Zo houd je online controle
Je maakt een account aan voor een game en krijgt meteen de vraag om je geboortedatum, telefoonnummer, profielfoto en toegang tot je contacten te delen. Niet alles daarvan is automatisch nodig. Persoonsgegevens zijn alle gegevens waarmee iemand jou direct of indirect kan herkennen. Je naam en e-mailadres vallen daaronder, maar ook een foto, IP-adres, locatiegegevens, schoolnummer en online identificatie kunnen persoonsgegevens zijn.
Organisaties mogen zulke gegevens niet zomaar verzamelen. De privacywetgeving voor jongeren valt vooral onder de Algemene verordening gegevensbescherming, meestal afgekort tot AVG. Die wet geldt ook voor bedrijven, scholen, sportclubs en apps die gegevens van jou verwerken. Verwerken betekent bijvoorbeeld verzamelen, opslaan, bekijken, combineren, gebruiken of doorsturen.
Een organisatie moet een goede reden hebben
Voor iedere verwerking moet een organisatie een juridische grondslag hebben. Dat kan bijvoorbeeld toestemming zijn, maar ook de uitvoering van een overeenkomst, een wettelijke verplichting of een gerechtvaardigd belang. Een organisatie moet bovendien alleen gegevens gebruiken die nodig zijn voor een duidelijk doel. Een bezorgdienst heeft je adres nodig om een pakket te bezorgen, maar dat betekent niet automatisch dat zij jouw gegevens ook voor allerlei andere reclames mag gebruiken.
Je hoort begrijpelijke informatie te krijgen over de verwerking. In een privacyverklaring staat onder meer welke gegevens worden verzameld, waarom dat gebeurt, hoelang ze worden bewaard, met wie ze worden gedeeld en hoe je jouw rechten kunt uitoefenen. Een privacyverklaring mag juridisch zijn opgesteld, maar belangrijke informatie moet wel duidelijk en toegankelijk worden uitgelegd. Kun je niet begrijpen wat er met je gegevens gebeurt, vraag dan om uitleg voordat je toestemming geeft.
Toestemming geven is niet altijd verplicht
Toestemming moet vrijwillig, specifiek, geïnformeerd en duidelijk zijn. Een vooraf aangevinkt vakje of een vage knop als ‘doorgaan’ is meestal geen duidelijke toestemming. Je mag toestemming ook weer intrekken. Dat maakt eerdere verwerking niet automatisch onrechtmatig, maar vanaf het intrekken mag de organisatie de gegevens niet meer blijven gebruiken op basis van die toestemming.
Bij online diensten die rechtstreeks aan kinderen worden aangeboden, gelden extra regels. In Nederland is voor toestemming als juridische grondslag in beginsel ouderlijke toestemming nodig als iemand jonger is dan 16 jaar. Dat gaat niet over iedere verwerking en ook niet automatisch over alle accounts. Een organisatie kan bijvoorbeeld een wettelijke verplichting of een andere grondslag gebruiken. De leeftijdsgrens van een platform, zoals de minimumleeftijd voor een account, is daarnaast een aparte regel. Controleer daarom zowel de privacyverklaring als de gebruiksvoorwaarden.
Ouders of begeleiders kunnen helpen bij een privacyprobleem, maar jongeren hebben ook zelf rechten. Vanaf 16 jaar kun je in veel situaties zelfstandig contact opnemen over je gegevens. Ben je jonger, dan kan een ouder of voogd vaak helpen, maar de organisatie moet rekening houden met jouw belangen en begrijpelijk met je communiceren.
Je belangrijkste online rechten
Je kunt een organisatie vragen of zij persoonsgegevens van jou verwerkt. Dat heet het recht op inzage. Je mag dan meestal weten welke gegevens worden gebruikt, voor welk doel, hoe lang ze worden bewaard en met welke partijen ze zijn gedeeld. Je kunt ook om een kopie van de gegevens vragen. De organisatie mag eerst controleren of jij bent wie je zegt dat je bent.
Klopt een gegeven niet, dan kun je vragen om rectificatie. Denk aan een verkeerd telefoonnummer, een oude woonplaats of een fout in een leerlingdossier. Soms kun je ook vragen om persoonsgegevens te verwijderen. Dit wordt het recht op vergetelheid genoemd. Verwijderen is niet altijd verplicht. Een organisatie mag gegevens soms bewaren omdat de wet dat voorschrijft, omdat ze nodig zijn voor een juridische procedure of omdat er een andere geldige reden bestaat.
Je kunt daarnaast bezwaar maken tegen bepaalde verwerkingen, bijvoorbeeld tegen direct marketing. Krijg je steeds reclame via e-mail of sms, dan moet een organisatie jouw bezwaar tegen direct marketing in principe respecteren. Je kunt ook vragen om het gebruik van je gegevens tijdelijk te beperken, bijvoorbeeld wanneer je betwist dat de informatie klopt. Bij sommige digitale diensten bestaat het recht op dataportabiliteit. Je krijgt je gegevens dan in een bruikbaar formaat om ze naar een andere aanbieder mee te nemen, als aan de voorwaarden is voldaan.
