VOLGORDE CASUSANALYSE: 1) AVG van toepassing? (art. 2/3) → 2) Persoonsgegeven? (art. 4(1), 4 stappen) → 3) Bijzonder gegeven? (art. 9) → 4) Wie is VV / verwerker / gezamenlijk? (art. 4(7)/(8), art. 26) → 5) Beginselen
nageleefd? (art. 5) → 6) Grondslag aanwezig? (art. 6) + bij bijzonder ook uitzondering (art. 9(2)) → 7) Rechten betrokkene (art. 15–22) → 8) Plichten VV & handhaving (art. 24–35; boete art. 83)
WK 1 — BRONNEN EN HIËRARCHIE VAN HET GEGEVENSBESCHERMINGSRECHT – De mate van verantwoordelijkheid hoeft niet gelijk te zijn en wordt per geval beoordeeld
Het juridisch kader bestaat uit meerdere lagen die je bij iedere casus kort kunt plaatsen: (Wirtschaftsakademie [43]). Partijen leggen hun taakverdeling vast in een onderlinge regeling (art 26(1)-(2)),
– Art 8 EVRM beschermt het privéleven ruim en schept ook positieve verplichtingen voor de staat, met maar de betrokkene kan zijn rechten jegens iedere verantwoordelijke uitoefenen (art 26(3)).
doorwerking in horizontale verhoudingen. – Russmedia (C-492/23): een onlinemarktplaats is (mede)verantwoordelijk voor advertenties van derden, omdat
– Art 7 en art 8 Handvest: privacy en gegevensbescherming zijn twee zelfstandige grondrechten; zij de verspreidingsparameters, rubrieken en rangschikking bepaalt [72]; dat zij de inhoud niet zelf opstelde,
gegevensbescherming beschermt ook niet-private gegevens via eisen van eerlijke verwerking. Het Handvest bevrijdt haar niet [74]. Zij moet vóór publicatie controleren of een advertentie art 9-gegevens bevat en of de
geldt binnen de werkingssfeer van het Unierecht (art 51). adverteerder de betrokkene zelf is, en anders publicatie weigeren tenzij uitdrukkelijke toestemming wordt
– Art 16 VWEU geeft de EU de bevoegdheid om gegevensbeschermingswetgeving vast te stellen. aangetoond [106].
– De AVG is een verordening en werkt dus rechtstreeks (art 288 VWEU); de UAVG vult de nationale ruimte en – GC e.a./CNIL (C-136/17): omdat zoekmachines essentieel zijn voor de toegang tot informatie, moet het verbod
de uitzonderingen in. van art 9 op hen evenredig worden toegepast; in beginsel pas na een verwijderingsverzoek van de betrokkene.
– Lex specialis: de ePrivacy-richtlijn 2002/58 / H11 Telecommunicatiewet (cookies), de LED-richtlijn voor de – Discussie (AG Bobek, Fashion ID [92]): "als iedereen verantwoordelijk is, is feitelijk niemand
strafrechtelijke keten (art 2(2)(d) AVG) en Vo 2018/1725 voor EU-instellingen. verantwoordelijk" — de partij met de reële controle verschuilt zich achter medeverantwoordelijken; de fase-
benadering maakt de verwerking bovendien minder transparant voor betrokkenen.
WK 2 — REIKWIJDTE EN BASISBEGRIPPEN: IS DE AVG VAN TOEPASSING?
Stap 3. Verwerker (art 4(8) AVG)? De verwerker verwerkt uitsluitend ten behoeve van en op instructie van
Stappenplan toepasselijkheid AVG
de verantwoordelijke. Er moet een verwerkersovereenkomst zijn (art 28: onderwerp, duur, aard en doel,
Stap 1. Is er sprake van een persoonsgegeven (art 4(1) AVG)? Toets de vier cumulatieve elementen:
soort gegevens, rechten en plichten). Gaat de verwerker eigen doelen of wezenlijke middelen bepalen, dan
– 1. Iedere soort informatie: zowel objectieve feiten als subjectieve meningen, juist of onjuist, in elke vorm, ook
wordt hij zelf (mede)verantwoordelijke.
openbare informatie.
