De Autoriteit Persoonsgegevens heeft geconcludeerd dat de verwerking van persoonsgegevens over ras, gezondheid en dna door een assessmentbureau in strijd is met de privacywet. Onder meer de manier van toestemming vragen voor de verwerking deugt niet.
In het onderzoek stelt de Autoriteit Persoonsgegevens dat er geen sprake is van een geldige uitzondering op de hoofdregel dat het verwerken van bijzondere persoonsgegevens zoals dna-data niet is toegestaan. Een uitzonderingsgrond is als er uitdrukkelijk toestemming wordt gevraagd. Volgens de AP is er echter geen sprake van 'vrije toestemming', omdat de toestemming van deelnemers plaatsvindt in de arbeidsrelatie. Bovendien heeft het assessmentbureau geen duidelijke, volledige, begrijpelijke en nauwkeurige informatie verstrekt, zodat er niet gesproken kan worden van een geïnformeerde beslissing.
Naast het niet-naleven van de wettelijke eisen voor het verwerken van de bijzondere persoonsgegevens is ook de beveiliging van de persoonsgegevens niet op orde. Het bedrijf beschikt weliswaar over een Privacy Impact Assessment, een risicoanalyse en een externe controle, maar er is geen beveiligingsbeleid voor de informatiebeveiliging. Ook dat is een overtreding van de privacywet.
De bevindingen van de privacywaakhond gelden specifiek voor dit assessmentbureau, BrainCompass, en zijn daardoor niet automatisch van toepassing voor alle andere, vergelijkbare bureaus. De Autoriteit Persoonsgegevens kan op basis van de geconstateerde overtredingen bijvoorbeeld een boete opleggen of daarmee dreigen via een last onder dwangsom.