Vrijdag 1 november 2013

Geautomatiseerde verwerking van persoonsgegevens

In de huidige maatschappij speelt informatie een grote rol. Een deel van deze informatie is persoonlijke informatie. Veel van deze informatie wordt door onszelf verschaft aan overheden, bedrijven en instellingen, veelal omdat anders het product of de dienst niet geleverd wordt. Het verschaffen van persoonlijke informatie is dus soms een verplichting en moet om die reden beschermd worden tegen oneigenlijk gebruik. De Wet bescherming persoonsgegevens (Wbp) regelt de voorwaarden waaronder andere (rechts)personen gebruik mogen maken van die persoonsgegevens. Het recht tot inzage in de persoonsgegevens van jezelf en, indien deze gegevens niet blijken te kloppen, een correctierecht is vastgelegd in artikel 10 van de Grondwet en is nader geregeld in de Wbp. (Zie artikelen 35 en 36 van de Wet bescherming persoonsgegevens) Dit kan van belang zijn in geval er benadeling plaats vindt op grond van onjuiste gegevens, bijvoorbeeld doordat een energieleverancier op basis van bepaalde gegevens heeft geregistreerd dat je een betalingsrisico vormt.

Wel moet, alvorens om inzage verzocht kan worden, eerst vastgesteld worden of de Wbp van toepassing is. Er moet dan in ieder geval sprake zijn van verwerking van persoonsgegevens. Als de Wbp op een bepaalde verwerking van persoonsgegevens van toepassing is, is daarmee ook het beschermingsregime van die wet van toepassing en kunnen de rechten die volgen uit die wet worden ingeroepen door de persoon wiens persoonsgegevens worden gebruikt.

Er wordt echter door nationale rechters en het Hof van Justitie van de Europese Unie verschillend gedacht over de vraag wanneer digitale verwerking van persoonsgegevens onder het bereik van de Wbp valt. Dit geldt eveneens voor de vraag wanneer de voorwaarde dat deze gegevens bestemd moeten zijn om in een bestand te worden opgenomen daarbij betrokken moet worden.

Toepassingsbereik Wbp

Artikel 2 van de Wbp bepaalt het materiële toepassingsbereik van de Wet: “Deze wet is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.” Anders gezegd is de Wbp van toepassing op iedere geautomatiseerde verwerking van gegevens (digitalisering). Indien gegevens niet geautomatiseerd worden verwerkt (handmatig) moeten ze bestemd zijn om in een bestand te worden opgenomen. Een bestand is een gestructureerd of samenhangend geheel wat systematisch ontsloten kan worden waarin zich gegevens van verschillende personen bevinden.

Nationale rechtspraak

De Rechtbank Rotterdam is, gelet op haar uitspraak van 29 augustus 2013, echter van oordeel dat de Wbp niet van toepassing is op de digitaal verwerkte persoonsgegevens welke geen onderdeel uitmaken van een bestand in de zin van de Wbp (Zie voor de definitie van ‘bestand’ artikel 1, onder c van de Wbp). De rechtbank verwijst daarbij naar een uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (hierna: de Afdeling) van 30 januari 2013. Daarin heeft de Afdeling bepaald dat de eis dat gegevens in een bestand moeten zijn opgenomen of daarvoor bestemd moeten zijn geldt voor iedere verwerking van persoonsgegevens. Dit betekent dat het onderscheid in geautomatiseerde en niet-geautomatiseerde verwerking van persoonsgegevens niet meer gemaakt wordt in de Nederlandse rechtspraak. Ook bij geautomatiseerde of digitale verwerking moet er volgens de Afdeling dus sprake zijn van een bestand in de zin van artikel 1, onder c van de Wbp.

De Afdeling heeft verwezen naar pagina’s 53 en 54 van de memorie van toelichting van de Wbp, welke pagina’s handelen over het bestandbegrip.  De Afdeling heeft deze pagina’s uit z’n verband gehaald en niet gelezen als onderdeel van het grotere geheel. Op pagina 51 van de memorie van toelichting staat immers vermeld dat het bestandbegrip slechts van toepassing is ten aanzien van de niet geautomatiseerde verwerkingen. Gelet op de memorie van toelichting, de hierna te bespreken Privacyrichtlijn en jurisprudentie van het Europese Hof van Justitie daarover kan deze nationale rechtspraak dan ook geen stand kan houden.

Internationaal bezien

Omdat de Wbp is gebaseerd op de Europese privacyrichtlijn (Richtlijn 95/46/EG), en artikel 2 van de Wbp nagenoeg hetzelfde luidt als artikel 3 van de Richtlijn, dient voor toepassing van de Wbp ook gekeken te worden naar arresten van het Hof van Justitie van de Europese Unie.

