Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.
Juridische vraag: Onlangs hebben mijn broers en ik het huis van mijn overleden vader leeggeruimd. Die had bij leven dozen en dozen met correspondentie gemaakt met kennissen uit binnen- en buitenland. Geen van de kinderen of kleinkinderen had veel behoefte aan deze vele kilo’s papierwerk als herinnering aan vader/opa, dus uiteindelijk hebben we alles rücksichtslos in de papiercontainer gemikt. Maar nu vraag ik me toch af: hebben we niet een enorm datalek veroorzaakt door dit zomaar weg te gooien, in plaats van het door een shredder te halen?
Antwoord: De AVG kent een uitzondering voor verwerkingen "door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit" (artikel 2 lid 2). Het voeren van (persoonlijke) correspondentie met kennissen wordt in overweging 18 letterlijk genoemd als een voorbeeld van die uitzondering.
Daarnaast gaat het hier om papieren in dozen, zonder kennelijk iets van indexatie of structuur. De AVG geldt bij niet-elektronische verwerkingen alleen als de persoonsgegevens "in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen" (artikel 2 lid 1). Van een bestand is pas sprake (artikel 4 lid 6) als de collectie "volgens bepaalde criteria toegankelijk" is, wat inhoudt dat je er in kunt zoeken of anderszins makkelijk specifieke elementen terug kunt vinden (HvJ-uitspraak C-25/17 Jehovan todistajat).
Als de correspondentie bijvoorbeeld zakelijk was (opa was schrijver of academicus en onderhield zo een zakelijk netwerk) dan wordt het dus relevant hoe de betreffende brieven in die dozen zaten. Kun je daarbij zeggen dat dit het makkelijker maakte om een brief te vinden, die van dokter Clavan uit november 1989 bijvoorbeeld? Als dat zo is, dan is de collectie een bestand te noemen en dan zou de AVG gelden.
Het vernietigen van een bestand is óók een vorm van verwerken en moet dan ook aan de AVG voldoen. Gebeurt dat niet zorgvuldig (artikel 32), dan spreken we van een datalek (artikel 4 lid 12) wanneer daardoor ongeoorloofde toegang voor derden ontstaat. Van dat laatste is wel sprake als iedereen de papiercontainer kan openen en de brieven kan lezen.
Voor een datalek is meer nodig dan "iemand kon er bij". Het criterium is of de beveiliging geschonden is, en daarbij hoort de vraag of die beveiliging adequaat was. Bij persoonlijke correspondentie, zeker in dozen en dozen, is het nogal wat om te verlangen dat al die dingen verbrand of versnipperd worden. Dan zou ik echt willen weten om wat voor soort brieven het gaat om te bepalen of die kosten en moeite het waard zijn. Maar dan moeten ze inderdaad op een veilige manier vernietigd worden.
Gaat het om alledaagse correspondentie, dan zie ik weinig tot geen reden om meer te doen dan gewoon in de container bij wijze van vernietiging. De vrijwel afwezige beveiliging is dan dus in die context adequaat, omdat er weinig tot geen risico's zijn voor de correspondentiepartners. En om diezelfde reden hoeft het datalek - áls iemand de brieven toch leest - dan niet gemeld te worden en ontstaat geen aansprakelijkheid jegens diezelfde partners.
Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.
Wat voegt de uitleg toe? Is de AVG nou wel of niet van toepassing? Dan hoef je toch helemaal niet op de rest in te gaan? Er staat duidelijk (2x) dat het om contact met kennissen en kinderen gaat. Wat maken we het onszelf weer moeilijk.
Door Anoniem: Wat voegt de uitleg toe? Is de AVG nou wel of niet van toepassing? Dan hoef je toch helemaal niet op de rest in te gaan? Er staat duidelijk (2x) dat het om contact met kennissen en kinderen gaat. Wat maken we het onszelf weer moeilijk.
Dat hangt af hoe de inhoud in de dozen georganiseerd was. Een geordende verzameling is zorgvuldig afvoeren, een losse verzameling zonder ordening ( geen sortering op datum, random personen door elkaar).
De eerste vraag is of het over een zuiver persoonlijke of huishoudelijke activiteit gaat. Zo ja, dan is de AVG niet van toepassing.
Gaat het om zakelijke brieven, dan komt de vraag of ze geordend zijn. Zo ja, dan is de AVG wel van toepassing.
Persoonlijke brieven vallen nooit onder de AVG, ook al zijn ze geordend.
Ik heb dit zelf bij mijn vader ook meegemaakt en alles toen door de shredder gehaald. Acheraf bleek dat je op veel punten per KG archief papieren kan aanbieden ter vernietiging.
Ik weet wel dat ik daar de volgende keer voor zou kiezen ;)
Al moet ik zeggen als je het voor jezelf makkelijk wil maken. Voer het gewoon altijd uit alsof de AVG van toepassing is. Ik heb in de afgelopen 10 jaar geen document/brief met herkenbare persoonsgegevens weggegooid, zonder dat het dus versnipperd is. En daardoor hoef je het je ook niet meer af te vragen. Is daarnaast ook gewoon 'netjes'. Beetje omgaan in een opgevoed manier mag ook wel. Maar idd juridisch bestaan er uitzonderingen voor dit in huiselijke sfeer. Ik zou het alleen niet als standaard gaan hanteren. Want het kan zijn dat er iets zakelijks tussen zat dat mee naar huis was genomen, en niet terug naar 't bedrijf/kantoor was gebracht.
