De zes basisprincipes van de AVG uitgelegd

De zes basisprincipes van de AVG zijn rechtmatigheid, doelbinding, dataminimalisatie, juistheid, opslagbeperking en integriteit. Ze staan in artikel 5 van de Algemene verordening gegevensbescherming en gelden voor iedere organisatie die persoonsgegevens verwerkt.

Bijna elke privacyvraag die bij ons op tafel komt, is terug te voeren op die zes regels. Ze passen samen op één A4, en toch gaat het er in de praktijk voortdurend mis.

Sinds de invoering van de AVG in 2018 hebben organisaties die persoonsgegevens verzamelen er verantwoordelijkheden bij gekregen. De mensen van wie die gegevens zijn, kregen juist meer rechten. Houd je je niet aan de regels, dan kan de Autoriteit Persoonsgegevens een boete opleggen. En nee, dat gaat niet alleen over de grote jongens. De zzp’er met een klantenbestand in een spreadsheet valt er net zo goed onder.

Hieronder lopen we de zes langs, met wat ze betekenen zodra je ze op je eigen organisatie legt.

1. Rechtmatigheid, behoorlijkheid en transparantie

Persoonsgegevens verwerken mag alleen als je daar een geldige grondslag voor hebt. De AVG kent er zes:

1. Je hebt toestemming van de betrokkene.
2. De verwerking is nodig om een overeenkomst uit te voeren.
3. Je bent wettelijk verplicht om de gegevens te verwerken.
4. De verwerking is nodig om vitale belangen te beschermen.
5. Je voert een taak van algemeen belang uit of oefent openbaar gezag uit.
6. Je hebt een gerechtvaardigd belang bij de verwerking.

Voor strafrechtelijke gegevens en bijzondere categorieën persoonsgegevens, zoals gegevens over iemands gezondheid, ras of politieke opvattingen, gelden strengere regels. Verwerking moet bovendien redelijk zijn en passen binnen de maatschappelijke normen. Betrokkenen hebben het recht te weten welke gegevens over hen worden verwerkt.

Waar het bij onze cliënten het vaakst misgaat, is toestemming. Die moet vrij, specifiek en ondubbelzinnig zijn, en je moet hem kunnen intrekken. Een vooraf aangevinkt vakje voldoet daar niet aan. Vraag je als werkgever toestemming aan je personeel, dan loop je tegen iets anders aan. In een gezagsverhouding is toestemming zelden echt vrij, en dus vaak niet geldig.

2. Doelbinding

Verzamel gegevens alleen voor een vooraf bepaald, concreet en legitiem doel. Wil je dezelfde gegevens later voor iets anders gebruiken? Dan heb je daarvoor een nieuwe grondslag nodig. Gegevens die je voor doel A hebt verzameld, zet je dus niet stilletjes in voor doel B.

Denk aan het adressenbestand dat je hebt opgebouwd om bestellingen te bezorgen en dat vervolgens de basis wordt voor je nieuwsbrief. Klinkt onschuldig. Is het niet.

3. Dataminimalisatie

Verwerk zo min mogelijk persoonsgegevens. Niet meer dan wat strikt nodig is voor het doel waarvoor je ze hebt verzameld. Meer data is hier geen voordeel, het is een risico.

Een praktische tip: loop je eigen formulieren eens langs en vraag je bij elk veld af waarom het er staat. Een geboortedatum uitvragen bij een aanmelding voor een nieuwsbrief valt lastig uit te leggen.

4. Juistheid

Zorg dat de gegevens die je verwerkt kloppen en actueel zijn. Wie zijn gegevens bij jouw organisatie heeft staan, mag je vragen die te corrigeren als ze niet juist zijn. Dat verzoek kun je niet zomaar naast je neerleggen, want je hebt in beginsel een maand om te reageren.

5. Opslagbeperking

Gegevens bewaar je niet langer dan nodig voor het doel waarvoor je ze verzameld hebt. Voor elke categorie persoonsgegevens stel je bewaartermijnen in. Dat is geen nice-to-have, maar een verplichting.

Sollicitatiegegevens bijvoorbeeld bewaar je volgens de gangbare lijn vier weken na afronding van de procedure. Wil je iemand langer in beeld houden, dan vraag je daar toestemming voor en dan mag het een jaar.

6. Vertrouwelijkheid en integriteit

Gegevens die je verwerkt, beveilig je goed. Toegang alleen voor wie die nodig heeft, en bescherming tegen verlies, onbevoegde inzage of beschadiging. Een helder autorisatiebeleid is daarbij geen overbodige luxe.

Gaat het hier mis, dan zit je al snel in een heel ander gesprek. Namelijk dat over een datalek en de meldplicht die daarbij hoort. Wat je dan moet doen, lees je in wat moet je doen bij een datalek.

En dan is er nog de verantwoordingsplicht

Voldoen is één ding. Kunnen aantonen dát je voldoet, is het tweede. Die accountability staat in artikel 5 lid 2 en wordt structureel onderschat.

Een verwerkingsregister, vastgelegde bewaartermijnen en een privacyverklaring die klopt met wat je feitelijk doet: dat is je bewijs. Zonder die documentatie sta je zwak zodra de Autoriteit Persoonsgegevens vragen begint te stellen, ook als je in de praktijk netjes werkt.

Kortom, zes beginselen die je in een middag kunt doorlopen en die je daarna jaren gedoe besparen. Wil je weten of jouw organisatie ze op orde heeft? Kijk op onze pagina over privacyrecht of neem gerust contact op. Loopt er een verwerking waarvoor mogelijk een DPIA verplicht is, dan kijken we daar in dezelfde afspraak naar.