-Nieuwe privacywetgeving en de ‘gewone burger’

Vanaf 25 mei 2018 is de Algemene Verordening Gegevensbescherming van toepassing (AVG). Er verandert nogal wat en veel nuttige informatie daarover is te vinden op de website van de Autoriteit Persoonsgegevens (AP). Veel informatie is gericht op bedrijven, overheden en andere organisaties bijvoorbeeld in het onderwijs, kerkgenootschappen en sportclubs. De aanscherping van privacy regels is op zich een goede zaak. Het werd tijd dat de betrekkelijke naïviteit ten aanzien van privacy bij veel kerkgenootschappen, plaats maakt voor realiteitszin. De praktijk leert dat het onderwerp veel burgers bezig houdt. In deze publicatie ga ik dieper in op een aspect dat minder wordt belicht, namelijk de uitzonderingsregels voor natuurlijke personen oftewel de ‘gewone’ burger die geen ondernemer of zzp’er is, wiens leven in toenemende mate wordt gedomineerd door digitale technologie.

Persoonsgegevens
Volgens artikel 4 onder 1 van de AVG zijn persoonsgegevens: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Dit betekent dat informatie ofwel direct over iemand gaat, ofwel naar een persoon te herleiden is. Volgens uitleg op de website van de AP betekent dit dat het om een natuurlijke persoon moet gaan. Gegevens van overleden personen of van organisaties zijn geen persoonsgegevens, tenzij deze herleidbaar zijn. Dit is belangrijk voor degenen die bijvoorbeeld in publicaties verwijzen naar overleden personen zoals historisch figuren, of als genetische informatie wordt verwerkt. Ook de definities van het begrip ‘verwerking’ en ‘bestand’ in artikel 4 van de AVG zijn van belang.

Toepassingsgebied AVG
De AVG is wetgeving die voor heel Europa geldt. In artikel 1 wordt beschreven dat de AVG van toepassing is op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen. Er zijn ook enige uitzonderingen, waarbij de AVG niet van toepassing is en die voor veel burgers van belang zijn. Volgens artikel 2 onder c is de AVG niet van toepassing op de verwerking van persoonsgegevens: door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit. In punt 18 van de Wetgevingshandelingen van de AVG, zeg maar de ‘Memorie van Toelichting’, wordt het als volgt uitgelegd: Tot persoonlijke of huishoudelijke activiteiten kunnen behoren het voeren van correspondentie of het houden van adresbestanden, het sociaal netwerken en online-activiteiten in de context van dergelijke activiteiten. Het is van belang dat laatste goed te overdenken. Belangrijk is de vraag binnen welke context je als natuurlijke persoon gegevens verwerkt en dat kan per persoon verschillen. Sla je bijvoorbeeld als ouderling of voorganger van een kerk pastorale informatie op in je privécomputer of informatie van je werk of lopen die informatiestromen door elkaar heen? Als je een persoonlijke website beheert, wat plaats je daar zoal op? Dat je als burger gemakkelijk de fout in kunt gaan leert het Lindqvist-arrest uit 2003. Een oud arrest dat in het licht van de AVG niet genegeerd mag worden.

Het Lindqvist-arrest
In principe is de AVG niet van toepassing op de burger die om strikt persoonlijke redenen een bestandje bijhoudt van familie en kennissen en die op een bescheiden wijze verwerkt. Denk aan een familiebestand voor de uitwisseling van informatie. Maar stel nu dat je als natuurlijk persoon een website/internetpagina beheert, zoals veel Nederlanders doen. Is de AVG dan wel of niet van toepassing? In de Memorie van Toelichting (MvT) van de Uitvoeringswet AVG die voor 15 mei 2018 als hamerstuk staat op de agenda van de Eerste Kamer, wordt ten aanzien hiervan verwezen naar een arrest van het Europese Hof van Justitie, het zogenaamde Lindqvist-arrest uit 2003 (MvT pagina 14 voetnoot 10). De Zweedse overheid had een burger aangeklaagd, die als vrijwilliger bij de Protestantse Kerk van Zweden de namen en adresgegevens van andere vrijwilligers op haar website had geplaatst. Tevens had zij op de website vermeld, dat een van de vrijwilligers haar voet had bezeerd. Onschuldige informatie is de eerste indruk, maar naar aanleiding van een klacht werd er vervolgd en uiteindelijk doorgeprocedeerd tot aan het HvJ EG om duidelijkheid over de reikwijdte van de uitzonderingsbepalingen te krijgen. Aangeklaagde meende ook dat er een spanningsveld was tussen het grondrecht van vrijheid van meningsuiting en de privacywetgeving. Het Hof oordeelde dat de aangeklaagde niet valt onder de uitzonderingsbepalingen van de regelgeving en dus persoonsgegevens verwerkt waarop de wet van toepassing is. Voorts bepaalde het Hof dat de bepalingen van de EU-richtlijn niet strijdig zijn met het algemene beginsel van de vrijheid van meningsuiting. Het persoonsgegeven van de pijnlijke voet werd aangemerkt als een persoonsgegeven betreffende de gezondheid, waaraan de wet bij de verwerking strengere eisen stelt. Het feit dat in de Memorie van Toelichting van de Uitvoeringswet AVG wordt verwezen naar het arrest uit 2003, impliceert volgens mij dat deze jurisprudentie leidend is voor de handhaving van de AVG, totdat er nieuwe jurisprudentie ontstaat. Dat kan nog jaren duren. Ik verwacht overigens dat de handhaving strenger zal worden door allerlei perikelen rond social media en het groeiend aantal meldingen over datalekken. De AP krijgt meer bevoegdheden en meer sanctiemogelijkheden, maar ik sluit niet uit dat de organisatie qua mankracht tegen de grenzen aanlopen, zodat er prioriteiten gesteld zullen moeten worden. Illustratief daarvoor is dat in 2017 10.000 datalekken zijn gemeld bij de AP, een stijging van 70% ten opzichte van het jaar ervoor. Alles overwegende is mijn conclusie dat de AVG aanzienlijke gevolgen zal hebben, ook voor natuurlijke personen. Zij vallen niet automatisch onder de uitzonderingsbepalingen bijvoorbeeld als er, zoals het aangehaalde arrest leert, persoonsgegevens op een website worden geplaatst of je op een ruimere schaal mails met gegevens gestructureerd verwerkt dan wel opslaat. Aan dit stuk kunt u geen rechten ontlenen en ik adviseer u bij twijfel de feitelijke wetstekst en de informatie van de Autoriteit Persoonsgegevens via hun website en het spreekuur te raadplegen. Over de uitzonderingsbepalingen voor natuurlijke personen heb ik een vraag voorgelegd aan de AP die telefonisch werd beantwoord. APVraagoverAVGFebruari2018 

 

 

Bronnen: Informatie van de website van de AP en de nieuwsbrief van de AP van 24 april 2018, de feitelijke wetstekst van de AVG, de Wetgevingshandelingen en het (mondelinge) antwoord van de AP op mijn schriftelijke vraag. Tevens verwijs ik naar de 12 publicaties over ‘Leven in een digitaliserende samenleving’ op de website Bijbel en Overheid.

Foto’s: Jaap Spaans    Gebruik EU-logo is tegestaan