Bewaren van persoonsgegevens: het mag niet maar het moet wel!

| AE 6082 | Privacy | 16 reacties

ddr-backup-cartridge.jpgEen lezer vroeg me:

Volgens de Wet bescherming persoonsgegevens moet ik persoonlijke gegevens wissen zodra ik ze niet meer nodig heb. Echter, van andere wetten moet ik die gegevens dan nog bewaren (bv. financiële gegevens voor de Belastingdienst). Tevens heb ik natuurlijk backups, en die opschonen op zulke individuele bestanden is een ramp. Hoe moet ik daarmee omgaan?

De Wet bescherming persoonsgegevens bepaalt (art. 10 Wbp) dat persoonsgegevens moeten gewist of geanonimiseerd als het hebben van deze gegevens niet langer

noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.

Als je bijvoorbeeld klantgegevens verzamelt om als webwinkel een aankoop aan te nemen, dan zijn deze gegevens niet meer noodzakelijk voor het doel “leveren bestelling” zodra het product bij de klant over de drempel is. Eigenlijk moeten ze dus meteen daarna worden gewist.

Maar persoonsgegevens hangen vaak samen met meerdere doelen. Na levering van een product geldt bijvoorbeeld nog een retourperiode van zeven werkdagen, en de klant kan nog geruime tijd later terugkomen met een conformiteitsclaim. Om die af te handelen, zijn ook zijn gegevens nodig. En omdat er dan nog een doel is voor de persoonsgegevens, mag je ze alsnog bewaren.

De Belastingdienst eist dat je je financiële administratie zeven jaar bewaart (art. 52 Algemene wet inzake rijksbelastingen). Dat is een doel dat ook samenhangt met de afhandeling van de aankoop, want de factuur is deel van je administratie. Die moet je dus bewaren en die mág je dan ook bewaren.

In de praktijk moet je dus eigenlijk per document bepalen “waarom staan hier nog persoonsgegevens in” en dan eventueel besluiten te anonimiseren of weg te gooien. Je kunt bv. de factuur bewaren maar het klantrecord uit je bestellingen-database wissen.

Bij een backup is dit een lastige. Het is inderdaad een hele berg werk om in een backup van een jaar terug dat ene bestandje met bestelling van klant 481 te wissen. De Wbp zegt echter nergens “wissen hoeft niet als dat veel werk is”. En vanuit privacyoogpunt is “dan moet je je backupstrategie maar anders inrichten” een goed verdedigbaar standpunt.

Maar een lastige blijft het. Weten jullie een backupstrategie die zo privacyvriendelijk mogelijk is? Ik kom niet verder dan “maak geen incrementele backups want dan zit je met een hele oude full backup met data die krachtens Wbp weg moet”.

Arnoud

“Dit telefoongesprek wordt opgenomen voor servicedoeleinden”

| AE 6065 | Privacy | 14 reacties

telefoon.jpgEen lezer vroeg me:

Wij doen veel telefonische acquisitie en verkoop. Om geen discussie achteraf te krijgen, nemen wij al deze gesprekken op. Nu schreef jij ooit dat dat mag als je gesprekspartner bent, maar ik hoor ook van mensen dat ik dit écht moet vragen. Hoe zit dat nu?

Het kan erg verstandig zijn om zakelijke telefoongesprekken op te nemen, dat biedt je handig bewijs als er achteraf discussie ontstaat over wat er gezegd is of hoe dat bedoeld is. En ja, dat mag.

Het is niet verboden om je eigen gesprekken op te nemen – alleen andermans gesprekken opnemen is strafbaar (art. 139b Strafrecht). En in het geval van een opnemende werkgever geldt dat ook bij zakelijke(!) gesprekken van de werknemer.

Echter, wie structureel gesprekken opneemt en deze archiveert in het kader van zijn bedrijfsvoering, valt daarmee onder de Wet bescherming persoonsgegevens. Een gespreksopname is een persoonsgegeven, zeker als je het koppelt aan telefoonnummer, klantnaam of iets dergelijks dat helpt bij identificatie van de klant. En dan is het inderdaad verplicht de betrokken wederpartij te melden dat je dit doet, want de Wbp eist dat je de betrokkenen informeert over wat je met hun persoonsgegevens doet.

Daarnaast hebben die mensen inzagerecht in wat er over hen opgeslagen wordt (art. 35 Wbp). Dit betekent dus dat je een kopie van het gesprek, alsook eventuele transcripties moet afgeven als de wederpartij daarom vraagt.

Toestemming lijkt me formeel niet nodig. Je kunt de opnames rechtvaardigen onder het uitvoeren van de overeenkomst, waar ook de aanloop tot contractsluiting onder valt. Natuurlijk staat het de wederpartij vrij om af te haken zodra hij hoort “Dit gesprek wordt opgenomen voor trainingsdoeleinden”.

