Richtsnoeren publicatie van persoonsgegevens op internet

De werkgroep benadrukt dat ‘iedere informatie’ zowel objectieve als subjectieve gegevens omvat, ongeacht of ze juist of bewezen zijn. Denk aan waardeoordelen als ‘Jan is een betrouwbare lener’ of ‘Jan is een goede medewerker die promotie verdient.’ 8

Om te bepalen of een gegeven betrekking heeft op een persoon, moet volgens de Artikel 29-werkgroep één van de volgende drie elementen aanwezig zijn: een inhoudelijk element, een doelelement of een resultaatelement.

Een inhoudelijk element betekent dat het om informatie gaat over een persoon, ongeacht het doeleinde van de verantwoordelijke of het resultaat voor die persoon, zoals de resultaten van een medisch onderzoek betrekking hebben op de patiënt of zoals de gegevens in een klantenbestand van een bedrijf betrekking hebben op de klant.

Ook de aanwezigheid van een doelelement kan er toe leiden dat gegevens als persoonsgegevens worden beschouwd. Daar is sprake van als de gegevens (waarschijnlijk) gebruikt worden met het doel om iemand op een bepaalde manier te behandelen of diens status of gedrag te beoordelen of te beïnvloeden. Dat kan het geval zijn als een bedrijf een bestand bijhoudt met een overzicht van alle inkomende en uitgaande telefoontjes. Dat bestand kan gebruikt worden om medewerkers te beoordelen.

Als er geen inhoudelijk of doelelement is, kunnen gegevens toch persoonsgegevens zijn, als het gebruik ervan waarschijnlijk invloed heeft op de rechten en belangen van een persoon, zodanig dat die persoon daardoor anders wordt behandeld. Dat kan het geval zijn als een taxibedrijf met behulp van GPS de locaties van zijn taxi’s in de gaten houdt. Hoewel het systeem gericht is op het verwerken van gegevens over de routes van voertuigen, kunnen de gegevens ook gebruikt worden om de individuele taxichauffeurs te beoordelen.9

Het bekendste direct identificerende gegeven is de combinatie van voor- en achternaam. De bekendste indirect identificerende gegevens zijn (e-mail)adres, telefoonnummer, kenteken en de combinatie postcode/huisnummer.10 Andere indirect identificerende gegevens zijn gegevens over iemands eigenschappen, opvattingen of gedragingen, waarmee die persoon wordt onderscheiden van andere personen. Bijvoorbeeld: de directeur van een met name genoemde onderneming.

Bij het vaststellen of een gegeven een indirect identificerend persoonsgegeven is, is van belang of de identiteit van de persoon er redelijkerwijs, zonder onevenredige inspanning, mee kan worden vastgesteld. Het is niet doorslaggevend of het identificeren daadwerkelijk plaatsvindt. Deze opvatting komt voort uit overweging 26 bij de privacyrichtlijn:

Overwegende dat de beschermingsbeginselen moeten gelden voor elk gegeven betreffende een geïdentificeerde of identificeerbare persoon, dat om te bepalen of een persoon identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is dan wel door enig ander persoon in te zetten zijn om genoemde persoon te identificeren.(…). Herleidbaarheid tot een natuurlijk persoon, voorzover die redelijkerwijs door een derde kan worden bewerkstelligd, is dus voldoende.

IP-adres

Is een IP-adres , dat wil zeggen het internetnummer waarmee een computer zichzelf op internet kenbaar maakt, een persoonsgegeven? Ja. Een IP-adres is een persoonsgegeven omdat het door een derde – de internetaanbieder – eenvoudig te herleiden valt tot een natuurlijk persoon, de afnemer van het internetabonnement. Dit geldt ook voor dynamische IP adressen die worden verwerkt in combinatie met datum en tijd. Het maakt geen verschil dat een verantwoordelijke het IP adres niet zal gebruiken om een persoon mee te identificeren. Het feit dat de mogelijkheid bestaat bij de verantwoordelijke of bij een derde om dit te doen, is voldoende. Dat het IP-adres in sommige gevallen naar een rechtspersoon leidt, in plaats van naar een natuurlijk persoon, doet niet af aan het feit dat het in de meeste gevallen wel degelijk om persoonsgegevens gaat en dat dus de hele verzameling moet worden behandeld conform de uitgangspunten van de Wbp. Ten slotte is van belang dat op basis van het IP-adres beslissingen kunnen worden genomen over de toegang tot bepaalde informatie, zonder dat een dienstverlener op internet überhaupt enige moeite hoeft te doen om zelf persoonsgegevens te verbinden aan een IP-adres. Denk bijvoorbeeld aan onderscheid naar geografische herkomst bij de toegang tot en de presentatie van (delen van) websites11. Ook het registreren en eventueel op internet publiceren van IP-adressen van bezoekers van een website of deelnemers aan een discussieforum valt dus onder het bereik van de Wbp.

De eerste uitzondering is de meest absolute. De Wbp is in het geheel niet van toepassing op de verwerking van persoonsgegevens voor uitsluitend persoonlijke of huishoudelijke doeleinden. Dit om te voorkomen dat alledaagse handelingen van privépersonen, zoals het bijhouden van een adresboek, onder de werking van de wet zouden vallen.

De uitzondering voor persoonlijk/huishoudelijk gebruik in de Wbp betreft gebruik voor ‘een duidelijk bepaalbare groep van personen’. 16 De uitzondering geldt ook voor gebruik door familieleden of vrienden die niet tot het directe huishouden behoren, mits de toegang daadwerkelijk afgebakend is tot een benoembare groep familieleden, kennissen of vrienden.

Wie bijvoorbeeld een weblog wil bijhouden op internet voor het eigen gezin en zich wil beroepen op de exceptie van persoonlijk of huishoudelijk gebruik, moet passende maatregelen nemen om de toegang daadwerkelijk te beperken tot die beperkte kring. Dat kan bijvoorbeeld door middel van het hanteren van een verplicht wachtwoord, maar ook door de pagina’s met persoonsgegevens af te schermen van zoekmachines. Meer over beveiligingsmaatregelen valt te lezen in hoofdstuk II.8. van deze richtsnoeren.

Zodra de gegevens echter verstrekt worden aan een onbekend aantal personen, hetgeen het geval is bij vrij toegankelijke publicaties op internet, is de Wbp volledig van toepassing.17 Veel persoonlijke publicaties die bedoeld zijn voor een beperkte kring belangstellenden, vallen daarom toch onder de Wbp. Het kan gaan om een website ter verwelkoming van een pasgeborene, beelden van vakantieactiviteiten of een weblog met persoonlijk commentaar op de gebeurtenissen van alledag. Als iedere belangstellende de publicatie kan bekijken en de persoonsgegevens niet afgeschermd zijn tegen verdere verwerking door zoekmachines, is de Wbp volledig van toepassing.

Op gegevensverwerkingen op internet voor uitsluitend journalistieke, artistieke of literaire doeleinden is de Wbp gedeeltelijk van toepassing.18 Daarbij heeft de wetgever gezocht naar een balans tussen het recht op bescherming van persoonsgegevens en het recht op vrijheid van meningsuiting. In hoofdstuk 4 van deze richtsnoeren wordt deze balans verder toegelicht en wordt uitgewerkt wanneer een publicatie op internet voldoet aan het criterium van ‘uitsluitend journalistieke, artistieke of literaire doeleinden’.

Ten slotte is er een uitzonderingsgrond op de toepasselijkheid van de Wbp19 die het mogelijk maakt dat persoonsgegevens die voor een ander doeleinde zijn verzameld, toch voor historische, statistische of wetenschappelijke doeleinden kunnen worden gebruikt.

Verantwoordelijken die persoonsgegevens op internet willen publiceren in het kader van wetenschappelijk, historisch of statistisch onderzoek, dienen de nodige maatregelen te treffen om ervoor te zorgen dat de gegevens alleen ten behoeve van deze specifieke doeleinden worden verwerkt.20 Dat kunnen technische maatregelen zijn, zoals afscherming van de publicatie door middel van een wachtwoord (zie ook Hoofdstuk II paragraaf 8 over beveiliging), juridische maatregelen, zoals het contractueel vastleggen van het gebruik dat van de gegevens mag worden gemaakt, maar ook organisatorische maatregelen, zoals het inrichten van een procedure om toegangsverzoeken individueel te kunnen beoordelen. Deze uitzondering zal daarom in de praktijk alleen van toepassing zijn op strikt afgeschermde intranetten.

