Persoonsgegevens op Internet

mime-version: 1.0 date: Thu, 27 May 2010 14:55:48 +0200 content-transfer-encoding: quoted-printable content-location: http://www.uu.nl/uupublish/content/PersoonsgegevensopInternet.htm x-mimeole: Produced By Microsoft MimeOLE V6.00.2900.3350 from: subject: Persoonsgegevens op Internet content-type: text/html; charset="iso-8859-1" Persoonsgegevens op Internet

Afl.=20 2004/12=20

Persoonsgegevens op Internet

een (ver)melding waard?

De uitspraak van het Hof van Justitie in de zaak Lindqvist komt er o= p neer=20 dat iedereen die informatie met persoonsgegevens op internet zet, dat eers= t moet=20 melden bij een bevoegde autoriteit. Dat strookt niet met de grondwettelijk= =20 beschermde vrijheid van meningsuiting.

Jan-Hagel en z'n mallemoer is tegenwoordig op Internet te vinden. Over = ieder=20 denkbaar en ondenkbaar onderwerp is informatie beschikbaar, van wisselende= =20 kwaliteit natuurlijk. Ook allerlei al dan niet interessante wetenswaardigh= eden=20 met betrekking tot bekende en onbekende mensen.¹ Mag dat nou zomaar, gegevens van mensen via interne= t aan=20 (potentieel) de hele wereld bekend maken? November vorig jaar heeft het Eu= ropese=20 Hof van Justitie zich over deze vraag uitgesproken, in de zaak Lindqvist.<= SUP>2
Bodil Lindqvist is een Zweedse mevrouw, die cate= chisatie=20 gaf aan aspirant-leden van de Aldesa kerkgemeente. In het kader van een do= or=20 haar gevolgde computercursus had ze een website op internet gemaakt,^{<=
A=20
href=3D"http://www.njb.nl/showdocArtikel.jsp?dockey=3D..%2F..%2F..%2Flive%=
2FCONTENT%2FNJB2006%2Fmem%2Farchief%2Fart30412.html%40NJB2006_HTML_LIVE&am=
p;query=3DVdkVgwKey+%3CCONTAINS%3E+%22%2Fmem%2Farchief%2Fart*%22+%3CAND%3E=
+auteur+%3CCONTAINS%3E%22Linden%22#NOOT-3">3} zodat gemeenteleden die hun belijdenis wilden doen,= =20 gemakkelijk de door hen benodigde informatie konden vinden. Om de vindbaar= heid=20 van haar site te vergroten had mevrouw Lindqvist de webmaster van de=20 overkoepelende Zweedse kerkgemeenschap gevraagd een link naar de Aldesa=20 kerkgemeente op de website van de kerk van Zweden op te nemen. En zo=20 gebeurde.
De site bevatte informatie over mevrouw Lindqvist zelf en ach= ttien=20 van haar collega's, zoals namen (soms alleen voornamen), gezinssituatie,=20 telefoonnummers. In 'licht humoristische bewoordingen' werden werkzaamhede= n en=20 liefhebberijen van haar collega's beschreven, zoals bijvoorbeeld het volge= nde=20 stukje:
'Mijn naam is Mariette. Wilde Mariette? Ach, zo wild ben ik nie= t=20 meer. Maar toch nog wild genoeg om van een ladder te vallen en mijn voet t= e=20 bezeren! Dus nu ben ik voor de helft met ziekteverlof. Bah! Ik ben sinds d= rie=20 jaar in Skir=F6 werkzaam. Ik ben al de derde generatie; zowel mijn vader a= ls mijn=20 grootvader zijn koster geweest hier in onze mooie kerk.'
Zodra de recto= r van=20 de kerk laat weten problemen te hebben met de site, haalt mevrouw Lindqvis= t de=20 site van internet af. De betrokken Mariette vindt de internetpagina wel le= uk en=20 maakt geen bezwaar tegen publicatie. Ook de andere betrokkenen vinden het = niet=20 zo erg. Maar door de kerkraad wordt de zaak aan het rollen gebracht en er = wordt=20 een formele klacht ingediend tegen mevrouw Lindqvist wegens schending van = de=20 PUL.⁴ Haar wordt verweten dat zij:

persoonsgegevens geautomatiseerd had verwerkt zonder dit vooraf=20 schriftelijk aan de Datainspektion (de Zweedse autoriteit op het gebied = van=20 verwerking van persoonsgegevens) te melden;=20
zonder toestemming gevoelige persoonsgegevens, namelijk een voetbles= sure=20 en een gedeeltelijk ziekteverlof, had verwerkt;=20
zonder toestemming verwerkte persoonsgegevens naar derde landen had= =20 doorgegeven.⁵

In eerste instantie wordt mevrouw Lindq= vist=20 veroordeeld tot een boete van 4000 Zweedse kronen.⁶ In hoger beroep wordt de behandeling van de zaak ge= schorst=20 om eerst een zevental prejudici=EBle vragen aan het Europese Hof te kunnen= =20 stellen.
In dit artikel willen wij de belangrijke punten uit het arrest= van=20 het Hof bespreken, en in een breder kader plaatsen. Net als de Zweedse PUL= is=20 ook de Nederlandse Wet bescherming persoonsgegevens (Wbp) gebaseerd op ric= htlijn=20 95/46.⁷ De interpretatie die het Hof geeft aan de bepalinge= n uit de=20 richtlijn, zijn dus ook van belang voor de toepassing van de Wbp. Noch de= =20 richtlijn, noch de Wbp is geschreven voor een complexe netwerkomgeving als= het=20 internet. Richtlijn en Wbp zien meer op meer eenvoudige, overzichtelijke=20 geautomatiseerde omgevingen, zoals binnen =E9=E9n organisatie. Toepassing = van=20 richtlijn en Wbp op internet leidt tot fundamentele vragen, die nadere aan= dacht=20 verdienen. Het doel van dit artikel is om een paar van die vragen te=20 identificeren en zo een startschot te geven voor de discussie die naar onz= e=20 mening gevoerd moet worden over de toepassing van de Wbp op het internet.= =20 Achtereenvolgens zullen de volgende vier kwesties aan de orde komen:
1.= of=20 het wenselijk is om, zoals het Hof in dit arrest doet, het plaatsen van=20 persoonsgegevens op internet als een verwerking van persoonsgegevens te=20 beschouwen;
2. de reikwijdte van de richtlijn: wat valt wel en wat valt= niet=20 onder de exceptie van huishoudelijk gebruik;
3. de doorgifteproblematie= k;=20 en
4. de vraag of de exceptie voor journalistieke doeleinden niet ook v= oor=20 sommige publicaties op Internet zou moeten gelden.

