Naast de uitzonderingsbepalingen kent de AVG een aantal bepalingen die ‘gewoon’ op de journalistiek van toepassing zijn.
Beveiliging
Een journalist die persoonsgegevens verwerkt is verplicht deze goed te beveiligen. De AVG schrijft voor dat je passende technische en organisatorische maatregelen moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen.
Verwerking
Ook moet een journalist de regels van de verordening naleven die betrekking hebben op het inschakelen van derden voor de verwerking van persoonsgegevens. Denk bijvoorbeeld aan alle ict-diensten (zoals e-mail en cloudopslag) die je als journalist gebruikt. Deze diensten verwerken persoonsgegevens waar jij verantwoordelijk voor bent. Op grond van de AVG is de journalist ‘verwerkingsverantwoordelijke’ en gehouden met derde partijen verwerkersovereenkomsten te sluiten waarin een passend beveiligingsniveau gegarandeerd wordt.
Archief
De AVG bevat, kort gezegd, een verbod om persoonsgegevens in een identificeerbare vorm langer te bewaren dan noodzakelijk is. Deze bepaling is ook van toepassing op verwerking van persoonsgegevens voor journalistieke doeleinden.
In de AVG is bepaald dat voor het bewaren van persoonsgegevens een vorm wordt gekozen die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt, noodzakelijk is. Persoonsgegevens mogen voor langere perioden worden opgeslagen, mits dit met het oog op archivering in het algemeen belang is. In dat geval moeten de door de AVG vereiste passende technische en organisatorische maatregelen worden getroffen om de vrijheden van betrokkenen te beschermen.
Deze verplichting tot opslagbeperking roept de nodige vragen op voor het journalistieke archief. Kan een online archief nog ongewijzigd in stand blijven? De Autoriteit Persoonsgegevens heeft in 2007 een Richtsnoer ‘Publicatie van persoonsgegevens op internet’ gepubliceerd. Dit richtsnoer bevat een uitzondering voor journalistieke publicaties. Deze uitzondering is echter beperkt en laat de journalistiek weinig ruimte.
Op grond van de vrijheid van meningsuiting en informatie geven De Nederlandse en Europese rechter de journalist meer ruimte. Een oordeel op grond van de AVG en richtsnoer kan dus veel nadeliger uitpakken voor de journalistiek dan op grond van de afweging tussen de grondrechten privacy (8 EVRM) en vrije meningsuiting (10 EVRM).
Standaardinstellingen
De bepaling in de AVG over gegevensbescherming door ontwerp- en standaardinstellingen (artikel 25) is eveneens van toepassing op de journalistiek. In dit artikel is onder andere bepaald dat er maatregelen moeten worden getroffen om te voorkomen dat persoonsgegevens in beginsel zonder menselijke tussenkomst voor een onbeperkt aantal personen toegankelijk worden gemaakt. Bij online journalistiek is dat soms het geval, denk aan de reactiemogelijkheid onder een artikel. Die reactie verschijnt automatisch online, zonder menselijke tussenkomst. Volgens de Nederlandse wetgever biedt de formulering van artikel 25 ‘in beginsel’ voldoende ruimte voor uitzonderingen binnen de journalistieke context.