Wat is een privacyschending concrete voorbeelden en juridische grenzen

In een wereld die steeds digitaler wordt, is het begrip 'privacy' abstracter en tegelijkertijd kwetsbaarder dan ooit. Privacy schending is niet langer alleen het stiekem door iemands lade rommelen; het is een complex geheel van handelingen, zowel online als offline, waarbij persoonlijke gegevens zonder toestemming worden verzameld, gedeeld, gebruikt of blootgesteld. Het raakt de kern van onze persoonlijke levenssfeer en autonomie.

De juridische basis in Nederland wordt gevormd door de Algemene Verordening Gegevensbescherming (AVG). Onder deze wet vallen alle handelingen waarbij persoonsgegevens worden verwerkt in strijd met de beginselen van rechtmatigheid, doelbinding en transparantie. Dit betekent dat een schending al begint bij het verzamelen van gegevens voor een doel dat niet uitdrukkelijk is aangegeven, of het bewaren ervan langer dan strikt noodzakelijk.

Concreet uit een privacy schending zich in uiteenlopende situaties: van een datalek waarbij hackers gevoelige informatie stelen, tot het ongevraagd delen van een klantenbestand met een derde partij. Het kan ook gaan om subtielere vormen, zoals het plaatsen van een camerabeveiliging die uitkijkt op de openbare weg of de woning van een buur, of het zonder toestemming publiceren van foto's waarop anderen duidelijk herkenbaar zijn.

Essentieel is het onderscheid tussen opzettelijke en onopzettelijke schendingen. Een verloren USB-stick met onbeveiligde patiëntendossiers is evenzeer een schending als het opzettelijk verkopen van locatiegegevens. De impact op het individu – financiële schade, reputatieschade, discriminatie of emotioneel leed – staat hierbij centraal en bepaalt de ernst van de inbreuk.

Het verzamelen van gegevens zonder duidelijke toestemming

Een kernprincipe van de privacywetgeving, zoals de AVG, is dat voor de verwerking van persoonsgegevens een geldige rechtsgrondslag nodig is. Voor veel verwerkingen, met name bij gevoelige gegevens of commerciële profilering, is ondubbelzinnige toestemming vereist. Het verzamelen van gegevens zonder deze duidelijke, specifieke en vrijelijk gegeven toestemming is een fundamentele schending.

De schending manifesteert zich vaak in de afwezigheid van een actieve, bewuste handeling van de gebruiker. Voorbeelden zijn het standaard aanvinken van toestemmingsvakjes, verborgen of onleesbaar geplaatste privacyverklaringen, en het verzamelen van gegevens onder het mom van een andere functionaliteit. Het niet bieden van een echte keuze, of het koppelen van toestemming aan het leveren van een dienst wanneer dit niet strikt noodzakelijk is, is eveneens onwettig.

Een veelvoorkomende praktijk is de passieve dataverzameling via trackers, cookies en pixels zonder dat de gebruiker hier eerst actief en geïnformeerd voor kiest. Ook het kopen van persoonsgegevenslijsten waarop de betrokkenen nooit toestemming hebben gegeven voor die verdere verwerking, valt hieronder. Hetzelfde geldt voor apps die bij installatie toegang vragen tot contacten, locatie of foto's zonder dat dit voor de kernfunctionaliteit nodig is.

De gevolgen zijn significant. Personen verliezen de controle over hun eigen gegevens en kunnen geen geïnformeerde afweging maken over wat zij prijsgeven. Dit leidt tot profilering, ongewenste targeting en een algemeen gevoel van wantrouwen. De verwerkingsverantwoordelijke die op deze wijze gegevens verzamelt, heeft vanaf het begin geen geldige basis voor de verdere verwerking, waardoor alle daaropvolgende handelingen, zoals analyse of verkoop, in beginsel onrechtmatig zijn.

Onveilige opslag en lekken van persoonsgegevens

Een fundamentele oorzaak van privacyschending is het onvoldoende beveiligen van de plek waar persoonsgegevens worden bewaard. Onveilige opslag betekent dat gegevens, zoals namen, adressen, medische dossiers of financiële informatie, worden opgeslagen op een manier die onbedoelde toegang mogelijk maakt.

