Persoonsgegevens op internet moeten op dezelfde zorgvuldige wijze worden verwerkt als in de offlinewereld. De wet is van toepassing op ‘de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens’,2De wet is ook van toepassing op niet-geautomatiseerde verwerkingen, zoals papieren dossiers, maar alleen als de gegevens opgenomen zijn of worden in een bestand, dat wil zeggen een gestructureerd geheel van persoonsgegevens dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen. dus op elke publicatie van persoonsgegevens op internet.3Memorie van toelichting bij de Wbp, Kamerstukken II, 28 509, 3 (hierna: MvT), blz 71: ’Zodra informatie digitaal is vastgelegd is er in ieder geval sprake van geautomatiseerde verwerking van gegevens. In een geautomatiseerd systeem is immers het zoeken naar digitale gegevens mogelijk. (...) Het feit dat langs geautomatiseerde weg geluid- of beeldvergelijking van digitaal vastgelegde informatie over iemand onvergelijkbaar veel sneller en nauwkeuriger kan plaatsvinden dan wanneer dit handmatig zou moeten geschieden, rechtvaardigt een aangescherpt juridisch regime.’ Iedereen die persoonsgegevens op internet publiceert, ongeacht of dit een privépersoon is, een bedrijf, een instelling of een bestuursorgaan, dient te voldoen aan de verplichtingen die de wet oplegt. Deze zijn: het behoorlijk en zorgvuldig te werk gaan, transparantie, doelbinding, rechtvaardigingsgrond, kwaliteit en evenredigheid, informatierechten, beveiliging en beperking van doorgifte naar landen buiten de EU.
Artikel 1 van de Wbp bevat definities van de begrippen die in de wet worden gehanteerd. Niet alle begrippen zijn even relevant voor het beoordelen van publicaties op internet. Hieronder volgen de belangrijkste. Tevens worden drie belangrijke uitzonderingen op de toepasselijkheid van de Wbp kort toegelicht: de verwerking van persoonsgegevens voor persoonlijk/huishoudelijk gebruik; de verwerking voor uitsluitend journalistieke, literaire of artistieke doeleinden en het gebruik voor historische, statistische en wetenschappelijke doeleinden.
Met de term ‘verantwoordelijke’ wordt in deze richtsnoeren degene aangeduid die onder de Wbp verantwoordelijk is voor de inhoud van een publicatie op internet. Volgens de wet is de verantwoordelijke de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.
De verantwoordelijke kan de houder van een website zijn, de maker van een persoonlijk profiel, maar ook de eigenaar/beheerder van een discussieforum. In een discussieforum, of in een reactiemogelijkheid onder artikelen, kunnen lezers bijdragen leveren waarin persoonsgegevens worden verwerkt. In beginsel is iedereen die een bijdrage levert zelf verantwoordelijk voor die verwerking van persoonsgegevens, maar de algemene verantwoordelijkheid voor een zorgvuldige gegevensverwerking ligt bij de houder van het forum, omdat die immers het doel en de middelen bepaalt. De houder van de website of het forum, degene die formeel-juridisch de zeggenschap over de verwerking heeft, biedt de gelegenheid tot het publiceren van gegevens en heeft daarom de plicht om zorg te dragen voor een zorgvuldige omgang met persoonsgegevens. 4’Iemand die persoonsgegevens heeft vastgelegd en gebruikt, bijvoorbeeld door deze ter raadpleging aan te bieden, ook al zijn deze anoniem door een derde via Internet aangeleverd, is aanspreekbaar op naleving van dit wetsvoorstel en kan zich niet verschuilen achter het adagium ’geen boodschap aan de boodschap’. Zodra opslag met het oog op raadpleging plaatsvindt, bijvoorbeeld in de vorm van een ’cache-service’, is er sprake van verwerking.’ MvT, blz. 60.
Website in de Verenigde Staten
Een in Nederland gevestigde verantwoordelijke kan ervoor kiezen om technische middelen buiten Nederland aan te wenden voor een publicatie, bijvoorbeeld door gebruik te maken van webhosting5Webhosting is het (over het algemeen tegen betaling) verhuren van schijfruimte op een internetserver waarop verantwoordelijken internetpagina’s kunnen plaatsen. Dergelijke servers kunnen binnen de EU staan, maar ook erbuiten. Het webhostingbedrijf heeft geen zeggenschap over de inhoud van de publicatie. in de Verenigde Staten. Hoewel de website niet op Nederlands grondgebied is gevestigd, is de Wbp toch van toepassing. De Wbp is van toepassing op alle in Nederland gevestigde verantwoordelijken.
De houder van een webforum is een tussenpersoon op internet. Bij elke handeling op internet zijn tussenpersonen betrokken. Andere tussenpersonen zijn bijvoorbeeld aanbieders van toegang tot internet, partijen die hosting aanbieden van websites of zoekmachines. Het begrip verantwoordelijke uit de Wbp is een breed begrip en is daarom ook van toepassing op sommige tussenpersonen.
Voor toegangsdiensten geldt dat zij geen controle hebben over het al dan niet doorgeven van persoonsgegevens. Zij kunnen daarom niet gelden als verantwoordelijke, tenzij het om informatie gaat die ze op eigen initiatief en onder eigen redactie aanbieden, zoals bijvoorbeeld via een nieuwsbrief. Anders is dat voor de beheerder van een discussieforum. Deze heeft de juridische en feitelijke zeggenschap over de gegevens op het forum, bepaalt in eerste en laatste instantie de doelen van het forum en zorgt dat het forum functioneert.