1 Het plaatsen van persoonsgegevens op internet is een verwerking
<= /H3>
Er is pas sprake van persoonsgegevens wanneer de gegevens in kwestie=20 gemakkelijk, zonder enorme inspanning, herleidbaar zijn naar natuurlijke l= evende=20 personen. Bij een papieren dossier (verwerking) is het van belang dat er=20 samenhang bestaat tussen de gegevens en dat deze systematisch toegankelijk= zijn=20 (bestand). Bij een kast vol met losse velletjes met persoonsgegevens kan m= en=20 niet spreken van een verwerking van persoonsgegevens in de zin van de Wbp = omdat=20 iemand bijzonder moeilijk zal zijn te vinden. In dat laatste geval maken d= e=20 persoonsgegevens geen onderdeel uit van een gestructureerd geheel. Artikel= 3 van=20 de richtlijn en artikel 2 van de Wbp bepalen dat richtlijn resp. Wbp onder= meer=20 van toepassing zijn op: 'de geheel of gedeeltelijk geautomatiseerde verwer= king=20 van persoonsgegevens'.⁸
Zowel de richtlijn als de Wbp zien op methoden v= an=20 gegevensverwerking.
De veronderstelling die hieraan ten grondslag ligt = is dat=20 bij een geautomatiseerde verwerking een doeltreffende raadpleging mogelijk= is,=20 met andere woorden, dat de gegevens gemakkelijk ontsluitbaar zijn,⁹waarbij het vereiste van gestructureerdheid voldoend= e=20 afgedekt wordt geacht door het automatiseringsvereiste.Voor de situaties w= aar=20 richtlijn en Wbp op zien, namelijk gegevensverwerkingen binnen en evt. tus= sen=20 organisaties waarbij we veelal te maken hebben met gesloten of voldoende=20 afgebakende domeinen, is de veronderstelling zeker aanvaardbaar. In die ge= vallen=20 is het vaak ook duidelijk wie verantwoordelijk is voor de betreffende verw= erking=20 en hier dus ook invloed op kan uitoefenen.
Maar een kenmerk van het int= ernet=20 is nou juist dat informatie vaak helemaal niet gemakkelijk ontsluitbaar is= . Het=20 vinden van informatie op internet is een vak apart door de overload aan=20 beschikbare gegevens. De meeste zoekmachines bestrijken veel minder dan de= helft=20 van het internet, en dan nog moet een site hoog in de ranking staan om dir= ect=20 gevonden te worden. Vervolgens kan een site dusdanig chaotisch zijn opgebo= uwd=20 dat ook daar naar de specifieke informatie zal moeten worden gezocht. En o= m=20 associatief, al surfend van link naar link, informatie te zoeken is een me= thode=20 die erg van het toeval van goede links afhankelijk is, en daarom erg=20 onbetrouwbaar is. Daar komt nog bij dat voor het zoeken van informatie vaa= k een=20 behoorlijke dosis domeinkennis noodzakelijk is.
Of een verwerking al da= n niet=20 geautomatiseerd is wordt in de richtlijn en in de Wbp gerelateerd aan het = medium=20 (i.c. een computer) en de handelingen die worden verricht, zodat het plaat= sen=20 van persoonsgegevens op internet per definitie een geheel of gedeeltelijk= =20 geautomatiseerde verwerking in de zin van richtlijn en Wbp is.
Onder de= Wbp=20 betekent gedeeltelijk geautomatiseerd dat er een relatie bestaat tussen ee= n=20 niet-geautomatiseerd bestand en een geautomatiseerd bestand; de richtlijn = is=20 hier niet duidelijk in. Bepaalde gegevens in een papieren dossier kunnen=20 verwijzen naar gegevens op een computer. Het gaat dan om een gedeeltelijk= =20 geautomatiseerde verwerking. Het al dan niet gedeeltelijk geautomatiseerd = zijn=20 ziet echter niet op de procedures bij uploaden.¹⁰ Het Hof lijkt angstvallig te proberen om internet = als ten=20 minste iets gedeeltelijk geautomatiseerd te kwalificeren terwijl het nu ju= ist=20 voorbij gaat aan de daadwerkelijke kenmerken van een geautomatiseerde=20 verwerking. Uploaden is in het kader van een geheel geautomatiseerde verwe= rking=20 dan wel een verwerkingshandeling, maar zegt nog niets over de verwerking a= ls=20 zodanig; het eindresultaat is hetgeen we op internet kunnen bekijken.
H= et Hof=20 komt dus tot de conclusie dat 'het vermelden van verschillende personen op= een=20 internetpagina met hun naam of anderszins, bijvoorbeeld met hun telefoonnu= mmer=20 en informatie over hun werksituatie en hun liefhebberijen, als een geheel = of=20 gedeeltelijk geautomatiseerde verwerking van persoonsgegevens in de zin va= n=20 artikel 3, lid 1, van richtlijn 95/46 is aan te merken'. En bovendien dat = 'de=20 vermelding van het feit dat iemand zijn voet heeft bezeerd en met gedeelte= lijk=20 ziekteverlof is, een persoonsgegeven betreffende de gezondheid in de zin v= an=20 artikel 8, lid 1, van richtlijn 95/46 is'.¹¹
Dit is een goed voorbeeld van een regel die doo= r de=20 veranderde technische mogelijkheden achterhaald is. Omdat de achterliggend= e=20 veronderstelling (nl. gemakkelijke ontsluitbaarheid) voor een nieuwe techn= iek=20 (nl. het internet) niet meer opgaat, leidt de recht-toe-recht-aan toepassi= ng van=20 die regel (nl. de verwerking gebeurt met behulp van een computer dus is er= =20 sprake van geautomatiseerde verwerking waar de privacy-regels van richtlij= n en=20 Wbp op van toepassing zijn) tot, naar onze mening, ongewenste gevolgen (nl= .=20 oprekking van het toepassingsbereik van de privacy-regels).¹²
Naar onze mening zou de rechter de toepasselijk= heid van=20 de richtlijn (en de Wbp) aldus moeten interpreteren, dat alleen persoonsge= gevens=20 die ook re=EBel gesproken gevonden kunnen worden (en hoe hoog de lat dan g= elegd=20 moet worden is natuurlijk de vraag) onder het bereik van de privacy-regels= =20 zouden moeten vallen.
In casu had mevrouw Lindqvist terecht aangevoerd = dat het niet aannemelijk is dat de loutere vermelding van iemands naam of van= =20 persoonsgegevens in een tekst op een internetpagina een geautomatiseerde=20 verwerking is. Slechts bij indexering in een zoekmachine door middel van=20 keywords zou wel sprake kunnen zijn van een geautomatiseerde verwerking.13 Wat in haar nadeel werkt (maar wat verder niet ter= sprake=20 komt omdat meteen geautomatiseerde verwerking aangenomen wordt) is het fei= t dat=20 op de website van de overkoepelende Zweedse kerk een link naar haar site=20 staat.

