Privacy in de praktijk - Proportionaliteit en subsidiariteit

13 mrt '18

In de reeks ‘privacy in de praktijk’ lichten wij een aantal kernbegrippen uit het privacyrecht voor u toe. Deze keer gaat het over proportionaliteit en subsidiariteit. Wat houden deze begrippen in en hoe worden deze in de praktijk toegepast?

Eerder lichtten wij al toe dat bij het verwerken van persoonsgegevens eerst het doel (of de doelen) moeten worden vastgesteld. Bij het verwerken van persoonsgegevens spelen echter ook het proportionaliteitsvereiste en het subsidiariteitsvereiste een belangrijke rol. Hieronder leggen wij uit wat onder deze vereisten wordt verstaan.

Staat het doel van de verwerking in verhouding tot de inbreuk voor de personen van wie u persoonsgegevens verwerkt?

Het proportionaliteitsvereiste brengt met zich dat het doel van de verwerking van de persoonsgegevens in verhouding moet staat tot de inbreuk op de privacy van de betrokkene. Dit betekent ook dat persoonsgegevens niet langer mogen worden bewaard dan noodzakelijk. In dat kader is het van belang dat u een dataretentiebeleid opstelt, waaruit blijkt hoe lang u de verschillende persoonsgegevens bewaard. Sommige bewaartermijn volgen uit de wet, bijvoorbeeld op grond van belastingwetgeving. Hieruit volgt onder meer dat een werkgever een loonbelastingverklaring en een kopie van het identiteitsbewijs moet bewaren tot vijf jaar nadat de werknemer uit dienst is getreden. Voor bepaalde persoonsgegevens bestaan er richtlijnen zoals:

  • een bewaartermijn van twee jaar na uitdiensttreding voor het personeelsdossier; en
  • een bewaartermijn van vier weken na het einde van de sollicitatieprocedure voor sollicitatiegegevens.

Daarnaast mogen persoonsgegevens alleen toegankelijk zijn voor diegene die kennis moeten nemen van de informatie. Hiervoor is een autorisatiebeleid van belang waaruit volgt wie er toegang mogen hebben tot bepaalde persoonsgegevens. Hieruit kan onder meer volgen dat:

  • de toegang tot salarisgegevens beperkt is tot die personen die belast zijn met de salarisadministratie;
  • het personeelsdossier alleen kan worden ingezien door HR-medewerkers en de direct leidinggevende; en
  • klantgegevens slechts toegankelijk zijn voor de commerciële afdeling.

Daarnaast moet de verwerking effectief zijn. Als met de verwerking van de gegevens niet het gestelde doel kan worden bereikt, dan is de verwerking niet proportioneel.

Recent heeft de Centrale Raad van Beroep (CRvB) zich gebogen over de vraag of het opvragen van reisgegevens van studenten door Dienst Uitvoering Onderwijs (DUO) bij OV-chipkaartbedrijf Translink wel proportioneel was. Deze reisgegevens werden opgevraagd door DUO met het doel onderzoek te verrichten naar de rechtmatigheid van de aan een student verstrekte studiefinanciering, berekend naar de norm voor een uitwonende studerende. Bij DUO bestond het vermoeden dat de uitwonende beurs ten onrechte was verstrekt, omdat de student thuis zou wonen.

DUO vroeg van de desbetreffende student de reisgegevens op over een periode van achttien maanden. Aan de hand van de geraadpleegde relevante in- en uitstapgegevens wilde DUO het gebruikelijke reispatroon vaststellen en zo aanknopingspunten vinden voor de beantwoording van de vraag waar de student feitelijk zijn hoofdverblijf had. De CRvB oordeelde dat voor het vaststellen van een reispatroon een analyse van gegevens over een korte periode van bijvoorbeeld zes maanden doorgaans voldoende is. Echter, ter vergroting van de betrouwbaarheid van een dergelijke analyse kan wel worden toegestaan dat gegevens over een langere periode worden opgevraagd. Juist omdat daarmee soms ook ontlastend bewijs kan worden verkregen. De op te vragen reisgegevens moeten, gelet op het doel waarvoor ze worden opgevraagd, in beginsel betrekking hebben op de controledatum en de daarvóór gelegen periode en kunnen, bijvoorbeeld indien dat nodig is om een betrouwbare analyse te kunnen maken van de reisbewegingen, ook betrekking hebben op een korte periode daarna.

De CRvB vond deze verwerking van persoonsgegevens dus effectief en evenredig en daarmee werd aan het proportionaliteitsvereiste voldaan.

Kan het doel ook op een andere wijze worden bereikt waarbij de inbreuk op de privacy van de betrokkene minder is?

Op basis van het subsidiariteitsvereiste moet altijd gekeken worden of het beoogde doel dat voor de verwerking is vastgesteld, ook op een minder ingrijpende manier en / of met minder ingrijpende middelen kan worden bereikt. De gedachte hierachter is dat bij de verwerking van persoonsgegevens de privacy van de betrokkene en eventuele derden, zo min mogelijk geschaad mag worden.

