Begrijpen van AVG Artikel 17: Het recht op wissen uitgelegd
Artikel 17 behandelt een van de belangrijkste aspecten van de EU en het VK GDPR wet – een ‘recht om vergeten te worden’ van betrokkenen, ook wel geschreven als het ‘recht op verwijdering.
Artikel 17 somt verschillende redenen op waarom een betrokkene mogelijk vergeten wil worden, samen met de verplichting van een organisatie om andere verwerkingsverantwoordelijken te informeren die mogelijk ook de gegevens van een betrokkene verwerken in overeenstemming met hun eigen activiteiten.
AVG Artikel 17 Wettelijke tekst
EU AVG-versie
Artikel 17 – Recht op wissing ('recht om vergeten te worden')
- De betrokkene heeft het recht om van de verwerkingsverantwoordelijke zonder onnodige vertraging de wissing van de hem of haar betreffende persoonsgegevens te verkrijgen, en de verwerkingsverantwoordelijke heeft de verplichting om persoonsgegevens zonder onnodige vertraging te wissen indien een van de volgende gronden van toepassing is:
- de persoonsgegevens zijn niet langer nodig in verband met de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
- de betrokkene trekt de toestemming in waarop de verwerking is gebaseerd overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), en er is geen andere rechtsgrond voor de verwerking;
- de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 1, en er zijn geen dwingende legitieme redenen voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
- de persoonsgegevens zijn onrechtmatig verwerkt;
- de persoonsgegevens moeten worden gewist om te voldoen aan een wettelijke verplichting krachtens het recht van de Unie of de lidstaten waaraan de verwerkingsverantwoordelijke onderworpen is;
- de persoonsgegevens zijn verzameld in verband met het aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
- Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en op grond van lid 1 verplicht is de persoonsgegevens te wissen, neemt de verwerkingsverantwoordelijke, rekening houdend met de beschikbare technologie en de implementatiekosten, redelijke stappen, waaronder technische maatregelen, om de voor de verwerking verantwoordelijken te informeren die bij het verwerken van de persoonsgegevens waarvoor de betrokkene heeft verzocht om verwijdering door dergelijke verwerkingsverantwoordelijken van eventuele links naar, of kopie of replicatie van, die persoonsgegevens.
- De leden 1 en 2 zijn niet van toepassing voor zover verwerking noodzakelijk is:
- voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
- voor de nakoming van een wettelijke verplichting die verwerking vereist krachtens het recht van de Unie of de lidstaten waaraan de verwerkingsverantwoordelijke onderworpen is, of voor de uitvoering van een taak die wordt uitgevoerd in het algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
- om redenen van openbaar belang op het gebied van de volksgezondheid overeenkomstig artikel 9, lid 2, onder h) en i), en artikel 9, lid 3;
- voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijke of historische onderzoeksdoeleinden of voor statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doelstellingen van dat recht onmogelijk dreigt te maken of ernstig in de weg kan staan verwerken; of
- voor het instellen, uitoefenen of verdedigen van rechtsvorderingen.
Britse AVG-versie
Artikel 17 – Recht op wissing ('recht om vergeten te worden')
- De betrokkene heeft het recht om van de verwerkingsverantwoordelijke zonder onnodige vertraging de wissing van de hem of haar betreffende persoonsgegevens te verkrijgen, en de verwerkingsverantwoordelijke heeft de verplichting om persoonsgegevens zonder onnodige vertraging te wissen indien een van de volgende gronden van toepassing is:
- de persoonsgegevens zijn niet langer nodig in verband met de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
- de betrokkene trekt de toestemming in waarop de verwerking is gebaseerd overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), en er is geen andere rechtsgrond voor de verwerking;
- de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 1, en er zijn geen dwingende legitieme redenen voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
- de persoonsgegevens zijn onrechtmatig verwerkt;
- de persoonsgegevens moeten worden gewist om te voldoen aan een wettelijke verplichting op grond van het nationale recht waaraan de verwerkingsverantwoordelijke onderworpen is;
- de persoonsgegevens zijn verzameld in verband met het aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.
- Wanneer de verwerkingsverantwoordelijke de persoonsgegevens openbaar heeft gemaakt en op grond van lid 1 verplicht is de persoonsgegevens te wissen, neemt de verwerkingsverantwoordelijke, rekening houdend met de beschikbare technologie en de implementatiekosten, redelijke stappen, waaronder technische maatregelen, om de voor de verwerking verantwoordelijken te informeren die bij het verwerken van de persoonsgegevens waarvoor de betrokkene heeft verzocht om verwijdering door dergelijke verwerkingsverantwoordelijken van eventuele links naar, of kopie of replicatie van, die persoonsgegevens.