De verantwoordelijke mag dergelijke gegevens ook langer bewaren dan strikt noodzakelijk voor het oorspronkelijke doeleinde, mits opnieuw adequate beschermingsmaatregelen zijn getroffen tegen oneigenlijk gebruik.21 Ten slotte hoeven instellingen of diensten voor wetenschappelijk onderzoek of statistiek in bepaalde gevallen niet te voldoen aan de informatieplicht en het inzagerecht.22

Publiceren internetstatistieken

Voor statistische doeleinden houden veel verantwoordelijken statistieken bij over het gebruik van hun website, waaronder bijvoorbeeld IP-adressen en zoektermen. Wie dergelijke statistieken op internet publiceert, kan zich niet vergewissen van het doeleinde waarvoor bezoekers deze gegevens verder verwerken. Om toch openbaar inzicht te geven in het gebruik van de site, kunnen gegevens over bezoekersaantallen en meest gebruikte zoektermen geanonimiseerd worden gepubliceerd.23 De statistieken mogen wel voor intern gebruik ontsloten worden voor de medewerkers die de toegang beroepshalve nodig hebben.

Het publiceren op internet van een archief met persoonsgegevens, bijvoorbeeld een verzameling historische homepages, ten behoeve van een historisch, statistisch of wetenschappelijk doeleinde, is alleen toegestaan als de verantwoordelijke de nodige maatregelen heeft getroffen om ervoor te zorgen dat de gegevens ook uitsluitend voor dat historisch, statistisch of wetenschappelijk doel worden gebruikt. Als een archief met persoonsgegevens ook bijzondere persoonsgegevens (zie hierna, paragraaf 8) bevat, gelden nog strengere regels. De verwerking daarvan is verboden, tenzij een van de uitzonderingen van toepassing is. Twee belangrijke algemene uitzonderingen zijn dat de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt (bijvoorbeeld in het geval van een homepage en alleen voor zover het gegevens over de betrokkene zelf bevat) of als de betrokkene uitdrukkelijk toestemming heeft gegeven voor publicatie. De Wbp kent daarnaast een specifieke uitzondering op het verwerkingsverbod van bijzondere persoonsgegevens voor wetenschappelijk onderzoek of statistiek (en dus niet voor algemene historische doeleinden!), maar alleen als aan vier voorwaarden is voldaan:

• 1. Het onderzoek dient een algemeen belang;

• 2. De verwerking van de bijzondere gegevens is voor het betreffende onderzoek noodzakelijk;

• 3. Het vragen van uitdrukkelijke toestemming blijkt onmogelijk of kost een onevenredige inspanning;

• 4. Bij de uitvoering van het onderzoek is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad.24

Een archief van internetpagina’s met persoonsgegevens mag dus wel aangelegd worden voor wetenschappelijke doeleinden en via terminals in de bibliotheek ontsloten worden voor een beperkte groep wetenschappers, maar mag niet automatisch opnieuw op internet worden gepubliceerd. Niet iedere wetenschapper mag bovendien automatisch toegang krijgen tot het gedigitaliseerde materiaal; de erfgoedinstelling moet elke specifieke onderzoeksvraag toetsen aan de vier bovengenoemde eisen.

De Juridische Wegwijzer Archieven en Musea online concludeert daarom terecht: Het verwerken van bijzondere persoonsgegevens in het kader van de digitale beschikbaarstelling van erfgoed kan dus op zeer gespannen voet staan met de Wbp. Beschikbaarstelling van bijzondere persoonsgegevens aan een groot, onbepaald publiek is problematisch; de uitzondering ten behoeve van wetenschappelijk onderzoek levert immers geen soelaas voor de instelling die zijn materiaal breed beschikbaar wil stellen.25

Wie toch bijzondere persoonsgegevens op internet wil publiceren, kan gebruik maken van een van de twee hierboven al vermelde algemene uitzonderingen op het verwerkingsverbod, uitdrukkelijke toestemming van de betrokkene of het feit dat de gegevens door de betrokkene bewust zelf openbaar zijn gemaakt.

Ook foto’s, video- en geluidsopnamen van herkenbare natuurlijke personen zijn persoonsgegevens.28 Herkenbaar is daarbij breder dan direct identificeerbaar. Zelfs als het gezicht van een betrokkene wordt gemaskeerd, bijvoorbeeld met een zwart balkje, kan een foto een persoonsgegeven zijn. Dat is bijvoorbeeld het geval bij publicatie van camerabeelden van vermeende winkeldieven. Er bestaat een kans dat de betrokkenen herkend worden door hun vrienden, bekenden of buren, op grond van hun uiterlijk, kapsel en kleding.29

Foto’s van leerlingen

Een lagere school besluit de foto’s van een schoolreisje op de website van de school te zetten. De school moet zich daarbij houden aan de regels van de Wbp. In het bijzonder moet de school uitdrukkelijke toestemming hebben van de ouders van de kinderen. Deze toestemming kan nadien altijd worden ingetrokken. In dat geval moet de school het beeldmateriaal van de betrokkene in beginsel verwijderen.

Als een persoon beeldmateriaal over zichzelf publiceert, geeft hij toestemming voor publicatie in die context. Daarmee is een rechtvaardigingsgrond aanwezig, ook voor de houder van de website waarop het materiaal wordt gepubliceerd. Als iemand beeldmateriaal van andere natuurlijke personen op internet wil publiceren, moet hij daarvoor toestemming van de betrokkenen hebben of een aantoonbare noodzaak voor de publicatie kunnen aantonen (zie II.4). Alleen als een verantwoordelijke foto’s of ander beeldmateriaal publiceert met het uitdrukkelijke doel om onderscheid te maken naar ras, is bijzondere oplettendheid geboden. In dat geval acht het CBP het een redelijke wetstoepassing om het beeldmateriaal aan te merken als een bijzonder persoonsgegeven. Verwerking daarvan is verboden, tenzij een van de hierboven beschreven uitzonderingen van toepassing is. Ten aanzien van publicaties met uitsluitend journalistieke, artistieke of literaire doeleinden (zie hoofdstuk 4 van deze richtsnoeren) gelden ruimere verwerkingsmogelijkheden van beeld- en geluidsmateriaal. Daarnaast is de Wbp niet van toepassing op publicatie van beeldmateriaal op internet voor uitsluitend persoonlijke of huishoudelijke doeleinden. Privépersonen kunnen op grond van die exceptie dus bijvoorbeeld vrijelijk familiefoto’s op internet publiceren, mits de toegang adequaat is afgebakend tot een duidelijk bepaalbare groep van personen. Dit geldt ook voor foto’s op profielsites. Als het profiel is afgeschermd voor zoekmachines en de toegang is beperkt tot vrienden of kennissen, valt de publicatie onder de persoonlijk/huishoudelijke exceptie. De Wbp is dan in het geheel niet van toepassing.

Identificatienummers vormen een aparte categorie bijzondere persoonsgegevens. Omdat persoonsnummers de koppeling van verschillende bestanden vergemakkelijken, vormen ze een extra bedreiging voor de persoonlijke levenssfeer. Volgens artikel 24 Wbp mogen wettelijk voorgeschreven nummers ter identificatie van personen alleen worden gebruikt voor de uitvoering van de betreffende wet of voor doeleinden die bij de wet zijn bepaald. Dit betekent in de praktijk dat het niet is toegestaan om bijvoorbeeld iemands sofinummer (straks: burgerservicenummer) op internet te publiceren, zelfs niet als de betrokkene er toestemming voor heeft gegeven.

Veel mensen gebruiken gegevens van andere websites voor een eigen publicatie, zoals foto’s waar mensen herkenbaar op staan of adressen. De Wbp stelt echter belangrijke beperkingen aan het hergebruik. Het feit dat persoonsgegevens op internet staan, betekent niet dat ze zomaar opnieuw gebruikt mogen worden in een andere context, voor een ander doeleinde. Het nieuwe doel moet verenigbaar zijn met het oude doel en de verantwoordelijke dient een zelfstandige rechtvaardigingsgrond te hebben voor de publicatie. Iemand die bijvoorbeeld een weblog bijhoudt waarin hij of zij ook bijzondere persoonsgegevens over zichzelf verwerkt, zoals een beschrijving van gezondheidsklachten, maakt die gegevens zelf openbaar. Hergebruik van bijzondere persoonsgegevens is niet verboden als de betrokkene de gegevens zelf openbaar heeft gemaakt, maar de verantwoordelijke die deze gegevens in een eigen publicatie wil verwerken, dient een zelfstandige rechtvaardigingsgrond te hebben (zie hierna paragraaf 4: toestemming vragen of noodzaak aantonen).

Het verenigbaarheidsvereiste uit de Wbp heeft sterke raakvlakken met bepalingen in de wet over de kwaliteit en beveiliging van gegevens. Zelfs als het nieuwe doel verenigbaar is met het oude doel, kan de verwerking onrechtmatig zijn, bijvoorbeeld als het gaat om het overnemen van verouderde, onjuiste informatie over iemands functie of beroep. De onderwerpen kwaliteit en beveiliging komen nader aan de orde in de paragrafen 7 en 8 van dit hoofdstuk. Daarnaast geldt het algemene uitgangspunt (uit artikel 6 Wbp) dat verantwoordelijken op behoorlijke en zorgvuldige wijze te werk dienen te gaan bij het verzamelen en verwerken van persoonsgegevens. Deze bepaling speelt zeker bij de beoordeling van de verenigbaarheid van publicaties op internet een belangrijke rol.