2 Geen huishoudelijk gebruik

Voordat de huishoudelijke exceptie aan de orde kan komen dient men zich= eerst=20 af te vragen of Lindqvist, die als particulier voor haar hobby een paar=20 internetpagina's cre=EBert (vrijheid van meningsuiting) en derhalve geen=20 economische activiteit uitoefent, =FCberhaupt wel onder het gemeenschapsre= cht=20 valt. De EFTA is bijvoorbeeld van mening dat hier een principe-onderscheid= dient=20 te worden gemaakt tussen niet-economische en economische doeleinden - ande= rs zou=20 zelfs de site van het Hof strijdig met de richtlijn zijn. Het Hof heeft te= r zake=20 van richtlijn 95/46, die op het belangrijke artikel 100 A van het Verdrag = is=20 gebaseerd, reeds beslist in het =D6sterreichiser Rundfunk-arrest dat voor = een=20 beroep op die rechtsgrondslag niet vereist is, dat in elke situatie die va= lt=20 onder een op deze grondslag gebaseerde handeling een daadwerkelijk verband= met=20 het vrije verkeer tussen lidstaten bestaat.¹⁴ De Richtlijn is dan ook gewoon van toepassing.
= Artikel=20 3 lid 2 van de richtlijn sluit verwerking van persoonsgegevens voor uitslu= itend=20 persoonlijke of huishoudelijke doeleinden uit van de werking van de=20 privacy-regels. De uitwerking van dit artikel vinden we in artikel 2 Wbp. = Uit de=20 Memorie van Toelichting bij het 2e lid van artikel 2 Wbp kunnen we opmaken= dat=20 onderdeel a een uitzondering bevat voor gegevensverwerkingen die naar hun = aard=20 voor persoonlijk of huiselijk gebruik bestemd zijn. Criterium is dus de aa= rd en=20 niet het medium. Hierbij dient men er wel rekening mee te houden dat voor = de=20 aanname van persoonlijk gebruik geen eigenhandige verwerking noodzakelijk = is en=20 de grens in beginsel getrokken dient te worden bij gebruik van de gegevens= door=20 meerdere personen.
Het Hof constateert dat de exceptie 'uitsluitend=20 betrekking heeft op activiteiten die tot het persoonlijke of gezinsleven v= an=20 particulieren behoren, hetgeen klaarblijkelijk niet het geval is met de=20 verwerking van persoonsgegevens die bestaat in hun openbaarmaking op inter= net=20 waardoor die gegevens voor een onbepaald aantal personen toegankelijk word= en=20 gemaakt'.
De zogenaamde huishoudexceptie wordt door het Hof verworpen o= p=20 grond van het feit dat persoonsgegevens welke worden geplaatst op internet= =20 beschikbaar worden gesteld voor een ongedefinieerd aantal mensen. Dit zou = anders=20 zijn wanneer deze informatie alleen toegankelijk zou zijn voor bijvoorbeel= d een=20 kleine groep familieleden. Anderzijds zou je deze redenering kunnen doortr= ekken=20 en stellen dat het gebruik van een toegangscode het criterium van een onbe= paald=20 grote groep mensen zou kunnen doorbreken. Overigens wordt niet echt ingega= an op=20 de aard van de gegevensverwerking. Bij het aannemen van het =E9=E9n verval= t=20 klaarblijkelijk het andere.
Waar ligt de grens bij persoonlijk gebruik?= Ook=20 hier weer het probleem dat niet bekend is of deze informatie inderdaad aan= een=20 grote groep mensen ter beschikking is gesteld. De informatie was ondergebr= acht=20 op een website in Zweden en bestemd voor een exclusieve doelgroep, maar=20 eigenlijk was het een priv=E9-experiment van mevrouw Lindqvist die net een= =20 computercursus had gevolgd. In casu is niet duidelijk geworden dat grote=20 aantallen mensen deze informatie wisten te vinden.¹⁵ In een geautomatiseerde samenleving waarin het aan= tal=20 toepassingsmogelijkheden van gegevensverwerking (met name ook in de prives= feer)=20 alsmaar toeneemt komt eigenlijk ook de huishoudexeceptie sterk onder druk = te=20 staan. De vraag is dan ook of deze niet moet meegroeien met deze ontwikkel= ingen=20 en enigszins moet worden opgerekt of in de juiste tijdgeest geplaatst.
= Een=20 zoekmachine zou niet per definitie alles moeten indexeren. Vroeger moest m= en=20 zijn of haar site aanmelden bij een zoekmachine om op internet te worden=20 gevonden. Tegenwoordig worden alle pagina's ge=EFndexeerd zonder dat men e= rom=20 vraagt. Sommige mensen zetten iets op internet zodat vrienden en familie h= iervan=20 kennis kunnen nemen zonder dat de hele wereld weet waar dat staat. Men mai= lt=20 elkaar dan bijvoorbeeld een link. Wanneer zoekmachines als Google gewoon w= eer=20 volgens het oude principe gaan werken wordt ook eerder duidelijk wat voor= =20 (wereldwijde) openbaarmaking is bestemd en wat niet. Ook kan men in zo'n g= eval=20 beter uit de voeten met de (eventueel opgerekte) criteria die bestaan voor= de=20 aanname van de execeptie van het persoonlijk/huishoudelijk gebruik (op=20 internet).
Gezien de eigenaardigheden van de Zweedse taal is het wellic= ht=20 niet verstandig om te veel waarde te hechten aan het mondiale karakter van= het=20 internet in dit opzicht. Voor een Nederlander die toevallig op de site van= =20 Lindqvist kwam waren het zeker geen te duiden persoonsgegevens. Ongewild z= itten=20 we hiermee meteen al op de 'doorgifte naar derde landen problematiek' waar= over=20 later meer.
Als overweging ten overvloede stelt het Hof: 'Bovendien zou= een=20 algemene uitsluiting van de werkingssfeer van richtlijn 95/46 van=20 internetpagina's die geen commercieel of dienstenelement bevatten, tot ern= stige=20 afbakeningproblemen kunnen leiden. Een groot aantal internetpagina's met=20 persoonsgegevens die bedoeld zijn om bepaalde personen in een kwaad daglic= ht te=20 stellen, zou dan buiten de werkingssfeer van die richtlijn kunnen=20 vallen'.¹⁶ Deze overweging wordt helaas niet verder uitgewerk= t, maar=20 zegt wel iets over de reikwijdte van de richtlijn. Strikt genomen vallen s= maad=20 en laster ook onder de reikwijdte van de richtlijn. Verder kan men zich af= vragen=20 of een pagina over iemand, die alleen bestaat uit links naar elders op int= ernet=20 beschikbare informatie over die persoon, ook al in strijd zou kunnen komen= met=20 de richtlijn?¹⁷ En hoe zit het met 'fan'-pagina's?¹⁸ In Nederland zijn enkele uitspraken gedaan over zo= genaamde=20 'klaagsites', die het Hof hier kennelijk voor ogen heeft.¹⁹

