Op 25 mei 2018 is de Algemene Verordening Gegevensbescherming van kracht geworden. De AVG gaat uit van het principe van doelbinding: persoonsgegevens mogen enkel verwerkt worden voor uitdrukkelijk omschreven en gerechtvaardigde doeleinden en niet zomaar voor andere doeleinden. De AVG maakt daarbij een onderscheid tussen gewone persoonsgegevens, bijzondere persoons-gegevens en strafrechtelijke gegevens.

Voor blijvend te bewaren gegevens geldt ‘archivering in het algemeen belang’. Archivering in het algemeen belang is in de AVG beperkt tot overheidsinstanties of openbare- of particuliere organen die wettelijk verplicht zijn om archiefbescheiden te beheren. Het uitgangspunt is dat archiefvormers ‘archivering in het algemeen belang’ al toepassen tijdens het verzamelen van persoonsgegevens en dus niet alleen ná overbrenging naar een archiefbewaarplaats. In het kader van ‘archivering in het algemeen belang’ is het permanent bewaren van persoonsgegevens verenigbaar met de oorspronkelijke rechtmatige doeleinden waarvoor ze zijn verzameld. De belangenafweging en motivatie tot het permanent bewaren moet zijn neerslag vinden in de selectielijst, waarover, desgevraagd, verantwoording moet kunnen worden afgelegd.

Concreet vermeldt de selectielijst voor elk proces of en, zo ja, welke categorie persoonsgegevens wordt verwerkt (gewone persoonsgegevens, bijzondere persoonsgegevens en/of strafrechtelijke gegevens). Voor alle persoonsgegevens wordt vervolgens met de hieronder opgesomde cijfers aangeduid welke grondslag – en in het geval van bijzondere- of strafrechtelijke persoonsgegevens ook welke uitzonderingsgrond – van toepassing is:

• Voor gewone persoonsgegevens met de hieronder opgesomde cijfers aangeduid welke grondslag(en) van toepassing is of zijn (maximum 2).

• Voor bijzondere persoonsgegevens met de hieronder opgesomde cijfers de grondslag(en) voor gewone persoonsgegevens aangeduid (maximum 2) én de uitzonderingsgrond(en) voor bijzondere persoonsgegevens (maximum 2).

• Voor strafrechtelijke persoonsgegevens met de hieronder opgesomde cijfers de belangrijkste grondslag voor gewone persoonsgegevens aangeduid én de uitzonderingsgrond voor strafrechtelijke persoonsgegevens.

Grondslag | Gewone persoonsgegevens

1 | Toestemming van de betrokken persoon

2 | De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst

3 | De gegevensverwerking is noodzakelijk voor het nakomen van wettelijke verplichtingen

4 | De gegevensverwerking is noodzakelijk ter bescherming van vitale belangen

5 | De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag

6 | De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen

Uitzondering | Bijzondere persoonsgegevens De verwerking van bijzondere persoonsgegevens is verboden. Tenzij u zich kunt beroepen op een wettelijke uitzondering én op één van de grondslagen voor het verwerken van ‘gewone’ persoonsgegevens. In de praktijk vallen sommige van die grondslagen samen.

BP-1 | De uitdrukkelijke toestemming van de betrokken persoon

BP-2 | De verwerking is noodzakelijk met het oog op de uitvoering van verplichtingen en de uitoefening van specifieke rechten van u of betrokken persoon. Dit op het gebied van het arbeidsrecht en het sociale zekerheids- en sociale beschermingsrecht

BP-3 | De verwerking is noodzakelijk ter bescherming van de vitale belangen van de betrokken persoon of van een andere natuurlijke persoon. Dit geldt alleen wanneer diegene fysiek of juridisch niet in staat is om zijn toestemming te geven

BP-4 | De verwerking wordt gedaan door een stichting, een vereniging of een andere instantie zonder winstoogmerk die op politiek, levensbeschouwelijk, godsdienstig of vakbondsgebied werkzaam is. Die organisatie verwerkt gegevens in het kader van gerechtvaardigde activiteiten en met passende waarborgen

BP-5 | De verwerking heeft betrekking op persoonsgegevens die kennelijk door betrokkene openbaar zijn gemaakt

BP-6 | De verwerking is noodzakelijk voor de instelling, uitoefening of onderbouwing van een rechtsvordering. Of wanneer gerechten handelen in het kader van hun rechtsbevoegdheid

BP-7 | De verwerking is noodzakelijk vanwege een zwaarwegend algemeen belang

BP-8 | De verwerking is noodzakelijk voor doeleinden van preventieve of (arbeids)geneeskundige aard

BP-9 | De verwerking is noodzakelijk om redenen van algemeen belang op het gebied van de volksgezondheid

BP-10 | De verwerking is noodzakelijk met het oog op de archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden

Uitzondering | Strafrechtelijke persoonsgegevens De verwerking van strafrechtelijke persoonsgegevens is verboden. Tenzij u zich kunt beroepen op een specifieke wettelijke uitzondering én op één van de grondslagen voor het verwerken van ‘gewone’ persoonsgegevens.

SP-1 | De verwerking moet onder toezicht van de overheid staan óf

SP-2 | De verwerking is toegestaan bij nationaal recht. Het gaat dan om Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen bieden voor de rechten en vrijheden van betrokken personen

Daarbij aansluitend wordt aangegeven welke persoonsgegevens (BSN, NAW-gegevens, medische gegevens, IP-adressen, enzovoort) worden verwerkt en de wettelijke grondslag op basis waarvan de organisatie de gegevens oorspronkelijk heeft verwerkt. Een beslissing tot blijvende bewaring wordt uiteindelijk gemotiveerd in de systeemanalyse. De uitzonderingsgrond BP-10 “archivering in het algemeen belang” moet bijgevolg niet expliciet benoemd worden.

Voor de Rekenkamer geldt dat de onderzoeksprocessen worden uitgevoerd op basis van een wettelijke taak en algemeen belang. De in deze processen voorkomende persoonsgegevens vallen onder grondslag 3 en 5. De overige processen worden uitgevoerd op basis van een overeenkomst of een wettelijke taak en vallen onder grondslagen 2 en 3. Voor de soort persoonsgegevens wordt verwezen naar het AVG-verwerkingsregister van de Rekenkamer. Dit register is niet openbaar.