De Algemene verordening gegevensbescherming uitgelegd

• Inleiding
• Hoofdstuk 1 Wat zijn Persoonsgegevens?
• Hoofdstuk 2 De Belangrijkste Actoren: Je Rol Begrijpen als Verwerkingsverantwoordelijke of Verwerker
• Hoofdstuk 3 Reikwijdte van de AVG: Is het van Toepassing op Jou?
• Hoofdstuk 4 De Zeven Principes van Gegevensverwerking
• Hoofdstuk 5 De Wettelijke Grondslag voor het Verwerken van Gegevens
• Hoofdstuk 6 Toestemming, een Speciaal Geval
• Hoofdstuk 7 Gevoelige Gegevens: Verwerken van Bijzondere Categorieën Persoonsgegevens
• Hoofdstuk 8 Kinderengegevens
• Hoofdstuk 9 De Rechten van de Betrokkene: Een Overzicht
• Hoofdstuk 10 Transparantie en het Recht om Geïnformeerd te Worden
• Hoofdstuk 11 Recht op Inzage door de Betrokkene
• Hoofdstuk 12 Het Recht op Rectificatie en het Recht op Verwijdering
• Hoofdstuk 13 Het Recht op Beperking van Verwerking en het Recht op Gegevensportabiliteit
• Hoofdstuk 14 Het Recht op Bezwaar tegen Verwerking
• Hoofdstuk 15 Geautomatiseerde Besluitvorming en Profilerings
• Hoofdstuk 16 Verantwoordelijkheden van de Verwerkingsverantwoordelijke
• Hoofdstuk 17 Databescherming door Ontwerp en Standaardinstellingen
• Hoofdstuk 18 Registers van Verwerkingsactiviteiten
• Hoofdstuk 19 Databeveiliging en Reageren op Datalekken
• Hoofdstuk 20 Databeschermingseffectbeoordelingen
• Hoofdstuk 21 De Functionaris voor de Gegevensbescherming
• Hoofdstuk 22 Gedragscodes en Certificeringen
• Hoofdstuk 23 Overdragen van Persoonsgegevens naar Derdelanden
• Hoofdstuk 24 Toezichthoudende Autoriteiten en Samenwerking
• Hoofdstuk 25 Rechtsmiddelen, Aansprakelijkheid en Sancties bij Nalevingsschendingen

Denk eens aan je dag tot nu toe. Heb je je gewekt en een sociale-mediafeed op je telefoon gecheckt? Misschien heb je een navigatie-app gebruikt om files op weg naar je werk te ontwijken, terwijl je onderweg een koffie betaalde met een tik van je kaart. Op kantoor logde je in op je computer, stuurde je een paar e-mails en bladerde je misschien op een nieuwssite tijdens een korte pauze. Elk van deze schijnbaar onbelangrijke acties creëerde een rimpeling in de digitale wereld, een klein broodkruimeltje aan data dat direct aan jou is gekoppeld. Je locatie, je aankoopgewoontes, je politieke voorkeuren, je professionele netwerk, zelfs het moment dat je 's middags meestal een dip voelt – het is allemaal data.

Decennialang werd deze data verzameld, gedeeld, geanalyseerd en vaak gemonetiseerd met weinig toezicht en nog minder bewustzijn bij de mensen waar het over ging. Wij, de gebruikers, waren het product. Onze persoonlijke informatie was de valuta van de nieuwe digitale economie, verhandeld op een marktplaats die grotendeels onzichtbaar was en volledig ongecontroleerd. Bedrijven bouwden enorme imperia op de rug van deze data, terwijl individuen nauwelijks iets te zeggen hadden over hoe informatie over hun eigen leven werd gebruikt. De regels die bestonden, waren hoffelijk verouderd, geschreven voor een wereld van archiefkasten en dial-up modems, niet voor cloudcomputing en kunstmatige intelligentie.

Dit alles veranderde op 25 mei 2018. Op die dag trad de Algemene Verordening Gegevensbescherming (AVG) van de Europese Unie in volle werking. Het was niet zomaar nog een stuk bureaucratische rode lint uit Brussel; het was een seismische verschuiving in het wereldwijde gesprek over privacy en data. De AVG is wel de meest significante en uitgebreide wetgeving op het gebied van gegevensbescherming die ooit is aangenomen, en stelt een nieuwe hoogtepunt voor hoe organisaties met de persoonlijke gegevens van individuen moeten omgaan. Het doel was in theorie simpel, maar in de praktijk revolutionair: mensen weer controle geven over hun persoonlijke data.

