Basisbegrippen van de AVG

Casus 1

Floor komt tot de vervelende constatering dat haar fiets voor de derde keer is gestolen. Aangezien Floor op haar werk wordt verwacht en behoorlijk haast heeft, kiest zij ervoor om een scooter te huren via de app Helyx en daarmee naar haar werk te rijden. Helyx geeft aan dat zij, ter uitoefening van hun dienst, de tot Floor betrekkende persoonsgegevens zullen verwerken. Floor wil graag weten wie precies, wat en waarom deze gegevens van haar worden verwerkt. Floor stelt zich deze vraag terecht af, totdat zij geen antwoord op deze vragen heeft is zij moeilijk in staat om akkoord te gaan met de verwerking van haar persoonsgegevens.

Vraag 1a. Een van de basisprincipes van de AVG draagt bij aan de bescherming van de persoonsgegevens van de consument, en vereist organisaties antwoord te geven op deze vragen. Welk basisprincipe is dat?

Casus 1

Floor komt tot de vervelende constatering dat haar fiets voor de derde keer is gestolen. Aangezien Floor op haar werk wordt verwacht en behoorlijk haast heeft, kiest zij ervoor om een scooter te huren via de app Helyx en daarmee naar haar werk te rijden. Helyx geeft aan dat zij, ter uitoefening van hun dienst, de tot Floor betrekkende persoonsgegevens zullen verwerken. Floor wil graag weten wie precies, wat en waarom deze gegevens van haar worden verwerkt. Floor stelt zich deze vraag terecht af, totdat zij geen antwoord op deze vragen heeft is zij moeilijk in staat om akkoord te gaan met de verwerking van haar persoonsgegevens.

Vraag 1b. Op welke manier zou Helyx op een eenvoudige wijze antwoord kunnen geven op de vragen van Floor?

Casus 2

Een van de basisprincipes waaraan een verwerking volgens de AVG moet voldoen is het principe van beveiliging van persoonsgegevens. Bij de beveiliging van persoonsgegevens spelen 3 factoren een rol.

Vraag 2a. Onder welke factor valt het feit dat persoonsgegevens alleen toegankelijk zijn voor hen die deze toegang nodig hebben voor hun werk?

Casus 3

Swim & Dive B.V. en Du!K B.V. handelen beide in duikspullen. Beide bedrijven zijn al enige tijd erg populair. Voor de coronacrisis hadden beide bedrijven niets te klagen, maar ook zij beginnen te merken dat men minder vaak op vakantie gaat. Doordat men minder vaak op vakantie gaat loopt de afname van duikspullen sterk achteruit. Om faillissement te voorkomen besluiten de bedrijven te fuseren. Om de regels van de AVG te omzeilen besluit Swim & Dive B.V. bij de uitwisseling van zijn gegevens over zijn consumenten aan Du!k B.V., de naam en geboortedatum weg te laten. De namen van de consumenten worden vervangen met 'anoniem', en de geboortedata van de consumenten worden aangemerkt met 'onbekend'. Zo valt de identiteit van zijn consumenten volgens Swim & Dive B.V. niet meer te herleiden.

Vraag 3a. Hoe wordt het proces van het vervangen van de naam en geboortedatum door 'anoniem' en 'onbekend' genoemd?

Casus 3

Swim & Dive B.V. en Du!K B.V. handelen beide in duikspullen. Beide bedrijven zijn al enige tijd erg populair. Voor de coronacrisis hadden beide bedrijven niets te klagen, maar ook zij beginnen te merken dat men minder vaak op vakantie gaat. Doordat men minder vaak op vakantie gaat loopt de afname van duikspullen sterk achteruit. Om faillissement te voorkomen besluiten de bedrijven te fuseren. Om de regels van de AVG te omzeilen besluit Swim & Dive B.V. bij de uitwisseling van zijn gegevens over zijn consumenten aan Du!k B.V., de naam en geboortedatum weg te laten. De namen van de consumenten worden vervangen met 'anoniem', en de geboortedata van de consumenten worden aangemerkt met 'onbekend'. Zo valt de identiteit van zijn consumenten volgens Swim & Dive B.V. niet meer te herleiden.

Vraag 3b. Heeft Swim & Dive B.V. gelijk in zijn stelling dat door het vervangen van de naam en geboortedatum door 'anoniem' en 'onbekend', de uitwisseling van de persoonsgegevens tussen Swim & Dive B.V. en Du!k B.V. niet hoeft te voldoen aan de AVG?

