Persoonsgegevens: privacy en AVG
Als medewerker van de universiteit Leiden werk je waarschijnlijk met persoonsgegevens. In de Algemene Verordening Gegevensbescherming (AVG) staat het begrip ‘persoonsgegevens’ centraal. Als je met persoonsgegevens werkt, moet je in simpel taalgebruik duidelijk en volledig kunnen uitleggen wat er binnen een organisatie met de persoonlijke gegevens en de verwerkingen ervan gebeurt. Op deze webpagina vind je informatie om goed met persoonsgegevens om te gaan en wat de universiteit doet om je hierin te ondersteunen.
Bijzondere (persoons)gegevens
Persoonsgegevens zijn alle gegevens die terug te leiden zijn tot een persoon. Het gaat bijvoorbeeld om naam, adres en woonplaats, maar ook om bankrekeningnummers, telefoonnummers en postcodes met huisnummers. Gegevens zoals IP-adressen, MAC-adressen en browserinstellingen zijn in bepaalde gevallen ook persoonsgegevens. Dat is het geval als je iemand kan identificeren op basis van deze gegevens (al dan niet in combinatie met andere data). Gevoelige gegevens zoals iemands ras, godsdienst of gezondheid worden bijzondere persoonsgegevens genoemd. Die zijn door de wetgever extra beschermd.
Als je (bijzondere) persoonsgegevens verwerkt, is het belangrijk om van tevoren na te denken over:
- Welke gegevens je verzamelt;
- Of deze gegevens in combinatie met andere gegevens terugleiden naar een persoon;
- Welke gegevens je aan elkaar koppelt.
Toestemming voor het werken met persoonsgegevens
Is het voor jouw werkzaamheden noodzakelijk dat er persoonsgegevens worden verzameld? In de wet vind je een aantal grondslagen waarop dat kan.
- Je hebt toestemming van de betrokken persoon (informed consent).
- De gegevensverwerking is noodzakelijk voor de uitvoering van een overeenkomst.
- De gegevensverwerking is noodzakelijk voor het nakomen van een wettelijke verplichting.
- De gegevensverwerking is noodzakelijk ter bescherming van de vitale belangen.
- De gegevensverwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.
- De gegevensverwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen.
Eén van bovenstaande grondslagen is voldoende grondslag voor het gebruik van persoonsgegevens. Voor het werken met bijzondere (gevoelige) persoonsgegevens moet je je ook nog kunnen beroepen op een wettelijke uitzondering.
Wat heb je nodig voor het verwerken van persoonsgegevens?
Privacyloket Voor vragen over privacy kun je terecht bij het Privacyloket.
Onderzoek Verwerk je persoonsgegevens voor onderzoek? Op deze pagina vind je meer informatie en tips voor onderzoek met persoonsgegevens.
Verwerkingsregister Als je persoonsgegevens verwerkt, moet je dat bijhouden in een verwerkingsregister. Dat geldt ook voor onderzoek. Voor eenmalige verwerkingen is onder bepaalde voorwaarden geen verwerkingsregister nodig.
Verwerkersovereenkomst Schakel je een andere partij in om persoonsgegevens te verwerken, dan is een verwerkersovereenkomst nodig.
Informed consent In veel gevallen heb je toestemming van mensen nodig om hun persoonsgegevens te verwerken. Meer informatie vind je hier, ook voor onderzoek.
Wissen persoonsgegevens Mensen hebben in een aantal gevallen het recht om hun persoonsgegevens te laten wissen.
Hulp bij een datalek Als je de controle over opgeslagen persoonsgegevens bent verloren, is er mogelijk sprake van een datalek. Bijvoorbeeld als je laptop is gestolen, maar ook als je een geprinte lijst met persoonsgegevens kwijtraakt. De Universiteit Leiden is bij wet verplicht datalekken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Meld een datalek daarom zo snel mogelijk bij de ISSC-Helpdesk.
Je leest alles over de verwerking van persoonsgegevens in de privacyverklaringen van de Universiteit Leiden. Hierin staat onder andere hoe gegevens gebruikt worden, wie inzage hebben en hoe de beveiliging en bewaring is geregeld. Via een systeem van monitoring, evaluaties en privacy-audits onderzoekt de universiteit in hoeverre haar privacybeleid effectief is.