De volledige naam van de wet is Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en betreffende de vrije verplaatsing van die gegevens, en tot intrekking van Richtlijn 95/46/EG. Dat is wel een mondvol, weshalb iedereen dankbaar de afkorting AVG gebruikt. Een belangrijk woord in die lange titel is "Verordening." In tegenstelling tot haar voorganger, de Richtlijn Gegevensbescherming van 1995, is de AVG geen set richtlijnen voor lidstaten om te interpreteren en hun eigen wetten rond te bouwen. Het is een enkele, geeënigd wet die direct en consistent in alle EU-lidstaten geldt, en een gelijk speelveld creëert van Dublin tot Dubrovnik.

Maar haar bereik strekt zich ver uit boven de geografische grenzen van Europa. De AVG heeft wat bekendstaat als "extraterritoriaal bereik." Dit betekent dat als jouw organisatie gevestigd is in, zeg maar, Californië, Tokio of Sydney, maar je goederen of diensten aanbiedt aan mensen in de EU, of hun gedrag monitorert (bijvoorbeeld via tracking-cookies op websites), de AVG van toepassing is op jou. In onze verbonden wereld, waar een bedrijf overal klanten kan hebben, maakt dit de AVG een werkelijk mondiale regeling. Het negeren ervan is geen optie voor een bedrijf met internationale ambities.

Dit boek is voor jou. Het is voor de oprichter van een start-up die een nieuwe app op een servet schetst, de marketingmanager die een nieuwe e-mailcampagne plant, de software-engineer die een nieuwe database bouwt, de kleinbedrijfseigenaar die gewoon zijn online winkel wil runnen zonder in de problemen te komen, en de HR-professional die omgaat met gevoelige personeelsinformatie. Het is een gids voor niet-juristen, ontworpen om de AVG te demystificeren en haar dichte, juridische tekst te vertalen naar praktische, begrijpelijke termen. We lopen de vereisten, principes en verplichtingen door zonder de "hiertoes" en "waarbijs" die juridische documenten zo ondoorgrondelijk maken.

Ons doel is je niet overnachten tot specialist AVG-wetgever te maken. Dit boek is geen, en mag niet worden beschouwd als juridisch advies worden beschouwd. De wereld van gegevensbescherming is complex en contextafhankelijk, en voor specifieke situaties of juridische uitdagingen is er geen vervanging voor het raadplegen van een gekwalificeerd juridisch professional die jouw unieke omstandigheden begrijpt. In plaats daarvan heeft dit boek tot doel je uit te rusten met een krachtig en uitgebreid begrip van het landschap van de AVG. Het helpt je de juiste vragen te stellen, potentiële problemen te signaleren voordat ze grote problemen worden, en effectiever te communiceren met juridische experts, klanten en toezichthouders.

Sinds haar ontstaan is de AVG het onderwerp geweest van talloze mythen en misverstanden. Voor velen is de verordening synonym geworden met de golf "we hebben ons privacybeleid bijgewerkt" e-mails die onze inboxen vulden in het voorjaar van 2018, of de alomtegenwoordige cookie-toestemmingsbanners die nu op bijna elke website opduiken. Hoewel dit zichtbare neveneffecten van de verordening zeker zijn, is het slechts de top van de ijsberg. De AVG is veel meer dan een set regels over cookies of privacybeleid.

Het is een fundamenele heroverweging van de relatie tussen individuen en de organisaties die hun data verwerken. Het gaat niet alleen om het voorkomen van grote datalekken, hoewel dat zeker een belangrijk onderdeel is. Het gaat om de volledige levenscyclus van data, van het moment dat het wordt verzameld tot het moment dat het veilig wordt verwijderd. Het introduceert kernprincipes als "dataminimalisatie," het idee dat je alleen de data moet verzamelen die je absoluut nodig hebt voor een specifiek doel, en concepten als "gegevensbescherming door ontwerp en standaardinstelling," die vereisen dat je privacybescherming in je producten en diensten inbouwt vanaf het allereerste begin, in plaats van er later als een nagelaten gedachte op te proppen.

