Heeft jouw bedrijf een Functionaris voor de Gegevensbescherming nodig?

Een persoonsgegeven is een tot een persoon herleidbaar gegeven. Dat is een breed begrip. Een naam, e-mailadres, HR-dossier, maar ook een IP-adres of internetprofiel kan een persoonsgegeven zijn. Verwerken is elke handeling die met gegevens gebeurt, van het verzamelen, vastleggen, ordenen, back-uppen, wijzigingen, raadplegen tot aan het vernietigen toe. Een leverancier die een SaaS-applicatie aanbiedt, verwerkt de persoonsgegevens van zijn klanten, ook als hij in de praktijk nooit naar die gegevens kijkt.

Naast gewone persoonsgegevens zijn er ook bijzondere gegevens. Bijzondere gegevens zijn gegevens betreffende iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gegevens over gezondheid, seksueel gedrag of gerichtheid, of strafrechtelijk relevante gegevens. Het maakt voor deze vraag niet uit of je deze gegevens zelf verwerkt (bijvoorbeeld ziekteverzuim in het HR-systeem, of een ‘zwarte lijst’ met sollicitanten die verdacht worden van stelen op het werk), of dat je de bijzondere gegevens voor klanten verwerkt (bijvoorbeeld omdat je een EPD, verzuimsoftware (medische informatie) of CRM-software voor kerkgenootschappen (geloof) middels SaaS aanbiedt, een remote database met vingerafdrukken beheert voor klanten in de cloud of als extern bureau fraude-onderzoeken doet in de IT-systemen van de klant).

De Avg spreekt van ‘hoofdzakelijk belast zijn met’. Het moet gaan om een verwerking van bijzondere gegevens die een onlosmakelijk onderdeel is van de bedrijfsactiviteiten. Als voorbeeld wordt genoemd de verwerking van medische gegevens door, maar ook voor, een ziekenhuis (bijvoorbeeld een SaaS-leverancier van een EPD, of een leverancier die om een andere reden bewerkingen op het medisch dossier uitvoert). Ondersteunende verwerkingen bijvoorbeeld voor HR of standaard IT-support diensten worden niet als core business gezien.

Er is geen definitie in de Avg gegeven, maar monitoring is in ieder geval elke vorm van tracking en profilering op internet of offline, waaronder ook behavioural advertising. ‘Regelmatig’ betekent voortdurend, of met gezette intervallen, steeds terugkerend, al dan niet op vaste tijden en doorlopend. ‘Stelselmatig’ betekent op grond van een systeem, georganiseerd en methodisch, als onderdeel van een vooropgezet plan en/of strategie voor het verwerken van data. Voorbeelden zijn telecommunicatienetwerken en -diensten, e-mail retargeting, profiling en scoring met als doel risico-assessment (bijvoorbeeld voor credit scoring, vaststellen van verzekeringspremies, fraudepreventie, detectie van witwaspraktijken), locatie-tracking (bijvoorbeeld door mobiele apps), loyaliteitsprogramma’s (klantenkaarten), monitoren van fitheid en gezondheid via wearables, cameratoezicht en connected devices.

De Avg kent twee soorten verwerkers: de Verwerkingsverantwoordelijke (VV) en de Verwerker (vroeger: bewerker). De partij die zich ‘eigenaar’ voelt van de gegevens is meestal de VV. Volgens de definitie is het de partij die doel en middelen van de verwerking vaststelt. Het ziekenhuis is VV voor de medische dossiers, een bedrijf is VV voor zijn CRM-bestand of HR-bestand. De Verwerker is degene die in opdracht van een klant bepaalde verwerkingen uitvoert. Een IT-bedrijf dat databases aanvult en beheert voor klanten, een extern administratie- en salariskantoor of een SaaS-leverancier zijn allemaal Verwerkers voor hun klanten.