Het doorgeven van persoonsgegevens naar landen buiten de EU is verboden, tenzij een van de wettelijke uitzonderingen van toepassing is. Hoewel niet-afgeschermde internetpublicaties in principe ook toegankelijk zijn in landen buiten de EU, wordt deze toegankelijkheid niet als doorgifte beschouwd. Om de extra risico’s van toegankelijkheid in landen buiten de EU te ondervangen, hebben verantwoordelijken voor publicaties op internet meer nog dan andere verantwoordelijken de plicht om behoorlijk en zorgvuldig te werk te gaan en betrokkenen goed te informeren over de specifieke risico’s van beschikbaarheid van de gegevens buiten de EU.
Alleen verantwoordelijken die expliciet de bedoeling hebben om gegevens door te voeren naar een land buiten de EU, zoals het geval kan zijn bij een intranet met persoonsgegevens van een multinational, dienen zich aan de voorschriften omtrent doorgifte te houden.
De norm is dat een verantwoordelijke alleen persoonsgegevens mag doorgeven naar landen buiten de EU als de ontvanger voorschriften naleeft die een passend beschermingsniveau bieden. Of een land aan dat niveau voldoet, wordt bepaald door de Europese Commissie of de Europese Raad. Voorbeelden van landen met een passend beschermingsniveau zijn Argentinië, Canada en Zwitserland. Met de Verenigde Staten zijn specifieke afspraken gemaakt over de doorgifte van informatie van vliegtuigpassagiers en over de doorgifte van persoonsgegevens aan bedrijven die zich hebben verplicht om de Safe Harbour regels toe te passen.101De Europese Commissie houdt een actueel overzicht bij van goedgekeurde landen, URL: http://ec.europa.eu/justice_home/fsj/privacy/thridcountries/ index_en.htm (NB! inclusief typefout in URL!)
Er zijn een paar uitzonderingen op de algemene verbodsregel. Doorgifte is bijvoorbeeld toegestaan als de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven of als de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst. De minister van Justitie kan ook – onder bepaling van nadere voorschriften – een specifieke vergunning verlenen voor een doorgifte of categorie doorgiften naar een derde land dat geen passend beschermingsniveau biedt.
De Wbp en de Richtlijn kennen geen aparte uitzondering voor de doorgifte van persoonsgegevens via openbaar toegankelijke internetpagina’s. Naar de letter van de wet kunnen de meeste verantwoordelijken zich daarom niet op één van de uitzonderingsgronden beroepen en is de doorgifte van persoonsgegevens naar inwoners van de meeste landen buiten de EU onrechtmatig. Dit zou in de praktijk tot onwerkbare situaties leiden.
Het CBP volgt daarom de lijn van het Lindqvist arrest van het Europese Hof van Justitie102HvJEG, 6 november 2003, zaak C101/01 (Lindqvist). (HvJEG) die ertoe leidt dat de bepalingen over de doorgifte naar landen zonder passend beschermingsniveau niet van toepassing zijn, als het tenminste niet expliciet de bedoeling is van de verantwoordelijke om de gegevens uit te voeren naar dergelijke landen.
Eind 1998 maakte de Zweedse mevrouw Lindqvist een aantal internetpagina’s met informatie over haarzelf en collega’s in haar kerkgemeente, waaronder soms hun volledige namen, telefoonnummers, werkzaamheden en liefhebberijen. Verder meldde zij dat een van haar collega’s haar voet had bezeerd en met gedeeltelijk ziekteverlof was.
Lindqvist had haar collega’s niet van het bestaan van de pagina’s op de hoogte gesteld noch hun toestemming gekregen en had de verwerking evenmin gemeld bij de Zweedse toezichthouder. Toen zij vernam dat sommige collega’s de bedoelde pagina’s niet op prijs stelden, verwijderde zij de gegevens over hen. Toch stelde het openbaar ministerie een strafvervolging in, op grond van het gebruik van bijzondere persoonsgegevens zonder rechtvaardigingsgrond, het ontbreken van een melding en de doorgifte naar derde landen.
Op de vraag naar de betekenis van de normen voor doorgifte formuleerde het HvJEG een praktisch antwoord.
Het HvJEG stelde dat de ontwikkeling van internet een nieuwe interpretatie van de normen rechtvaardigt, omdat het niet de bedoeling is van verantwoordelijken van websites om gegevens door te geven naar landen buiten de EU.
