Liberties (Commission nationale de l'informatique et des libertés of CNIL).

Let op: Marktplaatsen met onderaannemers (bijv. betaaldienstverleners of e-mailproviders) moeten ervoor zorgen dat de onderaannemers ook voldoen aan de AVG en een passend beveiligingsniveau handhaven. Artikel 28 van de AVG vereist het ondertekenen van verwerkersovereenkomsten (Data Processing Agreements, DPA's) om het gebruik van onderaannemers te regelen.

Verwerkingsregisters bijhouden

Volgens Artikel 30 van de AVG moeten marktplaatsen die online persoonsgegevens verwerken en meer dan 250 werknemers hebben, verwerkingsregisters bijhouden. Registers moeten gedetailleerde beschrijvingen van de verwerking bevatten die een overzicht geven van de uitgevoerde bewerkingen. Dit omvat informatie over betrokken partijen (bijv. verwerkingsverantwoordelijken, FG's en onderaannemers), gegevenscategorieën, gegevensgebruik, ontvangers van gegevens, bewaartermijn en beveiligingsmaatregelen.

Platformen met minder dan 250 werknemers hoeven alleen registers bij te houden voor bepaalde soorten verwerking.

Individuele rechten respecteren

Elke entiteit die aan de AVG is onderworpen, moet de rechten op gegevensbescherming respecteren en het voor particulieren makkelijk maken om hun rechten uit te oefenen. Hieronder vallen het recht op inzage, rectificatie, bezwaar en beperking van de verwerking, en de rechten op verwijdering en overdraagbaarheid van gegevens.

Verplichtingen van marktplaatsen voor klanten onder de AVG

Onder de AVG moeten marktplaatsen de regel van minimalisatie volgen, wat betekent dat ze alleen persoonsgegevens mogen verzamelen die strikt noodzakelijk zijn voor het vermelde doel. Dit principe is van toepassing op zowel klanten als verkopers.

Dit betekent dat platformen alleen de minimale hoeveelheid informatie mogen verzamelen die nodig is voor bestellingen, en het is platformen verboden om gegevens voor ongedefinieerde doeleinden te verzamelen.

Verplichtingen van marktplaatsen voor verkopers onder de AVG

Marktplaatsen moeten hun betrokkenheid bij de gegevensverwerking definiëren. Doorgaans worden ze beschouwd als verwerkingsverantwoordelijken van gegevens met betrekking tot platformactiviteiten. Dit omvat het aanmaken van accounts en het categoriseren van producten. Ondertussen worden verkopers beschouwd als verwerkingsverantwoordelijken van gegevens met betrekking tot geplaatste bestellingen.

Marktplaatsen kunnen echter als gezamenlijke verwerkingsverantwoordelijken worden beschouwd als ze een actieve rol spelen bij het bepalen van de doeleinden en methoden van de verwerking. Sommige marktplaatsen gaan bijvoorbeeld verder dan het verbinden van klanten met verkopers en gebruiken klantgegevens voor gerichte advertenties of loyaliteitsprogramma's. In deze gevallen moeten de partijen een contract voor gezamenlijke verwerkingsverantwoordelijken ondertekenen.

Dit maakt strenge ken-je-klant KYC-processen (Know Your Customer) nog belangrijker. Marktplaatsen moeten de identiteit van hun commerciële partners verifiëren voordat ze zakendoen met hen. KYC helpt verkopers te authenticeren en te zorgen voor veilige, betrouwbare, transparante omgevingen voor klanten.

Stripe Connect is speciaal ontworpen voor marktplaatsen. Het handelt het KYC-proces af door de identiteit van verkopers te verifiëren wanneer ze zich registreren voor het platform.

Hoe Stripe Connect kan helpen

Stripe Connect regelt geldstromen tussen meerdere partijen voor softwareplatforms en marktplaatsen. Het biedt snelle onboarding, geïntegreerde componenten, wereldwijde uitbetalingen en nog veel meer.

Connect kan je helpen bij het:

• Binnen enkele weken van start gaan: gebruik door Stripe gehoste of geïntegreerde functionaliteit om sneller live te gaan en vermijd de voorafgaande kosten en ontwikkelingstijd die gewoonlijk nodig zijn voor betalingsfacilitering.

• Betalingen op schaal beheren: gebruik tools en diensten van Stripe, zodat je geen extra middelen hoeft te besteden aan margeverslaggeving, belastingformulieren, risico's, wereldwijde betaalmethoden of onboarding-compliance.

• Wereldwijd groeien: help je gebruikers wereldwijd meer klanten te bereiken met lokale betaalmethoden en de mogelijkheid om eenvoudig omzetbelasting, btw en GST te berekenen.

• Nieuwe inkomstenbronnen aanboren: optimaliseer je betalingsinkomsten door bij elke transactie kosten in rekening te brengen. Haal voordeel uit de mogelijkheden van Stripe door fysieke betalingen, directe uitbetalingen, inning van omzetbelasting, financiering, betaalkaarten voor onkosten en meer op je platform mogelijk te maken.

Lees meer over Stripe Connect of ga vandaag nog aan de slag.

Veelgestelde vragen over de AVG en marktplaatsen