3 Doorgifteproblematiek

Artikel 25 van de richtlijn en artikel 76 van de Wbp bepalen dat=20 persoonsgegevens slechts naar een derde land mogen worden doorgegeven indi= en dat=20 land een passend beschermingsniveau waarborgt. Is er sprake van doorgifte = naar=20 derde landen als persoonsgegevens op Internet worden geplaatst?
Het Hof= komt=20 hier pas voor het eerst tot de conclusie dat de richtlijn niet bepaald is= =20 toegesneden op het internet. Waar het plaatsen van persoonsgegevens op een= site=20 werd beschouwd als het toegankelijk maken voor een onbepaald grote groep e= n het=20 voor de hand lijkt te liggen dat dit dan tevens een doorgifte naar derde l= anden=20 impliceert, komt het Hof toch tot het oordeel dat dat niet het geval=20 is.
Volgens het Hof diende een internetgebruiker, om toegang te krijgen= tot=20 de internetpagina waarop Lindqvist gegevens had geplaatst, niet alleen een= =20 verbinding met internet te maken, maar diende hij ook eigenhandig de voor = het=20 raadplegen van die pagina's nodige handelingen te verrichten, zoals het in= tikken=20 van de URL van Lindqvist's website, of het aanklikken van de link op de si= te van=20 de Zweedse kerk. De internetpagina's van Lindqvist bevatten niet de techni= sche=20 middelen waardoor die informatie automatisch had kunnen worden verzonden a= an=20 personen die niet bewust toegang tot die pagina's hadden proberen te krijg= en;=20 met andere woorden, Lindqvist gebruikte geen push-technieken om haar webpa= gina=20 onder de aandacht te brengen.
Hier introduceert het Hof een criterium d= at=20 niet als zodanig is terug te vinden in de richtlijn, maar dat is niet alle= s.=20 Vervolgens overweegt het Hof dat daaruit volgt dat de persoonsgegevens van= =20 Lindqvist's website, welke mogelijk op de computer van een persoon in een = derde=20 land verschijnen, niet rechtstreeks tussen die twee personen zijn doorgege= ven,=20 maar via de (informatica-)infrastructuur van de hosting provider waar de p= agina=20 is opgeslagen. Onduidelijk blijft waarom het Hof zoveel nadruk legt op de= =20 criteria die samenhangen met het transport van data. Bij zijn overwegingen= staan=20 namelijk de handelingen van Lindqvist (die hij wil bezien in het licht van= art.=20 25 van de richtlijn) en niet zozeer de informatica-infrastructuur van de h= osting=20 provider centraal. Bij de vraag of er sprake was van geautomatiseerde=20 verwerking, en of het niet ging om huishoudelijk gebruik, waren het=20 geautomatiseerd zijn en de beschikbaarheid van de informatie wel doorslagg= evende=20 elementen, terwijl nu ineens de nadruk wordt gelegd op de wijze van doorgi= fte.=20 De vraag die het Hof eigenlijk zou moeten beantwoorden is of het bij doorg= ifte=20 gaat om 'push' of 'pull' van de persoonsgegevens.
Het Hof concludeert:<= /P>

'Indien artikel 25 van richtlijn 95/46 aldus werd uitgelegd dat er sp= rake=20 is van een doorgifte van gegevens naar een derde land telkens wanneer=20 persoonsgegevens op een internetpagina worden geplaatst, zou dat=20 noodzakelijkerwijs een doorgifte zijn naar alle derde landen waar de=20 technische middelen voor toegang tot internet bestaan. De bijzondere reg= eling=20 van hoofdstuk IV van die richtlijn zou daarmee, voor de verrichtingen op= =20 internet, noodzakelijkerwijs een algemene toepassingsregeling worden. Im= mers,=20 zodra de Commissie overeenkomstig artikel 25, lid 4, van richtlijn 95/46= zou=20 vaststellen dat =E9=E9n enkel derde land geen waarborgen voor een passen= d=20 beschermingsniveau biedt, zouden de lidstaten het plaatsen van=20 persoonsgegevens op het internet moeten verhinderen'.

