Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel IV)

Deel III: wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens, doelbinding, proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie) 

Overzicht
1. Beperkingen op de transprantie- en informatieplichten in uitzonderlijke gevallen;
2. De uitzonderingsgronden in art. 41 Uitvoeringswet AVG (UAVG);
3. Behoefte aan rechtsvorming ten aanzien van art. 23 AVG;
3.1 Bureaucratie staat in de weg aan rechtsvorming en effectieve rechtsbescherming;
4. Specifieke gedragsregels van de Autoriteit Persoonsgegevens inzake de naleving van de AVG

1. Beperkingen op de transparantie- en informatieplichten in uitzonderlijke gevallen
In uitzonderlijke gevallen kunnen beperkingen worden aangebracht op de transparantie- en informatieverplichtingen van de verwerkingsverantwoordelijke, alsmede in uw recht van inzage, rectificatie en beperking van de verwerking van uw persoonsgegevens. De wezenlijke inhoud van de grondrechten van burgers mag door die beperking niet worden aangetast (art. 23 lid 1 AVG). 

De beperking moet een noodzakelijke en evenredige maatregel zijn ter waarborging van onder meer de nationale veiligheid, landsverdediging en openbare veiligheid (art. 23 lid 1 a-j AVG). Hoe de beperkingsgronden van art. 23 lid 1 AVG moeten worden ingevuld, is te vinden in punt 73 van de preambule. Onder de ‘bescherming van de openbare veiligheid’ moet voornamelijk worden verstaan de ‘bescherming van het menselijk leven’ en de ‘voorkoming van door de mens veroorzaakte rampen’. 

Maatregelen ter compensatie van de beperking van de transparantie- en informatieverplichtingen zijn opgenomen in art. 23 lid 2 AVG. Ten minste moeten de volgende maatregelen worden getroffen:
- de verwerkingsverantwoordelijke moet specifiek de doeleinden en categorieën van de verwerking aangeven;
- de categorieën van persoonsgegevens moeten worden omschreven;
- de verwerkingsverantwoordelijke en de categorieën van verwerkingsverantwoordelijken moeten worden gespecificeerd;
- de opslagperiodes moeten worden gespecificeerd;
- het recht van de betrokkene om van de beperking op de hoogte te worden gesteld, moet worden gewaarborgd.

2. De uitzonderingsgronden in art. 41 Uitvoeringswet AVG (UAVG)
De Nederlandse Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) gaat verder dan de beperkingen die op grond van de AVG kunnen worden gemaakt op de transparantie- en informatieverplichtingen. In art. 41 UAVG is namelijk bepaald dat de verwerkingsverantwoordelijke de rechten en plichten van art. 12 tot en met 21 en art. 34 AVG buiten toepassing kan laten, voor zover deze uitsluiting van het recht noodzakelijk en evenredig is ter waarborging van onder meer de nationale veiligheid, de openbare veiligheid en andere doelstellingen van algemeen belang (art. 41 lid 1 onder a-j UAVG). 

Het risico bestaat dat de verwerkingsverantwoordelijke de rechten en plichten van de AVG ten onrechte terzijde stelt met een beroep op ‘andere doelstellingen van algemeen belang’. Het is dan ook de vraag, of de uitsluiting van de transparantie- en informatieplichten in art. 41 lid 1 UAVG verenigbaar is met het doel en de strekking van de AVG. 