Dit boek is zo gestructureerd dat het je op een logische reis door de verordening meeneemt. We gaan het niet van Artikel 1 tot Artikel 99 lezen, wat een zeker pad naar waanzin zou zijn. In plaats daarvan hebben we het opgedeeld in een reeks hoofdstukken, elk gericht op een kernthema of verantwoordelijkheidsgebied, zodat je je kennis laagje bij laagje kunt opbouwen. De complete tekst van de AVG is als referentie bijgevoegd, zodat je altijd de bronmateriaal kunt raadplegen, maar dit boek zal je gids en tolk zijn.

We beginnen onze reis in Hoofdstuk 1 met de meest fundamentele vraag: Wat is precies "persoonlijke data" onder de AVG? Het antwoord is veel breder dan je misschien denkt, en gaat ver verder dan alleen een naam of een e-mailadres. Deze definitie begrijpen is de eerste en meest cruciale stap, aangezien het bepaalt of de verordening van toepassing is op de informatie die je verwerkt.

In Hoofdstuk 2 stellen we de belangrijkste spelers in het AVG-universum voor: de "verantwoordelijke" en de "verwerker." Dit zijn cruciale rollen die verantwoordelijkheid en aansprakelijkheid definiëren. Je moet weten welke je bent (of of je soms beide bent), aangezien je verplichtingen onder de wet zwaar afhangen van deze onderscheid.

Hoofdstuk 3 behandelt de allesbeslachtsende vraag van toepassingsgebied. Geldt de AVG überhaupt voor jou en jouw organisatie? We verkennen het materiële en territoriale toepassingsgebied van de verordening in detail, en helpen je begrijpen wat je activiteiten onder het argusogen van Europese toezichthouders brengt.

Daarna gaan we naar het hart van de verordening. Hoofdstuk 4 introduceert de zeven kernprincipes van gegevensverwerking. Deze principes – waaronder rechtmatigheid, eerlijkheid en transparantie; doelbeperking; en dataminimalisatie – zijn de leidsterren van de AVG. Ze zijn geen suggesties; ze zijn de fundamentele regels die elke enkele gegevensverwerkingsactiviteit die je onderneemt, moeten onderbouwen.

Hoofdstuk 5 duikt in de zes wettelijke grondslagen voor het verwerken van data. De AVG is helder: je mag geen persoonlijke data verwerken gewoon omdat je dat wilt. Je moet een geldige, wettelijke reden hebben. We onderzoeken elk van deze rechtvaardigingen, van het verkrijgen van toestemming van de gebruiker tot het nakomen van een overeenkomst of het nastreven van een "gerechtvaardigd belang."

Omdat het een zo cruciale en vaak misverstane wettelijke grondslag is, wijden we Hoofdstuk 6 volledig aan het onderwerp toestemming. De AVG stelt een heel hoge eis aan wat geldige toestemming vormt. Deze moet vrijwillig, specifiek, geïnformeerd en ondubbelzinnig zijn. We splitsen wat dit in de praktijk betekent en verkennen de uitdagingen van het correct verkrijgen en beheren van toestemming.

Niet alle data is gelijk gemaakt. Hoofdstukken 7 en 8 richten zich op bijzondere categorieën data die extra bescherming genieten onder de wet. Dit omvat gevoelige informatie zoals gezondheidsdata, politieke meningen en biometrische data, evenals de persoonlijke gegevens van kinderen, die voorzien zijn in een eigen specifieke set regels en oudersalichtsvereisten.

Vervolgens verleggen we onze focus van de verplichtingen van organisaties naar de bemachtiging van individuen. Een van de hoofddoelen van de AVG is het voorzien van robuuste, afdwingbare rechten voor mensen over hun eigen informatie. Hoofdstukken 9 tot en met 15 zijn gewijd aan deze rechten. We beginnen met een algemeen overzicht voordat we een diepe duik maken in elk recht apart.

Hoofdstuk 10 kijkt naar het transparantieprincipe en het recht op informatie, wat je verplicht om mensen, in duidelijke en eenvoudige taal, te vertellen wie je bent, welke data je verzamelt, en wat je ermee doet. Hoofdstuk 11 behandelt het recht van toegang, wat individuen de macht geeft om je om een kopie van alle persoonlijke gegevens die je over hen hebt, te vragen.

Hoofdstuk 12 verkent twee van de meest bekende rechten: het recht op rectificatie (om onjuiste data te corrigeren) en het recht op verwijdering, beter bekend als het "recht om vergeten te worden." We kijken naar wanneer en hoe je moet voldoen aan verzoeken om de data van een persoon te verwijderen.

