5.00.00 Overige algemene bepalingen

14 Gegevensbescherming en privacy

14.1 Algemeen

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing in alle lidstaten van de Europese Unie. De Verordening is de opvolger van de RL 95/46/EG van het Europees Parlement, in Nederland uitgewerkt in de Wet bescherming persoonsgegevens. Het doel van de Verordening is om twee belangen te waarborgen: de bescherming van natuurlijke personen in verband met de verwerking van hun gegevens (privacybescherming) en het vrije verkeer van persoonsgegevens binnen de Europese Unie (‘EU’). Het betreft een verordening en heeft daarom rechtstreekse werking binnen de gehele EU. Hiermee zijn alle regels voor de bescherming van persoonsgegevens geharmoniseerd. Op bepaalde specifieke punten biedt de verordening de lidstaten de ruimte om in nationale wetgeving, zogenaamde uitvoeringswetten, nadere invulling te geven aan de bepalingen. In Nederland is dit geregeld in de Uitvoeringswet AVG (UAVG). De UAVG moet in samenhang met de AVG worden gelezen. Daar waar de AVG ruimte laat voor nationale regelingen of soms opdraagt tot het treffen van een regeling, is dit uitgewerkt in de UAVG.

De belangrijkste gebieden waar de Uitvoeringswet een rol speelt zijn:

1. het toepassingsbereik van de Verordening;

2. de rol, positie en bevoegdheden van de nationale toezichthouder (de AP);

3. regelingen rondom het gebruik van bijzondere categorieën van persoonsgegevens;

4. regelingen omtrent (de uitzonderingen) op de rechten van de betrokkenen; en

5. regelingen voor specifieke verwerkingssituaties (zoals in relatie tot de vrijheid van meningsuiting)

Ook voor de privacybescherming geldt dat de achtergrond is gelegen in de omstandigheid, dat de persoon die het aangaat er op moet kunnen vertrouwen dat de informatie die hij/zij aan de Belastingdienst/ Douane verstrekt ook alleen maar gebruikt wordt voor het uitvoeren van de belasting- en douanewetgeving. In de AVG wordt dit doelbinding genoemd en is geregeld in artikel 9 AVG.

In dit hoofdstuk worden de bepalingen toegelicht die toezien op het verwerken en delen van gegevens uit de AVG en de Nederlandse ‘Uitvoeringswet Algemene verordening gegevensbescherming’ (UAVG). Het doel is om globaal inzicht te geven in de werking van de AVG en hoe om te gaan met persoonsgegevens.

Naar boven

14.2 Begripsbepalingen/ definities (artikel 4 AVG)

In artikel 4 AVG staan de definities van begrippen die van toepassing zijn op de AVG. Enkele definities die van belang zijn worden hierna toegelicht.

Persoonsgegeven: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon.

Bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard

De Verordening maakt een onderscheid tussen ‘gewone’ persoonsgegevens en bijzondere categorieën van persoonsgegevens. Bijzondere categorieën van persoonsgegevens zijn gegevens die gezien hun aard extra gevoelig zijn. Het gaat specifiek om: gegevens waaruit ras of etnische afkomst blijkt, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, gegevens over gezondheid en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.

De verwerking van deze bijzondere categorieën persoonsgegevens is verboden, tenzij er een specifieke uitzondering van toepassing is, of de betrokkene uitdrukkelijk toestemming heeft gegeven voor de verwerking (artikel 9 AVG).

Naast de bijzondere categorieën van persoonsgegevens zijn ook persoonsgegevens van strafrechtelijke aard dusdanig gevoelig en afwijkend dat daar een speciale regeling voor is. De verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag, is alleen toegestaan als dat gebeurt onder toezicht van de overheid, of als het specifiek bij wet is geregeld. In Nederland is dit geregeld in de Wet op de politiegegevens (WPG).

Alleen de overheid mag een omvattende registratie van strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen bijhouden.

Onder omstandigheden mogen ook andere (private) partijen persoonsgegevens van strafrechtelijke aard verwerken, bijvoorbeeld met het oog op het bijhouden van een zwarte lijst. Het bijhouden van dergelijke lijsten is wel aan strenge regels onderworpen (waaronder een vergunningsplicht).