3. Behoefte aan rechtsvorming ten aanzien van art. 23 AVG
Ten aanzien van de uitleg van de beperkingsgronden van art. 23 AVG bestaat mijns inziens behoefte aan rechtsvorming. Raadpleging van de preambule van de AVG en Guideline WP260 rev.01 (11 april 2018, p. 33) verschaft niet voldoende duidelijkheid. Hoe moet bijvoorbeeld worden beoordeeld, of een beperking van de transparantieplicht een noodzakelijke en evenredige maatregel is ter waarborging van één van de belangen van art. 23 lid 1 AVG? Wat kan precies worden verstaan onder ‘andere belangrijke doelstellingen van algemeen belang, met name een belangrijk economisch of financieel belang’? Is het gerechtvaardigd dat een verwerkingsverantwoordelijke informatie achterhoudt voor de betrokkene om een niet-specifiek geduid financieel belang te waarborgen? Juist in het geval van de inzet van een instrument voor dataveillance/Big Data-analyse/profilering met een ‘black box’-karakter is dringend behoefte aan duidelijkheid over de toelaatbaarheid van beperkingen op grond van art. 23 AVG. 

3.1 Bureaucratie staat in de weg aan rechtsvorming en effectieve rechtsbescherming

Hoe kan rechtsvorming en bovenal effectieve rechtsbescherming worden bereikt? Bureaucratie is een rampzalig obstakel voor de burger. Het normenkader voor de bescherming van de rechten van de burger is weliswaar in de AVG opgenomen, maar de formele hindernissen staan in de weg aan de rechtsbescherming en rechtsvorming:

A. Rechtsvorming kan worden bereikt door een zaak bij het EHRM aan te brengen. Het probleem is dat eerst de nationale procedure dient te zijn uitgeput. In de praktijk zal het EHRM zich na gemiddeld 10 jaar over een kwestie buigen. Dat duurt te lang voor de burger die zich in zijn/haar belangen geschaad ziet;

B. Burgers kunnen zich in een gerechtelijke procedure laten vertegenwoordigen door een belangenbehartiger of individueel een procedure aanspannen, maar voor de beantwoording van een rechtsvraag zijn civiele procedures te omslachtig. Bovendien kunnen betrokkenen hun verdedigingsrechten door het 'black box'-karakter van heimelijke dataveillance/analyse/profilering niet uitoefenen. Mocht een betrokkene namelijk niet aan heimelijke dataveillance zijn onderworpen en bij gebrek aan duidelijkheid toch een proces aanspannen, dan moet de vordering worden afgewezen wegens gebrek aan procesbelang;

C. Het Europees Comité voor Gegevensbescherming/European Data Protection Board hoort zich bezig te houden met het uitvaardigen van adviezen en leidraden voor de invulling van de AVG. De overwegingen van het EDPB geven aan hoe lidstaten om moeten gaan met de rechten en plichten in de AVG. 

In mijn te optimistische verwachting dat het EDPB wellicht geïnteresseerd zou zijn in kwesties die direct de belangen en rechten van alle burgers raken, heb ik een rechtsvraag over de uitleg van de beperkingsgronden van art. 23 AVG voorgelegd aan het EDPB. Het EDPB heeft aangegeven aan geen antwoord te willen geven over de uitleg van art. 23 AVG en wijst mij weer terug naar Guideline WP29, waar ik zoals eerder gezegd niets aan heb ten aanzien van de uitleg van art. 23 AVG. Organisaties pretenderen zich in te zetten voor hun vakgebied, maar er is werkelijk bijna niemand te vinden die met enthousiasme in een belangrijke kwestie duikt. 'Dat is niet onze taak'. Als onderzoeker ben ik gewend om op onwelwillendheid te stuiten, maar ik blijf het gebrek aan interesse en daadkracht een ergernis vinden. Het gebrek aan daadkracht zorgt ervoor dat burgers in alle sectoren tegen een muur lopen;

D. Een laatste optie is om een rechtsvraag aan de Autoriteit Persoonsgegevens voor te leggen. Ik had mijn rechtsvraag aan het EDPB voorgelegd, omdat het EDPB een overkoepelende organisatie is en in tegenstelling tot een nationale toezichtsautoriteit, supranationale en meer geüniformeerde aanwijzingen kan geven over de invulling van de AVG. Dat neemt niet weg dat de AP (hiervoor het Cbp) gedragsregels kan uitvaardigen, die verwerkingsverantwoordelijken in acht hebben te nemen bij de verzameling, opslag en verwerking van persoonsgegevens.

