Blogartikel

Mag je persoonsgegevens opvragen via e-mail?

E-mail is niet verboden onder de AVG. Maar wie klanten vraagt om paspoorten, bankafschriften of medische documenten te mailen, moet kunnen aantonen dat dit aanleverkanaal passend is beveiligd.

“Kun je je paspoort en bankafschrift even per e-mail sturen?” Het is een alledaagse vraag van accountants, werkgevers, gemeenten en adviseurs. Maar voor de klant betekent dit dat hij gevoelige documenten moet versturen via zijn eigen e-mailprovider — een dienst die hij misschien gratis gebruikt en niet speciaal heeft gekozen voor het veilig delen van vertrouwelijke informatie.

Daarmee komen paspoorten, loonstroken en medische documenten terecht in systemen, mailboxen en back-ups van externe providers. Deze providers hanteren hun eigen privacyvoorwaarden, bewaartermijnen en technische infrastructuur. De organisatie die om de documenten vraagt, heeft daar geen controle over. Ook de verzender kan vaak niet meer bepalen waar kopieën achterblijven en wanneer die definitief worden verwijderd.

Mag een organisatie dat volgens de AVG van haar klanten vragen? Het korte antwoord: e-mail is niet verboden, maar bij gevoelige documenten kan gewone e-mail steeds moeilijker te rechtvaardigen zijn.

De AVG verbiedt e-mail niet

In de Algemene verordening gegevensbescherming staat nergens dat persoonsgegevens nooit via e-mail mogen worden opgevraagd of verstuurd. Een naam, telefoonnummer of afspraakbevestiging per e-mail versturen kan in veel situaties prima verdedigbaar zijn.

De AVG schrijft ook niet één specifieke technische oplossing voor. Organisaties moeten zelf beoordelen welke beveiligingsmaatregelen passend zijn. Daarbij moeten zij onder andere kijken naar:

de aard en gevoeligheid van de gegevens;
de hoeveelheid gegevens;
het doel waarvoor de gegevens worden verzameld;
de mogelijke gevolgen van verlies of onbevoegde toegang;
de beschikbare beveiligingstechnieken;
de kans dat er iets misgaat.

Het maakt dus verschil of een organisatie per e-mail om een voorkeursdatum vraagt of om een paspoort, belastingaangifte of medisch dossier.

Wat verlangt de AVG dan wel?

Artikel 5 van de AVG bepaalt dat persoonsgegevens passend moeten worden beschermd tegen verlies, onbevoegde toegang en onrechtmatige verwerking. Dit wordt het beginsel van integriteit en vertrouwelijkheid genoemd.

Artikel 25 verlangt dat organisaties gegevensbescherming al meenemen bij het ontwerpen en inrichten van hun processen: privacy by design en privacy by default.

Artikel 32 verplicht organisaties om beveiligingsmaatregelen te nemen die passen bij het risico. Encryptie wordt daarbij expliciet genoemd als mogelijke maatregel. De organisatie moet haar keuzes bovendien kunnen uitleggen en aantonen.

Bij bijzondere persoonsgegevens, zoals medische gegevens, biometrische gegevens, religieuze overtuigingen of politieke voorkeuren, ligt de lat nog hoger. Ook documenten met een BSN, paspoortgegevens of financiële informatie kunnen grote gevolgen hebben wanneer ze in verkeerde handen terechtkomen.

De juridische vraag is daarom niet alleen:

“Is e-mail toegestaan?”

Een betere vraag is:

“Kunnen wij aantonen dat gewone e-mail voor deze documenten een passend beveiligd kanaal is?”

Naarmate de gegevens gevoeliger zijn en betere alternatieven beschikbaar komen, wordt die vraag lastiger met “ja” te beantwoorden.

De organisatie kan de verantwoordelijkheid niet bij de klant leggen

Wanneer een organisatie iemand vraagt gevoelige documenten als e-mailbijlage terug te sturen, bepaalt de organisatie feitelijk het aanleverproces. De klant kan wel een eigen e-mailprovider kiezen, maar heeft meestal geen redelijk alternatief voor het gebruik van e-mail.

Daarmee legt de organisatie een deel van het beveiligings- en privacyrisico bij de klant. Die moet zijn persoonlijke e-mailaccount gebruiken voor documenten waarvoor dat account mogelijk nooit is gekozen of ingericht.

De organisatie heeft vervolgens geen zicht op of controle over die e-mailomgeving. Zij weet niet waar kopieën achterblijven, wie toegang heeft tot het account en wanneer de documenten definitief worden verwijderd.

Dat de klant zelf op ‘verzenden’ klikt, neemt de verantwoordelijkheid van de organisatie niet weg. De AVG verlangt juist dat de organisatie bij het ontwerpen van het proces passende beveiligingsmaatregelen treft en haar keuze voor het aanleverkanaal kan verantwoorden.

Wie om gevoelige documenten vraagt, hoort ook een passend beveiligd aanleverkanaal beschikbaar te stellen.

Waarom gewone e-mail risico’s oplevert

E-mail is ontworpen als algemeen communicatiemiddel. Het is niet ontworpen als gecontroleerde omgeving voor het verzamelen en beheren van vertrouwelijke documenten.

Daardoor kent gewone e-mail een aantal structurele risico’s.

Een verkeerd adres is snel gekozen

Een typefout of een verkeerd automatisch aangevuld contact kan ertoe leiden dat persoonsgegevens bij de verkeerde ontvanger terechtkomen. De Autoriteit Persoonsgegevens noemt verkeerd verzonden e-mails al jaren als een veelvoorkomende oorzaak van datalekken.

