GDPR – Persoonsgegevens

De term ‘persoonsgegevens’ is de ingang tot de toepassing van de Algemene Verordening Gegevensbescherming (AVG). Alleen als een verwerking van gegevens betrekking heeft op persoonsgegevens, is de Algemene Verordening Gegevensbescherming van toepassing. De term is gedefinieerd in Art. 4 (1). Persoonsgegevens zijn alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

De betrokkenen zijn identificeerbaar als zij direct of indirect geïdentificeerd kunnen worden, met name door verwijzing naar een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of een van verschillende speciale kenmerken, die de fysieke, fysiologische, genetische, mentale, commerciële, culturele of sociale identiteit van deze natuurlijke personen uitdrukt. In de praktijk omvat dit ook alle gegevens die op een of andere manier aan een persoon zijn of kunnen worden toegewezen. Bijvoorbeeld, de telefoon-, creditcard- of personeelsnummer van een persoon, accountgegevens, kentekenplaat, uiterlijk, klantnummer of adres zijn allemaal persoonsgegevens.

Aangezien de definitie “alle informatie” omvat, moet men ervan uitgaan dat de term “persoonsgegevens” zo breed mogelijk moet worden geïnterpreteerd. Dit wordt ook gesuggereerd in jurisprudentie van het Hof van Justitie van de Europese Unie, dat ook minder expliciete informatie, zoals opnames van werktijden die informatie bevatten over het tijdstip waarop een werknemer zijn werkdag begint en eindigt, alsmede pauzes of tijden die niet binnen werktijd vallen, als persoonsgegevens beschouwt. Ook schriftelijke antwoorden van een kandidaat tijdens een test en eventuele opmerkingen van de examinator over deze antwoorden zijn “persoonsgegevens” als de kandidaat theoretisch kan worden geïdentificeerd. Hetzelfde geldt ook voor IP-adressen. Als de verwerkingsverantwoordelijke de juridische mogelijkheid heeft om de aanbieder te verplichten aanvullende informatie te overhandigen die hem in staat stelt de gebruiker achter het IP-adres te identificeren, zijn dit ook persoonsgegevens. Bovendien moet worden opgemerkt dat persoonsgegevens niet objectief hoeven te zijn. Subjectieve informatie zoals meningen, oordelen of schattingen kan persoonsgegevens zijn. Dit omvat dus een beoordeling van de kredietwaardigheid van een persoon of een schatting van werkprestaties door een werkgever.

Last but not least, zegt de wet dat de informatie voor een personeelsreferentie moet verwijzen naar een natuurlijke persoon. Met andere woorden, gegevensbescherming is niet van toepassing op informatie over rechtspersonen zoals bedrijven, stichtingen en instellingen. Voor natuurlijke personen begint de bescherming daarentegen met de handelingsbekwaamheid en eindigt het daarmee. In principe verkrijgt een persoon deze bekwaamheid bij zijn geboorte en verliest hij deze bij zijn overlijden. Gegevens moeten daarom toewijsbaar zijn aan geïdentificeerde of identificeerbare levende personen om als persoonlijk te worden beschouwd.

Naast algemene persoonsgegevens moet men vooral rekening houden met de bijzondere categorieën van persoonsgegevens (ook wel gevoelige persoonsgegevens genoemd) die zeer relevant zijn omdat ze onder een hoger beschermingsniveau vallen. Deze gegevens omvatten genetische, biometrische en gezondheidsgegevens, evenals persoonsgegevens die ras en etnische afkomst, politieke opvattingen, religieuze of ideologische overtuigingen of lidmaatschap van vakbonden onthullen.