In het geval van hosting van materiaal, het plaatsen van een hyperlink naar persoonsgegevens en het gebruik dat zoekmachines maken van materiaal op internet moet gekeken worden welke zeggenschap deze diensten hebben over de verwerking van persoonsgegevens. Van bijzonder belang is de vraag of een tussenpersoon zeggenschap heeft over de verwijdering van de gegevens. Deze vraag moet bevestigend worden beantwoord indien een tussenpersoon de mogelijkheid heeft informatie te verwijderen en gewend is dit ook te doen in bepaalde gevallen waarin derden hem op onrechtmatige publicaties wijzen. Een dergelijke tussenpersoon is verantwoordelijke ten aanzien van de verwerking van door derden gepubliceerde persoonsgegevens (in het bijzonder het ter beschikking houden en de verwijdering of blokkering) en is op grond daarvan medeverantwoordelijke voor deze verwerking.
Het begrip bewerker uit de Wbp is niet van toepassing op de aanbieder van een dienst als een geleverde dienst aan de verantwoordelijke niet expliciet betrekking heeft op de verwerking van persoonsgegevens. De genoemde tussenpersonen zullen dus in beginsel niet beschouwd kunnen worden als bewerker.
Verschil verantwoordelijkheid en aansprakelijkheid
Verantwoordelijkheid op grond van de Wbp is iets anders dan aansprakelijkheid. Sommige tussenpersonen zijn onder voorwaarden vrijgesteld van aansprakelijkheid voor onrechtmatig handelen van derden. Het gaat om diensten van de informatiemaatschappij die bestaan uit het verlenen van toegang, de tijdelijke opslag en de hosting van materiaal. Deze regels komen voort uit de richtlijn elektronische handel en zijn te vinden in artikel 6:196c van het Burgerlijk Wetboek. De scheidslijn tussen verantwoordelijke en niet-verantwoordelijke in de Wbp is niet afgestemd met de vrijstelling van aansprakelijkheid van sommige tussenpersonen. Het kan dus zo zijn dat een dienst, die op grond van artikel 6:196c BW beschouwd moet worden als een hostingdienst (lid 4), op grond van de Wbp geldt als verantwoordelijke. Deze aanbieder is in dat geval niet aansprakelijk voor onrechtmatige verwerkingen van persoonsgegevens door derden. Wel moet de aanbieder de informatie verwijderen of de toegang daartoe onmogelijk maken zodra hij weet of redelijkerwijs behoort te weten dat er sprake is van onrechtmatigheid. Gezien de aard van de normen in de Wbp en de beperkte mogelijkheid van tussenpersonen zich te vergewissen van de rechtmatigheid van de publicatie van persoonsgegevens zal deze verplichting tot blokkeren of verwijderen alleen bij evidente overtredingen van de Wbp ontstaan.
Het bovenstaande betekent voor de praktijk dat tussenpersonen die zich kunnen beroepen op een wettelijke vrijwaring van aansprakelijkheid zich kunnen richten op de regeling met bijbehorende voorwaarden in artikel 6:196c van het Burgerlijk Wetboek.
Met de term ‘betrokkene’ wordt de persoon bedoeld wiens persoonsgegevens worden verwerkt. Op internet lopen de twee rollen nogal eens door elkaar; wie een persoonlijk webdagboek bijhoudt, kan zowel verantwoordelijke als betrokkene zijn.
Profielsites
Profielsites zijn bijzonder populair bij jongeren. Met een profiel laten ze zien wie ze zijn, welke vrienden ze hebben en hoeveel het er zijn. Ze schrijven over wat ze doen en leuk vinden en laten persoonlijke berichten achter bij anderen. Hoe meer informatie iemand van zichzelf laat zien, hoe beter diegene kan laten zien dat hij of zij de moeite waard is. Er zijn veel jongeren die erg ver gaan met het delen van informatie op publiek toegankelijke profielen, bijvoorbeeld met verhalen over feestjes, drugsgebruik en seks.
De aanbieders van profielsites zijn samen met de gebruikers medeverantwoordelijk voor de verwerking van persoonsgegevens op de betreffende website. De aanbieders van deze diensten moeten zich daarom houden aan de regels uit de Wbp. Zo dienen ze gebruikers vooraf volledig te informeren over de beschikbaarheid van de profielen voor andere bezoekers van de site. Ze dienen geschikte beveiligingsmaatregelen te treffen, zoals het standaard afschermen van de profielen voor zoekmachines en alleen toegang te bieden aan vrienden van de gebruiker. Ook dienen ze de mogelijkheid te bieden de profielen en elders op de site geplaatste informatie te verwijderen.
De Wbp kent een ruime definitie van persoonsgegevens. In artikel 1 sub a Wbp wordt een persoonsgegeven gedefinieerd als ‘elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. De omschrijving is letterlijk overgenomen van artikel 2 van het Europees Dataverdrag6Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens, Straatsburg 1981, Trb. 1988.. De Europese privacyrichtlijn 95/46/EG (hierna: de richtlijn) waarop de Wbp is gebaseerd, geeft een iets uitgebreidere omschrijving.
De richtlijn geeft in artikel 2 onder a als definitie van persoonsgegevens: iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon, hierna ’betrokkene’ te noemen; als identificeerbaar wordt beschouwd een persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificatienummer of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke, fysiologische, psychische, economische, culturele of sociale identiteit.
Hoewel het tweede deel van de Europese definitie, de uitleg over specifieke elementen die iemand identificeerbaar maken, niet is overgenomen in de Wbp, maakt de Memorie van Toelichting bij de Wbp duidelijk dat de Wbp het zelfde uitgangspunt hanteert ten aanzien van indirect identificerende gegevens.
