Het verwerken van persoonsgegevens hangt direct samen met de Europese privacywetgeving AVG. In deze wet, die sinds 2018 van kracht is, zijn regels vastgelegd hoe organisaties om moeten gaan met persoonsgegevens.

Persoonsgegevens zijn hierbij alle gegevens die direct of indirect herleidt kunnen worden tot een natuurlijk persoon. Denk hierbij bijvoorbeeld aan een BSN-nummer. Dit is 1-op-1 gekoppeld aan een natuurlijk persoon.

Maar er zijn ook gegevens die in samenhang met andere gegevens herleidbaar zijn. In dat geval is er sprake van indirecte herleidbaarheid. Een voorbeeld hiervan is leeftijd in combinatie met gezinssamenstelling, ziektebeeld en geslacht. Los van elkaar zijn deze gegevens niet te herleiden naar een uniek individu, maar in samenhang kan het voorkomen dat de gegevens wel te herleiden zijn naar een persoon. Als dit het geval is, spreekt de AVG over indirecte herleidbaarheid.

In de AVG staat beschreven hoe je als organisatie om dient te gaan met het verwerken van deze gegevens. Onder het verwerken van persoonsgegevens wordt volgens de toezichthouder, de autoriteit persoonsgegevens, het volgende verstaan: alles wat een organisatie met persoonsgegevens kan doen, van verzamelen tot en met vernietigen.

Het verwerken van de gegevens gaat dan ook veel verder dan enkel het verzamelen en opslaan van de gegevens. Het raakt alles wat je er mee doet, van opslaan en bewerken tot en met het verwijderen ervan. 

Bovendien geldt ook dat je niet zomaar alle persoonsgegevens mag verwerken. Je mag persoonsgegevens enkel verwerken wanneer er een duidelijk doel aan ten grondslag ligt en je ze dus enkel en alleen voor dat doel verwerkt. 

Dit betekent in de praktijk dat persoonsgegevens die je hebt ontvangen om bijvoorbeeld een huurovereenkomst te kunnen afsluiten, deze niet voor andere doeleinden gebruikt mogen worden.

Samenvattend; De AVG verwacht van jou als organisatie dat je goed nadenkt over welke gegevens je verwerkt en voor welk doel dit dient. Het verwerken van gegevens gaat over alle acties die je uitvoert op die gegevens. Van verzamelen tot en met het verwijderen.

De keuzes die je als organisatie maakt, moeten vastgelegd worden in een beleid dat terug te zien is in de dagelijkse praktijk. Voor veel organisaties betekent dit dat de werkwijze opnieuw tegen het licht gehouden moet worden en er wellicht andere keuzes gemaakt moeten worden.  

Indien jullie organisatie op het punt staat om de strategie met betrekking tot het verwerken van persoonsgegevens nog eens te herzien en waar nodig aan te scherpen, neem dan contact met ons op. Wij helpen je graag met het wegpoetsen (lees anonimiseren of maskeren) van gevoelige data in je database of documenten.