gegevensoverdraagbaarheid

Gegevensoverdraagbaarheid is een recht onder de Europese privacywetgeving waarmee een betrokkene persoonsgegevens die zij aan een verwerker heeft verstrekt, in een gestructureerd, gangbaar en machineleesbaar formaat kan ontvangen en deze kan overdragen aan een andere verwerker. Het doel is de controle over eigen data te vergroten en de interoperabiliteit tussen diensten te bevorderen.

Het recht is vastgelegd in artikel 20 van de Algemene Verordening Gegevensbescherming (AVG/GDPR). Het geldt wanneer de verwerking gebaseerd is op toestemming of de uitvoering van een overeenkomst, en wanneer de verwerker de gegevens automatiseerd verwerkt. Het gaat uitsluitend om persoonsgegevens die de betrokkene zelf aan de verwerker heeft verstrekt en die door de verwerker worden verwerkt. Het recht geldt niet voor anonieme data en kan beperkingen kennen als de overdracht de rechten van anderen schaadt of onverenigbaar is met andere wettelijke verplichtingen.

Wat wel en niet onder portabiliteit valt, omvat onder meer: gegevens die de betrokkene zelf heeft verstrekt en die op basis van toestemming of contract worden verwerkt; de data moet in eenstructuur en machineleesbaar formaat worden aangeleverd, bijvoorbeeld CSV, JSON of XML. Data die is afgeleid of geaggregeerd en geen directe persoonlijke data bevat, valt hier meestal buiten.

Een verzoek tot gegevensoverdraagbaarheid kan door de betrokkene worden ingediend bij de verwerker. De verwerker moet doorgaans binnen een redelijke termijn reageren, meestal één maand, mogelijk met uitstel van twee maanden. De verstrekte informatie moet duidelijk en bruikbaar zijn en de betrokkene in staat stellen de data over te dragen naar een andere verwerker.

In de EU handhaven privacytoezichthouders dit recht; in Nederland is dat bijvoorbeeld de Autoriteit Persoonsgegevens. Het bevordert keuzevrijheid, concurrentie tussen aanbieders en betere gegevenscontrole voor individuen.