De richtlijn is niet geschreven voor internet en toepassing van artikel= 25=20 zou tot praktische problemen leiden. Dat is helder, maar de juridische=20 overweging die eraan voorafgaan niet. Zoals bij de stelling over persoonli= jk=20 gebruik kan men hier niet anders concluderen dat wanneer men geen doorgift= e wil=20 aannemen terwijl hier (eigenlijk) wel sprake van is, men de aanname van=20 huishoudelijk gebruik ook niet moet afwijzen.
In beginsel is er wel een= =20 praktische oplossing voor het door het Hof geschetste probleem. Huidige=20 geolocatietechnieken waarbij men aan de hand van een IP-adres de locatie v= an de=20 bezoeker van de site bepaalt, welke ook reeds in de online gokindustrie wo= rdt=20 toegepast, zouden kunnen voorkomen dat bepaalde landen toegang kunnen krij= gen=20 tot de betreffende webpagina's. Het gebruik van een dynamische=20 proxyserver²⁰ door een bezoeker maakt een 100% waterdichte werki= ng=20 echter deels onmogelijk. Maar de vraag is of je zoiets moet eisen van mens= en die=20 informatie op Internet zetten, zeker nu het Hof de nadruk niet legt bij de= =20 provider.
Gelukkig maakt het in het antwoord van het Hof niet uit in we= lk=20 land de server staat waar de gewraakte gegevens fysiek op staan, zoals wel= =20 expliciet gevraagd was. Het is nou juist een wezenlijk kenmerk van het int= ernet=20 dat het helemaal niet uitmaakt wat waar fysiek gebeurt.
Toch zou men zi= ch=20 kunnen afvragen of nu juist de aard van de gegevens niet een (doorslaggeve= nde)=20 rol dient te spelen voor de beantwoording van de vraag of het toch niet=20 verstandig is om in sommige gevallen w=E9l aan te nemen dat het gaat om do= orgifte=20 naar derde landen?

