Quickscan: heb ik een FG nodig?

Naast gewone persoonsgegevens zijn er ook bijzondere gegevens. Bijzondere gegevens zijn gegevens betreffende iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gegevens over gezondheid, seksueel gedrag of gerichtheid, of strafrechtelijk relevante gegevens. Het maakt voor deze vraag niet uit of je deze gegevens zelf verwerkt (bijvoorbeeld ziekteverzuim in het HR-systeem, of een ‘zwarte lijst’ met sollicitanten die verdacht worden van stelen op het werk), of dat je de bijzondere gegevens voor klanten verwerkt (bijvoorbeeld omdat je een EPD, verzuimsoftware (medische informatie) of CRM-software voor kerkgenootschappen (geloof) middels SaaS aanbiedt, een remote database met vingerafdrukken beheert voor klanten in de cloud of als extern bureau fraude-onderzoeken doet in de IT-systemen van de klant).

De Avg spreekt van ‘hoofdzakelijk belast zijn met’. Het moet gaan om een verwerking van bijzondere gegevens die een onlosmakelijk onderdeel is van de bedrijfsactiviteiten. Als voorbeeld wordt genoemd de verwerking van medische gegevens door, maar ook voor, een ziekenhuis (bijvoorbeeld een SaaS-leverancier van een EPD, of een leverancier die om een andere reden bewerkingen op het medisch dossier uitvoert). Ondersteunende verwerkingen bijvoorbeeld voor HR of standaard IT-support diensten worden niet als core business gezien.

Er is geen definitie in de Avg gegeven, maar monitoring is in ieder geval elke vorm van tracking en profilering op internet of offline, waaronder ook behavioural advertising. ‘Regelmatig’ betekent voortdurend, of met gezette intervallen, steeds terugkerend, al dan niet op vaste tijden en doorlopend. ‘Stelselmatig’ betekent op grond van een systeem, georganiseerd en methodisch, als onderdeel van een vooropgezet plan en/of strategie voor het verwerken van data. Voorbeelden zijn telecommunicatienetwerken en -diensten, e-mail retargeting, profiling en scoring met als doel risico-assessment (bijvoorbeeld voor credit scoring, vaststellen van verzekeringspremies, fraudepreventie, detectie van witwaspraktijken), locatie-tracking (bijvoorbeeld door mobiele apps), loyaliteitsprogramma’s (klantenkaarten), monitoren van fitheid en gezondheid via wearables, cameratoezicht en connected devices.