Hieronder is de relatie AVG en WPG in een figuur weergegeven.

Figuur 1 relatie AVG en WPG

 

Gevoelige gegevens

Bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard vormen categorieën persoonsgegevens waarvan in de Verordening is vastgesteld dat zij gezien hun gevoeligheid een speciale regeling behoeven. Maar ook gegevens die niet ‘bijzonder’ in de zin van de Verordening zijn kunnen aldus de Autoriteit Persoonsgegevens gevoelig zijn. Denk hierbij bijvoorbeeld aan financiële data of locatiegegevens. De maatregelen die u moet nemen om persoonsgegevens te beschermen zijn mede afhankelijk van de gevoeligheid van de gegevens en het risico dat zij kunnen vormen voor de betrokkene bij verkeerd gebruik of misbruik.

Een voorbeeld hiervan is ATD. In ATD staan zo veel bedrijfsgevoelige en persoonlijke gegevens vermeld dat hiervoor extra maatregelen zijn genomen om deze te beschermen. Naar aanleiding van de AVG worden de autorisaties voor de ATD-dossiers zeer beperkt vertrekt.

Nationaal identificatienummer

Een nationaal identificatienummer is een bij wet vastgesteld uniek nummer. In Nederland is het bekendste nationale identificatienummer het Burgerservicenummer (BSN). Deze nummers mogen alleen worden gebruikt voor in de wet voorgeschreven doelen. Voor andere dan in de wet voor deze nummers genoemde doelen is het verwerken ervan niet toegestaan. Voorbeelden van wetten waarin het gebruik van het BSN is geregeld zijn de Wet algemene bepalingen Burgerservicenummer, de Wet gebruik Burgerservicenummer in de zorg en de Wet persoonsgebonden nummers in het onderwijs.

Omdat we de norm van de AVG ook toepassen op persoonsgegevens van bedrijven, geldt hetgeen voor de BSN ook voor het EORI-nummer. Immers dit is een uniek nummer voor de bedrijven.

Verwerking: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens.
Kortweg, alles wat je kunt doen met gegevens behalve het denken er aan.

Profilering: elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;

Waar in de uitvoeringspraktijk van de Douane gesproken wordt over profielen, zijn dit geen profielen volgens de definitie van de AVG. Profielen worden gebruikt om aangiften/dossiers risicogericht te selecteren, en die handmatig te behandelen. Uitworp voor toezicht op basis van een risicoprofiel leidt dus juist tot beoordeling door een mens.

Toestemming van de betrokkene: elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. Dit betekend dat de betrokkene die toestemming geeft daadwerkelijk de vrije keuze heeft gehad die toestemming te geven zonder negatieve consequenties hier aan te ondervinden. Bij een afhankelijkheidsrelatie wordt deze vrije keuze niet aangenomen. Voorbeelden van een afhankelijkheidsrelatie zijn de verhouding werkgever-werknemer en overheid-burger.

Naar boven

14.3 Beginselen voor de bescherming van persoonsgegevens

De AVG benoemt in artikel 5 een aantal beginselen waar elke verwerking van persoonsgegevens aan moet voldoen. Deze beginselen worden verder uitgewerkt in specifieke bepalingen van de AVG met eventueel concrete verplichtingen.

De volgende beginselen worden genoemd:

1. Rechtmatigheid, behoorlijkheid en transparantie (mede van belang i.v.m. recht van betrokkene op informatie): de Belastingdienst/ Douane is transparant in haar privacy beleid. De informatieplicht wordt vervuld met een privacypagina op de website met een uitgebreide toelichting. Zie Vanwege belangrijke financiële en economische belangen (dus ook fiscale aangelegenheden) kunnen de rechten van betrokkene worden beperkt o.g.v. artikel 23 AVG jo artikel 41 UAVG. De informatieplicht en recht op inzage kunnen dus beperkt worden in specifieke gevallen.

2. Doelbinding (artikel 9 AVG): de doeleinden van de verwerking moeten gerechtvaardigd, welbepaald en uitdrukkelijk omschreven worden. De verwerking mag verder niet op onverenigbare wijze met die doeleinden verwerkt worden.