4. Specifieke gedragsregels van de Autoriteit Persoonsgegevens inzake de naleving van de AVG
De stelling, dat de gedragsregels die door het College Bescherming Persoonsgegevens zijn uitgevaardigd vóór de inwerkingtreding van de AVG, niet langer gelding hebben, gaat niet op. De AVG waarborgt gelijke rechten en stelt gelijke verplichtingen die ook onder vigeur van de Wet bescherming persoonsgegevens golden, met dien verstande dat de AVG strikter is dan de Wbp. De volgende gedragsregels moeten door de verwerkingsverantwoordelijke worden nageleefd:

- Bestandsvergelijking gaat buiten de betrokkene om. Bij bestandsvergelijking voor het opmaken van risicoprofielen is de verwerkingsverantwoordelijke gehouden om zich naar de eisen van proportionaliteit en subsidiariteit te richten. Bestandsvergelijking in het kader van profilering moet een redelijk middel zijn in verhouding tot het te bereiken doel. De bestandvergelijking in het kader van profilering mag slechts worden aangewend, indien het doel niet op een andere, voor de persoonlijke levenssfeer van de betrokkene minder belastende wijze kan worden bereikt';
- De verwerkingsverantwoordelijke maakt met bestandsvergelijking een inbreuk op de persoonlijke levenssfeer van de betrokkene. De verwerkingsverantwoordelijke moet aannemelijk maken dat deze inbreuk gerechtvaardigd is. Aan de bestandsvergelijking die niet wettelijk is geregeld, moet een concrete verdenking van de betrokkene van fraude ten grondslag liggen;
- Zodra van een andere partij gegevens worden verkregen van de betrokkene, dient de betrokkene hierover te worden ingelicht;
- Persoonsgegevens die in de bestanden van de sociale diensten zijn opgenomen, mogen alleen worden verstrekt indien voor deze verstrekking een wettelijke grondslag bestaat. Het uitvoeren van een privacytoets (Privacy Impact Assessment) kan niet worden aangewend om de persoonsgegevens alsnog rechtmatig te verstrekken. Dezelfde beperkingen gelden voor intergemeentelijke afdelingen;
- Zijn in een fraudeonderzoek heimelijke waarnemingen verricht, dan dient de betrokkene hierover altijd te worden ingelicht. Een beperking van de informatieverplichtingen van de verwerkingsverantwoordelijke mag niet achteraf aan de betrokkene worden tegengeworpen;
- Het koppelen van bestanden is géén wettelijke verplichting, maar een mogelijkheid om de publiekrechtelijke taak uit te oefenen. De betrokkene dient over bestandskoppeling betreffende zijn persoonsgegevens altijd te worden ingelicht. De informatieverplichting achteraf is specifieker, omdat door de koppeling nieuwe persoonsgegevens zijn ontstaan;
- Bestandskoppeling houdt in dat persoonsgegevens worden gebruikt voor een ander doel dan waarvoor deze zijn verkregen. Bestandskoppeling moet verenigbaar zijn met het doelbindingsprincipe. Het gebruik van persoonsgegevens voor een ander doel is rechtmatig, indien bestandskoppeling noodzakelijk is voor de uitvoering van de publieke taak, armoedebestrijding.

Het 'black box'-karakter van geheime dataveillance & Big Data analyse en uw rechten (deel II)

Deel I: transparantie, uw concrete informatierechten en uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking 

Overzicht
1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering;
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming;
3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG)

1. Uw recht om niet te worden onderworpen aan geautomatiseerde verwerking en profilering

U hebt het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor u rechtsgevolgen zijn verbonden of dat u in aanmerkelijke mate treft (art. 22 AVG). 