Verantwoordelijken dienen zich bij het beoordelen of (her-)publicatie van persoonsgegevens op internet verenigbaar is met het oorspronkelijke doeleinde niet alleen rekenschap te geven van de herkomst van de gegevens, maar ook van het risico dat anderen de gegevens gebruiken die de verantwoordelijke zelf op internet publiceert. Om de risico’s voor betrokkenen te verkleinen, dient elke verantwoordelijke adequate beveiligingsmaatregelen te treffen tegen oneigenlijk verder gebruik.

Voor een juiste risico-inschatting moet de rol van zoekmachines worden meegewogen. Publicaties op internet die eigenlijk gericht zijn op een klein publiek, worden door zoekmachines wereldwijd toegankelijk gemaakt. Zoekmachines kunnen verspreide informatie van verschillende aard over een persoon koppelen. Dat kan een nieuw beeld opleveren, met een veel hoger risico voor de betrokkene dan elk van de afzonderlijke gegevens meebrengt. Strikte inperking van de gebruiksmogelijkheden en afscherming van persoonsgegevens voor zoekmachines zijn daarom belangrijke maatregelen om oneigenlijk hergebruik te voorkomen. Dit vereiste wordt nader uitgewerkt in paragraaf 8 van dit hoofdstuk.

De Wbp verbiedt publicatie van persoonsgegevens indien de gegevens onder een geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift vallen.30 Deze bepaling wordt dikwijls ingezet in zaken waarin het medisch beroepsgeheim speelt, maar is door het CBP ook gehanteerd bij het beoordelen van een overheidsinitiatief om persoonsgegevens openbaar te maken via internet.

Publicatie van waardegegevens onroerend goed

In 2003 vroeg het Ministerie van Financiën advies aan het CBP over een aantal voorgenomen wijzigingen in de Wet waardering onroerende zaken (Wet WOZ). Het voorstel beoogde de openbaarheid van WOZ-gegevens te vergroten door de taxatierapporten op internet te plaatsen. Het CBP adviseerde31: Gelet op het vorengaande komt het CBP tot het oordeel dat een algemene toegankelijkheid van waardegegevens op het internet zich niet verhoudt met de Wbp en de Wet WOZ. Het CBP onderschrijft het oordeel van de Raad van State dat het waardegegeven privacygevoelige informatie betreft. Verdere verwerking van deze gegevens (door plaatsing op het internet) dient daarom op grond van het bepaalde in artikel 40, eerste lid, Wet WOZ en artikel 9, vierde lid, Wbp achterwege te blijven.

Toestemming, de rechtvaardigingsgrond voor veel publicaties op internet, moet ondubbelzinnig zijn (in het geval van bijzondere persoonsgegevens zelfs ‘uitdrukkelijk’). De verantwoordelijke mag niet uitgaan van het principe ‘wie zwijgt, stemt toe’, maar moet elke twijfel uitsluiten over de vraag òf de betrokkene toestemming heeft gegeven en voor welke specifieke verwerkingen hij toestemming heeft gekregen. Als het gaat om een openbaar toegankelijk discussieforum of gastenboek op internet, hoeft de verantwoordelijke echter niet expliciet toestemming te vragen voor publicatie van een reactie; hij mag er redelijkerwijs van uitgaan dat de betrokkene begrijpt dat de reactie op internet verschijnt.33

CWI publiceert gegevens werkzoekenden op internet

Naar aanleiding van berichten in de media dat privégegevens van werkzoekenden vrij toegankelijk waren via de vacaturesite werk.nl heeft het CBP het Centrum voor werk en inkomen in april 2004 om opheldering gevraagd. Uit de verstrekte informatie bleek dat werkzoekenden zelf konden besluiten of zij naast gegevens over opleiding en werkervaring ook andere persoonsgegevens (zoals naam, adresgegevens en telefoonnummer) op internet wilden plaatsen. Het privacystatement van het CWI vermeldde duidelijk dat deze gegevens openbaar toegankelijk waren voor anderen. Het CWI heeft inmiddels wel restricties aangebracht in deze toegang tot gegevens van werkzoekenden. Alleen werkgevers met een zogenaamd werkgeversaccount kunnen nu direct alle gegevens van werkzoekenden opvragen.34

De Wbp kent vijf rechtvaardigingsgronden die gebaseerd zijn op een aantoonbare noodzaak voor de verantwoordelijke. Dat zijn: uitvoering van een overeenkomst, voldoen aan een specifieke wettelijke verplichting, vitaal belang, een goede vervulling van een specifieke publiekrechtelijke taak of een afweging van belangen.

Hoe verantwoordelijken precies aan de informatieplicht uit de Wbp kunnen voldoen, is afhankelijk van een aantal factoren. De memorie van toelichting bij de Wbp geeft aan dat verantwoordelijken zoveel informatie moeten verstrekken als nodig is om in elk concreet geval een behoorlijke en zorgvuldige gegevensverwerking te waarborgen, of zij de gegevens nu zelf van de betrokkene krijgen, of indirect.48 Dat betekent dat de omvang van de informatieplicht afhangt van de aard van de verantwoordelijke, de risico’s die met de publicatie zijn gemoeid en de manier waarop de persoonsgegevens zijn verkregen. Wie met toestemming van de betrokkenen persoonsgegevens op internet publiceert en de persoonsgegevens heeft afgeschermd tegen verder gebruik door zoekmachines, kan volstaan met een beknopte vermelding van zijn identiteit en het doeleinde van de publicatie, voorafgaand aan de publicatie. Wie echter op grond van een andere rechtvaardigingsgrond, zoals een goede vervulling van zijn publiekrechtelijke taak, gegevens op internet wil publiceren, dient de betrokkenen veel uitgebreider, individueel te informeren – zeker als niet op voorhand duidelijk is dat de gegevens ook op internet worden gepubliceerd – en hen te wijzen op hun recht op verzet. Alleen als de verantwoordelijke aannemelijk kan maken dat het individueel informeren een onevenredige inspanning vergt – waaronder wordt verstaan dat het informeren substantiële kosten meebrengt, een buitengewone inspanning kost bij het achterhalen van betrokkenen of stuit op technische onmogelijkheden – en er geen andere wegen openstaan om de betrokkenen via algemenere kanalen te informeren, vervalt de actieve informatieplicht. De verantwoordelijke moet in dat geval wel zorgvuldig vastleggen van wie en op welke wijze hij de gegevens heeft verkregen, bijvoorbeeld van welke andere internetpublicaties hij de gegevens heeft overgenomen.

Schrijven over bekende personen

Een minister vertelt op televisie over zijn privéleven. Tal van persoonlijke, niet-journalistieke weblogs besteden aandacht aan zijn uitspraken en allerlei mensen geven daar weer commentaar op. In dit geval, omdat de bewindsman zijn uitlatingen in het openbaar heeft gedaan, mag aangenomen worden dat hij op de hoogte is van het feit dat hierover in het openbaar verder wordt gediscussieerd, ook op internet. De houders van de weblogs hoeven de minister daarom niet apart te informeren dat ze persoonsgegevens over hem verwerken. Een (niet-journalistieke) verantwoordelijke die de aanleiding echter te baat neemt om allerlei andere privé-informatie over de minister op internet te publiceren, inclusief bijvoorbeeld foto’s van zijn familie, dient de minister wel degelijk te informeren. Of een dergelijke publicatie überhaupt te rechtvaardigen valt, is zeer de vraag, gezien de mogelijke gevolgen voor de familieleden.

De informatieplicht geldt jegens alle betrokkenen over wie persoonsgegevens worden verwerkt, ook als het gaat om inwoners uit een land buiten de Europese Unie. Als een verantwoordelijke bijvoorbeeld een contactlijst wil publiceren van mensen uit de hele wereld met een hele specifieke interesse, dan moeten alle betrokkenen voorafgaand aan de publicatie individueel op de hoogte worden gesteld. Als een inwoner uit de Verenigde Staten merkt dat zijn naam op de desbetreffende website staat zonder dat hij daarover tevoren is geïnformeerd, kan hij in Nederland de rechtsmiddelen aanwenden die de Wbp hem toekent.49

Wie op basis van toestemming persoonsgegevens op internet publiceert, hoeft de betrokkenen (na het verkrijgen van de toestemming) niet afzonderlijk meer te informeren over zijn identiteit en doeleinden van de verwerking. Een goede invulling van de beknopte informatieplicht is dan het publiceren van een privacyverklaring. De verklaring moet in duidelijke en begrijpelijke taal zijn opgesteld, goed vindbaar zijn en bij voorkeur op te roepen vanuit elk onderdeel van de publicatie.

