Bijzondere persoonsgegevens: extra streng beschermd
Sommige persoonsgegevens zijn zo gevoelig dat de AVG ze extra beschermt: gezondheid, ras, geloof, biometrie. Voor deze bijzondere persoonsgegevens geldt in principe een verwerkingsverbod. Dit artikel legt uit wanneer je ze toch mag verwerken.
Niet alle persoonsgegevens zijn even gevoelig. Je naam is iets anders dan je medische dossier, en je adres iets anders dan je geloofsovertuiging. De AVG erkent dat onderscheid en kent een aparte, strengere categorie: bijzondere persoonsgegevens. Voor deze gegevens geldt in principe een verbod om ze te verwerken, met enkele uitzonderingen.
Veel MKB-bedrijven verwerken zonder het te beseffen bijzondere persoonsgegevens, bijvoorbeeld een ziekmelding van een medewerker. Dit artikel legt uit welke gegevens onder deze categorie vallen, waarom ze extra beschermd zijn en wanneer je ze toch mag verwerken. Het bouwt voort op wat zijn persoonsgegevens.
Welke gegevens zijn bijzonder?
De AVG noemt een vaste lijst van bijzondere persoonsgegevens. Het gaat om gegevens die raken aan de kern van iemands identiteit of die bij misbruik tot discriminatie of grote schade kunnen leiden.
| Categorie | Voorbeeld |
|---|---|
| Gezondheid | Ziekte, behandeling, beperking |
| Ras of etnische afkomst | Herkomst |
| Religie of levensovertuiging | Geloof |
| Politieke opvatting | Partijvoorkeur |
| Seksuele geaardheid | Geaardheid, seksleven |
| Biometrie | Vingerafdruk, gezichtsherkenning |
| Lidmaatschap vakbond | Vakbondslidmaatschap |
Naast deze lijst gelden er aparte regels voor strafrechtelijke gegevens en het burgerservicenummer. De rode draad is dat het gaat om gegevens waarvan misbruik iemand onevenredig kan schaden. Daarom is de bescherming streng.
Waarom een verwerkingsverbod?
Voor bijzondere persoonsgegevens geldt het uitgangspunt dat je ze niet mag verwerken. Dat verbod bestaat omdat de gevolgen van misbruik veel groter zijn dan bij gewone gegevens. Het verbod is de hoofdregel, niet de uitzondering.
| Risico bij misbruik | Toelichting |
|---|---|
| Discriminatie | Op basis van afkomst of geloof |
| Uitsluiting | Bijvoorbeeld bij verzekering of werk |
| Stigmatisering | Rond gezondheid of geaardheid |
| Onomkeerbaar | Biometrie kun je niet wijzigen |
Vooral dat laatste maakt biometrie bijzonder gevoelig: een gelekt wachtwoord verander je, maar een gelekte vingerafdruk niet. Het strenge regime past bij die hogere risico's. Verwerk je bijzondere gegevens onrechtmatig, dan val je in de zwaarste boetecategorie, met een maximum van 20 miljoen euro of 4 procent van de omzet.
Wanneer mag het toch?
Het verbod kent uitzonderingen. In bepaalde gevallen mag je bijzondere persoonsgegevens wel verwerken, mits je aan strikte voorwaarden voldoet. Voor het MKB zijn een paar uitzonderingen relevant.
| Uitzondering | Voorbeeld in het MKB |
|---|---|
| Uitdrukkelijke toestemming | De betrokkene geeft expliciet akkoord |
| Wettelijke verplichting | Verzuimregistratie binnen de wet |
| Arbeidsrecht | Re-integratie van een zieke werknemer |
| Vitaal belang | Noodsituatie waarin het leven telt |
De meest voorkomende situatie in het MKB is rond ziekteverzuim. Een werkgever mag niet zomaar de aard van een ziekte vastleggen; alleen wat nodig is voor verzuim en re-integratie, en vaak via de bedrijfsarts. Zie ook digitaal arbeidsrecht. De uitzonderingen zijn strikt, dus leun er niet te makkelijk op.