Allereerst is voor het begrip ’persoonsgegeven’ relevant of de gegevens informatie over een persoon bevatten. In veel gevallen, zoals bij feitelijke of waarderende gegevens over eigenschappen, opvattingen of gedragingen, zal dit uit de aard van de gegevens voortvloeien. In andere gevallen zal mede aandacht moeten worden besteed aan de context waarin het gegeven wordt vastgelegd en gebruikt. Als gegevens medebepalend zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld, moeten die gegevens als persoonsgegevens worden aangemerkt. Het (maatschappelijk) gebruik dat van gegevens wordt gemaakt is dus medebepalend voor de beantwoording van de vraag of sprake is van een persoonsgegeven.7Memorie van toelichting bij de Wbp, Kamerstukken II, nr. 25 892, nr. 3, blz 46.
De Artikel 29-werkgroep van samenwerkende privacytoezichthouders in de EU heeft in een recente opinie de verschillende onderdelen van de definitie van persoonsgegevens nader uitgewerkt. Het gaat om de begrippen ‘iedere informatie’, ‘betreffende een natuurlijk persoon’ en ‘direct of indirect herleidbaar’.
De werkgroep benadrukt dat ‘iedere informatie’ zowel objectieve als subjectieve gegevens omvat, ongeacht of ze juist of bewezen zijn. Denk aan waardeoordelen als ‘Jan is een betrouwbare lener’ of ‘Jan is een goede medewerker die promotie verdient.’ 8Opinion 4/2007 on the concept of personal data van de Artikel 29-werkgroep, aangenomen op 20 juni 2007, blz. 6.
Om te bepalen of een gegeven betrekking heeft op een persoon, moet volgens de Artikel 29-werkgroep één van de volgende drie elementen aanwezig zijn: een inhoudelijk element, een doelelement of een resultaatelement.
Een inhoudelijk element betekent dat het om informatie gaat over een persoon, ongeacht het doeleinde van de verantwoordelijke of het resultaat voor die persoon, zoals de resultaten van een medisch onderzoek betrekking hebben op de patiënt of zoals de gegevens in een klantenbestand van een bedrijf betrekking hebben op de klant.
Ook de aanwezigheid van een doelelement kan er toe leiden dat gegevens als persoonsgegevens worden beschouwd. Daar is sprake van als de gegevens (waarschijnlijk) gebruikt worden met het doel om iemand op een bepaalde manier te behandelen of diens status of gedrag te beoordelen of te beïnvloeden. Dat kan het geval zijn als een bedrijf een bestand bijhoudt met een overzicht van alle inkomende en uitgaande telefoontjes. Dat bestand kan gebruikt worden om medewerkers te beoordelen.
Als er geen inhoudelijk of doelelement is, kunnen gegevens toch persoonsgegevens zijn, als het gebruik ervan waarschijnlijk invloed heeft op de rechten en belangen van een persoon, zodanig dat die persoon daardoor anders wordt behandeld. Dat kan het geval zijn als een taxibedrijf met behulp van GPS de locaties van zijn taxi’s in de gaten houdt. Hoewel het systeem gericht is op het verwerken van gegevens over de routes van voertuigen, kunnen de gegevens ook gebruikt worden om de individuele taxichauffeurs te beoordelen.9Opinion 4/2007, blz. 9-12.
Het bekendste direct identificerende gegeven is de combinatie van voor- en achternaam. De bekendste indirect identificerende gegevens zijn (e-mail)adres, telefoonnummer, kenteken en de combinatie postcode/huisnummer.10De Registratiekamer en het CBP hebben uitspraken gedaan over telefoonnummers (oa: Registratiekamer 8 juli 1993, 93.1.002 en CBP 28 mei 2003, z2003-0480 over afscherming nummergegevens, URL: http://www.cbpweb.nl/documenten/adv_z2003- 0480.stm); over kentekens van auto’s (oa: Registratiekamer, 9 december 1996, 96-0140 trajectcontrole dmv kentekenregistratie, URL: http://www.cbpweb. nl/downloads_uit/z1996-0140.pdf) en over postcodes met huisnummers (oa: Registratiekamer 21 juni 1996, 95.O.043). Andere indirect identificerende gegevens zijn gegevens over iemands eigenschappen, opvattingen of gedragingen, waarmee die persoon wordt onderscheiden van andere personen. Bijvoorbeeld: de directeur van een met name genoemde onderneming.
Bij het vaststellen of een gegeven een indirect identificerend persoonsgegeven is, is van belang of de identiteit van de persoon er redelijkerwijs, zonder onevenredige inspanning, mee kan worden vastgesteld. Het is niet doorslaggevend of het identificeren daadwerkelijk plaatsvindt. Deze opvatting komt voort uit overweging 26 bij de privacyrichtlijn:
Overwegende dat de beschermingsbeginselen moeten gelden voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon, dat om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is dan wel door enig ander persoon in te zetten zijn om genoemde persoon te identificeren.(…). Herleidbaarheid tot een natuurlijk persoon, voorzover die redelijkerwijs door een derde kan worden bewerkstelligd, is dus voldoende.
