Strengere regels persoonsgegevens

, 15 december 2017 09:00 | Axon Advocaten

Vanaf 25 mei volgend jaar gelden strengere regels voor persoonsgegevens die nodig zijn voor gepersonaliseerde voeding. Bij deze voeding stemmen producenten of onderzoeksinstellingen de specifieke behoeftes af op een persoon of doelgroep.

Gepersonaliseerde voeding ofwel personalised nutrition is in opkomst. Diverse onderzoeksinstellingen en fabrikanten van voedingsmiddelen zijn bezig met voeding die op een enkel individu is toegespitst, bijvoorbeeld op basis van genetisch materiaal of darmflora. Het kan ook gaan om een groep mensen: bijvoorbeeld voeding voor personen met een verhoogd risico op hart- en vaatziektes of diabetes.

Data

Bij een brede benadering van het thema gepersonaliseerde voeding valt daar ook beïnvloeding van leefstijl onder. Met behulp van draagbare technologie kunnen data, zoals het aantal stappen van de gebruiker, worden geregistreerd en verzonden. Vervolgens kan de gebruiker deze data en analyses inzien. Kortom, bij gepersonaliseerde voeding is er uitwisseling van data van de consument naar de producent van deze gepersonaliseerde voeding of naar een onderzoeksinstelling. Deze data bestaan uit persoonsgegevens, maar je kunt ook denken aan gegevens over urine faeces, bloed of ander lichaamsmateriaal.
De verwerking van al deze persoonsgegevens is nu gebonden aan de regels, vastgelegd in de Wet bescherming persoonsgegevens (Wbp). Er zijn echter belangrijke veranderingen op komst als de overgangsperiode van de Algemene Verordening Gegevensbescherming (AVG) per 25 mei 2018 afloopt. Deze veranderingen hebben een flinke impact op fabrikanten en gebruikers van gepersonaliseerde voeding.

Nieuw onder de AVG

Wat gaat er veranderen? Onder de AVG is de bescherming van natuurlijke personen bij de verwerking van persoonsgegevens als grondrecht geïmplementeerd. Hiermee wordt dit recht op gelijke hoogte gesteld als het recht op leven, het recht op lichamelijke en geestelijke integriteit en de eerbiediging van het privé- en gezinsleven zoals vastgelegd in het Handvest van de grondrechten van de Europese Unie. Dit is dus een serieuze zaak. Om dit grondrecht gestalte te geven, geldt het systeem privacy by desig’. Dat houdt in dat bij de ontwikkeling van nieuwe producten en diensten standaard privacyverhogende maatregelen moeten worden geïmplementeerd. Bovendien mogen voor het beoogde doel straks steeds zo min mogelijk persoonsgevens worden verwerkt.

Strengere vereisten voor toestemming

Ook de verwerking van persoonsgegevens door bedrijven wordt onder de AGV aan strengere regels gebonden. Een persoon mag bijvoorbeeld pas gevraagd worden faeces voor analyse af te staan als hij voldoende geïnformeerd is over wat er met de informatie gaat gebeuren en vervolgens op actieve wijze hiermee heeft ingestemd. Vooraf aangekruiste vakjes op een webformulier zijn hiervoor in ieder geval niet afdoende. Stel dat gegevens behalve voor analyse ook nog voor een ander doel worden gebruikt - bijvoorbeeld de ontwikkeling van een nieuw soort gepersonaliseerde voeding- dan moet hiervoor in principe ondubbelzinnig toestemming worden verkregen. Het bedrijf dat persoonsgegevens verwerkt -niet noodzakelijkerwijs hetzelfde als de producent van de gepersonaliseerde voeding- moet de verkregen toestemming bovendien afdoende documenteren en beveiligen. De Autoriteit Persoonsgegevens (AP) kan het bedrijf hier namelijk op aanspreken. Dit komt bijzonder nauw bij de verwerking van zogenoemde bijzondere persoonsgegevens. Onder de AVG zijn dit onder meer genetische en biometrische gegevens en gegevens over gezondheid. En dat zijn precies de categorieën die van belang zijn bij de ontwikkeling van gepersonaliseerde voeding.

Recht op vergetelheid

Privacy by design is ook verwerkt in de manier waarop het verantwoordelijke bedrijf de uitoefening van de rechten van individuen mogelijk moet maken. Onder de Wbp bestaat al het recht op inzage en correctie van persoonsgegevens. Onder de AVG komt daar nog het recht op overdraagbaarheid van persoonsgegevens (dataportabiliteit) bij en wordt het recht op gegevenswissing (recht op vergetelheid) nader uitgewerkt. Op basis van deze rechten kan een natuurlijk persoon van de verwerkingsverantwoordelijke vorderen dat zijn persoonsgegevens zonder onredelijke vertraging worden gewist. Bijvoorbeeld wanneer de persoonsgegevens niet langer nodig zijn voor het doel waarvoor ze zijn verzameld. Ook is dit mogelijk wanneer betrokkene zijn toestemming voor verwerking intrekt en daarvoor geen andere rechtsgrond bestaat.

Het recht op dataportabiliteit houdt in dat een natuurlijk persoon bij automatische verwerking van persoonsgegevens zijn gegevens kan opvragen, dan wel kan vragen dat deze gegevens aan een concurrent worden overgedragen om daar verder te kunnen worden verwerkt. Bedoelde gegevens moeten daartoe in een gestructureerde, gangbare en machineleesbare vorm worden aangeleverd. Doel van deze regeling is natuurlijke personen meer controle over hun persoonsgegevens te verschaffen. Bedrijven zullen hiertoe geschikte middelen moeten ontwikkelen zoals downloadtools of application programming interfaces.

Administratieve boetes

Bescherming van persoonsgegevens wordt onder de nieuwe regelgeving flink aangescherpt. Zo worden bijvoorbeeld heavy users van persoonsgegevens bij verwerking van genetische, biometrische of gezondheidsgegevens verplicht op voorhand een zogeheten data protection impact assessment uit te voeren. Ook wordt het voor dergelijke bedrijven verplicht een interne functionaris gegevensbescherming aan te stellen. Daarom moeten onderzoekers en producenten op het gebied van gepersonaliseerde voeding in hun businessmodel specifieke technische en organisatorische maatregelen inpassen die voldoen aan de nieuwe wettelijke verplichtingen. Dit is des te meer van belang nu de AP forse administratieve boetes kan opleggen bij schending van de wet. Afhankelijk van de aard van de overtreding kunnen die oplopen tot 20 miljoen euro of vier procent van de totale wereldwijde jaaromzet in het voorafgaande boekjaar.

Seminar

Axon Advocaten organiseert op 21 februari volgend jaar een seminar over dit onderwerp. Nadere informatie wordt binnenkort vermeld op www.axonadvocaten.nl

Auteur: Karin Verzijden, advocaat bij Axon Advocaten. Axon is Kennispartner van VMT.