Per 25 mei 2018 is de nieuwe wet Algemene Verordening Gegevensbescherming (AVG) van kracht, deze wet vervangt de Wet Bescherming Persoonsgegevens. Met de AVG zijn de rechten van betrokkenen – personen waar persoonsgegevens van worden verwerkt – toegenomen. De wet heeft consequenties voor hoe we binnen de HU omgaan met persoonsgegevens en hoe wij deze gegevens verwerken. Dit geldt niet in de laatste plaats voor onderzoekers van de HU die veelal gebruikmaken van persoonsgegevens. Wat betekent de strengere Europese wetgeving voor hen?
“Denk na over waar je mee bezig bent”
De nieuwe wet stelt hoge eisen aan hoe organisaties omgaan met privacygevoelige informatie, zodat data op een veilige manier worden verwerkt. Dirk Jongkind en Frank Hepkema, projectmanagers bij Project en Proces Management (PPM) en projectleiders van het AVG-project leggen uit: “De AVG betekent dat we goed moeten nadenken over waar we mee bezig zijn. Zo is het voor onderzoekers bijvoorbeeld van belang om de verzamelde persoonsgegevens al te anonimiseren tijdens het verwerken. En als je persoonsgegevens vraagt, realiseer je dan dat het veel van jou vraagt om er op een verantwoorde, veilige manier mee om te gaan. Vraag dus niet meer gegevens dan je echt nodig hebt.”
Veilige onderzoekstools
Om persoonsgegevens te verzamelen voor onderzoek wordt binnen de HU wel eens gebruik gemaakt van online software. Jongkind: “Deze tools kunnen gratis zijn, maar voor niets gaat de zon op. We kunnen niet garanderen aan betrokkenen wat er precies met hun data gebeurt. Het is belangrijk om je af te vragen welke tools je gebruikt voor onderzoek.” Peter Paul Verhoef, manager IM-Onderzoek en Beroepspraktijk, vult aan: “Gebruik software die aangeraden wordt. Ik zou bijvoorbeeld liever software als LimeSurvey HU-breed willen integreren in onze dienstverlening.”
Verwerkingsregister voor persoonsgegevens
De invoering van de AVG brengt tevens meer administratie met zich mee. “De HU moet veel uitgebreider gaan registreren wat er gebeurt met persoonsgegevens. De duimschroeven worden steviger aangedraaid. Wordt in onderzoek gewerkt met persoonsgegevens, dan ben je verplicht om een verwerkingsregister bij te gaan houden. Op dit moment wordt een quick scan ontwikkelt waarmee onderzoekers inzichtelijk kunnen maken welke risico’s er mogelijk worden gelopen bij het verwerken van persoonsgegevens. Volgens Verhoef sluit dit goed aan bij het datamanagementplan dat onderzoekers kunnen opstellen voor ze beginnen met hun onderzoek. “De informatiespecialisten van de HU Bibliotheek kunnen hen hierbij helpen.”
Buitenlandse samenwerkingsverbanden
Ook voor samenwerkingen met buitenlandse onderwijsinstellingen of bedrijven heeft de AVG consequenties. Hepkema: “In landen buiten de Europese Unie geldt de AVG niet, daar gelden dus andere regels. Als we data uitwisselen met landen buiten de EU dienen we er afspraken over te maken of zelfs contracten over op te stellen. Hier moeten onderzoekers ook rekening mee houden.”
Zowel Jongkind, Hepkema als Verhoef concluderen dat het vooral een kwestie van bewustwording is. Hepkema: “Bedenk hoe je zelf zou willen dat er met je gegevens wordt omgegaan.” Verhoef besluit: “Het is met name van belang dat we samen met elkaar nadenken over hoe we het beste om kunnen gaan met privacygevoelige informatie. Vraag elkaar om raad als je ergens tegenaan loopt of twijfels hebt.”
Heb je vragen over de AVG-wet ten aanzien van jouw werkzaamheden, dan kun je contact opnemen met de functionaris gegevensbescherming Merijn Harms via merijn.harms@hu.nl.