IP-adres
Is een IP-adres , dat wil zeggen het internetnummer waarmee een computer zichzelf op internet kenbaar maakt, een persoonsgegeven? Ja. Een IP-adres is een persoonsgegeven omdat het door een derde – de internetaanbieder – eenvoudig te herleiden valt tot een natuurlijk persoon, de afnemer van het internetabonnement. Dit geldt ook voor dynamische IP adressen die worden verwerkt in combinatie met datum en tijd. Het maakt geen verschil dat een verantwoordelijke het IP adres niet zal gebruiken om een persoon mee te identificeren. Het feit dat de mogelijkheid bestaat bij de verantwoordelijke of bij een derde om dit te doen, is voldoende. Dat het IP-adres in sommige gevallen naar een rechtspersoon leidt, in plaats van naar een natuurlijk persoon, doet niet af aan het feit dat het in de meeste gevallen wel degelijk om persoonsgegevens gaat en dat dus de hele verzameling moet worden behandeld conform de uitgangspunten van de Wbp. Ten slotte is van belang dat op basis van het IP-adres beslissingen kunnen worden genomen over de toegang tot bepaalde informatie, zonder dat een dienstverlener op internet überhaupt enige moeite hoeft te doen om zelf persoonsgegevens te verbinden aan een IP-adres. Denk bijvoorbeeld aan onderscheid naar geografische herkomst bij de toegang tot en de presentatie van (delen van) websites11Opinion 4/2007 , blz 14: ’Also on the Web, web traffic surveillance tools make it easy to identify the behaviour of a machine and, behind the machine, that of its user. Thus, the individual’s personality is pieced together in order to attribute certain decisions to him or her. Without even enquiring about the name and address of the individual it is possible to categorise this person on the basis of socio-economic, psychological, philosophical or other criteria and attribute certain decisions to him or her since the individual’s contact point (a computer) no longer necessarily requires the disclosure of his or her identity in the narrow sense.’. Ook het registreren en eventueel op internet publiceren van IP-adressen van bezoekers van een website of deelnemers aan een discussieforum valt dus onder het bereik van de Wbp.
Gegevens over organisaties, zoals bedrijven of stichtingen, zijn geen persoonsgegevens in de zin van de Wbp. De wet is wel weer van toepassing op bedrijven als het gegeven herleidbaar is naar een persoon, zoals bij een eenmanszaak, of als het over de individuele bestuurders gaat van een onderneming of stichting.
De Wbp is evenmin van toepassing op gegevens die betrekking hebben op personen die overleden zijn. Als de gegevens van een overledene echter ook betrekking hebben op een nabestaande (bijvoorbeeld in het geval van informatie over een erfelijke ziekte), kan de Wbp wel van toepassing zijn.
Genealogische websites
Wie geïnteresseerd is in stamboomonderzoek, vindt op internet steeds meer bronnen, zowel gedigitaliseerd archiefmateriaal als onderzoek door (amateur-) genealogen. Omdat de Wbp niet van toepassing is op overleden personen, zijn er vanuit de Wbp weinig bezwaren tegen het publiceren van een stamboom op internet. Toch ontvangt het CBP regelmatig vragen en klachten over stambomen op internet. In het begrijpelijke streven naar volledigheid bevatten veel stambomen informatie over levende personen, zoals hun geboortedatum. In sommige stambomen worden zelfs de ziekten vermeld waaraan mensen zijn overleden. Dergelijke informatie kan betrekking hebben op nabestaanden en dus een persoonsgegeven zijn, als het gaat om erfelijke ziekten waarmee de kinderen kunnen zijn belast. Dat kan het geval zijn bij een moeder die aan hemofilie leed. Omdat deze ziekte is gebonden aan een gen in het X-chromosoom, geeft zij de ziekte in ieder geval door aan zonen. In dit voorbeeld is de Wbp dus wel van toepassing. Wie een stamboom wil publiceren op internet, doet er verstandig aan om zich in eerste instantie te beperken tot gegevens van overledenen en alleen gegevens op te nemen over levende personen als zij daarin ondubbelzinnig hebben toegestemd. De Wbp kent geen principe als ‘wie zwijgt, stemt toe’ bij het publiceren op internet van persoonsgegevens. De publicist moet reële moeite doen om de (levende) familieleden te bereiken en hen – voorafgaand aan de publicatie op internet van hun persoonsgegevens – vertellen wat hij over hen wil publiceren en met welk doel. Als een familielid geen toestemming geeft voor een dergelijke vermelding, mogen zijn of haar gegevens niet worden gepubliceerd. De publicist kan in de stamboom op internet een verwijzing opnemen als: ‘Uit dit huwelijk kwamen drie kinderen voort, onder wie...’
Gegevens over objecten zijn over het algemeen ook geen persoonsgegevens. In grensgevallen is de context waarin van de gegevens gebruik wordt gemaakt van belang. Gegevens over objecten, zoals woonhuizen, zijn persoonsgegevens als de informatie kan worden gebruikt om de bewoners of eigenaren te beoordelen en daar consequenties aan te verbinden, zoals de hoogte van een belastingheffing.
Panoramafoto’s van huizen
In 2001 deed de Registratiekamer (de voorganger van het CBP) onderzoek naar het gebruik van geoinformatie12Registratiekamer, 16 februari 2001, z2000-1172, URL: http://www.cbpweb.nl/documenten/uit_z2000- 1172.stm. Een bedrijf maakte digitale opnames van openbare ruimten met een beeld van 360 graden. De beelden konden doorzocht worden op gemeente, plaats, straat en huisnummer. Omdat de eigenaren en bewoners van de betrokken panden zonder onevenredige moeite konden worden geïdentificeerd en de digitale beelden onder meer door gemeenten werden gebruikt om de waarde van panden te taxeren, stelde de Registratiekamer vast dat de foto’s persoonsgegevens waren, waarvoor zowel de makers als de afnemers verantwoordelijk waren in de zin van de Wbp.
