Persoonsgegevens openbaar maken: mag dat?

Mag je lijsten met namen openbaar maken? De vraag kregen we veel rond de eindexamens, maar krijgen we ook regelmatig van (sport)verenigingen. Het is leuk, handig en iedereen doet het, dus waarom zou het niet mogen? Daar bovenop kwam nog het nieuws van supermarkteigenaren die gegevens van vermeende winkeldieven met elkaar delen via WhatsApp. Mag dat?

Systeem van de AVG

Om te weten of je persoonsgegevens mag delen of online mag publiceren, moet je het systeem van de AVG volgen.

1. Welke grondslag kun je gebruiken
2. Wat is het doel van de verwerking
3. Wordt er niet meer verwerkt dan nodig?
4. Wordt het niet langer verwerkt dan nodig?
5. Wordt er voldaan aan de informatieplicht?

Misverstand: AVG geldt alleen voor bedrijven

Het is een groot misverstand dat de AVG alleen voor bedrijven zou gelden. Het gaat om de bescherming van de persoonsgegevens van betrokkenen. Alleen strikt huiselijk en privégebruik valt niet onder de AVG. Daarom mag je wel zelf foto’s maken van het kinderfeestje, kun je gewoon een adressenboekje bijhouden en lekker over anderen roddelen.

Ook eenmanszaken, stichtingen en verenigingen moeten zich dus aan de AVG houden.

Logisch ook: stel dat er hele lijsten met persoonsgegevens opeens via een sportvereniging, vrijwilligersorganisatie of eenmanszaak op straat komen te liggen? Dan heeft het geen zin dat (grotere) bedrijven het wel op orde moeten hebben.

Bovendien zou het sjoemelen met persoonsgegevens wel erg makkelijk maken. Gewoon zorgen voor een andere rechtsvorm en het zou opeens allemaal mogen. Geen wet die je tegen zou houden.

Welke grondslag?

Wanneer je persoonsgegevens wil delen of openbaar wil maken komen daar eigenlijk maar twee grondslagen voor in aanmerking: toestemming en gerechtvaardigd belang.

Het lastige van toestemming is natuurlijk dat je daadwerkelijk die toestemming moet vragen én krijgen. Bovendien mag toestemming weer worden ingetrokken. Voor veel mensen is dit te veel gedoe en zoeken daarom naar een andere uitweg.

Die uitweg zou soms het gerechtvaardigd belang kunnen zijn. In dat geval moet er een belangenafweging gemaakt worden tussen het privacybelang van de betrokkene en het belang van de andere partij om de persoonsgegevens openbaar te maken. Alleen als de inbreuk op de privacy niet te groot is, kan deze grondslag worden ingezet. Die afweging en de uitslag daarvan moet ook in de privacyverklaring terug te vinden zijn.

Gerechtvaardigd belang

De grondslag gerechtvaardigd belang kan alleen ingezet worden als de inbreuk op de privacy niet te groot is én het belang van de verwerker zwaarder weegt.

Nou is het publiceren van een lijst van geslaagden natuurlijk erg leuk. Een school wil dat vieren en wil laten zien hoe goed ze het hebben gedaan dit jaar. Probleem is dat als je publiceert wie er geslaagd is, je daarmee ook wat weggeeft over wie er niet geslaagd is. Daarnaast geef je nog veel meer weg, zoals een leeftijdscategorie, welk schoolniveau er is gevolgd en dat soort zaken. Persoonsgegevens die mogelijk helemaal niet zo publiekelijk bekend waren.

Hetzelfde geldt natuurlijk voor lijsten van verenigingen. Natuurlijk zijn er ledenlijsten en lijsten van teams etcetera. Binnen de competitie moeten de lijsten met de teams gedeeld worden. Maar dat hoeft natuurlijk nog niet openbaar op de website te staan. Misschien wil iemand helemaal niet dat collega’s weten dat hij/zij korfbalt, bang om gepest te worden, maar door het publiceren van de lijst is het opeens gemakkelijk te Googelen, terwijl het voor de vereniging helemaal niet nodig is om van elk lid persoonsgegevens te publiceren.

Voor het delen van persoonsgegevens in (grote) appgroepen geldt hetzelfde. Dat is dan geen privégebruik of huishoudelijk gebruik meer. Dus mag het delen van gegevens van vermeende winkeldieven ook niet. Net zoals het publiceren van bewakingsbeelden niet mag. Bewaar de beelden en andere gegevens en overhandig deze aan de politie bij het doen van aangifte.

Hulp nodig bij het voldoen aan de AVG? We helpen graag!