Mondeling overdragen persoonsgegevens kan onder de AVG vallen

Het Europese Hof van Justitie heeft recent in een antwoord op prejudiciële vragen aangegeven dat mondelinge overdracht van persoonsgegevens ook een verwerking kan zijn onder de AVG.

Ik kan me voorstellen dat dit een verrassende uitkomst is. Wanneer je in artikel 4 van de AVG kijkt naar de definitie van “verwerking” dan lijkt het toch te gaan om de geautomatiseerde verwerking van persoonsgegevens.

Geschatte leestijd: 4 minuten

Verwerking gaat verder dan enkel geautomatiseerde verwerking

Kijk je naar overweging 15 bij de AVG dan zie je toch wat mogelijke ruimte ontstaan bij de definitie van wat “verwerking” omvat: “(…) De bescherming van natuurlijke personen dient te gelden bij zowel geautomatiseerde verwerking van persoonsgegevens als handmatige verwerking daarvan indien de persoonsgegevens zijn opgeslagen of bedoeld zijn om te worden opgeslagen in een bestand (…)”.

In de AVG handleiding van het ministerie van Justitie en Veiligheid wordt in paragraaf 3.3 kort ingegaan op mondelinge overdracht van persoonsgegevens. Hierin wordt gezegd: “Puur mondelinge overdracht van gegevens is geen verwerking van persoonsgegevens. Echter, in de meeste gevallen worden de uitkomsten van dergelijke gesprekken vastgelegd, waardoor er vaak alsnog een verwerking van persoonsgegevens plaatsvindt”.

Deze handleiding geeft ook een voorbeeld bij deze situatie: “Een hulpverlener bijvoorbeeld die met een collega mondeling de situatie van een cliënt bespreekt verwerkt geen persoonsgegevens in de zin van de AVG, maar als de diagnose of het plan van aanpak vervolgens wordt vastgelegd in een cliëntsysteem, dan is er wel sprake van verwerking van persoonsgegevens”.

Prejudiciële vraag over het mondeling verstrekken van persoonsgegevens

Een Finse vennootschap verzocht bij de rechter in eerste aanleg in Finland om mondeling informatie te verstrekken met betrekking tot mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijk persoon.

De vennootschap verzocht om deze informatie om de strafrechtelijke antecedenten een persoon na te trekken. De rechter in eerste aanleg was van oordeel dat de door de vennootschap opgevraagde informatie haar niet kon worden verstrekt, omdat het niet ging om een in de AVG genoemde redenen voor de verwerking van strafvonnissen of delicten.

In hoger beroep heeft de vennootschap aangevoerd dat geen sprake is van een verwerking van persoonsgegevens uit hoofde van art. 4, punt 2 van de AVG wanneer wordt voldaan aan het verzoek om informatie. De rechter geeft aan dat het EU-Hof zal moeten bepalen of art. 2, lid 1 en artikel 4, punt 2 van de AVG aldus moeten worden uitgelegd dat het mondeling verstrekken van informatie aangaande mogelijkerwijs aanhangige of afgesloten strafzaken tegen een natuurlijk persoon een verwerking van persoonsgegevens vormt in de zin van de AVG.

De prejudiciële vraag die in dit kader wordt gesteld luidt: Vormt het mondeling verstrekken van persoonsgegevens een verwerking van persoonsgegevens in de zin van artikel 2, lid 1, en artikel 4, punt 2, AVG?

Oordeel Europese Hof van Justitie

Het EU-Hof komt tot het oordeel dat het mondeling verstrekken van informatie (…) een is verwerking van persoonsgegevens in de zin van artikel 4, punt 2, van de AVG die binnen de materiële werkingssfeer van de AVG valt voor zover deze informatie in een bestand is opgenomen of bestemd is om daarin te worden opgenomen.

Het EU-Hof onderbouwt dit oordeel met de verwijzing naar overweging 15 bij de AVG. De AVG is van toepassing op zowel de geautomatiseerde verwerking van persoonsgegevens als de handmatige verwerking van dergelijke gegevens, teneinde de bescherming die zij verleent aan de personen wier gegevens worden verwerkt, niet te laten afhangen van de gebruikte technologieën en een ernstig risico op omzeiling van deze bescherming te voorkomen.

Daaruit blijkt echter ook dat de AVG slechts op de handmatige verwerking van persoonsgegevens van toepassing is indien de verwerkte gegevens “in een bestand zijn opgenomen of […] bestemd zijn om daarin te worden opgenomen”.

Aangezien mondelinge verstrekking als zodanig een niet-geautomatiseerde verwerking is, moeten de gegevens die worden verwerkt dus in een “bestand” zijn “opgenomen” of “bestemd zijn om daarin te worden opgenomen”, wil die verwerking binnen de materiële werkingssfeer van de AVG vallen, zo motiveert het EU-Hof. Volgens art. 4, punt 6, AVG ziet het begrip “bestand” op “elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid”.

Aandachtspunt voor de praktijk

Ook bij het mondeling verstreken van persoonsgegevens is het dus belangrijk om vast te stellen of de AVG van toepassing is. Het “maar even mondeling uitwisselen van informatie want anders is de AVG van toepassing” gaat nu niet zo snel meer op. Let er dus op of deze informatie uit een bestand afkomstig is of bestemd is om in een bestand te worden opgenomen.