Denk aan de back-up bij verwijderen persoonsgegevens

Verwijderen van persoonsgegevens: vergeet de back-up niet!

door

Bij het verwijderen van persoonsgegevens dien je ook rekening te houden met het opschonen van je back-up. Op grond van de AVG dien je zorgvuldig met persoonsgegevens om te gaan. Heb je geen reden meer om iemands persoonsgegevens te verwerken dan moet je deze gegevens wissen.

Persoonsgegevens

Op grond van de AVG dien je zorgvuldig met persoonsgegevens om te gaan. Heb je geen reden meer om iemands persoonsgegevens te verwerken dan moet je deze gegevens wissen. Op zich een actie die veelal prima is uit te voeren: CRM-systeem openen en records verwijderen, of de relatiemap naar je prullenbak slepen en weg zijn je gegevens. Of is het toch niet zo eenvoudig? Hoe zit het bijvoorbeeld met de gegevens die nog rondwaren in back-up systemen? Moet je nu ook je back-up data van voor naar achter gaan opschonen?

Gegevenswissing

In art. 17 AVG is het recht op gegevenswissing, ofwel het recht op vergetelheid opgenomen. Wanneer je als organisatie geen goede reden meer hebt om bepaalde persoonsgegevens nog langer te verwerken dan is het belangrijk dat je deze gegevens wist. Betrokkenen kunnen zich ook tot jouw organisatie wenden met het verzoek om hun gegevens te wissen. Je bent in een aantal situaties verplicht om daaraan mee te werken. Bijvoorbeeld in het geval van een onrechtmatige verwerking of wanneer je eerder toestemming hebt gegeven aan een organisatie voor het gebruik van je gegevens, en je deze toestemming intrekt. Deze en meer gronden kun je in art. 17 AVG terugvinden.

Ook back-up data opschonen

Wanneer we het hebben over data met persoonsgegevens, dan gaat het over alle databestanden die je als organisatie hebt waarin deze persoonsgegevens zijn opgenomen, ook in de vorm van back-up data. Bij het verwijderen van persoonsgegevens moet je dus ook rekening houden met het opschonen van je back-up data. De Gegevensbeschermingsautoriteit (GBA) in België is erg duidelijk op dit punt. Indien blijkt dat een verzoek tot verwijdering gegrond is, dan dient de verwerkingsverantwoordelijke zonder onredelijke vertraging over te gaan tot het wissen van de desbetreffende gegevens. In principe dienen alle mogelijke kopieën van de desbetreffende gegevens gewist te worden, inclusief eventuele back-up’s op fysieke tapes of op enige andere drager, zo stelt de GBA. 

Redelijke vertraging

De tijdspanne waarbinnen de gegevenswissing voltrokken moet worden, dient geval per geval beoordeeld te worden. Wat een “redelijke” vertraging is in het ene geval, is mogelijk een “onredelijke” vertraging in het andere geval, zo geeft de GBA aan. Dit kan er in de praktijk op neerkomen dat persoonsgegevens uit de betreffende applicaties, zoals een CRM systeem worden verwijderd, en dat deze gegevens pas later in de back-up bestanden worden gewist. Dit op voorwaarde dat de gegevens behoorlijk worden afgeschermd om ervoor te zorgen dat ze niet verder op onrechtmatige wijze aangewend kunnen worden.

Back-up procedure

Mocht er een restore worden uitgevoerd aan de hand van een back-up die dateert van vóór de uitwissing, dan moet de uitwissing indien nodig opnieuw uitgevoerd worden. Dit dient als actie aan de back-up procedure te worden toegevoegd. Hierbij is het uiteraard noodzakelijk dat je bijhoudt welke persoonsgegevens je hebt verwijderd. De AVG is overigens ook doorgedrongen tot tal van fabrikanten van back-up systemen. Hierdoor zullen we steeds vaker AVG “mogelijkheden” in back-up systemen gaan terugvinden.

Privacy statement

Het is evident om te zeggen dat je regelmatig een back-up dient te maken. Denk hierbij steeds aan het systematisch opschonen van de data. Tot slot kun je in je privacy statement een bepaling opnemen waarin je aangeeft dat je een aanvullende bewaartermijn hanteert van x maanden voor je back-up data. Dit draagt bij aan de transparantie maar het ontslaat je niet van je plicht om persoonsgegevens niet langer te bewaren dan noodzakelijk is.