In Hoofdstuk 13 bespreken we het recht op beperking van verwerking, wat individuen toestaat om de verwerking van hun data in bepaalde omstandigheden tijdelijk te stoppen, en het krachtige recht op gegevensportabiliteit, wat hen in staat stelt om hun data van de ene dienstverlener naar de andere te nemen.

De laatste set rechten wordt behandeld in Hoofdstukken 14 en 15. We onderzoeken het recht op bezwaar, wat individuen de mogelijkheid geeft om hun data te stoppen voor zaken als direct marketing. We verkennen vervolgens de regels rond geautomatiseerde besluitvorming en profilering, die grenzen stellen aan de mogelijkheid van organisaties om significante beslissingen over mensen te nemen puur op basis van algoritmes, zonder menselijke tussenkomst.

De tweede helft van het boek gaat van het "wat" naar het "hoe." Het richt zich op de operationele en organisationele maatregelen die je moet nemen om compliant te zijn. Hoofdstuk 16 schetst de algemene verantwoordelijkheden van de verantwoordelijke, waaronder het overkoepelende principe van "rechenschaftplicht," wat vereist dat je niet alleen de AVG naleeft, maar ook kunt aantonen dat je het naleeft.

Hoofdstuk 17 is gewijd aan de spannende concepten van Gegevensbescherming door Ontwerp en Standaardinstelling. Dit is een proactieve, niet reactieve benadering van privacy, die vereist dat je gegevensbescherming in het weefsel van je systemen en processen insluit.

Om je naleving aan te tonen, heb je goede registraties nodig. Hoofdstuk 18 legt de verplichting uit om Registers van Verwerkingsactiviteiten (RVV's) te voeren, en detailt welke informatie je moet documenteren over je data-afhandelingspraktijken.

Hoofdstuk 19 pakt de cruciale onderwerpen dataschaats en inbraakresponse aan. We kijken naar de verwachting om "passende technische en organisatorische maatregelen" te implementeren om data te beschermen en leggen de strikte 72-uren tijdlijn uit voor het melden aan de autoriteiten – en in sommige gevallen de individuen zelf – in het geval van een datalek.

Voor bepaalde verwerkingsactiviteiten met hoog risico moet je kijken voordat je springt. Hoofdstuk 20 behandelt de verplichting om een Data Protection Impact Assessment (DPIA) uit te voeren, een formeel proces voor het identificeren en mitigeren van de privacyrisico's van een nieuw project voordat het gelanceerd wordt.

Sommige organisaties zijn verplicht een specifiek persoon aan te wijzen om hun nalevingsinspanningen te bewaken. In Hoofdstuk 21 bespreken we de rol en verantwoordelijkheden van de Functionaris Gegevensbescherming (FG), en helpen we je bepalen of je er een moet benoemen.

De AVG moedigt door de sector geleide best practices aan. Hoofdstuk 22 kijkt naar de rol van Gedragscodes en Certificeringsmechanismen als manieren voor organisaties om aan te tonen dat ze aan de standaarden van de verordening voldoen.

In onze globaliserde wereld blijft data zelden op één plek. Hoofdstuk 23 adresseert een van de meest complexe gebieden van de AVG: de regels voor het overbrengen van persoonlijke gegevens naar landen buiten de Europese Economische Ruimte, bekend als "derdelanden."

Ten slotte kijken we wat er gebeurt als dingen misgaan. Hoofdstuk 24 legt de rol uit van de onafhankelijke Toezichthouders (ook wel Autoriteiten Persoonsgegevens, of AP's genoemd) die verantwoordelijk zijn voor het toezien op en handhaven van de verordening in elk lidstaat.

En in Hoofdstuk 25 confronteren we het punt dat de meeste kopjes haalt: de rechtsmiddelen, aansprakelijkheid en sancties bij niet-naleving. We bespreken de ontzagwekkende boetes – tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van wat hoger is – en leggen uit welke factoren toezichthouders overwegen bij het opleggen ervan.

De reis naar het begrijpen en implementeren van de AVG kan ontmutend lijken. Het is een complex en verstrekkend stuk wetgeving dat zorgvuldige aandacht voor detail eist. Maar het is geen onoverkomelijk obstakel. Door het op te breken in zijn bestanddelen, zoals we in dit boek hebben gedaan, wordt het een beheersbaar, en zelfs logisch, kader.