In navolging van de aanbeveling van de Artikel 29-werkgroep over het online verzamelen van gegevens50, moet een privacyverklaring bij een publicatie op internet minimaal de volgende elementen bevatten:

• 1) de identiteit, het fysieke en het elektronische adres van de voor de verwerking verantwoordelijke;

• 2) het doel (de doeleinden) van de verwerking waarvoor de verantwoordelijke gegevens verwerkt via een publicatie op internet;

• 3) vermelding of het verstrekken van bepaalde informatie verplicht of facultatief is;

• 4) de ontvangers of de categorieën ontvangers van de verzamelde informatie;

• 5) vermelding van het recht dat betrokkenen hebben om, afhankelijk van de situatie, toestemming te geven voor of zich te verzetten tegen de verwerking van persoonsgegevens en van de voorwaarden die daarvoor gelden; vermelding van het recht op toegang tot en rectificatie en verwijdering van gegevens. Daarbij moet duidelijk worden gemaakt tot welke persoon of dienst betrokkenen zich moeten wenden om deze rechten uit te oefenen;

• 6) de naam en het adres (fysiek en elektronisch) van de dienst of persoon die verantwoordelijk is voor het beantwoorden van vragen betreffende de bescherming van persoonsgegevens;

• 7) informatie over het gebruik van eventuele automatische procedures voor informatievergaring (bijvoorbeeld ten aanzien van het vastleggen van IP-adressen van bezoekers van een website of de inzet van cookies)

• 8) informatie over het beveiligingsniveau van een publicatie gedurende alle verwerkingsstadia (belangrijk bij publicaties voor een beperkte doelgroep), inclusief verduidelijking of en zo ja, in welke mate, gegevens indexeerbaar zijn voor zoekmachines;

• 9) vermelding van de bewaartermijn van persoonsgegevens, inclusief eventuele spelregels ten aanzien van uitsluiting/ blacklisting;

• 10) indien van toepassing: het meldingsnummer waarmee de verwerking is aangemeld bij het CBP.

In de bijlage bij deze richtsnoeren is een model privacyverklaring opgenomen dat aan deze voorwaarden voldoet. Het gaat daarbij om een model dat gebruikt kan worden voor een discussieforum, waarbij deelnemers hun bijdragen al dan niet onder pseudoniem publiceren en de rechtvaardigingsgrond voor een gerechtvaardigde gegevensverwerking toestemming is.

De Wbp eist in het tweede lid van de artikelen 33 en 34 Wbp dat verantwoordelijken hun identiteit bekend moeten maken. Dat stelt betrokkenen in staat om hun rechten effectief uit te oefenen en rechtstreeks met verantwoordelijken in contact te treden. De aanbeveling van de Artikel 29-werkgroep uit 2001 over het online verzamelen van gegevens benadrukt dat bij de identiteit zowel het elektronische als het fysieke adres moet worden vermeld. Ook de e-commerce richtlijn (2000/31/EG) kent een dergelijk absoluut identiteitsvereiste, omgezet in artikel 3:15d van het Burgerlijk Wetboek.51 Een dergelijk absoluut identiteitsvereiste brengt echter risico’s mee voor de privacy van individuele webloggers of critici. Een natuurlijk persoon kan goede redenen hebben om zijn fysieke contactadres niet op internet te willen publiceren, uit angst voor bedreigingen of andersoortige ongevraagde benaderingen.

De aanbeveling van de Artikel 29- werkgroep is vooral gericht op verantwoordelijken die op professionele wijze gegevens verzamelen en verwerken, bijvoorbeeld ten behoeve van direct marketing of andere commerciële dienstverlening. Dat individuen massaal over zouden gaan tot het publiceren van persoonsgegevens op internet had de werkgroep waarschijnlijk toentertijd niet voorzien. Ook de e-commerce richtlijn is niet gericht op natuurlijke personen, maar op commerciële dienstverleners, die ‘gewoonlijk tegen vergoeding’ hun diensten verrichten.52

In het geval van publicaties door natuurlijke personen is een nadere afweging noodzakelijk om recht te doen aan de goede redenen die een verantwoordelijke kan hebben om zijn fysieke contactadres niet te willen publiceren op internet. Het CBP acht het daarom een redelijke wetstoepassing als een natuurlijke persoon die zonder commercieel oogmerk op internet publiceert, volstaat met het bekendmaken van een elektronisch contactadres. Daarbij gelden twee voorwaarden:

– de verantwoordelijke is goed bereikbaar voor betrokkenen door middel van een elektronisch e-mailadres

– dit e-mailadres wordt uitgegeven door een in Nederland gevestigde aanbieder.

Een dergelijke verantwoordelijke (die als privépersoon, zonder commercieel oogmerk publiceert) kan niet volstaan met het vermelden van een (veelal gratis) e-mailadres van een internationaal opererende serviceprovider als Microsoft, Google of Yahoo. Een dergelijk adres kan het voor een betrokkene onnodig ingewikkeld maken om zijn recht te halen als een verantwoordelijke niet adequaat reageert. Het e-mailadres moet uitgegeven zijn door een in Nederland gevestigde aanbieder, binnen het Nederlandse .nl domein.

Verantwoordelijken die over een eigen mailserver beschikken kunnen eveneens aan deze verplichting voldoen, mits zij de e-mail verwerken onder een .nl domein.

Het vereiste van een Nederlands elektronisch contactadres maakt het voor betrokkenen mogelijk om nadere stappen te ondernemen om de identiteit te achterhalen van de verantwoordelijke. Het Lycos-arrest van het Hof Amsterdam53 kan de betrokkene een aanknopingspunt bieden om de provider aan te spreken als de verantwoordelijke voor een publicatie op internet zijn identiteit niet kenbaar maakt en daarmee onmiskenbaar in strijd handelt met artikel 33 en 34, tweede lid Wbp.54

Voor privépersonen die geen Nederlands e-mailadres willen gebruiken, geldt de volledige informatieplicht om zowel een fysiek als een elektronisch contactadres bekend te maken.

Een melding bij het CBP betreft een beschrijving van een of meerdere gegevensverwerkingen. Artikel 27 eerste lid Wbp verplicht tot aanmelding van een voorgenomen verwerking, dat wil zeggen dat de melding dient te geschieden alvorens tot de verwerking wordt overgegaan. Omdat ’verwerking’ ook betrekking heeft op het verzamelen, houdt dit in dat de verantwoordelijke de verwerking moet melden voordat hij de beschikking krijgt over persoonsgegevens.56

De meldingen worden opgenomen in een openbaar register, dat kosteloos toegankelijk is via de website van het CBP, conform artikel 30 Wbp. Het feit dat een melding is opgenomen in het openbare register, betekent niet dat het CBP de verwerking heeft goedgekeurd of rechtmatig acht. De melding biedt dan ook geen garantie dat de verantwoordelijke in overeenstemming met de Wbp persoonsgegevens verwerkt.

Via het Vrijstellingsbesluit57 worden allerlei bekende, veel voorkomende vormen van gegevensverwerking waarvan het bestaan in het algemeen bekend mag worden verondersteld en die geen bijzondere risico’s meebrengen, vrijgesteld van de meldingsplicht. De vrijstellingen zijn in het algemeen echter niet relevant voor de publicatie van persoonsgegevens op internet, zodat daarop hier verder niet wordt ingegaan.

Het ministerie van Justitie heeft in 2007 gewerkt aan een verruiming van het Vrijstellingsbesluit. Naar verwachting hoeven stichtingen en verenigingen die persoonsgegevens publiceren op hun eigen website evenals particulieren die persoonlijke publicaties verzorgen, in de toekomst hun verwerkingen onder bepaalde voorwaarden niet te melden. Onder ‘persoonlijke publicaties’ worden verstaan: publicaties die persoonlijk van aard zijn, niet-commercieel en voor privédoeleinden opgezet. Als aanvullende voorwaarde voor de nieuwe meldingsvrijstellingen geldt dat persoonsgegevens onmiddellijk verwijderd moeten worden als een betrokkene bezwaar maakt tegen de vermelding van zijn of haar persoonsgegevens. Bovendien is van belang dat de pagina’s met persoonsgegevens afgeschermd zijn tegen verwerking door zoekmachines, om onverenigbaar gebruik te voorkomen.