Geanonimiseerde gegevens zijn geen persoonsgegevens als de betrokken personen redelijkerwijs niet identificeerbaar zijn. De vraag of een gegeven daadwerkelijk anoniem is, komt met name aan de orde bij het publiceren van statistische informatie op internet. Geaggregeerde informatie kan toch persoonsgegevens bevatten als het aantal betrokkenen klein is en er andere informatie beschikbaar is, bijvoorbeeld via zoekmachines, waardoor individuele personen toch kunnen worden geïdentificeerd.
Door pseudonimisering zijn gegevens soms geen persoonsgegevens, afhankelijk van de gekozen versleutelingsmethode. Zolang de gegevens echter zonder onevenredige inspanning herleidbaar blijven naar natuurlijke personen, door de verantwoordelijke of door een derde, moeten ze als persoonsgegevens worden behandeld.13Zie opinie 4/2007 voor meer voorbeelden, blz. 18-21. Dat kan het geval zijn bij het gebruik van pseudoniemen voor bijdragen aan een discussie-forum. Ook als slechts één forumhouder de identiteit kent van de betrokkene, is het pseudoniem daarmee herleidbaar en is het een persoonsgegeven op alle plaatsen waar het pseudoniem wordt gebruikt. Het gebruik van pseudoniemen kan ook op een andere manier tot herleidbaarheid leiden. Veel mensen gebruiken hetzelfde pseudoniem voor al hun activiteiten op internet. Door zoekmachines kunnen persoonlijke details van een betrokkene ongewild worden gekoppeld aan bijdragen die bedoeld waren anoniem te zijn.
Verantwoordelijken voor publicaties op internet dienen zich rekenschap te geven van de gevolgen van de vaak lange of onbepaalde termijn van een publicatie. Door technische ontwikkelingen kan een gegeven dat op het moment van publicatie geen persoonsgegeven lijkt, later toch herleidbaar worden naar een persoon. Verantwoordelijken kunnen dan vanaf dat moment worden aangesproken op grond van de Wbp.14Kamerstukken II, 25 892, nr. 9, blz. 2. Zie ook de MvT, blz. 49: ’Wat dus bij een bepaalde stand van de techniek als anoniem, want redelijkerwijs niet op een persoon herleidbaar gegeven, kan worden beschouwd, kan door technische ontwikkelingen alsnog een persoonsgegeven worden gelet op de toegenomen mogelijkheden tot herleiding.’ Daarom is het van belang dat verantwoordelijken die niet in strijd met de Wbp willen handelen ervoor zorgen dat ze een beperkte, op de risico’s afgestemde, termijn hanteren voor publicatie van gegevens die geen persoonsgegevens lijken en ingrijpen zodra ze merken dat gegevens alsnog herleidbaar worden naar personen.15Opinie 4/2007, blz. 15: ’If the data are intended to be stored for one month, identification may not be anticipated to be possible during the “lifetime” of the information, and they should not be considered as personal data. However, it they are intended to be kept for 10 years, the controller should consider the possibility of identification that may occur also in the ninth year of their lifetime, and which may make them personal data at that moment. The system should be able to adapt to these developments as they happen, and to incorporate then the appropriate technical and organisational measures in due course.’
Het publiceren van verslagen van vergaderingen
Een organisatie besluit de verslagen van vergaderingen op internet te zetten. Zo kan iedereen in en buiten de organisatie zien hoe de organisatie functioneert. Als er persoonsgegevens in de verslagen staan moet de verantwoordelijke zich houden aan de regels van de Wbp. Als de openbaarheid van de verslagen niet gelegitimeerd wordt door de taken van de organisatie of de arbeidsverhouding zal de verantwoordelijke in beginsel toestemming moeten hebben van de betrokkene(n). In het bijzonder moet de verantwoordelijke een termijn vaststellen hoe lang de stukken op internet blijven staan. Om te laten zien hoe een organisatie functioneert lijkt een termijn van 2 jaar genoeg. Het gebruik van een systeem voor webpublicatie dat het mogelijk maakt deze termijn automatisch in te stellen, is een eenvoudig voorbeeld van het gebruik van Privacy Enhancing Technologies.
Er zijn drie soorten gegevensgebruik waarop de Wbp niet of slechts gedeeltelijk van toepassing is. Dat zijn: verwerkingen voor persoonlijk of huishoudelijk gebruik, gebruik voor uitsluitend journalistieke, artistieke of literaire doeleinden en gebruik voor historische, wetenschappelijke of statistische doeleinden.
De eerste uitzondering is de meest absolute. De Wbp is in het geheel niet van toepassing op de verwerking van persoonsgegevens voor uitsluitend persoonlijke of huishoudelijke doeleinden. Dit om te voorkomen dat alledaagse handelingen van privépersonen, zoals het bijhouden van een adresboek, onder de werking van de wet zouden vallen.
De uitzondering voor persoonlijk/huishoudelijk gebruik in de Wbp betreft gebruik voor ‘een duidelijk bepaalbare groep van personen’. 16MvT blz. 70. De uitzondering geldt ook voor gebruik door familieleden of vrienden die niet tot het directe huishouden behoren, mits de toegang daadwerkelijk afgebakend is tot een benoembare groep familieleden, kennissen of vrienden.
