Het gaat om gegevens zoals iemands naam, adres, woonplaats, telefoonnummer en geboortedatum. Maar ook bijvoorbeeld klantnummers, salarisstrookjes, foto's, zakelijke telefoonnummers, vingerafdrukken, dna-materiaal en e-mailadressen zijn persoonsgegevens.
Dit zijn gegevens over iemands ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gezondheidsgegevens en gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid.
Bij persoonsgegevens gaat het om alle informatie over een persoon. Ook gegevens die indirect iets over iemand zeggen, zijn persoonsgegevens.
Het tonen van honderden e-mailadressen in cc komt neer op het – zonder toestemming – delen van persoonsgegevens, en kan daarmee volgens de AVG-regels kwalificeren als een datalek, aldus algemene informatie op de website van de Autoriteit Persoonsgegevens (AP).
De meldplicht datalekken houdt in dat organisaties (zowel bedrijven als overheden) direct een melding moeten doen bij de Autoriteit Persoonsgegevens (AP) zodra zij een ernstig datalek hebben. En soms moeten zij het datalek ook melden aan de betrokkenen (de mensen van wie de persoonsgegevens zijn gelekt).
Have I been Pwned van beveiligings-onderzoeker Troy Hunt is de bekendste site voor het doorzoeken van gelekte gebruikersnamen en wachtwoorden. Na het invullen en verifiëren van je e-mailadres doorzoekt de website de inmiddels enorme database om je te laten zien of je slachtoffer bent geworden van datadiefstal.
Zowel het invoeren van een wachtwoord, het controleren van het wachtwoord, als het hashen van een wachtwoord betreft dus een verwerking van persoonsgegevens.
Het HvJ oordeelt dat een dynamisch IP-adres in beginsel geen gegeven is welke direct is te herleiden naar een persoon. Echter, is een persoonsgegeven in de zin van artikel 2 van de Privacyrichtlijn ook elk gegeven, waarmee een persoon indirect kan worden geïdentificeerd.
Onder indirecte persoonsgegevens vallen gegevens die niet rechtstreeks over de persoon gaan, zoals WOZ-waarde, kentekennummer, de winst van een eenmanszaak en het IP-adres van een computer.
Kortom: informatie die of direct over een persoon gaat, of informatie die naar een persoon te herleiden is. Naam en adres zijn voor de hand liggende persoonsgegevens, maar ook een kenteken of een IP-adres is een persoonsgegeven. Gegevens van overleden personen zijn geen persoonsgegevens volgens de AVG.
Bijzondere categorieën van persoonsgegevens (gevoelige persoonsgegevens) zijn de volgende persoonsgegevens: persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, het lidmaatschap van een vakbond, genetische gegevens, biometrische gegevens, gegevens ...
Naast 'gewone' persoonsgegevens zijn er ook bijzondere persoonsgegevens. Deze gaan bijvoorbeeld over iemands gezondheid, strafrechtelijke verleden of politieke voorkeur. Het is verboden om bijzondere persoonsgegevens te gebruiken, tenzij je een wettelijke uitzondering hebt.
Bescherming privacy bij gebruik persoonsgegevens
Iedereen mag organisaties op de naleving van de AVG aanspreken. De maximale boete is € 20 miljoen of 4% van de jaarlijkse wereldwijde omzet als het om een grote onderneming gaat.
Uitvoering van de overeenkomst
Denk bijvoorbeeld aan een webwinkel die een naam en adres nodig heeft om producten te kunnen leveren. Is het verwerken van de persoonsgegevens alleen maar handig, maar niet noodzakelijk, dan kan deze grondslag niet gebruikt worden.
De Algemene verordening gegevensbescherming (AVG) geeft aan dat een persoonsgegeven alle informatie is over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar deze persoon te herleiden is.
Andere gegevens, zoals een functie of een IP-adres, zijn op het eerste gezicht geen gegevens waar een natuurlijk persoon direct of indirect mee kan worden geïdentificeerd. Ook in zo'n geval kan er echter sprake zijn van een persoonsgegeven.
Voor iedereen die IP-adressen verwerkt, geldt dus dat ze persoonsgegevens zijn.
Juist als u aan consumenten en burgers e-mailt dan is de AVG van toepassing. Dit betekent dat e-mails geen persoonlijke informatie mogen bevatten. Wilt u toch persoonlijke informatie verzenden per e-mail? Dan moet u gebruik maken van veilige e-mails; AVG e-mails.
Informatie over iemands ras, politieke voorkeur, seksuele geaardheid, godsdienst en vakbondslidmaatschap hoort bijvoorbeeld niet thuis in het personeelsdossier. Ook is het verboden om medische gegevens op te nemen. De verslagen van functionerings- en beoordelingsgesprekken mag je in een personeelsdossier bewaren.
Een document vol persoonsgegevens als bijlage naar iemand anders e-mailen is niet volledig veilig. Daarom kun je bijlagen met grote hoeveelheden persoonlijke informatie het beste vergrendelen met een wachtwoord. Deel dat wachtwoord niet in de e-mail, maar bijvoorbeeld separaat per sms of telefoon.
Op haveibeenpwned.com kunt door simpelweg een e-mailadres of gebruikersnaam in te vullen achterhalen of u daar ook bij zit. De site voegt regelmatig de gegevens van nieuwe lekken toe. Daarom is het verstandig om hem zo nu en dan te bezoeken om te weten of u nog veilig bent.
Hiervoor hoef je alleen maar naar de HPI-website te gaan, je e-mailadres in te voeren en op de button "Check e-mail address!" te klikken. De tool geeft niet alleen antwoord op de vraag "Is mijn e-mail gehackt?", maar checkt ook of andere persoonlijke informatie online gepubliceerd of misbruikt is.
Hoe weet ik of ik gehackt ben? Controleer op https://haveibeenpwned.com/ of je e-mailadres of eventuele andere gegevens zijn buitgemaakt door hackers na een datalek. Check je recente bestanden. Ga naar Windows Verkenner en zie onder 'Snelle toegang' de lijst met bestanden die het laatst geopend zijn.