Wat mag er in ieder geval niet (meer) onder de AVG

Algemene doelstelling van de nieuwe privacywetgeving is dat aan de betrokkenen verantwoording wordt afgelegd waarom hun persoonsgegevens worden verwerkt, met welk doel en dat niet meer persoonsgegevens worden verwerkt dan strikt noodzakelijk voor de taken van de onderneming. Dit betekent dat het voor een onderneming ten strengste verboden is om bepaalde persoonsgegevens aan elkaar te koppelen om op die wijze meer informatie over betrokkenen te verkrijgen.

Zorgaanbieders mogen bijvoorbeeld enkel het BSN-nummer van hun cliënten communiceren met de overheid om te verifiëren of zij het over dezelfde persoon hebben. Persoonsgegevens mogen alleen worden verwerkt wanneer daar een grondslag voor is. Dat kan zijn het uitvoeren van een overeenkomst maar bijvoorbeeld ook wanneer verwerking noodzakelijk is om aan arbeids- en sociale wetgeving te voldoen. Ook kan het zijn dat er persoonsgegevens worden verwerkt om iemands vitale belangen te beschermen, hetgeen zich bijvoorbeeld voordoet wanneer iemand fysiek of juridisch niet in staat is om zijn toestemming te geven.

Na het referendum op 21 maart 2018 is de Sleepwet, ofwel de Wet op de inlichtingen- en veiligheidsdiensten (Wiv), ingevoerd. De Sleepwet maakt het mogelijk om informatie te vergaren door anderen te hacken. Er mag op dit moment al getapt worden door de inlichtingendiensten, maar alleen als ze er een verdachte is. Met de nieuwe wet mag er ongericht informatie getapt worden. Hierdoor worden ook persoonsgegevens van niet-verdachten verzameld. Onder de nieuwe privacywetgeving moet er een doel zijn voor verwerking van persoonsgegevens. Het ongericht verzamelen van persoonsgegevens is niet toegestaan. De sleepwet is daardoor in strijd met de nieuwe privacywetgeving. De betrokkene wiens persoonsgegevens onder deze wet zijn getapt kan bezwaar maken tegen deze verwerking. Zijn belang wordt dan afgewogen tegen het belang van de overheid om informatie te verzamelen voor terroristische doeleinden.