Persoonsgegevens in openbare bronnen
Informatie over mensen kan in openbare bronnen staan. Dat betekent dat iedereen de informatie kan bekijken. Bijvoorbeeld op internet, op social media of in registers. Vaak publiceren mensen die gegevens ook zelf. Maar dat betekent niet dat anderen die gegevens dan zomaar overal voor mogen gebruiken. Ook al zijn de gegevens openbaar. Op deze pagina leest u wat er wel en niet mag met gegevens in openbare bronnen.
Op deze pagina
Persoonsgegevens in openbare bronnen
Het plaatsen van persoonsgegevens in open bronnen, zoals openbare internetpagina’s, is een verwerking van persoonsgegevens. Dat betekent dat de Algemene verordening gegevensbescherming (AVG) van toepassing is. En dus dat er een grondslag nodig is voor de verwerking. Maar de AVG geldt niet als persoonsgegevens worden verwerkt voor persoonlijk of huishoudelijk gebruik.
Gegevens van uzelf
Wilt u uw eigen persoonsgegevens plaatsen in open bronnen? Dan heeft u geen grondslag nodig. Want het zijn uw gegevens en u mag bepalen wat daarmee gebeurt.
Gegevens van een ander
Wilt u persoonsgegevens van anderen plaatsen in open bronnen? Dan heeft u wel een grondslag nodig. Ook moet u een specifiek en gerechtvaardigd doel hebben. U moet zelf vaststellen:
- welk doel dat is;
- of u daarvoor een grondslag heeft;
- of u aan de overige vereisten uit de AVG voldoet.
Doe dit voordat u de gegevens plaatst. Zo voorkomt u dat u de AVG overtreedt.
Bijzondere of strafrechtelijke gegevens
Voor de verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens geldt een verwerkingsverbod. U mag deze gegevens van anderen alleen verwerken als er sprake is van een uitzondering op dit verbod. U moet zelf vaststellen of de gegevens van anderen die u in openbare bronnen wilt plaatsen, onder dit verbod vallen. En of u aanspraak kunt maken op een uitzondering hierop.
Persoonsgegevens verzamelen en (opnieuw) verwerken voor uzelf
Persoonsgegevens die op een rechtmatige manier (volgens de regels van de AVG) in een open bron zijn geplaatst, mag u gebruiken voor persoonlijke of huishoudelijke doeleinden. De gegevens gebruikt u dan uitsluitend privé. Dus niet (ook) voor professionele of commerciële doeleinden. En u deelt de gegevens niet met anderen.
Of alleen met een beperkte groep mensen, zoals uw familieleden of vrienden. Bijvoorbeeld voor een verjaardagskalender of een persoonlijk adresboek. Of om een telefoonnummer van een familielid door te geven aan een ander familielid. In deze gevallen is de AVG niet van toepassing.
Persoonsgegevens verzamelen en (opnieuw) verwerken voor een ander doel
Informatie over een persoon kan rechtmatig in een open bron staan. En dus voor iedereen toegankelijk en te bekijken zijn. Maar dat betekent niet dat u die gegevens dan ook overal voor mag gebruiken. U mag de gegevens niet zomaar opnieuw verwerken. Of het verstrekken van persoonsgegevens mag, verschilt per situatie.
Toestemming geldt vaak niet als grondslag voor opnieuw verwerken
Persoonsgegevens mogen opnieuw worden verwerkt als de betrokkene daar specifieke toestemming voor heeft gegeven. Dat gegevens in een open bron staan, betekent niet dat u automatisch toestemming heeft om de gegevens opnieuw te verwerken. Bijvoorbeeld als u de gegevens in allerlei bestanden wilt opnemen. U heeft alleen toestemming om de gegevens te bekijken bij een openbare bron.
Vooraf risico’s in kaart brengen
Het feit dat persoonsgegevens te vinden zijn in open bronnen, of daar zelfs door de betrokkene zelf zijn geplaatst, is dus geen vrijbrief om de gegevens opnieuw te verwerken. Voor elke nieuwe verwerking moet u nagaan of u verplicht bent een data protection impact assessment (DPIA) uit te voeren.
Een DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. En om daarna maatregelen te kunnen nemen om de risico’s te verkleinen. Ook als het uitvoeren van een DPIA niet verplicht is, is het aan te raden om dat toch te doen.
Automatische dataverzameling
Ook organisaties die automatisch het gehele internet afzoeken en er zo veel mogelijk persoonsgegevens van afhalen, verwerken persoonsgegevens. Ook zij moeten dus voldoen aan de AVG. Zo moeten ze kunnen aantonen dat er een grondslag is voor de verwerking. En dat ze voldoen aan de vereisten van dataminimalisatie en noodzakelijkheid.
Opnieuw verwerken van bijzondere of strafrechtelijke gegevens
Voor de verwerking van bijzondere of strafrechtelijke gegevens geldt een verwerkingsverbod. Dat betekent dat u rechtmatig op internet geplaatste bijzondere en strafrechtelijke persoonsgegevens mag bekijken, maar niet opnieuw mag verwerken. Tenzij er, naast een grondslag, ook een uitzonderingsgrond van toepassing is.