Richtsnoeren publicatie van persoonsgegevens op internet

Het College bescherming persoonsgegevens (CBP) handhaaft de Wet bescherming persoonsgegevens. Op internet worden veel persoonsgegevens gepubliceerd. Dit document geeft aan hoe het CBP publicatie van persoonsgegevens op internet in het algemeen beoordeelt. De richtsnoeren bevatten tevens uitleg over de wet, geïllustreerd met praktijkvoorbeelden. Voor iedereen die publiceert op internet is van belang dat duidelijk is of, wanneer en in welke vorm publicatie is toegestaan. De richtsnoeren beogen bij te dragen aan deze duidelijkheid. Helderheid over toepasselijke normen bevordert de naleving ervan en past in een efficiënt handhavingsbeleid. Deze richtsnoeren zijn gepubliceerd in de Staatscourant van 11 december 2007.

Inleiding

Eerbiediging van de persoonlijke levenssfeer wordt beschouwd als een essentiële voorwaarde voor een menswaardig bestaan en als een van de grondslagen van onze rechtsorde. Eenieder heeft recht op bescherming tegen de ongebreidelde vergaring, bewerking en verspreiding van zijn persoonsgegevens.

Op internet worden op heel veel manieren persoonsgegevens gepubliceerd. Internet maakt het door zijn aard zeer laagdrempelig om persoonsgegevens te publiceren: via een website, in een discussieforum of in een online dagboek. Mensen kunnen gegevens over zichzelf publiceren of over anderen. Publicaties op internet zijn over het algemeen wereldwijd 24 uur per dag toegankelijk voor een potentieel zeer omvangrijk en divers publiek. Voor mensen van wie de persoonsgegevens op internet staan, kunnen de consequenties groot zijn, bijvoorbeeld als het gaat om onbewezen verdenkingen of intieme details uit het persoonlijke leven. Zelfs als de gegevens op zichzelf juist zijn, kan door de publicatie op internet een onvolledig beeld ontstaan van een persoon, met een negatieve beoordeling tot gevolg.

Daarom stelt de wet grenzen aan de toelaatbaarheid van de publicatie van persoonsgegevens op internet.

Hoofdregel van de Wet bescherming persoonsgegevens (hierna: Wbp) is dat iedereen die persoonsgegevens publiceert zélf verantwoordelijk is voor de naleving van de wet. Particulieren, ondernemingen, organisaties en instellingen die voornemens zijn gegevens over personen op internet te publiceren, dienen dus zelf voorafgaand aan de publicatie te beoordelen of dat wel is toegestaan, en zo ja, aan welke voorwaarden zij daarbij moeten voldoen.

Met deze richtsnoeren wil het College bescherming persoonsgegevens (hierna: CBP) het eenvoudiger maken dat te beoordelen. Dat is in het belang van degenen die op internet publiceren en in het belang van de mensen over wie (mogelijk) gegevens worden gepubliceerd.

Deze richtsnoeren behandelen de hoofdlijnen van de beoordeling van een publicatie van persoonsgegevens op internet, onder de geldende privacywetgeving en jurisprudentie.1Het juridisch kader bestaat voornamelijk uit de Wet bescherming persoonsgegevens (Wet van 6 juli 2000, Stb. 302), jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM), het Europees Hof van Justitie (HvJEG) en relevante interpretaties van de Artikel 29-werkgroep, het samenwerkingsverband van toezichthouders op het gebied van bescherming van persoonsgegevens in de Europese Unie (EU). Waar relevant komt ook algemene Nederlandse jurisprudentie aan de orde, evenals uitspraken van het CBP zelf. De richtsnoeren richten zich primair op het World Wide Web.

Publicaties kunnen ook uit anderen hoofde dan privacybescherming onrechtmatig zijn, bijvoorbeeld omdat ze in strijd zijn met de Auteurswet. De handvatten in deze richtsnoeren zijn beperkt tot de toelaatbaarheid van de publicatie onder de geldende privacywetgeving. In deze richtsnoeren wordt dus niet ingegaan op de rechtmatigheid van de publicatie op grond van andere wetgeving.

De richtsnoeren behandelen veel van de belangrijkste regels op het gebied van de bescherming van persoonsgegevens maar bevatten geen uitputtende beschrijving van alle bestaande wettelijke bepalingen en jurisprudentie. De voorbeelden die in deze richtsnoeren zijn opgenomen, dienen alleen ter illustratie van de manier waarop het CBP een specifieke bepaling uit de Wbp toepast bij de beoordeling van een publicatie. Publicatievormen die niet bij wijze van voorbeeld in deze richtsnoeren zijn opgenomen, kunnen toch in strijd zijn met de Wbp.

Bij de beoordeling van een publicatie die vergelijkbaar is met een voorbeeld kunnen ook andere dan de besproken Wbp-bepalingen een rol spelen. Ook indien een concreet soort publicatie veel lijkt op een voorbeeld, dient men erop bedacht te zijn dat de definitieve beoordeling alleen gemaakt kan worden met inachtneming van alle omstandigheden van het individuele geval en dat de beoordeling daarom anders kan uitpakken.

Rechterlijke uitspraken kunnen naast wetswijzigingen, technische ontwikkelingen en praktijkervaringen aanleiding vormen tot aanvulling of herziening.

Deze richtsnoeren treden in werking met ingang van 11 december 2007, zijnde de datum van publicatie in de Staatscourant.

Hoofdstuk I. Basisbeginselen van de bescherming van persoonsgegevens op internet

1. Inleiding

Persoonsgegevens op internet moeten op dezelfde zorgvuldige wijze worden verwerkt als in de offlinewereld. De wet is van toepassing op ‘de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens’,2De wet is ook van toepassing op niet-geautomatiseerde verwerkingen, zoals papieren dossiers, maar alleen als de gegevens opgenomen zijn of worden in een bestand, dat wil zeggen een gestructureerd geheel van persoonsgegevens dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen. dus op elke publicatie van persoonsgegevens op internet.3Memorie van toelichting bij de Wbp, Kamerstukken II, 28 509, 3 (hierna: MvT), blz 71: ’Zodra informatie digitaal is vastgelegd is er in ieder geval sprake van geautomatiseerde verwerking van gegevens. In een geautomatiseerd systeem is immers het zoeken naar digitale gegevens mogelijk. (...) Het feit dat langs geautomatiseerde weg geluid- of beeldvergelijking van digitaal vastgelegde informatie over iemand onvergelijkbaar veel sneller en nauwkeuriger kan plaatsvinden dan wanneer dit handmatig zou moeten geschieden, rechtvaardigt een aangescherpt juridisch regime.’ Iedereen die persoonsgegevens op internet publiceert, ongeacht of dit een privépersoon is, een bedrijf, een instelling of een bestuursorgaan, dient te voldoen aan de verplichtingen die de wet oplegt. Deze zijn: het behoorlijk en zorgvuldig te werk gaan, transparantie, doelbinding, rechtvaardigingsgrond, kwaliteit en evenredigheid, informatierechten, beveiliging en beperking van doorgifte naar landen buiten de EU.

Artikel 1 van de Wbp bevat definities van de begrippen die in de wet worden gehanteerd. Niet alle begrippen zijn even relevant voor het beoordelen van publicaties op internet. Hieronder volgen de belangrijkste. Tevens worden drie belangrijke uitzonderingen op de toepasselijkheid van de Wbp kort toegelicht: de verwerking van persoonsgegevens voor persoonlijk/huishoudelijk gebruik; de verwerking voor uitsluitend journalistieke, literaire of artistieke doeleinden en het gebruik voor historische, statistische en wetenschappelijke doeleinden.

2. Op wie legt de wet verplichtingen? De verantwoordelijke

Met de term ‘verantwoordelijke’ wordt in deze richtsnoeren degene aangeduid die onder de Wbp verantwoordelijk is voor de inhoud van een publicatie op internet. Volgens de wet is de verantwoordelijke de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

De verantwoordelijke kan de houder van een website zijn, de maker van een persoonlijk profiel, maar ook de eigenaar/beheerder van een discussieforum. In een discussieforum, of in een reactiemogelijkheid onder artikelen, kunnen lezers bijdragen leveren waarin persoonsgegevens worden verwerkt. In beginsel is iedereen die een bijdrage levert zelf verantwoordelijk voor die verwerking van persoonsgegevens, maar de algemene verantwoordelijkheid voor een zorgvuldige gegevensverwerking ligt bij de houder van het forum, omdat die immers het doel en de middelen bepaalt. De houder van de website of het forum, degene die formeel-juridisch de zeggenschap over de verwerking heeft, biedt de gelegenheid tot het publiceren van gegevens en heeft daarom de plicht om zorg te dragen voor een zorgvuldige omgang met persoonsgegevens. 4’Iemand die persoonsgegevens heeft vastgelegd en gebruikt, bijvoorbeeld door deze ter raadpleging aan te bieden, ook al zijn deze anoniem door een derde via Internet aangeleverd, is aanspreekbaar op naleving van dit wetsvoorstel en kan zich niet verschuilen achter het adagium ’geen boodschap aan de boodschap’. Zodra opslag met het oog op raadpleging plaatsvindt, bijvoorbeeld in de vorm van een ’cache-service’, is er sprake van verwerking.’ MvT, blz. 60.

Website in de Verenigde Staten

Een in Nederland gevestigde verantwoordelijke kan ervoor kiezen om technische middelen buiten Nederland aan te wenden voor een publicatie, bijvoorbeeld door gebruik te maken van webhosting5Webhosting is het (over het algemeen tegen betaling) verhuren van schijfruimte op een internetserver waarop verantwoordelijken internetpagina’s kunnen plaatsen. Dergelijke servers kunnen binnen de EU staan, maar ook erbuiten. Het webhostingbedrijf heeft geen zeggenschap over de inhoud van de publicatie. in de Verenigde Staten. Hoewel de website niet op Nederlands grondgebied is gevestigd, is de Wbp toch van toepassing. De Wbp is van toepassing op alle in Nederland gevestigde verantwoordelijken.

De houder van een webforum is een tussenpersoon op internet. Bij elke handeling op internet zijn tussenpersonen betrokken. Andere tussenpersonen zijn bijvoorbeeld aanbieders van toegang tot internet, partijen die hosting aanbieden van websites of zoekmachines. Het begrip verantwoordelijke uit de Wbp is een breed begrip en is daarom ook van toepassing op sommige tussenpersonen.

Voor toegangsdiensten geldt dat zij geen controle hebben over het al dan niet doorgeven van persoonsgegevens. Zij kunnen daarom niet gelden als verantwoordelijke, tenzij het om informatie gaat die ze op eigen initiatief en onder eigen redactie aanbieden, zoals bijvoorbeeld via een nieuwsbrief. Anders is dat voor de beheerder van een discussieforum. Deze heeft de juridische en feitelijke zeggenschap over de gegevens op het forum, bepaalt in eerste en laatste instantie de doelen van het forum en zorgt dat het forum functioneert.