De risicoprofielen die in SyRI worden opgemaakt vallen onder het bereik van art. 22 AVG. De verwerkingsverantwoordelijke kan slechts een gerechtvaardigd beroep doen op de uitzonderingen van art. 22 lid 2 AVG, indien de betrokkene toestemming heeft verleend of de betrokkene en de verwerkingsverantwoordelijke zulks zijn overeengekomen.

Een uitzondering is buiten die gevallen slechts mogelijk, indien een Unierechtelijke of lidstaatrechtelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is, voorziet in passende maatregelen ter bescherming van de rechten en gerechtvaardigde belangen van de betrokkene die door de profilering wordt getroffen. De verwerkingsverantwoordelijke is slechts gerechtigd om te profileren, indien daarvoor een specifieke wettelijke bevoegdheidsregeling wordt verleend én concrete maatregelen ter bescherming van de rechten van de geprofileerde in de van toepassing zijnde regeling zijn opgenomen. Het Europees Comité heeft aangegeven welke maatregelen minimaal moeten worden getroffen door de verwerkingsverantwoordelijke.
 
2. Het recht om zich te verzetten tegen profilering, ongeacht geautomatiseerde besluitvorming
Het recht van betrokkene om geïnformeerd te worden op grond van art. 13 of 14 AVG in samenhang met art. 5 lid 1 AVG moet aldus worden uitgelegd, dat de betrokkene door de verwerkingsverantwoordelijke moet worden geïnformeerd over het feit dat hij/zij aan profilering wordt onderworpen én dat de betrokkene het recht heeft om zich te verzetten tegen profilering, ongeacht of geautomatiseerde besluitvorming op basis van profilering plaatsvindt (punt 60 van de preambule van de AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17). 

Het recht van inzage (art. 15 AVG) houdt in dat de verwerkingsverantwoordelijke inzicht verschaft in de gegevens die als input zijn gebruikt om een profiel van de betrokkene op te maken; tevens dient de betrokkene toegang te hebben tot informatie over de hem betreffende profilering en de details van de categorisering waarin de betrokkene is ingedeeld. Uitzonderingen op deze concrete verplichtingen worden gemaakt voor zover het de handelsgeheimen en intellectuele eigendomsrechten van de verwerker betreft (Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 17).

  

3. 'Passende maatregelen' (appropriate safeguards) ter compensatie van de inbreuk op uw recht om niet geprofileerd te worden (art. 22 AVG) 
Het Europees Comité voor gegevensbescherming, European Data Protection Board, wijst op de gevaren die profilering met zich brengt. Fouten en/of bias in verzamelde en gedeelde data, alsmede fouten en bias in geautomatiseerde (besluitvormings)processen en instrumenten voor profilering resulteren in incorrecte classificaties en beoordelingen gebaseerd op inadequate projecties. De rechten en belangen van betrokkenen worden rechtstreeks getroffen. Het EDPB onderstreept de noodzaak tot transparantie. De betrokkene die aan geautomatiseerde besluitvorming of profilering is onderworpen, kan een beslissing slechts in twijfel trekken, als de verwerkingsverantwoordelijke inzichtelijk heeft gemaakt hoe de beslissing tot stand is gekomen en op welke basis de beslissing is gebaseerd. 

De verwerkingsverantwoordelijke is verplicht om de betrokkene specifieke informatie te verschaffen en te garanderen dat de betrokkene de besluitvorming in het kader van profilering aan kan vechten (punt 71 van de preambule AVG; Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 27). De verwerkingsverantwoordelijke is verplicht om de betrokkene: 

- te informeren over de activiteit waarvoor de data van de betrokkene worden verzameld en verwerkt;
- inzicht te verschaffen in de achterliggende logica van het instrument;
- uitleg te geven over de invloed op de belangen van en mogelijke gevolgen voor de betrokkene.

