In Europa wordt later dit jaar strengere wetgeving voor bescherming van persoonsgegevens van kracht. Ook taxi- en touringcarbedrijven krijgen hier volop mee te maken: zij vervoeren immers mensen en verzamelen en gebruiken gegevens van die passagiers. Het is zaak om daar zorgvuldig mee om te gaan. 

De nieuwe Algemene Verordening Persoonsgegevens (AVG) vervangt ruim twintig jaar oude Wet Bescherming Persoonsgegeven. De AVG is nodig om in haken op het speelveld van persoonsgegevens, dat onder invloed van digitalisering enorm is veranderd in de afgelopen twee decennia. In mei vorig jaar ging de implementatieperiode van de verordening van start. Op 25 mei 2018 is de AVG daadwerkelijk van toepassing en kan overtreding ervan worden beboet.

Enorme PR-schade

“Als taxibedrijf dat actief is in het doelgroepenvervoer verzamel je behoorlijk wat persoonsgegevens en de AVG schrijft voor dat je goed voor die gegevens zorgt”, legt Matthijs Dessing uit. Hij is projectleider software en information security officer bij Korton, het softwarebedrijf dat veel taxibedrijven tot zijn klanten rekent. Hij benadrukt dat het een wet is om rekening mee te houden. “Naast boetes die kunnen oplopen tot 4 procent van de jaaromzet, loop je als bedrijf natuurlijk enorme PR-schade op als blijkt dat je de persoonsgegevens van je klanten niet goed hebt beschermd.”

Als het om persoonsgegevens gaat, is er een onderscheid in twee categorieën. Enerzijds de ‘reguliere’ gegevens, zoals naam, adres en woonplaats. Anderzijds zijn er zaken met betrekking tot bijvoorbeeld gezondheid die als zeer gevoelige persoonsgegevens te boek staan. Beide varianten moeten worden beschermd en Korton kan zijn klanten daarbij helpen.

Security awareness

“We verzorgen gratis trainingen voor onze klanten om hun directeuren en managers beter bewust van cyber security te maken. Die security awareness-traingen geven we als partner, zonder commercieel oogmerk. We willen samen goed omgaan met informatiebeveiliging. Naast die gratis trainingen kunnen we advies geven over informatiebeveiliging en daar voor de onderneming in kwestie een beleid voor opstellen. En natuurlijk werken we er hard aan om onze software als het ware AVG-proof te maken. Dat minimaliseert de kans dat er bij gebruik van de software onzorgvuldig met persoonsgegevens wordt omgegaan.”

Kopie van paspoort

Maar taxibedrijven dragen ook nadrukkelijk zelf verantwoordelijkheid. Dessing geeft het voorbeeld van data-minimalisatie: niet meer data verzamelen dan voor de bedrijfsvoering strikt noodzakelijk is. “Je kunt als touringcarbedrijf standaard om een paspoortkopie van de passagier te vragen, maar dat is alleen nodig bij reizen naar het buitenland. Naar iets wat niet altijd nodig is, moet je ook niet standaard vragen. En als er wel zo’n kopie wordt gemaakt, moet je weer goed nagaan of je echt alle gegevens nodig hebt die op het paspoort vermeld staan. Bedenk dus altijd goed welke persoonsgegevens je verzamelt en waar je ze voor nodig hebt.”