Onrechtmatige publicaties van persoonsgegevens moeten door de verantwoordelijke onmiddellijk van internet worden verwijderd. Maar ook voorafgaand aan de publicatie van persoonsgegevens op internet dient een verantwoordelijke een aantal stappen te doorlopen om onrechtmatigheid te voorkomen. Dit hoofdstuk van de richtsnoeren bevat aanwijzingen voor de verantwoordelijke om in de fasen voorafgaand aan, tijdens en volgend op publicatie aan de vereisten van de Wet bescherming persoonsgegevens te voldoen.
Zoals in het onderstaande zal worden uitgelegd dient de verantwoordelijke voorafgaand aan de publicatie vast te stellen of de publicatie een legitiem doeleinde dient en of dat doel verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verkregen. De verantwoordelijke dient bij voorkeur toestemming te vragen van de betrokkenen, of anders te kunnen onderbouwen dat publicatie is toegestaan op grond van een van de andere wettelijke regels over de noodzakelijkheid van de publicatie.
Bij de publicatie dienen verantwoordelijken betrokkenen actief te informeren over het doel en de opzet van de publicatie. Daarnaast moet iedere verantwoordelijke zijn eigen identiteit duidelijk vermelden, toegankelijk voor iedere bezoeker van de publicatie. Persoonsgegevens mogen niet langer bewaard en ter beschikking worden gesteld dan strikt noodzakelijk. Bovendien moet de verantwoordelijke actief de kwaliteit en juistheid van de gepubliceerde persoonsgegevens waarborgen. Een laatste belangrijke stap die verantwoordelijken moeten nemen om te voldoen aan de vereisten van de Wbp is het treffen van beveiligingsmaatregelen tegen onbevoegd gebruik.
Ten slotte dienen verantwoordelijken zich bewust te zijn van de verplichting om ook na de publicatie nog wijzigingen aan te brengen, bijvoorbeeld als een betrokkene zijn toestemming voor publicatie intrekt, of als de gegevens onrechtmatig blijken te zijn.
Wie persoonsgegevens van derden wil publiceren op internet, moet zich afvragen of hij de gegevens verzamelt en gebruikt voor een legitiem doeleinde. Artikel 7 van de Wbp legt vast dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld. Een doeleinde kan bijvoorbeeld zijn: voortzetting van het papieren clubblad op internet, met als doeleinde het informeren van de leden van de vereniging over de verenigingsactiviteiten. Een doeleinde mag niet zo vaag of ruim zijn dat er geen kader is om te toetsen of de gegevens werkelijk nodig zijn voor het gestelde doel.
Bij het publiceren op internet van gegevens die voor een ander doeleinde zijn verzameld, dient de verantwoordelijke vast te stellen of publicatie op internet verenigbaar is met die doeleinden. Artikel 9 van de Wbp stelt een afweging verplicht tussen het oorspronkelijke doeleinde en de verdere verwerking en geeft daarbij vijf criteria waarmee in elk geval rekening moet worden gehouden;
de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen;
de aard van de betreffende gegevens;
de gevolgen van de beoogde verwerking voor de betrokkene;
de wijze waarop de gegevens zijn verkregen;
de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen.
Gegevens van oud-leerlingen
Een school voor voortgezet onderwijs vraagt alle leerlingen of ze ook na het eindexamen hun correcte contactgegevens willen blijven doorgeven aan de schooladministratie, zoals adres, telefoonnummer en e-mailadres. De school noemt het organiseren van toekomstige reünies als doeleinde, evenals het kunnen toesturen van andere informatie over lustra en jubilea van de school. De school wordt regelmatig benaderd door oud-leerlingen die contact zoeken met voormalige klasgenoten. De school besluit de contactgegevens van alle oud-leerlingen op internet te publiceren, om hen in staat te stellen makkelijker zelf contact met elkaar op te kunnen nemen. Deze werkwijze is in strijd met het doelbindingsprincipe uit de Wbp, omdat de gegevens voor een ander doeleinde zijn verzameld en de publicatie op internet vervelende gevolgen kan hebben voor de betrokkenen. De publicatie op internet van de contactgegevens kan bijvoorbeeld leiden tot spam of ongewenst contact met andere oud-leerlingen, maar ook in algemene zin tot een oordeel door derden over iemands kwaliteiten in relatie tot de kwaliteit en aard van de betreffende school. Als de school de oudleerlingen in staat wil stellen contact met elkaar op te nemen, moet ze een andere manier kiezen, bijvoorbeeld op basis van expliciete toestemming bij het verzamelen van de gegevens. Daarbij is het belangrijk dat de school nadenkt over passende waarborgen, zoals afscherming van de gegevens door middel van een (uniek) wachtwoord en afscherming van de pagina’s voor zoekmachines.
Veel mensen gebruiken gegevens van andere websites voor een eigen publicatie, zoals foto’s waar mensen herkenbaar op staan of adressen. De Wbp stelt echter belangrijke beperkingen aan het hergebruik. Het feit dat persoonsgegevens op internet staan, betekent niet dat ze zomaar opnieuw gebruikt mogen worden in een andere context, voor een ander doeleinde. Het nieuwe doel moet verenigbaar zijn met het oude doel en de verantwoordelijke dient een zelfstandige rechtvaardigingsgrond te hebben voor de publicatie. Iemand die bijvoorbeeld een weblog bijhoudt waarin hij of zij ook bijzondere persoonsgegevens over zichzelf verwerkt, zoals een beschrijving van gezondheidsklachten, maakt die gegevens zelf openbaar. Hergebruik van bijzondere persoonsgegevens is niet verboden als de betrokkene de gegevens zelf openbaar heeft gemaakt, maar de verantwoordelijke die deze gegevens in een eigen publicatie wil verwerken, dient een zelfstandige rechtvaardigingsgrond te hebben (zie hierna paragraaf 4: toestemming vragen of noodzaak aantonen).
Het verenigbaarheidsvereiste uit de Wbp heeft sterke raakvlakken met bepalingen in de wet over de kwaliteit en beveiliging van gegevens. Zelfs als het nieuwe doel verenigbaar is met het oude doel, kan de verwerking onrechtmatig zijn, bijvoorbeeld als het gaat om het overnemen van verouderde, onjuiste informatie over iemands functie of beroep. De onderwerpen kwaliteit en beveiliging komen nader aan de orde in de paragrafen 7 en 8 van dit hoofdstuk. Daarnaast geldt het algemene uitgangspunt (uit artikel 6 Wbp) dat verantwoordelijken op behoorlijke en zorgvuldige wijze te werk dienen te gaan bij het verzamelen en verwerken van persoonsgegevens. Deze bepaling speelt zeker bij de beoordeling van de verenigbaarheid van publicaties op internet een belangrijke rol.
Verantwoordelijken dienen zich bij het beoordelen of (her-)publicatie van persoonsgegevens op internet verenigbaar is met het oorspronkelijke doeleinde niet alleen rekenschap te geven van de herkomst van de gegevens, maar ook van het risico dat anderen de gegevens gebruiken die de verantwoordelijke zelf op internet publiceert. Om de risico’s voor betrokkenen te verkleinen, dient elke verantwoordelijke adequate beveiligingsmaatregelen te treffen tegen oneigenlijk verder gebruik.
Voor een juiste risico-inschatting moet de rol van zoekmachines worden meegewogen. Publicaties op internet die eigenlijk gericht zijn op een klein publiek, worden door zoekmachines wereldwijd toegankelijk gemaakt. Zoekmachines kunnen verspreide informatie van verschillende aard over een persoon koppelen. Dat kan een nieuw beeld opleveren, met een veel hoger risico voor de betrokkene dan elk van de afzonderlijke gegevens meebrengt. Strikte inperking van de gebruiksmogelijkheden en afscherming van persoonsgegevens voor zoekmachines zijn daarom belangrijke maatregelen om oneigenlijk hergebruik te voorkomen. Dit vereiste wordt nader uitgewerkt in paragraaf 8 van dit hoofdstuk.
De Wbp verbiedt publicatie van persoonsgegevens indien de gegevens onder een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift vallen.30Wbp, artikel 9 lid 4. Deze bepaling wordt dikwijls ingezet in zaken waarin het medisch beroepsgeheim speelt, maar is door het CBP ook gehanteerd bij het beoordelen van een overheidsinitiatief om persoonsgegevens openbaar te maken via internet.
Publicatie van waardegegevens onroerend goed
In 2003 vroeg het Ministerie van Financiën advies aan het CBP over een aantal voorgenomen wijzigingen in de Wet waardering onroerende zaken (Wet WOZ). Het voorstel beoogde de openbaarheid van WOZ-gegevens te vergroten door de taxatierapporten op internet te plaatsen. Het CBP adviseerde31CBP, z2003-01563, 11 februari 2004, URL: http://www.cbpweb.nl/documenten/adv_z2003- 1563.stm: Gelet op het vorengaande komt het CBP tot het oordeel dat een algemene toegankelijkheid van waardegegevens op het internet zich niet verhoudt met de Wbp en de Wet WOZ. Het CBP onderschrijft het oordeel van de Raad van State dat het waardegegeven privacygevoelige informatie betreft. Verdere verwerking van deze gegevens (door plaatsing op het internet) dient daarom op grond van het bepaalde in artikel 40, eerste lid, Wet WOZ en artikel 9, vierde lid, Wbp achterwege te blijven.
Voor verantwoordelijken die persoonsgegevens op internet willen publiceren, geldt dat zij toestemming nodig hebben van de betrokkenen, tenzij er een aantoonbare andere noodzaak is voor de publicatie, zoals nakoming van een wettelijke verplichting of uitvoering van een contractuele verplichting. De Wbp noemt dit een grondslag voor een gerechtvaardigde gegevensverwerking. In deze richtsnoeren wordt hiervoor het begrip ‘rechtvaardigingsgrond’ gehanteerd. Artikel 8 Wbp somt in totaal zes rechtvaardigingsgronden op.32Zie voor een algemene toelichting op artikel 8 Wbp het informatieblad ‘Verstrekken van persoonsgegevens’ voor verantwoordelijken, en het informatieblad ‘Verstrekken van uw persoonsgegevens’ voor betrokkenen, beschikbaar via de website van het CBP, URL: http://www.cbpweb.nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Indien er geen toestemming is (artikel 8 onder a Wbp) mag publicatie uitsluitend indien deze noodzakelijk is volgens een van de volgende vijf rechtvaardigingsgronden:
– voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene en die noodzakelijk zijn voor het sluiten van een overeenkomst (artikel 8 onder b Wbp);
– om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is (artikel 8 onder c Wbp);
– ter vrijwaring van een vitaal belang van de betrokkene (artikel 8 onder d Wbp);
– voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, (artikel 8 onder e Wbp);
– voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert (artikel 8 onder f Wbp).