Kernverplichtingen van de verantwoordelijke
◦ Nowak (C-434/16): het begrip moet ruim worden opgevat. Tentamenantwoorden en de opmerkingen van
– Art 24: passende technische en organisatorische maatregelen treffen én de naleving kunnen aantonen;
de examinator zijn persoonsgegevens, omdat ze de kennis en de gedachtegang van de kandidaat
gedragscodes en certificering (art 40/42) zijn daarbij een element, geen garantie.
weerspiegelen
– Art 25 — privacy by design & by default: de beginselen al in de ontwerpfase inbouwen en als
– 2. Over een persoon: Informatie is een persoonsgegeven als er een link is via:
standaardinstelling zo min mogelijk gegevens verwerken.
◦ (i) de inhoud (de informatie gaat over de persoon);
– Art 30: een register van verwerkingsactiviteiten bijhouden.
◦ (ii) het doel (zij wordt gebruikt om de persoon te beoordelen of te beïnvloeden);
– Art 32: beveiliging afgestemd op de risico’s, de stand van de techniek en de kosten (technisch: encryptie,
◦ (iii) of het gevolg (het gebruik raakt iemands rechten of belangen; dat hij "anders wordt behandeld"
pseudonimisering; organisatorisch: beleid, training).
volstaat).
– Art 33/34: datalekken binnen 72 uur melden aan de AP en, bij waarschijnlijk hoog risico, onverwijld aan de
– 3. Geïdentificeerde (persoon is direct "onderscheiden" van de rest van de groep, ook zonder naam) of
betrokkene.
identificeerbare persoon (persoon kan direct of indirect worden achterhaald, bijv via naam, IP-adres, locatie):
– Art 35 — DPIA: vooraf verplicht bij waarschijnlijk hoog risico, in elk geval bij (a) systematische
◦ Middelen-toets (Ovw 26): Men moet kijken naar alle middelen die de verwerkingsverantwoordelijke (of
geautomatiseerde beoordeling of profilering met rechtsgevolgen of wezenlijke impact, (b) grootschalige
een derde) redelijkerwijs kan inzetten, gelet op kosten, tijd en beschikbare technologie; een louter
verwerking van bijzondere of strafrechtelijke gegevens en (c) grootschalige monitoring van publieke ruimten.
hypothetische mogelijkheid telt niet.
Inhoud: beschrijving van de verwerking, noodzaak en evenredigheid, risico’s en maatregelen.
◦ Breyer (C-582/14): de benodigde informatie hoeft niet bij één partij te berusten; een dynamisch IP-adres is
een persoonsgegeven omdat de websitehouder via een juridische weg (de provider) de gebruiker kan WK 4 — DE ALGEMENE BEGINSELEN (ART 5 AVG): ALTIJD NALEVEN
laten identificeren [43]. Identificatie die wettelijk verboden of praktisch ondoenlijk is, is niet " redelijkerwijs" De beginselen vormen de "ruggengraat" van de AVG; toets een verwerking steeds aan alle zeven:
mogelijk [46]. Stap 1. Rechtmatigheid, behoorlijkheid en transparantie (art 5(1)(a)).
◦ SRB (C-413/23 P): identificeerbaarheid wordt beoordeeld op het moment van verzamelen en vanuit het – Rechtmatig: gebaseerd op een grondslag van art 6 (zie Wk 5) en in overeenstemming met de overige AVG-
perspectief van de verwerkingsverantwoordelijke [100, 111]; het begrip persoonsgegevens is ruim "maar bepalingen en het recht.
niet onbeperkt" [88]. – Behoorlijk: geen ongerechtvaardigd nadelige (bijv. Toeslagenaffaire), discriminerende, onverwachte of
◦ Pseudonimisering (art 4(5)): blijft in beginsel een persoonsgegeven, maar kan voor een specifieke partij misleidende verwerking (EDPB Guidelines 4/2019); let op de redelijke verwachtingen van betrokkenen,
tot anonimisering leiden (SRB [77]). Anonieme gegevens vallen buiten de AVG (Ovw 26). Discussie machtsonevenwicht en verbod op "dark patterns" en manipulatief design (EDPB Opinion 08/2024).