Het subsidiariteitsbeginsel speelde bijvoorbeeld een belangrijke rol in de zaak die in 2016 door een treinreiziger aanhangig werd gemaakt tegen de Autoriteit Persoonsgegevens (AP), met als derde-partij de NS. De treinreiziger had zich op het standpunt gesteld dat de AP had moeten handhaven omdat het bij de NS alleen mogelijk was om een voordeelurenabonnement af te sluiten in combinatie met een persoonlijke OV-chipkaart. Door die combinatie worden de reisgegevens verwerkt zodra de treinreiziger wil reizen met het voordeelurenabonnement. Volgens de treinreiziger was dit in strijd met de Wet bescherming persoonsgegevens (Wbp) nu het volgens hem voor de uitvoering van het voordeelurenabonnement niet noodzakelijk is dat zijn reisgegevens verwerkt worden. De AP besloot echter om niet te handhaven en tegen dit besluit heeft de betreffende treinreiziger beroep ingesteld. De rechter heeft uiteindelijk geoordeeld dat de AP onvoldoende rekening heeft gehouden met het subsidiariteitsbeginsel door onvoldoende onderzoek te doen naar de mogelijkheden die de NS zou hebben om een voordeelurenabonnement aan te bieden waarbij minder persoonsgegevens verwerkt behoeven te worden.

Hoewel het er in deze zaak met name om ging of de AP nader onderzoek zou moeten doen en eventueel zou moeten handhaven, blijkt uit deze zaak duidelijk dat in de praktijk door de rechter veel waarde wordt gehecht aan het subsidiariteitsbeginsel en de handhaving daarvan door de AP.

Algemene verordening gegevensbescherming

Onder de Algemene verordening gegevensbescherming verandert er niets aan het belang van het proportionaliteitsbeginsel en het subsidiariteitsbeginsel. Deze belangrijke beginselen zullen relevant blijven voor de beoordeling van elke verwerking van persoonsgegevens, die op een andere grondslag worden verwerkt dan met toestemming van de betrokkene. Wanneer u persoonsgegevens verwerkt op basis van één van de ‘noodzakelijkheidsgrondslagen’, zal u zich telkens dienen af te vragen of de verwerking proportioneel is en of de verwerking voldoet aan de eis van subsidiariteit. Vuistregels daarbij zijn voor het bewaren ‘hoe korter, hoe beter’ en voor de toegankelijkheid ‘hoe minder, hoe beter’.

Lees meer artikelen in deze reeks:

Voor meer vragen over dit onderwerp kunt u terecht bij ons IT- en privacy team.

Deel dit artikel

Met uw inschrijving blijft u op de hoogte van de laatste juridische ontwikkelingen op dit gebied. Vul hieronder uw gegevens in om per e-mail op te hoogte te blijven.

Persoonlijke gegevens

 

Bedrijfsgegevens

Meer informatie over hoe we uw persoons­gegevens gebruiken, kunt u lezen in onze privacyverklaring. U kunt uw voorkeuren altijd wijzigen via de link ‘Profiel wijzigen' of u afmelden via de link ‘Afmelden'. Deze links vindt u onderaan ieder bericht dat u van Ploum ontvangt.

* Verplicht in te vullen velden.

Geïnteresseerd in

Persoonlijke gegevens

 

Bedrijfsgegevens

Meer informatie over hoe we uw persoons­gegevens gebruiken, kunt u lezen in onze privacyverklaring. U kunt uw voorkeuren altijd wijzigen via de link ‘Profiel wijzigen' of u afmelden via de link ‘Afmelden'. Deze links vindt u onderaan ieder bericht dat u van Ploum ontvangt.

* Verplicht in te vullen velden.

Geïnteresseerd in

Account aanmaken

Haal alles uit Ploum.nl. Binnen een minuut geregeld.

Ik heb al een account

Voordelen Mijn Ploum

  • Volgen wat u interessant vindt
  • Krijg aanbevelingen op basis van uw interesses

*Verplicht in te vullen velden.

Ik heb al een account

Voordelen Mijn Ploum

Volgen wat u interessant vindt

Krijg aanbevelingen op basis van uw interesses

{phrase:advantage_3}

{phrase:advantage_4}


Waarom vragen we uw naam?

We vragen u om uw voor- en achternaam zodat wij die kunnen gebruiken als u zich bijvoorbeeld inschrijft op een Ploum Kennisevent.

Wachtwoord

Er wordt automatisch een wachtwoord voor u aangemaakt. Zodra uw account is aangemaakt ontvangt u dit wachtwoord in een welkomstmail. U kunt er direct mee inloggen. Dit wachtwoord kunt u indien gewenst ook zelf aanpassen via de wachtwoord vergeten functie.