Persoonsgegevens verwerken

Er geldt een bijzonder regime voor een aantal bijzondere gegevens die een grote inbreuk op privacy tot gevolg kunnen hebben. De AVG beschrijft bijzondere persoonsgegevens in artikel 9 het volgende:

gegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid

Deze gegevens mag u alleen van iemand vastleggen als u zijn uitdrukkelijke toestemming heeft gekregen. U moet informeren welke bijzondere persoonsgegevens u wilt verwerken en waarom, en hiervoor toestemming vragen. Dit hoeft niet als iemand deze gegevens zelf duidelijk openbaar heeft gemaakt.

In principe valt hieronder alles wat een organisatie met persoonsgegevens kan doen. Het registreren, verzamelen, verrijken, inzien, kopiëren maar ook vernietigen van gegevens en natuurlijk de doorgifte van persoonsgegevens aan een andere (internationale) organisatie. Het gaat ook om toepassingen, zoals het versturen van een nieuwsbrief, het maken van doelgroepselecties, het beantwoorden van een klacht.

Eigenlijk valt alles wat een organisatie kan doen met persoonsgegevens onder deze definitie. Het moet wel gaan om een bepaalde gestructureerde verwerking en de gegevens moeten in een bestand zijn opgenomen of bedoeld zijn om hierin te worden opgenomen. De naam van een collega roepen bij het koffiezetapparaat valt niet onder de reikwijdte.

Een organisatie mag alleen persoonsgegevens verzamelen als hij voldoet aan de vereisten uit de AVG (Algemene Verordening Gegevensbescherming). De AVG geeft aan dat een organisatie alleen persoonsgegevens mag verzamelen als:

• dit noodzakelijk is voor het doel wat u voor ogen heeft;
• u dit doel voorafgaand heeft omschreven;
• u niet meer gegevens verzamelt dan noodzakelijk voor dit doel;
• u voor de verwerking een wettelijk erkende reden (grondslag) heeft;
• u degene in uw bestand voorafgaand over de verwerking informeert;
• de rechten van degenen in uw bestand onder de AVG respecteert;
• de gegevens up-to-date worden gehouden;
• de gegevens worden verwijderd als u ze niet meer nodig heeft

Een verwerker is een organisatie die in opdracht van de een andere organisatie persoonsgegevens verwerkt, zonder onder het directe gezag te staan van die organisatie.

Verwerken kan zijn dat ze toegang hebben tot de persoonsgegevens, persoonsgegevens uitvragen, persoonsgegevens inzien of opslaan. Denk bijvoorbeeld aan een callcenter dat donateurs werft, een mail en verzendhuis dat direct mailings verzendt met adresgegevens, etc. Wilt u weten of een organisatie aangemerkt kan worden als verwerker? Bekijk dan ook dit stroomschema.

Het is common practice dat een organisatie werkzaamheden uitbesteed aan leveranciers. Wellicht doet een online bureau de vormgeving van de landingspagina’s en vangen zij de leads af of wordt geadresseerde post verstuurd door een verzendhuis. In dat geval moet er een verwerkersovereenkomst (soms verwerkingsovereenkomst genoemd) worden gesloten tussen opdrachtgever en leverancier.

Een verwerkersovereenkomst is een overeenkomst waarin afspraken staan over de verwerking van persoonsgegevens. Het maken van zulke afspraken is een verplichting onder de AVG als een organisatie in opdracht van een andere organisatie persoonsgegevens verwerkt, zonder onder het directe gezag te staan van die organisatie. In een verwerkersovereenkomst staat:

• Een uitgebreide opdrachtomschrijving, wat doet de verwerker?
• Instructies aan de verwerker over de verwerking.
• Een geheimhoudingsplicht.
• Eisen aan de technische en organisatorische beveiliging, denk bijvoorbeeld aan back-ups, EU hosting of twee factor authenticatie.
• Afspraken over het inschakelen van subverwerkers.
• Afspraken over hulp van de verwerker als betrokkenen hun privacyrechten uitoefenen (zoals het recht op inzage, correctie, vergetelheid en dataportabiliteit).
• Dataretentie: hoe lang mag de verwerker de gegevens bewaren en wanneer moet hij deze vernietigen of teruggeven.
• Het recht van de opdrachtgever om de verwerker te controleren op naleving van de afspraken d.m.v. een audit.