   De doelen waarvoor de belastingdienst/ Douane gegevens verwerkt vloeien voort uit de wettelijke taken zoals heffen, innen en toezicht. De verwerking van persoonsgegevens voor opsporingsdoeleinden valt hier zoals eerder genoemd buiten. In artikel 6 lid 4 AVG is geregeld dat in bepaalde situaties de persoonsgegevens verder mogen worden verwerkt voor een doel dat daarmee verenigbaar is. Gebruik van voor deze doelen (heffen, innen en toezicht) verzamelde de gegevens ten behoeve van dienstverlening of communicatie, kan aangemerkt worden als verwerking voor een verenigbaar doel.

3. Minimale gegevensverwerking: verwerking moet noodzakelijk zijn voor de doeleinden waarvoor ze worden verwerkt.

4. Juistheid: de persoonlijke gegevens moeten nauwkeurig verwerkt worden en geactualiseerd. De AVG stelt dat “alle redelijke maatregelen moeten worden genomen” om de persoonsgegevens die onjuist zijn te wissen of rectificeren.

5. Opslagbeperking: persoonsgegevens mogen niet langer bewaard worden dan de doeleinden waarvoor ze worden verwerkt noodzakelijk is. De AVG kent geen bewaartermijn. De bewaartermijn wordt bepaald door de noodzaak. Zie artikel 89 AVG voor uitzonderingen in het kader van archief (Archiefwet en Selectie lijst/ Ordeningsstructuur, wetenschappelijk en historisch belang).

   In het kader van dit beginsel is het noodzakelijk om periodiek bestanden op te schonen, archiveren of vernietigen. Niet- archiefwaardige persoonsgegevens moeten vernietigd worden zodra ze niet meer nodig zijn. In de werkinstructie persoonlijke werkomgeving schonen, opslaan en archiveren wordt beschreven hoe je dit moet doen. Deze kun je vinden op Werkinstructie Schonen, Vernietiging en Archiveren Directie IV.

   Verder vindt je een lijst met veelgestelde vragen.

   Voor het schonen van systemen en gegevensbestanden is het noodzakelijk onderscheid te maken in wat je noodzakelijk nodig hebt voor je werk en wat eventueel leuk is om te bewaren maar dat eigenlijk verwijderd kan worden. Zie hiervoor ook de “memo regionale bestanden” waarin dit is uitgewerkt.

6. Integriteit en vertrouwelijkheid en minimale gegevensverwerking (artikel 32 AVG): de persoonsgegevens moeten beveiligd zijn tegen ongeoorloofde of onrechtmatige verwerking/ gebruik. Dat betekend dat hiervoor passende technische en organisatorische maatregelen getroffen moeten worden. In dit kader moeten autorisaties worden beperkt met als uitgangspunt “need to know”.

   Het is nu nog zo dat persoonsgegevens breed in de organisatie beschikbaar worden gesteld, waarbij niet of onvoldoende rekening wordt gehouden met het need to know-principe. Het is van belang om de noodzaak tot gegevensverstrekking expliciet te valideren aan de hand van minimaal een “Willen Mogen Kunnen toets” (WMK Toets). Deze toets kun je uitvoeren samen de privacymedewerker (veelal regionale vaco FR).

Naar boven

14.4 Geautomatiseerde besluitvorming

Een betrokkene heeft het recht niet onderworpen te worden aan een op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan rechtsgevolgen zijn verbonden (artikel 22 AVG).

Geautomatiseerde individuele besluitvorming, anders dan op basis van profilering, is o.g.v. artikel 40 UAVG toegestaan indien dat noodzakelijk is voor de vervulling van een taak van algemeen belang. Profilering wordt in de AVG (artikel 4) gedefinieerd als “elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen.”

Waar in de uitvoeringspraktijk van de Belastingdienst/ Douane gesproken wordt over profielen, zijn dit geen profielen volgens de definitie van de AVG. Profielen worden gebruikt om aangiften/dossiers risicogericht te selecteren, en die handmatig te behandelen. Uitworp voor toezicht op basis van een risicoprofiel leidt dus juist tot beoordeling door een mens.

