Het voorgenomen gebruik van persoonsgegevens is toegestaan mits deze nieuwe verwerking niet onverenigbaar is met de doeleinden waarvoor de gegevens in eerste instantie zijn verkregen, aldus artikel 9 van de Wbp. De exacte tekst van (het relevante deel van) het artikel luidt:

1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.
2. Bij de beoordeling of een verwerking onverenigbaar is als bedoeld in het eerste lid, houdt de verantwoordelijke in elk geval rekening met:
   1. de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen;
   2. de aard van de betreffende gegevens;
   3. de gevolgen van de beoogde verwerking voor de betrokkene;
   4. de wijze waarop de gegevens zijn verkregen en
   5. de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen.

Uiteraard is dus de vraag wat ‘niet onverenigbaar’ dan precies inhoudt? Artikel 9 helpt daarbij een handje door in het tweede lid een vijftal elementen te duiden die gewogen moeten worden bij de vaststelling of de voorgenomen verwerking verenigbaar is met het oorspronkelijke doel. Je moet deze elementen steeds allemaal in ogenschouw nemen en op basis daarvan een totaalbeoordeling maken. Het is dus niet zo dat één factor per definitie zwaarder weegt dan een andere. Het gaat om het totaalbeeld. Daar komt nog bij dat in concrete gevallen ook andere factoren een rol kunnen spelen. Privacyregels kenmerken zich nu eenmaal door een abstracte karakter. Niettemin na invulling van de tool heb je zeker een goede indicatie van (on)verenigbaarheid en heb je inzicht waar verbeteringen mogelijk zijn.

Veel gebruikte begrippen

De Wbp bevat een aantal kernbegrippen, die dan ook veelvuldig in deze tool voorkomen. De wettelijke definities en hun vindplaatsen zijn opgenomen in de begrippenlijst.

Contouren van de regeling bescherming van persoonsgegevens

Complexe materie

De wereld van de bescherming van persoonsgegevens wordt met name bewoond door juristen. Privacyrecht kenmerkt zich door een hoog abstract karakter en is dan ook een echt specialisme geworden, dat voor de buitenstaander – zelfs het juridische soort daarvan – niet altijd gemakkelijk te doorgronden en toe te passen is. Dit gezegd zijnde, doen we hieronder niettemin een poging het recht rond bescherming van persoonsgegevens inzichtelijk te maken. Om de snelheid erin te houden doen we dat in een zeer gecomprimeerde vorm.

Verankering bescherming persoonsgegevens

Bescherming van persoonsgegevens behoort tot de zogenaamde ‘informationele privacy’: het recht te bepalen welke informatie over iemand aan anderen bekend is. Het recht op bescherming van persoonsgegevens ligt vast in de Grondwet, het Handvest van de Grondrechten van de Europese Unie en het Verdrag betreffende de werking van de Europese Unie. De Europese wetgever heeft voorts nadere regels gemaakt met betrekking tot de bescherming van locatie- en persoonsgegevens en wel in de ePrivacy Richtlijn (uit 2002, aangepast in 2009) en de algemene Privacy Richtlijn. Deze regels zijn grotendeels geïmplementeerd in de Telecommunicatiewet (Tw), respectievelijk de Wet bescherming persoonsgegevens (Wbp). De ePrivacy Richtlijn is een sectorspecifieke richtlijn die voorgaat op de algemene regels van de Privacyrichtlijn. Waar de ePrivacy Richtlijn niet voorziet, is de Privacy Richtlijn van toepassing, bij wijze van vangnet. Op dit moment wordt in Brussel druk gewerkt aan een nieuwe Europese regeling: de Privacyverordening. Het is nog onduidelijk of deze Verordening de eindstreep gaat halen en in welke vorm. Daarom wordt deze verder buiten beschouwing gelaten.