Uiteindelijk is de AVG meer dan alleen een wettelijke verplichting; het vertegenwoordigt een culturele shift. Het vraagt ons om weg te gaan van een mindset van "data is van ons om te exploiteren" naar een van "data is geleend van individuen en we moeten verantwoordelijke beheerders ervan zijn." Deze nieuwe mindset omarmen gaat niet alleen om boetes vermijden; het gaat om vertrouwen bouwen. In een tijd van toenemende consumentenskepsis en zorgen over digitale privacy, kunnen aantonen dat je je gebruikers respecteert en hun data beschermt, is geen last, maar een krachtig concurrentievoordeel. Dit boek is je eerste stap op die reis.

Om de Algemene Verordening Gegevensbescherming (AVG) onder de knie te krijgen, moeten we beginnen bij de absolute basis, de fundamentele bouwsteen waarop het hele wetgevende reus – met honderd_drieënzeventig overwegingen, negenennegentig artikelen en boetes van miljoenen euro's – is gebouwd. We moeten antwoord geven op wat lijkt op een simpele vraag, maar in feite een van de meest complexe en verstrekkende vragen is in de digitale tijd: Wat is precies "persoonsgegevens"? Als de informatie die je verwerkt niet kwalificeert als persoonsgegevens, dan zwaait de AVG je voor het overgrote deel vrolijk toe en laat je met rust je gang gaan. Maar als het wel zo is, dan welkom in de club. Je hebt verplichtingen te vervullen.

De AVG geeft zelf een definitie, neergelegd in artikel 4, lid 1. Daar staat dat persoonsgegevens zijn "alle informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon." Er wordt vervolgens behulpzaam toegevoegd: "Een identificeerbare natuurlijke persoon is een persoon die direct of indirect geïdentificeerd kan worden." Deze definitie is de poort naar de gehele verordening. Laten we hem niet alleen lezen; laten we hem ontleden, stukje voor stukje, want elk enkel woord in die zin doet zware arbeid. Deze definitie begrijpen is geen academische oefening; het is de eerste en meest cruciale stap in compliantie. Mis dit, en alles wat je daarna doet, is gebouwd op een foutieve fundering.

Laten we eerst kijken naar de formulering "alle informatie." De keuze voor het woord "alle" is bewust en krachtig. Het signaleert dat de werkingssfeer hier ongelofelijk breed is. We praten niet alleen over nette, objectieve feiten die in een database staan, zoals een naam of geboortedatum. "Alle informatie" kan objectief zijn, zoals de lengte van een persoon of hun banksaldo. Het kan subjectief zijn, zoals de mening van een manager in een functioneringsgesprek, de beoordeling van een arts over de gezondheid van een patiënt, of de aangegeven voorkeur van een klant voor een bepaald product. Het kan een foto zijn, een spraakopname van een klantenservicegesprek, of zelfs een examenantwoord geschreven door een student. De vorm maakt niet uit; of het nu digitaal opgeslagen is, op papier, of op video vastgelegd, als het informatie is, valt het in het toepassingsgebied.

Vervolgens volgt de cruciale verbindingszin: "betreffende." De informatie moet over een persoon gaan. Dit is wat persoonsgegevens scheidt van alle overige data. Een weersverwachting voor Parijs is geen persoonsgegevens. Een kwartaalverslag van een bedrijf is geen persoonsgegevens. Een verslag over het energieverbruik van een Parisiaan, of een verslag over de bonus van de CEO van een bedrijf, daarentegen zijn het wel degelijk persoonsgegevens. De informatie is gekoppeld aan een individu. De rechtbanken hebben deze formulering over het algemeen breed uitgelegd, kijkend naar of de data – gelet op de inhoud, het doel of het effect – gelinkt is aan een bepaalde persoon. Als je data verwerkt met de bedoeling om de status of het gedrag van een individu te evalueren, behandelen of beïnvloeden, zal het bijna zeker als persoonsgegevens worden beschouwd die op die persoon betrekking hebben.

Nu komen we bij de kern van de kwestie: "een geïdentificeerde of identificeerbare natuurlijke persoon." Laten we dat verder ontleden. Een "natuurlijke persoon" betekent simpelweg een levende mens. De AVG is niet van toepassing op informatie over overleden personen, hoewel afzonderlijke EU-lidstaten hiervoor eigen, afzonderlijke wetten kunnen hebben. Hij is ook niet van toepassing op informatie over "rechtspersonen," de juridische term voor bedrijven, organisaties en andere entiteiten. Een e-mailadres zoals code>info@jouwbedrijf.nl</code is dus geen persoonsgegevens, omdat het doorgaans een functie aangeeft en geen specifieke persoon. Een adres als code>janneke.de.vries@jouwbedrijf.nl</code daarentegen is absoluut wel persoonsgegevens, omdat het duidelijk Janneke de Vries identificeert.