In het geval van hosting van materiaal, het plaatsen van een hyperlink naar persoonsgegevens en het gebruik dat zoekmachines maken van materiaal op internet moet gekeken worden welke zeggenschap deze diensten hebben over de verwerking van persoonsgegevens. Van bijzonder belang is de vraag of een tussenpersoon zeggenschap heeft over de verwijdering van de gegevens. Deze vraag moet bevestigend worden beantwoord indien een tussenpersoon de mogelijkheid heeft informatie te verwijderen en gewend is dit ook te doen in bepaalde gevallen waarin derden hem op onrechtmatige publicaties wijzen. Een dergelijke tussenpersoon is verantwoordelijke ten aanzien van de verwerking van door derden gepubliceerde persoonsgegevens (in het bijzonder het ter beschikking houden en de verwijdering of blokkering) en is op grond daarvan medeverantwoordelijke voor deze verwerking.

Het begrip bewerker uit de Wbp is niet van toepassing op de aanbieder van een dienst als een geleverde dienst aan de verantwoordelijke niet expliciet betrekking heeft op de verwerking van persoonsgegevens. De genoemde tussenpersonen zullen dus in beginsel niet beschouwd kunnen worden als bewerker.

Verschil verantwoordelijkheid en aansprakelijkheid

Verantwoordelijkheid op grond van de Wbp is iets anders dan aansprakelijkheid. Sommige tussenpersonen zijn onder voorwaarden vrijgesteld van aansprakelijkheid voor onrechtmatig handelen van derden. Het gaat om diensten van de informatiemaatschappij die bestaan uit het verlenen van toegang, de tijdelijke opslag en de hosting van materiaal. Deze regels komen voort uit de richtlijn elektronische handel en zijn te vinden in artikel 6:196c van het Burgerlijk Wetboek. De scheidslijn tussen verantwoordelijke en niet-verantwoordelijke in de Wbp is niet afgestemd met de vrijstelling van aansprakelijkheid van sommige tussenpersonen. Het kan dus zo zijn dat een dienst, die op grond van artikel 6:196c BW beschouwd moet worden als een hostingdienst (lid 4), op grond van de Wbp geldt als verantwoordelijke. Deze aanbieder is in dat geval niet aansprakelijk voor onrechtmatige verwerkingen van persoonsgegevens door derden. Wel moet de aanbieder de informatie verwijderen of de toegang daartoe onmogelijk maken zodra hij weet of redelijkerwijs behoort te weten dat er sprake is van onrechtmatigheid. Gezien de aard van de normen in de Wbp en de beperkte mogelijkheid van tussenpersonen zich te vergewissen van de rechtmatigheid van de publicatie van persoonsgegevens zal deze verplichting tot blokkeren of verwijderen alleen bij evidente overtredingen van de Wbp ontstaan.

Het bovenstaande betekent voor de praktijk dat tussenpersonen die zich kunnen beroepen op een wettelijke vrijwaring van aansprakelijkheid zich kunnen richten op de regeling met bijbehorende voorwaarden in artikel 6:196c van het Burgerlijk Wetboek.

Met de term ‘betrokkene’ wordt de persoon bedoeld wiens persoonsgegevens worden verwerkt. Op internet lopen de twee rollen nogal eens door elkaar; wie een persoonlijk webdagboek bijhoudt, kan zowel verantwoordelijke als betrokkene zijn.

Profielsites

Profielsites zijn bijzonder populair bij jongeren. Met een profiel laten ze zien wie ze zijn, welke vrienden ze hebben en hoeveel het er zijn. Ze schrijven over wat ze doen en leuk vinden en laten persoonlijke berichten achter bij anderen. Hoe meer informatie iemand van zichzelf laat zien, hoe beter diegene kan laten zien dat hij of zij de moeite waard is. Er zijn veel jongeren die erg ver gaan met het delen van informatie op publiek toegankelijke profielen, bijvoorbeeld met verhalen over feestjes, drugsgebruik en seks.

De aanbieders van profielsites zijn samen met de gebruikers medeverantwoordelijk voor de verwerking van persoonsgegevens op de betreffende website. De aanbieders van deze diensten moeten zich daarom houden aan de regels uit de Wbp. Zo dienen ze gebruikers vooraf volledig te informeren over de beschikbaarheid van de profielen voor andere bezoekers van de site. Ze dienen geschikte beveiligingsmaatregelen te treffen, zoals het standaard afschermen van de profielen voor zoekmachines en alleen toegang te bieden aan vrienden van de gebruiker. Ook dienen ze de mogelijkheid te bieden de profielen en elders op de site geplaatste informatie te verwijderen.

3. Wat is een persoonsgegeven?

De Wbp kent een ruime definitie van persoonsgegevens. In artikel 1 sub a Wbp wordt een persoonsgegeven gedefinieerd als ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. De omschrijving is letterlijk overgenomen van artikel 2 van het Europees Dataverdrag6Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, Straatsburg 1981, Trb. 1988.. De Europese privacyrichtlijn 95/46/EG (hierna: de richtlijn) waarop de Wbp is gebaseerd, geeft een iets uitgebreidere omschrijving.

De richtlijn geeft in artikel 2 onder a als definitie van persoonsgegevens: *iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ’betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.*

Hoewel het tweede deel van de Europese definitie, de uitleg over specifieke elementen die iemand identificeerbaar maken, niet is overgenomen in de Wbp, maakt de Memorie van Toelichting bij de Wbp duidelijk dat de Wbp het zelfde uitgangspunt hanteert ten aanzien van indirect identificerende gegevens.

Allereerst is voor het begrip ’persoonsgegeven’ relevant of de gegevens informatie over een persoon bevatten. In veel gevallen, zoals bij feitelijke of waarderende gegevens over eigenschappen, opvattingen of gedragingen, zal dit uit de aard van de gegevens voortvloeien. In andere gevallen zal mede aandacht moeten worden besteed aan de context waarin het gegeven wordt vastgelegd en gebruikt. Als gegevens medebepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld, moeten die gegevens als persoonsgegevens worden aangemerkt. Het (maatschappelijk) gebruik dat van gegevens wordt gemaakt is dus medebepalend voor de beantwoording van de vraag of sprake is van een persoonsgegeven.7Memorie van toelichting bij de Wbp, Kamerstukken II, nr. 25 892, nr. 3, blz 46.

De Artikel 29-werkgroep van samenwerkende privacytoezichthouders in de EU heeft in een recente opinie de verschillende onderdelen van de definitie van persoonsgegevens nader uitgewerkt. Het gaat om de begrippen ‘iedere informatie’, ‘betreffende een natuurlijk persoon’ en ‘direct of indirect herleidbaar’.

3.1. Iedere informatie

De werkgroep benadrukt dat ‘iedere informatie’ zowel objectieve als subjectieve gegevens omvat, ongeacht of ze juist of bewezen zijn. Denk aan waardeoordelen als ‘Jan is een betrouwbare lener’ of ‘Jan is een goede medewerker die promotie verdient.’ 8Opinion 4/2007 on the concept of personal data van de Artikel 29-werkgroep, aangenomen op 20 juni 2007, blz. 6.

3.2. Betreffende een persoon

Om te bepalen of een gegeven betrekking heeft op een persoon, moet volgens de Artikel 29-werkgroep één van de volgende drie elementen aanwezig zijn: een inhoudelijk element, een doelelement of een resultaatelement.

Een inhoudelijk element betekent dat het om informatie gaat over een persoon, ongeacht het doeleinde van de verantwoordelijke of het resultaat voor die persoon, zoals de resultaten van een medisch onderzoek betrekking hebben op de patiënt of zoals de gegevens in een klantenbestand van een bedrijf betrekking hebben op de klant.

Ook de aanwezigheid van een doelelement kan er toe leiden dat gegevens als persoonsgegevens worden beschouwd. Daar is sprake van als de gegevens (waarschijnlijk) gebruikt worden met het doel om iemand op een bepaalde manier te behandelen of diens status of gedrag te beoordelen of te beïnvloeden. Dat kan het geval zijn als een bedrijf een bestand bijhoudt met een overzicht van alle inkomende en uitgaande telefoontjes. Dat bestand kan gebruikt worden om medewerkers te beoordelen.

Als er geen inhoudelijk of doelelement is, kunnen gegevens toch persoonsgegevens zijn, als het gebruik ervan waarschijnlijk invloed heeft op de rechten en belangen van een persoon, zodanig dat die persoon daardoor anders wordt behandeld. Dat kan het geval zijn als een taxibedrijf met behulp van GPS de locaties van zijn taxi’s in de gaten houdt. Hoewel het systeem gericht is op het verwerken van gegevens over de routes van voertuigen, kunnen de gegevens ook gebruikt worden om de individuele taxichauffeurs te beoordelen.9Opinion 4/2007, blz. 9-12.

3.3. Direct of indirect identificerend

Het bekendste direct identificerende gegeven is de combinatie van voor- en achternaam. De bekendste indirect identificerende gegevens zijn (e-mail)adres, telefoonnummer, kenteken en de combinatie postcode/huisnummer.10De Registratiekamer en het CBP hebben uitspraken gedaan over telefoonnummers (oa: Registratiekamer 8 juli 1993, 93.1.002 en CBP 28 mei 2003, z2003-0480 over afscherming nummergegevens, URL: http://www.cbpweb.nl/documenten/adv_z2003- 0480.stm); over kentekens van auto’s (oa: Registratiekamer, 9 december 1996, 96-0140 trajectcontrole dmv kentekenregistratie, URL: http://www.cbpweb. nl/downloads_uit/z1996-0140.pdf) en over postcodes met huisnummers (oa: Registratiekamer 21 juni 1996, 95.O.043). Andere indirect identificerende gegevens zijn gegevens over iemands eigenschappen, opvattingen of gedragingen, waarmee die persoon wordt onderscheiden van andere personen. Bijvoorbeeld: de directeur van een met name genoemde onderneming.

Bij het vaststellen of een gegeven een indirect identificerend persoonsgegeven is, is van belang of de identiteit van de persoon er redelijkerwijs, zonder onevenredige inspanning, mee kan worden vastgesteld. Het is niet doorslaggevend of het identificeren daadwerkelijk plaatsvindt. Deze opvatting komt voort uit overweging 26 bij de privacyrichtlijn:

Overwegende dat de beschermingsbeginselen moeten gelden voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon, dat om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is dan wel door enig ander persoon in te zetten zijn om genoemde persoon te identificeren.(…). Herleidbaarheid tot een natuurlijk persoon, voorzover die redelijkerwijs door een derde kan worden bewerkstelligd, is dus voldoende.