Ook onderwijsinstellingen en bedrijven die persoonsgegevens publiceren op een besloten intranet vallen onder de voorgestelde nieuwe vrijstellingen. De vrijstelling omvat eveneens publicatie op een besloten intranet van de zogenaamde ‘smoelenboeken’, foto’s van werknemers of studenten/docenten, mits de plaatsing geschiedt met instemming van de Ondernemingsraad. Het CBP is in juni 2007 geconsulteerd over de aanpassingen van het besluit. De verwachting is dat de wijzigingen in 2008 in werking zullen treden.58

De vrijstelling waaraan thans wordt gewerkt, betekent alleen vrijstelling van melding bij het CBP, niet van de verplichting om te voldoen aan de vereisten ten aanzien van een zorgvuldige omgang met persoonsgegevens. De informatieplicht (en daarmee de plicht tot het bekendmaken van de identiteit van de verantwoordelijke en de doelstelling van de verwerking) blijft onverkort van toepassing, evenals de overige bepalingen uit de Wbp.

Verantwoordelijken moeten voorafgaand aan de publicatie van persoonsgegevens op internet vaststellen hoe lang zij de gegevens online laten staan of anderszins blijven bewaren. Persoonsgegevens mogen volgens artikel 10 Wbp niet langer bewaard worden in een vorm die het mogelijk maakt betrokkenen te identificeren dan noodzakelijk voor de gestelde (gerechtvaardigde) doeleinden.59 Volgens het tweede lid van artikel 11 Wbp moet de verantwoordelijke zich bovendien inspannen om ervoor te zorgen dat persoonsgegevens juist en nauwkeurig zijn. Hoe ouder de gegevens zijn, hoe groter de kans dat ze onjuist zijn en daardoor onnodige schade kunnen berokkenen aan betrokkenen. Verantwoordelijken dienen daarom bij elke publicatie van persoonsgegevens af te wegen welke risico’s de gekozen beschikbaarheidstermijn met zich meebrengt. Het verdient aanbeveling, ook volgens de Europese Commissie, om te voorzien in een methode om persoonsgegevens na het verstrijken van de vastgestelde termijn automatisch te anonimiseren. 60

De verantwoordelijke mag volgens artikel 11 Wbp alleen gegevens verwerken die toereikend zijn, ter zake dienend zijn en niet bovenmatig aan het gestelde doeleinde. In de memorie van toelichting bij de Wbp wordt het voorbeeld genoemd van een winkelier die een registratie opzet van personen die hij heeft betrapt op winkeldiefstal. De winkelier zal in de regel niet behoeven te registreren welke goederen door de betrokkene uit zijn winkel zijn ontvreemd, wel bijvoorbeeld de waarde daarvan. Verder mag hij in die registratie geen gegevens opslaan omtrent het (legale) koopgedrag van de betrokken persoon, omdat dat bovenmatig is aan het gestelde doeleinde.61 Het voorbeeld heeft alleen betrekking op de eigen registratie door de winkelier. Voor publicatie op internet van lijsten van (vermeende) winkeldieven zal niet snel een rechtvaardigingsgrond in de Wbp gevonden kunnen worden, vanwege de risico’s van verdere verwerking door derden.62 Het feit dat gegevens ‘toereikend’ moeten zijn, behelst een zorgplicht voor de verantwoordelijke om een zo correct mogelijk beeld te schetsen van een betrokkene over wie hij persoonsgegevens publiceert. Het weglaten van cruciale informatie kan net zo schadelijk zijn voor de persoonlijke levenssfeer als het vermelden van bovenmatige privédetails. Als het bijvoorbeeld gaat om een lijst van vermeende wanbetalers kan het weglaten van de vermelding dat en op welke gronden een betrokkene een vordering betwist, die persoon schade berokkenen.

Toegang voor advocaten tot rolgegevens

Advocaten hebben belang bij toegang tot het rolregister van de rechtbank waar ze procederen. Toegang tot de gegevens van een rechtbank in een andere stad loopt voor advocaten via een vertegenwoordiging, een zogenaamde procureur. Het rolregister bevat informatie over alle aanhangige civiele zaken, met een korte typering, de namen van de eiser en de gedaagde, de namen van de procureurs en de status van de behandeling. In 2002 besloot de Raad voor de Rechtspraak tot invoering van een digitale rol, ‘Mijn Zaken’, waarbij advocaten via internet toegang zouden krijgen tot alle rolgegevens uit het hele land, in de aanloop naar afschaffing – naar thans wordt verwacht in maart 2008 – van het verplichte procuraat. Het CBP oordeelde dat deze toegang bovenmatig zou zijn (niet in overeenstemming met artikel 11 Wbp) en dat advocaten alleen toegang zouden mogen hebben tot hun eigen zaken.63 De Raad voor de Rechtspraak paste het beleid daarop aan. De toegang tot www.roljournaal. nl is afgebakend met een wachtwoord en advocaten en hun procureurs krijgen alleen toegang tot de rolgegevens van hun eigen zaken.64

Bij het bewaken van de kwaliteit van persoonsgegevens dienen verantwoordelijken ook maatregelen te treffen om er zeker van te zijn dat de gegevens juist en nauwkeurig zijn, in overeenstemming met de werkelijkheid, zonder dat er iets is verdwenen of (ten onrechte) veranderd.65 Een verantwoordelijke die persoonsgegevens verzamelt en vervolgens publiceert, moet er zeker van zijn dat de gegevens werkelijk door de betrokkene zelf zijn ingevoerd of gewijzigd en niet door een (kwaadwillende) derde. Betrokkenen mogen niet in een positie worden gebracht dat zij moeten ontkennen een bepaalde actie te hebben verricht. Als de aard van de publicatie en de risico’s die ermee gemoeid zijn daartoe noodzaken, dienen verantwoordelijken daarom de identiteit van een aanvrager of gebruiker vast te stellen. Daar bestaan meerdere middelen voor, zoals biometrische toepassingen, PKI Overheid (de public key infrastructure waarbij de overheid certificaten uitgeeft om de identiteit van een gebruiker te waarborgen), DigiD66 of Open ID (een initiatief om juist van onderop identiteit te waarborgen, door vertrouwen van gebruikers in elkaar). Een ander systeem, dat bijvoorbeeld in Finland en Estland veel gebruikt wordt, is authenticatie via de infrastructuur van internetbankieren.67 Welk systeem in Nederland het best ingezet kan worden om te voldoen aan de beveiligingsvereisten van de Wbp, is mede afhankelijk van de betrouwbaarheid, de beschikbaarheid, de kosten voor de verantwoordelijke en de gebruikersacceptatie.

Als de aard van de dienstverlening en de risico’s die ermee gemoeid zijn, noodzaken tot het vaststellen van de identiteit, dient de verantwoordelijke zich als eerste af te vragen of het volstaat om alleen elektronische middelen in te zetten, of dat het noodzakelijk is uit het oogpunt van zorgvuldigheid bevestiging te vragen via een separaat communicatiekanaal. Dat kan via een bevestiging van een betaling die plaatsvindt op initiatief van de aanvrager, of via het aanbrengen van een offline identificatiestap, zoals per brief of telefoon.

Voor het vaststellen van de identiteit van een betrokkene mag een verantwoordelijke niet zonder meer om een kopie van een identiteitsbewijs vragen. Op paspoort en identiteitskaart staan twee bijzondere persoonsgegevens, waarvan de verwerking in principe verboden is, tenzij een van de wettelijke uitzonderingen van toepassing is, namelijk de pasfoto en het sofinummer (in de toekomst: burgerservicenummer) .

Teveel identificerende gegevens

Om in aanmerking te komen voor de status van ‘Gecontroleerde verkoper’ bij een bemiddelingswebsite moest een aanvrager bovenmatig veel documenten overleggen. Volgens het CBP kon de verantwoordelijke volstaan met het opvragen van een kopie van een recent bank- of giroafschrift en een kopie van een identiteitsbewijs. Daarbij moest de website de aspirant-verkopers nadrukkelijk wijzen op de mogelijkheid om op die kopieën alle overbodige gegevens onleesbaar te maken. Na verificatie van de identiteit zouden de kopieën moeten worden vernietigd of aan de potentiële Gecontroleerde verkoper worden teruggegeven.68

Artikel 13 Wbp verplicht verantwoordelijken tot het treffen van passende technische en organisatorische maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. De maatregelen dienen er mede op gericht te zijn onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen.

Wat een passend beveiligingsniveau is, is afhankelijk van de stand van de techniek, het soort persoonsgegevens, de soort verwerking, de kosten van de tenuitvoerlegging voor de verantwoordelijke en de te verwachten risico’s voor betrokkenen. De wetgever heeft nadrukkelijk een open norm gehanteerd, zonder nadere details over de soorten beveiliging.

Dergelijke details zouden sterk tijdgebonden zijn en daarmee afbreuk doen aan het nagestreefde niveau van beveiliging. 69

Gegeven de huidige stand van de techniek en de normontwikkeling in eerdere uitspraken van het CBP zijn er met betrekking tot publicaties op internet vijf aanbevelingen te geven hoe verantwoordelijken invulling moeten geven aan de verplichtingen uit artikel 13 Wbp tot het treffen van passende beveiligingsmaatregelen.