(Finck & Pallas): moet identificeerbaarheid absoluut (door elke derde) of relatief (per partij) worden – Transparant: informatie moet beknopt, begrijpelijk, gemakkelijk toegankelijk, in duidelijke en eenvoudige taal
beoordeeld? SRB kiest een relatief perspectief. en in beginsel kosteloos zijn (art 12(1); WP260; Ovw 39), zodat de betrokkene zijn rechten daadwerkelijk kan
– 4. Levende natuurlijke persoon: geen rechtspersonen en geen overledenen. uitoefenen.
Stap 2. Is er sprake van verwerking (art 4(2) AVG)? Vrijwel elke handeling valt eronder: verzamelen, ◦ Discussie: niemand leest privacyverklaringen (kost 76 werkdagen per jaar; sommige zijn moeilijker
opslaan, raadplegen, verstrekken, combineren, wissen, enzovoort. leesbaar dan Kant).
Stap 3. Valt de verwerking onder de materiële werkingssfeer (art 2(1) AVG)? De AVG geldt voor (deels) Stap 2. Doelbinding (art 5(1)(b) + Ovw 50; WP203). Gegevens worden verzameld voor doeleinden die
geautomatiseerde verwerking én voor handmatige verwerking in een bestand (art 4(6)): een gestructureerd welbepaald (specifiek; dus niet "ter verbetering van diensten" of "voor marketingdoeleinden"), uitdrukkelijk
geheel waarin gegevens gemakkelijk zijn terug te vinden. omschreven (duidelijk, vooraf of bij verzameling, afgestemd op het publiek en conform de werkelijkheid) en
Jehovan Todistajat (C-25/17): de gebruikte criteria en de vorm zijn irrelevant. in dit arrest vormden gerechtvaardigd (rechtmatig in brede zin) zijn.
papieren aantekeningen, geordend per adres, daarom al een bestand [54, 57, 61]. – Substappenplan verdere (secundaire) verwerking:
– Uitzonderingen (art 2(2), restrictief uitleggen): (a) activiteiten buiten het Unierecht zoals nationale veiligheid; ◦ S1: de verenigbaarheid wordt verondersteld bij archivering in het algemeen belang, wetenschappelijk of
(b) GBVB; (d) opsporing en vervolging (daarvoor geldt de LED); en vooral (c) de huishoudelijke exceptie voor historisch onderzoek en statistiek, mits waarborgen ex art 89(1) worden getroffen (zoals
zuiver persoonlijke activiteiten: pseudonimisering).
◦ De huishoudelijke exceptie geldt niet bij het delen van gegevens met een onbepaald aantal personen, ◦ S2: toets in andere gevallen aan art 6(4): (a) het verband tussen het oorspronkelijke en het nieuwe
zoals publicatie op internet (Lindqvist, C-101/01 [43]). doel; (b) de context van verzameling, waaronder de redelijke verwachtingen en de machtsverhouding;
◦ Zij geldt evenmin als de verwerking "naar buiten is gericht", zoals een camera of slimme deurbel die (c) de aard van de gegevens (bijzondere gegevens: strengere maatstaf); (d) de mogelijke gevolgen
(deels) de openbare weg of het erf van de buren filmt (Ryneš, C-212/13 [33]). voor de betrokkene; (e) passende waarborgen zoals versleuteling of pseudonimisering.