Het verschaffen van inzicht in de achterliggende instrument voor data-analyse, geautomatiseerde besluitvorming en profilering moet 'betekenisvol' zijn. Om te voorkomen dat de verwerker met onbegrijpelijke statistieken of berekeningen aan komt zetten om aan de plicht tot het verschaffen van inzicht in de logica te voldoen, heeft het EDPB aangegeven dat 'betekenisvolle informatie' over de toegepaste logica (algoritmen) onder meer betrekking heeft op:

- gegevens betreffende in het verleden geconstateerde fraude en betalingsachterstanden;
- de wijze van 'credit scoring': welke waarde wordt toegekend aan bepaalde gegevens, ofwel: in welke mate gegevens tot een bepaalde risicoscore leiden;
- officiële, publiekelijk bekende gegevens, zoals gegevens over insolventie en openbare gegevens over fraude;
- de garantie van de verwerkingsverantwoordelijke dat regelmatig wordt gecontroleerd en bewaakt dat de data-analyse en profilering eerlijk, adequaat en vrij van bias is.
(Guidelines on automated Individual decision-making and Profiling for the purposes of Regulation 2016/679, 6 feb. 2018, WP251rev.01, p. 24-26). 

In het volgende bericht, deel III, ga ik in op de wettelijke grondslag voor de rechtmatigheid van de verwerking van uw persoonsgegevens, de doelbindingseis en de eisen van proportionaliteit en subsidiariteit (noodzaak en dataminimalisatie)

Het 'black box'-karakter van geheime dataveillance & Big Data-analyse en uw rechten (deel I)

Het recht van de burger op informatie, inzage, rectificatie, wissing en verwerkingsbeperking, ongeacht het 'black box'-karakter van data-analyse en profilering
Voorstanders van geheime dataveillance voeren aan dat ongerichte dataveillance gerechtvaardigd is ten behoeve van de opsporing van fraude en delicten. De insteek van de discussie zou anders moeten zijn. Stel, u komt in de WIA na een arbeidsongeval en na afloop van de WIA ontvangt u een uitkering krachtens de Participatiewet. U hebt uw persoonsgegevens af moeten staan. Het overheidsorgaan laat uw gegevens verzamelen en verwerken zonder u daarvan op de hoogte te brengen. Volgens het overheidsorgaan is er een toereikende rechtsgrond voor de verzameling en verwerking van uw gegevens, omdat u een uitkering krachtens de Participatiewet ontvangt. Ontegenzeglijk hebt u uw gegevens niet afgestaan met de intentie dat instrumenten voor datamining en data-analyse zich een weg door uw persoonsgegevens banen. Als ik de pech heb dat ik een uitkering aan zou moeten vragen, dan geef ik mijn persoonlijke data niet af met het doel om deze over te leveren aan een inlichtingenbureau of een privaat bedrijfje in Big Data-analyse. Zamyatin heeft het goed ingezien: zoals hij in 1920 in zijn dystopische novel ‘Мы’ (‘Wij’) voorspelde, kan iedere seconde van het leven van de mens met behulp van kunstmatige intelligentie aan massasurveillance worden onderworpen.  
 

De discussie over de inzet van instrumenten zoals SyRI, Hansken, iColumbo, het systeem Alert en door privaatrechtelijke bedrijfjes ontwikkelde instrumenten voor data-analyse en datamining, zou betrekking moeten hebben op de effectiviteit waarmee iedere burger zijn of haar recht op eerbiediging van de persoonlijke levenssfeer kan uitoefenen. De discussie zou wat mij betreft dan ook niet uitsluitend op (discriminerende) algoritmen gericht  moeten zijn. Toegepaste voorspellende algoritmen zijn niet zo intelligent dat zij uit zichzelf onderscheid aan kunnen brengen. Dit technische gegeven maakt dat het voor de betrokkene dan ook niet interessant is om de 'black box'-problematiek te bestrijden door inzicht in de voorspellende algoritmen te eisen. Zou een overheidsorgaan aan die eis tegemoetkomen, dan krijgt de betrokkene waarschijnlijk een onbegrijpelijke statistiek te zien die hem niet meer inzicht verschaft over hoe de verwerkingsverantwoordelijke met zijn persoonsgegevens is omgegaan. Het resultaat zou daarmee alsnog niet voldoen aan de eis van transparantie bij de verstrekking van informatie aan de betrokkene als bedoeld in de Algemene Verordening Gegevensbescherming (art. 12 AVG).