Hulp nodig bij het opstellen van een verwerkersovereenkomst of wilt u laten controleren of uw verwerkersovereenkomst volledig is? Maak gebruik van onze privacy consultancy dienst. 

Onder de vraag: “Wat zijn de beginselen van de AVG?” vindt u de voorwaarden waarop een organisatie persoonsgegevens mag verwerken.

Een van de vereisten is dat u als organisatie een grondslag moet hebben voor het verwerken van de persoonsgegevens. Als u persoonsgegevens verwerkt, is dat namelijk een inbreuk op de privacy van betrokkenen. Daarom vereist de wet dat u daarvoor een geldige reden heeft, een zogenaamde grondslag. Heeft u die niet, dan mag u ook geen persoonsgegevens verwerken.

De grondslagen vinden we terug in Artikel 6 lid 1 van de AVG. Hieronder ziet u de 6 grondslagen met daarbij een voorbeeld.

Er wordt verwezen naar ‘De betrokkene’, dat is degene wiens persoonsgegevens het betreft, bijvoorbeeld een klant, een relatie, een donateur, een werknemer, etc.

1. De betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens.
   Bijvoorbeeld: toestemming voor het ontvangen van een nieuwsbrief of het plaatsen van cookies.
2. De verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen.
   Bijvoorbeeld: het sluiten van een arbeidsovereenkomst, het plaatsen van een bestelling, het aangaan van een doorlopende donatie.
3. De verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting.
   Bijvoorbeeld: werkgever die aan Belastingwet voldoet door gegevens voor inkomstenbelasting te verwerken, het verstrekken van persoonsgegevens aan de politie n.a.v. een bevel.
4. De verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen.
   Bijvoorbeeld wanneer iemand gewond is en niet in staat om zelf te antwoorden op gezondheidsvragen, maar de medische hulpdiensten direct actie moeten ondernemen.
5. De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
   Bijvoorbeeld een gemeente die haar burgers informeert dat een paspoort over 3 maanden verloopt.
6. De verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.
   Bijvoorbeeld een organisatie die camera’s ophangt bij de ingang van het pand om eigendommen en personen te beschermen. Ook voor bepaalde marketing verwerkingen kunt u zich soms beroepen op het gerechtvaardigd belang, zoals het versturen van Direct Mail (post). Voor veel marketing verwerkingen is echter de grondslag ‘Toestemming’ aan de orde.Let op, wanneer u zich beroept op de grondslag ‘gerechtvaardigd belang’, moet u ook kunnen aantonen dat het belang van de organisatie voor gaat op het belang van het individu. Deze afweging moet u documenteren met behulp van een zgn. Legitimate Interest Assessment (LIA).

De AVG beschrijft in artikel 5 de ‘Beginselen inzake verwerking van persoonsgegevens’.

• Rechtmatigheid, behoorlijkheid en transparantie (AVG artikel 5, lid 1a). Een organisatie heeft voor iedere verwerking een rechtmatige grondslag nodig en de organisatie dient hierover transparant te zijn naar de betrokkenen.
• Doelbinding (AVG artikel 5, lid 1b). Gegevens mogen alleen voor uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en verwerkt worden.
• Minimale gegevensverwerking (AVG artikel 5, lid 1c). Er mogen niet meer gegevens verwerkt worden dan noodzakelijk is voor het behalen van de doelen.
• Juistheid (AVG artikel 5, lid 1d). De organisatie moet zich inzetten voor de correctheid van de gegevens.
• Opslagbeperking (AVG artikel 5, lid 1 e). Er dienen passende bewaartermijnen vastgesteld te worden.
• Integriteit en vertrouwelijkheid (AVG artikel 5, lid 1f). De organisatie dient passende technische en organisatorische maatregelen te nemen om de persoonsgegevens te beschermen.

