De nieuwe Europese privacywet – de Algemene Verordening Gegevensbescherming of AVG – stelt strenge regels aan de omgang met persoonsgegevens. In principe is altijd toestemming of een andere grondslag nodig, en vervolgens is alleen toegestaan wat onder die grondslag te rechtvaardigen is. Specifiek voor wetenschappelijk of statistisch onderzoek wordt het dan lastig: zelden wordt daar apart toestemming voor gevraagd. Betekent dit dan het einde van onderzoek en analyse?
De AVG kent het beginsel van doelbinding: gegevens mogen alleen worden gebruikt voor de doelen waarvoor ze zijn verkregen. Uw klantenbestand mag dus alleen worden gebruikt om die klanten hun producten te leveren. Heel formeel is een verkoopanalyse (wat verkocht goed, wat moeten we aanpassen) dan een probleem, want dat heeft niets meer te maken met de verkoop zelf.
Gelukkig is daarvoor ruimte wel ruimte onder de AVG. Doelen die ‘verenigbaar’ zijn met die oorspronkelijke doelen, zijn ook toegestaan. En daar hoeft dan niet apart toestemming voor te worden gevraagd. Die analyse is dus toegestaan, want analyseren van historische verkopen staat op één lijn met het verkopen zelf. Uiteraard moet u wel kunnen onderbouwen waarom twee dingen verenigbaar zijn, als u zich hierop beroept.
Expliciet staat daarbij in de wet dat wetenschappelijk en statistisch onderzoek aangemerkt worden als verenigbaar. Daar is dus geen argumentatie meer voor nodig. Wel moet u maatregelen nemen om te zorgen dat dit onderzoek zo netjes mogelijk gebeurt. U moet gegevens zo veel mogelijk anonimiseren en niet meer gegevens inzetten dan nodig zijn voor het onderzoek. Gegevens moeten ook zo snel mogelijk worden weggegooid.
U moet mensen wel informeren dat u dergelijk onderzoek gaat uitvoeren met hun gegevens. Dit kan bijvoorbeeld in de privacyverklaring gebeuren.
Deze uitzondering is overigens niet beperkt tot universiteiten of ander hoogwaardig wetenschappelijk werk. Een bedrijf mag gewoon statistisch onderzoek doen en de resultaten daarvan commercieel toepassen. Iets riskanter wordt het als u die uitkomsten gaat gebruiken om mensen op maat gesneden advertenties of promoties te doen, of erger nog mensen dingen gaat verplichten of verbieden. U komt dan namelijk in een ander gebied van de AVG terecht – de regels over profiling zijn streng. U moet dan een opt-out bieden voor deze activiteit, en besluitvorming moet te allen tijde door een mens gebeuren.
Wilt u concreet weten wat u precies moet doen onder de AVG? Teken dan nu in voor het handboek AVG Compliance in de praktijk dat in april 2018 verschijnt. Voor €39,95 krijgt u overzichtelijke adviezen en uitleg, met vele praktische voorbeelden, stappenplannen en standaardteksten. Een must voor iedere privacy professional.