Wie bijvoorbeeld een weblog wil bijhouden op internet voor het eigen gezin en zich wil beroepen op de exceptie van persoonlijk of huishoudelijk gebruik, moet passende maatregelen nemen om de toegang daadwerkelijk te beperken tot die beperkte kring. Dat kan bijvoorbeeld door middel van het hanteren van een verplicht wachtwoord, maar ook door de pagina’s met persoonsgegevens af te schermen van zoekmachines. Meer over beveiligingsmaatregelen valt te lezen in hoofdstuk II.8. van deze richtsnoeren.
Zodra de gegevens echter verstrekt worden aan een onbekend aantal personen, hetgeen het geval is bij vrij toegankelijke publicaties op internet, is de Wbp volledig van toepassing.17MvT blz. 69: ’Bij de totstandkoming van de richtlijn hebben de Raad van Ministers en de Europese Commissie hierover voor de notulen verklaard dat deze formulering er niet toe mag leiden dat de verwerking van persoonsgegevens door een natuurlijke persoon, waarbij deze gegevens niet worden verstrekt aan één of meer personen, doch aan een onbepaald aantal personen, kan worden uitgesloten van de richtlijn.’ Veel persoonlijke publicaties die bedoeld zijn voor een beperkte kring belangstellenden, vallen daarom toch onder de Wbp. Het kan gaan om een website ter verwelkoming van een pasgeborene, beelden van vakantieactiviteiten of een weblog met persoonlijk commentaar op de gebeurtenissen van alledag. Als iedere belangstellende de publicatie kan bekijken en de persoonsgegevens niet afgeschermd zijn tegen verdere verwerking door zoekmachines, is de Wbp volledig van toepassing.
Op gegevensverwerkingen op internet voor uitsluitend journalistieke, artistieke of literaire doeleinden is de Wbp gedeeltelijk van toepassing.18Considerans 17 van de richtlijn: ’Overwegende dat wat betreft verwerkingen van geluid- en beeldgegevens voor journalistieke, literaire of artistieke doeleinden, met name in de audiovisuele sector, de beginselen van de richtlijn, met een aantal beperkingen overeenkomstig artikel 9 van toepassing zijn.’ Daarbij heeft de wetgever gezocht naar een balans tussen het recht op bescherming van persoonsgegevens en het recht op vrijheid van meningsuiting. In hoofdstuk 4 van deze richtsnoeren wordt deze balans verder toegelicht en wordt uitgewerkt wanneer een publicatie op internet voldoet aan het criterium van ‘uitsluitend journalistieke, artistieke of literaire doeleinden’.
Ten slotte is er een uitzonderingsgrond op de toepasselijkheid van de Wbp19Bij de behandeling van de Wbp in de Tweede Kamer heeft de minister overigens gepreciseerd dat het niet om een algemene uitzonderingsgrond gaat, maar om ’een sectorale precisering van de verenigbaarheidseis in de vorm van een onweerlegbaar rechtsvermoeden’. Kamerstukken II, nr. 25 892, nr. 6, blz. 17. die het mogelijk maakt dat persoonsgegevens die voor een ander doeleinde zijn verzameld, toch voor historische, statistische of wetenschappelijke doeleinden kunnen worden gebruikt.
Verantwoordelijken die persoonsgegevens op internet willen publiceren in het kader van wetenschappelijk, historisch of statistisch onderzoek, dienen de nodige maatregelen te treffen om ervoor te zorgen dat de gegevens alleen ten behoeve van deze specifieke doeleinden worden verwerkt.20Artikel 9 derde lid Wbp: ’Verdere verwerking van de gegevens voor historische, statistische of wetenschappelijke doeleinden, wordt niet als onverenigbaar beschouwd, indien de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden.’ Dat kunnen technische maatregelen zijn, zoals afscherming van de publicatie door middel van een wachtwoord (zie ook Hoofdstuk II paragraaf 8 over beveiliging), juridische maatregelen, zoals het contractueel vastleggen van het gebruik dat van de gegevens mag worden gemaakt, maar ook organisatorische maatregelen, zoals het inrichten van een procedure om toegangsverzoeken individueel te kunnen beoordelen. Deze uitzondering zal daarom in de praktijk alleen van toepassing zijn op strikt afgeschermde intranetten.
De verantwoordelijke mag dergelijke gegevens ook langer bewaren dan strikt noodzakelijk voor het oorspronkelijke doeleinde, mits opnieuw adequate beschermingsmaatregelen zijn getroffen tegen oneigenlijk gebruik.21Artikel 10 tweede lid Wbp: ’Persoonsgegevens mogen langer worden bewaard dan bepaald in het eerste lid voor zover ze voor historische, statistische of wetenschappelijke doeleinden worden bewaard, en de verantwoordelijke de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de desbetreffende gegevens uitsluitend voor deze specifieke doeleinden worden gebruikt.’ Ten slotte hoeven instellingen of diensten voor wetenschappelijk onderzoek of statistiek in bepaalde gevallen niet te voldoen aan de informatieplicht en het inzagerecht.22Artikel 44 Wbp: ’Indien een verwerking plaatsvindt door instellingen of diensten voor wetenschappelijk onderzoek of statistiek, en de nodige voorzieningen zijn getroffen om te verzekeren dat de persoonsgegevens uitsluitend voor statistische en wetenschappelijke doeleinden kunnen worden gebruikt, kan de verantwoordelijke een mededeling als bedoeld in artikel 34 achterwege laten en weigeren aan een verzoek als bedoeld in artikel 35 te voldoen.’