4 Strijd met vrijheid van meningsuiting c.q. journalistieke, artistiek= e of=20 literaire doelen?

De vraag is of de bepalingen van de richtlijn in een geval als het=20 onderhavige een beperking vormen die in strijd is met de algemene beginsel= en van=20 vrijheid van meningsuiting (art. 10 EVRM). Naar onze mening is dit het=20 belangrijkste discussiepunt dat door dit arrest opgeroepen wordt.
Artik= el 9=20 van de richtlijn bepaalt dat lidstaten dienen te voorzien in uitzonderinge= n op=20 de bepalingen van de richtlijn voor de verwerking van persoonsgegevens voo= r=20 uitsluitend journalistieke of voor artistieke of literaire doelen. In de W= bp is=20 deze beperking neergelegd in artikel 3, dat de wet grotendeels niet van=20 toepassing verklaart op de verwerking van persoonsgegevens voor uitsluiten= d=20 journalistieke, artistieke of literaire doeleinden (met een paar uitzonder= ingen=20 van artikelen die dan nog w=E9l van toepassing zijn).
Het Hof komt tot = de=20 conclusie dat de bepalingen van richtlijn 95/46 als zodanig geen beperking= =20 bevatten die in strijd zijn met het algemene beginsel van vrijheid van=20 meningsuiting of met andere in de Europese Unie geldende rechten en vrijhe= den=20 die onder meer overeenkomen met artikel 10 van het EVRM. Het is de taak va= n de=20 nationale autoriteiten en rechterlijke instanties die belast zijn met de=20 toepassing van de nationale regeling tot omzetting van richtlijn 95/46 om = een=20 juist evenwicht te verzekeren tussen de betrokken rechten en belangen, met= =20 inbegrip van de door de communautaire rechtsorde beschermde grondrechten. = Toch=20 wordt in casu zonder slag of stoot voorbijgegaan aan de journalistieke=20 doeleinden doordat het Hof concludeert dat het i.c. een verwerking betreft= die=20 onder de richtlijn valt. Daar veel uitingen op internet van een soortgelij= ke=20 strekking of aard zijn als die van Lindqvist kan dit verregaande consequen= ties=20 hebben voor al deze uitingen in Europa.
De richtlijn dient volgens ons = niet=20 zo uitgelegd te worden dat de vrijheid van meningsuiting van burgers wordt= =20 ingeperkt. De praktijk op internet leert dat veel (kleine) verenigingen hu= n=20 homepage op internet als ledenblaadje gebruiken.²¹ Het is dan moeilijk uit te leggen aan burgers dat = wanneer=20 zij hun mening aan het papier toevertrouwen dat wel mag, maar zo gauw dat = op=20 internet wordt gezet het ineens niet meer mag. En wat te denken van al die= =20 webloggers die hele dagen hun gevoelens over van alles en nog wat aan inte= rnet=20 toevertrouwen.²²
De situatie komt dan ook eigenlijk op het volge= nde=20 neer. Wanneer men, zoals Zweden, verschil gaat maken tussen de sites van d= e=20 media en de sites van burgers of organisaties komt men in een rare situati= e=20 terecht. De vrijheid van meningsuiting van de pers wordt effectief=20 grondwettelijk gewaarborgd, die van de burgers niet.
Soms wordt ook geo= pperd=20 dat de kwaliteit van informatie bepalend is voor de vraag of het gaat om=20 journalistieke verwerkingen/doeleinden. Dat lijkt niet geheel juist nu de= =20 huidige regelgeving het zwaartepunt legt bij de doeleinden waarvoor de=20 verwerking is aangelegd. En over de kwaliteit van een deel van de als zoda= nig=20 erkende pers kan men ook van mening verschillen. Wie bepaalt dan, wanneer = iets=20 goed genoeg is om onder de journalistieke exceptie te vallen? Dat riekt we= l heel=20 erg naar censuur!
Bij uitingen die mogelijk onder artikel 3 Wbp vallen = moet=20 men ons inziens kijken naar de context waarin ze staan en niet de uiting a= ls=20 zodanig. Een lijst kan een ledenlijst, maar ook een journalistieke uiting = zijn.=20 Bij Lindqvist is tevens niet uitgesloten dat het om artistieke doeleinden = gaat=20 nu ze op humoristische wijze haar collega's typeerde.
De angst om een=20 journalistieke verwerking aan te nemen ligt veelal in de gedachte dat iede= reen=20 dan vogelvrij is op internet. Die vrees is niet terecht. Publicatie ten be= hoeve=20 van journalistieke, artistieke en literaire doeleinden wordt beschouwd als= een=20 zwaarwegend algemeen belang in de zin van artikel 8, vierde lid, van de=20 richtlijn. Hiervoor kan ook de verwerking van gevoelige gegevens noodzakel= ijk=20 zijn. Dit wordt nog eens onderstreept door artikel 3, lid 2 van de richtli= jn.=20 Dit betekent echter niet dat iedereen zomaar alles kan publiceren. Degene = die de=20 gegevens verwerkt zal bij de toepassing van de noodzakelijkheidsnorm steed= s=20 moeten afwegen of de betreffende verwerking voldoet aan de beginselen van= =20 proportionaliteit en subsidiariteit.
Kun je als burger nu in aanmerking= komen=20 voor de uitzonderingen die gelden voor verwerkingen voor journalistieke=20 doeleinden of moet je daarvoor een medium gebruiken dat per definitie als= =20 persmedium geldt, zoals radio, televisie of krant? De site van Lindqvist w= as=20 ongeveer vijf dagen online en werd meteen aangepakt terwijl een webfilm me= t=20 daarin diezelfde website maandenlang probleemloos op de Zweedse televisie = kon=20 worden uitgezonden. Waarom dat verschil in medium?
Herbert Blankesteijn= =20 stelde ooit: 'Journalist was al geen beschermd beroep, maar door internet = is=20 voortaan iedereen journalist. Of niemand'.²³
Door het ontstaan van nieuwe media is men niet = langer=20 afhankelijk van kranten, tijdschriften of radio en televisie om gedachten = of=20 gevoelens openbaar te maken. Om dagelijks een groot publiek te bereiken is= het=20 niet meer noodzakelijk een opleiding tot journalist te volgen en zich aan = te=20 sluiten bij een select gezelschap (uitgever) dat bijvoorbeeld een krant=20 uitgeeft. Iedere Nederlander kan tegenwoordig een eigen nieuwssite beginne= n mits=20 hij of zij handig weet om te gaan met de nieuwe hem of haar ter beschikkin= g=20 staande technologie=EBn. Filmpjes, achtergronden en foto's kunnen gemakkel= ijk op=20 een website worden geplaatst om het publiek te informeren over een keur va= n=20 zaken. Hiermee is nog niets gezegd over de kwaliteit van hetgeen dat gesch= reven=20 wordt maar dat doet vaak ook niet ter zake. Tot radio en televisie hebben = niet=20 alle Nederlanders toegang, maar tot internet wel.
De vrijheid van=20 meningsuiting gaat verder dan de persvrijheid. Ook anderen dan de pers, ra= dio of=20 televisie kunnen gegevens voor dergelijke doeleinden verwerken. Omdat het = bij de=20 pers veelal direct kenbaar is voor wat voor doeleinden gegevens worden ver= zameld=20 zal bij anderen wellicht een nauwkeurige interpretatie dienen plaats te vi= nden.=20 De doeleinden waarvoor wordt verzameld dienen echter doorslaggevend te zij= n.=20 Belangrijk is tevens dat de verwerking plaatsvindt voor 'uitsluitend=20 journalistieke doeleinden'. In een krant komen we veel meer zaken die niet= =20 uitsluitend onder journalistieke doeleinden zijn te scharen zoals,=20 kruiswoordraadsels, advertenties etc. tegen.
Het is daarom zeker niet=20 uitgesloten dat publicaties van burgers plaatsvinden voor journalistieke=20 doeleinden. De implicaties van het aannemen van journalistieke doeleinden = zijn=20 echter niet geheel duidelijk. De Wbp is dan grotendeels niet van toepassin= g en=20 het College Bescherming Persoonsgegevens is onbevoegd om kennis te nemen v= an een=20 klacht met betrekking tot een dergelijke verwerking. Bij het van toepassin= g zijn=20 van de journalistieke uitzondering zullen bepaalde bepalingen van de Wbp=20 overigens wel van toepassing blijven. Dit is een vreemde situatie omdat bi= j het=20 niet van toepassing zijn van artikel 60 Wbp het College zich in beginsel n= iet=20 kan uitspreken over de bepalingen die wel van toepassing blijven bij=20 journalistieke doeleinden. Dit aspect verdient dan ook nader=20 onderzoek.