Dit kan technische oorzaken hebben, zoals het ontbreken van encryptie, verouderde software met bekende kwetsbaarheden, zwakke wachtwoorden of slecht geconfigureerde servers die direct vanaf het internet toegankelijk zijn. Ook fysieke diefstal of verlies van een laptop, usb-stick of papieren dossiers valt hieronder.

Een datalek is het daadwerkelijke en vaak grootschalige gevolg van onveilige opslag. Het betreft het onbedoeld vrijkomen, verliezen of illegaal kopiëren van persoonsgegevens. Lekken ontstaan vaak door menselijke fouten, zoals het per e-mail versturen van gegevens naar de verkeerde ontvanger, maar ook door succesvolle cyberaanvallen zoals hacking, phishing of ransomware.

De impact van een lek is groot. Gelekt materiaal kan worden misbruikt voor identiteitsfraude, phishing-pogingen, chantage of ongewenste contacten. Het schendt niet alleen de privacy van betrokkenen, maar kan ook aanzienlijke financiële en emotionele schade veroorzaken.

Volgens de AVG zijn organisaties verplicht technische en organisatorische maatregelen te nemen om persoonsgegevens adequaat te beveiligen. Het niet melden van een ernstig datalek bij de Autoriteit Persoonsgegevens en de betrokken personen is op zichzelf ook een privacyschending.

Gebruik van gegevens voor een ander doel dan afgesproken

Dit is een van de meest voorkomende privacy schendingen en staat bekend als 'doelbinding'. Het principe is een hoeksteen van de AVG: persoonsgegevens mogen alleen worden verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Gebruik voor een ander, nieuw doel is strikt verboden, tenzij aan specifieke voorwaarden is voldaan.

De schending ontstaat op het moment dat een organisatie de gegevens buiten het oorspronkelijke kader gebruikt, zonder nieuwe wettelijke grondslag of toestemming. Dit kan zowel opzettelijk als per ongeluk gebeuren.

Veelvoorkomende voorbeelden:

• Het e-mailadres dat u opgaf voor een nieuwsbrief, gebruiken voor direct marketing van ongerelateerde producten.



• Medische gegevens die voor een behandeling zijn verzameld, inzetten voor het weigeren van een arbeidscontract.



• Contactgegevens van klanten delen met een zusterbedrijf voor diens marketingcampagnes, zonder dit vooraf duidelijk te hebben gecommuniceerd.



• Locatiedata die nodig zijn voor een bezorgdienst, analyseren om gedragsprofielen voor advertentiedoeleinden op te stellen.

Wanneer is een nieuw doel wel toegestaan?

De AVG staat een beperkt aantal uitzonderingen toe. Een nieuwe verwerking is mogelijk als:

1. De betrokkene uitdrukkelijke toestemming voor het nieuwe doel geeft.



2. Het nieuwe doel verenigbaar is met het oorspronkelijke doel. Hierbij wordt gekeken naar:
   
   
   
   
   
   • Het verband tussen de oude en nieuwe doeleinden.
   
   
   
   • De context van de gegevensverzameling.
   
   
   
   • De aard van de persoonsgegevens (bijzondere gegevens zijn extra beschermd).
   
   
   
   • De mogelijke gevolgen van de nieuwe verwerking voor de betrokkene.
   
   
   
   • Het bestaan van passende waarborgen (zoals encryptie).
   
   
   
   
   
   



3. Het is noodzakelijk voor een wettelijke verplichting of taak van algemeen belang.

Het is de verantwoordelijkheid van de organisatie (de verwerkingsverantwoordelijke) om de doelbinding na te leven en te kunnen aantonen dat een nieuwe verwerking aan deze strenge voorwaarden voldoet. Voor de betrokkene leidt deze schending vaak tot een verlies van controle en onverwachte, mogelijk schadelijke, gevolgen.

Verzuim om iemand inzage of correctie te geven

Een fundamenteel recht onder de privacywetgeving (AVG) is het recht op inzage en het recht op rectificatie. Het verzuimen om hieraan te voldoen is een ernstige privacy schending. Dit verzuim ontneemt een persoon de controle over zijn of haar eigen persoonsgegevens.