◦ Ook deur-tot-deurverkondiging valt buiten de huishoudelijke exceptie (Jehovan Todistajat). - Het is een glijdende schaal; tekorten op het ene punt kunnen deels worden gecompenseerd op het
Stap 4. Valt de verwerking onder de territoriale werkingssfeer (art 3 AVG)? Ofwel via het andere.
vestigingsbeginsel (lid 1: vestiging in de EU en verwerking in het kader daarvan), ofwel via het ◦ Is het verdere gebruik onverenigbaar, dan kan het alleen op basis van toestemming of een
bestemmingsbeginsel (lid 2: betrokkene in de EU en de verwerking houdt verband met het aanbieden van Unie-/lidstaatrechtelijke bepaling; anders is het niet toegestaan.
goederen of diensten dan wel het monitoren van gedrag in de EU). Stap 3. Minimale gegevensverwerking (art 5(1)(c)). Gegevens moeten toereikend, ter zake dienend en
beperkt tot het noodzakelijke zijn; noodzakelijkheid wordt strikt uitgelegd (Rīgas satiksme, C-13/16 [30]).
WK 3 — DE ACTOREN EN HUN KERNVERPLICHTINGEN
Stap 4. Juistheid (art 5(1)(d)). Gegevens moeten juist zijn ten opzichte van het doel en zo nodig worden
Stappenplan: wie is (gezamenlijk) verantwoordelijke en wie is verwerker?
geactualiseerd; onjuiste gegevens moeten onverwijld worden gewist of gerectificeerd (recht op rectificatie: art
Stap 1. Verwerkingsverantwoordelijke (art 4(7) AVG)? Is degene die het doel (waarom) en de wezenlijke
16).
middelen vaststelt (welke typen gegevens, hoelang, welke categorieën ontvangers en betrokkenen)
◦ Nowak [53]: Het beginsel geeft géén recht om foute examenantwoorden achteraf te "corrigeren", omdat
◦ EDPB Guidelines 07/2020: over niet-wezenlijke, praktische middelen (software, beveiliging, datacenter)
het doel is de kennis op de examendatum vast te leggen.
mag een verwerker beslissen
Stap 5. Opslagbeperking (art 5(1)(e)). Niet langer bewaren dan noodzakelijk voor het doel; stel wis- of
– Het begrip moet ruim worden uitgelegd om een "effectieve en volledige bescherming" van betrokkenen te
toetsingstermijnen vast (Ovw 39) en wis of anonimiseer de gegevens daarna.
waarborgen (Google Spain, C-131/12 [33]).
Stap 6. Integriteit en vertrouwelijkheid (art 5(1)(f)). Passende beveiliging tegen verlies en onbevoegde
– Feitelijke invloed volstaat: schriftelijke instructies zijn niet nodig — organiseren, coördineren en aanmoedigen
toegang; nader uitgewerkt in art 32.
van de verwerking is genoeg (Jehovan Todistajat) — en de verantwoordelijke hoeft zelf geen toegang tot de
Stap 7. Verantwoordingsplicht (art 5(2)). De verantwoordelijke moet de naleving van alle beginselen
persoonsgegevens te hebben (Wirtschaftsakademie, C-210/16: de beheerder van een Facebook-fanpagina
kunnen aantonen, bijvoorbeeld met documentatie, beleid en het register van art 30.
ontving alleen anonieme statistieken en was toch gezamenlijk verantwoordelijk).
– Discussie (Finck & Biega): machine learning versus minimalisatie en doelbinding: ML gedijt op veel data
Stap 2. Gezamenlijke verantwoordelijkheid (art 26 AVG)? Daarvan is sprake wanneer twee of meer
en hergebruik en is als "black box" moeilijk vooraf aan doelen te binden. Vóór minimalisatie pleiten overfitting
partijen samen de doelen en middelen bepalen; dat kan ook door convergerende besluiten in plaats van één
en federated learning (modellen werken vaak goed genoeg met minder data); ertegen pleit dat gevoelige
gezamenlijk besluit (Russmedia, C-492/23 [61]).
gegevens juist nodig kunnen zijn om bias tegen te gaan en dat minder data outliers en minderheden benadeelt.