Elk van de rechtvaardigingsgronden wordt hierna uitvoerig toegelicht. Ten aanzien van bijzondere persoonsgegevens, zoals strafrechtelijke gegevens, gelden extra regels. Verwerking ervan is verboden, tenzij de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt of uitdrukkelijke toestemming heeft gegeven voor de verwerking (zie hoofdstuk I, paragraaf 8). Opheffing van het verwerkingsverbod ontslaat de verantwoordelijke niet van de plicht om een zelfstandige rechtvaardigingsgrond voor de publicatie te hebben.
Toestemming, de rechtvaardigingsgrond voor veel publicaties op internet, moet ondubbelzinnig zijn (in het geval van bijzondere persoonsgegevens zelfs ‘uitdrukkelijk’). De verantwoordelijke mag niet uitgaan van het principe ‘wie zwijgt, stemt toe’, maar moet elke twijfel uitsluiten over de vraag òf de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen hij toestemming heeft gekregen. Als het gaat om een openbaar toegankelijk discussieforum of gastenboek op internet, hoeft de verantwoordelijke echter niet expliciet toestemming te vragen voor publicatie van een reactie; hij mag er redelijkerwijs van uitgaan dat de betrokkene begrijpt dat de reactie op internet verschijnt.33’(...) kennis die hij op grond van maatschappelijke opvattingen redelijkerwijs bij de betrokkene aanwezig mag achten.’ MvT, blz. 66.
CWI publiceert gegevens werkzoekenden op internet
Naar aanleiding van berichten in de media dat privégegevens van werkzoekenden vrij toegankelijk waren via de vacaturesite werk.nl heeft het CBP het Centrum voor werk en inkomen in april 2004 om opheldering gevraagd. Uit de verstrekte informatie bleek dat werkzoekenden zelf konden besluiten of zij naast gegevens over opleiding en werkervaring ook andere persoonsgegevens (zoals naam, adresgegevens en telefoonnummer) op internet wilden plaatsen. Het privacystatement van het CWI vermeldde duidelijk dat deze gegevens openbaar toegankelijk waren voor anderen. Het CWI heeft inmiddels wel restricties aangebracht in deze toegang tot gegevens van werkzoekenden. Alleen werkgevers met een zogenaamd werkgeversaccount kunnen nu direct alle gegevens van werkzoekenden opvragen.34CBP, april 2004, z2003-1437, URL: http://www.cbpweb.nl/documenten/uit_z2003- 1437.stm
Een eenmaal gegeven toestemming tot het verwerken van gegevens kan te allen tijde worden ingetrokken.35Artikel 5 Wbp tweede lid: ’Een toestemming kan door de betrokkene of zijn wettelijk vertegenwoordiger te allen tijde worden ingetrokken.’ De memorie van toelichting bij de Wbp voegt daar volledigheidshalve aan toe dat een dergelijke intrekking geen consequenties heeft voor gegevensverwerkingen die vóór het moment van de intrekking hebben plaatsgevonden.36Een eenmaal gegeven toestemming tot het verzamelen van gegevens kan te allen tijde worden ingetrokken. Een dergelijke intrekking heeft echter geen consequenties voor gegevensverwerkingen die vóór het moment van de intrekking hebben plaatsgevonden. Dit geldt voor alle soorten van verwerkingen. Gezien het dwingende karakter van dit voorschrift is dit expliciet bepaald in artikel 5, tweede lid. MvT, blz. 67/68. Deze inperking heeft echter geen betrekking op het voortduren van de publicatie van persoonsgegevens op internet. Als de toestemming wordt ingetrokken, is de publicatie vanaf dat moment onrechtmatig, tenzij de verantwoordelijke de verwerking kan rechtvaardigen onder een andere rechtvaardigingsgrond. Dat betekent dat verantwoordelijken voor publicaties op internet, voorzover die gebaseerd zijn op toestemming, technische voorzieningen moeten treffen om persoonsgegevens ook daadwerkelijk te kunnen verwijderen als een betrokkene zijn of haar toestemming intrekt.
Met betrekking tot personen onder de zestien jaar stelt de Wbp bijzondere regels. Voor de verwerking van persoonsgegevens van jongeren onder de zestien jaar kunnen alleen de ouders of wettelijk vertegenwoordiger(s) toestemming geven. De verantwoordelijke moet aan kunnen tonen dat hij toestemming heeft gekregen van de ouders. Als dat niet het geval is, is de toestemming van de betreffende jongere nietig en de publicatie op internet van de persoonsgegevens onrechtmatig. 37Artikel 3:40 eerste lid Burgerlijk Wetboek bepaalt dat een rechtshandeling die door inhoud of strekking in strijd is met de goede zeden of de openbare orde, nietig is. De toestemming die met betrekking tot een bepaalde gegevensverwerking niet rechtsgeldig is gegeven, dient als nietig te worden beschouwd. MvT, blz. 67.
De dagelijkse gang van zaken op internet is dat veel jongeren gedetailleerde informatie over zichzelf en hun vrienden en kennissen publiceren op internet, op een eigen website of in sociale netwerkomgevingen. Zo lang de betrokkenen geen hinder ondervinden van dergelijke publicaties, kan het wettelijk toestemmingsvereiste daarbij soms zinloos lijken. Bij publicatie op internet moet echter rekening worden gehouden met het feit dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen dan voorheen.
De grens van 16 jaar in de Wbp betekent dat houders van websites of netwerkomgevingen die speciaal zijn gericht op jongeren onder de 16 jaar een maatschappelijke verantwoordelijkheid hebben om hen te wijzen op hun rechten en plichten, op een heldere en voor de doelgroep begrijpelijke wijze.
Vuistregels publicaties
jongeren Verantwoordelijken voor publicaties of netwerkomgevingen die veel door jongeren worden bezocht, dienen zich om aan de Wbp te voldoen in ieder geval aan de volgende regels te houden:
Benadrukken dat de gebruikers hun ouders dienen te informeren en om hun toestemming dienen te vragen;
Waarschuwen dat gebruikers niet zonder toestemming persoonsgegevens van anderen (veelal zelf ook weer minderjarigen) mogen publiceren;
Technische maatregelen doorvoeren om verdere verwerking op internet zoveel mogelijk in te perken, zoals automatische blokkade van persoonlijke profielpagina’s voor zoekmachines en persoonlijke controle van de gebruiker over de toegang tot zijn gegevens voor andere gebruikers van de site of omgeving;
Strikte inperking van de soorten gegevens die aan jongeren worden gevraagd. Het publiceren van bijzondere persoonsgegevens van minderjarigen, zoals gegevens over seksuele geaardheid of religieuze overtuiging dient altijd achterwege te blijven. Verantwoordelijken mogen er niet vanuit gaan dat jongeren de risico’s kunnen doorgronden van beoordeling op grond van een dergelijk kenmerk.
De Wbp kent vijf rechtvaardigingsgronden die gebaseerd zijn op een aantoonbare noodzaak voor de verantwoordelijke. Dat zijn: uitvoering van een overeenkomst, voldoen aan een specifieke wettelijke verplichting, vitaal belang, een goede vervulling van een specifieke publiekrechtelijke taak of een afweging van belangen.
De rechtvaardigingsgrond dat publicatie op internet noodzakelijk is ter uitvoering van een overeenkomst kan van pas komen bij specifieke dienstverlening om via internet te bemiddelen. Dat kan gaan om bemiddeling tussen werkzoekenden en werkgevers, of tussen mensen die op zoek zijn naar contact of een relatie. Daarbij is het wel van belang, in het licht van de informatieplicht uit de Wbp (zie hierna, paragraaf 5) en de bepalingen in het Burgerlijk Wetboek over de toegankelijkheid, begrijpelijkheid, redelijkheid en billijkheid van contractuele bepalingen,38In navolging van diverse EU richtlijnen is de informatieplicht naar consumenten in de jaren negentig van de 20ste eeuw aangescherpt. In Nederland zijn de verscherpte bepalingen uitgewerkt in de artikelen 233 en 234 Boek 6 BW, over de ter hand stelling van algemene voorwaarden en in de artikelen 236 en 237 Boek 6 BW, over onredelijke bedingen. dat betrokkenen goed worden geïnformeerd over welke gegevens op internet worden gepubliceerd en over de mate waarin de gegevens zijn afgeschermd tegen onbedoeld hergebruik door derden, bijvoorbeeld door een wachtwoord en afscherming van de persoonsgegevens van zoekmachines.
Het moeten nakomen van een wettelijke verplichting is een rechtvaardigingsgrond die naar verwachting in de toekomst steeds vaker door overheidsinstellingen of beheerders van openbare registers gebruikt kan worden. Er is veel wetgeving in ontwikkeling ter bevordering van de transparantie en eenvormigheid van de besluitvorming door bestuursorganen. Daarbij wordt elektronische publicatie van persoonsgegevens soms expliciet voorgeschreven. Het CBP zet zich daarbij in voor een duidelijk onderscheid tussen openbaarmaking en publicatie op internet. Het openbaar mogen, of zelfs moeten maken van persoonsgegevens betekent niet automatisch dat de gegevens op internet mogen worden gepubliceerd.
Het onderscheid tussen een wettelijke plicht om bepaalde persoonsgegevens te verzamelen en de publicatie ervan op internet speelde een belangrijke rol in het onderzoek dat het CBP in 2005 deed naar de publicatie op internet van (aanvragen voor) bouwvergunningen door de gemeente Nijmegen. Op het gemeentelijk aanvraagformulier moeten allerlei persoonsgegevens worden ingevuld, zoals naam, adres, e-mailadres, telefoonnummer, handtekening en hoogte van de bouwsom. De gemeente scande de aanvraagformulieren in en publiceerde die op internet. Het CBP stelde vast dat er wel een wettelijke verplichting was tot het bijhouden van een bouwregister, maar geen wettelijke verplichting om alle documenten integraal op internet te publiceren.
