Vraag mbt AVG autorisatie persoonsgegevens: toestemming

[Gim]

Ik heb een vraag met betrekking tot de wetgeving autoriteit persoonsgegevens. wellicht en hopelijk dat één van jullie me wat duidelijkheid kan verschaffen. Gewoon een case dus, omdat ik voor mezelf een beter begrip van de materie en kaders wil hebben

De situatie:
Ik stap bij een bedrijf binnen, er is een wachtrij voordat ik geholpen kan worden. Er wordt me gevraagd of ik al in het nieuwe systeem sta. Dat sta ik niet, waarna mij verteld wordt "U kunt daar even plaatsnemen om te wachten en u mag ondertussen uw persoonsgegevens (NAW, email, telefoon) op één van de papiertjes daar invullen". Het wordt meer gezegd dan gevraagd ofschoon het 'mag' woordje.

Er wordt niet gelijk bij verteld dat het niet verplicht is en er wordt ook niet gelijk bij verteld waar het voor bedoeld is. Op het papiertje wordt verder ook niet meer gedaan dan vragen om de persoonsgegevens; er wordt niet gevraagd om toestemming dat het gebruikt mag worden.

Waar ik anderen gelijk het papiertje zag invullen heb ik zelf gevraagd of het moet en waar het voor bedoeld is. Het bleek niet verplicht en het bleek te zijn voor een toekomstige app (waar ze nog mee bezig waren) waarmee ze je van informatie konden voorzien; bijvoorbeeld drukte i.v.m. de wachtrij die er nu ook was.

Ik heb het vooralsnog dus ook nog niet ingevuld, omdat ik er geen meerwaarde in zag voor mezelf.


De vragen:
1) Moet een bedrijf een pro-actieve rol hebben in het direct en duidelijk informeren waar de gegevens voor nodig is en of de gegevens verplicht zijn?

Óf de gegevens voor de app gebruikt gaan worden is nog de vraag want de app is hooguit pas in de toekomst actief. Hóe de gegevens gebruikt gaan worden is ook niet duidelijk.

2) Er wordt de personen die binnenkomen op het zelf op een papiertje te schrijven. Zou dat zijn om daar iets mee te omzeilen? Vanwaar de vraag? Ze konden al gegevens inzien in het nieuwe systeem, dus in die zin geen blokkade en met hun oude systeem (voorafgaand aan de wetgeving) konden en deden ze gelijk de gegevens digitaal verwerken aan de balie zonder papieren tussenkomst.

3) Wanneer kan iets onder "online" gebruik geschaard worden? Dat het schijnbaar voor een app (mobiel) gebruikt gaat worden, kan ik het daarmee onder "online" gebruik scharen?


Als ik naar de website kijk, dan moeten ze voldoen aan één van de 6 grondslagen. Als ik ze zo bekijk dan komt alleen "Toestemming" in aanmerking. Als ik echter kijk naar de eisen kijken voor die grondslag, dan kom ik uit bij de volgende website:
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/mag-u-persoonsgegevens-verwerken#faq

Een citaat:
Geïnformeerd: u moet mensen informeren over:

1. de identiteit van u als organisatie;
2. het doel van elke verwerking waarvoor u toestemming vraagt;
3. welke persoonsgegevens u verzamelt en gebruikt;
4. het recht dat zij hebben om de toestemming weer in te trekken. U moet de informatie in een toegankelijke vorm aanbieden. Ook moet deze begrijpelijk zijn zodat iemand een weloverwogen keuze kan maken. Dat betekent dat u duidelijke en eenvoudige taal moet gebruiken.

Had het bedrijf mij (en anderen) beter moeten informeren? Ze informeren me wel, maar alleen omdat ik er toevallig naar vraag en vervolgens ook niet echt in detail omdat de medewerker het volgens mij ook gewoon niet verder weet. Anders gezegd, overtreden zij de regels door het zo aan te vliegen?


(En ja, ik heb ook gewoon Facebook e.d., en mijn privacy gegevens liggen waarschijnlijk zoals van vele anderen al wereldwijd verspreid overal, maar toch... benieuwd hierna )

[Verwijderd]

Gim schreef op dinsdag 20 augustus 2019 @ 12:23:
u mag ondertussen uw persoonsgegevens (NAW, email, telefoon) op één van de papiertjes daar invullen[/i]". Het wordt meer gezegd dan gevraagd ofschoon het 'mag' woordje.

“Mag” wordt regelmatig gebruikt als een soort vriendelijker gebiedende wijs. “U mag daar gaan zitten, u mag daar uw spullen neerleggen etc.”. Ze bedoelen eigenlijk “Daar zitten!” of “Hang daar uw jas op!”. Van die “mag” variant krijg ik persoonlijk altijd kromme tenen.

