Recht op vergetelheid

Wat is het recht op vergetelheid?

Het recht op vergetelheid laat een persoon vragen om de persoonsgegevens te wissen die een organisatie over hem bijhoudt, en verplicht de organisatie om dat te doen wanneer een van een vaste reeks voorwaarden geldt. Het staat in artikel 17 van de GDPR (in het Nederlands de Algemene Verordening Gegevensbescherming of AVG) en is breed bekend als het recht om vergeten te worden.

Het recht is niet absoluut, en dat is het punt dat de meeste mensen missen. Een verzoek betekent niet dat alles op afroep gewist moet worden. Wissen is enkel verplicht wanneer een bepaalde grond geldt, en zelfs dan kunnen verschillende uitzonderingen het opzij schuiven. Een organisatie die facturen bijhoudt om aan de fiscale wetgeving te voldoen, hoeft die bijvoorbeeld niet te wissen enkel omdat een klant het vraagt.

Voor bedrijven maakt het recht van een wettelijke plicht een praktische: je moet elke kopie van iemands gegevens over je systemen kunnen terugvinden, beoordelen of er een wisgrond geldt, en handelen binnen de termijn. Dat is lastiger dan het klinkt zodra data verspreid zit over warehouses, back-ups, logbestanden en nageschakelde tools.

Wanneer geldt het recht op vergetelheid?

Artikel 17, lid 1 somt de gronden op die het recht in gang zetten. Wissen is verplicht wanneer:

• De data niet langer nodig is. De persoonsgegevens zijn niet meer nodig voor het doel waarvoor ze verzameld werden.

• De toestemming wordt ingetrokken. De persoon trekt de toestemming in waarop de verwerking steunde, en er is geen andere rechtsgrond om verder te gaan.

• De persoon maakt bezwaar. Hij maakt bezwaar tegen de verwerking en er zijn geen zwaarder wegende gerechtvaardigde gronden, of hij maakt bezwaar tegen direct marketing.

• De data is onrechtmatig verwerkt. De verwerking overtrad de regels van bij het begin.

• Een wettelijke verplichting eist verwijdering. Europees of nationaal recht zegt dat de data gewist moet worden.

• Het gaat over gegevens van een kind. De data is bij een kind verzameld in de context van online diensten die aan kinderen worden aangeboden.

Er is nog een plicht in artikel 17, lid 2: heeft de organisatie de data openbaar gemaakt, dan moet ze redelijke stappen nemen, ook technische, om andere organisaties die de data verwerken te laten weten dat de persoon om verwijdering heeft gevraagd.

De uitzonderingen

Artikel 17, lid 3 legt vast waar het recht niet geldt omdat het bewaren van de data nodig is. De belangrijkste uitzonderingen dekken de verwerking die nodig is voor het recht op vrije meningsuiting en informatie, voor het naleven van een wettelijke verplichting of een taak van algemeen belang, om redenen van algemeen belang op het vlak van volksgezondheid, voor archivering in het algemeen belang en voor wetenschappelijk, historisch of statistisch onderzoek waar wissen die doelen onmogelijk zou maken of ernstig zou schaden, en voor het instellen, uitoefenen of onderbouwen van een rechtsvordering.

In dagelijkse termen kan je met een verzoek geen records wissen die je wettelijk moet bewaren, geen journalistiek archief laten verdwijnen, en geen bewijs vernietigen dat nodig is voor een lopend geschil. Geldt er een uitzondering, dan hou je de data en leg je uit waarom.

Wat het wissen betekent voor je datasystemen

De juridische toets is maar de helft van het werk. De andere helft is technisch: persoonsgegevens zitten zelden op één plek. De PII van één klant kan leven in de operationele databank, een data warehouse, de back-up van vannacht, applicatielogs, en de marketing- en supporttools waar ze naartoe gesynct is. Een wisverzoek moet ze allemaal bereiken.

Een paar praktische zaken maken dit lastig:

• Back-ups verzetten zich tegen verwijdering. Je kan niet zomaar één persoon chirurgisch uit een onveranderlijke back-up snijden. Een gangbare aanpak is documenteren dat back-ups op een vast schema verlopen en opnieuw wissen als een back-up ooit teruggezet wordt.

• Kopieën reizen stroomafwaarts. Is data doorgeduwd naar een CRM of een e-mailplatform, dan moeten die kopieën ook gewist worden, niet enkel de bron.

• Wissen is niet het enige antwoord. Waar een record moet blijven voor analyse of om juridische redenen, kan anonimisering en pseudonimisering een alternatief zijn: haal de identificerende velden eruit of maak ze onleesbaar zodat de data niet meer naar een persoon verwijst, en de wisplicht valt weg omdat het geen persoonsgegevens meer zijn. Echte anonimisering moet onomkeerbaar zijn om te tellen.

Hier haakt het recht in op dataretentie en data governance. Weet je al welke persoonsgegevens je bijhoudt, waar ze stromen en hoe lang elk systeem ze bewaart, dan is een wisverzoek een proces dat je kan afdraaien. Weet je dat niet, dan wordt elk verzoek een handmatige zoektocht.

Reageren op een verzoek

Onder de AVG moet je in het algemeen zonder onnodige vertraging reageren en binnen één maand na ontvangst van een verzoek, met een mogelijke verlenging van twee extra maanden voor complexe of talrijke verzoeken. Je moet de persoon ook terugkoppelen wat je gedaan hebt. Dit opbouwen als een herhaalbaar proces, met een duidelijke verantwoordelijke en een checklist van elk systeem dat persoonsgegevens bevat, werkt beter dan elke keer improviseren wanneer er een verzoek binnenkomt.