Het deel "geïdentificeerd of identificeerbaar" is waar de echte actie is. Een "geïdentificeerde" persoon is iemand die direct genoemd of uitgepikt is. Als een map gelabeld staat "Klantendossier Jan Jansen," dan is Jan Jansen een geïdentificeerde persoon. Dat is het eenvoudige deel. Het woord dat alle problemen veroorzaakt en de reikwijdte van de AVG zo dramatisch uitbreidt, is "identificeerbaar." Een identificeerbare persoon is iemand die kan worden uitgepikt, zelfs als je de naam niet kent. De verordening stelt dat dit "direct of indirect" kan gebeuren, wat een gigantisch landschap van mogelijkheden openbaart. Het betekent dat je niet alleen moet kijken naar de data die jij in handen hebt, maar ook naar elke andere informatie die redelijkerwijs door jou of door een ander gebruikt kan worden om die persoon te identificeren.

See het als een spelletje "Wie is het?" Je kent de naam van de karakter misschien niet, maar als je genoeg vragen kunt stellen – "Heeft jouw persoon een bril? Heeft hij bruin haar?" – kun je uiteindelijk alle andere kaartjes omlaag klappen en één uniek individu overhouden. Dat individu is nu "identificeerbaar." De AVG dwingt je om na te denken over welke informatiestukken, gecombineerd, iemand in staat zouden stellen om dit spel succesvol te spelen met de data die jij bezit. Dit wordt vaak het "mozaïekeffect" genoemd – losse tegeltjes data die op zich anoniem lijken, kunnen samengevoegd worden tot een helder plaatje van een specifieke persoon.

Om ons te helpen begrijpen wat iemand identificeerbaar maakt, geeft de AVG een niet-uitputtende lijst met "identificaties." Dat zijn de aanwijzingen in ons spelletje "Wie is het?" De meest voor de hand liggende zijn directe identificaties zoals een voor- en achternaar. Maar de lijst gaat veel verder. Er staan dingen als een identificatienummer, wat een door de overheid uitgegeven ID kan zijn zoals een paspoortnummer of burgerservicenummer, maar ook een intern toegewezen nummer zoals een personeelsnummer of klantnummer. Als een nummer uniek is voor een individu, is het een identificatie.

Daarna stappen we in het digitale domein met "locatiegegevens." In de huidige wereld is dit een enorme categorie. Het omvat de GPS-coördinaten van een smartphone, de locatie afgeleid van een WiFi-netwerk, of zelfs een simpel leveradres voor een pakketje. Als je data kunt gebruiken om vast te stellen waar een persoon is of is geweest, kan die data gebruikt worden om hen te identificeren. Stel je voor dat je het signaal van een mobiele telefoon volgt terwijl het beweegt van een specifiek woonadres naar een specifiek kantoorgebouw elke werkdag. Zelfs zonder naam, heb je de mogelijkheden enorm ingeperkt. Je hebt een identificeerbare persoon.

Misschien wel de belangrijkste categorie voor moderne bedrijven is "een online identificatie." Dit is een verzamelterm voor de digitale broodkruimels die we achterlaten elke keer dat we online gaan. Dit is waar veel bedrijven, die denken geen persoonsgegevens te verwerken, ontdekken dat ze dat wel degelijk doen. Een online identificatie kan een IP-adres zijn, het unieke nummer dat aan je toestel wordt toegewezen wanneer je verbinding maakt met het internet. Terwijl sommigen hebben aangevoerd dat dynamische IP-adressen (die periodiek veranderen) niet zouden tellen, zijn Europese rechters helder: omdat een Internet Service Provider (ISP) dat IP-adres op een specifiek moment kan koppelen aan een specifieke klantrekening, vormen het persoonsgegevens.

