Door onze advocaat privacywetgeving Yuri Benjamins.
De AVG gaat uit van een aantal beginselen voor de verwerking van persoonsgegevens. Eén van die beginselen is dat u zo min mogelijk persoonsgegevens verwerkt: de dataminimalisatie. De AVG spreekt hier in artikel 5 lid 1 onder c over minimale gegevensverwerking. Het verzamelen van zo min mogelijk persoonsgegevens is de eerste stap om te voldoen aan de (nieuwe) privacywetgeving, die onder andere uitgaat van Privacy by Design. Privacy by Design komt er op neer dat u al tijdens de ontwikkeling van nieuwe producten of diensten, rekening houdt met de privacywetgeving en dus ook de daarbij behorende beginselen, waaronder dataminimalisatie.
Hoe werk dataminimalisatie in de praktijk?
Het is niet zo dat u kosten wat het kost zo min mogelijk data moet verwerken. De wet eist immers niet dat u slechts werkt met een minieme hoeveelheid persoonsgegevens, maar met een minimale hoeveelheid persoonsgegevens. Daarnaast is zo dat de hoeveelheid verwerkte persoonsgegevens in relatie tot het doel van de verwerking moet worden gezien. Het moet gaan om de minimale verwerking van persoonsgegevens die aansluiten bij het doel van die verwerking.
U stelt dus eerst het doel vast van de verwerking. Het verzenden van een direct marketing e-mail? Het verzamelen van statistische gegevens? Etc. etc. Aan de hand van het vastgestelde doel kijkt u welke persoonsgegevens u gaat wilt gaan verwerken. Daarna kijkt u of de persoonsgegevens die u wilt gaan verwerken ook dienend zijn aan het doel dat u heeft vastgesteld. Zo niet, dan dient u die betreffende persoonsgegevens niet te verwerken. Eventueel kunt u die gegevens nog wel anonimiseren, waardoor zij geen persoonsgegevens meer vormen in de zin van de wet.
Bijvoorbeeld: u verwerkt NAW-gegevens voor de levering van bestellingen in uw webwinkel. Het doel van deze verwerking is het bezorgen van het pakket bij de klant. Daarbij vraagt u ook om de postcode van de klant. Voldoet u nu aan het beginsel van dataminimalisatie?
U kunt een bestelling in theorie ook afhandelen zonder dat u de postcode van uw klant vraagt. Het adres en huisnummer is immers voldoende om het pakketje (mogelijk iets langzamer) te laten afleveren. Dit is echter niet het doel van dataminimalisatie.
De AVG eist immers in artikel 5 lid 1 onder c dat de gegevens toereikend moeten zijn en ter zake dienend moeten zijn, maar wel beperkt tot wat noodzakelijk is. Het verwerken van de postcode is toereikend om te voldoen aan het gestelde doel: de bezorging van pakketten. Dataminimalisatie is dus afhankelijk van het doel van de verwerking van persoonsgegevens.
Tot slot
De hierboven genoemde stappen dient u voor iedere verwerking van persoonsgegevens te doorlopen. Dit kan dus verschillende malen nodig zijn indien u verschillende soorten persoonsgegevens verwerkt en/of met verschillende doeleinden verwerkt. Het kan handig zijn om deze controle onderdeel te laten zijn van de Privacy Impact Assessment (PIA). Dit is een, vaak niet verplichte, audit die u inzicht verschaft over de verwerking van persoonsgegevens binnen uw onderneming. Daar ligt de nadruk echter niet alleen op dataminimalisatie, maar de gehele compliance met de AVG.