Just do it: toestemming vragen

Direct vrijblijvend advies? Bel of mail 

+31 (0)70-3819281

info@wisemen.nl

Inleiding heath-apps

Zojuist publiceerde het College bescherming persoonsgegevens (Cbp) zijn onderzoek naar de verwerking van persoonsgegevens door Nike Inc (Nike). Naar aanleiding hiervan en de toenemende populariteit van health-apps, volgt hierbij een korte uiteenzetting over de verwerking van persoonsgegevens betreffende gezondheid en een analyse van het onderzoek van het Cbp. Ik besluit met enkele leerpunten uit het onderzoek.

Health-apps

Veel mensen gebruiken inmiddels een smartphone. Een smartphone heeft veel verschillende functies, waaronder de mogelijkheid om bij te houden wat de gebruiker precies luistert, waar de gebruiker is en wat de gebruiker precies voor informatie oproept met zijn telefoon. Maar daar stopt het natuurlijk niet. Eigenaars van smartphones kunnen ook zelf data in hun smartphone opslaan en analyseren. Hier spelen legio uitgevers van apps inmiddels op in.

Een belangrijk onderdeel van deze apps is gericht op het onderhouden van een bewuste en sportieve levensstijl. Zo is er het ‘Personal Body Plan’ voor een persoonlijk fitness-schema, helpt ‘MyFitnessPall’ je specifiek met het verliezen van gewicht en is er ‘Strava’ voor het bijhouden van je (wiel)renrondjes. Allemaal positieve apps die op het eerste gezicht niets anders ten doel hebben dan het bevorderen van de gezondheid van de gebruiker.

Data in een app

Wanneer data wordt opgeslagen in een bepaalde app, dient altijd bedacht te worden dat er op het moment van opslaan binnen een account ook vaak een verstrekking aan de eigenaar van de app plaatsvindt. Track je je wielrenrondje dan geef je dus veelal je locatiedata door aan Strava Inc.

Probeer je af te vallen, dan geef je gegevens over je gewicht en misschien wel eetgewoonten door. Gaat het om iemand die vecht tegen een zwaar overgewicht, dan kunnen deze gegevens iets zeggen over levensverwachting.

Hoewel niet iedere app deze gegevens zal verwerken is de toon hiermee naar ik meen wel gezet: bij het doorgeven van gegevens omtrent de gezondheid speelt het privacy-vraagstuk mee. Hoe zit dit eigenlijk?

Persoonsgegevens en bijzondere persoonsgegevens

De Wet bescherming persoonsgegevens (Wbp) geeft regels voor de verwerking van persoonsgegevens. Niet ieder gegeven is een persoonsgegeven. Een persoonsgegeven is gedefinieerd als

‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’.

Het moet dus echt gaan om iemand. Voorbeelden zijn namen en adressen van personen. Verwerking van deze gegevens mag plaatsvinden, als hier (onder andere) een wettelijke grondslag voor is aan te wijzen.

Bijzondere persoonsgegevens

De Wbp houdt verder nog de speciale categorie ‘bijzondere persoonsgegevens’ aan. Dit zijn ook persoonsgegevens, maar hebben door hun gevoelige aard een net iets andere status. Bijzondere persoonsgegevens zijn bijvoorbeeld gegevens over iemands

• geloof,
• politieke gezindheid of
• seksuele leven.

Onder deze categorie vallen ook de gegevens over iemands gezondheid. Dit soort bijzondere persoonsgegevens mogen niet zomaar door iedereen worden verwerkt. Sterker nog, in beginsel is het verboden. Natuurlijk zijn er wel mogelijkheden, opgenomen in de regels van paragraaf 2 van de Wbp.

Gegevens betreffende gezondheid

De genoemde tweede paragraaf van de Wbp geeft enkele uitzonderingen voor het verwerken van persoonsgegevens over iemands gezondheid.

Uitzonderingen

Een arts bijvoorbeeld, of een apotheek, mag wel gezondheidsgegevens verwerken. Zij vallen dan ook onder de uitzonderingen zoals genoemd in artikel 21 Wbp.

Uitdrukkelijke toestemming

Zijn deze categorieën niet van toepassing, dan kan mogelijk alsnog verwerking plaatsvinden op grond van het ‘algemene’ uitzonderingsartikel 23 Wbp. Dit artikel bepaalt dat ook bijzondere persoonsgegevens kunnen worden verwerkt, indien dit, bijvoorbeeld, geschiedt met uitdrukkelijke toestemming van de betrokkene, of de gegevens bijvoorbeeld door de betrokkene duidelijk openbaar zijn gemaakt.