Misschien ook iets voor u
Werkelijke identiteit van ontvangers gevenHet recht om te weten aan wie je persoonsgegevens zijn verstrekt
Medische analyseEen medische analyse is geen persoonsgegeven
Huisarts en AVGHet begrip “grootschalige verwerking” voor zorgaanbieders uitgelegd
Adequaatheidsbesluit voor het EU-US Data Privacy FrameworkAdequaatheidsbesluit voor het EU-US Data Privacy Framework in concept gepubliceerd
Een moeder die is ontheven van het gezag over haar kinderen, verzoekt de rechtbank Midden-Nederland om vervangende toestemming te verlenen om inzage te krijgen in het dossier van de kinderen bij Bureau Jeugdzorg in Utrecht (gecertificeerde instelling Samen Veilig Midden-Nederland, verder genoemd de GI). De moeder wordt niet ontvankelijk verklaard in haar verzoek doordat zij zich beroept op een niet bestaande rechtsfiguur. In het belang van de kinderen wijdt de rechtbank nog een aantal inhoudelijke overwegingen aan het geschil tussen partijen. Beroep op niet bestaande rechtsfiguur De rechtbank Midden-Nederland geeft aan dat zij de moeder niet ontvankelijk zal verklaren in haar verzoek. De GI heeft er naar oordeel van de rechtbank terecht op gewezen dat niet is voorzien in een procedure die er toe strekt dat een ouder vervangende toestemming kan krijgen voor inzage in het dossier. Die rechtsfiguur bestaat niet. De rechtbank behandelt en motiveert het verzoek van de moeder voorzover zij haar verzoek zou hebben gebaseerd op art. 35 UAVG Recht op inzage; de wegen van de AVG en UAVG Op grond van art.15 AVG heeft een betrokkene het recht heeft om van een verwerkingsverantwoordelijke die zijn of haar persoonsgegevens verwerkt inzage te verkrijgen in deze persoonsgegevens. De verwerkingsverantwoordelijke verstrekt de betrokkene desgevraagd een kopie van de verwerkte persoonsgegevens. Indien deze betrokkene zich niet kan vinden in het besluit dat de verwerkingsverantwoordelijke heeft genomen op zijn verzoek kan hij zich met een verzoekschrift wenden tot de rechtbank. Tenminste als de verwerkingsgerechtigde geen bestuursorgaan is. Op grond van art. 35 UAVG kan hij de rechtbank dan verzoeken de verwerkingsgerechtigde te bevelen om alsnog aan zijn initiële verzoek te voldoen. Is de verwerkingsverantwoordelijke wel een bestuursorgaan dan staat de weg naar de bestuursrechter open volgens de bepalingen van de Algemene wet bestuursrecht. Dit op grond van art. 34 UAVG. Termijnoverschrijding De GI is een rechtspersoon, geen bestuursorgaan. De moeder had dus aan de rechtbank kunnen verzoeken de GI te bevelen alsnog aan haar verzoek om inzage van het dossier te voldoen. Een dergelijk verzoek moet worden ingediend binnen een termijn van zes weken na ontvangst van het antwoord van de verwerkingsgerechtigde op het initiële verzoek. De GI heeft hier op gewezen, zo stelt de rechtbank. Het verzoek van de moeder is ruim na de termijn van zes weken ingediend. De rechtbank maakt duidelijk, ook al zou de moeder de rechtsingang van art. 35 UAVG hebben gekozen, zij eveneens niet ontvankelijk zou zijn geweest, maar dan wegens termijnoverschrijding. De advocaat van de moeder verzoekt de rechtbank om de behandeling van het verzoekschrift aan te houden om de moeder de gelegenheid te geven opnieuw eenzelfde verzoek bij de GI in te dienen. De rechtbank wijst dit verzoek af. De termijn van zes weken is er niet voor niets, zo stelt de rechtbank. Ook geen beroep op de Jeugdwet In het belang van de kinderen wijdt de rechtbank nog een aantal inhoudelijke overwegingen aan het geschil tussen partijen. Het recht op afschrift van de moeder mag geen afbreuk doen aan de rechten en vrijheden van anderen, zoals is bepaald art. 15 lid 4 AVG. De kinderen hebben uitdrukkelijk aangegeven dat zij niet willen dat hun dossier met de moeder wordt gedeeld. Daarnaast heeft de GI, als voogd, aangevoerd dat het verstrekken van het dossier niet in het belang van de kinderen is. Het recht op privacy van de kinderen, zo stelt de rechtbank, geldt ook voor de door de moeder opgeëiste verslagen van de omgang tussen haar en de kinderen en van de verslagen die gemaakt zijn van gesprekken tussen haar en de GI en/of de pleegzorginstelling. Daarnaast gaat de rechtbank in op de situatie dat de moeder zich zou beroepen op art. 7.3.10 van de Jeugdwet. Art. 7.3.10 verplicht de jeugdhulpverlener om aan de betrokkene desgevraagd inzicht te geven in, en afschrift te verstrekken van, de gegevens van het dossier over de aan de betrokkene verleende jeugdhulp. Naar het oordeel van de rechtbank is de moeder niet aan te merken als betrokkene in de zin van dit artikel. Het is niet de moeder over wie de voogdij wordt uitgevoerd maar de kinderen, zo motiveert de rechtbank. Er is met betrekking tot de moeder evenmin sprake van de uitvoering van een maatregel die haar gezag beperkt. Haar gezag is immers geëindigd. Aanvullend wordt opgemerkt dat art. 7.3.10 van de Jeugdwet een zelfde soort exceptie kent als 15 lid 4 AVG. De rechtbank verklaart de moeder niet ontvankelijk in haar verzoek. Vragen over Privacykwesties? Heb je nog vragen over dit onderwerp of over het privacyrecht in het algemeen, neemt dan gerust contact op of lees andere artikelen over dit onderwerp.Niet ontvankelijk door beroep op niet bestaande rechtsfiguur
AVG gegevens wissenVerwerkingsverantwoordelijke dient derden te informeren over verzoek tot gegevenswissing