persoonsverwerking

Persoonsverwerking verwijst naar elk proces waarbij persoonsgegevens worden toegepast, zoals verzamelen, vastleggen, ordenen, opslaan, gebruiken, doorgeven, koppelen, wijzigen en verwijderen. Persoonsgegevens zijn informatie over een geïdentificeerde of identificeerbare natuurlijke persoon.

Het wettelijke kader voor persoonsverwerking is de Algemene verordening gegevensbescherming (AVG). Verwerking mag altijd plaatsvinden op basis van een rechtsgrondslag en moet voldoen aan de beginselen van rechtmatigheid, eerlijkheid en transparantie, doelbinding, gegevensminimalisatie, en opslagbeperking.

Grondslagen (rechtsgronden) voor verwerking zijn onder meer: toestemming, uitvoering van een overeenkomst, wettelijke verplichting, vitaal belang, taak van openbaar gezag en gerechtvaardigd belang, mits afweging tussen privacy en belangen van betrokkenen.

Beginselen zijn verder: doelbinding; gegevensminimalisatie; juistheid; opslagbeperking; integriteit en vertrouwelijkheid; en verantwoording (accountability).

Betrokkenen hebben rechten zoals inzage, rectificatie, verwijdering, beperking van verwerking, dataportabiliteit, bezwaar en bescherming tegen ongeautoriseerde of oneerlijke geautomatiseerde besluitvorming (waar voorschriften bestaan).

Rollen in de verwerking: verwerkingsverantwoordelijke (controller) bepaalt het doel en de middelen; bewerker (processor) voert de verwerking uit namens de controller; bij gezamenlijke verwerkingsverantwoordelijken zijn afspraken vereist.

Beveiliging en verwerkerspraktijken omvatten passende technische en organisatorische maatregelen (TOM), zoals pseudonimisering en encryptie. Voor hoog-risico verwerking wordt vaak een gegevensbeschermingseffectbeoordeling (DPIA) aanbevolen of vereist.

Internationale doorgifte van persoonsgegevens naar landen buiten de EU/EER is aan voorwaarden gebonden: bij gebrek aan adequaatheidsbesluit moet bijvoorbeeld gebruik worden gemaakt van passende waarborgen, zoals standaardcontractuele clausules of bindende bedrijfsregels.

Toezicht op naleving ligt bij de Autoriteit Persoonsgegevens, die boetes en andere sancties kan opleggen bij tekortschietende naleving. Organisaties moeten privacy-by-design en privacy-by-default toepassen, en het bijhouden van verwerkingsactiviteiten.