Dataverzameling AVG: Een weerbarstige praktijk

In het mobiliteitsonderzoek hebben we er allemaal mee te maken: persoonsgegevens. Sinds 25 mei 2018 is de Algemene Verordering Gegevensbescherming (AVG) van kracht, internationaal ook wel de General Data Protection Regulation (GDPR). In het traject van omgang met die data zijn er feitelijk twee vragen van belang: is er sprake van verwerking van persoonsgegevens en is die verwerking rechtmatig?

Door: Jacob Schilder, Trajan

Persoonsgegevens zijn gegevens die betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon. Met name met het begrip ‘identificeerbaar’ moet omzichtig worden omgesprongen. Met het combineren van gegevens zou een persoon toch kunnen worden geïdentificeerd. Een voorbeeld hiervan is de postcode (4 cijfers+2 letters). Er zijn situaties denkbaar dat er maar één persoon woonachtig is binnen een bepaald postcodegebied, of dat er met een combinatie van andere gegevens, bijvoorbeeld het bezit van een blauwe auto, duidelijk wordt om wie het gaat. De Autoriteit Persoonsgegevens raadt dan ook aan om gegevens bij twijfel gewoon te behandelen als identificeerbaar.  

Wanneer daadwerkelijk is vastgesteld dat er persoonsgegevens worden verwerkt, moet de vraag worden gesteld of deze verwerking rechtmatig is. Persoonsgegevens mogen bewerkt worden als er geen andere manier is om het doel te bereiken. Er moet dan wel een grondslag, oftewel een reden, zijn. Postcodes verzamelen kan vitale belangen dienen, wat een geldige grondslag is. Maar met een grondslag ben je er nog niet, want is de manier van dataverwerking die je wilt gebruiken wel noodzakelijk? Dat hangt weer af van twee theoretische begrippen: proportionaliteit en subsidiariteit.  

Proportionaliteit gaat over de vraag of het doel van verwerking van persoonsgegevens in verhouding staat tot de inbreuk op de privacy van betrokkenen. Mag je privacy van voetgangers schenden met telcamera’s om te weten te komen hoeveel voetgangers een recreatiegebied betreden?  

Subsidiariteit gaat over de vraag of je je doel met andere, minder ingrijpende middelen kan bereiken. Zo kan aangevoerd worden dat je in plaats van met camerabeelden misschien met handwerk tellingen zou kunnen doen, met hetzelfde resultaat. 

De vraag of gegevensverwerking rechtmatig is levert op basis hiervan veel discussie op, vooral omdat er een duidelijk afwegingskader ontbreekt. Het beantwoorden van de vraag of de verwerkingsmethodiek proportioneel is ligt in principe bij de dataverantwoordelijke, bijvoorbeeld een gemeente. Deze vraagt immers een onderzoek uit, waarmee per definitie die proportionaliteit intern al bepaald zou moeten zijn. Subsidiariteit zou meer gebaseerd moeten zijn op aanwezige kennis bij de dataverwerker. Deze stelt immers een methodiek voor. Toch maken we vaak het omgekeerde mee: overheden die de onderzoeker vragen de proportionaliteit te beargumenteren, en juristen die op de stoel van de onderzoeker gaan zitten en meetmethodieken voorstellen die op dat moment vooral toekomstmuziek zijn (en voorgestelde methodes vanuit het oogpunt van subsidiariteit afwijzen). Daarmee wordt het werkelijke doel van de AVG voorbijgeschoten. Ook na drie jaar AVG lijkt dit proces nog niet te zijn uitgekristalliseerd.