Is het gebruik van ‘echte’ persoonsgegevens in een testomgeving toegestaan?

27/10/2022 - Mag een organisatie zonder toestemming van de betrokkenen persoonsgegevens in een testomgeving gebruiken om fouten te herstellen? Over deze vraag liet het Hof van Justitie van de Europese Unie zich op 20 oktober 2022 uit.  

Wat was er aan de hand?  

Digi, een van de belangrijkste aanbieders van internet- en televisiediensten in Hongarije, zette een zogenaamde “testdatabase” op nadat een technische storing de werking van een server aantastte. Zij kopieerde de persoonsgegevens van particuliere klanten naar deze database. Ongeveer anderhalf jaar later wist een ethische hacker zich toegang te verschaffen tot de testdatabase en meldde dat bij Digi. Daarop besloot Digi om de database te wissen en maakte zij melding van een datalek bij de Hongaarse privacy toezichthouder.  

De toezichthouder vond dat Digi de beginselen van opslagbeperking en doelbinding had geschonden, doordat zij de testdatabase na de uitvoering van de nodige tests en oplossing van de problemen niet onmiddellijk had gewist. Hierdoor werd een groot aantal in de testdatabase opgeslagen persoonsgegevens bijna anderhalf jaar lang zonder doel bewaard in een bestand waarmee de betrokkenen in kwestie konden worden geïdentificeerd. Digi kreeg daarom een boete opgelegd van omgerekend ongeveer EUR 248.000,- 

Digi vocht de boete aan bij de Hongaarse rechter, die op haar beurt besloot om prejudiciële vragen aan het Hof van Justitie van de Europese Unie (‘Hof’) te stellen over de beginselen van doelbinding en opslagbeperking. Deze beginselen zijn opgenomen in artikel 5 van de Algemene Verordening Gegevensbescherming (‘AVG’)  

Wat oordeelde het Hof?  

Doelbinding  

Het Hof beoordeelt eerst of het beginsel van doelbinding zich ertegen verzet dat de verwerkingsverantwoordelijke (in deze zaak: ‘Digi’) in een voor het uitvoeren van tests en herstellen van fouten opgezette database persoonsgegevens vastlegt en opslaat, die eerder in een andere database zijn verzameld en opgeslagen.  

Bij de beantwoording van deze vraag stelt het Hof vast dat Digi de persoonsgegevens van haar particuliere klanten aanvankelijk verzamelde om abonnementsovereenkomsten af te sluiten en uit te voeren. De testdatabase werd vervolgens door Digi opgezet voor een ander doel, namelijk het uitvoeren van tests om fouten te kunnen herstellen (ook wel een ‘verdere verwerking’ genoemd). De juridische vraag die voorligt is of deze verdere verwerking verenigbaar is met de doeleinden van de aanvankelijke gegevensverzameling, namelijk het afsluiten en uitvoeren van abonnementsovereenkomsten. 

Het Hof vindt de doeleinden verenigbaar en verwijst in dit verband onder meer naar de criteria die zijn opgenomen in artikel 6 lid 4 van de AVG. In het licht van die criteria merkt het Hof op dat het uitvoeren van tests en het herstellen van fouten in het abonneebestand concreet verband houdt met de uitvoering van abonnementsovereenkomsten van particuliere klanten. Zulke fouten kunnen namelijk negatieve gevolgen hebben voor de contractueel overeengekomen dienst, waarvoor de gegevens aanvankelijk zijn verzameld. Deze verwerking wijkt volgens het Hof niet af van de legitieme verwachtingen van Digi’s klanten met betrekking tot het latere gebruik van hun persoonsgegevens.  

Opslagbeperking 

De tweede vraag die het Hof beantwoordt is of de opslag van persoonsgegevens van klanten in een testdatabase verenigbaar is met het beginsel van opslagbeperking. Dit betekent dat de verwerkingsverantwoordelijke (in deze zaak: Digi) moet kunnen aantonen dat de persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de verwezenlijking van de doeleinden waarvoor deze oorspronkelijk zijn verzameld of nadien zijn verwerkt.  

Het Hof oordeelt dat Digi in strijd heeft gehandeld met het beginsel van opslagbeperking, omdat Digi heeft aangegeven dat de in de testdatabase opgeslagen persoonsgegevens van sommige van haar particuliere klanten na de uitvoering van de tests en het herstellen van de fouten als gevolg van onoplettendheid niet zijn gewist. De persoonsgegevens zijn kortom langer bewaard dan noodzakelijk om de tests uit te voeren en fouten te herstellen.  

Conclusie 

Of het gebruik van persoonsgegevens zonder toestemming van betrokkenen is toegestaan hangt dus af van de omstandigheden van het geval. Daarbij moet in elk geval worden getoetst of het beginsel van doelbinding zich daartegen verzet. In dat kader moet een organisatie onder meer rekening houden met:  

• ieder verband tussen de doeleinden waarvoor de persoonsgegevens zijn verzameld, en de doeleinden van de voorgenomen verdere verwerking;  
• het kader waarin de persoonsgegevens zijn verzameld, met name wat de verhouding tussen de betrokkenen en de verwerkingsverantwoordelijke betreft; 
• de aard van de persoonsgegevens, met name of bijzondere categorieën van persoonsgegevens worden verwerkt en of persoonsgegevens over strafrechtelijke veroordelingen en strafbare feiten worden verwerkt; 
• de mogelijke gevolgen van de voorgenomen verdere verwerking voor de betrokkenen; en 
• het bestaan van passende waarborgen, waaronder eventueel versleuteling of pseudonimisering. 

Komt u op basis van deze criteria tot de conclusie dat het gebruik van “echte” persoonsgegevens verenigbaar is met het oorspronkelijke doel van gegevensverzameling? Dan betekent dat nog niet dat het verstandig is om ook daadwerkelijk persoonsgegevens te gaan gebruiken in een testomgeving. Deze zaak is daarvan een goed voorbeeld. Digi vergat immers om de testdatabase met daarin de klantgegevens tijdig te verwijderen en handelde als gevolg daarvan alsnog in strijd met het de AVG (namelijk met het beginsel van opslagbeperking). Als Digi gebruik had gemaakt van zogenaamde ‘dummy data’ was daarvan geen sprake geweest.  

Weeg kortom altijd af of het gebruik van echte persoonsgegevens daadwerkelijk noodzakelijk is om uw doel te bereiken. Is het antwoord nee? Gebruik dan ‘dummy data’. Daarmee voorkomt u onnodige risico’s!