In een vorig bericht, 'Datamining, Machine Learning en voorspellende algoritmen: hoe geschikt zijn deze methoden voor risicotaxatie?', constateerde ik dat algoritmen worden getraind met datasets die menselijke waardeoordelen van de opdrachtgever uitdrukken. Waar inzicht in de algoritmen van instrumenten als SyRI voor de betrokkene weinig zinvol zal zijn, wordt mijns inziens beter aangesloten bij de eisen van transparantie, informatie, toegang en inzage (artt. 12-15 AVG) door inzicht in de datasets en audit-logbestanden, alsmede in de uitvoering van het verplichte Privacy Impact Assessment (PIA) te verschaffen. Ik kom hier nog op terug. In het onderstaande bericht ga ik in op uw concrete informatierechten, uw recht van inzage, rectificatie en wissing, onverschillig het 'black box'-karakter van de verwerking van uw persoonsgegevens. 

Overzicht
Minimale vereisten voor dataverzameling, - verwerking en -analyse op grond van de AVG:
1. Transparantie;
2. Uw concrete informatierechten;
3. Uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking

Minimale vereisten voor dataverzameling, -verwerking en -analyse op grond van de AVG
1. Transparantie
Persoonsgegevens behoren op transparante wijze te worden verwerkt (art. 5 lid 1 sub a AVG). De verwerker dient de betrokkene in verband met de verwerking van persoonsgegevens op transparante, begrijpelijke en gemakkelijk toegankelijke wijze informatie te verschaffen (art. 12 AVG). Zoals ik heb opgemerkt, neemt het heimelijke karakter van op ‘black box’-principes gebaseerde systemen voor dataveillance en -analyse (waaronder SyRI en het voormalige Systeem Alert) niet weg dat de betrokkene zijn informatierecht effectief moet kunnen uitoefenen. Indien de persoonsgegevens bij de betrokkene zijn verzameld, is art. 13 AVG op de informatieplicht van toepassing; zijn de persoonsgegevens niet van de betrokkene verkregen, dan gelden dezelfde voorwaarden o.g.v. art.14 AVG. 

2. Uw concrete informatierechten
De verwerkingsverantwoordelijke dient de identiteit en contactgegevens van zichzelf en/of de vertegenwoordiger van de verwerkingsverantwoordelijke te verstrekken (art. 14 lid 1 onder a AVG). Dit betekent dat het overheidsorgaan als verwerkingsverantwoordelijke en de verwerker (een privaat bedrijf in data-analyse of het Inlichtingenbureau in Utrecht) de identiteit en contactgegevens behoren op te geven aan de betrokkene. 

De verwerkingsdoeleinden waarvoor de persoonsgegevens zijn bestemd en de rechtsgrond voor de verwerking dienen te worden verstrekt, evenals de categorieën van persoonsgegevens die zijn verzameld en verwerkt (art. 14 lid 1 onder c-d AVG). De persoon of instantie die de persoonsgegevens van de verwerker ontvangt, dient te worden vermeld (art. 14 lid 1 onder e AVG). De betrokkene moet worden geïnformeerd over de periode van de opslag van persoonsgegevens (art. 14 lid 2 onder a AVG). Roept de verwerkingsverantwoordelijke gerechtvaardigde belangen in als grond voor de rechtmatigheid van de verwerking (art. 6 lid 1 onder f AVG), dan moet over deze ‘gerechtvaardigde belangen’ informatie worden verstrekt (art. 14 lid 2 onder b AVG). 