IP-adres

Is een IP-adres , dat wil zeggen het internetnummer waarmee een computer zichzelf op internet kenbaar maakt, een persoonsgegeven? Ja. Een IP-adres is een persoonsgegeven omdat het door een derde – de internetaanbieder – eenvoudig te herleiden valt tot een natuurlijk persoon, de afnemer van het internetabonnement. Dit geldt ook voor dynamische IP adressen die worden verwerkt in combinatie met datum en tijd. Het maakt geen verschil dat een verantwoordelijke het IP adres niet zal gebruiken om een persoon mee te identificeren. Het feit dat de mogelijkheid bestaat bij de verantwoordelijke of bij een derde om dit te doen, is voldoende. Dat het IP-adres in sommige gevallen naar een rechtspersoon leidt, in plaats van naar een natuurlijk persoon, doet niet af aan het feit dat het in de meeste gevallen wel degelijk om persoonsgegevens gaat en dat dus de hele verzameling moet worden behandeld conform de uitgangspunten van de Wbp. Ten slotte is van belang dat op basis van het IP-adres beslissingen kunnen worden genomen over de toegang tot bepaalde informatie, zonder dat een dienstverlener op internet überhaupt enige moeite hoeft te doen om zelf persoonsgegevens te verbinden aan een IP-adres. Denk bijvoorbeeld aan onderscheid naar geografische herkomst bij de toegang tot en de presentatie van (delen van) websites11Opinion 4/2007 , blz 14: ’Also on the Web, web traffic surveillance tools make it easy to identify the behaviour of a machine and, behind the machine, that of its user. Thus, the individual’s personality is pieced together in order to attribute certain decisions to him or her. Without even enquiring about the name and address of the individual it is possible to categorise this person on the basis of socio-economic, psychological, philosophical or other criteria and attribute certain decisions to him or her since the individual’s contact point (a computer) no longer necessarily requires the disclosure of his or her identity in the narrow sense.’. Ook het registreren en eventueel op internet publiceren van IP-adressen van bezoekers van een website of deelnemers aan een discussieforum valt dus onder het bereik van de Wbp.

4. Wanneer is een gegeven géén persoonsgegeven?

Gegevens over organisaties, zoals bedrijven of stichtingen, zijn geen persoonsgegevens in de zin van de Wbp. De wet is wel weer van toepassing op bedrijven als het gegeven herleidbaar is naar een persoon, zoals bij een eenmanszaak, of als het over de individuele bestuurders gaat van een onderneming of stichting.

De Wbp is evenmin van toepassing op gegevens die betrekking hebben op personen die overleden zijn. Als de gegevens van een overledene echter ook betrekking hebben op een nabestaande (bijvoorbeeld in het geval van informatie over een erfelijke ziekte), kan de Wbp wel van toepassing zijn.

Genealogische websites

Wie geïnteresseerd is in stamboomonderzoek, vindt op internet steeds meer bronnen, zowel gedigitaliseerd archiefmateriaal als onderzoek door (amateur-) genealogen. Omdat de Wbp niet van toepassing is op overleden personen, zijn er vanuit de Wbp weinig bezwaren tegen het publiceren van een stamboom op internet. Toch ontvangt het CBP regelmatig vragen en klachten over stambomen op internet. In het begrijpelijke streven naar volledigheid bevatten veel stambomen informatie over levende personen, zoals hun geboortedatum. In sommige stambomen worden zelfs de ziekten vermeld waaraan mensen zijn overleden. Dergelijke informatie kan betrekking hebben op nabestaanden en dus een persoonsgegeven zijn, als het gaat om erfelijke ziekten waarmee de kinderen kunnen zijn belast. Dat kan het geval zijn bij een moeder die aan hemofilie leed. Omdat deze ziekte is gebonden aan een gen in het X-chromosoom, geeft zij de ziekte in ieder geval door aan zonen. In dit voorbeeld is de Wbp dus wel van toepassing. Wie een stamboom wil publiceren op internet, doet er verstandig aan om zich in eerste instantie te beperken tot gegevens van overledenen en alleen gegevens op te nemen over levende personen als zij daarin ondubbelzinnig hebben toegestemd. De Wbp kent geen principe als ‘wie zwijgt, stemt toe’ bij het publiceren op internet van persoonsgegevens. De publicist moet reële moeite doen om de (levende) familieleden te bereiken en hen – voorafgaand aan de publicatie op internet van hun persoonsgegevens – vertellen wat hij over hen wil publiceren en met welk doel. Als een familielid geen toestemming geeft voor een dergelijke vermelding, mogen zijn of haar gegevens niet worden gepubliceerd. De publicist kan in de stamboom op internet een verwijzing opnemen als: ‘Uit dit huwelijk kwamen drie kinderen voort, onder wie...’

Gegevens over objecten zijn over het algemeen ook geen persoonsgegevens. In grensgevallen is de context waarin van de gegevens gebruik wordt gemaakt van belang. Gegevens over objecten, zoals woonhuizen, zijn persoonsgegevens als de informatie kan worden gebruikt om de bewoners of eigenaren te beoordelen en daar consequenties aan te verbinden, zoals de hoogte van een belastingheffing.

Panoramafoto’s van huizen

In 2001 deed de Registratiekamer (de voorganger van het CBP) onderzoek naar het gebruik van geoinformatie12Registratiekamer, 16 februari 2001, z2000-1172, URL: http://www.cbpweb.nl/documenten/uit_z2000- 1172.stm. Een bedrijf maakte digitale opnames van openbare ruimten met een beeld van 360 graden. De beelden konden doorzocht worden op gemeente, plaats, straat en huisnummer. Omdat de eigenaren en bewoners van de betrokken panden zonder onevenredige moeite konden worden geïdentificeerd en de digitale beelden onder meer door gemeenten werden gebruikt om de waarde van panden te taxeren, stelde de Registratiekamer vast dat de foto’s persoonsgegevens waren, waarvoor zowel de makers als de afnemers verantwoordelijk waren in de zin van de Wbp.

5. Anonieme of pseudonieme data

Geanonimiseerde gegevens zijn geen persoonsgegevens als de betrokken personen redelijkerwijs niet identificeerbaar zijn. De vraag of een gegeven daadwerkelijk anoniem is, komt met name aan de orde bij het publiceren van statistische informatie op internet. Geaggregeerde informatie kan toch persoonsgegevens bevatten als het aantal betrokkenen klein is en er andere informatie beschikbaar is, bijvoorbeeld via zoekmachines, waardoor individuele personen toch kunnen worden geïdentificeerd.

Door pseudonimisering zijn gegevens soms geen persoonsgegevens, afhankelijk van de gekozen versleutelingsmethode. Zolang de gegevens echter zonder onevenredige inspanning herleidbaar blijven naar natuurlijke personen, door de verantwoordelijke of door een derde, moeten ze als persoonsgegevens worden behandeld.13Zie opinie 4/2007 voor meer voorbeelden, blz. 18-21. Dat kan het geval zijn bij het gebruik van pseudoniemen voor bijdragen aan een discussie-forum. Ook als slechts één forumhouder de identiteit kent van de betrokkene, is het pseudoniem daarmee herleidbaar en is het een persoonsgegeven op alle plaatsen waar het pseudoniem wordt gebruikt. Het gebruik van pseudoniemen kan ook op een andere manier tot herleidbaarheid leiden. Veel mensen gebruiken hetzelfde pseudoniem voor al hun activiteiten op internet. Door zoekmachines kunnen persoonlijke details van een betrokkene ongewild worden gekoppeld aan bijdragen die bedoeld waren anoniem te zijn.

6. Termijn van de publicatie

Verantwoordelijken voor publicaties op internet dienen zich rekenschap te geven van de gevolgen van de vaak lange of onbepaalde termijn van een publicatie. Door technische ontwikkelingen kan een gegeven dat op het moment van publicatie geen persoonsgegeven lijkt, later toch herleidbaar worden naar een persoon. Verantwoordelijken kunnen dan vanaf dat moment worden aangesproken op grond van de Wbp.14Kamerstukken II, 25 892, nr. 9, blz. 2. Zie ook de MvT, blz. 49: ’Wat dus bij een bepaalde stand van de techniek als anoniem, want redelijkerwijs niet op een persoon herleidbaar gegeven, kan worden beschouwd, kan door technische ontwikkelingen alsnog een persoonsgegeven worden gelet op de toegenomen mogelijkheden tot herleiding.’ Daarom is het van belang dat verantwoordelijken die niet in strijd met de Wbp willen handelen ervoor zorgen dat ze een beperkte, op de risico’s afgestemde, termijn hanteren voor publicatie van gegevens die geen persoonsgegevens lijken en ingrijpen zodra ze merken dat gegevens alsnog herleidbaar worden naar personen.15Opinie 4/2007, blz. 15: ’If the data are intended to be stored for one month, identification may not be anticipated to be possible during the “lifetime” of the information, and they should not be considered as personal data. However, it they are intended to be kept for 10 years, the controller should consider the possibility of identification that may occur also in the ninth year of their lifetime, and which may make them personal data at that moment. The system should be able to adapt to these developments as they happen, and to incorporate then the appropriate technical and organisational measures in due course.’

Het publiceren van verslagen van vergaderingen

Een organisatie besluit de verslagen van vergaderingen op internet te zetten. Zo kan iedereen in en buiten de organisatie zien hoe de organisatie functioneert. Als er persoonsgegevens in de verslagen staan moet de verantwoordelijke zich houden aan de regels van de Wbp. Als de openbaarheid van de verslagen niet gelegitimeerd wordt door de taken van de organisatie of de arbeidsverhouding zal de verantwoordelijke in beginsel toestemming moeten hebben van de betrokkene(n). In het bijzonder moet de verantwoordelijke een termijn vaststellen hoe lang de stukken op internet blijven staan. Om te laten zien hoe een organisatie functioneert lijkt een termijn van 2 jaar genoeg. Het gebruik van een systeem voor webpublicatie dat het mogelijk maakt deze termijn automatisch in te stellen, is een eenvoudig voorbeeld van het gebruik van Privacy Enhancing Technologies.

7. Uitzonderingen op de toepasselijkheid van de Wbp

Er zijn drie soorten gegevensgebruik waarop de Wbp niet of slechts gedeeltelijk van toepassing is. Dat zijn: verwerkingen voor persoonlijk of huishoudelijk gebruik, gebruik voor uitsluitend journalistieke, artistieke of literaire doeleinden en gebruik voor historische, wetenschappelijke of statistische doeleinden.

7.1. Persoonlijk of huishoudelijk gebruik

De eerste uitzondering is de meest absolute. De Wbp is in het geheel niet van toepassing op de verwerking van persoonsgegevens voor uitsluitend persoonlijke of huishoudelijke doeleinden. Dit om te voorkomen dat alledaagse handelingen van privépersonen, zoals het bijhouden van een adresboek, onder de werking van de wet zouden vallen.

De uitzondering voor persoonlijk/huishoudelijk gebruik in de Wbp betreft gebruik voor ‘een duidelijk bepaalbare groep van personen’. 16MvT blz. 70. De uitzondering geldt ook voor gebruik door familieleden of vrienden die niet tot het directe huishouden behoren, mits de toegang daadwerkelijk afgebakend is tot een benoembare groep familieleden, kennissen of vrienden.

Wie bijvoorbeeld een weblog wil bijhouden op internet voor het eigen gezin en zich wil beroepen op de exceptie van persoonlijk of huishoudelijk gebruik, moet passende maatregelen nemen om de toegang daadwerkelijk te beperken tot die beperkte kring. Dat kan bijvoorbeeld door middel van het hanteren van een verplicht wachtwoord, maar ook door de pagina’s met persoonsgegevens af te schermen van zoekmachines. Meer over beveiligingsmaatregelen valt te lezen in hoofdstuk II.8. van deze richtsnoeren.