Publiceren internetstatistieken
Voor statistische doeleinden houden veel verantwoordelijken statistieken bij over het gebruik van hun website, waaronder bijvoorbeeld IP-adressen en zoektermen. Wie dergelijke statistieken op internet publiceert, kan zich niet vergewissen van het doeleinde waarvoor bezoekers deze gegevens verder verwerken. Om toch openbaar inzicht te geven in het gebruik van de site, kunnen gegevens over bezoekersaantallen en meest gebruikte zoektermen geanonimiseerd worden gepubliceerd.23Publicatie van de zoektermen is overigens risicovol, bleek toen AOL een groot aantal zoekresultaten publiceerde in augustus 2006, nadat de Amerikaanse justitie deze had opgevraagd. De zoektermen bleken ook persoonsgegevens te bevatten, zoals de namen van mensen die naar zichzelf zochten. De statistieken mogen wel voor intern gebruik ontsloten worden voor de medewerkers die de toegang beroepshalve nodig hebben.
Het publiceren op internet van een archief met persoonsgegevens, bijvoorbeeld een verzameling historische homepages, ten behoeve van een historisch, statistisch of wetenschappelijk doeleinde, is alleen toegestaan als de verantwoordelijke de nodige maatregelen heeft getroffen om ervoor te zorgen dat de gegevens ook uitsluitend voor dat historisch, statistisch of wetenschappelijk doel worden gebruikt. Als een archief met persoonsgegevens ook bijzondere persoonsgegevens (zie hierna, paragraaf 8) bevat, gelden nog strengere regels. De verwerking daarvan is verboden, tenzij een van de uitzonderingen van toepassing is. Twee belangrijke algemene uitzonderingen zijn dat de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt (bijvoorbeeld in het geval van een homepage en alleen voor zover het gegevens over de betrokkene zelf bevat) of als de betrokkene uitdrukkelijk toestemming heeft gegeven voor publicatie. De Wbp kent daarnaast een specifieke uitzondering op het verwerkingsverbod van bijzondere persoonsgegevens voor wetenschappelijk onderzoek of statistiek (en dus niet voor algemene historische doeleinden!), maar alleen als aan vier voorwaarden is voldaan:
Het onderzoek dient een algemeen belang;
De verwerking van de bijzondere gegevens is voor het betreffende onderzoek noodzakelijk;
Het vragen van uitdrukkelijke toestemming blijkt onmogelijk of kost een onevenredige inspanning;
Bij de uitvoering van het onderzoek is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.24Artikel 23 tweede lid Wbp.
Een archief van internetpagina’s met persoonsgegevens mag dus wel aangelegd worden voor wetenschappelijke doeleinden en via terminals in de bibliotheek ontsloten worden voor een beperkte groep wetenschappers, maar mag niet automatisch opnieuw op internet worden gepubliceerd. Niet iedere wetenschapper mag bovendien automatisch toegang krijgen tot het gedigitaliseerde materiaal; de erfgoedinstelling moet elke specifieke onderzoeksvraag toetsen aan de vier bovengenoemde eisen.
De Juridische Wegwijzer Archieven en Musea online concludeert daarom terecht: Het verwerken van bijzondere persoonsgegevens in het kader van de digitale beschikbaarstelling van erfgoed kan dus op zeer gespannen voet staan met de Wbp. Beschikbaarstelling van bijzondere persoonsgegevens aan een groot, onbepaald publiek is problematisch; de uitzondering ten behoeve van wetenschappelijk onderzoek levert immers geen soelaas voor de instelling die zijn materiaal breed beschikbaar wil stellen.25Annemarie Beunen en Tjeerd Schiphof, Juridische Wegwijzer Archieven en Musea online, in opdracht van de Taskforce Archieven en Museumvereniging, 2006, blz. 44.
De Wbp maakt onderscheid tussen ‘gewone’ en ‘bijzondere’ persoonsgegevens. Bijzondere persoonsgegevens zijn gegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging. Ook strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag zijn bijzondere persoonsgegevens. Van belang is dat het begrip ‘strafrechtelijke gegevens’ zowel informatie over veroordelingen omvat als min of meer gegronde verdenkingen. Het gegeven dat iemand is gearresteerd of dat tegen hem proces-verbaal is opgemaakt wegens een bepaald vergrijp is ook een strafrechtelijk gegeven.
Bijzondere persoonsgegevens zijn onderworpen aan een strenger wettelijk regime dan de overige persoonsgegevens. Verwerking van bijzondere persoonsgegevens is verboden26De wettelijke uitzonderingen staan beschreven in de artikelen 17 tot en met 22 Wbp, zoals het eigen gebruik van gegevens over het lidmaatschap van een politieke partij, vakbond of kerk door de desbetreffende organisatie of het gebruik van medische gegevens door hulpverleners als dat noodzakelijk is voor de goede behandeling of verzorging van een betrokkene. In beginsel is geen van deze uitzonderingen van toepassing op de (open) publicatie van persoonsgegevens op internet., tenzij de betrokkene daarvoor uitdrukkelijke toestemming heeft gegeven, of als de betrokkene de gegevens bewust zelf openbaar heeft gemaakt.
Wie toch bijzondere persoonsgegevens op internet wil publiceren, kan gebruik maken van een van de twee hierboven al vermelde algemene uitzonderingen op het verwerkingsverbod, uitdrukkelijke toestemming van de betrokkene of het feit dat de gegevens door de betrokkene bewust zelf openbaar zijn gemaakt.
Met het begrip ‘uitdrukkelijke toestemming’ stelt de Wbp een zware eis aan de kwaliteit van de toestemming. Die mag niet impliciet of stilzwijgend zijn; de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking.27MvT, blz. 122-123. De uitdrukkelijke individuele toestemming kan dus niet vervangen worden door het aanbieden van een mogelijkheid om de gegevens te laten verwijderen (ook wel een ‘opt out’ genoemd).