– Toets per verwerkingsfase: een partij is alleen verantwoordelijk voor de fase waarvan zij doel en middelen
Daarnaast: vage normen, een handhavingstekort en een concurrentievoordeel voor grote bedrijven.
meebepaalt. Fashion ID was via de like-knop gezamenlijk verantwoordelijk voor het verzamelen en
doorzenden van bezoekersgegevens, maar niet voor de verdere verwerking door Facebook (Fashion ID, C-
40/17).
nageleefd? (art. 5) → 6) Grondslag aanwezig? (art. 6) + bij bijzonder ook uitzondering (art. 9(2)) → 7) Rechten betrokkene (art. 15–22) → 8) Plichten VV & handhaving (art. 24–35; boete art. 83)
WK 1 — BRONNEN EN HIËRARCHIE VAN HET GEGEVENSBESCHERMINGSRECHT – De mate van verantwoordelijkheid hoeft niet gelijk te zijn en wordt per geval beoordeeld
Het juridisch kader bestaat uit meerdere lagen die je bij iedere casus kort kunt plaatsen: (Wirtschaftsakademie [43]). Partijen leggen hun taakverdeling vast in een onderlinge regeling (art 26(1)-(2)),
– Art 8 EVRM beschermt het privéleven ruim en schept ook positieve verplichtingen voor de staat, met maar de betrokkene kan zijn rechten jegens iedere verantwoordelijke uitoefenen (art 26(3)).
doorwerking in horizontale verhoudingen. – Russmedia (C-492/23): een onlinemarktplaats is (mede)verantwoordelijk voor advertenties van derden, omdat
– Art 7 en art 8 Handvest: privacy en gegevensbescherming zijn twee zelfstandige grondrechten; zij de verspreidingsparameters, rubrieken en rangschikking bepaalt [72]; dat zij de inhoud niet zelf opstelde,
gegevensbescherming beschermt ook niet-private gegevens via eisen van eerlijke verwerking. Het Handvest bevrijdt haar niet [74]. Zij moet vóór publicatie controleren of een advertentie art 9-gegevens bevat en of de
geldt binnen de werkingssfeer van het Unierecht (art 51). adverteerder de betrokkene zelf is, en anders publicatie weigeren tenzij uitdrukkelijke toestemming wordt
– Art 16 VWEU geeft de EU de bevoegdheid om gegevensbeschermingswetgeving vast te stellen. aangetoond [106].
– De AVG is een verordening en werkt dus rechtstreeks (art 288 VWEU); de UAVG vult de nationale ruimte en – GC e.a./CNIL (C-136/17): omdat zoekmachines essentieel zijn voor de toegang tot informatie, moet het verbod
de uitzonderingen in. van art 9 op hen evenredig worden toegepast; in beginsel pas na een verwijderingsverzoek van de betrokkene.
– Lex specialis: de ePrivacy-richtlijn 2002/58 / H11 Telecommunicatiewet (cookies), de LED-richtlijn voor de – Discussie (AG Bobek, Fashion ID [92]): "als iedereen verantwoordelijk is, is feitelijk niemand
strafrechtelijke keten (art 2(2)(d) AVG) en Vo 2018/1725 voor EU-instellingen. verantwoordelijk" — de partij met de reële controle verschuilt zich achter medeverantwoordelijken; de fase-
benadering maakt de verwerking bovendien minder transparant voor betrokkenen.
WK 2 — REIKWIJDTE EN BASISBEGRIPPEN: IS DE AVG VAN TOEPASSING?
Stap 3. Verwerker (art 4(8) AVG)? De verwerker verwerkt uitsluitend ten behoeve van en op instructie van
Stappenplan toepasselijkheid AVG
de verantwoordelijke. Er moet een verwerkersovereenkomst zijn (art 28: onderwerp, duur, aard en doel,
Stap 1. Is er sprake van een persoonsgegeven (art 4(1) AVG)? Toets de vier cumulatieve elementen:
soort gegevens, rechten en plichten). Gaat de verwerker eigen doelen of wezenlijke middelen bepalen, dan
– 1. Iedere soort informatie: zowel objectieve feiten als subjectieve meningen, juist of onjuist, in elke vorm, ook
wordt hij zelf (mede)verantwoordelijke.
openbare informatie.