Zodra de gegevens echter verstrekt worden aan een onbekend aantal personen, hetgeen het geval is bij vrij toegankelijke publicaties op internet, is de Wbp volledig van toepassing.17MvT blz. 69: ’Bij de totstandkoming van de richtlijn hebben de Raad van Ministers en de Europese Commissie hierover voor de notulen verklaard dat deze formulering er niet toe mag leiden dat de verwerking van persoonsgegevens door een natuurlijke persoon, waarbij deze gegevens niet worden verstrekt aan één of meer personen, doch aan een onbepaald aantal personen, kan worden uitgesloten van de richtlijn.’ Veel persoonlijke publicaties die bedoeld zijn voor een beperkte kring belangstellenden, vallen daarom toch onder de Wbp. Het kan gaan om een website ter verwelkoming van een pasgeborene, beelden van vakantieactiviteiten of een weblog met persoonlijk commentaar op de gebeurtenissen van alledag. Als iedere belangstellende de publicatie kan bekijken en de persoonsgegevens niet afgeschermd zijn tegen verdere verwerking door zoekmachines, is de Wbp volledig van toepassing.

7.2. Journalistieke, artistieke of literaire doeleinden

Op gegevensverwerkingen op internet voor uitsluitend journalistieke, artistieke of literaire doeleinden is de Wbp gedeeltelijk van toepassing.18Considerans 17 van de richtlijn: ’Overwegende dat wat betreft verwerkingen van geluid- en beeldgegevens voor journalistieke, literaire of artistieke doeleinden, met name in de audiovisuele sector, de beginselen van de richtlijn, met een aantal beperkingen overeenkomstig artikel 9 van toepassing zijn.’ Daarbij heeft de wetgever gezocht naar een balans tussen het recht op bescherming van persoonsgegevens en het recht op vrijheid van meningsuiting. In hoofdstuk 4 van deze richtsnoeren wordt deze balans verder toegelicht en wordt uitgewerkt wanneer een publicatie op internet voldoet aan het criterium van ‘uitsluitend journalistieke, artistieke of literaire doeleinden’.

7.3. Historische, statistische of wetenschappelijke doeleinden

Ten slotte is er een uitzonderingsgrond op de toepasselijkheid van de Wbp19Bij de behandeling van de Wbp in de Tweede Kamer heeft de minister overigens gepreciseerd dat het niet om een algemene uitzonderingsgrond gaat, maar om ’een sectorale precisering van de verenigbaarheidseis in de vorm van een onweerlegbaar rechtsvermoeden’. Kamerstukken II, nr. 25 892, nr. 6, blz. 17. die het mogelijk maakt dat persoonsgegevens die voor een ander doeleinde zijn verzameld, toch voor historische, statistische of wetenschappelijke doeleinden kunnen worden gebruikt.

Verantwoordelijken die persoonsgegevens op internet willen publiceren in het kader van wetenschappelijk, historisch of statistisch onderzoek, dienen de nodige maatregelen te treffen om ervoor te zorgen dat de gegevens alleen ten behoeve van deze specifieke doeleinden worden verwerkt.20Artikel 9 derde lid Wbp: ’Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden.’ Dat kunnen technische maatregelen zijn, zoals afscherming van de publicatie door middel van een wachtwoord (zie ook Hoofdstuk II paragraaf 8 over beveiliging), juridische maatregelen, zoals het contractueel vastleggen van het gebruik dat van de gegevens mag worden gemaakt, maar ook organisatorische maatregelen, zoals het inrichten van een procedure om toegangsverzoeken individueel te kunnen beoordelen. Deze uitzondering zal daarom in de praktijk alleen van toepassing zijn op strikt afgeschermde intranetten.

De verantwoordelijke mag dergelijke gegevens ook langer bewaren dan strikt noodzakelijk voor het oorspronkelijke doeleinde, mits opnieuw adequate beschermingsmaatregelen zijn getroffen tegen oneigenlijk gebruik.21Artikel 10 tweede lid Wbp: ’Persoonsgegevens mogen langer worden bewaard dan bepaald in het eerste lid voor zover ze voor historische, statistische of wetenschappelijke doeleinden worden bewaard, en de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de desbetreffende gegevens uitsluitend voor deze specifieke doeleinden worden gebruikt.’ Ten slotte hoeven instellingen of diensten voor wetenschappelijk onderzoek of statistiek in bepaalde gevallen niet te voldoen aan de informatieplicht en het inzagerecht.22Artikel 44 Wbp: ’Indien een verwerking plaatsvindt door instellingen of diensten voor wetenschappelijk onderzoek of statistiek, en de nodige voorzieningen zijn getroffen om te verzekeren dat de persoonsgegevens uitsluitend voor statistische en wetenschappelijke doeleinden kunnen worden gebruikt, kan de verantwoordelijke een mededeling als bedoeld in artikel 34 achterwege laten en weigeren aan een verzoek als bedoeld in artikel 35 te voldoen.’

Publiceren internetstatistieken

Voor statistische doeleinden houden veel verantwoordelijken statistieken bij over het gebruik van hun website, waaronder bijvoorbeeld IP-adressen en zoektermen. Wie dergelijke statistieken op internet publiceert, kan zich niet vergewissen van het doeleinde waarvoor bezoekers deze gegevens verder verwerken. Om toch openbaar inzicht te geven in het gebruik van de site, kunnen gegevens over bezoekersaantallen en meest gebruikte zoektermen geanonimiseerd worden gepubliceerd.23Publicatie van de zoektermen is overigens risicovol, bleek toen AOL een groot aantal zoekresultaten publiceerde in augustus 2006, nadat de Amerikaanse justitie deze had opgevraagd. De zoektermen bleken ook persoonsgegevens te bevatten, zoals de namen van mensen die naar zichzelf zochten. De statistieken mogen wel voor intern gebruik ontsloten worden voor de medewerkers die de toegang beroepshalve nodig hebben.

Het publiceren op internet van een archief met persoonsgegevens, bijvoorbeeld een verzameling historische homepages, ten behoeve van een historisch, statistisch of wetenschappelijk doeleinde, is alleen toegestaan als de verantwoordelijke de nodige maatregelen heeft getroffen om ervoor te zorgen dat de gegevens ook uitsluitend voor dat historisch, statistisch of wetenschappelijk doel worden gebruikt. Als een archief met persoonsgegevens ook bijzondere persoonsgegevens (zie hierna, paragraaf 8) bevat, gelden nog strengere regels. De verwerking daarvan is verboden, tenzij een van de uitzonderingen van toepassing is. Twee belangrijke algemene uitzonderingen zijn dat de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt (bijvoorbeeld in het geval van een homepage en alleen voor zover het gegevens over de betrokkene zelf bevat) of als de betrokkene uitdrukkelijk toestemming heeft gegeven voor publicatie. De Wbp kent daarnaast een specifieke uitzondering op het verwerkingsverbod van bijzondere persoonsgegevens voor wetenschappelijk onderzoek of statistiek (en dus niet voor algemene historische doeleinden!), maar alleen als aan vier voorwaarden is voldaan:

Een archief van internetpagina’s met persoonsgegevens mag dus wel aangelegd worden voor wetenschappelijke doeleinden en via terminals in de bibliotheek ontsloten worden voor een beperkte groep wetenschappers, maar mag niet automatisch opnieuw op internet worden gepubliceerd. Niet iedere wetenschapper mag bovendien automatisch toegang krijgen tot het gedigitaliseerde materiaal; de erfgoedinstelling moet elke specifieke onderzoeksvraag toetsen aan de vier bovengenoemde eisen.

De Juridische Wegwijzer Archieven en Musea online concludeert daarom terecht: Het verwerken van bijzondere persoonsgegevens in het kader van de digitale beschikbaarstelling van erfgoed kan dus op zeer gespannen voet staan met de Wbp. Beschikbaarstelling van bijzondere persoonsgegevens aan een groot, onbepaald publiek is problematisch; de uitzondering ten behoeve van wetenschappelijk onderzoek levert immers geen soelaas voor de instelling die zijn materiaal breed beschikbaar wil stellen.25Annemarie Beunen en Tjeerd Schiphof, Juridische Wegwijzer Archieven en Musea online, in opdracht van de Taskforce Archieven en Museumvereniging, 2006, blz. 44.

8. Wat is een bijzonder persoonsgegeven?

De Wbp maakt onderscheid tussen ‘gewone’ en ‘bijzondere’ persoonsgegevens. Bijzondere persoonsgegevens zijn gegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging. Ook strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag zijn bijzondere persoonsgegevens. Van belang is dat het begrip ‘strafrechtelijke gegevens’ zowel informatie over veroordelingen omvat als min of meer gegronde verdenkingen. Het gegeven dat iemand is gearresteerd of dat tegen hem proces-verbaal is opgemaakt wegens een bepaald vergrijp is ook een strafrechtelijk gegeven.

Bijzondere persoonsgegevens zijn onderworpen aan een strenger wettelijk regime dan de overige persoonsgegevens. Verwerking van bijzondere persoonsgegevens is verboden26De wettelijke uitzonderingen staan beschreven in de artikelen 17 tot en met 22 Wbp, zoals het eigen gebruik van gegevens over het lidmaatschap van een politieke partij, vakbond of kerk door de desbetreffende organisatie of het gebruik van medische gegevens door hulpverleners als dat noodzakelijk is voor de goede behandeling of verzorging van een betrokkene. In beginsel is geen van deze uitzonderingen van toepassing op de (open) publicatie van persoonsgegevens op internet., tenzij de betrokkene daarvoor uitdrukkelijke toestemming heeft gegeven, of als de betrokkene de gegevens bewust zelf openbaar heeft gemaakt.

8.1. Uitzonderingen op het verbod om bijzondere persoonsgegevens te publiceren

Wie toch bijzondere persoonsgegevens op internet wil publiceren, kan gebruik maken van een van de twee hierboven al vermelde algemene uitzonderingen op het verwerkingsverbod, uitdrukkelijke toestemming van de betrokkene of het feit dat de gegevens door de betrokkene bewust zelf openbaar zijn gemaakt.

8.1.1. Uitdrukkelijke toestemming

Met het begrip ‘uitdrukkelijke toestemming’ stelt de Wbp een zware eis aan de kwaliteit van de toestemming. Die mag niet impliciet of stilzwijgend zijn; de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking.27MvT, blz. 122-123. De uitdrukkelijke individuele toestemming kan dus niet vervangen worden door het aanbieden van een mogelijkheid om de gegevens te laten verwijderen (ook wel een ‘opt out’ genoemd).

8.1.2. Zelf openbaar gemaakt

Iedere volwassene die op zijn of haar eigen homepage of weblog met opzet en onder eigen naam gevoelige informatie over zichzelf publiceert, zoals verslagen van medische perikelen, maakt die gegevens duidelijk zelf openbaar. Daardoor vervalt het verbod om die bijzondere gegevens te verzamelen en te verwerken. Of iemand een bijzonder gegeven heeft openbaar gemaakt, hangt soms af van de intentie van de betrokkene. Een politicus die zich verkiesbaar stelt, maakt zijn politieke gezindheid duidelijk openbaar. Dat geldt ook voor een imam die in die hoedanigheid in het openbaar uitspraken doet over de Islam. Maar het geldt niet voor een ziekmelding of voor een lichamelijke handicap. Hoewel een lichamelijke handicap vaak voor eenieder zichtbaar is, maakt de betrokkene dit gezondheidsgegeven niet uit vrije wil openbaar. Het gegeven mag dus niet worden verwerkt, tenzij de betrokkene er actief in het openbaar aandacht voor vraagt, bijvoorbeeld als belangenbehartiger van een patiëntenvereniging.

