Personenbezogene Daten

Vrijwel elke uitgefaseerde laptop, smartphone of multifunctioneel apparaat bevat gegevens over mensen: namen in e-mails, telefoonnummers in het adresboek, gezichten op foto's. Zodra zulke gegevens in het spel zijn, geldt de AVG. Dit item legt uit wat persoonsgegevens zijn, waar ze op oude apparaten zitten en wat daaruit voor het uitfaseren volgt.

Wat geldt als persoonsgebonden?

Beslissend is of een persoon direct of indirect herkend kan worden. Direct geïdentificeerd is ze bijvoorbeeld door haar naam. Indirect identificeerbaar is ze als informatie met andere gegevens kan worden samengevoegd, bijvoorbeeld een klantnummer met de klantendatabase. Daarbij tellen alle middelen waarvan redelijkerwijs te verwachten is dat ze worden gebruikt.

Soort	Voorbeelden	Typische opslaglocatie op oude apparaten
Identificatiegegevens	Naam, geboortedatum, personeels- of klantnummer	Documenten, databases, gebruikersprofielen
Contactgegevens	E-mailadres, telefoonnummer, adres	Postvakken, adresboeken, smartphones
Online-identificatoren	IP-adressen, apparaat-ID's, cookies, inloggegevens	Browseropslag, logbestanden, netwerkapparaten
Inhoud	Foto's, spraakberichten, gespreksnotities	Smartphones, tablets, netwerkschijven
Bijzondere categorieën	Gezondheidsgegevens, biometrische gegevens, religie, lidmaatschap van een vakbond	Personeelsdossiers, praktijk- of laboratoriumsystemen

Voor de laatste groep gelden strengere regels volgens art. 9 AVG. Meer hierover in het item bijzondere categorieën persoonsgegevens.

Wat niet onder het begrip valt

• Anonieme gegevens: Kan een persoon zelfs met redelijke inspanning niet meer worden herkend, dan geldt de AVG niet.
• Gegevens over bedrijven: Omzetcijfers of bedrijfsadressen zijn geen persoonsgegevens. Dat is anders als ze op een persoon betrekking hebben, bijvoorbeeld het e-mailadres van een contactpersoon.
• Gegevens van overledenen: De AVG beschermt alleen levende personen. Andere voorschriften, zoals beroepsgeheimen, kunnen toch gelden.

Gepseudonimiseerde gegevens blijven daarentegen persoonsgegevens, want met de sleutel is de herleidbaarheid tot een persoon te herstellen.

Wat dit betekent voor uit gebruik genomen hardware

Verwijderde bestanden, geformatteerde harde schijven of teruggezette smartphones bevatten vaak nog herstelbare gegevens. Zolang dat mogelijk is, blijven de beschermingsverplichtingen van de AVG gelden, met name de beginselen van art. 5 AVG. Komen de gegevens in verkeerde handen, dan is er sprake van een Datalek . Wie apparaten uitfaseert, heeft daarom een werkwijze nodig die elke Gegevensdrager omvat en het wissen per apparaat aantoont. Welke sporen op oude harde schijven kunnen achterblijven, toont ons artikel Bedrijfs-DNA op harde schijven.

Persoonsgegevens bij Second IT

Second IT controleert bij goederenontvangst elk apparaat op alle opslagmedia en registreert het per serienummer. Gewist wordt met Blancco, ook in verborgen gebieden zoals HPA en DCO, met een digitaal ondertekend wiscertificaat per apparaat. Bovendien worden identificatiekenmerken van de klant, zoals stickers, volledig verwijderd. Medewerkers zijn verplicht tot gegevensgeheimhouding. Meer over Gegevensbeveiliging bij Second IT.

Veelgestelde vragen over persoonsgegevens

Is een IP-adres een persoonsgegeven?

In veel gevallen wel. Het Hof van Justitie van de Europese Unie heeft in 2016 beslist dat ook dynamische IP-adressen persoonsgegevens kunnen zijn als de verwerkingsverantwoordelijke wettelijke middelen heeft om ze aan een persoon toe te wijzen. Op netwerkapparaten en in logbestanden moet u ze daarom als persoonsgegevens behandelen.

Zijn zakelijke e-mailadressen persoonsgegevens?

Ja, als ze aan een persoon zijn toegewezen, bijvoorbeeld vorname.nachname@firma.de. Functionele adressen zoals info@ zonder persoonsverwijzing zijn dat doorgaans niet.

Volstaat het om persoonlijke bestanden te verwijderen voordat u apparaten afgeeft?

Nee. Verwijderde bestanden zijn vaak te herstellen en gegevens staan ook in buffers, profielen of verborgen gebieden. Veilig is alleen het wissen van de volledige gegevensdrager met een gecontroleerde methode en bewijs, of de fysieke vernietiging ervan.

Wat is het verschil tussen anonieme en gepseudonimiseerde gegevens?

Anonieme gegevens zijn zelfs met redelijke inspanning niet meer aan een persoon toe te wijzen, daarom geldt de AVG er niet voor. Gepseudonimiseerde gegevens blijven persoonsgegevens, want met de sleutel is de herleidbaarheid tot een persoon te herstellen.

Zijn foto's en spraakberichten persoonsgegevens?

Ja, zodra daarop een persoon te herkennen is, bijvoorbeeld aan het gezicht of de stem. Zulke inhoud staat vaak op smartphones, tablets en netwerkschijven. Bij het uitfaseren van deze apparaten moet ze daarom aantoonbaar worden gewist.