Het voorbeeld van ziekteverzuim
Omdat ziekteverzuim het meest voorkomt, verdient het een aparte uitleg. Hier gaan in de praktijk veel dingen mis, omdat werkgevers meer vastleggen dan mag.
| Wel toegestaan | Niet toegestaan |
|---|---|
| Dat iemand ziek is | De aard van de ziekte |
| Verwachte duur | Medische details |
| Of het werk kan worden hervat | Diagnose |
| Beperkingen voor het werk | Behandelinformatie |
De vuistregel: registreer dat iemand ziek is en wat dat voor het werk betekent, maar niet waarom iemand ziek is. De medische details horen bij de bedrijfsarts, niet in je personeelssysteem. Wie zich hieraan houdt, voorkomt een veelgemaakte overtreding met bijzondere persoonsgegevens.
Bijzondere gegevens in cijfers
| Gegeven | Waarde |
|---|---|
| Hoofdregel | verwerkingsverbod |
| Categorieen bijzondere gegevens | 7 |
| Boete onrechtmatige verwerking | tot 20 miljoen euro of 4 procent omzet |
| Wanneer mogelijk DPIA nodig | bij hoog risico |
| Meldtermijn datalek | binnen 72 uur |
| Reactietermijn verzoeken | binnen 1 maand |
| Beoordeling van je verwerkingen | circa 8 uur |
De cijfers laten zien dat bijzondere persoonsgegevens vragen om extra zorgvuldigheid, maar dat de beoordeling overzichtelijk is: voor een MKB-bedrijf met 20 medewerkers kost het circa 8 uur om na te gaan of en waar je bijzondere gegevens verwerkt en of dat mag. Verwerk je ze op grote schaal of met hoog risico, dan kan een gegevensbeschermingseffectbeoordeling nodig zijn, zie DPIA uitvoeren. Tegenover een boete tot 20 miljoen euro of 4 procent van de omzet is die beoordeling een kleine investering.
Hoe je er veilig mee omgaat
Bijzondere persoonsgegevens vragen om een bewuste, terughoudende aanpak. Het uitgangspunt is: verwerk ze alleen als het echt moet, en dan zo beperkt mogelijk.
- Ga na of je ze verwerkt. Vaak gebeurt het onbewust, bijvoorbeeld bij verzuim.
- Zoek de uitzondering. Mag je ze verwerken, en op welke grond?
- Beperk tot het noodzakelijke. Leg alleen vast wat strikt nodig is.
- Beveilig extra. Geef deze gegevens striktere toegang en bescherming.
- Leg het vast. Noteer de grondslag en de uitzondering in je register.
Voor een MKB-bedrijf is dit goed te doen. De grootste winst zit in terughoudendheid: niet meer vastleggen dan nodig, en de medische details bij de bedrijfsarts laten.
Conclusie
Bijzondere persoonsgegevens, zoals gezondheid, ras, geloof en biometrie, zijn extra streng beschermd: de hoofdregel is een verwerkingsverbod, met strikte uitzonderingen. Voor het MKB speelt dit vooral rond ziekteverzuim, waar werkgevers vaak meer vastleggen dan mag. De vuistregel is om alleen te verwerken wat echt nodig is, en de medische details bij de bedrijfsarts te laten. Beoordeel in circa 8 uur of en waar je bijzondere gegevens verwerkt, want onrechtmatige verwerking valt in de zwaarste boetecategorie tot 20 miljoen euro of 4 procent van de omzet. Lees verder in wat zijn persoonsgegevens en AVG voor het MKB.
