AVG compliance: onderzoek en analyse onder de AVG, wat mag? (7/20)

De nieuwe Europese privacwet – de Algemene Verordening Gegevensbescherming of AVG – stelt strenge regels aan de omgang met persoonsgegevens. In principe is altijd toestemming of een andere grondslag nodig, en vervolgens is alleen toegestaan wat onder die grondslag te rechtvaardigen is. Specifiek voor wetenschappelijk of statistisch onderzoek wordt het dan lastig: zelden wordt daar apart toestemming voor gevraagd. Betekent dit dan het einde van onderzoek en analyse?

De AVG kent het beginsel van doelbinding: gegevens mogen alleen worden gebruikt voor de doelen waarvoor ze zijn verkregen. Uw klantenbestand mag dus alleen worden gebruikt om die klanten hun producten te leveren. Heel formeel is een verkoopanalyse (wat verkocht goed, wat moeten we aanpassen) dan een probleem, want dat heeft niets meer te maken met de verkoop zelf.

Gelukkig is daarvoor wel ruimte onder de AVG. Doelen die ‘verenigbaar’ zijn met die oorspronkelijke doelen, zijn ook toegestaan. En daar hoeft dan niet apart toestemming voor te worden gevraagd. Die analyse is dus toegestaan, want analyseren van historische verkopen staat op één lijn met het verkopen zelf. Uiteraard moet u wel kunnen onderbouwen waarom twee dingen verenigbaar zijn, als u zich hierop beroept.

Expliciet staat daarbij in de wet dat wetenschappelijk en statistisch onderzoek aangemerkt worden als verenigbaar. Daar is dus geen argumentatie meer voor nodig. Wel moet u maatregelen nemen om te zorgen dat dit onderzoek zo netjes mogelijk gebeurt. U moet gegevens zo veel mogelijk anonimiseren en niet meer gegevens inzetten dan nodig zijn voor het onderzoek. Gegevens moeten ook zo snel mogelijk worden weggegooid.

U moet mensen wel informeren dat u dergelijk onderzoek gaat uitvoeren met hun gegevens. Dit kan bijvoorbeeld in de privacyverklaring gebeuren.

Deze uitzondering is overigens niet beperkt tot universiteiten of ander hoogwaardig wetenschappelijk werk. Een bedrijf mag gewoon statistisch onderzoek doen en de resultaten daarvan commercieel toepassen. Iets riskanter wordt het als u die uitkomsten gaat gebruiken om mensen op maat gesneden advertenties of promoties te doen, of erger nog, mensen dingen gaat verplichten of verbieden. U komt dan namelijk in een ander gebied van de AVG terecht – de regels over profiling zijn streng. U moet dan een opt-out bieden voor deze activiteit, en besluitvorming op basis van deze profielen moet te allen tijde door een mens gebeuren.

Dit artikel is tot stand gekomen in samenwerking met PrivacyBlox en Arnoud Engelfriet, en is onderdeel van een twintigdelige blogreeks ter voorbereiding op de Algemene Verordening Gegevensbescherming.