Dataminimalisatie onder de AVG in de praktijk
Het belang van dataminimalisatie is groot. In de uitspraak van de rechtbank Rotterdam die in dit blog aan bod komt, wordt een mooi voorbeeld gegeven van de manier waarop dataminimalisatie in de praktijk tot uiting komt.
Dataminimalisatie onder de AVG
De Algemene Verordening Gegevensbescherming (AVG) stuurt aan op dataminimalisatie. Het beginsel van dataminimalisatie brengt met zich mee dat er niet meer persoonsgegevens mogen worden verwerkt dan strikt noodzakelijk is voor de doeleinden waarvoor ze worden verwerkt. Een zo minimaal mogelijke gegevensverwerking dus.
De AVG verplicht organisaties om niet meer persoonsgegevens te verwerken dan noodzakelijk is voor het doel van de verwerking. Ook privacy by default & design draagt bij aan het uitgangspunt van dataminimalisatie.
Jurisprudentie omtrent dataminimalisatie
De volgende uitspraak omtrent dataminimalisatie geeft een goed beeld van de manier waarop dit wordt toegepast.
De eisers in deze zaak heeft in 2017 drie toevoegingsaanvragen ingediend bij de Raad voor Rechtsbijstand. Bij de aanvragen zijn er vonnissen gevoegd. Deze vonnissen van de rechtbank Rotterdam dateren uit 2008 en bevatten bijzondere persoonsgegevens. De aanvragen worden door de Raad voor Rechtsbijstand toegekend en worden, inclusief de documenten in een systeem opgeslagen.
Verwijderingsverzoek
De eiseres dient vervolgens een verzoek in tot het verwijderen van de vonnissen uit het systeem van de Raad voor Rechtsbijstand. De Raad wijst het verwijderingsverzoek af. De eiseres die het uiteraard met deze afwijzing oneens is, gaat vervolgens naar de rechter.
Vervulling van een taak van algemeen belang
De Raad voor Rechtsbijstand stelt dat zij een grondslag heeft voor de verwerking van de vonnissen. Dit op grond van art. 6 lid 1 sub e AVG. De vonnissen zijn namelijk een onderdeel van de onderbouwing voor de toevoegingsaanvraag. Hiermee is de verwerking van de vonnissen noodzakelijk voor de vervulling van een taak van algemeen belang, zo motiveert de Raad.
Geen noodzakelijkheid
De Raad voor Rechtsbijstand kan zich inderdaad op deze grondslag beroepen. Het gaat echter mis met het noodzakelijkheidsvereiste. In de Wet op de Rechtsbijstand staat niet vermeld welke documenten er bij een toevoegingsaanvraag moeten worden gevoegd. Ook zijn er op dit vlak geen beleidsregels. De rechtbank kan dan ook niet vaststellen of de verwerking van vonnissen in dit kader noodzakelijk is. De rechtbank is van oordeel dat de Raad voor Rechtsbijstand niet voldoet aan het noodzakelijkheidsvereiste van de AVG. Hierdoor is er geen geldige grondslag voor de verwerking van de vonnissen. Het beroep wordt gegrond verklaard op grond van het beginsel van dataminimalisatie. De rechtbank geeft de Raad een opdracht om binnen twee weken een nieuwe beslissing op bezwaar te nemen. Daarbij zal de Raad de overwegingen en aanwijzingen in deze uitspraak in acht moeten nemen.
Minimale gegevensverwerking
Dataminimalisatie wordt geregeld in Art. 5 AVG. Dit artikel geeft de beginselen die bij elke verwerking van persoonsgegevens in acht moeten worden genomen. Eén daarvan is dat verwerking van persoonsgegevens “toereikend, ter zake dienend en beperkt dient te zijn tot wat noodzakelijk is” (art. 5 lid 1 sub c AVG). Binnen de AVG heeft dit principe overigens “minimale gegevensverwerking”.
Conclusie
Zeker nu Big Data zeer actueel is, is het belang van dataminimalisatie groot. Het verzamelen van grote hoeveelheden gegevens is immers moeilijk te rijmen met het beginsel van dataminimalisatie. Deze uitspraak is een mooi voorbeeld van de manier waarop dataminimalisatie in de praktijk tot uiting komt.
