Delen
Per 25 mei 2018 treedt de Algemene Verordening Gegevensverwerking (AVG) in werking. In de komende periode besteedt Capra Advocaten hier extra aandacht aan. Als eerste onderwerp: het recht op vergetelheid. Dit recht houdt in dat persoonsgegevens op verzoek worden gewist. Suzanne van Loon en Sanne Dassen schreven eerder artikelen over dit onderwerp.
Verzoek om persoonsgegevens te wissen kan nu ook al
Ook voor de sector onderwijs geldt dit recht op vergetelheid: personeel, ouders, leerlingen (vanaf 16 jaar), studenten, stagiair(e)s kunnen verzoeken om persoonsgegevens te wissen die op hen betrekking hebben (artikel 17 AVG). Dat kan nu ook al. De basis hiervoor is gelegen in artikel 36 Wet bescherming persoonsgegevens (Wbp).
Raad van State boog zich in 2010 over een verzoek om verwijdering van gegevens
In een uitspraak van 8 september 2010 heeft de Afdeling Bestuursrechtspraak van de Raad van State (ABRvS) zich moeten buigen over een dergelijk verzoek tot verwijdering van persoonsgegevens uit een artikel dat opgenomen was op de website van de Universiteit Groningen. Aan twee aspecten van de zaak besteed ik hier aandacht.
Wie kan als ‘verantwoordelijke’ worden aangemerkt?
Het eerste betreft de vraag of het College van Bestuur van de Universiteit aan wie het verzoek was gericht, als ‘verantwoordelijke’ kon worden aangemerkt. Voor het antwoord op deze vraag moeten zowel formeel-juridische als materiële aspecten worden beoordeeld. De uitkomst is afhankelijk van de omstandigheden van het geval.
Zelf beschouwde het College zich niet als ‘verantwoordelijke’ omdat de inhoud van de website werd bepaald door de Stichting Universiteitsblad. Het College verwees betrokkene dan ook naar de Stichting. Na onderzoek van de formeel-juridische zeggenschap over de verwerking van de persoonsgegevens oordeelde de Afdeling echter dat het College wel degelijk als verantwoordelijke aangemerkt moest worden. Artikel 1 Wbp dat de definitie van ‘verantwoordelijke’ beschrijft als “de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt” doelt volgens de Afdeling namelijk op die formeel-juridische zeggenschap. Deze zeggenschap berustte bij het College nu het College directe invloed had op de samenstelling van het bestuur en de redactieraad van de Stichting, de Universiteit hosting provider was van de website en de domeinnaam waarop de persoonsgegevens waren verwerkt eigendom was van de Universiteit. Uit de uitspraak is af te leiden dat de gegevens waren verwerkt in een journalistieke bijdrage. Aan die bijdrage zelf had het College niet meegewerkt.
Het voorgaande brengt dan ook mee dat een verzoek om persoonsgegevens te wissen ten minste vereist dat nagegaan wordt wie of welk orgaan de verantwoordelijke is, dat hierbij alle omstandigheden van het geval moeten worden betrokken, en door wie of door welk orgaan een beslissing moet worden genomen. Dat deze persoon of dit orgaan misschien niets van doen heeft met de inhoud van de publicatie is daarbij niet (altijd) relevant. Eén en ander geldt ook voor de ‘schoolkrant’, ‘nieuwsbrief’, of ander informatieblad dat onder verantwoordelijkheid van een onderwijsinstelling/school wordt gepubliceerd. De AVG brengt hierin geen verandering.
Uitzondering in Wbp voor journalistieke doeleinden
Het tweede aspect betreft de inhoud van het verzoek zelf. De rechtbank had het verzoek opgevat als een verzoek op grond van artikel 36 Wbp. Betrokkene zag dit anders en stelde dat de verwerking van zijn persoonsgegevens veel breder moest worden bezien en baseerde zich daarbij op ‘enige’ bepalingen van de Wbp, de privacyrichtlijn en artikel 8 EVRM. Hij verzocht het met deze bepalingen strijdige gebruik van zijn persoonsgegevens te beëindigen. Het College van Bestuur verweerde zich onder meer met de verwijzing naar artikel 3 Wbp waarin expliciet is bepaald dat de Wbp niet geldt voor gevallen waarin sprake is van verwerking voor “uitsluitend journalistieke, artistieke of literaire doeleinden”. In dit geval betrof het een artikel in het Universiteitsblad waaraan betrokkene overigens zijn medewerking had verleend. In haar oordeel weegt de Afdeling het belang af van een betrouwbaar en representatief archief (van de Universiteitskrant, neem ik aan) en dat van de vrijheid van meningsuiting, tegen het belang van betrokkene op de bescherming van zijn persoonlijke levenssfeer. Nu de mededelingen over betrokkene beperkt van aard waren en met zijn instemming zijn gedaan, slaat die afweging door in het voordeel van het College.
Ook de AVG biedt mogelijkheid voor uitzonderingen voor verwerking persoonlijke gegevens voor journalistieke en andere doelen
De AVG kent geen bepaling die precies overeenkomt met artikel 3 Wbp. Wel biedt artikel 85, lid 2 AVG de mogelijkheid om voor de verwerking voor journalistieke doelen, en voor academische, literaire of artistieke uitdrukkingsvormen uitzonderingen op de verordening vast te stellen. Van die mogelijkheid zal in de Uitvoeringswet gebruik worden gemaakt. Zodra hier meer over bekend is, zal Capra u nader informeren.
Recht op vergetelheid kan ruimer werken
Uit de AVG volgt verder dat het uitoefenen van het recht op vergetelheid meebrengt dat niet volstaan kan worden om alleen persoonsgegevens in de ‘eigen’ publicaties en eventuele andere bronnen van de onderwijsinstelling te wissen. Onder bepaalde omstandigheden moet het verzoek ook worden doorgegeven aan partijen (lees: verwerkingsverantwoordelijken) onder wie de persoonsgegevens zijn verspreid.