Een gebruiker van Dubraz verwijdert zijn account en vraagt om het wissen van zijn gegevens. Drie weken later ontvangt hij nog steeds e-mailmeldingen. Dit soort situatie, die op het eerste gezicht banaal lijkt, kan leiden tot een klacht bij de CNIL en een financiële sanctie. Het waarborgen van de naleving van persoonsgegevens op Dubraz in 2026 vereist concrete, verifieerbare acties, en vooral een operationeel beheer dat verder gaat dan de eenvoudige publicatie van een privacybeleid.
Traceerbaarheid van verzoeken om rechten op Dubraz
Verschillende recente sancties van de CNIL hebben betrekking op het ontbreken van een snelle en gedocumenteerde behandeling van verzoeken om rechten. Hier zien we een veelvoorkomend probleem: een contactformulier is niet voldoende om de naleving te bewijzen.
Op Dubraz moet elk verzoek (toegang, rectificatie, wissen, overdracht) worden getimestamp zodra het wordt ontvangen. Een speciaal register wordt aanbevolen, zelfs in de vorm van een spreadsheet, waarin de datum van ontvangst, de aard van het verzoek, de datum van antwoord en de uitgevoerde actie worden vastgelegd. Dit register wordt het bewijs in geval van controle.
De gegevensbeschermingsautoriteiten leggen nu de nadruk op operationele transparantie, niet alleen op juridische vermeldingen. Een artikel dat de naleving van persoonsgegevens op Dubraz in detail beschrijft, herinnert eraan dat de wettelijke reactietijd op een maand blijft staan. Het overschrijden van deze termijn zonder gedocumenteerde rechtvaardiging vormt een gekarakteriseerde tekortkoming.
Cookies en toestemming: wat de CNIL echt sanctioneert in 2026
Het plaatsen van trackers voordat de gebruiker actie onderneemt blijft de belangrijkste oorzaak van sancties met betrekking tot cookies. Op een platform zoals Dubraz moeten drie punten worden gecontroleerd voordat iets online wordt gezet:
- De toestemmingsbanner blokkeert effectief externe scripts (analytics, advertenties, sociale media) zolang de gebruiker niet op “Accepteren” heeft geklikt. Een test in de incognito-modus maakt het mogelijk dit in enkele seconden te verifiëren.
- De knop “Weigeren” is net zo zichtbaar en toegankelijk als de knop “Accepteren”, zonder gebruik te maken van een submenu of een minder contrasterende kleur.
- De toestemming wordt geregistreerd met een getimestamp bewijs, en de gebruiker kan op elk moment zijn keuze wijzigen via een permanente link onderaan de pagina.
De reacties variëren hierover, maar verschillende open-source consent management tools (CMP) maken het mogelijk om aan deze eisen te voldoen zonder een hoog budget. De gekozen tool moet echter worden geconfigureerd in de “strikte opt-in” modus voor Frankrijk.
Gezondheidsgegevens en gegevens van minderjarigen: twee risicovolle categorieën op Dubraz
De CNIL heeft in 2026 verschillende sancties opgelegd met betrekking tot slecht beschermde gezondheidsgegevens. Dit soort gegevens valt onder artikel 9 van de AVG en vereist versterkte maatregelen: versleuteling in rust en tijdens verzending, beperkte toegang tot alleen bevoegde personen, en een verplichte impactanalyse (DPIA) voordat er nieuwe verwerkingen plaatsvinden.
Als Dubraz informatie verzamelt die verband houdt met gezondheid (zelfs indirect, via formulieren of uitwisselingen tussen gebruikers), kan men niet volstaan met het standaard beveiligingsniveau. De opslag moet gescheiden zijn van andere databases, en de back-ups moeten onafhankelijk versleuteld zijn.
Bescherming van minderjarigen op online platforms
De CNIL heeft aangegeven dat in 2025 verschillende mobiele applicaties en online games de opdracht hebben gekregen om de leeftijdsverificatie te versterken. Op Dubraz, als de dienst waarschijnlijk een jong publiek aantrekt, wordt leeftijdsverificatie en versterkte transparantie een praktische verplichting, geen eenvoudige aanbevelingen.
We hebben het hier over concrete mechanismen: leeftijdsverklaring bij registratie met effectieve blokkering onder een bepaalde drempel, verifieerbare ouderlijke toestemming voor minderjarigen onder de 15 jaar in Frankrijk, en een privacybeleid geschreven in een taal die begrijpelijk is voor een tiener.
Technische beveiliging en CNIL-controles: een audit voorbereiden op Dubraz
Het risico op controle betreft niet langer alleen grote platforms. De CNIL heeft haar controles op kleinere sites en diensten geïntensiveerd. Voorbereiden op een audit betekent eerst beschikken over actuele documentatie.
Hier zijn de elementen die we snel moeten kunnen produceren in geval van controle:
- Het register van verwerkingen (artikel 30 van de AVG), bijgewerkt met elke nieuwe functionaliteit of gegevensverzameling die aan Dubraz is toegevoegd.
- De impactanalyses voor risicovolle verwerkingen (profilering, gevoelige gegevens, kruisbestuiving van databases).
- De contracten voor uitbesteding met elke technische dienstverlener (hosting, e-mailtool, CMP), inclusief de verplichte AVG-clausules.
- Het register van datalekken, zelfs als er geen datalek heeft plaatsgevonden: het document moet bestaan en expliciet de afwezigheid van incidenten vermelden.
Een leeg maar bestaand register is beter dan een ontbrekend register. De CNIL controleert eerst het vermogen van de organisatie om haar praktijken te documenteren, voordat ze zelfs maar de technische inhoud bekijkt.
Informatie-uitwisseling tussen Europese toezichthouders
In juli 2026 heeft het Europees Comité voor gegevensbescherming (EDPB) de Europese Commissie gevraagd om een juridische basis voor te stellen voor de uitwisseling van informatie tussen toezichthouders. Als dit voorstel wordt aangenomen, kan een klacht die in een ander EU-land is ingediend sneller leiden tot een controle in Frankrijk dan voorheen. Lokale naleving beschermt niet langer tegen een grensoverschrijdende melding.
Voor een online dienst zoals Dubraz, toegankelijk vanuit verschillende Europese landen, betekent dit dat de AVG-verplichtingen uniform moeten worden nageleefd, niet alleen volgens de Franse normen.
De naleving van de regels voor gegevensbescherming op Dubraz speelt zich niet af in de juridische vermeldingen. Het wordt opgebouwd in het register van verzoeken, de configuratie van de cookiebanner, de versleuteling van gevoelige gegevens en de documentatie die klaar is om te worden gepresenteerd. In 2026 sanctioneert de CNIL operationele afwijkingen, niet de intenties.