Transportbeveiliging is geen end-to-endversleuteling

Moderne mailservers gebruiken vaak TLS om de verbinding tijdens het transport te beveiligen. Dat is waardevol, maar betekent niet automatisch dat alleen de verzender en de bedoelde ontvanger de inhoud kunnen lezen.

Berichten kunnen op mailservers en in mailboxen in leesbare vorm beschikbaar blijven. Echte end-to-endversleuteling vereist aanvullende technieken en correct sleutelbeheer.

Bijlagen verspreiden zich gemakkelijk

Een ontvangen bijlage kan worden gedownload, gekopieerd, doorgestuurd of opgeslagen in een klantdossier. Daardoor ontstaan meerdere versies, soms zonder duidelijk overzicht.

Toegang kan nauwelijks worden ingetrokken

Na het versturen van een gewone e-mail kan de verzender het bericht meestal niet meer terughalen. Ook de ontvangende organisatie kan moeilijk garanderen dat alle kopieën na afloop worden verwijderd.

Bewaartermijnen zijn moeilijk te handhaven

De AVG verlangt dat persoonsgegevens niet langer worden bewaard dan noodzakelijk. Bij documenten die verspreid staan over mailboxen, downloads, dossiers en back-ups is dat moeilijker uit te voeren en aan te tonen.

Identiteit is niet vanzelfsprekend

Een e-mailadres zegt niet met zekerheid wie het account gebruikt. Afhankelijk van het risico kan aanvullende verificatie nodig zijn om vast te stellen wie het document heeft aangeleverd of wie toegang krijgt.

Is beveiligde e-mail wel voldoende?

Beveiligde e-mail kan in bepaalde situaties een passende oplossing zijn. Dat hangt af van de concrete inrichting.

Denk aan end-to-endversleuteling, sterke toegangscontrole, afgeschermde downloads, beperkte geldigheid van berichten en controle over bewaartermijnen. Ook organisatorische maatregelen, zoals duidelijke werkinstructies en controle van geadresseerden, zijn belangrijk.

Er bestaat dus geen simpele regel dat een portaal altijd verplicht is of dat iedere e-mail onveilig is.

Een gespecialiseerde uploadomgeving kan wel voordelen bieden die met gewone e-mail moeilijker te realiseren zijn:

documenten worden niet als bijlage door meerdere mailboxen gekopieerd;
het verzoek kan precies aangeven welke documenten nodig zijn;
toegang kan worden beperkt of ingetrokken;
bestanden kunnen automatisch worden verwijderd;
handelingen kunnen worden gelogd;
encryptie kan standaard worden toegepast;
de organisatie kan het proces centraal beheren;
de aanleverende persoon hoeft geen eigen opslag- of deeloplossing te kiezen.

Praktische checklist voor organisaties

Vraagt uw organisatie persoonsgegevens of documenten op? Beantwoord dan eerst deze vragen:

Welke gegevens hebben we werkelijk nodig?
Kunnen onnodige gegevens worden weggelaten of afgeschermd?
Bevat het document bijzondere of fraudegevoelige persoonsgegevens?
Wat zijn de gevolgen als het document bij de verkeerde persoon terechtkomt?
Kunnen we voldoende zekerheid krijgen over de identiteit van de aanleveraar?
Is de inhoud tijdens transport en opslag passend versleuteld?
Kunnen we toegang tot het document beperken en intrekken?
Weten we waar kopieën worden opgeslagen?
Kunnen we een bewaartermijn instellen en uitvoeren?
Kunnen we achteraf aantonen wie toegang heeft gehad?
Bieden we de klant een praktisch en veilig alternatief?
Kunnen we uitleggen waarom het gekozen kanaal passend is?

Als deze vragen bij gewone e-mail moeilijk te beantwoorden zijn, is het verstandig het proces opnieuw in te richten.

Gevoelige documenten opvragen zonder e-mailbijlagen

Doqubox biedt organisaties een gecontroleerde omgeving voor het opvragen en ontvangen van vertrouwelijke documenten.

De organisatie geeft aan welke documenten nodig zijn en verstuurt een uitnodiging. De klant kan de gevraagde bestanden vervolgens zonder account of aanvullende software uploaden. De documenten worden end-to-end versleuteld en binnen Europa opgeslagen. Door bewaartermijnen en automatische verwijdering in te stellen, houdt de organisatie meer controle over de volledige levenscyclus van een document.

Doqubox maakt een organisatie niet automatisch AVG-compliant, maar biedt wel belangrijke bouwstenen om gevoelige documenten passend te beveiligen en gecontroleerd te ontvangen, bewaren en verwijderen. Met gerichte documentverzoeken, end-to-endversleuteling en automatische verwijdering helpt Doqubox organisaties om de verspreiding van persoonsgegevens te beperken en invulling te geven aan hun beveiligings- en bewaarplichten.

De organisatie vraagt om de gegevens. Dan hoort zij ook verantwoordelijkheid te nemen voor de manier waarop deze worden aangeleverd.

Vraagt uw organisatie nog paspoorten, bankafschriften, loonstroken of medische documenten op via gewone e-mail? Ontdek hoe Doqubox het proces veiliger en eenvoudiger maakt.

Bronnen

Dit artikel bevat algemene informatie en is geen juridisch advies.