De aanbevelingen zijn:

• 1. Voorkom de onnodige publicatie van persoonsgegevens.

• 2. Scherm specifieke pagina’s met persoonsgegevens af voor zoekmachines.

• 3. Gebruik wachtwoorden of een andere passende methode om de doelgroep af te bakenen.

• 4. Beveilig het gegevenstransport door middel van het SSL-protocol.

• 5. Beveilig machine(s) en achterliggende databases tegen onbevoegde toegang door derden.

Verantwoordelijken hebben uit beveiligingsoogpunt de plicht om maatregelen te treffen om ‘onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen’ (Artikel 13 Wbp, derde volzin). Soms heeft een verantwoordelijke wel een goede rechtvaardigingsgrond voor het verzamelen en binnen de organisatie verwerken van bepaalde persoonsgegevens, maar leent dat doeleinde zich niet voor integrale publicatie van de persoonsgegevens op internet. Per persoonsgegeven moet daarom een afweging worden gemaakt van de noodzaak van publicatie op internet, in het licht van de te verwachten risico’s voor de betrokkene. De plicht tot dataminimalisatie geldt in het bijzonder voor overheden en verantwoordelijken voor openbare registers, omdat betrokkenen in die gevallen minder mogelijkheden hebben om zich te verzetten tegen een specifieke publicatie.70

Geen handtekening publiceren op internet

Op 1 mei 2007 trad een nieuwe wet in werking over het Handelsregister, met bepalingen over de elektronische ontsluiting van het register.71 In de wet wordt een onderscheid gemaakt tussen de verplichte opname van sommige persoonsgegevens in het register en de publicatie ervan op internet. Het burgerservicenummer van natuurlijke personen die een onderneming hebben bijvoorbeeld wordt verplicht in het register opgenomen, maar mag niet aan derden worden verstrekt en dus niet op het internet worden gepubliceerd. Tijdens de behandeling van het wetsvoorstel in de Tweede Kamer werd uitdrukkelijk gewezen op het risico van de publicatie op internet van de handtekening van in het handelsregister opgenomen natuurlijke personen. Uit de toelichting bij het amendement van Kamerlid Van Dijk: De Kamers van Koophandel constateren in toenemende mate dat handtekeningen worden gekopieerd met frauduleus oogmerk. Daarbij wordt onder meer gebruik gemaakt van de handtekening in het handelsregister zoals deze via internet kan worden ingezien. Om dergelijke fraude zo veel mogelijk te voorkomen is het gewenst dat handtekeningen van natuurlijke personen niet langer via internet worden getoond. Dat werpt een naar verwachting van de Kamers effectieve drempel op tegen het kopiëren van handtekeningen.72 De staatssecretaris van Economische Zaken nam het amendement meteen over.

Een publicatie die voldoet aan de Wbp kan er toch toe bijdragen dat een betrokkene in zijn persoonlijke levenssfeer wordt geschaad, doordat via zoekmachines derden allerlei intieme details over deze betrokkene kunnen koppelen. Afscherming van persoonsgegevens voor zoekmachines is een heel eenvoudige, algemeen toepasbare en kosteloze stap om de kans op onrechtmatige verwerking door derden te verkleinen. Alle grote zoekmachines bieden handleidingen aan verantwoordelijken voor publicaties met behulp waarvan zij kunnen voorkomen dat een website of onderdelen uit een publicatie geïndexeerd of gearchiveerd worden.73

Zonder een dergelijke maatregel ontstaan er grote risico’s voor betrokkenen, waardoor de publicatie onrechtmatig kan zijn. Verantwoordelijken die de risico’s willen vermijden van onrechtmatigheid, blokkeren daarom alle pagina’s met persoonsgegevens voor zoekmachines. Dat kan door middel van een algemene aanpak, door automatisch een anti-indexeringscode op te nemen in de onderliggende html, of via een individuele oplossing, een constructie waarbij de betrokkene expliciet toestemming geeft voor toegang voor zoekmachines. Die tweede optie is bijvoorbeeld handig voor verantwoordelijken voor profiel-, foto/video- of weblogcommunities, zodat elke betrokkene individueel kan beslissen over de beschikbaarheid van zijn gegevens voor derden.

Beschuldigingen uit Google cache verwijderen

In februari 2007 oordeelde de voorzieningenrechter van de Rechtbank Dordrecht74 dat een gedaagde zich tot het uiterste moest inspannen om een onterechte beschuldiging verwijderd te krijgen uit de Google cache. De gedaagde meende dat zij was opgelicht en publiceerde dit op haar website. Nadat de betaling was bijgeschreven, verwijderde ze de beschuldigingen, maar via de cache van Google doken de beschuldigingen toch nog op. Hoewel de gedaagde zich had ingespannen om de gegevens te verwijderen, was ten tijde van de zitting nog steeds één kopie vindbaar via de zoekmachine. De rechter beval de gedaagde om binnen twee dagen na betekening van het vonnis de uitlating in de cache van de internetzoekmachine Google te doen verwijderen, op straffe van een dwangsom van 250 euro voor iedere werkdag dat de gedaagde in gebreke zou blijven aan dit vonnis te voldoen.

Verantwoordelijken die persoonsgegevens met een specifiek doel op internet publiceren, moeten zorgen voor een adequate bescherming tegen onrechtmatige kennisneming of verdere verwerkingen ervan door derden. Dat is inherent aan het doelbindingsprincipe. Als het gaat om een publicatie die voor een beperkte doelgroep is bedoeld, zoals leden van een sportvereniging, dient de toegang ook daadwerkelijk tot die doelgroep beperkt te zijn. Naast algemene afscherming van de persoonsgegevens voor zoekmachines dient de verantwoordelijke de specifieke toegang alleen mogelijk te maken voor de doelgroep die in het doeleinde is omschreven. Dat kan in veel gevallen door middel van een wachtwoord, mits het gaat om publicaties zonder bijzondere persoonsgegevens of gegevens die op een andere manier grote risico’s meebrengen voor betrokkenen. Verantwoordelijken dienen daarbij te werken met individuele wachtwoorden of toegangscodes, in plaats van met generieke wachtwoorden. Om het risico op onbevoegde toegang verder te verkleinen, moeten de wachtwoorden of toegangscodes een beperkte geldigheidsduur hebben, voldoende ‘sterk’ zijn en versleuteld worden opgeslagen bij de verantwoordelijke.

Als het echter om publicaties gaat met bijzondere persoonsgegevens, zoals medische dossiers of strafrechtelijke gegevens, is de combinatie loginnaam- wachtwoord te zwak. De verantwoordelijke moet in dat geval zoeken naar andere passende technische mogelijkheden om te waarborgen dat alleen degenen die daartoe gerechtigd zijn, toegang krijgen tot specifieke persoonsgegevens.

Website met medische dossiers

Eind 2000 onderzocht de Registratiekamer de beveiliging van een bemiddelingswebsite waarop patiënten zelf hun medisch dossier op internet kunnen plaatsen.75 De website stelt patiënten in staat hun medische gegevens online te controleren en te laten bevestigen door hun arts of apotheker. Artsen, apothekers en andere zorgverleners kunnen zelf ook gegevens aan het dossier toevoegen, met toestemming van de patiënt. Het bedrijf dat verantwoordelijk is voor de gegevensverwerking beheert de wachtwoorden voor de inlogprocedure van de patiënten en zorgverleners.

De Registratiekamer stelde voorop dat verwerking van medische gegevens van patiënten via het internet risico’s meebrengt. De combinatie van beveiligingsmaatregelen die het bedrijf had getroffen, was naar het oordeel van de Registratiekamer, gezien de toenmalige stand van de techniek en hetgeen in redelijkheid van het bedrijf kon worden gevergd, vooralsnog voldoende. Het bedrijf had ervoor gekozen om de naam-adreswoonplaatsgegevens van patiënten niet in het digitale dossier op te nemen. Daarnaast waren en zijn zowel de communicatie via internet als de toegang tot de database versleuteld met een 128-bits sleutel en wordt een dossier geblokkeerd na drie foutieve inlogpogingen.

Het gebruik van een loginnaam en wachtwoord als toegangsbeveiliging voor het dossier op de site vormde in de ogen van de Registratiekamer echter een zwakke schakel in de beveiliging.

De Registratiekamer schreef: Toegangsbeveiliging door middel van een loginnaam en wachtwoord wordt in het algemeen als een te laag niveau van beveiliging gezien.

