Het gebruik van een zwarte lijst voor klanten, werknemers?
Waarom een zwarte lijst?
Een zwarte lijst is een register van personen waar u niets meer mee van doen wilt hebben. Het is een waarschuwings- of signaleringssysteem. Het kan hierbij gaan om werknemers die frauderen binnen uw organisatie. Het kan ook gaan om klanten, die diefstal plegen of hotelgasten of cafébezoekers die overlast veroorzaken richting de andere gasten. U wilt deze personen simpelweg niet meer binnen hebben. U kunt zo’n lijst alleen intern gebruiken, maar ook delen met andere organisaties of met andere sectoren. Let op. U dient hierbij wel altijd te voldoen aan de voorwaarden van de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Hoe groter de lijst, hoe strenger de voorwaarden.
Wat zijn de voorwaarden? Allereerst mag u alleen persoonsgegevens verwerken als u een grondslag heeft. De grondslag voor een zwarte lijst kan een gerechtvaardigd belang zijn. Hierbij zult u moeten aantonen dat de lijst noodzakelijk is en dat er geen minder ingrijpende manier is om uw doel te bereiken. Ook moet u aantonen dat uw belang hierin zwaarder weegt dan het privacybelang van de betrokkenen. U maakt een belangenafweging.
Betrokkene informeren. U slaat de persoonsgegevens op, dus u zult de betrokkenen hierover moeten informeren. Dit kan via uw privacyverklaring. Daarbij moet u ook beveiligingsmaatregelen nemen om de persoonsgegevens te beschermen en u dient een bewaartermijn vast te stellen. Na het verlopen van deze termijn, dient u de persoonsgegevens weg te gooien. Wellicht moet u ook een risicoanalyse uitvoeren op deze verwerking van persoonsgegevens, een zogeheten Data Protection Impact Assessment (DPIA).
Vergunningsplicht? Of u vergunningsplichtig bent, moet u zelf bepalen. Zolang de lijst voor intern gebruik is, mag u deze in ieder geval gebruiken zonder vergunning. Als u de lijst wilt delen met andere organisaties of sectoren en er staan geen strafrechtelijke gegevens op, dan is er geen vergunning nodig. Let op. De belangenafweging wordt wel zwaarder hier. U maakt immers een grotere inbreuk op de privacy van de betrokkenen.
Strafrechtelijke persoonsgegevens. Vaak staan er wel strafrechtelijke persoonsgegevens op de zwarte lijst, die u wilt delen met andere organisaties of in de eigen sector. Let op. In beginsel mag u zulke gegevens alleen op de lijst zetten onder toezicht van de overheid en als het is toegestaan door een wet. In dat geval moet u een vergunning aanvragen bij de Autoriteit Persoonsgegevens (AP). Hiervoor heeft u een protocol nodig waarin u beschrijft om welke gegevens het gaat en hoe u precies voldoet aan de eisen van de AVG en UAVG. Wilt u de zwarte lijst delen met andere sectoren, dan gelden er weer strengere eisen. De minimale normen hiervoor zijn terug te vinden in de Handreiking cross-sectorale gegevensdeling tussen private partijen van de AP.
De Handreiking cross-sectorale gegevensdeling tussen private partijen van de AP vindt u via https://www.tipsenadvies.nl , Download Zone, jaargang 31, nr. 8.
Iemand anders zijn lijst gebruiken
Als u zelf geen zwarte lijst heeft, maar u wilt wel gebruikmaken van een bestaande zwarte lijst met strafrechtelijke persoonsgegevens, dan zult u ook een vergunning voor uzelf moeten aanvragen. Dit geldt ook als u wilt deelnemen aan het collectief winkelverbod of de collectieve horecaontzegging. U kunt bij zo’n aanvraag gebruikmaken van de reeds bestaande modelprotocollen en model-DPIA’s.
Maak uw profiel aan om dit advies en vele andere adviezen te kunnen ontdekken.