De meest bekende zaak op dit gebied is het arrest Lindqvist van het Hof van Justitie van de Europese Unie (6 november 2003, zaak nr. C-101/01). In deze zaak werd door een vrijwilliger van een kerkelijke gemeente persoonlijke informatie over andere vrijwilligers op een website geplaatst (niet zijnde een bestand!). Het Hof maakt in dit arrest duidelijk dat de Richtlijn ook geldt voor verwerking van persoonsgegevens met niet-commerciële doeleinden. In rechtsoverwegingen 25 tot en met 27 stelt het Hof vast dat het vermelden van de persoonsgegevens op een internetpagina een gedeeltelijk geautomatiseerde verwerking daarvan is in de zin van artikel 3, eerste lid van de Richtlijn. In het arrest kwam de voorwaarde dat de verwerking moet geschieden door opname van de gegevens in een bestand niet ter sprake.

In het arrest Satamedia van het Europese Hof (16 december 2008, zaaknr. C-73/07) speelde het volgende. Markkinapörssi verzamelde al jaren openbare gegevens bij de Finse belastingautoriteiten met als doel deze te publiceren in een krant. Ook heeft Markkinapörssi deze gegevens op een cd-rom aan Satamedia overhandigd om te publiceren door middel van een sms-dienst. Naar aanleiding van de vraag of in dit geval sprake is van verwerking van persoonsgegevens in de zin van artikel 3, lid 1, van richtlijn 95/46/EG bepaalt het Hof eerst in rechtsoverweging 35 en 36 dat het gaat om persoonsgegevens. Vervolgens constateert het Hof, op basis van artikel 2, sub b van de Richtlijn, dat het tevens gaat om een verwerking daarvan. Het Hof concludeert in rechtsoverweging 37 dat deze verwerking van persoonsgegevens, dus de geautomatiseerde verwerking door een sms-dienst, reeds daarom valt onder artikel 3 van de Richtlijn. Ook in dit arrest komt de voorwaarde dat de gegevens moeten zijn opgenomen in een bestand niet naar voren.

Uit bovenstaande arresten is af te leiden dat geautomatiseerde verwerking van persoonsgegevens valt onder de richtlijn. Er worden dan geen aanvullende voorwaarden gesteld. Dit blijkt ook uit de preambule van de richtlijn onder nummer 15, waarin staat dat verwerkingen onder de richtlijn vallen als zij geautomatiseerd zijn of als de gegevens opgeslagen (zullen) worden in een bestand.

Tot slot wordt in dit kader gewezen op het arrest Heinz Huber (16 september 2008, zaaknr. C-524/06). In rechtsoverwegingen 50-52 wordt verwezen naar nummer 8 van de considerans waarin is vermeld dat het doel van de richtlijn is om ten aanzien van verwerking van persoonsgegevens gelijkwaardige bescherming in de EU te waarborgen. Nationale wetgeving mag niet tot een verzwakking van de door de richtlijn geboden bescherming leiden. Het is in het kader van volledige harmonisatie dan ook van belang dat de richtlijn eenduidig wordt uitgelegd, hetgeen het Hof daarna dan ook doet voor het begrip ‘noodzakelijkheid’. Nu de considerans van de richtlijn betrekking heeft op het beschermingsniveau, kan dit arrest analoog worden toegepast op de uitleg van geautomatiseerde verwerking. Op grond hiervan wordt geconcludeerd dat de uitleg van artikel 2 van de Wbp volgens de regels van het Hof moet gebeuren. Het bestandbegrip komt daarbij dus niet aan de orde.

Conclusie

De Wbp heeft tot doel de Europese privacyrichtlijn te implementeren en zal daarom ook in die geest moeten worden uitgelegd. In de hiervoor besproken nationale rechtspraak wordt het toepassingsbereik van de Wbp te beperkt uitgelegd en daardoor wordt het beschermingsniveau van onze persoonsgegevens onnodig aangetast. Op het moment dat de Wbp en dat beschermingsregime niet van toepassing wordt geacht door de nationale rechters, worden de mogelijkheden om het grondwettelijk inzage- en correctierecht te verwezenlijken weggenomen. De nationale rechtspraak op dit punt kan dan ook geen stand houden omdat dit onverenigbaar is met de Privacyrichtlijn en de rechtspraak van het Europese Hof van Justitie. Kortom, het toepassingsbereik van de Wet bescherming persoonsgegevens betreft alle (gedeeltelijk) geautomatiseerde verwerking van persoonsgegevens, zonder dat dit moet voldoen aan het bestandbegrip.

Bronnen