Voor de toekomst, afhankelijk van de ontwikkeling van de techniek en de acceptatie ervan door burgers, zag de Registratiekamer twee alternatieven: gebruik van biometrische toegangsbeveiliging of gebruik van een zogenaamde challenge-response tokencard, een systematiek zoals die voor thuisbankieren wordt gebruikt. In afwachting van die ontwikkeling, ried de Registratiekamer in ieder geval aan de loginprocedure aan te scherpen. Na toekenning van een nieuw of gewijzigd wachtwoord zou de patiënt bij de eerste inlogpoging verplicht moeten worden zelf een wachtwoord te kiezen.

Gegevenstransport over internet geschiedt in beginsel via openbare verbindingen. Verantwoordelijken dienen ervoor te zorgen dat het verzamelen van persoonsgegevens via websites beveiligd plaatsvindt, bijvoorbeeld met een https-verbinding. Met het gebruik van een via het SSL-protocol77 beveiligde verbinding zijn nauwelijks kosten gemoeid en de inzet ervan beveiligt het verkeer over netwerkknooppunten. Bij een onbeveiligde site bestaat het risico dat derden, voor wie de ingevulde gegevens niet bestemd zijn, de gegevens onderscheppen, bijvoorbeeld via het overnemen van sessies of door datadiefstal op internetknooppunten.

De inzet van een SSL-certificaat is ook van belang voor authenticatie van de website zelf, om het risico op ‘phishing’ te verkleinen. Sites die onbeveiligd zijn, kunnen makkelijker geïmiteerd worden door sites met vergelijkbare domeinnamen. Daarmee kunnen derden op frauduleuze wijze in bezit komen van persoonsgegevens.

Digidoor

Het CBP deed in 2005 onderzoek naar Digidoor, een initiatief van basisscholen in de gemeente Almere om gegevens over leerlingen op internet te publiceren.78 In Digidoor (een afkorting van Digitaal doorstromen) worden gegevens van basisschoolleerlingen verzameld met het doel om de aanmelding bij het vervolgonderwijs makkelijker te maken. De bestanden bevatten veel gevoelige informatie over leerlingen zoals opmerkingen over het niveau van rekenen, taal en lezen, maar ook informatie over faalangst, concentratieproblemen, gezondheidsproblemen en in uitzonderlijke gevallen, problemen met betrekking tot de thuissituatie. De website was zonder nadere versleuteling te benaderen via internet. Over het noodzakelijke beveiligingsniveau was van tevoren niet goed nagedacht. Na negatieve publiciteit troffen de verantwoordelijke scholen snel een aantal concrete maatregelen:

– het installeren van een dedicated server en een versleutelde SSL-verbinding;

– het invullen van de verschillende rollen voor toevoegen en inzien van de informatie en het vaststellen van de bewaartermijn voor (herleidbare) gegevens;

– het opstellen van een brochure met nadere uitleg over de techniek, inhoud en werking van het systeem.

De problemen waren te voorkomen geweest als er van tevoren een goed beveiligingsplan was opgesteld, waarbij ook een dreigingsanalyse was gemaakt.

Regelmatig komen bekende en onbekende websites negatief in het nieuws omdat de beveiliging onvoldoende is en persoonsgegevens toegankelijk worden die niet voor publicatie zijn bedoeld. Dat kan bijvoorbeeld gebeuren als de URL’s die gegenereerd worden na een inlogprocedure een voorspelbaar patroon opleveren. Derden kunnen dan makkelijk andere URL’s ‘raden’ en daarmee toegang verwerven tot persoonlijke informatie van betrokkenen. De beveiliging en inrichting van de server(s) waarop de gegevens staan, vormen daarom een apart punt van zorg. De verantwoordelijke dient ervoor te zorgen dat de machines beveiligd zijn tegen onrechtmatige toegang door derden, door consequent beveiligingsadviezen op te volgen. Dat geldt zowel voor het besturingssysteem als voor de software die op een server draait. Zeker bij de verwerking van bijzondere persoonsgegevens verdient het aanbeveling om een strikte scheiding aan te brengen tussen de database waarin de gegevens worden verwerkt en de server waarmee gegevens op internet worden gepubliceerd. De risico’s die de publicatie van bijzondere persoonsgegevens meebrengt, rechtvaardigen dat gegevens uit de database alleen versleuteld naar de server mogen worden geleid en pas op cliëntniveau ontsleuteld worden.

Toegang tot digitale jaaropgaven In maart 2007 werd bekend dat de digitale jaaropgaven van het Uitvoeringsinstituut Werknemersverzekeringen (UWV) per ongeluk opvraagbaar bleken door andere klanten, als twee mensen tegelijkertijd inlogden. In de Tweede Kamer werden vragen gesteld over het incident.79 Het UWV liet de minister van Justitie en het CBP weten dat de digitale beschikbaarstelling werd beëindigd binnen een uur nadat de fout werd ontdekt. Iedereen die per ongeluk andermans jaaropgave had ingezien, werd telefonisch benaderd.

Op sommige discussieforums worden aparte discussieonderwerpen (‘threads’ of ‘topics’) geopend over meldingen die bij nader inzien onjuist zijn gebleken, bijvoorbeeld bij beschuldigingen van spam, oplichterij of andere strafbare feiten. De oorspronkelijke mededelingen met onjuiste persoonsgegevens blijven dan via internet beschikbaar. Het kunnen toevoegen van een andere zienswijze (in plaats van het verwijderen of corrigeren van persoonsgegevens) is een praktijk die in sommige gevallen van toepassing is bij archieven die onder de Archiefwet vallen. Het doeleinde van behoud van (een deel van) het Nederlandse culturele erfgoed maakt het mogelijk om archiefbescheiden met zelfs aantoonbaar onjuiste gegevens voor onbepaalde tijd te bewaren in archiefbewaarplaatsen. Artikel 36 vierde lid Wbp maakt een vergelijkbare werkwijze mogelijk voor gegevensdragers waarin geen wijzigingen kunnen worden aangebracht, zoals CD-roms of microfiches.80 Voor (niet-journalistieke) publicaties op internet gelden deze uitzonderingen echter niet. De Wbp biedt geen ruimte aan verantwoordelijken voor publicaties op internet om te volstaan met het bijhouden van een apart lijstje van gegevens die kennelijk incorrect zijn. Als de genoemde persoonsgegevens in een bijdrage feitelijk onjuist of bovenmatig zijn aan het gestelde doel, is de publicatie onrechtmatig en moet de bijdrage worden verwijderd.

Beschuldiging van oplichterij

In een discussieforum over oplichterij wordt mevrouw X beschuldigd door meneer Y van het toesturen van een baksteen in plaats van de beloofde digitale camera. Mevrouw X wordt met naam en toenaam beschreven, inclusief haar vermeende adres, bankrekeningnummer, IP-adres en verwijzingen naar andere beschuldigingen. Mevrouw X blijkt echter verwisseld te zijn met een andere persoon met dezelfde achternaam en voorletter. Ze wil dat alle postings over haar onmiddellijk verwijderd worden van het forum. Is meneer Y dan verantwoordelijk voor die uitlating en moet mevrouw X zich dus tot meneer Y wenden voor correctie of verwijdering? Nee, in termen van de Wbp is de houder van het forum verantwoordelijk voor de persoonsgegevens op het forum. Mevrouw X kan zich in dit geval tot de forumbeheerder wenden om haar persoonsgegevens gecorrigeerd of verwijderd te krijgen. De beheerder van het forum kan een dergelijk verzoek alleen weigeren als hij kan aantonen dat met de publicatie een belang wordt gediend dat groter is dan het recht op bescherming van de persoonlijke levenssfeer van mevrouw X, bijvoorbeeld omdat hij kan aantonen dat er géén sprake is van persoonsverwisseling. De forumbeheerder mag het verzoek niet weigeren met een verwijzing naar een bepaling in de algemene voorwaarden dat bijdragen nooit verwijderd worden. Een dergelijke algemene bepaling is in strijd met de Wbp, omdat er geen individuele belangenafweging aan ten grondslag ligt. De beheerder mag evenmin volstaan met het toevoegen van het weerwoord van mevrouw X aan de lopende discussie.

Is de publicatie gericht op min of meer objectieve informatieverzameling en verstrekking? Bij dit criterium telt niet alleen de publicatie zelf, maar ook de aard van de reacties als het om een interactieve publicatie gaat. Om in aanmerking te komen voor de journalistieke exceptie is van belang of er onderscheid wordt gemaakt tussen feiten, beweringen en meningen, zoals de Raad voor de Journalistiek ook vaststelt in zijn Leidraad.92 Of een publicatie met reactiemogelijkheid of discussieforum zich kan beroepen op de journalistieke exceptie, hangt mede af van de kwaliteit van de moderatie van reacties van bezoekers. Kan iedere bezoeker van de website vrijuit bijdragen toevoegen die evident schadelijk zijn voor derden, of vindt er controle plaats op de reacties?