De lijst met online identificaties stopt er niet. Hij omvat cookie-ID's, de kleine tekstbestanden die websites op je browser plaatsen om je activiteit te traceren. Hij dekt reclame-ID's, zoals Apple's IDFA of Google's Advertising ID, die gebruikt worden om gebruikers over verschillende apps heen te volgen voor gerichte advertenties. Hij omvat ook het MAC-adres van een toestel, een unieke hardware-identificatie voor je telefoon of computer. Zelfs een gebruikersnaam of online alias kan een identificatie zijn. Terwijl CoolDude87 anoniem kan lijken, als die persoon dezelfde alias op meerdere platforms gebruikt, of als het gelinkt is aan een e-mailadres, wordt het snel een sleutelstuk van de identificatiepuzzel.

Tot slot bevat de definitie een ruime opvangcategorie: "een of meer kenmerken die specifiek zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon." Hier toont de definitie echt haar breedte. Het is de manier van de verordening om te zeggen: "Als het kan worden gebruikt om een mens te beschrijven of uit te pikken, is het waarschijnlijk persoonsgegevens." Laten we dit ontleden.

"Fysieke identiteit" omvat het duidelijke, zoals een foto of video-opnames van een persoon. Maar het dekt ook beschrijvende details zoals lengte, gewicht of haar kleur. "Fysiologische identiteit" kan verwijzen naar unieke biologische kenmerken. Hier komen we bij biometrische gegevens, zoals vingerafdrukken, netvliescans of gezichtsherkenningsjablonen. Deze worden beschouwd als een "bijzondere categorie" data met nog striktere regels, die we in Hoofdstuk 7 behandelen, maar voor dit hoofdstuk zijn het krachtige identificaties. Hetzelfde geldt voor "genetische data," zoals de resultaten van een DNA-test.

"Psychische identiteit" verwijst naar informatie over de psychische toestand of overtuigingen van een persoon. Dit kan van alles zijn, van notities van een psychiater tot de resultaten van een online personality quiz. De politieke meningen of filosofische overtuigingen van een persoon vallen onder deze paraplu, en zijn ook bijzondere categorieën data. Als je app gebruikers vraagt om hun stemming, verwerk je informatie die betrekking heeft op hun psychische identiteit.

"Economische identiteit" is een categorie die bijna elk bedrijf aanraakt. Het omvat het salaris van een persoon, hun bankrekeningnummer, hun creditcardgegevens, hun kredietwaardigheidsscore en hun aankoopgeschiedenis. Wanneer je bijhoudt wat een klant koopt, verwerk je hun economische data. Wanneer je hun betalingsgegevens opslaat voor een abonnementsdienst, is dat persoonsgegevens. Deze informatie is een direct raam in het leven en de financiële situatie van een persoon.

"Culturele identiteit" kan verwijzen naar de achtergrond, etniciteit of godsdienstige overtuigingen van een persoon. Ook dit zijn vaak bijzondere categorieën data, wat benadrukt hoe gevoelig ze zijn. Zelfs een dieetvoorkeur, zoals een verzoek voor een kosjere of halal maaltijd, kan informatie onthullen over culturele of godsdienstige identiteit en is daarom persoonsgegevens.

Ten slotte heeft "sociale identiteit" betrekking op de plaats van een persoon in de wereld en hun relaties. Dit omvat hun functietitel, hun werkgever, hun opleidingsniveau en hun sociale connecties. Je vriendenlijst op een sociaal mediaplatform is een vorm van sociale identiteitsdata. Informatie over de gezinsituatie en burgerlijke staat van een persoon valt ook rechtstreeks in deze categorie.

Het is cruciaal te begrijpen dat een enkel stuk informatie niet per se in staat hoeft te zijn om iemand te identificeren. De kracht van het "mozaïekeffect" betekent dat je alle data die je hebt in overweging moet nemen. Een dataset met alleen postcodes is geen persoonsgegevens. Een dataset met alleen geboortedata is geen persoonsgegevens. Maar als je een dataset hebt die postcodes, geboortedata en functietitels bevat, kun je ze misschien prima combineren om een individu uit te pikken. Er is bijvoorbeeld waarschijnlijk maar één 45-jarige hersenchirurg die woont in een heel specifieke, kleine postcodegebied. Je kent haar naam misschien niet, maar ze is nu identificeerbaar.

Dit brengt ons bij een heel belangrijk onderscheid dat een frequente bron van verwarring is: het verschil tussen geanonimiseerde data en gepseudonimiseerde data. Veel organisaties geloven dat ze, als ze gewoon de namen uit een dataset halen, deze met succes hebben geanonimiseerd en de AVG niet meer van toepassing is. Dit is een gevaarlijk en vaak onjuist vooronderstel.