8.2. Beeldmateriaal

Ook foto’s, video- en geluidsopnamen van herkenbare natuurlijke personen zijn persoonsgegevens.28Richtlijn 95/46/EG, overweging 14: ’overwegende dat, gezien het belang van de in het kader van de informatiemaatschappij aan de gang zijnde ontwikkelingen inzake de technieken voor het opvangen, doorsturen, manipuleren, registreren, bewaren of mededelen van geluid- en beeldgegevens betreffende natuurlijke personen, deze richtlijn ook van toepassing zal moeten zijn op verwerkingen die op deze gegevens betrekking hebben.’ Herkenbaar is daarbij breder dan direct identificeerbaar. Zelfs als het gezicht van een betrokkene wordt gemaskeerd, bijvoorbeeld met een zwart balkje, kan een foto een persoonsgegeven zijn. Dat is bijvoorbeeld het geval bij publicatie van camerabeelden van vermeende winkeldieven. Er bestaat een kans dat de betrokkenen herkend worden door hun vrienden, bekenden of buren, op grond van hun uiterlijk, kapsel en kleding.29Opinion 4/2007, Example No. 19: Publication of video surveillance, blz. 21.

Foto’s van leerlingen

Een lagere school besluit de foto’s van een schoolreisje op de website van de school te zetten. De school moet zich daarbij houden aan de regels van de Wbp. In het bijzonder moet de school uitdrukkelijke toestemming hebben van de ouders van de kinderen. Deze toestemming kan nadien altijd worden ingetrokken. In dat geval moet de school het beeldmateriaal van de betrokkene in beginsel verwijderen.

Als een persoon beeldmateriaal over zichzelf publiceert, geeft hij toestemming voor publicatie in die context. Daarmee is een rechtvaardigingsgrond aanwezig, ook voor de houder van de website waarop het materiaal wordt gepubliceerd. Als iemand beeldmateriaal van andere natuurlijke personen op internet wil publiceren, moet hij daarvoor toestemming van de betrokkenen hebben of een aantoonbare noodzaak voor de publicatie kunnen aantonen (zie II.4). Alleen als een verantwoordelijke foto’s of ander beeldmateriaal publiceert met het uitdrukkelijke doel om onderscheid te maken naar ras, is bijzondere oplettendheid geboden. In dat geval acht het CBP het een redelijke wetstoepassing om het beeldmateriaal aan te merken als een bijzonder persoonsgegeven. Verwerking daarvan is verboden, tenzij een van de hierboven beschreven uitzonderingen van toepassing is. Ten aanzien van publicaties met uitsluitend journalistieke, artistieke of literaire doeleinden (zie hoofdstuk 4 van deze richtsnoeren) gelden ruimere verwerkingsmogelijkheden van beeld- en geluidsmateriaal. Daarnaast is de Wbp niet van toepassing op publicatie van beeldmateriaal op internet voor uitsluitend persoonlijke of huishoudelijke doeleinden. Privépersonen kunnen op grond van die exceptie dus bijvoorbeeld vrijelijk familiefoto’s op internet publiceren, mits de toegang adequaat is afgebakend tot een duidelijk bepaalbare groep van personen. Dit geldt ook voor foto’s op profielsites. Als het profiel is afgeschermd voor zoekmachines en de toegang is beperkt tot vrienden of kennissen, valt de publicatie onder de persoonlijk/huishoudelijke exceptie. De Wbp is dan in het geheel niet van toepassing.

8.3. Identificatienummers

Identificatienummers vormen een aparte categorie bijzondere persoonsgegevens. Omdat persoonsnummers de koppeling van verschillende bestanden vergemakkelijken, vormen ze een extra bedreiging voor de persoonlijke levenssfeer. Volgens artikel 24 Wbp mogen wettelijk voorgeschreven nummers ter identificatie van personen alleen worden gebruikt voor de uitvoering van de betreffende wet of voor doeleinden die bij de wet zijn bepaald. Dit betekent in de praktijk dat het niet is toegestaan om bijvoorbeeld iemands sofinummer (straks: burgerservicenummer) op internet te publiceren, zelfs niet als de betrokkene er toestemming voor heeft gegeven.

Hoofdstuk II. Verplichtingen van de verantwoordelijke

1. Inleiding

Onrechtmatige publicaties van persoonsgegevens moeten door de verantwoordelijke onmiddellijk van internet worden verwijderd. Maar ook voorafgaand aan de publicatie van persoonsgegevens op internet dient een verantwoordelijke een aantal stappen te doorlopen om onrechtmatigheid te voorkomen. Dit hoofdstuk van de richtsnoeren bevat aanwijzingen voor de verantwoordelijke om in de fasen voorafgaand aan, tijdens en volgend op publicatie aan de vereisten van de Wet bescherming persoonsgegevens te voldoen.

Zoals in het onderstaande zal worden uitgelegd dient de verantwoordelijke voorafgaand aan de publicatie vast te stellen of de publicatie een legitiem doeleinde dient en of dat doel verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verkregen. De verantwoordelijke dient bij voorkeur toestemming te vragen van de betrokkenen, of anders te kunnen onderbouwen dat publicatie is toegestaan op grond van een van de andere wettelijke regels over de noodzakelijkheid van de publicatie.

Bij de publicatie dienen verantwoordelijken betrokkenen actief te informeren over het doel en de opzet van de publicatie. Daarnaast moet iedere verantwoordelijke zijn eigen identiteit duidelijk vermelden, toegankelijk voor iedere bezoeker van de publicatie. Persoonsgegevens mogen niet langer bewaard en ter beschikking worden gesteld dan strikt noodzakelijk. Bovendien moet de verantwoordelijke actief de kwaliteit en juistheid van de gepubliceerde persoonsgegevens waarborgen. Een laatste belangrijke stap die verantwoordelijken moeten nemen om te voldoen aan de vereisten van de Wbp is het treffen van beveiligingsmaatregelen tegen onbevoegd gebruik.

Ten slotte dienen verantwoordelijken zich bewust te zijn van de verplichting om ook na de publicatie nog wijzigingen aan te brengen, bijvoorbeeld als een betrokkene zijn toestemming voor publicatie intrekt, of als de gegevens onrechtmatig blijken te zijn.

2. Legitieme doeleinden

Wie persoonsgegevens van derden wil publiceren op internet, moet zich afvragen of hij de gegevens verzamelt en gebruikt voor een legitiem doeleinde. Artikel 7 van de Wbp legt vast dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld. Een doeleinde kan bijvoorbeeld zijn: voortzetting van het papieren clubblad op internet, met als doeleinde het informeren van de leden van de vereniging over de verenigingsactiviteiten. Een doeleinde mag niet zo vaag of ruim zijn dat er geen kader is om te toetsen of de gegevens werkelijk nodig zijn voor het gestelde doel.

3. Verdere verwerking

Bij het publiceren op internet van gegevens die voor een ander doeleinde zijn verzameld, dient de verantwoordelijke vast te stellen of publicatie op internet verenigbaar is met die doeleinden.Artikel 9 van de Wbp stelt een afweging verplicht tussen het oorspronkelijke doeleinde en de verdere verwerking en geeft daarbij vijf criteria waarmee in elk geval rekening moet worden gehouden;

Gegevens van oud-leerlingen

Een school voor voortgezet onderwijs vraagt alle leerlingen of ze ook na het eindexamen hun correcte contactgegevens willen blijven doorgeven aan de schooladministratie, zoals adres, telefoonnummer en e-mailadres. De school noemt het organiseren van toekomstige reünies als doeleinde, evenals het kunnen toesturen van andere informatie over lustra en jubilea van de school. De school wordt regelmatig benaderd door oud-leerlingen die contact zoeken met voormalige klasgenoten. De school besluit de contactgegevens van alle oud-leerlingen op internet te publiceren, om hen in staat te stellen makkelijker zelf contact met elkaar op te kunnen nemen. Deze werkwijze is in strijd met het doelbindingsprincipe uit de Wbp, omdat de gegevens voor een ander doeleinde zijn verzameld en de publicatie op internet vervelende gevolgen kan hebben voor de betrokkenen. De publicatie op internet van de contactgegevens kan bijvoorbeeld leiden tot spam of ongewenst contact met andere oud-leerlingen, maar ook in algemene zin tot een oordeel door derden over iemands kwaliteiten in relatie tot de kwaliteit en aard van de betreffende school. Als de school de oudleerlingen in staat wil stellen contact met elkaar op te nemen, moet ze een andere manier kiezen, bijvoorbeeld op basis van expliciete toestemming bij het verzamelen van de gegevens. Daarbij is het belangrijk dat de school nadenkt over passende waarborgen, zoals afscherming van de gegevens door middel van een (uniek) wachtwoord en afscherming van de pagina’s voor zoekmachines.

3.1. Hergebruik van persoonsgegevens uit andere publicaties

Veel mensen gebruiken gegevens van andere websites voor een eigen publicatie, zoals foto’s waar mensen herkenbaar op staan of adressen. De Wbp stelt echter belangrijke beperkingen aan het hergebruik. Het feit dat persoonsgegevens op internet staan, betekent niet dat ze zomaar opnieuw gebruikt mogen worden in een andere context, voor een ander doeleinde. Het nieuwe doel moet verenigbaar zijn met het oude doel en de verantwoordelijke dient een zelfstandige rechtvaardigingsgrond te hebben voor de publicatie. Iemand die bijvoorbeeld een weblog bijhoudt waarin hij of zij ook bijzondere persoonsgegevens over zichzelf verwerkt, zoals een beschrijving van gezondheidsklachten, maakt die gegevens zelf openbaar. Hergebruik van bijzondere persoonsgegevens is niet verboden als de betrokkene de gegevens zelf openbaar heeft gemaakt, maar de verantwoordelijke die deze gegevens in een eigen publicatie wil verwerken, dient een zelfstandige rechtvaardigingsgrond te hebben (zie hierna paragraaf 4: toestemming vragen of noodzaak aantonen).

Het verenigbaarheidsvereiste uit de Wbp heeft sterke raakvlakken met bepalingen in de wet over de kwaliteit en beveiliging van gegevens. Zelfs als het nieuwe doel verenigbaar is met het oude doel, kan de verwerking onrechtmatig zijn, bijvoorbeeld als het gaat om het overnemen van verouderde, onjuiste informatie over iemands functie of beroep. De onderwerpen kwaliteit en beveiliging komen nader aan de orde in de paragrafen 7 en 8 van dit hoofdstuk. Daarnaast geldt het algemene uitgangspunt (uit artikel 6 Wbp) dat verantwoordelijken op behoorlijke en zorgvuldige wijze te werk dienen te gaan bij het verzamelen en verwerken van persoonsgegevens. Deze bepaling speelt zeker bij de beoordeling van de verenigbaarheid van publicaties op internet een belangrijke rol.

