- De AVG in een Q&A

De Algemene Verordening Gegevensbescherming beschermt de privacyrechten van personen en benoemt verantwoordelijkheden voor diegenen die persoonsgegevens verwerken van anderen (Europese Unie, 2016). Het is dus van belang te weten: 

• Wat persoonsgegevens zijn;
• Wat privacyrechten zijn;
• Wat onder verwerken wordt verstaan; 
• Wat de verantwoordelijkheden zijn voor de verschillende rollen die de AVG bij verwerkingen onderscheidt. 

En dit allemaal in de contect van wetenschappelijk onderzoek. 

Samengevat gelden er veel eisen met betrekking tot de verwerking van persoonsgegevens, maar deze moeten niet alleen worden nageleefd - ze moeten aantoonbaar worden nageleefd en dat vergt dus een vorm van verslaglegging en administratie. In de context van onderzoek past dit in een datamanagementplan, aangevuld bijvoorbeeld met een Data Protectie Impact Assessment (DPIA, Autoriteit Persoonsgegevens, n.d.a.).

Het is daarnaast belangrijk je te realiseren dat de AVG open normen hanteert, die maken dat het een algemeneverordening is, en nog een poos mee kan zonder gewijzigd te hoeven worden. De invulling van deze open normen maakt de correcte naleving van de AVG in concrete gevallen lastig. Om die reden heeft elke instelling een functionaris voor gegevensbescherming die de AVG in concrete gevallen kan uitleggen, vaak geholpen door een grotere privacy organisatie. Bij de naleving van de AVG gaat het vaak om de afweging tussen wat de AVG aangeeft en een gerechtvaardigd belang vanuit de instelling gezien.

Voorts is de AVG risico gebaseerd. Bij het verwerken van persoonsgegevens zijn risico’s gemoeid. Het is dus zaak deze risico’s te inventariseren (via een Data Protectie Impact Assessment (DPIA), het instrument dat de AVG specifiek benoemt) en vervolgens passende technische en organisatorische maatregelen te treffen die de geïdentificeerde risico’s mitigeren, en waarbij iemand de eventuele restrisico’s accepteert en daarvoor verantwoordelijkheid neemt.

Ten slotte beschermt de AVG de verwerking van persoonsgegevens van personen binnen de Europese Economische Ruimte, ook bijvoorbeeld door bedrijven of instellingen uit de USA of Azië. Deze bedrijven kunnen boetes krijgen voor het niet naleven van de AVG. Omgekeerd geldt dat persoonsgegevens van EU burgers niet zonder meer met landen buiten de Europese Economische Ruimte mogen worden gedeeld. Dit is een onderwerp waarover je onbewust onbekwaam kunt zijn. Weet dus dat dit speelt en wanneer het speelt en win advies in bij de privacy officer of de functionaris gegevensbescherming van je instelling.

Het antwoord op deze vraag staat in de AVG, artikel 4:

• Persoonsgegevens 

• Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon ("de betrokkene"); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

• Genetische gegevens 

• Persoonsgegevens die verband houden met de overgeërfde of verworven genetische kenmerken van een natuurlijke persoon die unieke informatie verschaffen over de fysiologie of de gezondheid van die natuurlijke persoon en die met name voortkomen uit een analyse van een biologisch monster van die natuurlijke persoon.

• Biometrische gegevens 

• Persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd, zoals gezichtsafbeeldingen of vingerafdrukgegevens.