Vraag:
mijn kinderen gaan naar een kinderdagverblijf.
Bij de receptie hebben ze clipborden van elke groep kinderen.
Het is als een register in zoverre dat het de namen van ieder kind bevat die op die dag aanwezig moeten zijn met hun geboortedatum. U kunt zien of het kind al aanwezig is of niet.
Elke persoon die een sleutel/druppel heeft of in het gebouw wordt toegelaten, kan deze lijst bekijken. De persoon die het kind afhaalt, wordt gevraagd om het tijdstip te vermelden en kinderen aan- en af te melden. Maar kan alle info van andere kinderen inclusief hun geboortedatum zien.
Klopt dit onder de nieuwe AVG? Ik voel niet echt de behoefte om hun geboortedatum op deze lijst te hebben omdat ze in een bepaalde groep zitten waarvan hun leeftijd bij benadering is gegeven. dat wil zeggen dat een 3-jarige niet in de babykamer zal zijn.
Antwoord:
Er zijn een aantal overwegingen vanuit de AVG van toepassing.
- Data minimalisatie: zijn de gegevens van belang voor het doel? Wat is de toegevoegde waarde van het vermelden van foto en geboortedatum op deze lijst? Is het noodzakelijk om de kinderen op deze manier te vermelden? Wat gaat er mis als foto en geboortedatum niet zouden worden getoond?
- Wat is de wettelijke basis voor het publiceren van deze gegevens? Is er toestemming voor gegeven? Publiceert de organisatie deze gegevens vanuit het gerechtvaardigd belang? Hoe hebben ze dat dan onderbouwd?
- Zijn op de foto’s wellicht bijzondere persoonsgegevens af te leiden. Bijvoorbeeld kinderen met een beperking (medische gegevens) of is af te leiden welke raciale achtergrond de kinderen hebben?
- Wat is het risico van deze lijst? Stel dat er een kind is afgebeeld waarvan de vader een omgangsverbod heeft? Wat is het risico dat de vader op deze manier achter de verblijfplaats van zijn kind komt?
- Omdat het kinderen betreft, is extra zorgvuldigheid geboden. De AVG ziet kinderen als kwetsbare betrokkenen, waarbij een verhoogd risico wordt verondersteld.
- Zijn de ouders geïnformeerd (in de privacy verklaring) welke persoonsgegevens worden verwerkt en wat er verder met deze gegevens gebeurt?
Wat u kunt doen:
- Informeren op grond van welk doel en met welke wettelijke basis deze lijst wordt gebruikt? Als de reactie is dat dit is gebaseerd op toestemming, dan is de vraag of toestemming aangetoond kan worden. Dat is namelijk verplicht.
- Indien de wettelijke basis een overeenkomst is, die u getekend zou kunnen hebben, dan is de vraag of deze lijst voor de uitvoering van de overeenkomst noodzakelijk is. Dat lijkt me inclusief foto en geboortedatum moeilijk te verdedigen.
- Indien de wettelijke basis het gerechtvaardigd belang is, dan kunt u daartegen bezwaar maken. Dit bezwaar moet wel gemotiveerd zijn met voor uw situatie specifieke omstandigheden, waardoor uw belangen (“rechten en vrijheden”) worden geschaad. Het kinderdagverblijf moet dan daarop reageren.
- Indien u er niet uitkomt met het kinderdagverblijf, kunt u (na 25 mei 2018) een klacht indienen bij de Autoriteit Persoonsgegevens.
Naar mijn mening zou het publiceren van deze lijst, met name de foto’s en de geboortedatum, gebaseerd moeten zijn op toestemming. Met name vanuit het feit dat het kinderen betreft, en dat er sprake kan zijn van bijzondere persoonsgegevens.
Het kinderdagverblijf zou ook een lijst kunnen ophangen met alleen de voornaam en de laatste letter van de achternaam, zonder foto en geboortedatum. Dat zou voor de aan- en afwezigheidsmelding voldoende kunnen zijn. Indien de begeleiders, voor het herkennen van de kinderen, ook een foto en of geboortedatum van de kinderen nodig hebben (bijvoorbeeld voor verjaardagen), dan kunnen ze ook een lijst bijhouden die niet inzichtelijk is voor bezoekers.