3.2. Hergebruik van persoonsgegevens door derden

Verantwoordelijken dienen zich bij het beoordelen of (her-)publicatie van persoonsgegevens op internet verenigbaar is met het oorspronkelijke doeleinde niet alleen rekenschap te geven van de herkomst van de gegevens, maar ook van het risico dat anderen de gegevens gebruiken die de verantwoordelijke zelf op internet publiceert. Om de risico’s voor betrokkenen te verkleinen, dient elke verantwoordelijke adequate beveiligingsmaatregelen te treffen tegen oneigenlijk verder gebruik.

Voor een juiste risico-inschatting moet de rol van zoekmachines worden meegewogen. Publicaties op internet die eigenlijk gericht zijn op een klein publiek, worden door zoekmachines wereldwijd toegankelijk gemaakt. Zoekmachines kunnen verspreide informatie van verschillende aard over een persoon koppelen. Dat kan een nieuw beeld opleveren, met een veel hoger risico voor de betrokkene dan elk van de afzonderlijke gegevens meebrengt. Strikte inperking van de gebruiksmogelijkheden en afscherming van persoonsgegevens voor zoekmachines zijn daarom belangrijke maatregelen om oneigenlijk hergebruik te voorkomen. Dit vereiste wordt nader uitgewerkt in paragraaf 8 van dit hoofdstuk.

3.3. Geheimhoudingsplicht

De Wbp verbiedt publicatie van persoonsgegevens indien de gegevens onder een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift vallen.30Wbp, artikel 9 lid 4. Deze bepaling wordt dikwijls ingezet in zaken waarin het medisch beroepsgeheim speelt, maar is door het CBP ook gehanteerd bij het beoordelen van een overheidsinitiatief om persoonsgegevens openbaar te maken via internet.

Publicatie van waardegegevens onroerend goed

In 2003 vroeg het Ministerie van Financiën advies aan het CBP over een aantal voorgenomen wijzigingen in de Wet waardering onroerende zaken (Wet WOZ). Het voorstel beoogde de openbaarheid van WOZ-gegevens te vergroten door de taxatierapporten op internet te plaatsen. Het CBP adviseerde31CBP, z2003-01563, 11 februari 2004, URL: http://www.cbpweb.nl/documenten/adv_z2003- 1563.stm: Gelet op het vorengaande komt het CBP tot het oordeel dat een algemene toegankelijkheid van waardegegevens op het internet zich niet verhoudt met de Wbp en de Wet WOZ. Het CBP onderschrijft het oordeel van de Raad van State dat het waardegegeven privacygevoelige informatie betreft. Verdere verwerking van deze gegevens (door plaatsing op het internet) dient daarom op grond van het bepaalde in artikel 40, eerste lid, Wet WOZ en artikel 9, vierde lid, Wbp achterwege te blijven.

4. Toestemming vragen of noodzaak kunnen aantonen

Voor verantwoordelijken die persoonsgegevens op internet willen publiceren, geldt dat zij toestemming nodig hebben van de betrokkenen, tenzij er een aantoonbare andere noodzaak is voor de publicatie, zoals nakoming van een wettelijke verplichting of uitvoering van een contractuele verplichting. De Wbp noemt dit een grondslag voor een gerechtvaardigde gegevensverwerking. In deze richtsnoeren wordt hiervoor het begrip ‘rechtvaardigingsgrond’ gehanteerd. Artikel 8 Wbp somt in totaal zes rechtvaardigingsgronden op.32Zie voor een algemene toelichting op artikel 8 Wbp het informatieblad ‘Verstrekken van persoonsgegevens’ voor verantwoordelijken, en het informatieblad ‘Verstrekken van uw persoonsgegevens’ voor betrokkenen, beschikbaar via de website van het CBP, URL: http://www.cbpweb.nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Indien er geen toestemming is (artikel 8 onder a Wbp) mag publicatie uitsluitend indien deze noodzakelijk is volgens een van de volgende vijf rechtvaardigingsgronden:

– voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst (artikel 8 onder b Wbp);

– om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is (artikel 8 onder c Wbp);

– ter vrijwaring van een vitaal belang van de betrokkene (artikel 8 onder d Wbp);

– voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, (artikel 8 onder e Wbp);

– voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert (artikel 8 onder f Wbp).

Elk van de rechtvaardigingsgronden wordt hierna uitvoerig toegelicht. Ten aanzien van bijzondere persoonsgegevens, zoals strafrechtelijke gegevens, gelden extra regels. Verwerking ervan is verboden, tenzij de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt of uitdrukkelijke toestemming heeft gegeven voor de verwerking (zie hoofdstuk I, paragraaf 8). Opheffing van het verwerkingsverbod ontslaat de verantwoordelijke niet van de plicht om een zelfstandige rechtvaardigingsgrond voor de publicatie te hebben.

4.1. Toestemming

Toestemming, de rechtvaardigingsgrond voor veel publicaties op internet, moet ondubbelzinnig zijn (in het geval van bijzondere persoonsgegevens zelfs ‘uitdrukkelijk’). De verantwoordelijke mag niet uitgaan van het principe ‘wie zwijgt, stemt toe’, maar moet elke twijfel uitsluiten over de vraag òf de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen hij toestemming heeft gekregen. Als het gaat om een openbaar toegankelijk discussieforum of gastenboek op internet, hoeft de verantwoordelijke echter niet expliciet toestemming te vragen voor publicatie van een reactie; hij mag er redelijkerwijs van uitgaan dat de betrokkene begrijpt dat de reactie op internet verschijnt.33’(...) kennis die hij op grond van maatschappelijke opvattingen redelijkerwijs bij de betrokkene aanwezig mag achten.’ MvT, blz. 66.

CWI publiceert gegevens werkzoekenden op internet

Naar aanleiding van berichten in de media dat privégegevens van werkzoekenden vrij toegankelijk waren via de vacaturesite werk.nl heeft het CBP het Centrum voor werk en inkomen in april 2004 om opheldering gevraagd. Uit de verstrekte informatie bleek dat werkzoekenden zelf konden besluiten of zij naast gegevens over opleiding en werkervaring ook andere persoonsgegevens (zoals naam, adresgegevens en telefoonnummer) op internet wilden plaatsen. Het privacystatement van het CWI vermeldde duidelijk dat deze gegevens openbaar toegankelijk waren voor anderen. Het CWI heeft inmiddels wel restricties aangebracht in deze toegang tot gegevens van werkzoekenden. Alleen werkgevers met een zogenaamd werkgeversaccount kunnen nu direct alle gegevens van werkzoekenden opvragen.34CBP, april 2004, z2003-1437, URL: http://www.cbpweb.nl/documenten/uit_z2003- 1437.stm

4.1.1. Toestemming intrekken

Een eenmaal gegeven toestemming tot het verwerken van gegevens kan te allen tijde worden ingetrokken.35Artikel 5 Wbp tweede lid: ’Een toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken.’ De memorie van toelichting bij de Wbp voegt daar volledigheidshalve aan toe dat een dergelijke intrekking geen consequenties heeft voor gegevensverwerkingen die vóór het moment van de intrekking hebben plaatsgevonden.36Een eenmaal gegeven toestemming tot het verzamelen van gegevens kan te allen tijde worden ingetrokken. Een dergelijke intrekking heeft echter geen consequenties voor gegevensverwerkingen die vóór het moment van de intrekking hebben plaatsgevonden. Dit geldt voor alle soorten van verwerkingen. Gezien het dwingende karakter van dit voorschrift is dit expliciet bepaald in artikel 5, tweede lid. MvT, blz. 67/68. Deze inperking heeft echter geen betrekking op het voortduren van de publicatie van persoonsgegevens op internet. Als de toestemming wordt ingetrokken, is de publicatie vanaf dat moment onrechtmatig, tenzij de verantwoordelijke de verwerking kan rechtvaardigen onder een andere rechtvaardigingsgrond. Dat betekent dat verantwoordelijken voor publicaties op internet, voorzover die gebaseerd zijn op toestemming, technische voorzieningen moeten treffen om persoonsgegevens ook daadwerkelijk te kunnen verwijderen als een betrokkene zijn of haar toestemming intrekt.

4.1.2. Toestemming van personen onder de zestien jaar

Met betrekking tot personen onder de zestien jaar stelt de Wbp bijzondere regels. Voor de verwerking van persoonsgegevens van jongeren onder de zestien jaar kunnen alleen de ouders of wettelijk vertegenwoordiger(s) toestemming geven. De verantwoordelijke moet aan kunnen tonen dat hij toestemming heeft gekregen van de ouders. Als dat niet het geval is, is de toestemming van de betreffende jongere nietig en de publicatie op internet van de persoonsgegevens onrechtmatig. 37Artikel 3:40 eerste lid Burgerlijk Wetboek bepaalt dat een rechtshandeling die door inhoud of strekking in strijd is met de goede zeden of de openbare orde, nietig is. De toestemming die met betrekking tot een bepaalde gegevensverwerking niet rechtsgeldig is gegeven, dient als nietig te worden beschouwd. MvT, blz. 67.

De dagelijkse gang van zaken op internet is dat veel jongeren gedetailleerde informatie over zichzelf en hun vrienden en kennissen publiceren op internet, op een eigen website of in sociale netwerkomgevingen. Zo lang de betrokkenen geen hinder ondervinden van dergelijke publicaties, kan het wettelijk toestemmingsvereiste daarbij soms zinloos lijken. Bij publicatie op internet moet echter rekening worden gehouden met het feit dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen dan voorheen.

De grens van 16 jaar in de Wbp betekent dat houders van websites of netwerkomgevingen die speciaal zijn gericht op jongeren onder de 16 jaar een maatschappelijke verantwoordelijkheid hebben om hen te wijzen op hun rechten en plichten, op een heldere en voor de doelgroep begrijpelijke wijze.

Vuistregels publicaties

jongeren Verantwoordelijken voor publicaties of netwerkomgevingen die veel door jongeren worden bezocht, dienen zich om aan de Wbp te voldoen in ieder geval aan de volgende regels te houden:

4.2. Noodzaak

De Wbp kent vijf rechtvaardigingsgronden die gebaseerd zijn op een aantoonbare noodzaak voor de verantwoordelijke. Dat zijn: uitvoering van een overeenkomst, voldoen aan een specifieke wettelijke verplichting, vitaal belang, een goede vervulling van een specifieke publiekrechtelijke taak of een afweging van belangen.