Privacyrichtlijn en Wet bescherming persoonsgegevens

De Privacy Richtlijn beoogt dataprotectieregels in de Europese Lidstaten te harmoniseren. Het geeft een algemeen kader voor verwerking van persoonsgegevens, dus ongeacht de sector waarin dit plaatsvindt. Het bevat een aantal kernbegrippen die vrij abstract van karakter zijn, zoals ‘persoonsgegevens’ en ‘verwerking’. Dit geldt ook voor de personae dramatis waarop de Richtlijn ziet – de verantwoordelijke, de bewaarder, de betrokkene – waaraan dan weer specifieke verantwoordelijkheden en plichten respectievelijk rechten verbonden zijn. In Nederland is de Europese Privacy Richtlijn geïmplementeerd in de Wet bescherming persoonsgegevens (Wbp).

Kernbegrippen in de Wbp

De Wbp is van toepassing op verwerking van persoonsgegevens door een (vestiging van een) verantwoordelijke in Nederland. Daarmee hebben we direct de kernbegrippen te pakken:

• persoonsgegevens: gegevens die direct of indirect herleidbaar zijn tot een natuurlijk persoon. Hieronder vallen ook gegevens ‘die mede bepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld’ dienen te worden aangemerkt als persoonsgegevens;
• betrokkene: de natuurlijke persoon op wie persoonsgegevens betrekking hebben;
• verwerken: goed beschouwd vallen alle handelingen hieronder van creatie tot vernietiging van persoonsgegevens;
• verantwoordelijke: degene die het doel van en de middelen voor de verwerking vaststelt.

Belangrijkste voorwaarden en verplichtingen van de Wbp

Artikel 6 van de Wbp bevat de essentie van de hele regeling: als er sprake is van verwerking van persoonsgegevens, moet dit behoorlijk en zorgvuldig gebeuren overeenkomstig de regels van de Wbp. Een rechtmatige, dat wil zeggen, conform de regels van de Wbp, verwerking moeten de persoonsgegevens eerst en vooral verzameld zijn voor een gerechtvaardigd, duidelijk bepaald en goed omschreven doel (artikel 7). Dat doel vormt steeds het toetsingskader, dus ook bij verdere verwerking. Anders gezegd: verdere verwerking mag mits verenigbaar met het oorspronkelijke doel, ongeacht of dit plaatsvindt binnen of buiten de organisatie van de verantwoordelijke. De Wbp concretiseert niet nader wat nog wel en niet meer verenigbaar is met het oorspronkelijke doel, maar geeft in artikel 9 wel een aantal factoren die bij die afweging meegewogen moeten worden (zoals de aard van de gegevens en de ingrijpendheid van de gevolgen (voor de betrokkene) bij dit volgend gebruik).

Daarnaast moet iedere verwerking gebaseerd zijn op tenminste één van de in artikel 8 Wbp limitatief omschreven verwerkingsgronden, waaronder: een wettelijke taak, toestemming betrokkene en een gerechtvaardigd belang prevalerend boven die van de betrokkene. Daar komt bij, nog steeds op grond van artikel 8, dat de verwerking ook moet voldoen aan de beginselen van proportionaliteit en subsidiariteit: de inbreuk moet in verhouding staan tot het met de verwerking te dienen doel en er moet geen andere, voor de betrokkene minder nadelige weg, bestaan.

Verder heeft de verantwoordelijke tal van informatieplichten en moeten de door hem verwerkte gegevens ook aan bepaalde kwaliteitseisen voldoen, afdoende beveiligd zijn en zorgvuldig bewaard worden. Betrokkenen hebben inzage- en correctierechten en een beroep op de rechter is mogelijk bij (vermeende) inbreuk.

Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens is belast met het toezicht op de naleving van de regels in de Wbp. In het kader van de toezichtstaak kan het, ook uit eigen beweging, onderzoek doen naar overtredingen van de Wbp en sancties (bestuursdwang of bestuurlijke boetes) opleggen, waartegen overigens rechtsbescherming bestaat). Bij handhaving legt de Autoriteit Persoonsgegevens de nadruk op ernstige overtredingen die structureel van aard zijn en veel mensen raken. Bij de Autoriteit Persoonsgegevens werkten in 2013 circa 80 fte’s en had het een budget van in totaal € 7.586.000,-.