Het CBP schreef: Dit rechtvaardigt niet zonder meer dat alle persoonsgegevens waarvan de gemeente gebruik heeft gemaakt in de procedure voor het verlenen van de bouwvergunning – gegevens die op goede gronden in het bouwregister voorkomen – opgenomen worden in het via internet toegankelijke Digitaal Bouwarchief. Dat de gemeente bepaalde persoonsgegevens noodzakelijkerwijs mag opnemen <in het analoge archief, red.>, betekent namelijk op zich niet dat de gemeente die gegevens ook, al dan niet beperkt, aan anderen ter beschikking mag stellen. 39CBP, z2005-0212, 1 december 2005, URL: http://www.cbpweb.nl/documenten/uit_z2005- 0212.shtml
De rechtvaardigingsgrond dat publicatie noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene heeft betrekking op een medische noodzaak. Het artikel is bedoeld om mensenlevens te kunnen redden in acute noodsituaties, als de betrokkene bijvoorbeeld buiten bewustzijn is. Het is hoogst onwaarschijnlijk dat deze rechtvaardigingsgrond gebruikt kan worden om een publicatie op internet te rechtvaardigen.
Overheidsinstellingen of -diensten die persoonsgegevens op internet willen publiceren, kunnen een rechtvaardigingsgrond vinden in artikel 8 onder e Wbp. Er is een rechtvaardigingsgrond als publicatie noodzakelijk is voor een goede vervulling van een publiekrechtelijke taak van het desbetreffende bestuursorgaan. Daarbij moet voor elk te publiceren gegeven de noodzaak zorgvuldig worden afgewogen. Dat verstrekking van bepaalde gegevens aan een bestuursorgaan noodzakelijk is, rechtvaardigt niet dat alle gegevens automatisch ook op internet worden gepubliceerd. Dat geldt ook voor bestuursorganen die actieve openbaarmaking overwegen in het kader van de Wet openbaarheid van bestuur (Wob).
Een laatste rechtvaardigingsgrond zit in de afweging van het eigen gerechtvaardige publicatiebelang tegen de rechten en vrijheden van betrokkenen, in het bijzonder de bescherming van hun persoonlijke levenssfeer. De afweging is veel algemener van aard dan de eerste vijf rechtvaardigingsgronden en is naar zijn aard afhankelijk van de omstandigheden van een specifieke publicatie. In beginsel zullen slechts weinig publicaties zich op deze rechtvaardigingsgrond kunnen beroepen, omdat publicatie op internet onvoorspelbare risico’s met zich meebrengt voor de persoonlijke levenssfeer van betrokkenen.
Een verantwoordelijke die zich op artikel 8 onder f Wbp wil beroepen moet allereerst aantonen dat een voorgenomen publicatie noodzakelijk is voor de verwezenlijking van een gerechtvaardigd eigenbelang. Noodzaak is volgens jurisprudentie van het EHRM niet hetzelfde als ‘leuk’ of ‘nuttig’.40EHRM 25 maart 1983, Silver and others v. United Kingdom, nr. 97: “(a) the adjective “necessary” is not synonymous with “indispensable”, neither has it the flexibility of such expressions as “admissible”, “ordinary”, “useful”, “reasonable” or “desirable […].” Bovendien dient de verantwoordelijke aan te tonen dat het beoogde belang niet anderszins of met minder ingrijpende middelen kan worden gediend.41Een dergelijke afweging van belangen moet volgens vaste jurisprudentie van het EHRM in overeenstemming zijn met de beginselen van proportionaliteit en subsidiariteit. Dit laatste betekent dat de inbreuk op de persoonlijke levenssfeer van de betrokkene in een juiste verhouding moet staan tot het nagestreefde doel en dat dit niet op een minder ingrijpende wijze kan worden bereikt.
Nadat deze afweging is gemaakt, dient de verantwoordelijke een tweede afweging te maken, waarbij de individuele belangen van betrokkenen een zelfstandig gewicht in de schaal leggen. Een verantwoordelijke kan niet volstaan met de redenering dat het om gegevens gaat die toch al op andere plaatsen op internet zijn te vinden en dat de inbreuk van de nieuwe publicatie daarom gering zou zijn.
De memorie van toelichting bij de Wbp geeft als hulpmiddel vier vragen die verantwoordelijken kunnen stellen om de dubbele afweging te maken.
• Is er werkelijk een belang dat verwerking van persoonsgegeven rechtvaardigt?
• Wordt met de verwerking een inbreuk gemaakt op belangen of fundamentele rechten van degene wiens gegevens worden verwerkt en zo ja, dient dan – afhankelijk van de ernst van de inbreuk – gegevensverwerking niet achterwege te blijven?
• Kan het doel dat met de verwerking wordt nagestreefd ook langs andere weg – zonder verwerking – worden bereikt?
• Is de verwerking in de mate die is beoogd evenredig aan het nagestreefde doel?42MvT, blz. 86.
Dit komt er op neer dat de verantwoordelijke zich moet afvragen:
– Is publicatie echt nodig? Kan het niet anders?
– Weegt het belang van publicatie wel op tegen de nadelen ervan?
– Wat betekent publicatie voor elke individuele betrokkene in zijn specifieke geval?
Een verantwoordelijke dient het resultaat van deze afweging inzichtelijk te kunnen maken. Het resultaat van de afweging moet een duidelijk belang zijn, dat maatschappelijk aanvaardbaar is, niet in strijd met wat volgens geschreven en ongeschreven recht in het maatschappelijk verkeer betaamt. De verantwoordelijke mag het belang van de verwerking niet snel laten prevaleren boven het belang van de betrokkene, juist ook vanwege de risico’s van verdere verwerking door publicatie op internet.
Dat het belang van betrokkenen zwaar weegt en vaak prevaleert boven het belang van de verwerking, blijkt ook uit jurisprudentie over het publiek etaleren van foto’s van vermeende winkeldieven. In augustus 2004 oordeelde de voorzieningenrechter van de rechtbank Amsterdam43LJN: AQ7877, Rechtbank Amsterdam, KG 04/1566 SR dat een winkelier geen foto in zijn winkel mocht ophangen van een vrouw die hij aanzag voor een winkeldief. De publicatie zou in strijd zijn met de auteurswet, maar ook met de Wbp, in het bijzonder met artikel 8 onder f: Het ophangen van de foto van [eiseres] met daarbij de tekst ‘Deze vrouw heeft hier gestolen’ is eveneens in strijd met de Wbp. De videobeelden gemaakt met een bewakingscamera zijn aan te merken als een bestand in de zin van artikel 1 onder c van de Wbp, nu sprake is van een gestructureerd geheel van persoonsgegevens. De verwerking van deze gegevens door een winkelier valt onder de Wbp. Uit hetgeen hiervoor (….) is overwogen, volgt dat [eiseres] geen ondubbelzinnige toestemming heeft gegeven voor de verwerking van de videobeelden tot een foto – zoals vereist in artikel 8 onder a Wbp – en dat het belang van [eiseres] prevaleert bij de in artikel 8 onder f Wbp bedoelde belangenafweging.44Idem, onder punt 12.
De rechter in kort geding overwoog daarbij (in punt 9) : “Een publicatie als de onderhavige – die een element van straf in zich heeft – levert eigenrichting op jegens [eiseres].” En voegde er aan toe: “Het opsporen en berechten van verdachten is het monopolie van justitie en het is niet aan burgers om mogelijke verdachten openlijk te schande te zetten.”
Twee jaar later, nadat de gewraakte foto opnieuw was gepubliceerd in een dagblad, deed het CBP een algemene uitspraak over de toelaatbaarheid van publicaties van foto’s van verdachten van winkeldiefstal door particuliere ondernemingen.45CBP, 30 mei 2006, z2005-0846, URL: http://www.cbpweb.nl/documenten/uit_z2005- 0846.shtml Het CBP oordeelde dat de Wet bescherming persoonsgegevens niet toelaat dat foto’s van personen die verdacht worden van winkeldiefstal door winkeliers op winkelruiten of andere voor het publiek zichtbare plaatsen worden gepubliceerd.
Geoordeeld is: Het gebruik van de beelden voor publicatie in winkels, zodat er feitelijk sprake is van het publiekelijk betichten van strafbare feiten (shaming), kan niet gerekend worden tot een maatschappelijk aanvaardbaar doel. Daarmee is gegeven dat het eveneens geen gerechtvaardigd belang kan zijn voor de verantwoordelijke.46CBP, 30 mei 2006, z2005-0846, blz 3.
De Wbp bevat een informatieplicht. Verantwoordelijken voor publicaties op internet moeten op eigen initiatief inzicht geven in het doel van de publicatie, hoe en welke persoonsgegevens ze verwerken en wat hun identiteit is. Dat is geen eenmalige verplichting, maar geldt jegens elke persoon over wie zij gegevens verwerken.
De informatieplicht geldt als verantwoordelijken de gegevens zelf verzamelen (artikel 33 Wbp), maar ook als zij de gegevens op een andere manier verkrijgen, bijvoorbeeld door gegevens over te nemen uit andere publicaties op internet (artikel 34 Wbp). Wie gegevens op internet verzamelt en voor een eigen publicatie wil hergebruiken, moet de betrokkenen individueel op de hoogte stellen dat er een nieuwe verantwoordelijke is die de persoonsgegevens verwerkt.47Zie voor een algemene toelichting op de informatieplicht het informatieblad ‘Informatieplicht’ voor verantwoordelijken, beschikbaar via de website van het CBP, URL: http://www.cbpweb.nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Als er weinig risico’s gemoeid zijn met de publicatie en als betrokkenen redelijkerwijs weten in welke context bepaalde persoonsgegevens over hen op internet worden gepubliceerd, kan een verantwoordelijke volstaan met het verstrekken van passieve informatie over zijn identiteit en het doeleinde van de publicatie, bijvoorbeeld in de vorm van een privacyverklaring. In alle andere gevallen dient een verantwoordelijke alle betrokkenen op voorhand te informeren, met zoveel aanvullende informatie als nodig is om er zeker van te zijn dat betrokkenen begrijpen wat de bedoeling is en hoe zij zich eventueel tegen publicatie kunnen verzetten.
Extra informatie en aandacht voor privacy en jongeren
Jongeren zijn een extra kwetsbare groep als het gaat om persoonsgegevens en het Web. Diensten op het Web die gegevens over jongeren en door jongeren geplaatste persoonsgegevens verwerken dienen er daarom extra goed voor te zorgen dat zorgvuldig met persoonsgegevens wordt omgegaan. Aan de ene kant zijn het juist jongeren die de mogelijkheden van nieuwe communicatietechnieken en diensten ontdekken en benutten. Aan de andere kant hebben de meeste jongeren nog geen goed besef van de consequenties die de publicatie en het afstaan van persoonsgegevens kunnen hebben. Dat geldt voor henzelf en voor gegevens over andere jongeren die zij publiceren. Ook voor jongeren geldt de verplichting om zorgvuldig met persoonsgegevens om te gaan. De verantwoordelijken dienen daarom extra veel aandacht te besteden aan informatie over de verwerkingen van persoonsgegevens en gebruikers goed voor te lichten.