Waarom terughoudendheid loont
De rode draad bij bijzondere persoonsgegevens is terughoudendheid. Omdat de hoofdregel een verwerkingsverbod is, is de veiligste aanpak: verwerk ze alleen als het echt moet, en dan zo min mogelijk. Elk gevoelig gegeven dat je niet vastlegt, kan ook niet lekken of misbruikt worden.
| Aanpak | Effect |
|---|---|
| Niet verwerken tenzij nodig | Geen risico |
| Beperken tot het noodzakelijke | Klein risico |
| Medische details bij de bedrijfsarts | Buiten je systeem |
| Extra strikte toegang | Minder kans op misbruik |
Voor een MKB-bedrijf met 20 medewerkers speelt dit het vaakst rond ziekteverzuim. De beoordeling of je bijzondere gegevens verwerkt en of dat mag, kost circa 8 uur, en levert vaak op dat je minder mag vastleggen dan je dacht. Dat is geen beperking maar een bescherming: door alleen vast te leggen dat iemand ziek is en wat dat voor het werk betekent, blijf je binnen de regels.
De gevolgen van het negeren van deze regels zijn groot. Onrechtmatige verwerking van bijzondere gegevens valt in de zwaarste boetecategorie, met een maximum van 20 miljoen euro of 4 procent van de omzet. En omdat het om gevoelige gegevens gaat, weegt een datalek hier extra zwaar, met schade die voor een MKB-bedrijf al snel in de tienduizenden euro's loopt en bovendien veel reputatieschade. Herzie elke 12 maanden of je nog steeds alleen het noodzakelijke vastlegt, want gewoontes sluipen erin.
Concreet komt het hierop neer: besteed circa 8 uur aan de beoordeling of je bijzondere gegevens verwerkt, leg de grondslag en uitzondering vast, en herzie dat elke 12 maanden. Houd er rekening mee dat een datalek met bijzondere gegevens binnen 72 uur gemeld moet worden en dat verzoeken van betrokkenen binnen 1 maand afgehandeld moeten zijn, met een mogelijke verlenging van 2 maanden. Met die paar vaste punten beheers je de gevoeligste categorie persoonsgegevens, met boetes tot 20 miljoen euro of 4 procent van de omzet op de achtergrond.
Wie zich aan die paar regels houdt, met circa 8 uur beoordeling en circa 4 uur per maand bijhouden, beheerst de gevoeligste categorie zonder dat het een last wordt.
Veelgestelde vragen
Wat zijn bijzondere persoonsgegevens?
Gevoelige gegevens die de AVG extra beschermt: gezondheid, ras of etnische afkomst, religie, politieke opvatting, seksuele geaardheid, biometrie en vakbondslidmaatschap. Voor strafrechtelijke gegevens en het burgerservicenummer gelden aparte regels.
Mag ik bijzondere persoonsgegevens verwerken?
In principe niet; de hoofdregel is een verwerkingsverbod. Alleen onder strikte uitzonderingen mag het, zoals uitdrukkelijke toestemming, een wettelijke verplichting of in het kader van arbeidsrecht.
Mag ik de ziekte van een werknemer vastleggen?
Je mag vastleggen dat iemand ziek is en wat dat voor het werk betekent, maar niet de aard van de ziekte of medische details. Die horen bij de bedrijfsarts, niet in je personeelssysteem.
Waarom is biometrie zo gevoelig?
Omdat biometrie onomkeerbaar is. Een gelekt wachtwoord verander je, maar een gelekte vingerafdruk niet. Daarom geldt voor biometrische gegevens een streng beschermingsregime.
Wat als ik ze onrechtmatig verwerk?
Dan val je in de zwaarste boetecategorie, met een maximum van 20 miljoen euro of 4 procent van de omzet. Beoordeel daarom zorgvuldig of en op welke grond je bijzondere gegevens verwerkt.
Dit artikel is informatief en geen juridisch advies op maat. Voor je eigen situatie raadpleeg je een gespecialiseerde adviseur of de Autoriteit Persoonsgegevens.