FG en Artikel 29 Werkgroep

In het krachtenveld rond de Wbp zijn voorts nog twee instituties van belang: de functionaris voor de gegevensbescherming en de Artikel 29 Werkgroep. Organisaties kunnen ervoor kiezen binnen hun eigen muren een toezichthouder in te stellen, een zogenaamde functionaris voor de gegevensbescherming, kortweg ‘een FG’. Deze FG heeft op grond van de Wbp een onafhankelijke positie en als taak ervoor zorgen dat de Wbp netjes wordt nageleefd. Circa 400 organisaties in Nederland hebben inmiddels een FG. Verder voorziet Artikel 29 van de Privacy Richtlijn in de oprichting van een onafhankelijk advies -en overlegorgaan van Europese privacytoezichthouders, die men dan ook de ‘Artikel 29 Werkgroep’ heeft genoemd. Hierin zitten alle Lidstaatwaakhonden zoals de Autoriteit Persoonsgegevens. Strevend naar een uniforme toepassing van de principes uit de Privacy Richtlijn kan zij, gevraagd en ongevraagd, hierover uitleg geven. Dit doen ze dan ook veelvuldig in de vorm van werkdocumenten en opinies. Daarnaast coördineert het de gezamenlijke handhaving van de nationale toezichthouders.

ePrivacy Richtlijn (Tw)

De ePrivacy Richtlijn richt zich specifiek op gegevensverwerking in de telecommunicatiesector, waaronder de verwerking van zogenaamde ‘locatiegegevens’. Deze Richtlijn is dus slechts van toepassing op aanbieders van elektronische-communicatiediensten, waaronder mobiele randapparatuur, die communiceren via openbare netwerken. Het legt hen specifieke verantwoordelijkheden en verplichtingen op (onder meer ter zake van opslag, beveiliging, vertrouwelijkheidsgaranties, spamming en het gebruik van cookies).

De ePrivacy Richtlijn definieert locatiegegevens als gegevens ‘die worden verwerkt in een elektronische-communicatienetwerk waarmee de geografische positie van de eindapparatuur van een gebruiker van een algemeen beschikbaar elektronische-communicatiedienst wordt aangegeven’. Deze locatiegegevens mogen volgens artikel 9 van de ePrivacy Richtlijn slechts worden verwerkt als (a) deze anoniem zijn gemaakt of (b) als deze verwerking nodig is voor de levering van een dienst met toegevoegde waarde en gebruikers hiervoor ook hun expliciete toestemming hebben gegeven. Voorts moet de verwerking noodzakelijk zijn voor het te bereiken doel en dient de verwerking onder bevoegd gezag plaats te vinden. Daarnaast rusten er nog tal van informatieverplichtingen op de dienstaanbieder.

ACM

Toezicht op deze regels is neergelegd bij de Autoriteit Commerciële Markt (ACM). Bij overtreding van de regels kan de ACM een dwangsom opleggen. In 2005 hebben de OPTA, de voorloper van de ACM, en de Autoriteit Persoonsgegevens een samenwerkingsprotocol opgesteld waarin afspraken zijn gemaakt over mogelijke samenloop van bevoegdheden. De ACM bestond in 2013 uit ongeveer 500 fte’s en het budget voor 2013 was € 771.000. Daarbij moet wel opgemerkt worden dat de ACM veel meer taken heeft dan toezicht op de naleving van de regels van de ePrivacy Richtlijn.

De rol van locatie: in toenemende mate hét koppelpunt van gegevens

Data is het goud van de 21e eeuw. Dagelijks worden enorme hoeveelheden gegevens verzameld. Ter illustratie: de hoeveelheid data die we thans naar schatting in twee dagen genereren – circa 5 quintillion bytes – is gelijk aan de opgetelde hoeveelheid data die de mensheid tot aan het jaar 2003 had geproduceerd en 90% van alle data is niet ouder dan twee jaar!