5. Slot

De uitspraak van het Hof komt er in feite op neer dat iedereen die info= rmatie=20 met daarin persoonsgegevens op internet zet dat eerst moet melden bij een= =20 bevoegde autoriteit en dus in feite toestemming moet hebben. Men dient al = te=20 melden op het moment van verzamelen. Een expliciete vrijstelling is niet t= e=20 vinden in het Vrijstellingsbesluit. Het melden duurt enige tijd, en heeft = nogal=20 wat voeten in de aarde. Volgens ons kan melding dan ook in redelijkheid ni= et=20 worden ge=EBist. Bijna niemand die iets op internet zet heeft zoveel tijd = - en=20 voorafgaande melding past ook niet bij de filosofie achter dit snelle medi= um.=20 Men kan zich afvragen of dat niet in strijd is met de grondwettelijk besch= ermde=20 vrijheid van meningsuiting. Is het niet zinvoller om mensen zelf actie te = laten=20 ondernemen²⁴ via de rechtsmiddelen die hen daarvoor te beschikk= ing=20 staan dan bij voorbaat iemand te verplichten om te melden alvorens iets op= =20 internet te zetten?
Internet is geen juridisch vacu=FCm. De verwerking = van=20 persoonsgegevens op Internet moet gebeuren volgens de beginselen inzake=20 gegevensbescherming, net als in de off-line wereld. Dit houdt geen beperki= ng in=20 van het gebruik van Internet, maar is daarentegen een van de essenti=EBle= =20 voorwaarden om het vertrouwen van de gebruikers in Internet en aanverwante= =20 diensten te waarborgen. Maar door regels, die duidelijk geschreven zijn vo= or de=20 off-line wereld, r=FCcksichtslos toe te passen op internet, kunnen ongewen= ste=20 uitkomsten ontstaan. Natuurlijk vinden wij ook dat persoonsgegevens van an= deren,=20 en zeker gevoelige gegevens, niet zomaar door iedereen op internet gepubli= ceerd=20 mogen worden. Echter, richtlijn en Wbp geven naar onze mening niet de juis= te=20 criteria om te bepalen wat wel en wat niet kan. Noch bij de totstandkoming= van=20 de richtlijn, noch bij die van de Wbp is destijds voldoende nagedacht over= =20 geautomatiseerde omgevingen en de toepasbaarheid van deze regelgeving op=20 geautomatiseerde bestanden. De mogelijkheden tot verwerking van persoonsge= gevens=20 die internet nu aan iedereen biedt komen niet overeen met het beeld van=20 geautomatiseerde verwerking dat men destijds voor ogen had. Resultaat is d= at de=20 afbakening van de Wbp en de richtlijn bij geautomatiseerde verwerkingen ni= et=20 helder is. Zij is veel te ruim en leidt daardoor tot onduidelijke situatie= s.=20 Verder is door de komst van het internet niet alleen meer een bedrijf of=20 instelling als verantwoordelijke aan te merken, maar is ook de burger met = een=20 eigen site ineens een grote speler waar rekening mee gehouden dient te wor= den.=20 Het is de hoogste tijd om eens hard met z'n allen te gaan nadenken welke r= egels=20 daarvoor zouden moeten gelden. Met dit stuk hopen wij hiertoe een aanzet t= e=20 hebben gegeven.

NOTEN

1. [Terug]
Zie=20 bijv. (een willekeurige greep uit een oneindig aantal mogelijke voorbeelde= n): de=20 voorzitter van het College Bescherming Persoonsgegevens www.cbpw= eb.nl/indexen/ind_cbp_college_hustinx.htm),=20 Wim van Velzen (www.wimvanvelzen.nl/cv.php3),=20 Ritske Dankert (www.ritskedankert.nl/htm= l/cv.html).
2. [Terug]
Europees=20 Hof van Justitie 6 november 2003 (Lindqvist) zaak C101/01, te vinden op curia.eu.int.
3= . [Terug]
Voor=20 diegenen die Zweeds kunnen lezen, het restant van de site is te vinden op:= biphome.spray.se/mors/.
4. [Terug]
De=20 'Personuppgiftslag', SFS 1998, nr 204, de Zweedse wet op de persoonsgegeve= ns op=20 basis van richtlijn 95/46.
5. [Terug]
Schending=20 van resp. art. 36, 13 en 33 van de PUL.
6. [Terug]
Ongeveer=20 e 450.
7. [Terug]
Richtlijn=20 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreff= ende=20 de bescherming van natuurlijke personen in verband met de verwerking van=20 persoonsgegevens en betreffende het vrije verkeer van die gegevens.
8. [Terug]
Ondanks=20 weerstand van verschillende lidstaten vallen ook de handmatige bestanden o= nder=20 de richtlijn.
9. [Terug]
Vergelijk=20 ook Memorie van Toelichting bij de Wbp, Kamerstukken II, 1997-1998, 25892,= nr 3;=20 Algemeen Deel paragraaf 3: 'Met de komst van nieuwe technieken kunnen grot= e=20 hoeveelheden persoonsgegevens gemakkelijk worden opgeslagen en ontsloten'.= En=20 onder 8.2: 'Bij opslag langs geautomatiseerde weg wordt van rechtswege=20 aangenomen dat een doeltreffende raadpleging mogelijk is'.
10. [Terug]
Opgemerkt=20 dient te worden dat uploaden tegenwoordig niet meer noodzakelijk is om pag= ina's=20 te hosten op het Internet.
10. [Terug]
Art.=20 8 van de richtlijn bepaalt dat de Lid-Staten het verwerken van zgn. gevoel= ige=20 gegevens (gegevens waaruit de raciale of etnische afkomst, de politieke=20 overtuigingen, de godsdienstige of levensbeschouwelijke overtuiging, of he= t=20 lidmaatschap van een vakvereniging blijkt, en gegevens die de gezondheid o= f het=20 seksuele leven betreffen) moeten verbieden.
12. = [Terug]
Bij=20 de inwerkingtreding van de Wbp wees prof. mr G. Overkleeft-Verburg er al o= p dat=20 'het toepassingsbereik van de Wbp als geheel te ruim en te onbepaald' is=20 geworden. Zie: Prof. mr G. Overkleeft-Verburg, 'Wet bescherming=20 persoonsgegevens, Continu=EFteit en verandering', NJB 2001/29/p. 1362.
= 13. [Terug]
Hierbij=20 dient echter wel opgemerkt te worden dat zoekmachines tegenwoordig niet of= =20 nauwelijks nog indexeren op trefwoorden die in de metatags staan, maar dit= ter=20 zijde. Overigens kan met behulp van een bepaalde code op een pagina indexe= ring=20 door zoekmachines voorkomen worden.
14. [Terug]
=D6sterreichiser=20 Rundfunk e.a., C-465/00, C-138/01 en C-139/01.
1= 5. [Terug]
Het=20 tellertje op de gewraakte website meldt dat wij op moment van schrijven de= 24ste=20 bezoeker zijn - maar natuurlijk zijn tellertjes op websites niet heel erg= =20 betrouwbaar.
16. [Terug]
Rechtsoverweging=20 36.
17. [Terug]
Zie=20 bijv.: www.geocit= ies.com/SunsetStrip/Underground/5756/=20 voor een onschuldig overzicht van links met betrekking tot Nina Hagen (er = zijn=20 ook andere overzichten te vinden - maar dat is weer een ander probleem).18. [Terug]
Zie=20 bijv. http://www.loureed.nl/.
19. [Terug]
Zoals=20 bijv. Pres. Rb. Amsterdam 10 februari 2000 (Neuk.net) LJN-nummer AA6194; P= res.=20 Rb. Alkmaar 26 oktober 2000 (Klaagsite Alkmaar) LJN-nummer AA7962; Pres. R= b.=20 Utrecht 18 september 2001 (Stichting Jeugd en Gezin) LJN-nummer AD3687;=20 Gerechtshof Arnhem 12 maart 2002 (Stichting Jeugd en Gezin) LJN-nummer AE1= 664;=20 Rb. Alkmaar 13 augustus 2003 (campingmaffia) LJN-nummer AI1806.
20. [Terug]
Aan=20 de hand van het IP-adres is het juiste land van herkomst dan niet meer te= =20 bepalen.
21. [Terug].=20
Zonder voorafgaande melding, hetgeen feitelijk toestemming inhoudt.22. [Terug]
Weblogs=20 zou men kunnen omschrijven als persoonlijke overzichten van meningen, nieu= ws,=20 artikelen en opmerkelijke websites welke zijn verwerkt in persoonlijke ver= halen=20 (de logs). De blogs (tekstjes) worden voortdurend aangevuld waarbij de nie= uwste=20 blog steeds bovenaan de pagina staat. Vaak worden blogs na enige tijd in e= en=20 archief opgeslagen. Een weblog is eigenlijk een soort mix van dagboek,=20 uitlaatklep en drukpers.
23. [Terug]
Hij=20 komt onder meer tot deze uitspraak naar aanleiding van een conferentie waa= rbij=20 een aantal topmensen uit het bedrijfsleven aanwezig was. Onder de bezoeker= s=20 waren journalisten die een verklaring hadden ondertekend waarin stond dat = niets=20 openbaar zou worden gemaakt uit deze informele bijeenkomst en betalende=20 bezoekers die niet met zelfcensuur hadden ingestemd. Onder die betalende=20 bezoekers waren twee personen die een weblog bijhielden op internet. De=20 interviews uit de informele bijeenkomst stonden even later dan ook gewoon = op=20 internet te lezen. De journalisten waren hiermee onmiddellijk ontheven van= hun=20 zwijgplicht en de berichtgeving die volgde had het vervagende onderscheid = tussen=20 journalisten en het schrijvende publiek tot onderwerp.
24. [Terug]
Zie=20 bijv. Hof Arnhem 12 maart 2002, LJN-nummer AE1664 (Stichting Jeugd en Gezi= n),=20 waarbij behalve allerlei beschuldigingen ook persoonsgegevens van individu= ele=20 medewerkers van de Stichting op de gewraakte websites waren gepubliceerd. = Het=20 Hof ging in dit arrest helaas niet afzonderlijk in op de publicatie van=20 persoonsgegevens.

