Wanneer compliance voor kindergegevens van toepassing is en wat je daarna doet

Compliance voor kindergegevens is van toepassing wanneer een SaaS-product, supportproces, leverancier, AI-functie, analytics of klantinzet persoonsgegevens over kinderen verzamelt of gebruikt. De praktische reactie is bepalen waar die gegevens kunnen binnenkomen, of kinderen doelgroep, waarschijnlijke gebruikers of aanwezig in klantdata zijn, en dit vertalen naar eigenaren, controles en bewijs.

De GDPR geeft kinderen specifieke bescherming. Artikel 8 bevat extra voorwaarden wanneer toestemming wordt gebruikt voor informatiemaatschappijdiensten die rechtstreeks aan een kind worden aangeboden. De algemene leeftijd is 16 jaar, maar lidstaten mogen die verlagen tot 13. Onder de toepasselijke leeftijd is toestemming of autorisatie van degene met ouderlijke verantwoordelijkheid nodig.

Snelle beslisregel

Het onderwerp is in scope wanneer kinderen beoogde gebruikers, waarschijnlijke gebruikers, personen in klantdata of realistische deelnemers in een workflow kunnen zijn.

Dit omvat onderwijs, gezondheid, familie, communities, gaming, berichten, supporttickets, uploads, opnames, vrije tekst, analytics-events, AI-prompts en integraties. B2B sluit dit niet uit; een verwerker kan kindergegevens op instructie van een klant verwerken.

Wat daarna

Maak eerst een inventaris van invoerpunten, datacategorieën, doeleinden, grondslag, leeftijdssignaal, leveranciers, bewaartermijn, toegang en bewijsplaats. Beslis daarna hoe leeftijd wordt behandeld. Soms zijn beschermende defaults voor iedereen beter dan extra gegevens verzamelen voor leeftijdscontrole.

Controleer vervolgens grondslag en toestemming. Toestemming is niet automatisch juist. Als je die gebruikt, moeten uitleg, scope, intrekking, ouderlijke autorisatie en bewijs operationeel werken.

Veelgemaakte fouten

Veel teams zien B2B als uitsluiting, behandelen leeftijd als één vraag, vergeten ongestructureerde data of gebruiken toestemming zonder werkbaar intrekkingspad. Goed bewijs laat zien waarom kinderen wel of niet in scope zijn, welke controles zijn aangepast en wie ze beheert.

FAQ

Wanneer geldt dit voor SaaS?

Wanneer kinderen doelgroep of waarschijnlijke gebruikers zijn, in klantdata voorkomen of realistisch kunnen verschijnen in product-, support-, analytics-, AI- of leveranciersflows.

Wat documenteer je eerst?

Inventaris, leeftijdsaanpak, grondslag, toestemming of ouderlijke autorisatie, DPIA-besluit, privacy-defaults, leveranciers, retentie en bewijseigenaar.

Bronnen

Dit artikel steunt op de GDPR, EDPB-richtlijnen over toestemming en ICO-richtlijnen over de Children's Code.