AVG: hoe ben ik transparant ten aanzien van de betrokkenen van mijn onderzoek?

Het informeren van de personen wiens persoonsgegevens verwerkt worden (de betrokkenen) is één van de basisprincipes van de Algemene Verordening Gegevensbescherming (AVG) of General Data Protection Regulation (GDPR) (‘transparantie’).

Als onderzoeker is het jouw taak om informatie over jouw onderzoek te geven aan de betrokkenen in jouw onderzoek.

Elementen van transparantie

De informatie die je verstrekt moet aan de volgende voorschriften voldoen:

de informatie moet beknopt, transparant, begrijpelijk en gemakkelijk toegankelijk zijn;
er moet duidelijke en eenvoudige taal worden gebruikt. deze vereiste is extra belangrijk wanneer de informatie specifiek voor een minderjarige bestemd is
de informatie moet schriftelijk (met in begrip van elektronische middelen) worden verstrekt. in het kader van een onderzoeksproject kan je de informatie op verschillende manieren verstrekken, zoals via een privacyverklaring of een informatiebrief (die informatiebrief hoeven de betrokkenen niet te ondertekenen, maar je moet hem wel ter beschikking stellen)
indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld; en
de informatie moet over het algemeen kosteloos worden verstrekt.

Voor het verstrekken van die informatie aan de betrokkenen maakt de AVG een onderscheid tussen

de verwerking van persoonsgegevens die bij de betrokkene zelf verzameld worden, en
de verwerking van persoonsgegevens die niet van de betrokkenen zelf verkregen zijn.

Persoonsgegevens die rechtstreeks verzameld werden bij de betrokkenen

Als je de persoonsgegevens rechtstreeks bij de betrokkenen verzamelt aan de hand van bijvoorbeeld een interview, survey of vragenlijst (primaire verwerking), kan je de checklist in de bijlage hieronder (checklist_primair_NL) gebruiken zodat de betrokkenen op een gepaste manier en in lijn met de GDPR geïnformeerd worden.

Uitzondering

In het geval van primaire verwerking moet je de informatie niet voorzien wanneer de betrokkene al over de informatie beschikt. Het beginsel van de zelfverantwoordingsplicht vereist wel dat je aantoont (en documenteert in het AVG-register van de UGent) over welke informatie de betrokkene reeds beschikt, hoe en wanneer de betrokkene die heeft ontvangen en dat er sindsdien geen veranderingen hebben plaatsgevonden in de informatie die de informatie achterhaald maken.

Persoonsgegevens die niet rechtstreeks verzameld werden bij de betrokkenen

Als de persoonsgegevens die je gebruikt in je onderzoek niet rechtstreeks van de betrokkenen verzameld werden (secundaire/verdereverwerking), moet je hen hier eveneens van op de hoogte brengen. Daarnaast moet je hen ook informeren over de bron waar de persoonsgegevens vandaan komen.

Termijn

Die informatie moet je op een redelijke termijn verstrekken aan de betrokkenen:

uiterlijk één maand nadat de data verkregen werden;
uiterlijk op het moment van het eerste contact met de betrokkenen (indien gebruikt voor communicatie met betrokkenen);
indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt..

Uitzondering

In het geval van secundaire verwerking moet je de informatie niet voorzien wanneer:

de betrokkene al over de informatie beschikt; of
het verstrekken van de informatie onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog wetenschappelijk of historisch onderzoek, of de verwezenlijking van de doeleinden van de verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen.

Als je voor je onderzoek gebruikmaakt van een van deze twee uitzonderingen moet je steeds passende technische en organisatorische maatregelen nemen zoals het pseudonimiseren van de data en het openbaar maken van de informatie. Daarnaast moet je dat motiveren/documenteren in het AVG-register van de UGent.

Je kan de checklist in de bijlage hieronder (checklist_secundair_NL) gebruiken om je informatiebrief op te stellen.