Overigens is precies die zin net wat onhandig. Hij klinkt leuk neutraal en positief, maar binnen de Wbp betekent die zin dat je de opname niet zomaar in kunt zetten voor van alles en nog wat. Je mag gegevens alleen gebruiken voor het doel waarvoor je ze verzamelt (en doelen die daar direct mee samenhangen). Trainen van je personeel hangt niet direct samen met bewijzen van een acquisitiegesprek. Je moet dus echt zeggen wat je gaat doen. Maar dan gaat Marketing weer piepen dat het klanten afschrikt.

Arnoud

Help, de helpdesk moet gaan skypen

| AE 5429 | Privacy | 43 reacties

skype-chatEen lezer vroeg me:

Bij ons bedrijf werkt de adviesdesk nu per telefoon, chat en e-mail. De directie wil echter naar Skype: zo kunnen klanten de medewerker dus zien, en dat zou de klant prettig vinden. Echter, niet alle werknemers voelen zich daar prettig bij want soms moet je vervelende gesprekken voeren en als klanten je dan kunnen zien, dan kunnen ze je later herkennen. Mag een werknemer weigeren Skype met video te gebruiken?

Een werkgever mag eenzijdig aanwijzingen geven hoe het werk moet worden uitgevoerd. Wel moet hij als goed werkgever de privacy respecteren. Het komt dus neer op een afweging van belangen: hoe groot is de privacy en hoe groot is het bedrijfsbelang? Kan een goed werkgever zoiets verlangen van werknemers, past dit binnen een goede uitvoering van de functie?

Natuurlijk is er de Wet bescherming persoonsgegevens, die gaat ook over video-opnames van werknemers. Maar die wet (net zoals de wet over cameratoezicht) gaat vooral over het structureel volgen en registreren van werknemers, en dat is hier niet aan de orde. Ja, oké, als alle gesprekken opgenomen worden en in een archief gaan, maar dat speelde niet bij de vraagsteller.

Mij lijkt dat een werkgever dit wel kan eisen. Het raakt natuurlijk aan de privacy van de werknemer, maar omdat het gaat om klantcontact tijdens het uitvoeren van het werk lijkt me dat op zich niet een héél zwaar belang.

Natuurlijk, er kunnen situaties zijn waarin een boze klant nu de werknemer kan herkennen en/of beelden kan publiceren of misbruiken. Maar de theoretische mogelijkheid dát dat kan gebeuren, is niet genoeg. Pas als dat structureel een risico is, bv. bij medewerkers van een uitkeringsfraude-controleur, kan ik me voorstellen dat je niet zomaar iedereen zichtbaar wil hebben voor de klanten.

Zouden jullie bezwaar hebben tegen verplicht videobellen in plaats van gewoon bellen?

Arnoud

Tweeten of hyperlinken naar persoonsgegevens is verwerking

| AE 5162 | Privacy | 16 reacties

Ik mag het weer zeggen: OMGWTFWBP. Het publiceren van een tweet of het versturen van een e-mail met daarin een hyperlink naar een pagina waar de naam en kenteken van een auto-eigenaar worden vermeld, is verwerking van die persoonsgegevens, zo meldde Webwereld. In een beschikking over een inzageverzoek bepaalt de rechtbank in Den Bosch dat… Lees verder

Eindelijk: Richtsnoeren voor beveiliging van persoonsgegevens van de toezichthouder

| AE 5139 | Privacy, Security | 3 reacties

Het College bescherming persoonsgegevens (CBP) heeft een richtsnoer uitgebracht voor de beveiliging van persoonsgegevens, meldde Nu.nl. Het is al jaren een lastige discussie: wat moet je doen qua beveiliging van persoonsgegevens. De wet houdt het bij “adequate” maatregelen, maar dat is inderdaad nogal vaag en multi-interpretabel. En zeker als het gaat om techniek willen mensen… Lees verder

Wat is er nou mis met die Spaanse privacywet?

| AE 2811 | Privacy | 2 reacties

Een lezer vroeg me Ik las dit artikel bij The Register. Zo te lezen is het iets belangrijks over de privacywet, maar ik snap werkelijk niet waar het over gaat. Kun jij je licht laten schijnen hierover? In de Europese privacyrichtlijn staat dat je voor gebruik van persoonsgegevens toestemming nodig hebt, tenzij een wettelijke uitzondering… Lees verder

Google biedt opt out voor wifi-sniffing, voldoet aan privacywet?

| AE 2796 | Privacy | 45 reacties

Onder druk van privacywaakhond CBP biedt Google nu wereldwijd de optie om wifi-routers uit zijn database met locatiedata te verwijderen door ‘_nomap’ aan de netwerknaam (SSID) toe te voegen. Daarmee voldoet het bedrijf aan de Wet bescherming persoonsgegevens, aldus datzelfde CBP. Maar, eh, hoezo, vroegen veel mensen mij: dit is opt-out en de privacywet eist… Lees verder