Om informatie te halen uit data of gegevens is het kunnen koppelen van gegevens en het leggen van verbanden essentieel. Dit koppelen kan op tal van manieren gebeuren (logisch, historisch, semantisch), maar dit heeft inherente tekortkomingen (verschil van interpretatie van zoek- en koppeltermen). De koppeling op basis van geografische coördinaten is daarentegen zeer accuraat: over de duiding bestaan wereldwijd geaccepteerde afspraken en het geografisch ‘taggen’ van data impliceert dus dat deze gemakkelijk over elkaar heen gelegd kunnen worden.

Geschat wordt dat tussen de 60 en 80% van alle data inmiddels een geo-component (een locatie) in zich heeft. Verwacht mag worden dat dit percentage snel zal toenemen, onder meer omdat sensoren bijna standaard de locatiegegevens verzamelen die bij de waarnemingen horen en ook met behulp van mobiele telefoons locatiegegevens kunnen worden verzameld. Dus doordat data – gestructureerd, maar ook ongestructureerd – zo vaak een digitale geografische component heeft, kan deze gemakkelijk op basis van dat gemeenschappelijke element – de locatie – gekoppeld worden met andere data. De aanwezigheid van locatie-informatie maakt dus de transitie van data naar informatie mogelijk en dat stelt ons weer in staat om de informatie om te zetten in kennis en wijsheid. Kortom: locatie fungeert als hét koppelpunt van gegevens!

Deze ontwikkeling schept ongekende mogelijkheden voor overheden bedrijven en burgers, maar uiteraard ook nieuwe uitdagingen. Een daarvan is dat met behulp van (het koppelen met) locatie-informatie een steeds gedetailleerder beeld valt te maken van personen. En dat breekt rechtstreeks in op een goed dat ons veel waard is: het recht op privacy. Dat brengt ons bij die andere wereld, die van de bescherming van de persoonsgegevens.

Wil je meer weten over geo-informatie en privacy, lees dan eens het Witboek ‘Privacy op zijn Plaats’ dat Geonovum in maart 2015 publiceerde.

Het begrip persoonsgegeven

Een persoonsgegeven is “elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Het gaat daarbij om gegevens die direct of indirect herleidbaar zijn tot een natuurlijk persoon. Gegevens die “mede bepalend zijn voor de wijze waarop de betrokken persoon wordt beoordeeld of behandeld” dienen te worden aangemerkt als persoonsgegevens.

Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon zijn persoonsgegevens in de zin van de Wbp. De Wbp noemt de persoon wiens persoonsgegevens worden verwerkt de betrokkene. Gegevens zijn persoonsgegevens als de gegevens informatie bevatten over een natuurlijke persoon en die persoon identificeerbaar is.

Of gegevens informatie bevatten over een natuurlijke persoon blijkt meestal uit de aard van de gegevens. Dit kunnen gegevens zijn die:

• naar hun aard feitelijke informatie over een persoon geven;
• informatie geven over ondernemingen of organisaties
• informatie geven over voorwerpen of objecten

Sommige gegevens verschaffen duidelijk feitelijke informatie over een persoon. De meest sprekende voorbeelden zijn iemands naam, geboortedatum of geslacht. Ook gegevens die een waardering over een natuurlijke persoon geven, bevatten informatie over die persoon. Je kunt daarbij denken aan iemands intelligentiequotiënt (IQ).

Wanneer is sprake van identificeerbaarheid?

De persoon waar de gegevens betrekking op hebben, moet vervolgens wel identificeerbaar zijn. Is de betrokkene niet identificeerbaar, dan is het gegeven geen persoonsgegeven. Een persoon is identificeerbaar als je de identiteit van de persoon redelijkerwijs, zonder onevenredige inspanning kunt vaststellen. Je moet dus op de een of andere manier een verband kunnen leggen tussen het gegeven en de persoon. Soms is de identiteit eenvoudig vast te stellen: met behulp van bijvoorbeeld naam, adres en geboortedatum is dat snel gebeurd. Dit worden direct identificerende gegevens genoemd.