Of een publicist betaald wordt voor zijn publicatie, is niet wezenlijk voor het bepalen van de reikwijdte van de journalistieke exceptie. Het is slechts aan weinigen gegeven om geld te verdienen met een (zelfstandige) publicatie op internet, terwijl met de publicatie wel een groot maatschappelijk belang gediend kan zijn. Beoordeeld wordt of het een regelmatige activiteit betreft. Een weblog met een paar verouderde bijdragen kan zich minder snel beroepen op de journalistieke exceptie dan een publicatie waarop regelmatig nieuwe bijdrages verschijnen.

Vrij debat over maatschappelijke onderwerpen is van algemeen belang. Uitingen van activisten of belangenorganisaties waarin persoonsgegevens worden verwerkt, kunnen van grote waarde zijn om ernstige misdrijven en misdragingen aan het licht te brengen, om de openbare veiligheid en gezondheid te beschermen en misleiding te voorkomen van het publiek door handelingen en uitspraken van personen of organisaties. Daaruit vloeit evenwel niet voort dat elke dergelijke publicatie van persoonsgegevens op internet een louter journalistiek doeleinde dient.

Of het bij een publicatie van persoonsgegevens gaat om een verwerking voor uitsluitend journalistieke doeleinden, hangt mede af van de overige drie beoordelingscriteria en de hoedanigheid van personen over wie persoonsgegevens worden gepubliceerd. Als een publicatie bijvoorbeeld misdragingen bekendmaakt van een volksvertegenwoordiger of directeur van een bekend of groot bedrijf en de publicatie gebaseerd is op voldoende documentatie om aannemelijk te zijn, dient de publicatie allicht een algemeen maatschappelijk belang. Als een publicatie daarentegen gedetailleerd het privéleven blootlegt van een onbekende persoon, wiens gedragingen niet van invloed zijn op het functioneren van de maatschappij, valt een algemeen belang niet snel te construeren.

Om in aanmerking te komen voor de journalistieke exceptie dient er tenslotte een recht van repliek te zijn.93 Dat recht houdt in dat betrokkenen een recht van antwoord of rectificatie achteraf hebben van onjuiste informatie, juist omdat de rechten op inzage of correctie niet van toepassing zijn op uitingen met een uitsluitend journalistiek, artistiek of literair doeleinde.

Volgens de aanbeveling van de Raad van Europa heeft iedere betrokkene het recht om (kosteloos) te reageren op onjuiste feiten over hem of haar in de media, voor zover die feiten zijn of haar persoonlijke rechten aantasten.94 De reactie moet een vergelijkbaar prominente plaats krijgen in de publicatie als de oorspronkelijke uiting. De aanbeveling kent een aantal uitzonderingen op de verplichting om de repliek te publiceren; als de repliek veel langer is dan nodig of inhoudelijk niet beperkt tot verbetering van de betwiste feiten. Het recht is ook niet van toepassing als de betrokkene geen geldig belang heeft bij de repliek of als de repliek in een andere taal is gesteld dan de oorspronkelijke publicatie.

Bij de beoordeling of een publicatie onder de journalistieke exceptie valt, dient zwaar mee te wegen of er een recht van repliek is, dan wel anderszins wordt voorzien in een adequaat mechanisme om onjuiste, onvolledige of overbodige persoonsgegevens achteraf te verbeteren of te verwijderen. Het recht van repliek is een laagdrempelige invulling van de journalistieke rectificatienorm95, die recht doet aan het belang om de journalistieke vrijheid niet op voorhand te beknotten door alle regels uit de Wbp van toepassing te verklaren.

Als betrokkenen echter geen mogelijkheid hebben om achteraf, na publicatie op internet, commentaar te leveren op persoonsgegevens over hen die evident onjuist zijn, kan niet worden aangenomen dat de publicatie een uitsluitend journalistiek doeleinde dient. In dat geval zijn dus alle verplichtingen uit de Wbp van toepassing. De verantwoordelijke voor een niet-journalistieke publicatie kan niet volstaan met het toevoegen van een opmerking van een betrokkene dat gegevens onjuist zijn; hij moet de betreffende persoonsgegevens verwijderen of verbeteren (Zie hoofdstuk II, paragraaf 9.1).

Als een verantwoordelijke zich niet houdt aan het bepaalde in de Wbp, kan een betrokkene de rechter vragen om hem een schadevergoeding toe te kennen (artikel 49 Wbp) of om een verbod op te leggen op het verder verwerken van bepaalde persoonsgegevens (artikel 50 Wbp).

De Wbp biedt betrokkenen daarnaast in een aantal specifieke gevallen (onder andere bij weigering van inzage in persoonsgegevens en bij weigering van een verzoek tot verbetering, aanvulling of verwijdering van gegevens) de laagdrempelige mogelijkheid een verzoekschrift in te dienen bij de rechtbank, mits de verantwoordelijke een bedrijf of een burger is. Als de verantwoordelijke echter een bestuursorgaan is, zijn de bezwaar- en beroepsregels uit de Algemene wet bestuursrecht van toepassing.

Publicaties die in strijd zijn met een of meer bepalingen uit de Wbp zijn mogelijk ook onrechtmatig op andere gronden. Een betrokkene heeft in dergelijke gevallen, naast de mogelijkheden van de Wbp, nog een aantal andere mogelijkheden om zijn recht te halen. Een betrokkene kan een verantwoordelijke bijvoorbeeld voor de rechter dagen op grond van een onrechtmatige daad (artikel 6:162 Burgerlijk Wetboek). Via een dergelijke civiele procedure kan een betrokkene staking van de publicatie vorderen, evenals verwijdering van gegevens, vergoeding van materiële en immateriële schade en vergoeding van proceskosten. De betrokkene kan de rechter vragen om aan de veroordeling een dwangsom te verbinden. Ook kan sprake zijn van overtredingen van andere specifieke wetgeving, zoals auteursrecht, portretrecht en databankenrecht. Een ander risico voor een verantwoordelijke die onzorgvuldig omgaat met persoonsgegevens is dat een betrokkene aangifte doet wegens smaad, laster of andere strafbare uitingen zoals racistische uitingen, opruiing en uitingen die in strijd zijn met de openbare orde of de goede zeden.

Het CBP kan bemiddelen bij geschillen over onder andere het verkrijgen van inzage in persoonsgegevens en het verbeteren, aanvullen, verwijderen of afschermen van persoonsgegevens (artikel 47 Wbp). Ook kan het CBP op grond van een klacht van een belanghebbende of op eigen initiatief een onderzoek instellen naar de naleving van de Wbp (artikel 60 Wbp).

Daarbij kan het CBP zijn toezichthoudende bevoegdheden inzetten108, waarbij een verantwoordelijke verplicht is alle gevraagde medewerking te verlenen. Het CBP kan inlichtingen vorderen, inzage vorderen in zakelijke gegevens, zaken en middelen onderzoeken (waaronder computerapparatuur) en mag ruimtes betreden, waaronder ook woningen109.

Het aantal aangedragen zaken en de complexiteit daarvan neemt echter voortdurend toe, terwijl de middelen die het CBP ter beschikking staan begrensd zijn. Het CBP kan derhalve niet alle zaken die worden aangebracht in behandeling nemen en moet keuzes maken. Bij klachten gebeurt dit aan de hand van criteria zoals de ernst van de overtreding, de mate van concreetheid van de aanwijzingen, een inschatting van de juridische haalbaarheid en de door het CBP te investeren capaciteit en menskracht, maar vooral ook de verwachting over de potentiële preventieve werking die van handhaving in een specifiek geval zal uitgaan.110

Indien de Wbp niet wordt nageleefd kan het CBP bestuursdwang toepassen. Onder bestuursdwang wordt verstaan het met feitelijk handelen optreden door een bestuursorgaan tegen een illegale situatie, doorgaans op kosten van de overtreder. Ook kan het CBP een last onder dwangsom opleggen. Een last onder dwangsom kan bijvoorbeeld inhouden dat een verantwoordelijke een gegevensverwerking moet aanpassen of staken op straffe van een dwangsom van een bepaald bedrag per dag. Als de verantwoordelijke niet voldoet aan de last, kan het te betalen geldbedrag fors oplopen, tot een vooraf vastgesteld maximumbedrag.

Een verantwoordelijke riskeert ten slotte ook nog strafrechtelijke sancties, onder meer voor overtreding van de meldingsplicht (artikel 27 en 28 jo. 75 Wbp).

Het CBP werkt bij onderzoek naar overtredingen van de Wbp op internet samen met collega-toezichthouders uit andere landen binnen en buiten de EU. De toezichthouders binnen de Europese Unie zijn wettelijk verplicht om elkaar desgevraagd bijstand en medewerking te verlenen, voor zover dat noodzakelijk is voor de uitvoering van onderzoeken naar publicaties op internet die door hen worden behandeld.