Door Anoniem:
Door Anoniem: Wat voegt de uitleg toe? Is de AVG nou wel of niet van toepassing? Dan hoef je toch helemaal niet op de rest in te gaan? Er staat duidelijk (2x) dat het om contact met kennissen en kinderen gaat. Wat maken we het onszelf weer moeilijk.
Dat hangt af hoe de inhoud in de dozen georganiseerd was. Een geordende verzameling is zorgvuldig afvoeren, een losse verzameling zonder ordening ( geen sortering op datum, random personen door elkaar).
Doet er niet toe, want hij geeft al aan dat het om informatie van kennis en kinderen gaat. Dus de wijze van verzameling maakt niet uit. Ik snap dat Arnoud het nu breder wil trekken, maar het was een uitgelezen kans om gewoon te zeggen, gelukkig hoef je hier nu niet om te denken, maak je geen zorgen! AVG is niet van toepassing.
"De AVG kent een uitzondering voor verwerkingen "door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit" (artikel 2 lid 2). Het voeren van (persoonlijke) correspondentie met kennissen wordt in overweging 18 letterlijk genoemd als een voorbeeld van die uitzondering."
Een overleden persoon is, bij mijn weten, geen natuurlijke persoon (meer). Nu weet ik ook niet of de nabestaanden of erfgenamen daardoor wettelijk verplicht en/of verantwoordelijk zijn voor een adequate afhandeling van de correspondentie.
Door Anoniem: Al moet ik zeggen als je het voor jezelf makkelijk wil maken. Voer het gewoon altijd uit alsof de AVG van toepassing is. Ik heb in de afgelopen 10 jaar geen document/brief met herkenbare persoonsgegevens weggegooid, zonder dat het dus versnipperd is. En daardoor hoef je het je ook niet meer af te vragen. Is daarnaast ook gewoon 'netjes'.
Mooi als je een huis shreddertje hebt en twee brieven per week doet.
Ik zou toch je ethische ruggegraat willen zien als je een stuk of 5 grote kartonnen dozen stampvol moet doen .
Papier is loeizwaar - en mensen die structureel bewaren kunnen in hun leven toch echt _erg veel_ verzamelen. Een paar boekenkasten met ordners .
Ik heb wel eens "een stapeltje" erg persoonlijke papieren (belasting e.d.) door de (MKB) kantoor shredder zitten halen . Dat gaat niet zo snel , en waren maar iets van 30 of 40 A4tjes . Shreddertje kan er een stuk of vijf 9? (acht) tegelijk aan.
En gaat na een tijdje in de thermische beveiliging.
Als ik dat doortrek naar letterlijk dozen vol - dan gaat dat toch maar de papiercontainer in.
Des te meer als je ook nog eens in de toestand zit dat je een overlijden letterlijk aan het verwerken bent.
(eenmalig laten doen - kost ca 400 euro ex BTW , tot 3 M^3 lijkt het) .
Dit soort correspondentie geeft later een goed inzicht van het tijdsbeeld. Zonde dat dit allemaal is weggegooid. Onder het mom van de AVG wordt al zoveel weggegooid. Een lokale heemkundekring of historische vereniging had het waarschijnlijk graag in het archief opgenomen. Bovendien vervalt de bescherming door de AVG na je dood. Dit geldt dus voor de vader van de OP en mogelijk ook voor het grootste deel van degenen met wie hij correspondeerde.
Door Anoniem: Dit soort correspondentie geeft later een goed inzicht van het tijdsbeeld. Zonde dat dit allemaal is weggegooid. Onder het mom van de AVG wordt al zoveel weggegooid. Een lokale heemkundekring of historische vereniging had het waarschijnlijk graag in het archief opgenomen. Bovendien vervalt de bescherming door de AVG na je dood. Dit geldt dus voor de vader van de OP en mogelijk ook voor het grootste deel van degenen met wie hij correspondeerde.
Nja, de AVG is niet van toepassing dus dat doet er niet toe. En de AVG kent al een uitzondering voor archivering, dus dat is al gedekt. Dat organisaties bang zijn is een ander verhaal.
Voor een datalek is meer nodig dan "iemand kon er bij". Het criterium is of de beveiliging geschonden is,
en daarbij hoort de vraag of die beveiliging adequaat was.
Lijkt me inderdaad een relevant gegeven.
Je kan je afvragen of hier überhaupt sprake van beveiliging was.
Bij beveiliging denk ik al snel aan bijv. een kluis met een slot of een (geheime) code of wachtwoord o.i.d.
Maar stel nu eens dat die correspondentie niet op papier stond,
maar toegankelijk leesbaar in de personal computer van de overledene was opgeslagen.
Is men dan wél verplicht om z.s.m. deze data van de computer te verwijderen en/of te vernietigen?