Kernverplichtingen van de verantwoordelijke
◦ Nowak (C-434/16): het begrip moet ruim worden opgevat. Tentamenantwoorden en de opmerkingen van
– Art 24: passende technische en organisatorische maatregelen treffen én de naleving kunnen aantonen;
de examinator zijn persoonsgegevens, omdat ze de kennis en de gedachtegang van de kandidaat
gedragscodes en certificering (art 40/42) zijn daarbij een element, geen garantie.
weerspiegelen
– Art 25 — privacy by design & by default: de beginselen al in de ontwerpfase inbouwen en als
– 2. Over een persoon: Informatie is een persoonsgegeven als er een link is via:
standaardinstelling zo min mogelijk gegevens verwerken.
◦ (i) de inhoud (de informatie gaat over de persoon);
– Art 30: een register van verwerkingsactiviteiten bijhouden.
◦ (ii) het doel (zij wordt gebruikt om de persoon te beoordelen of te beïnvloeden);
– Art 32: beveiliging afgestemd op de risico’s, de stand van de techniek en de kosten (technisch: encryptie,
◦ (iii) of het gevolg (het gebruik raakt iemands rechten of belangen; dat hij "anders wordt behandeld"
pseudonimisering; organisatorisch: beleid, training).
volstaat).
– Art 33/34: datalekken binnen 72 uur melden aan de AP en, bij waarschijnlijk hoog risico, onverwijld aan de
– 3. Geïdentificeerde (persoon is direct "onderscheiden" van de rest van de groep, ook zonder naam) of
betrokkene.
identificeerbare persoon (persoon kan direct of indirect worden achterhaald, bijv via naam, IP-adres, locatie):
– Art 35 — DPIA: vooraf verplicht bij waarschijnlijk hoog risico, in elk geval bij (a) systematische
◦ Middelen-toets (Ovw 26): Men moet kijken naar alle middelen die de verwerkingsverantwoordelijke (of
geautomatiseerde beoordeling of profilering met rechtsgevolgen of wezenlijke impact, (b) grootschalige
een derde) redelijkerwijs kan inzetten, gelet op kosten, tijd en beschikbare technologie; een louter
verwerking van bijzondere of strafrechtelijke gegevens en (c) grootschalige monitoring van publieke ruimten.
hypothetische mogelijkheid telt niet.
Inhoud: beschrijving van de verwerking, noodzaak en evenredigheid, risico’s en maatregelen.
◦ Breyer (C-582/14): de benodigde informatie hoeft niet bij één partij te berusten; een dynamisch IP-adres is
een persoonsgegeven omdat de websitehouder via een juridische weg (de provider) de gebruiker kan WK 4 — DE ALGEMENE BEGINSELEN (ART 5 AVG): ALTIJD NALEVEN
laten identificeren [43]. Identificatie die wettelijk verboden of praktisch ondoenlijk is, is niet " redelijkerwijs" De beginselen vormen de "ruggengraat" van de AVG; toets een verwerking steeds aan alle zeven:
mogelijk [46]. Stap 1. Rechtmatigheid, behoorlijkheid en transparantie (art 5(1)(a)).
◦ SRB (C-413/23 P): identificeerbaarheid wordt beoordeeld op het moment van verzamelen en vanuit het – Rechtmatig: gebaseerd op een grondslag van art 6 (zie Wk 5) en in overeenstemming met de overige AVG-
perspectief van de verwerkingsverantwoordelijke [100, 111]; het begrip persoonsgegevens is ruim "maar bepalingen en het recht.
niet onbeperkt" [88]. – Behoorlijk: geen ongerechtvaardigd nadelige (bijv. Toeslagenaffaire), discriminerende, onverwachte of
◦ Pseudonimisering (art 4(5)): blijft in beginsel een persoonsgegeven, maar kan voor een specifieke partij misleidende verwerking (EDPB Guidelines 4/2019); let op de redelijke verwachtingen van betrokkenen,
tot anonimisering leiden (SRB [77]). Anonieme gegevens vallen buiten de AVG (Ovw 26). Discussie machtsonevenwicht en verbod op "dark patterns" en manipulatief design (EDPB Opinion 08/2024).
