Persoonsgegevens mogen alleen worden verzameld en verwerkt op basis van een van de volgende limitatieve gronden:
de betrokkene heeft zijn uitdrukkelijke toestemming gegeven voor de verwerking;
de gegevens zijn door de betrokkene zelf duidelijk openbaar gemaakt of de verwerking is noodzakelijk;
voor de juridische vaststelling, de uitoefening of de verdediging van een recht;
ter verdediging van de vitale belangen van de betrokkene of van een derde en het vragen van diens uitdrukkelijke toestemming onmogelijk blijkt;
ter voldoening aan een volkenrechtelijke verplichting;
met het oog op een zwaarwegend algemeen belang, indien passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel de AP ontheffing heeft verleend. De AP kan bij de verlening van ontheffing beperkingen en voorschriften opleggen. Verwerkingen op deze grond worden bij de Europese Commissie gemeld. De Minister van V&J verricht de melding indien de verwerking op deze grond bij wet is voorzien. De AP verricht de melding indien de AP voor de verwerking op deze grond ontheffing heeft verleend;
de gegevens worden verwerkt door de AP of een Ombudsman wanneer dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, voor de uitvoering van de hun wettelijk opgedragen taken en bij die uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
Het voorgaande houdt in dat er een goed omschreven werkinstructie moet komen met daarin een toestemmingsformulier, dat goed bevonden is door de AP. Dit toestemmingsformulier is bijgevoegd in bijlage 2. Verder moeten er werkinstructies komen die omschrijven waarom bepaalde informatie gebruikt wordt en waarom deze informatie opgevraagd kan worden bij mensen.
De consequenties van deze punten zijn:
Bij elke verwerking zal vastgelegd moeten zijn wat de grondslag van de verwerking is, wat verwerkt wordt en waarom dat noodzakelijk is. Dit zal gecommuniceerd moeten worden naar de burger. Deze punten moeten ook terugkomen in eenduidige werkinstructies naar de uitvoerder;
Indien er geen grondslag ligt in de wet, moet met toestemming gewerkt worden, Het niet verlenen van toestemming mag niet leiden tot nadeel voor de betrokkene. Ook dit moet eenduidig naar de betrokkene worden gecommuniceerd en eenduidig in de werkinstructies worden vastgelegd;
Er zal een zeer goede instructie en beleidsregel geschreven moeten worden wanneer en waarom een “Breaking the glass” procedure gevolgd wordt, wie daarin de verantwoordelijke en proceseigenaar is. “Breaking the glass” houdt in dat er opgeschaald wordt om te voorkomen dat er handelingen plaatsvinden die niet voldoen aan de wetgeving. Hierbij zal ook moeten worden vastgelegd, hoe de stappen in de procedure gevolgd en vastgelegd worden.
Bijzondere persoonsgegevens worden slechts verwerkt ten behoeve van wetenschappelijk onderzoek of statistiek indien:
het onderzoek een algemeen belang dient en
de verwerking voor het betreffende onderzoek of de betreffende statistiek noodzakelijk is en
het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost, en
bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.
Indien aan al deze voorwaarden is voldaan mogen de gegevens ten behoeve van wetenschappelijk onderzoek worden verwerkt. Deze voorwaarden zijn vergelijkbaar met de voorwaarden onder de richtlijn. De AVG wijkt hierin in feite niet af van de Wet Bescherming Persoonsgegevens.
Een wettelijk voorgeschreven identificatienummer, zoals een BS-Nummer of een kentekennummer, is ook een bijzonder persoonsgegeven en mag slechts worden verwerkt ter uitvoering of bereiking van de doelen van de wet die het betreffende nummer heeft ingesteld of ter bereiking van een specifieke Algemene maatregel van bestuur.
De consequenties hiervan is dat er alleen gewerkt mag worden met niet tot een persoon herleidbare gegevens, en dit houdt in dat er bijvoorbeeld voor wijkanalyses en dergelijke alleen gewerkt mag worden met de gegevens die door het CBS worden verstrekt, of die gepseudonimiseerd zijn.
Hoofdstuk 2 › Paragraaf 2.2
Artikel 2.2.4
Rechtmatige gronden voor de verwerking van persoonsgegevens
Onderdeel van Privacybeleid gemeente Staphorst