Hoe verantwoordelijken precies aan de informatieplicht uit de Wbp kunnen voldoen, is afhankelijk van een aantal factoren. De memorie van toelichting bij de Wbp geeft aan dat verantwoordelijken zoveel informatie moeten verstrekken als nodig is om in elk concreet geval een behoorlijke en zorgvuldige gegevensverwerking te waarborgen, of zij de gegevens nu zelf van de betrokkene krijgen, of indirect.48MvT, blz. 149-150. Dat betekent dat de omvang van de informatieplicht afhangt van de aard van de verantwoordelijke, de risico’s die met de publicatie zijn gemoeid en de manier waarop de persoonsgegevens zijn verkregen. Wie met toestemming van de betrokkenen persoonsgegevens op internet publiceert en de persoonsgegevens heeft afgeschermd tegen verder gebruik door zoekmachines, kan volstaan met een beknopte vermelding van zijn identiteit en het doeleinde van de publicatie, voorafgaand aan de publicatie. Wie echter op grond van een andere rechtvaardigingsgrond, zoals een goede vervulling van zijn publiekrechtelijke taak, gegevens op internet wil publiceren, dient de betrokkenen veel uitgebreider, individueel te informeren – zeker als niet op voorhand duidelijk is dat de gegevens ook op internet worden gepubliceerd – en hen te wijzen op hun recht op verzet. Alleen als de verantwoordelijke aannemelijk kan maken dat het individueel informeren een onevenredige inspanning vergt – waaronder wordt verstaan dat het informeren substantiële kosten meebrengt, een buitengewone inspanning kost bij het achterhalen van betrokkenen of stuit op technische onmogelijkheden – en er geen andere wegen openstaan om de betrokkenen via algemenere kanalen te informeren, vervalt de actieve informatieplicht. De verantwoordelijke moet in dat geval wel zorgvuldig vastleggen van wie en op welke wijze hij de gegevens heeft verkregen, bijvoorbeeld van welke andere internetpublicaties hij de gegevens heeft overgenomen.
Schrijven over bekende personen
Een minister vertelt op televisie over zijn privéleven. Tal van persoonlijke, niet-journalistieke weblogs besteden aandacht aan zijn uitspraken en allerlei mensen geven daar weer commentaar op. In dit geval, omdat de bewindsman zijn uitlatingen in het openbaar heeft gedaan, mag aangenomen worden dat hij op de hoogte is van het feit dat hierover in het openbaar verder wordt gediscussieerd, ook op internet. De houders van de weblogs hoeven de minister daarom niet apart te informeren dat ze persoonsgegevens over hem verwerken. Een (niet-journalistieke) verantwoordelijke die de aanleiding echter te baat neemt om allerlei andere privé-informatie over de minister op internet te publiceren, inclusief bijvoorbeeld foto’s van zijn familie, dient de minister wel degelijk te informeren. Of een dergelijke publicatie überhaupt te rechtvaardigen valt, is zeer de vraag, gezien de mogelijke gevolgen voor de familieleden.
De informatieplicht geldt jegens alle betrokkenen over wie persoonsgegevens worden verwerkt, ook als het gaat om inwoners uit een land buiten de Europese Unie. Als een verantwoordelijke bijvoorbeeld een contactlijst wil publiceren van mensen uit de hele wereld met een hele specifieke interesse, dan moeten alle betrokkenen voorafgaand aan de publicatie individueel op de hoogte worden gesteld. Als een inwoner uit de Verenigde Staten merkt dat zijn naam op de desbetreffende website staat zonder dat hij daarover tevoren is geïnformeerd, kan hij in Nederland de rechtsmiddelen aanwenden die de Wbp hem toekent.49MvT, blz. 193: ’Dat betekent dat ook betrokkenen die zich bijvoorbeeld bevinden in de Verenigde Staten, wanneer hun persoonsgegevens worden vergaard, daarover behoren te worden geïnformeerd in de zin van de artikelen 33 en 34 van het wetsvoorstel. Zou zo iemand op enigerlei wijze bemerken dat met overtreding van dit voorschrift persoonsgegevens over hem zijn verwerkt, bijvoorbeeld doordat hij specifiek op hem gerichte reclame ontvangt, dan kan hij in Nederland de rechtsmiddelen aanwenden die deze wet hem toekent.’
Wie op basis van toestemming persoonsgegevens op internet publiceert, hoeft de betrokkenen (na het verkrijgen van de toestemming) niet afzonderlijk meer te informeren over zijn identiteit en doeleinden van de verwerking. Een goede invulling van de beknopte informatieplicht is dan het publiceren van een privacyverklaring. De verklaring moet in duidelijke en begrijpelijke taal zijn opgesteld, goed vindbaar zijn en bij voorkeur op te roepen vanuit elk onderdeel van de publicatie.
In navolging van de aanbeveling van de Artikel 29-werkgroep over het online verzamelen van gegevens50Artikel 29-werkgroep, WP 43, Aanbeveling inzake bepaalde minimumeisen voor het on line verzamelen van persoonsgegevens in de Europese Unie, goedgekeurd op 17 mei 2001., moet een privacyverklaring bij een publicatie op internet minimaal de volgende elementen bevatten:
de identiteit, het fysieke en het elektronische adres van de voor de verwerking verantwoordelijke;
het doel (de doeleinden) van de verwerking waarvoor de verantwoordelijke gegevens verwerkt via een publicatie op internet;
vermelding of het verstrekken van bepaalde informatie verplicht of facultatief is;
de ontvangers of de categorieën ontvangers van de verzamelde informatie;
vermelding van het recht dat betrokkenen hebben om, afhankelijk van de situatie, toestemming te geven voor of zich te verzetten tegen de verwerking van persoonsgegevens en van de voorwaarden die daarvoor gelden; vermelding van het recht op toegang tot en rectificatie en verwijdering van gegevens. Daarbij moet duidelijk worden gemaakt tot welke persoon of dienst betrokkenen zich moeten wenden om deze rechten uit te oefenen;
de naam en het adres (fysiek en elektronisch) van de dienst of persoon die verantwoordelijk is voor het beantwoorden van vragen betreffende de bescherming van persoonsgegevens;
informatie over het gebruik van eventuele automatische procedures voor informatievergaring (bijvoorbeeld ten aanzien van het vastleggen van IP-adressen van bezoekers van een website of de inzet van cookies)
informatie over het beveiligingsniveau van een publicatie gedurende alle verwerkingsstadia (belangrijk bij publicaties voor een beperkte doelgroep), inclusief verduidelijking of en zo ja, in welke mate, gegevens indexeerbaar zijn voor zoekmachines;
vermelding van de bewaartermijn van persoonsgegevens, inclusief eventuele spelregels ten aanzien van uitsluiting/ blacklisting;
indien van toepassing: het meldingsnummer waarmee de verwerking is aangemeld bij het CBP.
In de bijlage bij deze richtsnoeren is een model privacyverklaring opgenomen dat aan deze voorwaarden voldoet. Het gaat daarbij om een model dat gebruikt kan worden voor een discussieforum, waarbij deelnemers hun bijdragen al dan niet onder pseudoniem publiceren en de rechtvaardigingsgrond voor een gerechtvaardigde gegevensverwerking toestemming is.
De Wbp eist in het tweede lid van de artikelen 33 en 34 Wbp dat verantwoordelijken hun identiteit bekend moeten maken. Dat stelt betrokkenen in staat om hun rechten effectief uit te oefenen en rechtstreeks met verantwoordelijken in contact te treden. De aanbeveling van de Artikel 29-werkgroep uit 2001 over het online verzamelen van gegevens benadrukt dat bij de identiteit zowel het elektronische als het fysieke adres moet worden vermeld. Ook de e-commerce richtlijn (2000/31/EG) kent een dergelijk absoluut identiteitsvereiste, omgezet in artikel 3:15d van het Burgerlijk Wetboek.513:15d eerste lid BW: ’Degene die een dienst van de informatiemaatschappij verleent, maakt de volgende gegevens gemakkelijk, rechtstreeks en permanent toegankelijk voor degenen die gebruik maken van deze dienst, in het bijzonder om informatie te verkrijgen of toegankelijk te maken: a. zijn identiteit en adres van vestiging; b. gegevens die een snel contact en een rechtstreekse en effectieve communicatie met hem mogelijk maken, met inbegrip van zijn elektronische postadres;’ (onderdelen c tot en met f niet geciteerd) Een dergelijk absoluut identiteitsvereiste brengt echter risico’s mee voor de privacy van individuele webloggers of critici. Een natuurlijk persoon kan goede redenen hebben om zijn fysieke contactadres niet op internet te willen publiceren, uit angst voor bedreigingen of andersoortige ongevraagde benaderingen.
De aanbeveling van de Artikel 29- werkgroep is vooral gericht op verantwoordelijken die op professionele wijze gegevens verzamelen en verwerken, bijvoorbeeld ten behoeve van direct marketing of andere commerciële dienstverlening. Dat individuen massaal over zouden gaan tot het publiceren van persoonsgegevens op internet had de werkgroep waarschijnlijk toentertijd niet voorzien. Ook de e-commerce richtlijn is niet gericht op natuurlijke personen, maar op commerciële dienstverleners, die ‘gewoonlijk tegen vergoeding’ hun diensten verrichten.523:15d derde lid BW.
In het geval van publicaties door natuurlijke personen is een nadere afweging noodzakelijk om recht te doen aan de goede redenen die een verantwoordelijke kan hebben om zijn fysieke contactadres niet te willen publiceren op internet. Het CBP acht het daarom een redelijke wetstoepassing als een natuurlijke persoon die zonder commercieel oogmerk op internet publiceert, volstaat met het bekendmaken van een elektronisch contactadres. Daarbij gelden twee voorwaarden:
– de verantwoordelijke is goed bereikbaar voor betrokkenen door middel van een elektronisch e-mailadres
– dit e-mailadres wordt uitgegeven door een in Nederland gevestigde aanbieder.
Een dergelijke verantwoordelijke (die als privépersoon, zonder commercieel oogmerk publiceert) kan niet volstaan met het vermelden van een (veelal gratis) e-mailadres van een internationaal opererende serviceprovider als Microsoft, Google of Yahoo. Een dergelijk adres kan het voor een betrokkene onnodig ingewikkeld maken om zijn recht te halen als een verantwoordelijke niet adequaat reageert. Het e-mailadres moet uitgegeven zijn door een in Nederland gevestigde aanbieder, binnen het Nederlandse .nl domein.
