Persoonsgegevens

De AVG is van toepassing op iedere verwerking van persoonsgegevens. Een persoonsgegeven is ieder gegeven waarmee een levend mens kan worden geïdentificeerd.

Persoonsgegevens in het kort

Zoals hierboven te lezen is een persoonsgegeven ieder gegeven waarmee een levend mens kan worden geïndentificeerd. Om 'informatie' te kunnen bestempelen als een persoonsgegeven moet het dus betrekking hebben op een geïdentificeerde of identificeerbare levende natuurlijke persoon. Dit is de definitie die wordt gehanteerd in de AVG, de Europese privacywet. De AVG is van toepassing op elke verwerking van persoonsgegevens, dat wil zeggen elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens.

De AVG maakt het gemakkelijker om iets te bestempelen als een persoonsgegeven, omdat het niet langer nodig is om (ook) een naam te kunnen plakken op een persoon om deze te kunnen identificeren. De gedachte is dat een persoon ook prima te identificeren is door bijvoorbeeld zijn locatie en wat overige persoonskenmerken ("die lange meneer achterin de zaal", of "een jonge dame van 21 jaar met bovengemiddelde interesse in dure auto's").

Voorbeelden van persoonsgegevens zijn dus:

• Namen en adressen
• IP-adressen of MAC-adressen van telefoons gebruikt door individuele mensen
• Locatiegegevens van mensen (zoals een GPS-locatie)
• De resultaten van een toets. Ook als die aan een studentennummer te koppelen is (het studentennummer moet wel weer gekoppeld kunnen worden aan een individuele student).

Gegevens zijn géén persoonsgegevens als ze niet over een levend persoon gaan. De volgende voorbeelden zijn dus geen persoonsgegevens:

• De jaarcijfers van een BV
• Metingen van het geluidsniveau van de nabijgelegen snelweg
• Een foto van een voordeur waarbij het huisnummer niet in beeld is
• De overlijdensdatum van een oud-medewerker

Identificeerbaar (herleidbaar)

De AVG hanteert een ruim begrip van identificeerbaarheid. Het gaat niet alleen om gegevens die direct naar een persoon verwijzen, zoals een naam, een adres of een burgerservicenummer, maar ook om gegevens die indirect naar een persoon kunnen leiden, zoals een IP-adres, een locatie of een combinatie van kenmerken. Het maakt daarbij niet uit of de identificatie daadwerkelijk plaatsvindt of slechts mogelijk is. Ook hoeft het niet te gaan om unieke gegevens; als er meerdere personen zijn die aan dezelfde kenmerken voldoen, kunnen deze kenmerken nog steeds als persoonsgegevens worden beschouwd.

Hierdoor kunnen gegevens die apart genomen geen persoonsgegevens zijn, dit in de context wel zijn. Een datum zegt op zichzelf natuurlijk niks, maar een datum op een diploma met daarop andere identificeerbare gegevens wél. Bijvoorbeeld omdat die datum een bepaald kennisniveau aanduidt vanaf een bepaald moment.

Bij het bepalen of iemand herleidbaar is, moet gekeken worden naar alle middelen die redelijkerwijs gebruikt kunnen worden om de persoon te identificeren. Heb jij dus geen mogelijkheid, ook niet met de hulp van derden, om informatie te koppelen aan een persoon (bijvoorbeeld met behulp van extra gegevens), dan zijn het geen persoonsgegevens.

Bijzondere persoonsgegevens

Bijzondere persoonsgegevens zijn persoonsgegevens die extra gevoelig zijn en daarom een hogere mate van bescherming vereisen onder de AVG. Dit type persoonsgegevens omvat onder andere gegevens over iemands:

• Ras of etnische afkomst
• Gezondheidsgegevens
• Seksuele voorkeur
• Politieke opvattingen
• Religieuze of levensbeschouwelijke overtuigingen
• Lidmaatschap van een vakbond
• Genetische gegevens
• Biometrische gegevens

De reden dat deze gegevens als bijzonder worden beschouwd, is omdat ze direct of indirect kunnen leiden tot discriminatie, uitsluiting of stigmatisering van individuen. Daarom is het verzamelen, verwerken en opslaan van deze gegevens verboden, tenzij er sprake is van een specifieke uitzondering zoals toestemming van de betrokken persoon of noodzakelijkheid voor een specifieke doelstelling. In het geval van gezondheidsgegevens is bijvoorbeeld een uitzondering toegestaan als de verwerking noodzakelijk is voor de uitvoering van een zorgovereenkomst of om redenen van algemeen belang op het gebied van volksgezondheid.

Organisaties die bijzondere persoonsgegevens verwerken, zijn verplicht om passende technische en organisatorische maatregelen te treffen om de vertrouwelijkheid, integriteit en beschikbaarheid van deze gegevens te waarborgen. Dit kan onder andere inhouden dat de toegang tot deze gegevens beperkt is tot geautoriseerd personeel en dat er encryptie (ander woord voor het versleutelen van informatie om vertrouwelijkheid en integriteit te waarborgen) en beveiligde opslagmethoden worden gebruikt.

Let op: het is niet altijd direct duidelijk of iets een bijzonder persoonsgegeven is. Neem als voorbeeld een verzuimreden. Of een verzuimreden een bijzonder persoonsgegeven is, hangt af van de aard van de reden: een griep of gebroken been is een gezondheidsgegeven (en dus een bijzondere persoonsgegeven), maar een bruiloft of verhuizing niet.

Strafrechtelijke gegevens en andere 'gevoelige persoonsgegevens'

Hoewel de AVG dus een onderscheid maakt tussen 'gewone' persoonsgegevens enerzijds, en bijzondere persoonsgegevens anderzijds, lijken er een aantal gegevens tussen wal en schip te vallen die toch wel degelijk als 'gevoelig' aanvoelen, maar niet als bijzondere persoonsgegevens gecategoriseerd worden. Waardoor ze dus niet de bescherming genieten die de échte bijzondere persoonsgegevens wel krijgen. Hoe zit dat nou?

Allereerst zijn daar de persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten. Hoewel niet bijzonder in de zin van de AVG, zijn ze wel erg gevoelig. Komen dit soort gegevens op straat te liggen dan kan iemand te maken krijgen met o.a. uitsluiting, discriminatie en mogelijk zelfs financiële schade (denk bijv. aan de situatie dat iemand niet meer aan het werk komt omdat zijn naam wordt gekoppeld aan het plegen van een strafbaar feit). De wetgever heeft dit ook ingezien en ze daarom apart benoemd in de AVG. En wel in artikel 10 van de AVG. Zo mogen dit soort gegevens alleen verwerkt worden onder toezicht van de overheid of wanneer er een andere wettelijke basis voor bestaat.

En dan zijn daar nog het BSN en de financiële gegevens. Waar over het BSN is afgesproken dat dit identificatienummer enkel verwerkt mag worden als er in de wet staat dat dit mag, is er niks geregeld over het verwerken van de - toch wel gevoelige - financiële gegevens. Echter, dat er niks apart geregeld wordt in de wet over een categorie van persoonsgegevens hoeft niet per sé wat uit te maken. Uiteindelijk zal je per verwerking van persoonsgegevens na moeten gaan wat de risico's zijn bij het verwerken van die persoonsgegevens. Acht je dat risico groter bij het verwerken van bijvoorbeeld financiële gegevens? Dan zul je strengere beveiligingsmaatregelen moeten treffen. Zie ook: Passende technische en organisatorische maatregelen.