Mr Roderic C. Winkelhorst
Mr Tina van der Linden-Smith

Roderic Winkelhorst is= =20 verbonden aan het College Bescherming Persoonsgegevens en schrijft d= eze=20 bijdrage op eigen titel.

Tina van der Linden-Sm= ith is=20 docent IT en Recht aan de Universiteit Utrecht.

<= /TBODY>

Wim van Velz= en=20 Curriculum Vitae
Ritske Dankert Cur= riculum=20 Vitae
HvJ= EG=20 6 november 2003 C-101/01
Alla Bodils goda sidor Richtlijn=20 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995=20 betreffende de bescherming van natuurlijke personen in verband met d= e=20 verwerking van persoonsgegevens en betreffende het vrije verkeer van= die=20 gegevens, Publicatieblad Nr. L 281 van 23/11/1995 blz. 0031 - 00= 50=20
K= amerstuk=20 1997-1998, 25892, nr. 3, Tweede Kamer, Wet bescherming=20 persoonsgegevens; Memorie van toelichting
Wet bes= cherming=20 persoonsgegevens. Continu=EFteit en verandering, prof. mr G.=20 Overkleeft-Verburg, NJB, Aflevering 29 van 24 augustus 2001
HvJEG=20 2003-05-20 C-465/00 Arrest =D6sterreichischer Rundfunk e.a.
= HvJEG=20 2002-11-14 C-465/00 Conclusie =D6sterreichischer Rundfunk e.a. <= BR>HvJEG=20 2003-05-20 C-138/01 Arrest =D6sterreichischer Rundfunk e.a.
= HvJEG=20 2002-11-14 C-138/01 Conclusie Neukomm
HvJEG=20 2003-05-20 C-139/01 Arrest =D6sterreichischer Rundfunk e.a.
= HvJEG=20 2002-11-14 C-139/01 Conclusie Neukomm
Webs= ite over=20 Nina Hagen
An unofficial = Lou Reed=20 fanpage
Rechtbank=20 Amsterdam 10-02-2000 LJN-nummer: AA6194 Zaaknr: KG 00/214 OdC=20 (Neuk.net)
Rechtbank=20 Alkmaar 26-10-2000 LJN-nummer: AA7962 Zaaknr: 362/2000 AD (Klaagsite= =20 Alkmaar)
Rechtbank=20 Utrecht 18-09-2001 LJN-nummer: AD3687 Zaaknr: 133363/KG ZA 01-753/WV= =20 (Stichting Jeugd en Gezin)
Gerechtshof=20 Arnhem 12-03-2002 LJN-nummer: AE1664 Zaaknr: 01/466 (Stichting Jeugd= en=20 Gezin)
Rechtbank=20 Alkmaar 13-08-2003 LJN-nummer: AI1806 Zaaknr: 56100 / HA ZA 01-890=20 (Campingmaffia)

=A9 Kluwer 2004