Naar boven

14.5 Rechten van betrokkenen

De rechten van betrokkenen ten aanzien van zijn persoonsgegevens zien met name op het recht van inzage, van correctie, van vergetelheid, van overdraagbaarheid, van beperking van de verwerking en van bezwaar tegen de verwerking (artikel 15 t/m 21 AVG). De belastingdienst heeft een internetpagina online gezet waarop betrokkenen kunnen zien hoe ze hun rechten kunnen uitoefenen, zie Privacy en uw persoonsgegevens.

Recht van inzage

Betrokkenen kunnen een verzoek doen om inzage in hun persoonsgegevens en informatie hierover opvragen, zie artikel 15 AVG.

Recht om gegevens te wijzigen/ correctie

Indien gegevens zijn gecorrigeerd, moeten eventuele afnemers van de correctie op de hoogte worden gesteld. De Belastingdienst levert aan afnemers altijd actuele gegevensbestanden. Bij de eerstvolgende levering wordt een eventueel gecorrigeerd gegeven geleverd. Het apart informeren van de afnemers is daardoor niet nodig. Dit zou alleen anders kunnen zijn in geval van een eenmalige levering van gegevens voor langdurig gebruik. Bezien moet worden of deze situatie zich voordoet.

Recht op vergetelheid

De rechten op vergetelheid en overdraagbaarheid van gegevens gelden niet indien de verwerking van de gegevens noodzakelijk is voor de vervulling van een wettelijke taak van algemeen belang.

Het recht van vergetelheid kan voor gegevens uit primaire processen wel worden ingeroepen in geval de gegevens langer bewaard worden dan noodzakelijk is voor de uit te voeren taken.

De verzoeken die betrekking hebben op bovengenoemde rechten, worden allen centraal afgedaan. Concern breed is er een handleiding geschreven over hoe om te gaan met verzoeken die zien op het recht van inzage, gegevens te wijzigen en correctie.

Naar boven

14.6 Informatieplicht bij datalekken

Een datalek in verband met persoonsgegevens, is een inbreuk op de

beveiliging die leidt tot de vernietiging, het verlies, de wijziging, de ongeoorloofde verstrekking of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte persoonsgegevens. Hierbij is niet van belang dat opzettelijk is gehandeld.

Voorbeelden van een datalek zijn:

• een hack van de systemen waarbij persoonsgegevens worden buitgemaakt, een verloren laptop of memoriestick met persoonsgegevens, of

• een afgesloten website met persoonsgegevens die per ongeluk openstaat voor onbevoegden.

Een inbreuk op de beveiliging houdt in dat zich daadwerkelijk een beveiligingsincident heeft voorgedaan.

Een datalek kan voor betrokkenen grote gevolgen hebben, waaronder verlies van controle over hun persoonsgegevens, de beperking van hun rechten, discriminatie, identiteitsdiefstal of financiële verliezen. Het is dan ook van belang dat een datalek tijdig en op passende wijze wordt aangepakt. De verplichte mededeling (artikel 33AVG) aan de Autoriteit Persoonsgegevens en in voorkomende gevallen aan de betrokkene (artikel 34 AVG) is daar een uitwerking van. Daarom moet je als verwerker de verwerkingsverantwoordelijke, via je teamleider en de privacymedewerker van regio, onverwijld op de hoogte stellen van een datalek. Deze zal de datalek intern melden via een daartoe ingericht postbus datalekken. De verwerkingsverantwoordelijke zal vervolgens melding moeten doen bij de Autoriteit Persoonsgegevens en onder bepaalde omstandigheden ook bij de betrokkenen.

De procedure hoe om te gaan met datalekken moet gedocumenteerd worden en alle datalekken die zich hebben voorgedaan moeten in een overzicht geregistreerd worden.

In beginsel moet ieder datalek aan de Autoriteit Persoonsgegevens worden gemeld. Alleen die datalekken waarbij het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen zijn uitgezonderd van de meldplicht.