- De leden 1 en 2 zijn niet van toepassing voor zover verwerking noodzakelijk is:
- voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
- voor de naleving van een wettelijke verplichting die verwerking vereist op grond van het nationale recht of voor de uitvoering van een taak die wordt uitgevoerd in het algemeen belang of in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
- om redenen van openbaar belang op het gebied van de volksgezondheid overeenkomstig artikel 9, lid 2, onder h) en i), en artikel 9, lid 3;
- voor archiveringsdoeleinden in het algemeen belang, voor wetenschappelijke of historische onderzoeksdoeleinden of voor statistische doeleinden overeenkomstig artikel 89, lid 1, voor zover het in lid 1 bedoelde recht de verwezenlijking van de doelstellingen van dat recht onmogelijk dreigt te maken of ernstig in de weg kan staan verwerken; of
- voor het instellen, uitoefenen of verdedigen van rechtsvorderingen.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Technisch commentaar
Betrokkenen kunnen geen algemeen recht uitoefenen om hun gegevens te laten wissen. Verzoeken moeten in overeenstemming zijn met een van de onderstaande wettelijke criteria:
- de gegevens zijn niet langer nodig voor de oorspronkelijke doeleinden;
- intrekking van toestemming (waarbij de gehele basis voor verwerking gebaseerd is op toestemming);
- een bezwaar tegen de verwerking, of het ontbreken van een legitieme reden voor verzameling en/of verwerking;
- onrechtmatige/illegale verwerking;
- het voldoen aan een andere wettelijke verplichting;
- kinderbeschermingsdoeleinden.
Als een organisatie om welke reden dan ook persoonlijke gegevens openbaar heeft gemaakt, moet zij 'redelijke stappen' ondernemen om andere verwerkingsverantwoordelijken – inclusief werknemers – en derden op de hoogte te stellen van de noodzaak om gegevens te wissen, zoals gevraagd door de betrokkene.
ISO 27701 clausule 7.2.2 en EU AVG artikel 17
In deze sectie praten we over AVG-artikelen 17 (3)(a), 17 (3)(b), 17 (3)(c), 17 (3)(d) en 17 (3)(e)
Een wettelijke basis identificeren
Om een te vormen gedocumenteerd rechtsgrondslag voor de verwerking van PII moeten organisaties in eerste instantie:
- toestemming vragen;
- een contract aangaan;
- voldoen aan eventuele andere wettelijke verplichtingen;
- de 'vitale belangen' van de PII-opdrachtgevers in kwestie beschermen;
- alleen taken uitvoeren die van algemeen belang zijn;
- ervoor te zorgen dat verwerkingsactiviteiten een legitiem belang vormen.
Organisaties moeten ook rekening houden met eventuele 'speciale categorieën' van PII die betrekking hebben op een gegevensclassificatieschema (zie ISO 27701 paragraaf 7.2.8).
Ondersteunende ISO 27701-clausules
- ISO 27701 7.2.8
Bevrijd jezelf van een berg spreadsheets
Integreer, breid uit en schaal uw compliance, zonder rommel. IO geeft u de veerkracht en het vertrouwen om veilig te groeien.
ISO 27701 clausule 7.3.5 en EU AVG artikel 17
In deze sectie praten we over AVG Artikelen 17 (1)(a), 17 (1)(b), 17 (1)(c), 17 (1)(d), 17 (1)(e), 17 ( 1)(f), 17 (2)
Mechanismen bieden om bezwaar te maken tegen de verwerking van PII
Wetten variëren van regio tot regio, maar jurisdicties bieden individuen vaak het recht om bezwaar te maken met betrekking tot de manier waarop hun gegevens worden verzameld, verwerkt en gedeeld.
In overeenstemming hiermee moeten organisaties:
- het vastleggen van eventuele wettelijke of regelgevende vereisten die betrekking hebben op specifieke bezwaren;
- individuen duidelijke, beknopte en gemakkelijk te begrijpen aanwijzingen geven over hoe zij bezwaar kunnen maken tegen het verzamelen, verwerken of delen van hun gegevens.
ISO 27701 clausule 8.3.1 en EU AVG artikel 17 (2)
Verplichtingen voor PII-opdrachtgevers
Organisaties moeten ervoor zorgen dat klanten de juiste middelen krijgen om aan hun (dat wil zeggen de organisatie) verplichtingen als PII-beheerder te voldoen, op drie belangrijke operationele gebieden:
- wetgevend;
- regelgevend;
- contractueel.
Index van gekoppelde EU AVG-artikelen en ISO 27701-clausules
| AVG-artikel | ISO 27701-clausule | ISO 27701 Ondersteunende clausules |
|---|---|---|
| EU AVG Artikelen 17 (3)(a) tot 17 (3)(e) | ISO 27701 7.2.2 | ISO 27701 7.2.8 |
| EU AVG Artikelen 17 (1)(a) tot 17 (2) | ISO 27701 7.3.5 | Geen |
| EU AVG Artikel 17 (2) | ISO 27701 8.3.1 | Geen |
Hoe ISMS.online helpt
De AVG wordt algemeen beschouwd als de strengste privacy- en veiligheidsregelgeving ter wereld, waarbij inbreuken resulteren in aanzienlijke boetes. Het kan dubbelzinnig zijn en voor interpretatie vatbaar, wat erop wijst dat organisaties een ‘redelijk’ beschermingsniveau voor persoonsgegevens moeten bieden.
Maar hier is het goede nieuws. ISMS.online maakt het gemakkelijk voor u om direct aan uw reis naar AVG-compliance te beginnen en eenvoudig een beschermingsniveau aan te tonen dat verder gaat dan 'redelijk', en dat alles op één veilige, altijd beschikbare locatie.
Het ISMS.online-platform heeft ingebouwde begeleiding bij elke stap, gecombineerd met onze 'Adopt, Adapt, Add'-implementatieaanpak, zodat de inspanning die nodig is om uw aanpak van de AVG aan te tonen aanzienlijk wordt verminderd. U profiteert ook van een reeks krachtige tijdbesparende functies.
Meer informatie via boek vandaag nog een korte demo.