Echte anonimisering is het proces van het zo grondig wegnemen van identificaties dat het onmogelijk wordt om de individuen in de dataset te heridentificeren. De koppeling tussen de data en de persoon is permanent verbroken. Dit is een extreem hoge standaard om te halen. Als er enig manier is, hoe ver te kennen ook, dat de individuen hergeïdentificeerd kunnen worden – misschien door de data te combineren met een andere publiek beschikbare dataset – dan is het niet echt anoniem, en geldt de AVG nog steeds.

Hier komt pseudonymisering aan bod. Artikel 4, lid 5 definieert dit als "de verwerking van persoonsgegevens op een dergelijke wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene toegeschreven kunnen worden zonder gebruik te maken van additionele informatie." In eenvoudige taal: het gaat om het vervangen van directe identificaties door een placeholder, of een pseudoniem. Een veelvoorkomend voorbeeld is het vervangen van de naam van een klant door een uniek referentienummer, zoals KLANT-8675309. De hoofddataset bevat nu het klantnummer en hun aankoopgeschiedenis, maar niet hun naam.

Hier is de cruciale lessons: gepseudonimiseerde data zijn nog steeds persoonsgegevens. Waarom? Omdat de "additionele informatie" – de sleutel die KLANT-8675309 terugkoppelt aan "Jenny Tutone" – apart wordt bewaard door de organisatie. Zolang die sleutel bestaat, blijft de potentie om de persoon te heridentificeren bestaan. Daarom "betreft" de data nog steeds "een identificeerbare natuurlijke persoon." Hoewel pseudonymisering de data niet buiten het toepassingsgebied van de AVG haalt, wordt het sterk aangemoedigd als een waardevolle beveiligingsmaatregel. Het vermindert risico's, en het implementeren ervan kan helpen bij het voldoen aan andere AVG-vereisten, zoals we in latere hoofdstukken zullen zien.

Om dit alles concreter te maken, laten we een paar praktijkvoorbeelden bekijken. Stel je runt een simpele e-commerce website. De naam van een persoon, hun leveradres en hun e-mailadres zijn allemaal duidelijk persoonsgegevens. De inhoud van hun winkelwagen, wanneer gekoppeld aan hun account, zijn ook persoonsgegevens, want ze onthullen informatie over hun economische activiteit en persoonlijke voorkeuren. Het IP-adres dat ze gebruikten om je site te bezoeken? Persoonsgegevens. De tracking cookie die je analysesoftware op hun browser plaatst? Ook persoonsgegevens.

Of overweeg een werkgever. De namen, adressen en bankgegevens van je werknemers zijn duidelijk persoonsgegevens. Hun arbeidscontracten, functioneringsbeoordelingen en eventuele tuchtregistraties zijn allemaal persoonsgegevens. Registraties van hun aanwezigheid, inclusief logs van wanneer ze hun beveiligingspas gebruiken om het gebouw binnen te komen, zijn persoonsgegevens die betrekking hebben op hun locatie en gedrag. Zelfs de beelden van de camera bewaking in je kantoor, als deze duidelijke beelden van werknemers vastleggen, zijn persoonsgegevens.

Wat met een foto van een kentekenplaat? Op zich is het slechts een reeks letters en cijfers. Maar in de meeste landen kan dat kentekennummer opgevraagd worden in een gouvernementele database om de geregistreerde houder van het voertuig te vinden. Omdat die koppeling gelegd kan worden, wordt het kentekennummer beschouwd als persoonsgegevens. De context en de potentie voor combinatie zijn alles.

Begrijpen wat persoonsgegevens vormt, is de eerste hord in je AVG-compliantie reis. De definitie is bewust breed gekozen om toekomstbestendig te zijn en rekening te houden met de steeds toenemende manieren waarop technologie gebruikt kan worden om individuen uit de menigte te pikken. Het dwingt je om verder te kijken dan alleen namen en e-mailadressen en een grondige audit uit te voeren van alle informatie die je verwerkt. De sleutelvraag die je je altijd moet stellen is niet "Ken ik de naam van deze persoon?" maar: "Kan ik, of iemand anders, met een redelijke hoeveelheid inspanning, uitvinden wie de betrokkene is van deze data?" Als het antwoord ja is, dan verwerk je persoonsgegevens, en is dit boek voor jou geschreven.