Voorbeelden persoonsgegevens
Voor de hand liggende persoonsgegevens zijn iemands naam, adres, telefoonnummer en pasfoto. Maar persoonsgegevens zijn bijvoorbeeld ook wat iemand op internet koopt, of die persoon allergieën heeft en beelden van een bewakingscamera waar diegene herkenbaar op staat.
Een zakelijke e-mailadres met voor- of een achternaam is te herleiden tot een persoon. Daardoor valt ook deze verwerking onder de AVG. Wat dat betekent? Het bewaren van het e-mailadres is toegestaan, mits met toestemming (of een gerechtvaardigd belang) en mits je het voldoende onderbouwt in je privacy statement.
Gegevens van overleden personen, organisaties of dieren zijn geen persoonsgegevens volgens de AVG en vallen dus buiten het toepassingsgebied van de AVG. Op die gegevens kunnen wel andere wet- en regelgevingen van toepassing zijn.
Voorbeelden van gewone persoonsgegevens zijn: naam, adres, postcode, telefoonnummer, e-mailadres en IP-adres.
Zowel het invoeren van een wachtwoord, het controleren van het wachtwoord, als het hashen van een wachtwoord betreft dus een verwerking van persoonsgegevens. Van belang is wel dat er enige feitelijke macht moet kunnen worden uitgevoerd over die gegevens.
Uitvoering van de overeenkomst
Denk bijvoorbeeld aan een webwinkel die een naam en adres nodig heeft om producten te kunnen leveren. Is het verwerken van de persoonsgegevens alleen maar handig, maar niet noodzakelijk, dan kan deze grondslag niet gebruikt worden.
Informatie wordt beschouwd als een persoonsgegeven als het iets over een specifiek persoon zegt óf als deze informatie in combinatie met andere gegevens naar deze persoon te herleiden is. Gegevens van overledenen en organisaties zijn volgens de wet géén persoonsgegevens.
De AVG regelt dat bedrijven en organisaties persoonsgegevens zorgvuldig verwerken. U moet bijvoorbeeld een goede reden hebben om persoonsgegevens te verwerken. En u mag niet meer persoonsgegevens verzamelen en gebruiken dan echt nodig is. Die regels zijn hetzelfde voor heel Europa.
Schendingen van het recht op privacy zijn bijvoorbeeld onwettige huisvredebreuk en huiszoeking, onwettige persoonsregistratie en het onwettig afluisteren van iemands telefoongesprekken.
Het tonen van honderden e-mailadressen in cc komt neer op het – zonder toestemming – delen van persoonsgegevens, en kan daarmee volgens de AVG-regels kwalificeren als een datalek, aldus algemene informatie op de website van de Autoriteit Persoonsgegevens (AP).
De Autoriteit Persoonsgegevens stelt op haar website zeer expliciet dat onbeveiligde e-mail niet meer is toegestaan voor het verzenden van persoonsgegevens. De nieuwe privacy wetgeving stelt dat de verwerking van persoonlijke gegevens met passende maatregelen (zoals encryptie) beschermd dient te worden.
Je mag klanten mailen
Een persoon of bedrijf is klant wanneer ze een product of dienst hebben afgenomen. Je mag ze dan mailen over dezelfde soort producten of diensten. Staan de producten en diensten voldoende in verband met wat ze gekocht hebben, dan mag je daarover mailen.
Een ID (paspoort, rijbewijs of ID-kaart) bevat persoonsgegevens in de zin van de AVG. Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon zijn persoonsgegevens (artikel 4 lid 1 AVG). Ook informatie waarmee een persoon indirect of direct kan worden geïdentificeerd zijn persoonsgegevens.
Sommige gegevens zijn zo delicaat dat ze alleen in heel specifieke gevallen mogen worden verwerkt. Een naam en adres zijn eerder onschuldige gegevens, maar dat geldt niet voor bv. ras, gezondheid, politieke opvattingen, religieuze overtuigingen, seksuele voorkeuren of uw gerechtelijk verleden.
De AVG is niet van toepassing op: gegevens over overledenen. gegevens over rechtspersonen.
Bijzondere persoonsgegevens zijn gegevens van een gevoelige aard, zoals iemands ras, godsdienst of gezondheid. Deze gegevens worden door de wet extra beschermd; een organisatie mag namelijk geen bijzondere persoonsgegevens verwerken, tenzij daarvoor in de wet een uitzondering is.
Betrokkenen hebben het recht op kennis van het al dan niet verwerken van op hen van toepassing zijnde persoonsgegevens. Dit betekent dat een betrokkene in beginsel het recht heeft om in te zien welke persoonsgegevens van hem of haar verwerkt worden.
Dit mag niet in het personeelsdossier staan
Geloofsovertuiging. Ras. Politieke voorkeur. Lidmaatschap vakvereniging.
Zo zijn niet alleen gegevens als namen, telefoonnummers en woonadressen persoonsgegevens, maar ook bijvoorbeeld gegevens over iemands interesses, gedrag en locatie.
Zo kan bijvoorbeeld een telefoonnummer worden aangemerkt als een direct identificeerbaar gegeven. Indirect identificeerbare gegevens kunnen zijn ontdaan van de naam, doch onder omstandigheden door combinatie met andere gegevens weer worden teruggebracht tot een bepaalde persoon.
De AVG kent zes grondslagen: toestemming, uitvoering van de overeenkomst, wettelijke verplichting, vitaal belang van betrokkene of andere personen, algemeen belang of gerechtvaardigd belang.
Voorbeelden van bijzondere persoonsgegevens zijn gegevens die iets zeggen over iemands gezondheid, ras, godsdienst, strafrechtelijk verleden of seksuele leven. Ook een lidmaatschap van een vakvereniging is een bijzonder persoonsgegevens.
In de AVG is geen concrete bewaartermijn voor persoonsgegevens opgenomen. Organisaties mogen zelf bepalen hoe lang ze gegevens bewaren, maar gegevens mogen niet langer bewaard worden dan noodzakelijk.
