Mag je nog persoonsgegevens analyseren?

Sinds 25 mei is de privacy van je klanten beschermd. Wil dat zeggen dat je nu moet stoppen met analyses van klantgegevens?

Er zijn nog veel manieren om klantgegevens te analyseren zonder de AVG te overtreden, er zijn wel wat zaken veranderd.

• Transparantie
  Je klanten moeten weten wat je met hun persoonsgegevens doet. Dat geldt ook voor analyses en onderzoek. Als het goed is heb je dat in je privacyverklaring beschreven.
• Doelbinding
  De term doelbinding behoort tot de kern van de AVG, de betekenis van de term is: "persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld en vervolgens niet op onverenigbare wijze verwerkt" Als analyses en onderzoek wordt gedaan binnen het kader waarvoor je de gegevens ontvangen hebt, dan is dit toegestaan.
• Verenigbaar
  Als je analyses of onderzoek qua doel verenigbaar zijn met het doel waarvoor de gegevens verkregen zijn, dan mag het.
• Niet persoonsgebonden analyses
  Gegevens zijn pas persoonsgegevens als ze te koppelen zijn of verwijzen naar een persoon. Als dat niet het geval is, zijn het gewone gegevens die niet onder de AVG vallen.

Het eerste punt is simpel, wees eerlijk en duidelijk richting je klanten over wat je met hun gegevens doet. Ongeacht de wet, je klanten en hun privacy respecteren is altijd belangrijk voor een goede relatie.

Doelbinding is een smal gebied, analyses van je verkopen zijn al snel niet meer doelgebonden. Gelukkig kent de AVG ook de term “verenigbaar” en dat geeft wat ruimte. Als je analyses of onderzoeken vallen onder “doelbinding” of “verenigbaar” moet je wel zorgvuldig te werk gaan. B.v. alleen de essentiële data in de analyse opnemen, zoveel mogelijk met anonieme data werken, data snel weer opschonen.

Gegevens zijn alleen persoonsgegevens als ze naar een unieke persoon verwijzen, of naar die persoon te herleiden zijn. Voor veel analyses is het volstrekt voldoende als je een anonieme versie van de gegevens gebruikt. Door de AVG is het verstandig (en deels verplicht) om de data anoniem toe te passen.

Anonimiseren is geen complexe taak, zorg dat in de data niets voorkomt dat de persoon identificeert. Hierbij is er wel een valkuil waarop je moet letten, de indirecte herleidbaarheid. Dat wil zeggen, in je data staat geen directe verwijzing naar de persoon. Maar omdat b.v. de groep klanten klein is kun je beredeneren over wie het gaat. Net als met roddels “je weet wel wie, hij heeft ….”, je noemt geen naam maar men snapt wie je bedoelt.

Als verwerkingen en analyses met technische middelen een juridisch gevolg voor je klant hebben dan worden de AVG regels wel streng. Dan val je onder de DPIA regels. Dat is, vanuit de klant gezien, ook maar goed zo.

Met een beperkt aantal maatregelen kun je dus nog steeds je klanten analyseren.