Persoonsgegevens verwijderen in de praktijk
Wil je persoonsgegevens verwijderen, stuur dan een duidelijk verzoek naar de organisatie zelf. Gebruik het e-mailadres van de privacycontactpersoon, klantenservice of functionaris voor gegevensbescherming. Schrijf welke gegevens of welk account het betreft en vraag om bevestiging van de verwijdering. Bewaar je bericht en de reactie. Een organisatie moet meestal binnen één maand reageren. Bij een ingewikkeld of omvangrijk verzoek kan die termijn onder voorwaarden worden verlengd, maar daarover moet je worden geïnformeerd.
Een verzoek kan worden geweigerd of gedeeltelijk worden uitgevoerd. Vraag dan naar de reden en naar de wettelijke grondslag waarop de organisatie zich beroept. Soms worden gegevens niet volledig verwijderd, maar wel geanonimiseerd. Bij anonimiseren kan de informatie niet meer naar jou worden herleid. Alleen een account sluiten is trouwens niet altijd hetzelfde als alle persoonsgegevens wissen. Vraag daarom specifiek wat er met je gegevens, berichten, foto’s en back-ups gebeurt.
Een korte voorbeeldtekst helpt:
Onder verwijzing naar mijn privacyrechten vraag ik u om inzage in de persoonsgegevens die u van mij verwerkt. Ik verzoek u ook om de gegevens die niet langer nodig zijn te verwijderen. Graag ontvang ik binnen de wettelijke termijn een bevestiging en uitleg over de gegevens die eventueel moeten worden bewaard.
Privacy op sociale media
Een bericht verwijderen betekent niet automatisch dat niemand het meer kan zien. Iemand kan een screenshot hebben gemaakt, een foto hebben gedownload of de inhoud opnieuw hebben geplaatst. Toch kun je bij het platform een verwijderverzoek indienen. Voeg de exacte gebruikersnaam, link, datum en een duidelijke uitleg toe. Bij een foto of video waarop jij herkenbaar bent, kun je ook vragen om verwijdering van beeldmateriaal. De uitkomst hangt af van de omstandigheden, bijvoorbeeld de manier waarop de foto is gemaakt, jouw toestemming en de belangen van anderen.
Let extra op locatiegegevens, openbare profielfoto’s, tags en informatie over je school, werk of dagelijkse route. Zet je account zo veel mogelijk op privé, controleer oude berichten en verwijder apps die je niet meer gebruikt. Geef een app geen toegang tot je contacten of microfoon als die toegang niet nodig is. Bij bedreiging, online stalking of cyberpesten is alleen blokkeren niet altijd genoeg. Bewaar berichten, gebruikersnamen en tijdstippen voordat je iets verwijdert. Bij ernstige of aanhoudende situaties kunnen online stalking en cyberpesten aanleiding zijn om hulp te vragen aan school, een vertrouwenspersoon of de politie.
Bij seksuele beelden is snel hulp zoeken belangrijk. Deel het beeld niet verder en betaal niet wanneer iemand je afperst. Bewaar bewijs en vraag ondersteuning bij een ouder, vertrouwenspersoon, Centrum Seksueel Geweld of de politie. Bij vragen over het maken of verspreiden van naaktbeelden kunnen de regels rond sexting en het doorsturen van naaktfoto’s relevant zijn.
Wat doe je bij een privacyprobleem
Begin met de organisatie die jouw gegevens gebruikt. Beschrijf feitelijk wat er is gebeurd, welke gegevens het betreft en wat je wilt bereiken. Vraag bijvoorbeeld om inzage, correctie, verwijdering of stopzetting van reclame. Zet geen onnodige gevoelige informatie in je eerste bericht en gebruik bij voorkeur een officieel contactkanaal.
Reageert de organisatie niet binnen de termijn, weigert zij zonder duidelijke reden of vind je de uitleg onvoldoende, bewaar dan alle communicatie. Je kunt advies vragen aan het Juridisch Loket of een ouder, begeleider of vertrouwenspersoon inschakelen. Een klacht over een mogelijke overtreding van de AVG kun je indienen bij de Autoriteit Persoonsgegevens. De AP behandelt niet ieder individueel probleem direct en kan je eerst vragen om contact met de organisatie op te nemen. Toch kan een klacht passend zijn wanneer een organisatie jouw privacyrechten niet serieus neemt.
Maak vandaag een eenvoudige privacycheck. Bekijk bij je belangrijkste apps de privacyinstellingen, verwijder oude accounts en noteer welke organisatie jouw gegevens gebruikt. Heb je een concreet probleem, schrijf dan eerst op wat je wilt laten aanpassen of verwijderen. Met een helder verzoek, bewaard bewijs en hulp van de juiste instantie sta je een stuk sterker dan wanneer je alleen op ‘accepteren’ klikt.