Gegevens die van de naam zijn ontdaan, kunnen in combinatie met andere gegevens of door spontane herkenning toch weer tot een bepaald persoon leiden. Ook in dat geval is de persoon - indirect - identificeerbaar. Dat hangt wel af van de mogelijkheden die de verantwoordelijke heeft. Als door versleuteling van de gegevens en/of afspraken over de toegang tot die gegevens, daadwerkelijke identificatie redelijkerwijs is uitgesloten, is de persoon niet identificeerbaar.

Kortom: de feitelijke situatie – zoals de context van de verwerking, de technologie – zal steeds bepalend zijn voor de vaststelling of sprake is van persoonsgegevens. Om meer houvast te krijgen, kun je de uitgebreide toelichting lezen op het begrip persoonsgegeven van de Autoriteit Persoonsgegevens.

Ben ik verantwoordelijke?

Als je hebt vastgesteld dat de Wbp van toepassing is op de voorgenomen gegevensverwerking, moet je je afvragen of je ook de verantwoordelijke bent. Veel van de verplichtingen van de Wbp zijn immers opgelegd aan de verantwoordelijke. De wet omschrijft de verantwoordelijke als: de natuurlijke persoon, de rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te samen met andere, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt (art. 1, onder d, Wbp).

Het doel en de middelen van verwerking

De verantwoordelijke is dus degene die formeel-juridisch de bevoegdheid heeft om doel en middelen te bepalen. Het gaat dan dus niet om degene die feitelijk de beslissingen neemt, niet om jou als persoon,maar om de rechtspersoon, de natuurlijke persoon, het bestuursorgaan of ieder ander die formeel bevoegd is deze beslissingen te nemen. Die is de verantwoordelijke.

Als dit meerdere (rechts)personen zijn, is er sprake van gezamenlijke verantwoordelijkheid. Je kunt daarbij denken aan gemeentes die regionaal samenwerken en gemeenschappelijk gebruik maken van hun persoonsgegevens, bijvoorbeeld in het kader van criminaliteitspreventie.

De maatstaven in het maatschappelijk verkeer

Als het niet duidelijk is wie formeel-juridisch de bevoegdheid of zeggenschap heeft, moet je naar het tweede criterium kijken: degene aan wie de verwerking naar de maatstaven die in het maatschappelijk verkeer gelden, moet worden toegerekend. Wat de in het maatschappelijk verkeer geldende maatstaven zijn, is moeilijk te zeggen: het zal van de feitelijke situatie afhangen. Dit criterium is opgenomen omdat het voor burgers soms moeilijk te bepalen is wie formeel-juridisch de bevoegdheid heeft.In gemeenteland is de verantwoordelijke in de regel het College van B&W en bij ministeries is dit de Minister.

Om meer houvast te krijgen, kun je de uitgebreide toelichting lezen op het begrip verantwoordelijke van de Autoriteit Persoonsgegevens.

Bewerker

Als verantwoordelijke hoeft je niet feitelijk zelf de gegevens te verwerken. Van belang is of je bepaalt welke gegevens worden verwerkt, hoe lang, met welke middelen en voor welk doel. Verwerkt je gegevens ten behoeve van een ander, dan ben je wellicht de bewerker. De “bewerker” is: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen (art. 1, onder e, Wbp).

Je bent dus bewerker als je ten behoeve van een verantwoordelijke persoonsgegevens verwerkt zonder dat je rechtstreeks onder het gezag van die verantwoordelijke staat. Als bewerker heb je dus geen zeggenschap over de gegevensverwerking, maar handel je naar de instructies en onder verantwoordelijkheid van de verantwoordelijke. Bepalend is dus je positie ten opzichte van de verantwoordelijke en de mate van zeggenschap die je over de gegevensverwerking hebt. Mooie rule of thumb is dat als je niets over de gegevens te zeggen hebt - maar ze wel verwerkt - je een bewerker bent. Voorbeelden zijn: salarisadministratie door externen uitgevoerd en uitvoerders van clouddiensten zoals Dropbox.

Om meer houvast te krijgen, kun je de uitgebreide toelichting lezen op het begrip bewerker van de Autoriteit Persoonsgegevens.