(Finck & Pallas): moet identificeerbaarheid absoluut (door elke derde) of relatief (per partij) worden – Transparant: informatie moet beknopt, begrijpelijk, gemakkelijk toegankelijk, in duidelijke en eenvoudige taal
beoordeeld? SRB kiest een relatief perspectief. en in beginsel kosteloos zijn (art 12(1); WP260; Ovw 39), zodat de betrokkene zijn rechten daadwerkelijk kan
– 4. Levende natuurlijke persoon: geen rechtspersonen en geen overledenen. uitoefenen.
Stap 2. Is er sprake van verwerking (art 4(2) AVG)? Vrijwel elke handeling valt eronder: verzamelen, ◦ Discussie: niemand leest privacyverklaringen (kost 76 werkdagen per jaar; sommige zijn moeilijker
opslaan, raadplegen, verstrekken, combineren, wissen, enzovoort. leesbaar dan Kant).
Stap 3. Valt de verwerking onder de materiële werkingssfeer (art 2(1) AVG)? De AVG geldt voor (deels) Stap 2. Doelbinding (art 5(1)(b) + Ovw 50; WP203). Gegevens worden verzameld voor doeleinden die
geautomatiseerde verwerking én voor handmatige verwerking in een bestand (art 4(6)): een gestructureerd welbepaald (specifiek; dus niet "ter verbetering van diensten" of "voor marketingdoeleinden"), uitdrukkelijk
geheel waarin gegevens gemakkelijk zijn terug te vinden. omschreven (duidelijk, vooraf of bij verzameling, afgestemd op het publiek en conform de werkelijkheid) en
Jehovan Todistajat (C-25/17): de gebruikte criteria en de vorm zijn irrelevant. in dit arrest vormden gerechtvaardigd (rechtmatig in brede zin) zijn.
papieren aantekeningen, geordend per adres, daarom al een bestand [54, 57, 61]. – Substappenplan verdere (secundaire) verwerking:
– Uitzonderingen (art 2(2), restrictief uitleggen): (a) activiteiten buiten het Unierecht zoals nationale veiligheid; ◦ S1: de verenigbaarheid wordt verondersteld bij archivering in het algemeen belang, wetenschappelijk of
(b) GBVB; (d) opsporing en vervolging (daarvoor geldt de LED); en vooral (c) de huishoudelijke exceptie voor historisch onderzoek en statistiek, mits waarborgen ex art 89(1) worden getroffen (zoals
zuiver persoonlijke activiteiten: pseudonimisering).
◦ De huishoudelijke exceptie geldt niet bij het delen van gegevens met een onbepaald aantal personen, ◦ S2: toets in andere gevallen aan art 6(4): (a) het verband tussen het oorspronkelijke en het nieuwe
zoals publicatie op internet (Lindqvist, C-101/01 [43]). doel; (b) de context van verzameling, waaronder de redelijke verwachtingen en de machtsverhouding;
◦ Zij geldt evenmin als de verwerking "naar buiten is gericht", zoals een camera of slimme deurbel die (c) de aard van de gegevens (bijzondere gegevens: strengere maatstaf); (d) de mogelijke gevolgen
(deels) de openbare weg of het erf van de buren filmt (Ryneš, C-212/13 [33]). voor de betrokkene; (e) passende waarborgen zoals versleuteling of pseudonimisering.
◦ Ook deur-tot-deurverkondiging valt buiten de huishoudelijke exceptie (Jehovan Todistajat). - Het is een glijdende schaal; tekorten op het ene punt kunnen deels worden gecompenseerd op het
Stap 4. Valt de verwerking onder de territoriale werkingssfeer (art 3 AVG)? Ofwel via het andere.
vestigingsbeginsel (lid 1: vestiging in de EU en verwerking in het kader daarvan), ofwel via het ◦ Is het verdere gebruik onverenigbaar, dan kan het alleen op basis van toestemming of een
bestemmingsbeginsel (lid 2: betrokkene in de EU en de verwerking houdt verband met het aanbieden van Unie-/lidstaatrechtelijke bepaling; anders is het niet toegestaan.
goederen of diensten dan wel het monitoren van gedrag in de EU). Stap 3. Minimale gegevensverwerking (art 5(1)(c)). Gegevens moeten toereikend, ter zake dienend en
beperkt tot het noodzakelijke zijn; noodzakelijkheid wordt strikt uitgelegd (Rīgas satiksme, C-13/16 [30]).