4.2.1. Uitvoering van een overeenkomst

De rechtvaardigingsgrond dat publicatie op internet noodzakelijk is ter uitvoering van een overeenkomst kan van pas komen bij specifieke dienstverlening om via internet te bemiddelen. Dat kan gaan om bemiddeling tussen werkzoekenden en werkgevers, of tussen mensen die op zoek zijn naar contact of een relatie. Daarbij is het wel van belang, in het licht van de informatieplicht uit de Wbp (zie hierna, paragraaf 5) en de bepalingen in het Burgerlijk Wetboek over de toegankelijkheid, begrijpelijkheid, redelijkheid en billijkheid van contractuele bepalingen,38In navolging van diverse EU richtlijnen is de informatieplicht naar consumenten in de jaren negentig van de 20ste eeuw aangescherpt. In Nederland zijn de verscherpte bepalingen uitgewerkt in de artikelen 233 en 234 Boek 6 BW, over de ter hand stelling van algemene voorwaarden en in de artikelen 236 en 237 Boek 6 BW, over onredelijke bedingen. dat betrokkenen goed worden geïnformeerd over welke gegevens op internet worden gepubliceerd en over de mate waarin de gegevens zijn afgeschermd tegen onbedoeld hergebruik door derden, bijvoorbeeld door een wachtwoord en afscherming van de persoonsgegevens van zoekmachines.

4.2.2. Wettelijke verplichting

Het moeten nakomen van een wettelijke verplichting is een rechtvaardigingsgrond die naar verwachting in de toekomst steeds vaker door overheidsinstellingen of beheerders van openbare registers gebruikt kan worden. Er is veel wetgeving in ontwikkeling ter bevordering van de transparantie en eenvormigheid van de besluitvorming door bestuursorganen. Daarbij wordt elektronische publicatie van persoonsgegevens soms expliciet voorgeschreven. Het CBP zet zich daarbij in voor een duidelijk onderscheid tussen openbaarmaking en publicatie op internet. Het openbaar mogen, of zelfs moeten maken van persoonsgegevens betekent niet automatisch dat de gegevens op internet mogen worden gepubliceerd.

Het onderscheid tussen een wettelijke plicht om bepaalde persoonsgegevens te verzamelen en de publicatie ervan op internet speelde een belangrijke rol in het onderzoek dat het CBP in 2005 deed naar de publicatie op internet van (aanvragen voor) bouwvergunningen door de gemeente Nijmegen. Op het gemeentelijk aanvraagformulier moeten allerlei persoonsgegevens worden ingevuld, zoals naam, adres, e-mailadres, telefoonnummer, handtekening en hoogte van de bouwsom. De gemeente scande de aanvraagformulieren in en publiceerde die op internet. Het CBP stelde vast dat er wel een wettelijke verplichting was tot het bijhouden van een bouwregister, maar geen wettelijke verplichting om alle documenten integraal op internet te publiceren.

Het CBP schreef: Dit rechtvaardigt niet zonder meer dat alle persoonsgegevens waarvan de gemeente gebruik heeft gemaakt in de procedure voor het verlenen van de bouwvergunning – gegevens die op goede gronden in het bouwregister voorkomen – opgenomen worden in het via internet toegankelijke Digitaal Bouwarchief. Dat de gemeente bepaalde persoonsgegevens noodzakelijkerwijs mag opnemen

4.2.3. Vitaal belang

De rechtvaardigingsgrond dat publicatie noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene heeft betrekking op een medische noodzaak. Het artikel is bedoeld om mensenlevens te kunnen redden in acute noodsituaties, als de betrokkene bijvoorbeeld buiten bewustzijn is. Het is hoogst onwaarschijnlijk dat deze rechtvaardigingsgrond gebruikt kan worden om een publicatie op internet te rechtvaardigen.

4.2.4. Goede vervulling publiekrechtelijke taak

Overheidsinstellingen of -diensten die persoonsgegevens op internet willen publiceren, kunnen een rechtvaardigingsgrond vinden in artikel 8 onder e Wbp. Er is een rechtvaardigingsgrond als publicatie noodzakelijk is voor een goede vervulling van een publiekrechtelijke taak van het desbetreffende bestuursorgaan. Daarbij moet voor elk te publiceren gegeven de noodzaak zorgvuldig worden afgewogen. Dat verstrekking van bepaalde gegevens aan een bestuursorgaan noodzakelijk is, rechtvaardigt niet dat alle gegevens automatisch ook op internet worden gepubliceerd. Dat geldt ook voor bestuursorganen die actieve openbaarmaking overwegen in het kader van de Wet openbaarheid van bestuur (Wob).

4.2.5. Gerechtvaardigd belang

Een laatste rechtvaardigingsgrond zit in de afweging van het eigen gerechtvaardige publicatiebelang tegen de rechten en vrijheden van betrokkenen, in het bijzonder de bescherming van hun persoonlijke levenssfeer. De afweging is veel algemener van aard dan de eerste vijf rechtvaardigingsgronden en is naar zijn aard afhankelijk van de omstandigheden van een specifieke publicatie. In beginsel zullen slechts weinig publicaties zich op deze rechtvaardigingsgrond kunnen beroepen, omdat publicatie op internet onvoorspelbare risico’s met zich meebrengt voor de persoonlijke levenssfeer van betrokkenen.

Een verantwoordelijke die zich op artikel 8 onder f Wbp wil beroepen moet allereerst aantonen dat een voorgenomen publicatie noodzakelijk is voor de verwezenlijking van een gerechtvaardigd eigenbelang. Noodzaak is volgens jurisprudentie van het EHRM niet hetzelfde als ‘leuk’ of ‘nuttig’.40EHRM 25 maart 1983, Silver and others v. United Kingdom, nr. 97: “(a) the adjective “necessary” is not synonymous with “indispensable”, neither has it the flexibility of such expressions as “admissible”, “ordinary”, “useful”, “reasonable” or “desirable […].” Bovendien dient de verantwoordelijke aan te tonen dat het beoogde belang niet anderszins of met minder ingrijpende middelen kan worden gediend.41Een dergelijke afweging van belangen moet volgens vaste jurisprudentie van het EHRM in overeenstemming zijn met de beginselen van proportionaliteit en subsidiariteit. Dit laatste betekent dat de inbreuk op de persoonlijke levenssfeer van de betrokkene in een juiste verhouding moet staan tot het nagestreefde doel en dat dit niet op een minder ingrijpende wijze kan worden bereikt.

Nadat deze afweging is gemaakt, dient de verantwoordelijke een tweede afweging te maken, waarbij de individuele belangen van betrokkenen een zelfstandig gewicht in de schaal leggen. Een verantwoordelijke kan niet volstaan met de redenering dat het om gegevens gaat die toch al op andere plaatsen op internet zijn te vinden en dat de inbreuk van de nieuwe publicatie daarom gering zou zijn.

De memorie van toelichting bij de Wbp geeft als hulpmiddel vier vragen die verantwoordelijken kunnen stellen om de dubbele afweging te maken.

• Is er werkelijk een belang dat verwerking van persoonsgegeven rechtvaardigt?

• Wordt met de verwerking een inbreuk gemaakt op belangen of fundamentele rechten van degene wiens gegevens worden verwerkt en zo ja, dient dan – afhankelijk van de ernst van de inbreuk – gegevensverwerking niet achterwege te blijven?

• Kan het doel dat met de verwerking wordt nagestreefd ook langs andere weg – zonder verwerking – worden bereikt?

• Is de verwerking in de mate die is beoogd evenredig aan het nagestreefde doel?42MvT, blz. 86.

Dit komt er op neer dat de verantwoordelijke zich moet afvragen:

– Is publicatie echt nodig? Kan het niet anders?

– Weegt het belang van publicatie wel op tegen de nadelen ervan?

– Wat betekent publicatie voor elke individuele betrokkene in zijn specifieke geval?

Een verantwoordelijke dient het resultaat van deze afweging inzichtelijk te kunnen maken. Het resultaat van de afweging moet een duidelijk belang zijn, dat maatschappelijk aanvaardbaar is, niet in strijd met wat volgens geschreven en ongeschreven recht in het maatschappelijk verkeer betaamt. De verantwoordelijke mag het belang van de verwerking niet snel laten prevaleren boven het belang van de betrokkene, juist ook vanwege de risico’s van verdere verwerking door publicatie op internet.

Dat het belang van betrokkenen zwaar weegt en vaak prevaleert boven het belang van de verwerking, blijkt ook uit jurisprudentie over het publiek etaleren van foto’s van vermeende winkeldieven. In augustus 2004 oordeelde de voorzieningenrechter van de rechtbank Amsterdam43LJN: AQ7877, Rechtbank Amsterdam, KG 04/1566 SR dat een winkelier geen foto in zijn winkel mocht ophangen van een vrouw die hij aanzag voor een winkeldief. De publicatie zou in strijd zijn met de auteurswet, maar ook met de Wbp, in het bijzonder met artikel 8 onder f: Het ophangen van de foto van [eiseres] met daarbij de tekst ‘Deze vrouw heeft hier gestolen’ is eveneens in strijd met de Wbp. De videobeelden gemaakt met een bewakingscamera zijn aan te merken als een bestand in de zin van artikel 1 onder c van de Wbp, nu sprake is van een gestructureerd geheel van persoonsgegevens. De verwerking van deze gegevens door een winkelier valt onder de Wbp. Uit hetgeen hiervoor (….) is overwogen, volgt dat [eiseres] geen ondubbelzinnige toestemming heeft gegeven voor de verwerking van de videobeelden tot een foto – zoals vereist in artikel 8 onder a Wbp – en dat het belang van [eiseres] prevaleert bij de in artikel 8 onder f Wbp bedoelde belangenafweging.44Idem, onder punt 12.

De rechter in kort geding overwoog daarbij (in punt 9) : “Een publicatie als de onderhavige – die een element van straf in zich heeft – levert eigenrichting op jegens [eiseres].” En voegde er aan toe: “Het opsporen en berechten van verdachten is het monopolie van justitie en het is niet aan burgers om mogelijke verdachten openlijk te schande te zetten.”

Twee jaar later, nadat de gewraakte foto opnieuw was gepubliceerd in een dagblad, deed het CBP een algemene uitspraak over de toelaatbaarheid van publicaties van foto’s van verdachten van winkeldiefstal door particuliere ondernemingen.45CBP, 30 mei 2006, z2005-0846, URL: http://www.cbpweb.nl/documenten/uit_z2005- 0846.shtml Het CBP oordeelde dat de Wet bescherming persoonsgegevens niet toelaat dat foto’s van personen die verdacht worden van winkeldiefstal door winkeliers op winkelruiten of andere voor het publiek zichtbare plaatsen worden gepubliceerd.

Geoordeeld is: Het gebruik van de beelden voor publicatie in winkels, zodat er feitelijk sprake is van het publiekelijk betichten van strafbare feiten (shaming), kan niet gerekend worden tot een maatschappelijk aanvaardbaar doel. Daarmee is gegeven dat het eveneens geen gerechtvaardigd belang kan zijn voor de verantwoordelijke.46CBP, 30 mei 2006, z2005-0846, blz 3.

5. Informatieplicht

De Wbp bevat een informatieplicht. Verantwoordelijken voor publicaties op internet moeten op eigen initiatief inzicht geven in het doel van de publicatie, hoe en welke persoonsgegevens ze verwerken en wat hun identiteit is. Dat is geen eenmalige verplichting, maar geldt jegens elke persoon over wie zij gegevens verwerken.

