Moet ik deze mail eigenlijk beveiligen (volgens de AVG)?

Wat zegt de AVG over veilig mailen?

Een misverstand is dat de AVG voorschrijft dat e-mails met persoonsgegevens altijd versleuteld moeten worden. Dat klopt niet; de AVG noemt e-mailencryptie nergens expliciet. Wat de wet wél voorschrijft is dat organisaties passende technische en organisatorische maatregelen moeten nemen om persoonsgegevens te beveiligen (artikel 32 AVG). Welke maatregelen passend zijn, hangt af van het risico. Hoe groter de mogelijke impact voor de betrokken persoon wanneer gegevens in verkeerde handen vallen, hoe zwaarder de beveiliging moet zijn. In veel gevallen betekent dit dat het onbeveiligd versturen van een e-mail simpelweg niet voldoende is.

Wanneer bevat een e-mail persoonsgegevens?

Waarschijnlijk vaker dan u zou denken. 'Persoonsgegevens' omvat alle informatie die direct of indirect iets zegt over een persoon. Denk aan een naam, e-mailadres, telefoonnummer of klantnummer, maar ook aan informatie over iemands werk, financiële situatie of gezondheid. Dat betekent niet dat iedere e-mail met een persoonsgegeven direct zwaar beveiligd moet worden. Een afspraakbevestiging met alleen een naam en tijdstip brengt bijvoorbeeld meestal minder risico met zich mee dan een e-mail met een medisch verslag of kopie van een identiteitsbewijs. De vraag is daarom niet alleen óf er persoonsgegevens in de e-mail staan, maar vooral wat er kan gebeuren als die informatie bij de verkeerde persoon terechtkomt.

Persoonsgegevens en bijzondere persoonsgegevens

De AVG maakt onderscheid tussen persoonsgegevens in het algemeen en bijzondere categorieën van persoonsgegevens, ook wel bijzondere persoonsgegevens genoemd. Dat onderscheid is belangrijk wanneer u bepaalt hoe u informatie per e-mail verstuurt. Sommige persoonsgegevens, de bijzondere persoonsgegevens, zijn door hun aard extra gevoelig. Hiervoor gelden strengere regels. Denk bijvoorbeeld aan medische gegevens, religieuze/politieke overtuigingen of informatie over iemands seksuele gerichtheid.

Opvallend: financiële gegevens zijn geen aparte categorie bijzondere persoonsgegevens volgens artikel 9 van de AVG. Ze kunnen wél zeer privacygevoelig zijn en bij verlies of onbevoegde toegang grote gevolgen hebben. Bij de keuze voor beveiliging moet u daarom niet alleen kijken of iets juridisch een bijzonder persoonsgegeven is, maar ook naar het risico voor de persoon.

Een medisch dossier valt dus duidelijk onder de bijzondere persoonsgegevens. Een salarisstrook niet, maar bevat wel meerdere persoonsgegevens waarvan openbaarmaking vervelende gevolgen kan hebben. In beide gevallen kan extra beveiliging bij verzending daarom passend zijn.

Voorbeelden: wel of niet beveiligd versturen?

Een paar voorbeelden maken de afweging duidelijker.

Een eenvoudige beslisboom

Twijfelt u bij het opstellen van een e-mail? Stel uzelf dan deze vragen:

1. Bevat de e-mail persoonsgegevens?

Nee? Dan is beveiliging vanuit de AVG doorgaans niet noodzakelijk. Er kunnen natuurlijk wel andere redenen zijn om vertrouwelijke informatie te beschermen. Ja? Ga dan door naar vraag 2.

2. Kan de ontvanger schade ondervinden als deze informatie bij iemand anders terechtkomt?

Denk daarbij niet alleen aan financiële schade. Ook reputatieschade, discriminatie, identiteitsfraude of het openbaar worden van privé-informatie kunnen gevolgen zijn. Nee of nauwelijks? Normale e-mail kan voldoende zijn. Ja? Ga dan door naar vraag 3.

3. Kan ik de gevolgen beperken met een passende beveiligingsmaatregel?

Bijvoorbeeld door de e-mail of bijlage versleuteld te versturen, de identiteit van de ontvanger extra te controleren of ervoor te zorgen dat toegang tot het bericht later kan worden ingetrokken. Is het risico serieus? Kies dan voor een beveiligde verzendmethode.

Praktische vuistregel: zou het vervelend of schadelijk zijn voor de betreffende persoon als deze e-mail per ongeluk bij de verkeerde ontvanger terechtkomt? Dan is extra beveiliging het overwegen waard.