Identificatie kan nodig zijn om de diensten en producten te kunnen leveren. Het gaat daarbij om klanten, medewerkers en (in sommige gevallen) relaties. Voorbeelden zijn de afdeling personeelszaken, ophaalpunten waar klanten zich moeten identificeren en relaties die alleen toegang krijgen na identificatie.
Het is niet altijd duidelijk of er verplicht moet of mag worden geïdentificeerd en zo ja, hoe er moet worden geïdentificeerd. Met als gevolg dat de identificatie niet op de juiste wijze plaatsvindt.
In de meeste bedrijven of organisaties moet ook nog op verschillende wijzen worden geïdentificeerd, omdat de wijze van identificeren wordt bepaald door de verschillende doelen (de diensten en goederen) die er zijn en voor wie het doel is (aan wie de dienst of het goed wordt geleverd).
Medewerkers worden op een andere wijze geïdentificeerd dan klanten, omdat het doel dat moet worden bereikt verschillend is. De identificatie van klanten kan per groep klanten verschillen, omdat de doelen verschillend kunnen zijn (de diensten en goederen die per groep worden geleverd).
Verplichte en niet-verplichte identificatie
Het is niet mogelijk om de wijze van identificeren zelf te kiezen. Er is een verplichte en een niet-verplichte identificatie. In het geval van een verplichte identificatie is voorgeschreven wanneer en hoe er moet worden geïdentificeerd. Medewerkers moeten verplicht worden geïdentificeerd bij het in dienst treden, door het maken van een kopie van het identiteitsbewijs. Bij inlening is er ook verplichte identificatie, maar weer op een andere wijze.
Bij een niet-verplichte identificatie moet gekozen worden voor een wijze van identificeren waarbij het minimaal benodigde aantal persoonsgegevens wordt verzameld, en alleen als die voor het bereiken van het doel nodig zijn en er een grondslag is waarom er gegevens mogen worden verzameld (een gegeven toestemming is bijvoorbeeld een grondslag).
Dat betekent niet dat er bij een niet-verplichte identificatie ook altijd mag worden geïdentificeerd. Als er geen doel is, mag er niet worden geïdentificeerd. Een klant die een product koopt in een winkel hoeft en mag ook niet worden geïdentificeerd, omdat er geen doel is.
Als de klant zich inschrijft voor acties en wil worden gemaild, is er een doel en mogen er persoonsgegevens worden verzameld, maar alleen als er een grondslag is op basis waarvan het mag. In dit geval kunnen er gegevens worden verzameld als de klant op de juiste wijze toestemming geeft.
Niet meer gegevens dan nodig
Als er mag worden geïdentificeerd, betekent dat ook niet dat er zomaar persoonsgegevens mogen worden verzameld. Alleen die gegevens mogen worden verzameld die nodig zijn om de klant uit het voorbeeld e-mails te kunnen sturen. Wat ook niet mag, is meer gegevens verzamelen dan nodig. Als er meerdere gegevens zijn waarmee het doel kan worden bereikt, moet daaruit het minimum aantal worden gekozen. Met minimum wordt bedoeld dat met minder gegevens het doel niet meer kan worden bereikt. En als er gekozen moet worden uit die gegevens, moeten de gegevens gekozen worden die voor de klant de minste gevolgen kunnen hebben als er bijvoorbeeld een datalek ontstaat.
De gekozen wijze van identificeren moet passen bij de benodigde persoonsgegevens. Bij het inloggen op een website van bijvoorbeeld een nieuwssite is het e-mailadres of de gebruikersnaam in combinatie met het wachtwoord voldoende en is er geen andere identificatie nodig. Bij het ophalen van een bestelling is inzage in een afgeschermd identiteitsbewijs voldoende, of het vastleggen van een paar gegevens.
Als kan worden geïdentificeerd zonder persoonsgegevens te verzamelen, heeft dat voordelen, omdat de eisen die de AVG stelt aan de verwerking van gegevens (waaronder het verzamelen) dan niet van toepassing zijn. De voorwaarden waaraan moet worden voldaan om te mogen of te moeten identificeren en de wijze waarop veranderen niet. Een voorbeeld is het vaststellen van de leeftijd bij de aankoop van goederen waarop een leeftijdsgrens van toepassing is; dat kan door inzage in het identiteitsbewijs met een minimaal aantal gegevens.
Afspraken per branche
Omdat de beperkingen bij de niet-verplichte identificatie problemen kunnen opleveren, zijn er voor een aantal branches en activiteiten afspraken gemaakt over de wijze van identificeren. Een voorbeeld is de autoverhuurbranche, waarin het is toegestaan om een kopie te maken van een afgeschermd identiteitsbewijs of om inzage te vragen. Dit is alleen ter voorkoming van diefstal. De gegevens (indien gekopieerd) moeten na afloop van de verhuur direct worden vernietigd. Deze categorie vormt de derde categorie.
Zo stel je vast hoe je moet identificeren
Aan de hand van de bovenstaande regels kan worden vastgesteld hoe er moet worden geïdentificeerd:
- Bepaal hoeveel verschillende doelen er zijn en welke groepen: klanten, medewerkers, ingeleende medewerkers, zzp’ers, vrijwilligers en bepaalde leveranciers.
- Bepaal voor welke van die doelen en groepen identificatie verplicht is, en de wijze waarop dat per doel en/of groep moet gebeuren.
- Stel vast voor welke doelen er geen identificatieplicht is, maar waarvoor wel afspraken zijn gemaakt over hoe mag worden geïdentificeerd (er is meer toegestaan).
- Voor de resterende doelen is er geen identificatieplicht en zijn er ook geen afspraken over gemaakt.
- Bepaal per doel wat er minimaal nodig is om dat doel te bereiken, en kies de persoonsgegevens die het minste gevolg kunnen hebben voor een persoon bij datalekken.
- Kies een wijze van identificeren die niet meer persoonsgegevens toont dan strikt noodzakelijk (zoals een afgeschermd identiteitsbewijs).
Zie https://landing.rendement.nl/avg-tool/ voor gedetailleerde complianceformulieren. Met deze AVG- en AVG Plus-tool kan voor elk doel en elke groep worden vastgesteld hoe op een correcte manier wordt geïdentificeerd. De AVG- en AVG Plus-tool maken een doorlopende controle op de AVG- en NIS2-compliance van het bedrijf of de organisatie mogelijk. In de AVG- en AVG Plus-tool is een ICT-check opgenomen voor de compliance met NIS2.