Verantwoordelijken die over een eigen mailserver beschikken kunnen eveneens aan deze verplichting voldoen, mits zij de e-mail verwerken onder een .nl domein.
Het vereiste van een Nederlands elektronisch contactadres maakt het voor betrokkenen mogelijk om nadere stappen te ondernemen om de identiteit te achterhalen van de verantwoordelijke. Het Lycos-arrest van het Hof Amsterdam53Arrest van 24 juni 2004 van het Hof Amsterdam, rolnummer 1689/03 KG. Het Hof oordeelde dat hostingprovider Lycos de persoonsgegevens van een abonnee aan X. moest verstrekken. De abonnee had X. voor oplichter uitgemaakt op zijn website. Het Hof oordeelde dat het voldoende aannemelijk was dat de uiting onrechtmatig zou kunnen zijn en dat Lycos daarom onrechtmatig handelde door de persoonsgegevens van de abonnee niet te verstrekken. Eind 2005 verwierp de Hoge Raad het door Lycos ingestelde cassatieberoep, waardoor het arrest van het Hof definitief werd. De Hoge Raad merkte wel op dat het met die verwerping geen algemene regel wilde formuleren over een verplichting tot het verstrekken van persoonsgegevens aan derden, Hoge Raad der Nederlanden, 25 november 2005, LJN: AU4019, C04/234HR kan de betrokkene een aanknopingspunt bieden om de provider aan te spreken als de verantwoordelijke voor een publicatie op internet zijn identiteit niet kenbaar maakt en daarmee onmiskenbaar in strijd handelt met artikel 33 en 34, tweede lid Wbp.54Overigens bleek in deze zaak dat de abonnee valse contactgegevens had opgegeven. Het Hof benadrukte dat er geen registratieplicht bestaat voor aanbieders van elektronische communicatiediensten. De verplichting tot het bekendmaken van een .nl adres biedt dan ook geen sluitende methode om de identiteit vast te stellen van een verantwoordelijke, maar maakt het wel makkelijker om – via de provider – de identiteit van een verantwoordelijke te achterhalen.
Voor privépersonen die geen Nederlands e-mailadres willen gebruiken, geldt de volledige informatieplicht om zowel een fysiek als een elektronisch contactadres bekend te maken.
Verantwoordelijken zijn in beginsel verplicht om alle gegevensverwerkingen te melden bij het CBP, tenzij ze onder het Vrijstellingsbesluit vallen of een eigen functionaris voor de gegevensbescherming (FG) aanstellen.55Zie voor een algemene toelichting op de meldingsplicht het informatieblad ‘Melden en vrijstellingen’ voor verantwoordelijken, beschikbaar via de website van het CBP, URL: http://www.cbpweb. nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Echter, de meldingsplicht uit de Wbp (en de onderliggende Europese privacyrichtlijn) dateert van voor de massale opkomst van bijvoorbeeld weblogs en andere populaire internetpublicatievormen, zoals websites van verenigingen en bedrijven. Het valt te betwijfelen of de wetgever de meldingsplicht heeft bedoeld voor de praktijk van gegevensverwerking op internet in de huidige vorm en omvang. Op dit moment gelden nog geen specifieke vrijstellingen voor internetpublicaties, maar deze zijn wel in de maak (zie hieronder paragraaf 6.3). Gegeven deze omstandigheden legt het CBP thans, behoudens bijzondere omstandigheden, alleen prioriteit bij het controleren van melding van publicaties die bijzondere persoonsgegevens bevatten (zie hoofdstuk I, paragraaf 8) en van publicaties die vanuit beveiligingsoogpunt grote risico’s voor betrokkenen meebrengen, zoals het risico op identiteitsfraude.
Een melding bij het CBP betreft een beschrijving van een of meerdere gegevensverwerkingen. Artikel 27 eerste lid Wbp verplicht tot aanmelding van een voorgenomen verwerking, dat wil zeggen dat de melding dient te geschieden alvorens tot de verwerking wordt overgegaan. Omdat ’verwerking’ ook betrekking heeft op het verzamelen, houdt dit in dat de verantwoordelijke de verwerking moet melden voordat hij de beschikking krijgt over persoonsgegevens.56MvT, blz. 137.
De meldingen worden opgenomen in een openbaar register, dat kosteloos toegankelijk is via de website van het CBP, conform artikel 30 Wbp. Het feit dat een melding is opgenomen in het openbare register, betekent niet dat het CBP de verwerking heeft goedgekeurd of rechtmatig acht. De melding biedt dan ook geen garantie dat de verantwoordelijke in overeenstemming met de Wbp persoonsgegevens verwerkt.
Via het Vrijstellingsbesluit57Besluit van 7 mei 2001, houdende aanwijzing van verwerkingen van persoonsgegevens die zijn vrijgesteld van melding bedoeld in art. 27 van de Wet bescherming persoonsgegevens (Vrijstellingsbesluit Wbp), Staatsblad 2001,250, URL: http://www.cbpweb.nl/indexen/ind_wetten_wbp_vrij stellingsbesluit.stm worden allerlei bekende, veel voorkomende vormen van gegevensverwerking waarvan het bestaan in het algemeen bekend mag worden verondersteld en die geen bijzondere risico’s meebrengen, vrijgesteld van de meldingsplicht. De vrijstellingen zijn in het algemeen echter niet relevant voor de publicatie van persoonsgegevens op internet, zodat daarop hier verder niet wordt ingegaan.
Het ministerie van Justitie heeft in 2007 gewerkt aan een verruiming van het Vrijstellingsbesluit. Naar verwachting hoeven stichtingen en verenigingen die persoonsgegevens publiceren op hun eigen website evenals particulieren die persoonlijke publicaties verzorgen, in de toekomst hun verwerkingen onder bepaalde voorwaarden niet te melden. Onder ‘persoonlijke publicaties’ worden verstaan: publicaties die persoonlijk van aard zijn, niet-commercieel en voor privédoeleinden opgezet. Als aanvullende voorwaarde voor de nieuwe meldingsvrijstellingen geldt dat persoonsgegevens onmiddellijk verwijderd moeten worden als een betrokkene bezwaar maakt tegen de vermelding van zijn of haar persoonsgegevens. Bovendien is van belang dat de pagina’s met persoonsgegevens afgeschermd zijn tegen verwerking door zoekmachines, om onverenigbaar gebruik te voorkomen.
Ook onderwijsinstellingen en bedrijven die persoonsgegevens publiceren op een besloten intranet vallen onder de voorgestelde nieuwe vrijstellingen. De vrijstelling omvat eveneens publicatie op een besloten intranet van de zogenaamde ‘smoelenboeken’, foto’s van werknemers of studenten/docenten, mits de plaatsing geschiedt met instemming van de Ondernemingsraad. Het CBP is in juni 2007 geconsulteerd over de aanpassingen van het besluit. De verwachting is dat de wijzigingen in 2008 in werking zullen treden.58Nederland is niet het enige land in Europa dat tot een dergelijke verruiming heeft besloten; Frankrijk heeft in 2005 vergelijkbare vrijstellingen voor internetpublicaties gepubliceerd. Zie: CNIL, Délibération n° 2005-284 du 22 novembre 2005 décidant la dispense de déclaration des sites web diffusant ou collectant des données à caractère personnel mis en oeuvre par des particuliers dans le cadre d’une activité exclusivement personnelle (Dispense n°6), laatst gewijzigd op 11 mei 2006, URL: http://www.cnil.fr/index.php?id=1928 en Délibération n°2006-130 du 9 mai 2006 décidant de la dispense de déclaration des traitements relatifs à la gestion des membres et donateurs des associations à but non lucratif régies par la loi du 1.5.r juillet 1901 (dispense n°8), laatst gewijzigd op 18 mei 2006, URL: http://www.cnil.fr/index.php?id=2015
De vrijstelling waaraan thans wordt gewerkt, betekent alleen vrijstelling van melding bij het CBP, niet van de verplichting om te voldoen aan de vereisten ten aanzien van een zorgvuldige omgang met persoonsgegevens. De informatieplicht (en daarmee de plicht tot het bekendmaken van de identiteit van de verantwoordelijke en de doelstelling van de verwerking) blijft onverkort van toepassing, evenals de overige bepalingen uit de Wbp.
De Wbp stelt eisen aan de bewaartermijn en kwaliteit van persoonsgegevens. Gegevens mogen niet langer verwijzen naar identificeerbare personen dan strikt noodzakelijk en de gegevens moeten juist zijn en ter zake dienend.
Verantwoordelijken moeten voorafgaand aan de publicatie van persoonsgegevens op internet vaststellen hoe lang zij de gegevens online laten staan of anderszins blijven bewaren. Persoonsgegevens mogen volgens artikel 10 Wbp niet langer bewaard worden in een vorm die het mogelijk maakt betrokkenen te identificeren dan noodzakelijk voor de gestelde (gerechtvaardigde) doeleinden.59Zie voor een algemene toelichting op bewaartermijnen het informatieblad ‘Bewaartermijnen van persoonsgegevens in uw bestanden’ voor verantwoordelijken, en het informatieblad ‘Bewaartermijnen van uw persoonsgegevens’ voor betrokkenen, beschikbaar via de website van het CBP, URL: http://www.cbpweb.nl, onder ‘nieuws en publicaties’, ‘publicaties’, ‘informatiebladen’. Volgens het tweede lid van artikel 11 Wbp moet de verantwoordelijke zich bovendien inspannen om ervoor te zorgen dat persoonsgegevens juist en nauwkeurig zijn. Hoe ouder de gegevens zijn, hoe groter de kans dat ze onjuist zijn en daardoor onnodige schade kunnen berokkenen aan betrokkenen. Verantwoordelijken dienen daarom bij elke publicatie van persoonsgegevens af te wegen welke risico’s de gekozen beschikbaarheidstermijn met zich meebrengt. Het verdient aanbeveling, ook volgens de Europese Commissie, om te voorzien in een methode om persoonsgegevens na het verstrijken van de vastgestelde termijn automatisch te anonimiseren. 60Communication from the Commission to the European Parliament and the Council on promoting data protection by Privacy Enhancing Technologies (PETs), Brussels, 2 mei 2007, COM(2007) 228. “Automatic anonymisation of data, after a certain lapse of time, supports the principle that processed data should be kept in a form which permits identification of data subjects for no longer than necessary for the purposes for which the data were originally collected.”
