Welke gegevens vallen niet onder AVG?

De Algemene Verordening Gegevensbescherming (AVG) vormt de hoeksteen van de Europese privacywetgeving en is van toepassing op de verwerking van persoonsgegevens. Het is daarom cruciaal om te begrijpen wat de wet precies onder dit kernbegrip verstaat. Een persoonsgegeven is elke informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat de reikwijdte van de AVG bijzonder breed is, maar niet onbegrensd.

Er bestaan duidelijk afgebakende categorieën gegevens die buiten het toepassingsgebied van de verordening vallen. Deze uitzonderingen zijn niet gebaseerd op de gevoeligheid van de informatie, maar op de juridische status van de betrokkene of op het specifieke doel waarvoor de gegevens worden gebruikt. Wanneer gegevens niet onder de AVG vallen, betekent dit niet automatisch dat er geen regels van toepassing zijn; vaak gelden er andere wettelijke kaders.

Dit artikel geeft een overzicht van de belangrijkste gebieden waar de AVG expliciet niet van toepassing is. Het onderscheid maken tussen wat wel en niet onder de wet valt, is essentieel voor organisaties om hun compliance-inspanningen correct te richten en voor individuen om hun rechten te kennen. We kijken naar gegevens over overleden personen, anonieme informatie, bedrijfsgerelateerde contactgegevens en verwerkingen voor strikt persoonlijke of huishoudelijke activiteiten.

Persoonlijk en huishoudelijk gebruik van gegevens

De AVG is niet van toepassing op de verwerking van persoonsgegevens door een natuurlijke persoon voor louter persoonlijke of huishoudelijke activiteiten. Dit is een cruciale uitzondering, vastgelegd in artikel 2, lid 2, onder c.

Het gaat hier om activiteiten zonder enig verband met een professionele of commerciële bezigheid. Denk aan een privéadressenlijst voor vrienden en familie, persoonlijke foto's of video's waarin anderen herkenbaar zijn, of een huishoudelijk kasboek. Ook het delen van dergelijke gegevens binnen een besloten kring, zoals een familiegroep in een messaging-app, valt hier in beginsel onder.

De grens wordt echter overschreden zodra de verwerking een professioneel of commercieel doel krijgt. Het online plaatsen van persoonsgegevens met het oogmerk deze voor een onbepaalde kring toegankelijk te maken, bijvoorbeeld op een openbaar sociaal netwerk of een blog, valt doorgaans niet meer onder deze uitzondering. Evenmin geldt de uitzondering voor een zzp'er die klantgegevens verwerkt, ook al doet hij dat vanuit huis.

De reikwijdte van de uitzondering is beperkt. Het Europees Hof van Justitie heeft benadrukt dat zij alleen van toepassing is op activiteiten die, gezien hun aard en context, als puur persoonlijk of huishoudelijk kunnen worden beschouwd. Bij twijfel of bij grensoverschrijdend gebruik is de AVG wel degelijk van toepassing.

Gegevensverwerking voor nationale veiligheid en strafrecht

De Algemene Verordening Gegevensbescherming (AVG) is niet van toepassing op gegevensverwerking die valt onder het terrein van het gemeenschappelijk buitenlands en veiligheidsbeleid van de Europese Unie. Dit is een duidelijk afgebakende uitzondering op EU-niveau.

Voor de kernactiviteiten van nationale veiligheid en strafrechtelijk onderzoek heeft de AVG zelf een uitsluiting opgenomen in artikel 2, lid 2. Hierin staat dat de verordening niet geldt voor de verwerking van persoonsgegevens in het kader van activiteiten die vallen buiten de werkingssfeer van het Unierecht. Om deze cruciale gebieden toch te reguleren, heeft de EU een aparte richtlijn aangenomen: de Richtlijn (EU) 2016/680 (politierichtlijn).

Deze politierichtlijn is van toepassing op de verwerking van persoonsgegevens door competente autoriteiten met het oog op de preventie, het onderzoek, de opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen. Dit omvat dus politie, justitie en andere veiligheidsdiensten wanneer zij voor deze specifieke doelen handelen. De richtlijn biedt een aangepast kader met waarborgen, maar is soepeler dan de AVG waar dit noodzakelijk is voor het wettelijke doel.

Op nationaal niveau vult de Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg) dit kader verder in. Deze wetten specificeren onder welke voorwaarden en met welke beperkingen politie- en justitiële gegevens mogen worden verzameld, gebruikt en bewaard. Het gaat hier om een afzonderlijk, gespecialiseerd rechtsregime dat voorrang heeft op de algemene regels van de AVG voor deze domeinen.

Concreet vallen gegevensverwerkingen voor staatsveiligheid, contraterrorisme, signalen van inlichtingen- en veiligheidsdiensten en de uitvoering van strafrechtelijk onderzoek doorgaans buiten de directe reikwijdte van de AVG. Zij vallen onder de hierboven genoemde, specifieke wetgeving die een balans probeert te vinden tussen fundamentele rechten van individuen en de bescherming van de samenleving als geheel.

Veelgestelde vragen:

Vallen mijn persoonlijke aantekeningen of een adressenlijstje in mijn papieren agenda onder de AVG?

Nee, puur persoonlijke of huishoudelijke activiteiten vallen niet onder de reikwijdte van de AVG. Dit wordt de 'huishoudelijke exceptie' genoemd. De wet is van toepassing op gegevensverwerking door organisaties en ondernemingen, niet op privéhandelingen. Uw persoonlijke aantekeningen, een adressenboekje voor eigen gebruik, of familiefoto's in een album worden dus niet door de AVG beschermd. Dit verandert pas als u deze gegevens actief gaat delen of verwerken voor professionele of commerciële doeleinden. Let op: zodra u bijvoorbeeld een digitale tool gebruikt van een bedrijf (zoals een clouddienst of een app) om die aantekeningen bij te houden, verwerkt dat bedrijf mogelijk wél persoonsgegevens en is de AVG daarop wel van toepassing voor de verwerking door dat bedrijf.

Onze vereniging verzamelt statistieken over leden voor een jaarverslag. Moeten we hiervoor toestemming vragen volgens de AVG?

Voor anonieme statistieken is geen toestemming nodig. De AVG is niet van toepassing op gegevens die anoniem zijn. Het gaat erom dat de informatie niet meer naar een natuurlijk persoon kan worden herleid. Als uw vereniging gegevens zo aggregeert dat individuele leden niet meer identificeerbaar zijn (bijvoorbeeld: "60% van de leden is tussen de 30 en 50 jaar oud"), dan zijn dit geen persoonsgegevens meer. Het wordt anders als u in het verslag zou zeggen: "Jan Jansen fietste 500 kilometer tijdens de clubtocht." Dat is een persoonsgegeven. Voor statistisch of historisch onderzoek bestaan wel specifieke regels, maar vaak is een gerechtvaardigd belang een geschikte grondslag, mits de privacy zoveel mogelijk wordt beschermd.