WK 3 — DE ACTOREN EN HUN KERNVERPLICHTINGEN
Stap 4. Juistheid (art 5(1)(d)). Gegevens moeten juist zijn ten opzichte van het doel en zo nodig worden
Stappenplan: wie is (gezamenlijk) verantwoordelijke en wie is verwerker?
geactualiseerd; onjuiste gegevens moeten onverwijld worden gewist of gerectificeerd (recht op rectificatie: art
Stap 1. Verwerkingsverantwoordelijke (art 4(7) AVG)? Is degene die het doel (waarom) en de wezenlijke
16).
middelen vaststelt (welke typen gegevens, hoelang, welke categorieën ontvangers en betrokkenen)
◦ Nowak [53]: Het beginsel geeft géén recht om foute examenantwoorden achteraf te "corrigeren", omdat
◦ EDPB Guidelines 07/2020: over niet-wezenlijke, praktische middelen (software, beveiliging, datacenter)
het doel is de kennis op de examendatum vast te leggen.
mag een verwerker beslissen
Stap 5. Opslagbeperking (art 5(1)(e)). Niet langer bewaren dan noodzakelijk voor het doel; stel wis- of
– Het begrip moet ruim worden uitgelegd om een "effectieve en volledige bescherming" van betrokkenen te
toetsingstermijnen vast (Ovw 39) en wis of anonimiseer de gegevens daarna.
waarborgen (Google Spain, C-131/12 [33]).
Stap 6. Integriteit en vertrouwelijkheid (art 5(1)(f)). Passende beveiliging tegen verlies en onbevoegde
– Feitelijke invloed volstaat: schriftelijke instructies zijn niet nodig — organiseren, coördineren en aanmoedigen
toegang; nader uitgewerkt in art 32.
van de verwerking is genoeg (Jehovan Todistajat) — en de verantwoordelijke hoeft zelf geen toegang tot de
Stap 7. Verantwoordingsplicht (art 5(2)). De verantwoordelijke moet de naleving van alle beginselen
persoonsgegevens te hebben (Wirtschaftsakademie, C-210/16: de beheerder van een Facebook-fanpagina
kunnen aantonen, bijvoorbeeld met documentatie, beleid en het register van art 30.
ontving alleen anonieme statistieken en was toch gezamenlijk verantwoordelijk).
– Discussie (Finck & Biega): machine learning versus minimalisatie en doelbinding: ML gedijt op veel data
Stap 2. Gezamenlijke verantwoordelijkheid (art 26 AVG)? Daarvan is sprake wanneer twee of meer
en hergebruik en is als "black box" moeilijk vooraf aan doelen te binden. Vóór minimalisatie pleiten overfitting
partijen samen de doelen en middelen bepalen; dat kan ook door convergerende besluiten in plaats van één
en federated learning (modellen werken vaak goed genoeg met minder data); ertegen pleit dat gevoelige
gezamenlijk besluit (Russmedia, C-492/23 [61]).
gegevens juist nodig kunnen zijn om bias tegen te gaan en dat minder data outliers en minderheden benadeelt.
– Toets per verwerkingsfase: een partij is alleen verantwoordelijk voor de fase waarvan zij doel en middelen
Daarnaast: vage normen, een handhavingstekort en een concurrentievoordeel voor grote bedrijven.
meebepaalt. Fashion ID was via de like-knop gezamenlijk verantwoordelijk voor het verzamelen en
doorzenden van bezoekersgegevens, maar niet voor de verdere verwerking door Facebook (Fashion ID, C-
40/17).