Ik zou zelf graag aan je vragen willen toevoegen: een winkelier vraagt bij de postcode even terloops naar je postcode of huisadres. Zelfde situatie, geen uitleg, gewoon nog voordat de kassa wordt aangeslagen “mag ik even de 4 cijfers van uw postcode?”

Nu zijn de eerste 4 cijfers van een postcode weinig herleidend, maar wanneer “mag” dit wel en wanneer “mag” dit niet (meer)?

edit: En iedereen die z’n reactie begint met “Mag ik...” is uitgesloten van deelname!

[ Voor 10% gewijzigd door Verwijderd op 20-08-2019 13:14 ]

[Killjoy]

De wet heeft overigens de Algemene Verordening Gegevensbescherming. De Autoriteit Persoonsgegevens is de Nederlandse toezichthouder op de naleving van de wet.

De vragen:
1) Moet een bedrijf een pro-actieve rol hebben in het direct en duidelijk informeren waar de gegevens voor nodig is en of de gegevens verplicht zijn?

Een organisatie moet hierover vóórafgaand aan de verwerking van de gegevens duidelijkheid verschaffen. Dus over grondslag, noodzaak, doel, bewaartermijnen, aan wie de gegevens worden verstrekt, enz.

Óf de gegevens voor de app gebruikt gaan worden is nog de vraag want de app is hooguit pas in de toekomst actief. Hóe de gegevens gebruikt gaan worden is ook niet duidelijk.

Dan mag het bedrijf de gegevens nog niet verwerken. Je mag geen persoonsgegevens verzamelen en later nog eens gaan nadenken wat je er mee gaat doen.

2) Er wordt de personen die binnenkomen op het zelf op een papiertje te schrijven. Zou dat zijn om daar iets mee te omzeilen? Vanwaar de vraag? Ze konden al gegevens inzien in het nieuwe systeem, dus in die zin geen blokkade en met hun oude systeem (voorafgaand aan de wetgeving) konden en deden ze gelijk de gegevens digitaal verwerken aan de balie zonder papieren tussenkomst.

Het bedrijf zal zich ervan bewust zijn dat eerder verzamelde gegevens niet zomaar gebruikt mogen worden. En door het op deze manier te doen, denkt men de toestemming wel te hebben (maar zie ook het antwoord op de vorige vraag)

3) Wanneer kan iets onder "online" gebruik geschaard worden? Dat het schijnbaar voor een app (mobiel) gebruikt gaat worden, kan ik het daarmee onder "online" gebruik scharen?

Deze begrijp ik niet zo goed.

Als ik naar de website kijk, dan moeten ze voldoen aan één van de 6 grondslagen. Als ik ze zo bekijk dan komt alleen "Toestemming" in aanmerking. Als ik echter kijk naar de eisen kijken voor die grondslag, dan kom ik uit bij de volgende website:
https://autoriteitpersoonsgegevens.nl/nl/onderwerpen/algemene-informatie-avg/mag-u-persoonsgegevens-verwerken#faq

Een citaat:
Geïnformeerd: u moet mensen informeren over:

1. de identiteit van u als organisatie;
2. het doel van elke verwerking waarvoor u toestemming vraagt;
3. welke persoonsgegevens u verzamelt en gebruikt;
4. het recht dat zij hebben om de toestemming weer in te trekken. U moet de informatie in een toegankelijke vorm aanbieden. Ook moet deze begrijpelijk zijn zodat iemand een weloverwogen keuze kan maken. Dat betekent dat u duidelijke en eenvoudige taal moet gebruiken.

Had het bedrijf mij (en anderen) beter moeten informeren? Ze informeren me wel, maar alleen omdat ik er toevallig naar vraag en vervolgens ook niet echt in detail omdat de medewerker het volgens mij ook gewoon niet verder weet. Anders gezegd, overtreden zij de regels door het zo aan te vliegen?

Ja, ze handelen niet in lijn met de AVG. Zie vorige antwoorden.

[Icephase]

De zin 'u moet mensen informeren over [...]' impliceert naar mijn mening niet dat dat ook pro-actief moet gebeuren. Een complete uiteenzetting van wat er met de data gebeurt en waarvoor bij iedere nieuwe bezoeker is ook gewoon praktisch niet uitvoerbaar. Maar als je er als bezoeker om vraagt, móeten ze netjes uitleg geven. Volgens mij is dát de bedoeling van de AVG.

Dus het gaat te ver om te zeggen dat ze per definitie niet handelen in lijn met de AVG. Maar dat ze de indruk wekken dat de gegevens verplicht ingevuld moeten worden, is natuurlijk niet ok.

[Killjoy]

Wanneer de gegevens direct bij betrokkene worden verkregen, wel. Zoals TS beschrijft, is dit het geval. Zie artikel 13 AVG.