In bepaalde situaties hoeft een datalek niet gemeld te worden bij de betrokkene, bijvoorbeeld in het belang van de openbare veiligheid, een onderzoek, opsporing en vervolging van strafbare feiten.

Naar boven

14.6.1 Onderscheid tussen een datalek en schending geheimhouding

Er moet duidelijk onderscheid worden gemaakt in een datalek o.g.v. de AVG en schending van de geheimhouding. In de letterlijke zin van het woord datalek, is het feitelijk hetzelfde. Immers er wordt data gelekt (zoekgeraakt, hack, verzonden naar de verkeerde personen enz.). Echter zoals in hoofdstuk 14.2 reeds toegelicht betreft de data o.g.v. de AVG alleen persoonsgegevens van natuurlijke personen en dus niet van rechtspersonen (BV, NV, CV, VOF), tenzij deze de persoonsgegevens hebben van de natuurlijke persoon. Dus als data wordt ‘gelekt’ dat zuiver betreft gegevens over rechtspersonen, is geen sprake van een datalek volgens de AVG. Dit betekent dus ook dat dit niet volgens de procedure van de AVG gemeld moet worden. Dit betekent echter niet dat indien gegevens betreffende rechtspersonen worden gelekt je niets hoeft te doen. In dat geval kan er immers sprake van schending van de geheimhoudingsplicht (artikel 12 DWU en artikel 67 AWR). Zie verder hiervoor hoofdstuk 13 van het 5.00.00 van het handboek.

Figuur 2 relatie AVG/ WPG/ AWR/ DWU

 

Naar boven

14.7 Delen van gegevens

Zie voor delen van gegevens in zijn algemeenheid hoofdstuk 13 van het 5.00.00 van het handboek.

De artikelen 44 tot en met 46 AVG geven een aantal verplichtingen waaraan moet worden voldaan bij doorgifte van persoonsgegevens naar derde landen. Dit dient de rechtmatigheid en behoorlijkheid. Nederland heeft zich op grond van verschillende Europese en internationale regelingen en afspraken verplicht tot automatische uitwisseling van gegevens, waarbij elk land op basis van de vertrouwelijkheids- en gegevensbeschermingstoetsen van een ander land kan beslissen of dat land voldoet aan de eisen die het stelt aan de vertrouwelijkheid en gegevensbescherming. Daarbij is voor Europese regelingen voorgesteld om nu nog geen actie te ondernemen, maar af te wachten of de Commissie zelf met een plan komt voor toetsing van die regelingen aan de AVG.

Voor het doorgeven van persoonsgegevens naar landen buiten de EU stelt de AVG dat dit alleen mag als het door de AVG geboden beschermingsniveau niet wordt ondermijnd. In feite moeten voor alle landen waaraan gegevens worden geleverd worden getoetst of zij voldoen aan de criteria die de AVG stelt. Gegevens doorgeven kan dus alleen als het betreffende land een adequaat niveau van gegevensbescherming kent of als je aanvullende waarborgen biedt bij de doorgifte van de gegevens.

Landen die een met de Verordening vergelijkbaar niveau van gegevensbescherming bieden in hun nationale wetgeving worden geacht een passend niveau van gegevensbescherming te bieden. De Europese Commissie stelt vast of dit het geval is en neemt dan een zogeheten ‘adequaatheidsbeslissing’. Deze beslissingen kunnen een heel land betreffen, maar ook één of meerdere sectoren of regio’s binnen een land. Indien er een adequaatheidsbeslissing is genomen, hoeven er voor doorgiftes naar dat land, die sector of regio, geen aanvullende waarborgen worden getroffen. De Europese Commissie heeft een aantal adequaatheidsbeslissingen aangenomen. De landen met een adequaatheidsbeslissing zijn te vinden op de website van de Europese Commissie.

Naar boven

14.8 Interne verantwoordelijkheid en functies

Voor de Douane is een Privacy Functionaris AVG/datacoördinator en een WPG-coördinator aangesteld. Daarnaast zijn er voor elke regiokantoor/DLK Privacymedewerkers AVG aangesteld. Alle regionale vaco’s formeel recht zijn tevens ook de Privacymedewerkers AVG van de regio.