Meerdere mogelijkheden dus, waarvan de uitdrukkelijke toestemming in dit verband de meest interessante is. Een uitdrukkelijke toestemming mag uiteraard niet zomaar worden verondersteld:

het dient te gaan om ‘een positieve gedraging, waaruit naar de geldende opvattingen in het maatschappelijk verkeer blijkt dat de wil gericht is op het verlenen van uitdrukkelijke toestemming.[1]

Wordt een dergelijke toestemming verkregen, dan kan verwerking van de gezondheidsgegevens in beginsel plaatsvinden (in beginsel, want alle andere vereisten van de Wbp dienen tevens te worden nageleefd).

Verwerking door Nike: bijzondere persoonsgegevens

Bij het toepassen van de regels uit de Wbp door het Cbp, leidt dit bij Nike tot een negatief oordeel.

Nike+ Running App

Het Cbp oordeelt eerst dat de Nike+ Running App (hierna: de app) bijzondere persoonsgegevens verwerkt. Het gaat dan vooral om het door de tijd heen meten en vastleggen van activiteiten van gebruikers waarmee de levensverwachting van deze gebruikers direct wordt beïnvloed.

Op basis hiervan kan namelijk iets gezegd worden over de conditie van de gebruiker.[2] Dit is een probleem, want, geeft het Cbp aan, het verwerken van gezondheidsgegevens brengt risico’s mee.

Het gaat dan bijvoorbeeld om het risico van ongelijke behandeling op basis van iemands vermeende of feitelijke gezondheidstoestand. Het Cbp geeft dan aan dat een ontheffing van het verbod op verwerking van deze gegevens in dit geval, mogelijk is indien de uitdrukkelijke toestemming van de gebruikers van de app wordt verkregen. Zoals gezegd moet het dan gaan om een positieve gedraging, gericht op het verlenen van toestemming.

Nike beschikt volgens het Cbp niet over deze uitdrukkelijke toestemming. Het Cbp geeft aan dat dit voornamelijk komt omdat de gebruikers van de app niet op een dergelijke wijze zijn geïnformeerd dat deze toestemming gegeven kon worden.[3] Nike beschikt dan ook niet over een grondslag om deze bijzondere persoonsgegevens te verwerken. Overigens heeft het Cbp ook over de verwerking van ‘gewone’ persoonsgegevens door geoordeeld dat deze niet voldoet aan de vereisten van de Wbp.[4]

Verbeteringen

Nike heeft naar aanleiding van het in 2014 gestarte onderzoek verbeteringen in het privacybeleid doorgevoerd. Ook is door het onderzoek heen te lezen dat Nike heeft meegewerkt met het onderzoek van Cbp en is een lijst gepubliceerd met verbeteringen voor in de toekomst. Het Cbp zal toezien op deze verbeteringen.

Tip: denk na over mogelijkheden met de verzamelde data

Het onderzoek geeft onder meer aan dat het Cbp oog heeft voor de mogelijkheden die bestaan op basis van de gegevens die worden verzameld, ook indien deze mogelijkheden niet worden benut door de verwerker van de gegevens.

In het onderzoek is bijvoorbeeld te lezen dat het Cbp wel constateert dat Nike geen vergelijkingen maakt per individuele gebruiker, maar dat Nike deze mogelijkheid technisch gezien wel heeft en dan bijvoorbeeld zou kunnen zien hoe de conditie van een individu zich verhoudt tot die van vergelijkbare personen.[5]

Dit zet aan tot nadenken welke mogelijkheden de verwerker heeft met de data die wordt verzameld, ook indien deze mogelijkheden niet direct behoren tot de doelen van een dataverwerking.

Privacy-statement

Daarnaast leert dit onderzoek andermaal hoe belangrijk een duidelijk en leesbaar privacy-statement is: informeer de betrokken personen over de manier waarop u met welke gegevens omgaat en geef zoveel informatie dat (uitdrukkelijke) toestemming kan worden gegeven.

Privacy-statement

Verwerkt u bijzondere persoonsgegevens, of heeft u bijvoorbeeld een privacy-statement nodig? Neem dan contact met ons op. 

^{_{[1] Kamerstukken II 1997 - 1998, 25 892, nr. 3 p. 67.}}

^{_{[2] College bescherming persoonsgegevens, Onderzoek naar de verwerking van persoonsgegevens in het kader van de Nike+ Running app door Nike inc., z2014-00859, Rapport definitieve bevindingen, november 2015, p. 65.}}

^{_{[3] Idem, p. 80.}}

^{_{[4] Idem, p. 79.}}

^{_{[5] Idem, p. 66.}}

Advies!

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. olaf@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!