Maar als het dan toch tot een discussie komt, kan het juistheidsbeginsel ook nog worden gebruikt. Reken maar eens uit hoeveel moeite (geld) het gaat kosten om te zorgen dat een persoonsgegevens verzameling juist blijft.
Het was al aangekondigd, de volgende artikel gaat over bewaartermijnen. Of in de termen van de AVG, opslagbeperking. Een persoonsgegeven mag alleen worden bewaard als identificeerbaar gegeven, voor zolang als het nodig is voor de doeleinden waarvoor het verzameld is.
Het is dus wel mogelijk om, als de gegevens geanonimiseerd kunnen worden en daarmee dus niet meer als direct of indirect identificatie van een persoon mogelijk maken, de gegevens langer te bewaren. Ook hier zijn trouwens weer uitzonderingen op: archivering, algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden.
Het opstellen van bewaartermijnen is in mijn ervaring een van de grotere uitdagingen ook nog nu de AVG al twee jaar in werking is getreden. Het betekent namelijk ook nogal wat in de daadwerkelijke verwerking.
Een voorbeeld uit de praktijk: er wordt met behulp van elektronische formulieren gegevens ontvangen. Voor het proces waar deze gegevens in gebruikt worden is het nodig dat de melders kunnen worden benaderd. Dus naast naam en melding worden ook contactgegevens gevraagd (telefoon, adres).
De melding wordt verwerkt, er wordt contact opgenomen met de melder en de melding wordt gearchiveerd ten bate van statistiek en het interne leerproces. Artikel 5 sub e, geeft dus aan dat als de melding is verwerkt, de gegevens van de melder niet meer relevant zijn (het doel van die gegevens is geëindigd). Maar als dit in een record in een database wordt vastgelegd, hoe kunnen we dan naam en contactgegevens verwijderen? Als dit niet van tevoren is geregeld dan komt er dus na verloop van tijd een grote database met gegevens die niet meer onder een rechtmatige verwerking vallen.