De verantwoordelijke mag volgens artikel 11 Wbp alleen gegevens verwerken die toereikend zijn, ter zake dienend zijn en niet bovenmatig aan het gestelde doeleinde. In de memorie van toelichting bij de Wbp wordt het voorbeeld genoemd van een winkelier die een registratie opzet van personen die hij heeft betrapt op winkeldiefstal. De winkelier zal in de regel niet behoeven te registreren welke goederen door de betrokkene uit zijn winkel zijn ontvreemd, wel bijvoorbeeld de waarde daarvan. Verder mag hij in die registratie geen gegevens opslaan omtrent het (legale) koopgedrag van de betrokken persoon, omdat dat bovenmatig is aan het gestelde doeleinde.61MvT, blz. 96-97. Het voorbeeld heeft alleen betrekking op de eigen registratie door de winkelier. Voor publicatie op internet van lijsten van (vermeende) winkeldieven zal niet snel een rechtvaardigingsgrond in de Wbp gevonden kunnen worden, vanwege de risico’s van verdere verwerking door derden.62Zie de eerder aangehaalde uitspraken over het ophangen van de foto van een vermeende winkeldief, LJN AQ7877, Rechtbank Amsterdam, KG 04/1566 SR en CBP, 30 mei 2006, z2005-0846. Het feit dat gegevens ‘toereikend’ moeten zijn, behelst een zorgplicht voor de verantwoordelijke om een zo correct mogelijk beeld te schetsen van een betrokkene over wie hij persoonsgegevens publiceert. Het weglaten van cruciale informatie kan net zo schadelijk zijn voor de persoonlijke levenssfeer als het vermelden van bovenmatige privédetails. Als het bijvoorbeeld gaat om een lijst van vermeende wanbetalers kan het weglaten van de vermelding dat en op welke gronden een betrokkene een vordering betwist, die persoon schade berokkenen.
Toegang voor advocaten tot rolgegevens
Advocaten hebben belang bij toegang tot het rolregister van de rechtbank waar ze procederen. Toegang tot de gegevens van een rechtbank in een andere stad loopt voor advocaten via een vertegenwoordiging, een zogenaamde procureur. Het rolregister bevat informatie over alle aanhangige civiele zaken, met een korte typering, de namen van de eiser en de gedaagde, de namen van de procureurs en de status van de behandeling. In 2002 besloot de Raad voor de Rechtspraak tot invoering van een digitale rol, ‘Mijn Zaken’, waarbij advocaten via internet toegang zouden krijgen tot alle rolgegevens uit het hele land, in de aanloop naar afschaffing – naar thans wordt verwacht in maart 2008 – van het verplichte procuraat. Het CBP oordeelde dat deze toegang bovenmatig zou zijn (niet in overeenstemming met artikel 11 Wbp) en dat advocaten alleen toegang zouden mogen hebben tot hun eigen zaken.63Het CBP deed hierover uitspraak in 2003, in z2002-01015. Na een heroverwegingsverzoek van de Raad voor de Rechtspraak herhaalde het CBP zijn uitspraak op 20 juni 2003, in z2003-0707. De Raad voor de Rechtspraak paste het beleid daarop aan. De toegang tot www.roljournaal. nl is afgebakend met een wachtwoord en advocaten en hun procureurs krijgen alleen toegang tot de rolgegevens van hun eigen zaken.64Zie URL: http://www.rechtspraak.nl/Registers/Register+aangemelde+ gegevensverwerkingen/oljournaal: ’De gegevens kunnen, door advocaten die daartoe een wachtwoord hebben gekregen, alleen benaderd worden met een specifieke, door het College bescherming persoonsgegevens goedgekeurde, zoekvraag.’
Bij het bewaken van de kwaliteit van persoonsgegevens dienen verantwoordelijken ook maatregelen te treffen om er zeker van te zijn dat de gegevens juist en nauwkeurig zijn, in overeenstemming met de werkelijkheid, zonder dat er iets is verdwenen of (ten onrechte) veranderd.65Artikel 11 tweede lid Wbp: De verantwoordelijke treft de nodige maatregelen opdat persoonsgegevens, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, juist en nauwkeurig zijn. Een verantwoordelijke die persoonsgegevens verzamelt en vervolgens publiceert, moet er zeker van zijn dat de gegevens werkelijk door de betrokkene zelf zijn ingevoerd of gewijzigd en niet door een (kwaadwillende) derde. Betrokkenen mogen niet in een positie worden gebracht dat zij moeten ontkennen een bepaalde actie te hebben verricht. Als de aard van de publicatie en de risico’s die ermee gemoeid zijn daartoe noodzaken, dienen verantwoordelijken daarom de identiteit van een aanvrager of gebruiker vast te stellen. Daar bestaan meerdere middelen voor, zoals biometrische toepassingen, PKI Overheid (de public key infrastructure waarbij de overheid certificaten uitgeeft om de identiteit van een gebruiker te waarborgen), DigiD66DigiD is één van de systemen die momenteel ontwikkeld worden om de identiteit van een gebruiker op internet vast te stellen. DigiD kent drie zekerheidsniveau’s: laag, midden en hoog. Bij het basisniveau volstaat de combinatie van loginnaam en wachtwoord, zoals gebruikt door de Belastingdienst. Inmiddels is gebleken dat deze combinatie niet voldoende uniek is, en ook door derden kan worden gebruikt (Zie de beantwoording van Kamervragen over het gebruik van andermans DigiD bij het invullen van de belastingaangifte, Kamerstukken II, 2006-2007, DGB 2007-01961). Op het middenniveau is een extra code noodzakelijk, die per sms wordt toegestuurd. Deze procedure is bij het schrijven van deze richtsnoeren nog niet beschikbaar voor bedrijven. Voor het hoogste zekerheidsniveau wordt gewerkt aan een elektronische Nederlandse identiteitskaart (eNIK). Het ministerie van Binnenlandse Zaken wil een kaart ontwikkelen met een chip die door elke Nederlandse ingezetene aangevraagd kan worden bij gemeenten, net zoals een paspoort. De eNIK maakt het mogelijk voor betrokkenen om hun identiteit digitaal kenbaar te maken en aan te tonen. of Open ID (een initiatief om juist van onderop identiteit te waarborgen, door vertrouwen van gebruikers in elkaar). Een ander systeem, dat bijvoorbeeld in Finland en Estland veel gebruikt wordt, is authenticatie via de infrastructuur van internetbankieren.67Sinds 2004 maken grote Finse overheidsinstellingen zoals het ministerie van Sociale Zaken, het instituut voor sociale verzekeringen en de belastingdienst gebruik van het identificatiesysteem van internetbankieren. Zie: http://e.finland.fi/netcomm/ news/showarticle.asp?intNWSAID=23144 Welk systeem in Nederland het best ingezet kan worden om te voldoen aan de beveiligingsvereisten van de Wbp, is mede afhankelijk van de betrouwbaarheid, de beschikbaarheid, de kosten voor de verantwoordelijke en de gebruikersacceptatie.
Als de aard van de dienstverlening en de risico’s die ermee gemoeid zijn, noodzaken tot het vaststellen van de identiteit, dient de verantwoordelijke zich als eerste af te vragen of het volstaat om alleen elektronische middelen in te zetten, of dat het noodzakelijk is uit het oogpunt van zorgvuldigheid bevestiging te vragen via een separaat communicatiekanaal. Dat kan via een bevestiging van een betaling die plaatsvindt op initiatief van de aanvrager, of via het aanbrengen van een offline identificatiestap, zoals per brief of telefoon.
Voor het vaststellen van de identiteit van een betrokkene mag een verantwoordelijke niet zonder meer om een kopie van een identiteitsbewijs vragen. Op paspoort en identiteitskaart staan twee bijzondere persoonsgegevens, waarvan de verwerking in principe verboden is, tenzij een van de wettelijke uitzonderingen van toepassing is, namelijk de pasfoto en het sofinummer (in de toekomst: burgerservicenummer) .
Teveel identificerende gegevens
Om in aanmerking te komen voor de status van ‘Gecontroleerde verkoper’ bij een bemiddelingswebsite moest een aanvrager bovenmatig veel documenten overleggen. Volgens het CBP kon de verantwoordelijke volstaan met het opvragen van een kopie van een recent bank- of giroafschrift en een kopie van een identiteitsbewijs. Daarbij moest de website de aspirant-verkopers nadrukkelijk wijzen op de mogelijkheid om op die kopieën alle overbodige gegevens onleesbaar te maken. Na verificatie van de identiteit zouden de kopieën moeten worden vernietigd of aan de potentiële Gecontroleerde verkoper worden teruggegeven.68College bescherming persoonsgegevens, Z2006- 00957, 2 maart 2007, URL: http://www.cbpweb.nl/documenten/med_20070302_ marktplaats.shtml
Verantwoordelijken voor publicaties op internet dienen adequate beveiligingsmaatregelen te treffen, zeker als het de publicatie van bijzondere persoonsgegevens betreft. Bij publicaties op internet moet met name rekening worden gehouden met het risico van verdere verwerking voor een ander doeleinde dan het doeleinde waarvoor de gegevens oorspronkelijk zijn verzameld en gepubliceerd.
Artikel 13 Wbp verplicht verantwoordelijken tot het treffen van passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De maatregelen dienen er mede op gericht te zijn onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.
Wat een passend beveiligingsniveau is, is afhankelijk van de stand van de techniek, het soort persoonsgegevens, de soort verwerking, de kosten van de tenuitvoerlegging voor de verantwoordelijke en de te verwachten risico’s voor betrokkenen. De wetgever heeft nadrukkelijk een open norm gehanteerd, zonder nadere details over de soorten beveiliging.
Dergelijke details zouden sterk tijdgebonden zijn en daarmee afbreuk doen aan het nagestreefde niveau van beveiliging. 69MvT, blz. 98-99.
Gegeven de huidige stand van de techniek en de normontwikkeling in eerdere uitspraken van het CBP zijn er met betrekking tot publicaties op internet vijf aanbevelingen te geven hoe verantwoordelijken invulling moeten geven aan de verplichtingen uit artikel 13 Wbp tot het treffen van passende beveiligingsmaatregelen.
De aanbevelingen zijn:
Voorkom de onnodige publicatie van persoonsgegevens.
Scherm specifieke pagina’s met persoonsgegevens af voor zoekmachines.
Gebruik wachtwoorden of een andere passende methode om de doelgroep af te bakenen.
Beveilig het gegevenstransport door middel van het SSL-protocol.
Beveilig machine(s) en achterliggende databases tegen onbevoegde toegang door derden.