Het recht op inzage houdt in dat een persoon een verzoek mag indienen om te weten of, en welke, persoonsgegevens over hem of haar worden verwerkt. De verwerkingsverantwoordelijke moet hier kosteloos en binnen een maand op reageren. Het verstrekken van onvolledige informatie, het onnodig vertragen of het volledig negeren van een dergelijk verzoek is een schending.

Het recht op rectificatie geeft een persoon de macht om onjuiste gegevens te laten verbeteren. Ook kan een verzoek worden gedaan om onvolledige gegevens aan te vullen. Het niet corrigeren van een foutief adres, een verkeerde geboortedatum of een onjuiste prestatieregistratie is een actieve schending. Het laat de foutieve verwerking voortbestaan.

De impact van dit verzuim is groot. Een individu kan hierdoor bijvoorbeeld een lening worden geweigerd op basis van verkeerde financiële gegevens, of niet uitgenodigd worden voor een sollicitatiegesprek vanwege een onjuist CV in een systeem. Het ontbreekt de persoon aan de mogelijkheid om deze fouten recht te zetten.

Dergelijk verzuim kan voortkomen uit onkunde, slechte interne processen, maar ook uit opzet. De Autoriteit Persoonsgegevens (AP) kan forse boetes opleggen voor het niet nakomen van deze rechten. Het op orde hebben van een procedure voor het behandelen van verzoeken om inzage en correctie is daarom een wettelijke verplichting voor elke organisatie.

Veelgestelde vragen:

Ik heb een winkel en maak weleens foto's van inbrekers voor bij het politierapport. Mag ik deze foto's ophangen in de winkel met de tekst "Pas op, deze persoon is een dief"?

Nee, dat mag niet. Dit is een duidelijke privacy schending. U mag wel beeldmateriaal maken voor beveiligingsdoeleinden en dit aan de politie verstrekken. Het publiekelijk delen van de beelden, met een beschuldigende tekst, gaat echter veel verder. U schendt daarmee het portretrecht van de persoon en presenteert een onbewezen beschuldiging (u bent geen rechter). De persoon kan u aansprakelijk stellen voor smaad en schending van zijn persoonlijke levenssfeer. Een veiligere optie is het ophangen van algemene waarschuwingsborden dat er cameratoezicht is.

Mijn buurman deelt steeds van die vervelende opnames van onze ruzies op zijn sociale media. Hij zegt dat het zijn eigen tuin is en hij mag filmen wat hij wil. Klopt dat?

Niet helemaal. Het is waar dat mensen in beginsel in hun eigen ruimte mogen filmen. Maar zodra u of andere herkenbare personen in beeld zijn en de beelden gedeeld worden, gelden er strenge regels. Uw buurman moet een "gerechtvaardigd belang" hebben om die beelden te publiceren, zoals het aantonen van ernstige overlast. Een meningsverschil is vaak onvoldoende. Door het delen schendt hij uw privacy, omdat u niet heeft ingestemd met deze publieke vertoning. U kunt vragen de beelden te verwijderen. Blijft hij dit doen, dan kunt u melding maken bij de Autoriteit Persoonsgegevens of een civiele procedure overwegen.

Ik werk op een kantoor. Mijn baas wil graag dat we een app op onze privé-telefoon installeren om onze werktijden bij te houden. Is dit verplicht?

U bent niet verplicht een app op uw privé-toestel te installeren, tenzij dit uitdrukkelijk en redelijk in uw arbeidsovereenkomst staat. Uw baas kan het vragen, maar u mag weigeren. Het gebruik van een privé-telefoon voor werk raakt aan twee kanten van privacy: die van u en die van collega's. De app kan mogelijk meer gegevens verzamelen dan alleen werktijden. Als u instemt, moet de werkgever duidelijk maken welke data hij verzamelt, hoe die wordt beveiligd en hoe lang die wordt bewaard. Een beter alternaal is dat de werkgever werktelefoons of aparte registratie-apparatuur verstrekt. Als u de app weigert, moet uw baas een andere manier bieden om uw uren te registreren.