Iedere volwassene die op zijn of haar eigen homepage of weblog met opzet en onder eigen naam gevoelige informatie over zichzelf publiceert, zoals verslagen van medische perikelen, maakt die gegevens duidelijk zelf openbaar. Daardoor vervalt het verbod om die bijzondere gegevens te verzamelen en te verwerken. Of iemand een bijzonder gegeven heeft openbaar gemaakt, hangt soms af van de intentie van de betrokkene. Een politicus die zich verkiesbaar stelt, maakt zijn politieke gezindheid duidelijk openbaar. Dat geldt ook voor een imam die in die hoedanigheid in het openbaar uitspraken doet over de Islam. Maar het geldt niet voor een ziekmelding of voor een lichamelijke handicap. Hoewel een lichamelijke handicap vaak voor eenieder zichtbaar is, maakt de betrokkene dit gezondheidsgegeven niet uit vrije wil openbaar. Het gegeven mag dus niet worden verwerkt, tenzij de betrokkene er actief in het openbaar aandacht voor vraagt, bijvoorbeeld als belangenbehartiger van een patiëntenvereniging.
Ook foto’s, video- en geluidsopnamen van herkenbare natuurlijke personen zijn persoonsgegevens.28Richtlijn 95/46/EG, overweging 14: ’overwegende dat, gezien het belang van de in het kader van de informatiemaatschappij aan de gang zijnde ontwikkelingen inzake de technieken voor het opvangen, doorsturen, manipuleren, registreren, bewaren of mededelen van geluid- en beeldgegevens betreffende natuurlijke personen, deze richtlijn ook van toepassing zal moeten zijn op verwerkingen die op deze gegevens betrekking hebben.’ Herkenbaar is daarbij breder dan direct identificeerbaar. Zelfs als het gezicht van een betrokkene wordt gemaskeerd, bijvoorbeeld met een zwart balkje, kan een foto een persoonsgegeven zijn. Dat is bijvoorbeeld het geval bij publicatie van camerabeelden van vermeende winkeldieven. Er bestaat een kans dat de betrokkenen herkend worden door hun vrienden, bekenden of buren, op grond van hun uiterlijk, kapsel en kleding.29Opinion 4/2007, Example No. 19: Publication of video surveillance, blz. 21.
Foto’s van leerlingen
Een lagere school besluit de foto’s van een schoolreisje op de website van de school te zetten. De school moet zich daarbij houden aan de regels van de Wbp. In het bijzonder moet de school uitdrukkelijke toestemming hebben van de ouders van de kinderen. Deze toestemming kan nadien altijd worden ingetrokken. In dat geval moet de school het beeldmateriaal van de betrokkene in beginsel verwijderen.
Als een persoon beeldmateriaal over zichzelf publiceert, geeft hij toestemming voor publicatie in die context. Daarmee is een rechtvaardigingsgrond aanwezig, ook voor de houder van de website waarop het materiaal wordt gepubliceerd. Als iemand beeldmateriaal van andere natuurlijke personen op internet wil publiceren, moet hij daarvoor toestemming van de betrokkenen hebben of een aantoonbare noodzaak voor de publicatie kunnen aantonen (zie II.4). Alleen als een verantwoordelijke foto’s of ander beeldmateriaal publiceert met het uitdrukkelijke doel om onderscheid te maken naar ras, is bijzondere oplettendheid geboden. In dat geval acht het CBP het een redelijke wetstoepassing om het beeldmateriaal aan te merken als een bijzonder persoonsgegeven. Verwerking daarvan is verboden, tenzij een van de hierboven beschreven uitzonderingen van toepassing is. Ten aanzien van publicaties met uitsluitend journalistieke, artistieke of literaire doeleinden (zie hoofdstuk 4 van deze richtsnoeren) gelden ruimere verwerkingsmogelijkheden van beeld- en geluidsmateriaal. Daarnaast is de Wbp niet van toepassing op publicatie van beeldmateriaal op internet voor uitsluitend persoonlijke of huishoudelijke doeleinden. Privépersonen kunnen op grond van die exceptie dus bijvoorbeeld vrijelijk familiefoto’s op internet publiceren, mits de toegang adequaat is afgebakend tot een duidelijk bepaalbare groep van personen. Dit geldt ook voor foto’s op profielsites. Als het profiel is afgeschermd voor zoekmachines en de toegang is beperkt tot vrienden of kennissen, valt de publicatie onder de persoonlijk/huishoudelijke exceptie. De Wbp is dan in het geheel niet van toepassing.
Identificatienummers vormen een aparte categorie bijzondere persoonsgegevens. Omdat persoonsnummers de koppeling van verschillende bestanden vergemakkelijken, vormen ze een extra bedreiging voor de persoonlijke levenssfeer. Volgens artikel 24 Wbp mogen wettelijk voorgeschreven nummers ter identificatie van personen alleen worden gebruikt voor de uitvoering van de betreffende wet of voor doeleinden die bij de wet zijn bepaald. Dit betekent in de praktijk dat het niet is toegestaan om bijvoorbeeld iemands sofinummer (straks: burgerservicenummer) op internet te publiceren, zelfs niet als de betrokkene er toestemming voor heeft gegeven.
Artikel I
Basisbeginselen van de bescherming van persoonsgegevens op internet
Onderdeel van Richtsnoeren publicatie van persoonsgegevens op internet· Privacy
Deze tekst geldt sinds 11 december 2007