Casus 4

Ziekenhuis De Waal houdt per patiënt een medisch dossier bij. Het bestuur van het ziekenhuis komt bijeen en vergadert. Tijdens de vergadering brengt bestuurslid Pieter naar voren dat hij ervan is overtuigt dat het bijhouden van de medische dossiers volledig conform de eisen die de AVG stelt geschiedt. Pieter beweert dat aan in ieder geval het basisprincipe van rechtmatigheid, gelegen in artikel 6 van AVG, is voldaan. Pieter stelt namelijk het bijhouden van de medische dossiers rechtmatig plaatsvindt, en beroept zich op de rechtsgrond dat de patiënten toestemming hebben gegeven voor deze verwerking van hun persoonsgegevens.

Vraag 4a. Hoe luidt uw oordeel over de stelling van Pieter?

Casus 4

Ziekenhuis De Waal houdt per patiënt een medisch dossier bij. Het bestuur van het ziekenhuis komt bijeen en vergadert. Tijdens de vergadering brengt bestuurslid Pieter naar voren dat hij ervan is overtuigt dat het bijhouden van de medische dossiers volledig conform de eisen die de AVG stelt geschiedt. Pieter beweert dat aan in ieder geval het basisprincipe van rechtmatigheid, gelegen in artikel 6 van AVG, is voldaan. Pieter stelt namelijk het bijhouden van de medische dossiers rechtmatig plaatsvindt, en beroept zich op de rechtsgrond dat de patiënten toestemming hebben gegeven voor deze verwerking van hun persoonsgegevens.

Vraag 4b. Ervan uitgaande dat ‘toestemming’ niet de juiste rechtsgrond voor het bijhouden van medische dossiers is, welke rechtsgrond voor een rechtmatige verwerking van persoonsgegevens is dan aan de orde?

Casus 4

Ziekenhuis De Waal houdt per patiënt een medisch dossier bij. Het bestuur van het ziekenhuis komt bijeen en vergadert. Tijdens de vergadering brengt bestuurslid Pieter naar voren dat hij ervan is overtuigt dat het bijhouden van de medische dossiers volledig conform de eisen die de AVG stelt geschiedt. Pieter beweert dat aan in ieder geval het basisprincipe van rechtmatigheid, gelegen in artikel 6 van AVG, is voldaan. Pieter stelt namelijk het bijhouden van de medische dossiers rechtmatig plaatsvindt, en beroept zich op de rechtsgrond dat de patiënten toestemming hebben gegeven voor deze verwerking van hun persoonsgegevens.

Vraag 4c. Bevat een medisch dossier persoonsgegevens, op het moment dat de gegevens een persoon betreffen die is overleden?

Casus 5

Europe Wines B.V. is een goed lopende wijnboer. De afname van het aantal wijnflessen door consumenten is sinds de coronacrisis sterk toegenomen. Dit heeft ervoor gezorgd dat Europe Wines B.V. heeft besloten hun wijnen ook via het internet te verkopen. Bij het kopen van de wijnen van Europe Wines B.V. via hun website wordt van de consument gevraagd hun leeftijd en geslacht op te geven. Op een dag vraagt Jan, de directeur van Europe Wines BV., zich af of hij deze gegevens wel van zijn consumenten mag opvragen. Nooit eerder heeft hij nagedacht over of de AVG hierop van toepassing is, en indien dit het geval is, of aan de eisen van de AVG is voldaan.

Vraag 5a. Zijn de opgevraagde gegevens te beschouwen als ‘persoonsgegevens’ in de zin van de AVG?

Casus 5

Europe Wines B.V. is een goed lopende wijnboer. De afname van het aantal wijnflessen door consumenten is sinds de coronacrisis sterk toegenomen. Dit heeft ervoor gezorgd dat Europe Wines B.V. heeft besloten hun wijnen ook via het internet te verkopen. Bij het kopen van de wijnen van Europe Wines B.V. via hun website wordt van de consument gevraagd hun leeftijd en geslacht op te geven. Op een dag vraagt Jan, de directeur van Europe Wines B.V., zich af of hij deze gegevens wel van zijn consumenten mag opvragen. Nooit eerder heeft hij nagedacht over of de AVG hierop van toepassing is, en indien dit het geval is, of aan de eisen van de AVG is voldaan.

