Welke informatie moet ik precies meedelen over de bron van de persoonsgegevens bij de aankoop of huur van een adressenbestand ?

Artikel 15.1.g) AVG bepaalt dat de verwerkingsverantwoordelijke aan de betrokkene “alle beschikbare informatie” over de bron van de gegevens moet verstrekken wanneer de persoonsgegevens niet bij de betrokkene werden verzameld.

De verantwoordingsplicht houdt in dat iedere verwerkingsverantwoordelijke basisinformatie moet geven aan de betrokkenen over de bron van de persoonsgegevens. Die informatie moet niet alleen aantonen dat de verwerkingsverantwoordelijke zelf de persoonsgegevens conform de AVG verwerkt, maar ook dat hij voorafgaand aan de huur of aankoop van het adressenbestand heeft afgetoetst of de bron van dat adressenbestand die persoonsgegevens ook zelf rechtmatig verwerkte.

Concreet betekent dit dat het onvoldoende is om louter en alleen de bron zelf van de persoonsgegevens te vermelden. De betrokkene moet ook informatie krijgen over de manier waarop de bron zijn persoons-gegevens verkreeg en de bijhorende rechtsgrond voor die oorspronkelijke verwerking. Tot slot moet u ook de adresgegevens van de bron doorgeven zodat de betrokkene zijn recht van toegang kan uitoefenen ten aanzien van die bron.

Om te voldoen aan artikel 15.1.g) AVG moet u dus de volgende informatie verstrekken:

de bron (het bedrijf dat het adressenbestand verhuurde of verkocht);
de adresgegevens van deze bron;
de rechtsgrond voor de oorspronkelijke verwerking door de bron; en
de wijze waarop de bron de persoonsgegevens van de betrokkene verkreeg.

Voor een voorbeeld kan u beslissing 20/2021 van de Geschillenkamer raadplegen.