De betrokkene heeft het recht op inzage en rectificatie van de persoonsgegevens. Ook kan de betrokkene om beperking van de verwerking van zijn persoonsgegevens verzoeken en bezwaar maken tegen de verwerking en overdracht van zijn persoonsgegevens (art. 14 lid 2 onder c AVG). Tegen de verwerking van persoonsgegevens moet een klacht kunnen worden ingediend bij de toezichthoudende autoriteit, de Autoriteit Persoonsgegevens (art. 14 lid 2 onder e AVG). De verwerkingsverantwoordelijke moet aangeven uit welke bronnen de persoonsgegevens afkomstig zijn, ook als het openbare bronnen betreft (art. 14 lid 2 onder f AVG). 

Relevant ten aanzien van systemen zoals SyRI is dat de betrokkene het recht heeft om geïnformeerd te worden over hem betreffende profilering. De verwerker is verplicht om informatie te verschaffen over het belang en de verwachte gevolgen van de profilering voor de betrokkene (art. 14 lid 2 onder g AVG). Is de verwerkingsverantwoordelijke voornemens om persoonsgegevens verder te verwerken voor een ander doel waarvoor de gegevens zijn verkregen, dan dient de betrokkene van nog vóór die verdere verwerking te worden geïnformeerd over het nieuwe doeleinde (art. 14 lid 4 AVG). 

3. Uw recht van inzage, rectificatie, wissing en beperking van gegevensverwerking
De hiervoor besproken transparantie- en informatieverplichtingen van de verwerkingsverantwoordelijke dienen de uitoefening van uw recht van inzage, wissing en beperking van de verwerking van uw persoonsgegevens mogelijk te maken. De betrokkene dient van de verwerkingsverantwoordelijke uitsluitsel te krijgen over de verwerking. Het recht van inzage houdt in, dat u geïnformeerd moet worden over de doeleinden van de verwerking, de betrokken categorieën van persoonsgegevens, de ontvangers aan wie uw gegevens zijn of zullen worden verstrekt en de periode van de opslag van uw gegevens (art. 15 lid 1 onder a-d AVG).

In het geval van profilering of geautomatiseerde besluitvorming, dient u te worden geïnformeerd over het belang en de gevolgen van de verwerking (art. 15 lid 1 onder h AVG). U hebt het recht om te verzoeken om rectificatie, wissing of beperking van de verwerking van uw gegevens en om bezwaar te maken (art. 15 lid 1 onder e AVG). U dient te worden geïnformeerd over de mogelijkheid om de Autoriteit Persoonsgegevens in te schakelen (art. 15 lid 1 onder f AVG). De verwerkingsverantwoordelijke moet aangeven uit welke bronnen de persoonsgegevens afkomstig zijn (art. 15 lid 1 onder g AVG). 

U hebt het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van onjuiste gegevens te verkrijgen; tevens dient de verwerkingsverantwoordelijke ervoor te zorgen dat uw persoonsgegevens volledig zijn. Indien u aanvulling verstrekt, moet de verwerkingsverantwoordelijke deze verwerken (art. 16 AVG). Voorts hebt u het recht om gegevenswissing in het kader van uw recht op vergetelheid te verzoeken bij de verwerkingsverantwoordelijke (art. 17 AVG).

U dient van de verwerkingsverantwoordelijke beperking van de verwerking van uw persoonsgegevens te verkrijgen, indien u de juistheid van uw gegevens betwist en de verwerkingsverantwoordelijke in staat wordt gesteld om de juistheid van uw gegevens te controleren, de verwerking onrechtmatig is, de verwerkte gegevens niet meer nodig zijn voor de verwerkingsdoeleinden of indien u op grond van art. 21 AVG bezwaar hebt gemaakt tegen de verwerking van uw gegevens (art. 18 lid 1 onder a-d AVG). 

In het volgende bericht, deel II, ga ik in op uw recht om niet geprofileerd te worden.