De informatieplicht geldt als verantwoordelijken de gegevens zelf verzamelen (artikel 33 Wbp), maar ook als zij de gegevens op een andere manier verkrijgen, bijvoorbeeld door gegevens over te nemen uit andere publicaties op internet (artikel 34 Wbp). Wie gegevens op internet verzamelt en voor een eigen publicatie wil hergebruiken, moet de betrokkenen individueel op de hoogte stellen dat er een nieuwe verantwoordelijke is die de persoonsgegevens verwerkt.47Zie voor een algemene toelichting op de informatieplicht het informatieblad ‘Informatieplicht’ voor verantwoordelijken, beschikbaar via de website van het CBP, URL: http://www.cbpweb.nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Als er weinig risico’s gemoeid zijn met de publicatie en als betrokkenen redelijkerwijs weten in welke context bepaalde persoonsgegevens over hen op internet worden gepubliceerd, kan een verantwoordelijke volstaan met het verstrekken van passieve informatie over zijn identiteit en het doeleinde van de publicatie, bijvoorbeeld in de vorm van een privacyverklaring. In alle andere gevallen dient een verantwoordelijke alle betrokkenen op voorhand te informeren, met zoveel aanvullende informatie als nodig is om er zeker van te zijn dat betrokkenen begrijpen wat de bedoeling is en hoe zij zich eventueel tegen publicatie kunnen verzetten.

Extra informatie en aandacht voor privacy en jongeren

Jongeren zijn een extra kwetsbare groep als het gaat om persoonsgegevens en het Web. Diensten op het Web die gegevens over jongeren en door jongeren geplaatste persoonsgegevens verwerken dienen er daarom extra goed voor te zorgen dat zorgvuldig met persoonsgegevens wordt omgegaan. Aan de ene kant zijn het juist jongeren die de mogelijkheden van nieuwe communicatietechnieken en diensten ontdekken en benutten. Aan de andere kant hebben de meeste jongeren nog geen goed besef van de consequenties die de publicatie en het afstaan van persoonsgegevens kunnen hebben. Dat geldt voor henzelf en voor gegevens over andere jongeren die zij publiceren. Ook voor jongeren geldt de verplichting om zorgvuldig met persoonsgegevens om te gaan. De verantwoordelijken dienen daarom extra veel aandacht te besteden aan informatie over de verwerkingen van persoonsgegevens en gebruikers goed voor te lichten.

5.1. Omvang informatieplicht

Hoe verantwoordelijken precies aan de informatieplicht uit de Wbp kunnen voldoen, is afhankelijk van een aantal factoren. De memorie van toelichting bij de Wbp geeft aan dat verantwoordelijken zoveel informatie moeten verstrekken als nodig is om in elk concreet geval een behoorlijke en zorgvuldige gegevensverwerking te waarborgen, of zij de gegevens nu zelf van de betrokkene krijgen, of indirect.48MvT, blz. 149-150. Dat betekent dat de omvang van de informatieplicht afhangt van de aard van de verantwoordelijke, de risico’s die met de publicatie zijn gemoeid en de manier waarop de persoonsgegevens zijn verkregen. Wie met toestemming van de betrokkenen persoonsgegevens op internet publiceert en de persoonsgegevens heeft afgeschermd tegen verder gebruik door zoekmachines, kan volstaan met een beknopte vermelding van zijn identiteit en het doeleinde van de publicatie, voorafgaand aan de publicatie. Wie echter op grond van een andere rechtvaardigingsgrond, zoals een goede vervulling van zijn publiekrechtelijke taak, gegevens op internet wil publiceren, dient de betrokkenen veel uitgebreider, individueel te informeren – zeker als niet op voorhand duidelijk is dat de gegevens ook op internet worden gepubliceerd – en hen te wijzen op hun recht op verzet. Alleen als de verantwoordelijke aannemelijk kan maken dat het individueel informeren een onevenredige inspanning vergt – waaronder wordt verstaan dat het informeren substantiële kosten meebrengt, een buitengewone inspanning kost bij het achterhalen van betrokkenen of stuit op technische onmogelijkheden – en er geen andere wegen openstaan om de betrokkenen via algemenere kanalen te informeren, vervalt de actieve informatieplicht. De verantwoordelijke moet in dat geval wel zorgvuldig vastleggen van wie en op welke wijze hij de gegevens heeft verkregen, bijvoorbeeld van welke andere internetpublicaties hij de gegevens heeft overgenomen.

Schrijven over bekende personen

Een minister vertelt op televisie over zijn privéleven. Tal van persoonlijke, niet-journalistieke weblogs besteden aandacht aan zijn uitspraken en allerlei mensen geven daar weer commentaar op. In dit geval, omdat de bewindsman zijn uitlatingen in het openbaar heeft gedaan, mag aangenomen worden dat hij op de hoogte is van het feit dat hierover in het openbaar verder wordt gediscussieerd, ook op internet. De houders van de weblogs hoeven de minister daarom niet apart te informeren dat ze persoonsgegevens over hem verwerken. Een (niet-journalistieke) verantwoordelijke die de aanleiding echter te baat neemt om allerlei andere privé-informatie over de minister op internet te publiceren, inclusief bijvoorbeeld foto’s van zijn familie, dient de minister wel degelijk te informeren. Of een dergelijke publicatie überhaupt te rechtvaardigen valt, is zeer de vraag, gezien de mogelijke gevolgen voor de familieleden.

5.2. Informatieplicht jegens inwoners buiten de EU

De informatieplicht geldt jegens alle betrokkenen over wie persoonsgegevens worden verwerkt, ook als het gaat om inwoners uit een land buiten de Europese Unie. Als een verantwoordelijke bijvoorbeeld een contactlijst wil publiceren van mensen uit de hele wereld met een hele specifieke interesse, dan moeten alle betrokkenen voorafgaand aan de publicatie individueel op de hoogte worden gesteld. Als een inwoner uit de Verenigde Staten merkt dat zijn naam op de desbetreffende website staat zonder dat hij daarover tevoren is geïnformeerd, kan hij in Nederland de rechtsmiddelen aanwenden die de Wbp hem toekent.49MvT, blz. 193: ’Dat betekent dat ook betrokkenen die zich bijvoorbeeld bevinden in de Verenigde Staten, wanneer hun persoonsgegevens worden vergaard, daarover behoren te worden geïnformeerd in de zin van de artikelen 33 en 34 van het wetsvoorstel. Zou zo iemand op enigerlei wijze bemerken dat met overtreding van dit voorschrift persoonsgegevens over hem zijn verwerkt, bijvoorbeeld doordat hij specifiek op hem gerichte reclame ontvangt, dan kan hij in Nederland de rechtsmiddelen aanwenden die deze wet hem toekent.’

5.3. Privacyverklaring

Wie op basis van toestemming persoonsgegevens op internet publiceert, hoeft de betrokkenen (na het verkrijgen van de toestemming) niet afzonderlijk meer te informeren over zijn identiteit en doeleinden van de verwerking. Een goede invulling van de beknopte informatieplicht is dan het publiceren van een privacyverklaring. De verklaring moet in duidelijke en begrijpelijke taal zijn opgesteld, goed vindbaar zijn en bij voorkeur op te roepen vanuit elk onderdeel van de publicatie.

In navolging van de aanbeveling van de Artikel 29-werkgroep over het online verzamelen van gegevens50Artikel 29-werkgroep, WP 43, Aanbeveling inzake bepaalde minimumeisen voor het on line verzamelen van persoonsgegevens in de Europese Unie, goedgekeurd op 17 mei 2001., moet een privacyverklaring bij een publicatie op internet minimaal de volgende elementen bevatten:

In de bijlage bij deze richtsnoeren is een model privacyverklaring opgenomen dat aan deze voorwaarden voldoet. Het gaat daarbij om een model dat gebruikt kan worden voor een discussieforum, waarbij deelnemers hun bijdragen al dan niet onder pseudoniem publiceren en de rechtvaardigingsgrond voor een gerechtvaardigde gegevensverwerking toestemming is.

5.4. Identiteitsvermelding

De Wbp eist in het tweede lid van de artikelen 33 en 34 Wbp dat verantwoordelijken hun identiteit bekend moeten maken. Dat stelt betrokkenen in staat om hun rechten effectief uit te oefenen en rechtstreeks met verantwoordelijken in contact te treden. De aanbeveling van de Artikel 29-werkgroep uit 2001 over het online verzamelen van gegevens benadrukt dat bij de identiteit zowel het elektronische als het fysieke adres moet worden vermeld. Ook de e-commerce richtlijn (2000/31/EG) kent een dergelijk absoluut identiteitsvereiste, omgezet in artikel 3:15d van het Burgerlijk Wetboek.513:15d eerste lid BW: ’Degene die een dienst van de informatiemaatschappij verleent, maakt de volgende gegevens gemakkelijk, rechtstreeks en permanent toegankelijk voor degenen die gebruik maken van deze dienst, in het bijzonder om informatie te verkrijgen of toegankelijk te maken: a. zijn identiteit en adres van vestiging; b. gegevens die een snel contact en een rechtstreekse en effectieve communicatie met hem mogelijk maken, met inbegrip van zijn elektronische postadres;’ (onderdelen c tot en met f niet geciteerd) Een dergelijk absoluut identiteitsvereiste brengt echter risico’s mee voor de privacy van individuele webloggers of critici. Een natuurlijk persoon kan goede redenen hebben om zijn fysieke contactadres niet op internet te willen publiceren, uit angst voor bedreigingen of andersoortige ongevraagde benaderingen.

De aanbeveling van de Artikel 29- werkgroep is vooral gericht op verantwoordelijken die op professionele wijze gegevens verzamelen en verwerken, bijvoorbeeld ten behoeve van direct marketing of andere commerciële dienstverlening. Dat individuen massaal over zouden gaan tot het publiceren van persoonsgegevens op internet had de werkgroep waarschijnlijk toentertijd niet voorzien. Ook de e-commerce richtlijn is niet gericht op natuurlijke personen, maar op commerciële dienstverleners, die ‘gewoonlijk tegen vergoeding’ hun diensten verrichten.523:15d derde lid BW.

In het geval van publicaties door natuurlijke personen is een nadere afweging noodzakelijk om recht te doen aan de goede redenen die een verantwoordelijke kan hebben om zijn fysieke contactadres niet te willen publiceren op internet. Het CBP acht het daarom een redelijke wetstoepassing als een natuurlijke persoon die zonder commercieel oogmerk op internet publiceert, volstaat met het bekendmaken van een elektronisch contactadres. Daarbij gelden twee voorwaarden:

– de verantwoordelijke is goed bereikbaar voor betrokkenen door middel van een elektronisch e-mailadres

– dit e-mailadres wordt uitgegeven door een in Nederland gevestigde aanbieder.

Een dergelijke verantwoordelijke (die als privépersoon, zonder commercieel oogmerk publiceert) kan niet volstaan met het vermelden van een (veelal gratis) e-mailadres van een internationaal opererende serviceprovider als Microsoft, Google of Yahoo. Een dergelijk adres kan het voor een betrokkene onnodig ingewikkeld maken om zijn recht te halen als een verantwoordelijke niet adequaat reageert. Het e-mailadres moet uitgegeven zijn door een in Nederland gevestigde aanbieder, binnen het Nederlandse .nl domein.

Verantwoordelijken die over een eigen mailserver beschikken kunnen eveneens aan deze verplichting voldoen, mits zij de e-mail verwerken onder een .nl domein.