Vraag 5b. Hou luidt uw advies aan Jan met betrekking tot het vragen naar deze gegevens? Noem in uw antwoord in ieder geval de volgende woorden: verplicht, relevant, doel.

Casus 6

Bedrijfsarts Dirk spreekt met de 30 jarige Marjolijn. Marjolijn werkt sinds 5 jaar voor een marketingbureau. De hoge druk en het harde werken was hetgeen haar 5 jaar geleden enorm aansprak, maar toch wordt het Marjolijn na 5 lange en zware jaren te veel. Marjolijn stapt daarom naar bedrijfsarts Dirk. Samen stellen zij een plan op waarin Dirk Marjolijn adviseert een tijdje rust te nemen. Onder de Arbeidsomstandighedenwet (Arbowet) is Dirk verplicht zich te houden aan zijn beroepsgeheim jegens de werkgever van Marjolijn. Uitgezonderd op dit beroepsgeheim is dat de bedrijfsarts in het kader van verzuimbegeleiding aan de werkgever mag melden hoe lang Marjolijn rust zal nemen. Dirk stelt daarom een e-mail op waarin hij schrijft dat Marjolijn het komende halfjaar geen werkzaamheden meer zal uitvoeren. Op het moment dat Dirk op de verzendknop klikt, komt hij tot de ontdekking dat hij een verkeerde geadresseerde heeft ingevoerd, de e-mail wat betreft geplande het verzuim van Marjolijn is zojuist naar Dirk zijn advocaat gestuurd in plaats van naar Marjolijn haar werkgever.

Dirk is enorm geschrokken en belt u voor advies over dit datalek.

Vraag 6a. Hoe luidt uw advies met betrekking tot het melden van deze inbreuk bij de Autoriteit Persoonsgegevens (AP)?

Casus 6

Bedrijfsarts Dirk spreekt met de 30 jarige Marjolijn. Marjolijn werkt sinds 5 jaar voor een marketingbureau. De hoge druk en het harde werken was hetgeen haar 5 jaar geleden enorm aansprak, maar toch wordt het Marjolijn na 5 lange en zware jaren te veel. Marjolijn stapt daarom naar bedrijfsarts Dirk. Samen stellen zij een plan op waarin Dirk Marjolijn adviseert een tijdje rust te nemen. Onder de Arbeidsomstandighedenwet (Arbowet) is Dirk verplicht zich te houden aan zijn beroepsgeheim jegens de werkgever van Marjolijn. Uitgezonderd op dit beroepsgeheim is dat de bedrijfsarts in het kader van verzuimbegeleiding aan de werkgever mag melden hoe lang Marjolijn rust zal nemen. Dirk stelt daarom een e-mail op waarin hij schrijft dat Marjolijn het komende halfjaar geen werkzaamheden meer zal uitvoeren. Op het moment dat Dirk op de verzendknop klikt, komt hij tot de ontdekking dat hij een verkeerde geadresseerde heeft ingevoerd, de e-mail wat betreft geplande het verzuim van Marjolijn is zojuist naar Dirk zijn advocaat gestuurd in plaats van naar Marjolijn haar werkgever.

Dirk is enorm geschrokken en belt u voor advies over dit datalek.

Vraag 6b. Hoe luidt uw advies met betrekking tot het op de hoogte stellen van Marjolijn?

Casus 7

Huisartsenpraktijk De Zwaluw ervaart al enige tijd problemen met het online programma waarmee zij patiëntendossiers bijhouden. Zij stappen daarom over naar een ander, vernieuwd programma waarmee het bijhouden van de dossiers foutloos zal moeten verlopen. Het overstappen van het programma is voor De Zwaluw een mooi moment om te reflecteren op de manier waarop zij bijdragen aan de bescherming van de privacy van hun patiënten. In lijn met de AVG wil De Zwaluw een uitgebreid overzicht maken van alle privacy risico’s die komen kijken bij het nieuwe online patiëntendossier waarmee zij zullen gaan werken. De Zwaluw besluit daarom een Privacy Impact Assesment (PIA) op te stellen.

Vraag 7a. Noem drie dingen die erg belangrijk zijn om te benoemen in deze PIA.

Casus 8

Vraag 8a. Met welke partijen zal bouwbedrijf De Losse Steen B.V. een verwerkersovereenkomst moeten sluiten?

N.b. De richtingen van de pijlen geven aan wie aan wie gegevens verstrekt.

N.b. Op de lijnen van de pijlen wordt aangegeven om wat voor gegevens het gaat.