Het doelloos verzamelen van gegevens - Artikel 6 lid 4 AVG

Met grote opluchting is de AVG (Algemene Verordening Gegevensbescherming) door ons ontvangen. Deze wet beschermt persoonsgegevens zodat we binnen de groeiende digitale wereld toch nog wat privacy hebben. Helaas is de AVG niet overal even vergaand in zijn beschermingsomvang. Op sommige punten is het door de AVG zelfs mogelijk om juist makkelijker gegevens te verzamelen en gebruiken. Eén van die punten is verwerkt in artikel 6 lid 4 van de AVG dat gaat over doelbinding. Hieronder zal ik uitleggen wat doelbinding is, waarom het belangrijk is en wat de AVG nu eigenlijk toelaat.

Doelbinding

Wanneer jouw persoonsgegevens zoals bijvoorbeeld water en elektriciteitsverbruik worden gemeten, dan wil je wel dat deze voor een duidelijk doel worden gebruikt. Zo zijn die gegevens vooral van belang om te bepalen wat je maandelijkse rekening dient te zijn voor dat verbruik. De overheid kan echter veel voordeel halen uit het opvragen van die gegevens. Door te meten hoeveel water je gebruikt, kan bijvoorbeeld worden achterhaald of je wel echt op die locatie woont. Andersom kan ook worden achterhaald of er misschien een extra persoon bij je woont die niet op dat adres is geregistreerd. Via dit soort gegevens kan als het ware bij jou binnen worden gekeken, en dit kan leiden tot vergaande juridische en financiële gevolgen.

Nu heb ik het slechts over elektriciteit en water, maar stel je voor hoeveel gegevens er van je worden verzameld op internet, via je ov-chipkaart, via je Albert Heijn bonuskaart, via je locatie en telefoon gegevens… En stel je nu voor dat al die gegevens bij elkaar worden gebracht, dan hoeft niemand meer je huis binnen te lopen om precies te weten wie jij bent. Dit kan heel nuttig zijn voor het opsporen van criminaliteit, maar als zo’n systeem geen waarborgen heeft, dan kunnen ook onschuldige mensen op grote schaal worden gecontroleerd. Een van de waarborgen die al voor de AVG bestond is daarom doelbinding: Het is pas mogelijk om toegang te krijgen tot persoonsgegevens en die te verwerken, als daarvoor een duidelijk omschreven en gerechtvaardigd doel bestaat.

Doelbinding voor de AVG

Voor de AVG werd doelbinding ontzettend streng door de rechter gehandhaafd.[1] Wanneer gegevens werden verzameld zonder een duidelijk omschreven en gerechtvaardigd doel, dan was dit onrechtmatig. Dit gold zowel voor bedrijven als voor de overheid. Wanneer er wel een duidelijk en gerechtvaardigd doel bestond, maar de instantie met het verwerken van de gegevens afweek van dat doel, dan was dit ook onrechtmatig. Slechts in uitzonderlijke gevallen, wanneer het nodig was in een democratische samenleving, kon van het doel worden afgeweken. Op deze manier werd zo veel mogelijk voorkomen dat bedrijven en de overheid willekeurig om konden gaan met gegevens.

Doelbinding na de AVG - Artikel 6 lid 4

Met de invoering van de AVG is het belang van doelbinding nogmaals benadrukt. Zowel in de introductie bij de AVG[2] als in artikel 5 lid 1 sub b komt duidelijk naar voren dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en dat niet van dat doel mag worden afgeweken. Tot zo ver lijkt dus wettelijk te zijn vastgesteld wat in de rechtspraak al jaren de regel was. Een opmerkelijk verschil doet zich echter voor in artikel 6 lid 4. Dit artikel richt zich op het geval dat van het doel wordt afgeweken.

Waar het volgens de rechtspraak slechts in uitzonderlijke gevallen mogelijk was om af te wijken van het doel, biedt dit artikel de mogelijkheid om er systematisch van af te wijken. Dit kan door toestemming te krijgen van de persoon van wie de gegevens worden verwerkt (we weten hoe makkelijk toestemming te krijgen is door zoiets als cookies te accepteren). Verder kan ook van het doel worden afgeweken wanneer ‘onder meer’ rekening wordt gehouden met vaag afgebakende begrippen zoals ‘het kader waarin de persoonsgegevens zijn verzameld’ of de ‘aard van de persoonsgegevens’. De woorden ‘onder meer’ duiden op een niet limitatieve lijst. Dankzij de AVG is het nu dus mogelijk voor bedrijven en overheidsinstanties om regelmatig af te wijken van het oorspronkelijke doel waarvoor jouw gegevens zijn verzameld. Het creëren van gedetailleerde profielen van iedereen ligt nu binnen handbereik.

[1] S and Marper vs. The United Kingdom, par. 99.

[2] Nr. 39