Na het verstrijken van de bewaartermijnen, bijvoorbeeld twee jaar na het beëindigen van de klantrelatie, is het onvoldoende om deze mensen op bijvoorbeeld een suppressielijst of op ‘opt-out’ te zetten want u verwerkt de gegevens dan nog altijd.

In principe moet een organisatie alle gegevens die zij heeft verkregen uit de klantrelatie uit de database dan niet meer verwerken en dus verwijderen. Dat betekent het e-mailadres, telefoonnummer, maar in principe ook aankoop- en contacthistorie.

Een organisatie mag deze data eventueel wel langer bewaren maar daar moet dan een ander doeleinde voor bestaan zoals bijvoorbeeld vanwege een wettelijke verplichting (de fiscus kent een bewaartermijn van 7 jaar) of als bewijsmateriaal bij klachten. De onrechtmatige daad verjaart immers pas na 5 jaar. De persoonsgegevens die bovenmatig zijn voor deze doeleinden moeten worden verwijderd na het verstrijken van de bewaartermijnen voor marketing.

Op basis van het gerechtvaardigd belang (6f AVG) mogen dochtermaatschappijen onder een holding persoonsgegevens uitwisselen voor bijvoorbeeld validatie of direct marketing doeleinden. De consument moet hierover worden geïnformeerd in een privacy statement (op holdingniveau).

Dochtermaatschappijen mogen opt-out data die verzameld is op grond van het gerechtvaardigd belang (naam, adres en woonplaats) onderling uitwisselen. Dit geldt niet voor opt-in data zoals het e-mailadres en telefoonnummer. Deze mogen alleen worden verwerkt door de juridische entiteit die de opt-in heeft verkregen of een klantrelatie met geadresseerde heeft.

In Artikel 8 van de Algemene Verordening Gegevensbescherming (AVG) wordt de leeftijd van 16 jaar genoemd. Heeft een persoon de leeftijd van 16 jaar nog niet bereikt, dan heeft een organisatie toestemming van de ouders nodig voor het gebruik van het e-mailadres voor commerciële, ideële of charitatieve doeleinden.

Is toestemming niet nodig, bijvoorbeeld omdat er geen e-mailadres wordt verzameld, maar alleen reguliere adresgegevens, dan moet er altijd wel worden geïnformeerd wat er met de gegevens gaat gebeuren. Voor kinderen jonger dan 16 jaar geldt dat de ouders moeten worden geïnformeerd over wat er gedaan wordt met de gegevens en waar men terecht kan bij eventuele vragen en/of bezwaar.

De AP zegt in het algemeen over hergebruik van persoonsgegevens:

Het feit dat persoonsgegevens op internet staan, betekent niet dat ze zomaar opnieuw gebruikt mogen worden in een andere context, voor een ander doeleinde. Het nieuwe doel moet verenigbaar zijn met het oude doel en de verantwoordelijke dient een zelfstandige rechtvaardigingsgrond te hebben voor de publicatie.

Die rechtvaardigingsgrond betekent in feite dat de organisatie een gerechtvaardigd belang moet hebben voor het scrapen. Dat kan marketing zijn. En vervolgens moet dit belang zwaarder wegen dan het privacybelang van de consument. Dat zal erg afhangen van het ‘type’ data dat gescraped wordt.

Een verrijking met data uit openbare bronnen zoals Funda kan vaak weer niet. Bovendien is het zo dat het feit dat iemand ervoor kiest zijn woning vrij toegankelijk via internet te koop aan te bieden, geen “instemming” voor hergebruik van die gegevens inhoudt.

Indien u uw database verrijkt met persoonsgegevens uit openbare bronnen, is privacywetgeving van toepassing en dient u daarover te informeren. Dat informeren kunt u bewerkstelligen door in het privacy statement aan te geven dat de database eventueel wordt verrijkt met informatie uit een openbare bron (kvk, kadaster etc). Daarnaast is het van belang om na te gaan of de gebruiksvoorwaarden van de bron hergebruik toestaan.

Leontien Heck-Daum legt het ook uit in een video, bekijk deze op onze Mag dat pagina.