Bijna dagelijks ontvangt de MOA vragen van aangesloten partners. Het beantwoorden van de vragen gebeurt door experts van binnen en buiten de MOA. Dit keer de vraag: Is het volgens AVG toegestaan om van adressen die gekocht zijn als steekproef, lijsten uit te printen en deze lijsten toe te sturen aan interviewers. Op deze lijsten staan soms ook namen, adressen en telefoonnummers.

Alvorens de vraag te beantwoorden, het volgende:

Uit de vraag wordt het niet duidelijk of het gaat om een b-to-b bestand of een b-to-c bestand.
Het zal duidelijk zijn dat op een b-to-c bestand de Avg (Algemene verordening gegevensbescherming) van toepassing is.
Is het een b-to-b bestand dan ligt dan genuanceerd: gegevens van NV, BV, verenigingen (met rechtspersoonlijkheid) en stichtingen zijn rechtspersonen en vallen daarom buiten de AVG. Echter gegevens van eenmanszaken, zzp’ers, maatschappen en Vof (Vennootschap onder firma) worden beschouwd als persoonsgegevens die wel vallen onder de werking van de AVG. 

1. De vraag die niet aan de orde komt, maar die wel dient te worden gesteld is wat de positie van het externe marktonderzoekbureau in het licht van de Avg is. Is het externe marktonderzoekbureau een Verwerkingsverantwoordelijke of een Verwerker. En de vraag is of het bestand wordt verstrekt voor dit doeleinde door een leverancier en wie vervult dan de rol van verwerkingsverantwoordelijke of Verwerker.
   
   Een opdrachtgever laat het geheel vrij aan de externe onderzoeksorganisatie welk adressenbestand er wordt gebruikt. Is er hier nu sprake van gezamenlijke verwerkingsverantwoordelijke of is de externe onderzoeksorganisatie de verwerkingsverantwoordelijke. In dit geval is het externe onderzoeksbureau als verwerkingsverantwoordelijke aan te merken, puur omdat het externe onderzoeksbureau zelf beslist welke gegevens worden gebruikt voor het onderzoek, de opdrachtgever bemoeit zich in het geheel niet met de selectie van te gebruiken bestanden.
   Het externe onderzoeksbureau zal dan een grondslag moeten hebben om de gegevens van de respondenten in spe te verwerken en de organisatie die het bestand beschikbaar stelt zal ook een grondslag moeten hebben. Welke grondslag de verstrekkende partij heeft is onbekend; de externe onderzoeksorganisatie zal zich beroepen op gerechtvaardigd belang (eventueel toestemming). De externe onderzoeksorganisatie zal daarnaast moeten voldoen aan haar informatieverplichting ex artikel 14 Avg, als Verwerkingsverantwoordelijke. Overigens kan aan deze verplichting ex artikel 14 worden voldaan binnen een maand na ontvangst van het bestand door de Verwerkingsverantwoordelijke (is dan externe onderzoeksorganisatie) of op het moment van eerste contact. Dit pleit er dus voor om bestanden niet te lang te laten liggen voordat deze worden gebruikt.
   
   In het voorstaande voorbeeld is de leverancier (die de adressen verstrekt) net als het externe onderzoeksbureau Verwerkingsverantwoordelijke. De opdrachtgever heeft geen specifieke rol in de Avg, heeft verder geen bemoeienis met adresbestanden die worden gebruikt, is dus geen verwerkingsverantwoordelijke en geen verwerker.
   
   Het is allemaal vele male eenvoudiger wanneer de klant voorschrijft welke bestanden dienen te worden gehuurd, dan heb je geen discussie over grondslag en verwerkingsverantwoordelijke voor de externe onderzoeksorganisatie. In dit voorbeeld is de leverancier (die de adressen verstrekt in opdracht van de opdrachtgever) net als de opdrachtgever, een individuele verwerkingsverantwoordelijke en het externe onderzoeksbureau is verwerker. Immers de opdrachtgever gedraagt zich door zijn aanwijzing/bestelling als Verwerkingsverantwoordelijke. En het externe bureau volgt alleen maar op.
   
   
   
2. Als 1 allemaal in orde is dan mag de externe onderzoeksorganisatie de adreslijsten onder de volgende voorwaarden toesturen aan de interviewers:

• • alleen die gegevens die de interviewers nodig hebben mogen op de lijst voorkomen die beschikbaar wordt gesteld aan de interviewers
  • als de interviewers zelfstandig werken (zzp, eenmanszaak) dan is het noodzakelijk een verwerkersovereenkomst af te sluiten met daarin o.a. een geheimhoudingsbepaling // wordt een organisatie ingehuurd die zijn/haar interviewers gebruikt dan is een verwerkersovereenkomst met de organisatie voldoende. De organisatie moet dat dan zelf regelen met de interviewers.
  • het versturen van de adreslijsten dient beveiligd te worden gedaan, dus geen open excel bestand, of een lijstje opnemen in een e-mailbericht. Een beveiligde excel lijkt voldoende mits in het begeleidende bericht het wachtwoord niet wordt meegezonden. Maar dat bijvoorbeeld via sms wordt toegezonden
  • zorg dat er een instructie is wanneer een interviewer zijn/haar spullen verliest of worden gestolen waar dat moet worden gemeld binnen 24 uur
  • zorg dat de interviewer thuis zorgvuldig omgaat met de gegevens en lijsten, dus niet op de keukentafel.
  • instructie dat gegevens worden vernietigd indien deze zijn opgeslagen op gegevensdragers van de interviewer zelf.

Bron: MOA