Het verzamelen van persoonsgegevens mag alleen voor een bepaald doel

Artikel 7 stelt dat je persoonsgegevens alleen mag verzamelen als je daarvoor een doel hebt. Dit doel moet welbepaald, uitdrukkelijk omschreven en gerechtvaardigd zijn. Je mag geen gegevens verzamelen zonder dat het doel waarvoor je dat doet, duidelijk is bepaald. Je mag gegevens uiteraard ook voor meerdere doeleinden verzamelen. Die doeleinden hoeven niet noodzakelijkerwijs verband te houden met elkaar.

Het doel of de doeleinden moet je omschrijven vóórdat je begint met het verzamelen. Het is dus van belang dat je goed inventariseert en omschrijft voor welke gerechtvaardigde doeleinden je gegevens gaat verzamelen en verwerken. Je mag de doeleinden tijdens het verwerkingsproces namelijk niet zonder meer veranderen of uitbreiden.

Bij het inrichten van een gegevensverwerking moet je verder steeds nagaan of het verwerken van persoonsgegevens noodzakelijk is voor het doel. Dat betekent dat je je moet afvragen of je niet met minder gegevens hetzelfde doel kunt bereiken. Je moet ook onderzoeken of je niet langs een andere weg hetzelfde resultaat kunt bereiken, bijvoorbeeld door met behulp van technische hulpmiddelen te bewerkstelligen dat je geen of zo min mogelijk persoonsgegevens verwerkt.

Grondslagen waarop gegevensverwerking gebaseerd mag worden

1. De betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend. Je mag gegevens op grond van de ondubbelzinnige toestemming van de betrokkene verwerken, mits je toestemming hebt gekregen voor een bepaalde verwerking van bepaalde gegevens, de toestemming uit vrije wil is geuit, je de betrokkene hebt geïnformeerd over de gang van zaken rond de verwerking en je geen twijfel hebt over de inhoud en reikwijdte van de toestemming.
2. De gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst Als je met iemand een overeenkomst hebt gesloten, mag je de persoonsgegevens van diegene verwerken voor zover dat noodzakelijk is om de overeenkomst uit te voeren. Je mag op basis van deze grondslag ook gegevens verwerken in de fase voor het sluiten van de overeenkomst.
3. De gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is
4. de gegevensverwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene
5. de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt
6. de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Andere eisen die de Wbp stelt

De Wbp bevat een algemene norm over de kwaliteit van de gegevensverwerking. Je gegevens moeten gelet op het doel waarvoor ze worden verwerkt: niet bovenmatig, toereikend en ter zake dienend zijn.

Met niet bovenmatig gegevens verwerken wordt bedoeld dat je niet te gedetailleerde gegevens mag verwerken als dat voor je doel niet noodzakelijk is. Je moet ervoor zorgen dat je voldoende en adequate gegevens verwerkt voor je doel. Je gegevens moeten ook toereikend zijn voor het doel waarvoor je ze verwerkt; je moet alle gegevens verwerken die voor het doel noodzakelijk zijn. Je mag niet te weinig gegevens verwerken. Als je te weinig gegevens verzamelt, kan namelijk ten onrechte een onvolledig beeld van de betrokkene ontstaan. Een verwerking van gegevens moet ook ter zake dienend zijn: je mag alleen die gegevens verwerken die noodzakelijk zijn voor het doel. Je mag dus geen overbodige gegevens verwerken.

De verwerkte gegevens moeten verder, gelet op de doeleinden, juist en nauwkeurig zijn. Die verplichting is niet absoluut: je hoeft niet altijd na te gaan of de verwerkte gegevens juist zijn. Het is wel verstandig om periodiek de gegevens te controleren. Verder mag je persoonsgegevens niet langer bewaren dan strikt noodzakelijk is voor je doel van verwerking.

Ook moet je passende maatregelen treffen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerkingen. Je kunt daarbij denken aan zowel technische of organisatorische maatregelen. Het doel hiervan is vooral het voorkomen van het onnodig verzamelen van gegevens en/of een onrechtmatige verdere verwerking.