Art. 5 DSGVO

Art. 5 AVG is het fundament van het Europese gegevensbeschermingsrecht. De beginselen daarin gelden voor elke verwerking van persoonsgegevens – ook voor gegevens die achterblijven op afgedankte laptops, servers en smartphones. Hier leest u welke beginselen er zijn en wat ze betekenen voor het afvoeren van IT.

Wat staat er in art. 5 AVG?

Art. 5 lid 1 AVG noemt zes beginselen; lid 2 voegt de verantwoordingsplicht toe. De beginselen zijn geen vrijblijvend leidraad. Overtredingen kunnen volgens art. 83 lid 5 AVG worden bestraft met de hoogste boetes van de verordening.

Beginsel	Kort gezegd	Relevantie voor het afvoeren van IT
a) Rechtmatigheid, behoorlijkheid, transparantie	Verwerking alleen met een rechtsgrond en op navolgbare wijze	Ook verwijdering door dienstverleners is een verwerking
b) Doelbinding	Gegevens alleen voor vastgestelde doeleinden gebruiken	Oude gegevens op apparaten mogen niet ‘tussendoor’ worden hergebruikt
c) Dataminimalisatie	Zo min mogelijk gegevens	Geen kopieën van oude harde schijven ‘voor de zekerheid’ zonder doel
d) Juistheid	Gegevens feitelijk juist en actueel	Weinig direct verband
e) Opslagbeperking	Niet langer opslaan dan nodig	Oude apparaten met gegevens niet jarenlang in de kelder bewaren
f) Integriteit en vertrouwelijkheid	Bescherming tegen ongeoorloofde toegang, verlies en vernietiging	Veilige opslag, veilig transport en veilige verwijdering
Lid 2 – Verantwoordingsplicht	De naleving kunnen aantonen	Wis- en vernietigingsbewijzen per serienummer

Wat betekent art. 5 AVG voor afgedankte IT?

Drie beginselen staan bij het afvoeren op de voorgrond. De Opslagbeperking vereist dat gegevens worden gewist zodra ze niet meer nodig zijn en er geen bewaartermijn aan in de weg staat. Een afgedankt apparaat met klantgegevens in de opslag schendt dit beginsel snel.

Integriteit en vertrouwelijkheid vereisen bescherming door passende technische en organisatorische maatregelen. Dit wordt concreet gemaakt in Art. 32 AVG: afsluitbare verzamelcontainers, gecontroleerd transport, betrouwbare wismethoden.

de Verantwoordingsplicht keert tot slot de bewijslast om. Niet de autoriteit hoeft een overtreding te bewijzen, maar u moet aantonen dat u de beginselen naleeft. Voor oude apparaten betekent dat: protocollen en certificaten die aan elk apparaat kunnen worden toegewezen. Welke gegevens zo’n bewijs moet bevatten, beschrijft onze gids Vernietigingscertificaat en wisrapport.

Typische fouten bij het afvoeren

• Oude apparaten worden verzameld zonder wisbeleid en blijven maandenlang liggen.
• ‘Formatteren’ wordt opgevat als wissen, terwijl gegevens herstelbaar blijven.
• Bewijzen bestaan alleen als verzamelbewijs met gewicht, niet per apparaat.
• Niemand is verantwoordelijk voor het afvoeren, waardoor hiaten niet opvallen.

Hoe u gegevensdragers over het geheel rechtszeker afstaat, laat de gids zien: Gegevensdragers AVG-conform afvoeren. Dit item vervangt geen juridisch advies.

Art. 5 AVG in de praktijk bij Second IT

Second IT ondersteunt de beginselen met gedocumenteerde processen: ophalen met eigen beveiligde logistiek zonder tussenopslag, controle van alle apparaten op opslagmedia bij de goederenontvangst, toegangscontrole en camerabewaking in de verwerkingsruimten. Gewist wordt met Blancco, met een digitaal ondertekend wiscertificaat per apparaat. Meer over Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over art. 5 AVG

Welke beginselen noemt art. 5 AVG?

Rechtmatigheid, behoorlijkheid, transparantie, doelbinding, dataminimalisatie, juistheid, opslagbeperking en integriteit en vertrouwelijkheid. Daar komt in lid 2 de verantwoordingsplicht van de verwerkingsverantwoordelijke bij.

Hoe hoog kan een boete zijn bij overtredingen van art. 5 AVG?

Overtredingen van de beginselen vallen onder art. 83 lid 5 AVG. Mogelijk zijn geldboeten tot 20 miljoen euro of tot 4 % van de wereldwijde jaaromzet van het voorgaande jaar, afhankelijk van welk bedrag hoger is. De autoriteit houdt daarbij rekening met de omstandigheden van het individuele geval.

Geldt art. 5 AVG ook voor defecte apparaten?

Ja. Ook op defecte harde schijven of smartphones kunnen gegevens leesbaar zijn. Zolang er persoonsgegevens op staan, gelden de beginselen. Defecte gegevensdragers die niet kunnen worden gewist, worden daarom fysiek vernietigd.

Wat betekent de verantwoordingsplicht volgens art. 5 AVG?

U moet te allen tijde kunnen aantonen dat u de beginselen naleeft. De bewijslast ligt bij u, niet bij de autoriteit. Voor oude apparaten betekent dat: wis- en vernietigingsbewijzen die via het serienummer aan elk apparaat kunnen worden toegewezen.

Wat is het verschil tussen art. 5 en art. 32 AVG?

Art. 5 noemt de beginselen van de verwerking, bijvoorbeeld integriteit en vertrouwelijkheid. Art. 32 maakt daar concrete beveiligingsmaatregelen van. Bij het afvoeren zijn dat bijvoorbeeld afsluitbare verzamelcontainers, gecontroleerd transport en betrouwbare wismethoden.