Bijzondere persoonsgegevens zijn gegevens die zo gevoelig zijn dat de AVG het verwerken ervan in beginsel verbiedt. Pas als een van de uitzonderingen opgaat, mag het alsnog.
Kort samengevat
- Verbod is het uitgangspunt. Anders dan bij gewone gegevens, waar een grondslag volstaat.
- Acht categorieën. Van gezondheid en religie tot biometrie en vakbondslidmaatschap.
- U heeft twee dingen nodig. Een grondslag uit artikel 6 en een uitzondering op het verbod.
- BSN en strafrechtelijke gegevens vallen apart. Met een eigen, even streng regime.
- Vaak is een DPIA verplicht. Zeker bij grootschalige verwerking.
Waar het bij gewone persoonsgegevens gaat om de vraag welke grondslag past, gaat het hier eerst om de vraag of u überhaupt mag. Dat verschil in vertrekpunt wordt in de praktijk vaak over het hoofd gezien.
Wanneer mag u bijzondere persoonsgegevens verwerken?
Alleen als u zowel een grondslag heeft als een uitzondering op het verbod. Die twee zijn niet hetzelfde en u heeft ze allebei nodig.
De uitzonderingen die in het bedrijfsleven het meest worden gebruikt zijn: uitdrukkelijke toestemming van de betrokkene, noodzaak in het kader van het arbeidsrecht en de sociale zekerheid, noodzaak voor de instelling of onderbouwing van een rechtsvordering, en gegevens die de betrokkene zelf kennelijk openbaar heeft gemaakt.
In de zorg speelt vooral de uitzondering voor doeleinden van preventieve of arbeidsgeneeskunde, medische diagnose en het verstrekken van zorg, mits verwerkt door of onder verantwoordelijkheid van iemand met een beroepsgeheim.
Let op het woord uitdrukkelijk bij toestemming. Dat is een zwaardere eis dan de gewone toestemming: de betrokkene moet een expliciete verklaring afleggen, niet slechts een handeling verrichten waaruit instemming blijkt.
Welke gegevens vallen eronder?
De verordening noemt acht categorieën.
- Ras en etnische afkomst.
- Politieke opvattingen.
- Religieuze of levensbeschouwelijke overtuigingen.
- Lidmaatschap van een vakbond.
- Genetische gegevens.
- Biometrische gegevens, voor zover die worden gebruikt om iemand uniek te identificeren.
- Gegevens over gezondheid.
- Gegevens over seksueel gedrag of seksuele gerichtheid.
Twee categorieën zorgen voor de meeste discussie. Biometrie valt er pas onder zodra de gegevens worden verwerkt met het oog op unieke identificatie. Een pasfoto in een personeelsdossier is dus gewoon een persoonsgegeven; diezelfde foto in een toegangssysteem met gezichtsherkenning is een bijzonder persoonsgegeven.
Gezondheidsgegevens worden breder uitgelegd dan veel organisaties denken. Niet alleen een diagnose, maar ook informatie waaruit iets over de gezondheid valt af te leiden. Een aangepaste werkplek, een dieetwens bij een bedrijfsuitje of het feit dat iemand onder behandeling is: het valt er allemaal onder.
Waarom gaat het bij personeelsgegevens zo vaak mis?
Omdat de grens tussen wat een werkgever mag weten en wat de bedrijfsarts mag weten in de praktijk vervaagt. De regel is helder: u mag registreren dat iemand ziek is, wanneer de ziekmelding binnenkwam en wanneer iemand terugkomt. U mag niet vastleggen wat iemand mankeert, ook niet als de medewerker het uit zichzelf vertelt.
Dat laatste is contra-intuïtief en daarom de meest voorkomende overtreding. Een leidinggevende die in een verslag noteert dat een medewerker een burn-out heeft, verwerkt een gezondheidsgegeven zonder uitzondering. Wat wel mag is vastleggen welke beperkingen er zijn voor het werk, want dat heeft u nodig voor de re-integratie.
Over wat er verder wel en niet in een dossier thuishoort schreven wij in het personeelsdossier, en welke informatie u aan uw eigen mensen verstrekt staat in de privacyverklaring voor werknemers.
Wat geldt er voor BSN en strafrechtelijke gegevens?
Beide vallen buiten de acht categorieën en kennen een eigen regime dat minstens zo streng is.
Het burgerservicenummer mag u alleen gebruiken wanneer een wet dat voorschrijft of toestaat. In de loonadministratie mag het, bij de zorgverlener mag het, en in uw klantenbestand mag het niet. Het is een van de weinige onderwerpen waarbij het antwoord vrijwel altijd nee is als u de vraag moet stellen.
Strafrechtelijke gegevens mag u alleen verwerken onder toezicht van de overheid of als een specifieke wettelijke bepaling dat toestaat. Een verklaring omtrent het gedrag mag u opvragen en inzien. Of u een kopie mag bewaren en hoe lang, is een afzonderlijke afweging die u onderbouwt en vastlegt.
Wat regelt u extra?
Vier dingen komen er bij bijzondere gegevens standaard bij.
Een strengere toegangsbeveiliging, want de kring van mensen die erbij mag is kleiner. Een expliciete grondslag én uitzondering, vastgelegd in uw waarom u een register van verwerkingen bijhoudt. Een DPIA bij grootschalige verwerking, want dat is een van de gevallen waarin die verplicht is; in wanneer u een DPIA uitvoert leest u wanneer precies. En kortere bewaartermijnen, omdat de impact van een lek groter is.
Verwerkt u deze gegevens als kernactiviteit en op grote schaal, dan bent u bovendien verplicht een functionaris gegevensbescherming aan te stellen. Voor zorgorganisaties is dat vrijwel altijd het geval, en op de pagina over AVG in de zorg staat wat daar verder bij komt kijken. Twijfelt u over een specifieke verwerking, dan is juridisch privacy advies de snelste manier om te bepalen of een uitzondering opgaat.