Gezien de ontwikkeling van internet ten tijde van de opstelling van richtlijn 95/46 en het ontbreken van criteria voor het gebruik van internet in hoofdstuk IV, kan niet worden aangenomen dat het de bedoeling was van de gemeenschapswetgever, vooruitlopend op latere ontwikkelingen, het begrip doorgifte van gegevens naar een derde land ook te laten gelden voor de handeling van een persoon in de situatie van Lindqvist die gegevens op een internetpagina plaatst, ook wanneer die gegevens daarmee toegankelijk worden gemaakt voor personen uit derde landen die de technische middelen hebben om zich toegang daartoe te verschaffen.103Idem, Overweging 68.
Het Hof overwoog daarbij dat publicatie op internet betekent dat de gegevens beschikbaar zijn in alle derde landen, terwijl de regeling voor doorgifte bedoeld is als een bijzondere regeling voor doorgifte naar een specifiek land. Omdat handelingen ‘zoals die van Lindqvist’ geen doorgifte vormen, behoeft niet te worden onderzocht of iemand uit een derde land toegang tot de betrokken internetpagina heeft gehad dan wel of de server van die provider zich fysiek in een derde land bevindt.104Idem, Overweging 70.
Het Lindqvist-arrest is nadrukkelijk beperkt tot de voorgelegde zaak, waarbij de specifieke omstandigheden in aanmerking worden genomen. Het EHvJ spreekt van ‘handeling van een persoon in de situatie van Lindqvist’ en ‘handelingen als die van Lindqvist’.
Als het wel de bedoeling is om persoonsgegevens ter beschikking te stellen aan een bepaalde groep personen in een derde land, zijn de normen voor doorgifte wel van toepassing. Dat is bijvoorbeeld het geval bij een werkgever met meerdere vestigingen over de hele wereld, die via een intranet persoonsgegevens ter beschikking stelt aan werknemers in alle vestigingen.
Ook de Franse en de Britse toezichthouder105Zie voor de Britse uitleg: The Eighth Data Protection Principle and international data transfers The Information Commissioner’s legal analysis and recommended approach to assessing adequacy including consideration of the issue of contractual solutions, binding corporate rules and Safe Harbor. Version 2.0, 30 juni 2006. Voor de Franse uitleg: Délibération n°2005-276 du 17 novembre 2005 op de bescherming van de persoonlijke levenssfeer hebben de praktische lijn van het Lindqvistarrest gevolgd, maar benadrukken dat de extra risico’s van brede openbaarmaking op internet het extra belangrijk maken dat verantwoordelijken alle andere waarborgen uit de privacywetgeving respecteren. De Britse information commissioner benadrukt de plicht om behoorlijk en zorgvuldig te werk te gaan. De Franse CNIL benadrukt het belang van de informatieplicht, dat verantwoordelijken voor publicaties waarschuwen dat de kans bestaat dat gegevens opgevraagd kunnen worden in landen buiten de EU zonder passend beschermingsniveau.
In Nederland geldt een vergelijkbare (extra) zorgvuldigheidsverplichting als het gaat om doorgifte naar derde landen. Persoonsgegevens moeten ingevolge artikel 6 Wbp altijd in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden verwerkt.106Onder verwerken wordt verstaan elke handeling of geheel van handelingen met betrekking tot persoonsgegevens. Hieronder kan onder meer worden verstaan het verzamelen, vastleggen, ordenen, verstrekken aan derden, kopiëren, bewaren en vernietigen van persoonsgegevens. De formulering sluit aan bij het leerstuk van de onrechtmatige daad in het Burgerlijk Wetboek.107Boek 6 artikel 162 Bw, zie noot 110. Het gaat om maatschappelijke zorgvuldigheidseisen om een onrechtmatige daad te voorkomen. Een verantwoordelijke voor een publicatie op internet die behoorlijk en zorgvuldig te werk wil gaan, moet uitdrukkelijk rekening houden met de risico’s van verdere verwerking in derde landen en betrokkenen adequaat informeren dat er een kans bestaat dat gegevens opgevraagd kunnen worden in landen buiten de EU zonder passend beschermingsniveau. Dit geldt in het bijzonder als het gaat om risicovolle gegevens over bijvoorbeeld godsdienst of seksuele voorkeur.
Artikel V
Doorgifte buiten de EU
Onderdeel van Richtsnoeren publicatie van persoonsgegevens op internet· Privacy
Deze tekst geldt sinds 11 december 2007