Indien een grondslag voor de verwerking valt aan te wijzen, is de verwerking van persoonsgegevens toegestaan. Dit betekent echter niet dat er carte blanche bestaat om maar van alles met de persoonsgegevens te doen. Artikel 5 AVG stelt namelijk de volgende eisen aan de verwerking:
het vereiste van doelbinding; het vereiste dat gegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde belangen worden verzameld en niet in strijd met die doeleinden verder worden verwerkt;
persoonsgegevens moeten worden verwerkt op een wijze die ten opzichte van de betrokkene rechtmatig, behoorlijk en transparant is;
persoonsgegevens moeten toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is;
persoonsgegevens moeten juist zijn. Als zij niet meer juist zijn, moeten ze worden geactualiseerd dan wel worden verwijderd;
persoonsgegevens mogen niet langer worden bewaard dan voor de doeleinden, waarvoor zij zijn verzameld, noodzakelijk is;
er moeten passende organisatorische en technische maatregelen worden getroffen om te voorkomen dat zij onrechtmatig worden verwerkt, verloren gaan, vernietigd worden of beschadigd raken.
ad a: de persoonsgegevens worden verwerkt met als doel na te gaan of de melding juist is en of sprake is van een mogelijke misdaad. Onder “misdaad” worden hier misdrijven verstaan. Bij wet in formele zin (bijvoorbeeld Tweede boek Wetboek van Strafrecht, artikel 2 Wet op de economische delicten, artikel 13 Opiumwet) wordt bepaald welke delicten als misdrijf en welke als overtreding worden aangemerkt.
De persoonsgegevens mogen niet voor andere doeleinden worden ingezet. Indien blijkt dat de melding gegrond is, kunnen zij wel worden doorgegeven aan de politie. Op dat moment dienen de persoonsgegevens uit het gemeentelijke meldingssysteem te worden verwijderd (zie ad e).
ad b: De persoonsgegevens, die worden verwerkt na een melding van de stichting M., zijn niet van betrokkene zelf verkregen. Voor dat geval is de hoofdregel van artikel 14 AVG dat de verwerkingsverantwoordelijke de betrokkene de informatie, genoemd in het eerste en tweede lid en binnen de voorwaarden van het derde lid, verstrekt.
Het vijfde lid noemt een aantal uitzonderingsgevallen op deze hoofdregel. Eén van deze uitzonderingen is “voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen”. Deze uitzondering is hier aan de orde. Het bekend worden van betrokkene met de melding zou immers een eventueel opsporingsonderzoek in gevaar kunnen brengen, aangezien betrokkene zijn gedrag op de melding af zou kunnen stemmen. In dit geval kan niet (volledig) aan de eis van transparantie worden voldaan. Wel dient uiteraard voldaan te worden aan de eis dat de verwerking behoorlijk en rechtmatig moet zijn.
ad c: Het gaat er om dat er een juist beeld ontstaan van degene op wie de melding betrekking heeft. Het kan handig zijn (nice to know) om van alles te weten van die persoon, maar er mogen alleen gegevens worden opgenomen die noodzakelijk zijn (need to know) om met de melding aan de slag te kunnen. Anderzijds mogen ook niet te weinig gegevens worden vastgelegd, want hierdoor kan een onjuist beeld ontstaan. Zo moeten ontlastende gegevens wel in het systeem worden vastgelegd.
ad d: Het vereiste dat persoonsgegevens juist moeten zijn, hangt samen met hetgeen hierboven onder ad c is vermeld. Met onjuiste persoonsgegevens kan een verkeerd beeld ontstaan van de persoon in kwestie. Als persoonsgegevens (bijvoorbeeld het adres) gedurende het onderzoek naar de melding wijzigen, moet deze wijziging in het systeem worden verwerkt.
ad e: De persoonsgegevens moeten uit de gemeentelijke systemen worden verwijderd op het moment dat de melding is afgedaan, hetzij omdat de conclusie is dat met de melding verder niets wordt gedaan, hetzij op het moment dat de melding aan een andere instantie, bijvoorbeeld de politie, wordt doorgezet.
ad f: Er moeten technische maatregelen worden genomen om te voorkomen dat gegevens worden gehackt. De gebruikte software mag geen beveiligingslekken bevatten. Daarnaast moeten organisatorische maatregelen (autorisaties) worden getroffen om te voorkomen dat personen, die niet betrokken zijn bij het onderzoek van de meldingen, toegang krijgen tot het systeem. Artikel 32 AVG stelt de eis dat de beveiligingsmaatregelen “passend zijn”. Bij de vraag wat passend is, d.w.z. bij de beoordeling van het passende beveiligingsniveau wordt met name rekening gehouden met de verwerkingsrisico's, vooral als gevolg van de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens, hetzij per ongeluk hetzij onrechtmatig.
Artikel Eisen aan de verwerking
Artikel Eisen aan de verwerking
Onderdeel van Privacyprotocol Meld Misdaad Anoniem gemeente Bergeijk 2023