Verantwoordelijken hebben uit beveiligingsoogpunt de plicht om maatregelen te treffen om ‘onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen’ (Artikel 13 Wbp, derde volzin). Soms heeft een verantwoordelijke wel een goede rechtvaardigingsgrond voor het verzamelen en binnen de organisatie verwerken van bepaalde persoonsgegevens, maar leent dat doeleinde zich niet voor integrale publicatie van de persoonsgegevens op internet. Per persoonsgegeven moet daarom een afweging worden gemaakt van de noodzaak van publicatie op internet, in het licht van de te verwachten risico’s voor de betrokkene. De plicht tot dataminimalisatie geldt in het bijzonder voor overheden en verantwoordelijken voor openbare registers, omdat betrokkenen in die gevallen minder mogelijkheden hebben om zich te verzetten tegen een specifieke publicatie.70Speciaal voor overheden geldt dat bij de behandeling van de Wbp in de Tweede Kamer kamerbreed de motie Nicolaï is aangenomen waarin de regering nadrukkelijk wordt opgeroepen in haar eigen systemen voor de verwerking van persoonsgegevens privacy enhancing technologies (PET) toe te passen (Kamerstukken II, vergaderjaar 1999- 2000, 25 892, nr. 31). In het voorjaar van 2007 heeft de Europese Commissie een mededeling gepubliceerd waarin zij benadrukt dat het essentieel is dat nationale overheden privacy-bevorderende technologie inzetten, inclusief data-minimalisatie, ter vergroting van het vertrouwen van burgers, zowel in de opzet van de systemen als in de implementatie (Communication from the Commission to the European Parliament and the Council on promoting data protection by Privacy Enhancing Technologies (PETs), Brussels, 2 mei 2007, COM(2007) 228).
Geen handtekening publiceren op internet
Op 1 mei 2007 trad een nieuwe wet in werking over het Handelsregister, met bepalingen over de elektronische ontsluiting van het register.71Wet van 22 maart 2007, Regels omtrent een basisregister van ondernemingen en rechtspersonen (Handelsregisterwet 2007), Staatsblad 153, 1 mei 2007. In de wet wordt een onderscheid gemaakt tussen de verplichte opname van sommige persoonsgegevens in het register en de publicatie ervan op internet. Het burgerservicenummer van natuurlijke personen die een onderneming hebben bijvoorbeeld wordt verplicht in het register opgenomen, maar mag niet aan derden worden verstrekt en dus niet op het internet worden gepubliceerd. Tijdens de behandeling van het wetsvoorstel in de Tweede Kamer werd uitdrukkelijk gewezen op het risico van de publicatie op internet van de handtekening van in het handelsregister opgenomen natuurlijke personen. Uit de toelichting bij het amendement van Kamerlid Van Dijk: De Kamers van Koophandel constateren in toenemende mate dat handtekeningen worden gekopieerd met frauduleus oogmerk. Daarbij wordt onder meer gebruik gemaakt van de handtekening in het handelsregister zoals deze via internet kan worden ingezien. Om dergelijke fraude zo veel mogelijk te voorkomen is het gewenst dat handtekeningen van natuurlijke personen niet langer via internet worden getoond. Dat werpt een naar verwachting van de Kamers effectieve drempel op tegen het kopiëren van handtekeningen.72Kamerstukken II, 2006–2007, 30 656, nr. 20, blz. 7, 12 februari 2007. De staatssecretaris van Economische Zaken nam het amendement meteen over.
Een publicatie die voldoet aan de Wbp kan er toch toe bijdragen dat een betrokkene in zijn persoonlijke levenssfeer wordt geschaad, doordat via zoekmachines derden allerlei intieme details over deze betrokkene kunnen koppelen. Afscherming van persoonsgegevens voor zoekmachines is een heel eenvoudige, algemeen toepasbare en kosteloze stap om de kans op onrechtmatige verwerking door derden te verkleinen. Alle grote zoekmachines bieden handleidingen aan verantwoordelijken voor publicaties met behulp waarvan zij kunnen voorkomen dat een website of onderdelen uit een publicatie geïndexeerd of gearchiveerd worden.73Wie zijn hele site wil afschermen voor alle zoekmachines, moet een documentje op de rootserver - plaatsen met de naam ‘robots.txt’ met de volgende inhoud: User-agent: * Disallow: / Hetzelfde principe kan worden toegepast op elke individuele webpagina, door aan de header van de pagina de code toe te voegen: <META NAME=”ROBOTS” CONTENT=”NOINDEX, NOFOLLOW”>
Zonder een dergelijke maatregel ontstaan er grote risico’s voor betrokkenen, waardoor de publicatie onrechtmatig kan zijn. Verantwoordelijken die de risico’s willen vermijden van onrechtmatigheid, blokkeren daarom alle pagina’s met persoonsgegevens voor zoekmachines. Dat kan door middel van een algemene aanpak, door automatisch een anti-indexeringscode op te nemen in de onderliggende html, of via een individuele oplossing, een constructie waarbij de betrokkene expliciet toestemming geeft voor toegang voor zoekmachines. Die tweede optie is bijvoorbeeld handig voor verantwoordelijken voor profiel-, foto/video- of weblogcommunities, zodat elke betrokkene individueel kan beslissen over de beschikbaarheid van zijn gegevens voor derden.
Beschuldigingen uit Google cache verwijderen
In februari 2007 oordeelde de voorzieningenrechter van de Rechtbank Dordrecht74LJN: AZ8818,Voorzieningenrechter Rechtbank Dordrecht , 68382 / KG ZA 07-25 dat een gedaagde zich tot het uiterste moest inspannen om een onterechte beschuldiging verwijderd te krijgen uit de Google cache. De gedaagde meende dat zij was opgelicht en publiceerde dit op haar website. Nadat de betaling was bijgeschreven, verwijderde ze de beschuldigingen, maar via de cache van Google doken de beschuldigingen toch nog op. Hoewel de gedaagde zich had ingespannen om de gegevens te verwijderen, was ten tijde van de zitting nog steeds één kopie vindbaar via de zoekmachine. De rechter beval de gedaagde om binnen twee dagen na betekening van het vonnis de uitlating in de cache van de internetzoekmachine Google te doen verwijderen, op straffe van een dwangsom van 250 euro voor iedere werkdag dat de gedaagde in gebreke zou blijven aan dit vonnis te voldoen.
Verantwoordelijken die persoonsgegevens met een specifiek doel op internet publiceren, moeten zorgen voor een adequate bescherming tegen onrechtmatige kennisneming of verdere verwerkingen ervan door derden. Dat is inherent aan het doelbindingsprincipe. Als het gaat om een publicatie die voor een beperkte doelgroep is bedoeld, zoals leden van een sportvereniging, dient de toegang ook daadwerkelijk tot die doelgroep beperkt te zijn. Naast algemene afscherming van de persoonsgegevens voor zoekmachines dient de verantwoordelijke de specifieke toegang alleen mogelijk te maken voor de doelgroep die in het doeleinde is omschreven. Dat kan in veel gevallen door middel van een wachtwoord, mits het gaat om publicaties zonder bijzondere persoonsgegevens of gegevens die op een andere manier grote risico’s meebrengen voor betrokkenen. Verantwoordelijken dienen daarbij te werken met individuele wachtwoorden of toegangscodes, in plaats van met generieke wachtwoorden. Om het risico op onbevoegde toegang verder te verkleinen, moeten de wachtwoorden of toegangscodes een beperkte geldigheidsduur hebben, voldoende ‘sterk’ zijn en versleuteld worden opgeslagen bij de verantwoordelijke.
Als het echter om publicaties gaat met bijzondere persoonsgegevens, zoals medische dossiers of strafrechtelijke gegevens, is de combinatie loginnaam- wachtwoord te zwak. De verantwoordelijke moet in dat geval zoeken naar andere passende technische mogelijkheden om te waarborgen dat alleen degenen die daartoe gerechtigd zijn, toegang krijgen tot specifieke persoonsgegevens.
Website met medische dossiers
Eind 2000 onderzocht de Registratiekamer de beveiliging van een bemiddelingswebsite waarop patiënten zelf hun medisch dossier op internet kunnen plaatsen.75Registratiekamer, z2000-00926, 20 juni 2001, http://www.cbpweb.nl/documenten/uit_z2000- 0926.stm. De site bestaat nog steeds en maakt nog steeds gebruik van een wachtwoordbeveiliging. De website stelt patiënten in staat hun medische gegevens online te controleren en te laten bevestigen door hun arts of apotheker. Artsen, apothekers en andere zorgverleners kunnen zelf ook gegevens aan het dossier toevoegen, met toestemming van de patiënt. Het bedrijf dat verantwoordelijk is voor de gegevensverwerking beheert de wachtwoorden voor de inlogprocedure van de patiënten en zorgverleners.
De Registratiekamer stelde voorop dat verwerking van medische gegevens van patiënten via het internet risico’s meebrengt. De combinatie van beveiligingsmaatregelen die het bedrijf had getroffen, was naar het oordeel van de Registratiekamer, gezien de toenmalige stand van de techniek en hetgeen in redelijkheid van het bedrijf kon worden gevergd, vooralsnog voldoende. Het bedrijf had ervoor gekozen om de naam-adreswoonplaatsgegevens van patiënten niet in het digitale dossier op te nemen. Daarnaast waren en zijn zowel de communicatie via internet als de toegang tot de database versleuteld met een 128-bits sleutel en wordt een dossier geblokkeerd na drie foutieve inlogpogingen.
Het gebruik van een loginnaam en wachtwoord als toegangsbeveiliging voor het dossier op de site vormde in de ogen van de Registratiekamer echter een zwakke schakel in de beveiliging.
De Registratiekamer schreef: Toegangsbeveiliging door middel van een loginnaam en wachtwoord wordt in het algemeen als een te laag niveau van beveiliging gezien.
Voor de toekomst, afhankelijk van de ontwikkeling van de techniek en de acceptatie ervan door burgers, zag de Registratiekamer twee alternatieven: gebruik van biometrische toegangsbeveiliging of gebruik van een zogenaamde challenge-response tokencard, een systematiek zoals die voor thuisbankieren wordt gebruikt. In afwachting van die ontwikkeling, ried de Registratiekamer in ieder geval aan de loginprocedure aan te scherpen. Na toekenning van een nieuw of gewijzigd wachtwoord zou de patiënt bij de eerste inlogpoging verplicht moeten worden zelf een wachtwoord te kiezen.
De reden dat de combinatie loginnaam- wachtwoord als zwak wordt gezien, ligt in de mogelijkheid dat geautoriseerde gebruikers de combinatie zelf doorgeven aan derden (soms ook onbewust, via spyware op de computer van de gebruiker), maar ook in zogenaamde dictionary attacks. Wachtwoorden zijn over het algemeen versleuteld opgeslagen, maar er bestaat gespecialiseerde software om eindeloos loginpogingen op servers af te vuren. Sommige programma’s kunnen tientallen tot honderden miljoenen wachtwoorden per seconde uitproberen. Het werk van de aanvallers wordt vergemakkelijkt omdat het gemiddelde wachtwoord in de praktijk te zwak is. Met slechts 100.000 combinaties (gebaseerd op een basislijst van duizend woorden, met elk honderd veelvoorkomende achtervoegsels) wordt bijna een kwart van alle wachtwoorden al geraden, aldus de gerenommeerde beveiligingsexpert Bruce Schneier.76The Washington Times, ‘Chances are your password is at risk’, 20 januari 2007.
Gegevenstransport over internet geschiedt in beginsel via openbare verbindingen. Verantwoordelijken dienen ervoor te zorgen dat het verzamelen van persoonsgegevens via websites beveiligd plaatsvindt, bijvoorbeeld met een https-verbinding. Met het gebruik van een via het SSL-protocol77Secure Sockets Layer (SSL) is een standaard protocol dat gebruik maakt van ‘public key encryption’ technologie, om een veilige service te zorgen tussen internet-servers, waarbij zowel de privacy van het bericht, de integriteit van het bericht als de verificatie cq. legitimatie van verzender/ ontvanger worden gewaarborgd. beveiligde verbinding zijn nauwelijks kosten gemoeid en de inzet ervan beveiligt het verkeer over netwerkknooppunten. Bij een onbeveiligde site bestaat het risico dat derden, voor wie de ingevulde gegevens niet bestemd zijn, de gegevens onderscheppen, bijvoorbeeld via het overnemen van sessies of door datadiefstal op internetknooppunten.
De inzet van een SSL-certificaat is ook van belang voor authenticatie van de website zelf, om het risico op ‘phishing’ te verkleinen. Sites die onbeveiligd zijn, kunnen makkelijker geïmiteerd worden door sites met vergelijkbare domeinnamen. Daarmee kunnen derden op frauduleuze wijze in bezit komen van persoonsgegevens.
Digidoor
Het CBP deed in 2005 onderzoek naar Digidoor, een initiatief van basisscholen in de gemeente Almere om gegevens over leerlingen op internet te publiceren.78CBP, 27 mei 2005, z2004-1152, URL: http://www.cbpweb.nl/documenten/uit_z2004- 1152.shtml In Digidoor (een afkorting van Digitaal doorstromen) worden gegevens van basisschoolleerlingen verzameld met het doel om de aanmelding bij het vervolgonderwijs makkelijker te maken. De bestanden bevatten veel gevoelige informatie over leerlingen zoals opmerkingen over het niveau van rekenen, taal en lezen, maar ook informatie over faalangst, concentratieproblemen, gezondheidsproblemen en in uitzonderlijke gevallen, problemen met betrekking tot de thuissituatie. De website was zonder nadere versleuteling te benaderen via internet. Over het noodzakelijke beveiligingsniveau was van tevoren niet goed nagedacht. Na negatieve publiciteit troffen de verantwoordelijke scholen snel een aantal concrete maatregelen:
– het installeren van een dedicated server en een versleutelde SSL-verbinding;
– het invullen van de verschillende rollen voor toevoegen en inzien van de informatie en het vaststellen van de bewaartermijn voor (herleidbare) gegevens;
– het opstellen van een brochure met nadere uitleg over de techniek, inhoud en werking van het systeem.
De problemen waren te voorkomen geweest als er van tevoren een goed beveiligingsplan was opgesteld, waarbij ook een dreigingsanalyse was gemaakt.
Regelmatig komen bekende en onbekende websites negatief in het nieuws omdat de beveiliging onvoldoende is en persoonsgegevens toegankelijk worden die niet voor publicatie zijn bedoeld. Dat kan bijvoorbeeld gebeuren als de URL’s die gegenereerd worden na een inlogprocedure een voorspelbaar patroon opleveren. Derden kunnen dan makkelijk andere URL’s ‘raden’ en daarmee toegang verwerven tot persoonlijke informatie van betrokkenen. De beveiliging en inrichting van de server(s) waarop de gegevens staan, vormen daarom een apart punt van zorg. De verantwoordelijke dient ervoor te zorgen dat de machines beveiligd zijn tegen onrechtmatige toegang door derden, door consequent beveiligingsadviezen op te volgen. Dat geldt zowel voor het besturingssysteem als voor de software die op een server draait. Zeker bij de verwerking van bijzondere persoonsgegevens verdient het aanbeveling om een strikte scheiding aan te brengen tussen de database waarin de gegevens worden verwerkt en de server waarmee gegevens op internet worden gepubliceerd. De risico’s die de publicatie van bijzondere persoonsgegevens meebrengt, rechtvaardigen dat gegevens uit de database alleen versleuteld naar de server mogen worden geleid en pas op cliëntniveau ontsleuteld worden.
Toegang tot digitale jaaropgaven In maart 2007 werd bekend dat de digitale jaaropgaven van het Uitvoeringsinstituut Werknemersverzekeringen (UWV) per ongeluk opvraagbaar bleken door andere klanten, als twee mensen tegelijkertijd inlogden. In de Tweede Kamer werden vragen gesteld over het incident.79Kamerstukken II, 16 april 2007, UB/S/2007/12116, antwoorden op vragen van de Kamerleden Van Hijum en Omtzigt (CDA). Het UWV liet de minister van Justitie en het CBP weten dat de digitale beschikbaarstelling werd beëindigd binnen een uur nadat de fout werd ontdekt. Iedereen die per ongeluk andermans jaaropgave had ingezien, werd telefonisch benaderd.
Ook nadat de publicatie op internet is verschenen, moeten verantwoordelijken zich inspannen om aan de Wbp te blijven voldoen. Een publicatie die rechtmatig was doordat een betrokkene daarmee had ingestemd, wordt onrechtmatig op het moment dat de betrokkene zijn toestemming intrekt (zie Hoofdstuk II, par. 4.1.) Persoonsgegevens die bij publicatie juist en nauwkeurig waren, kunnen na verloop van tijd niet meer kloppen en een onvolledig beeld schetsen (zoals: X is woedend op Y, terwijl X het al lang heeft bijgelegd met Y).
Houders van websites of forums zijn onder de Wbp ook verantwoordelijk voor onjuiste of onnodige vermeldingen van persoonsgegevens door de bezoekers van hun publicatie. De verantwoordelijke moet daarom actief modereren om aperte onrechtmatigheden te voorkomen, zeker als het gaat om bijzondere gegevens, zoals strafrechtelijke of gezondheidsgegevens (zie hoofdstuk I paragraaf 8). Om onrechtmatigheid van de publicatie te voorkomen, dienen verantwoordelijken ervoor te zorgen dat bijdragen alleen gepubliceerd kunnen worden op tijdstippen dat er moderatie aanwezig is.
Op sommige discussieforums worden aparte discussieonderwerpen (‘threads’ of ‘topics’) geopend over meldingen die bij nader inzien onjuist zijn gebleken, bijvoorbeeld bij beschuldigingen van spam, oplichterij of andere strafbare feiten. De oorspronkelijke mededelingen met onjuiste persoonsgegevens blijven dan via internet beschikbaar. Het kunnen toevoegen van een andere zienswijze (in plaats van het verwijderen of corrigeren van persoonsgegevens) is een praktijk die in sommige gevallen van toepassing is bij archieven die onder de Archiefwet vallen. Het doeleinde van behoud van (een deel van) het Nederlandse culturele erfgoed maakt het mogelijk om archiefbescheiden met zelfs aantoonbaar onjuiste gegevens voor onbepaalde tijd te bewaren in archiefbewaarplaatsen. Artikel 36 vierde lid Wbp maakt een vergelijkbare werkwijze mogelijk voor gegevensdragers waarin geen wijzigingen kunnen worden aangebracht, zoals CD-roms of microfiches.80Artikel 36 lid 4 Wbp: ’Indien de persoonsgegevens zijn vastgelegd op een gegevensdrager waarin geen wijzigingen kunnen worden aangebracht, dan treft hij de voorzieningen die nodig zijn om de gebruiker van de gegevens te informeren over de onmogelijkheid van verbetering, aanvulling, verwijdering of afscherming ondanks het feit dat er grond is voor aanpassing van de gegevens op grond van dit artikel.’ Voor (niet-journalistieke) publicaties op internet gelden deze uitzonderingen echter niet. De Wbp biedt geen ruimte aan verantwoordelijken voor publicaties op internet om te volstaan met het bijhouden van een apart lijstje van gegevens die kennelijk incorrect zijn. Als de genoemde persoonsgegevens in een bijdrage feitelijk onjuist of bovenmatig zijn aan het gestelde doel, is de publicatie onrechtmatig en moet de bijdrage worden verwijderd.
Beschuldiging van oplichterij
In een discussieforum over oplichterij wordt mevrouw X beschuldigd door meneer Y van het toesturen van een baksteen in plaats van de beloofde digitale camera. Mevrouw X wordt met naam en toenaam beschreven, inclusief haar vermeende adres, bankrekeningnummer, IP-adres en verwijzingen naar andere beschuldigingen. Mevrouw X blijkt echter verwisseld te zijn met een andere persoon met dezelfde achternaam en voorletter. Ze wil dat alle postings over haar onmiddellijk verwijderd worden van het forum. Is meneer Y dan verantwoordelijk voor die uitlating en moet mevrouw X zich dus tot meneer Y wenden voor correctie of verwijdering? Nee, in termen van de Wbp is de houder van het forum verantwoordelijk voor de persoonsgegevens op het forum. Mevrouw X kan zich in dit geval tot de forumbeheerder wenden om haar persoonsgegevens gecorrigeerd of verwijderd te krijgen. De beheerder van het forum kan een dergelijk verzoek alleen weigeren als hij kan aantonen dat met de publicatie een belang wordt gediend dat groter is dan het recht op bescherming van de persoonlijke levenssfeer van mevrouw X, bijvoorbeeld omdat hij kan aantonen dat er géén sprake is van persoonsverwisseling. De forumbeheerder mag het verzoek niet weigeren met een verwijzing naar een bepaling in de algemene voorwaarden dat bijdragen nooit verwijderd worden. Een dergelijke algemene bepaling is in strijd met de Wbp, omdat er geen individuele belangenafweging aan ten grondslag ligt. De beheerder mag evenmin volstaan met het toevoegen van het weerwoord van mevrouw X aan de lopende discussie.
Artikel II
Verplichtingen van de verantwoordelijke
Onderdeel van Richtsnoeren publicatie van persoonsgegevens op internet· Privacy
Deze tekst geldt sinds 11 december 2007