Privacy haalt dagelijks het nieuws. Daarbij komen vanzelfsprekend vooral de grotere zaken aan bod. Denk aan gevoelige datalekken, grootschalige hacks of de inzet van (geheime) camera’s. Er is echter veel meer gaande op het gebied van privacy, wat niet altijd het nieuws haalt. Door deze jurisprudentie leren we veel over hoe de AVG uiteindelijk toegepast wordt. In deze blog zetten we diverse uitspraken van de maand juli op een rij.
In de schaduw van de wereldwijde beroemdheid genaamd de AVG, zou privacy als grondrecht bijna vergeten worden. Het recht op respect voor zijn privéleven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. Dit grondrecht botst regelmatig met het recht op de vrijheid van meningsuiting. Als dat gebeurt, moet de rechter een belangenafweging maken: welk recht overheerst?
De drie gedaagden in deze zaak hadden een website waar informatie op stond over het bestaan van een – naar de overtuiging van de gedaagden – satanisch/ritueel pedofiel netwerk in Reeuwijk (Bodegraven). Op deze website stonden ongefundeerde verdachtmakingen over betrokkenen uit de gemeente. Het ging zowel over getuigen, verhullers en daders als over slachtoffers. Op de website riepen ze mensen op om actie te ondernemen door bloemen te leggen bij graven van vermeende slachtoffers, het bezoeken van bepaalde locaties en het telefonisch benaderen van gemeentemedewerkers. Dit gebeurde in groten getale.
De burgemeester en een nabestaande van een vermeend slachtoffer startten deze procedure. De gedaagden roepen hun grondrecht op vrijheid van meningsuiting in. Tijd voor de rechter om gewicht in de weegschaal te leggen: is de inbreuk op het recht op privé- en familieleven zodanig groot, dat het een inperking van het recht op de vrijheid van meningsuiting kan rechtvaardigen?
De gedaagden vroegen publiekelijk aandacht voor het bestaan van een vermeend satanisch-pedofiel netwerk in hun gemeente. Daarbij "onthulden" ze allerlei namen die betrokken zouden zijn, en riepen mensen op tot actie. Deze zware beschuldigingen grijpen diep in op de persoonlijke levenssfeer van de genoemden (nabestaanden). Voor dergelijke aantijgingen mag verwacht worden dat ze een deugdelijke feitelijke basis hebben, aldus de rechter.
Niets is minder waar. Gedaagden baseerden de informatie op ‘hervonden’ herinneringen van een van de gedaagden. Deze herinneringen hebben op geen enkele wijze een logische verhouding met objectieve feiten (zo zou een “slachtoffer” zelfmoord hebben gepleegd, maar is deze persoon in feite overleden aan de gevolgen van een aangeboren hartafwijking).
Opmerkelijk in deze zaak is dat de gemeente naast dat zij moet zorgen voor de openbare orde en veiligheid, aangeeft ook als privacybeschermhoeder voor haar inwoners te moeten staan. De gemeente zegt dat haar publieke taak inhoudt dat zij haar inwoners dient te beschermen tegen ernstige inbreuken op hun persoonlijke levenssfeer. De rechtbank sluit zich hierbij aan.
Door de ongefundeerde uitlatingen handelen de gedaagden onrechtmatig tegen de gemeente, als privacy beschermhoeder, en tegen de andere eiser. De bescherming van de belangen van de gemeente en haar inwoners en de bescherming van de persoonlijke levenssfeer van de eiser wegen zwaarder dan het recht op vrijheid van meningsuiting.
De kern van de belangenafweging tussen grondrechten is duidelijk: uw vrijheid eindigt daar waar die van een ander begint.
De Hoge Raad (HR) doet uitspraak over de verhouding tussen het recht op verwijdering in de Jeugdwet en de Wet bescherming persoonsgegevens (Wbp, de oude privacywet).
In deze procedure gaat het om rapportages van een instelling voor jeugdhulpverlening over een kind dat is geboren in 2012. In 2013 lag er een hulpverleningsplan aan haar ouders. De vader doet een verzoek tot verwijdering van de informatie over hem en zijn dochter. In eerste instantie op grond van de Jeugdwet (Jw) en in tweede instantie op basis van de Wbp. De passages zouden te subjectief zijn ingestoken.
Hoewel de vader een betrokkene is in de zin van de Jw (de persoon aan wie rechtstreeks jeugdhulp wordt verleend en mensen aan wie de instantie de verlening van jeugdhulp voorstelt/aan wie zij een kinderbeschermingsmaatregel uitvoert), mag hij geen verwijderingsverzoek doen. Een verwijderingsverzoek is alleen voor wie rechtstreeks jeugdhulp toekomt of aan wie de instantie een voorstel daartoe doet. Zo trekt de HR de betrokkene-definitie voor het verwijderingsrecht vrijwel gelijk aan die van AVG.
Toch moet (een deel van) de verzochte informatie worden verwijderd. Niet op basis van de Jw, maar omdat de HR de verwerking in strijd acht met artikel 11 Wbp (bekend als het beginsel van juistheid). Hoewel de Jw ten opzichte van de Wbp en AVG geldt als speciale wet, is er in de Jw geen met artikel 11 Wbp vergelijkbare regeling. De Wbp geldt dan alsnog als algemene regeling. Sommige informatie van de instantie is te subjectief ingestoken, daarom is het onrechtmatig. De onrechtmatigheid verantwoordt de verwijdering van een (extra) aantal passages.
In 2019 legde de Autoriteit Persoonsgegevens (AP) een last onder dwangsom op aan het college van burgemeester en wethouders van Arnhem (het college) omdat ze te veel persoonsgegevens verwerkten bij het gebruik van persoonsgebonden afvalpassen om afvalcontainers te openen.
In 2020 hief de AP de last onder dwangsom op. Een Arnhemmer vindt dat de AP de last niet had mogen opheffen. De vraag aan de rechter is dus: mocht de AP de last wel opheffen?
De grondslag “taak van algemeen belang” zou niet toepasbaar zijn volgens de Arnhemmer, omdat het gemeentelijk Afvalplan geen wet is. De rechter legt uit dat de inzameling van huishoudelijk afval moet worden aangemerkt als een taak van algemeen belang van de gemeente die voortvloeit uit artikel 10.21 van de Wet milieubeheer.
In tegenstelling tot wat de inwoner aanvoert maakt de rechter duidelijk dat hoewel een verwerkingsverantwoordelijke moet aantonen dat een verwerking noodzakelijk is voor de doeleinden, zij niet alle mogelijke alternatieven hoeft te bedenken. Het bewijzen van noodzakelijkheid is namelijk geen omkering van de bewijslast. Er was geen andere redelijke wijze waarop de doeleinden van het college kunnen worden behartigd.
In dit geval worden op het vluchtige geheugen van de kaartlezer korte tijd de gegevens van de afvalpas opgeslagen om ze te controleren met de autorisatielijst. De gegevens worden daarna direct geanonimiseerd. De verwerking is van geringe impact en blijft beperkt tot wat noodzakelijk is voor het behalen van de doeleinden. De AP mocht daarom de last onder dwangsom opheffen.
Op basis van artikel 82 AVG heeft eenieder die (im)materiële schade lijdt ten gevolge van een inbreuk op de AVG het recht om van de verwerkingsverantwoordelijke of de verwerker schadevergoeding te vorderen.
Sinds 2014 is verzoekster in een heen-en-weer getouwtrek met het college van burgemeester en wethouders in Rotterdam (het college) over het verwijderen van haar medische gegevens (uit 2008 en 2009). In deze procedure buigt de rechter zich erover.
De rechter legt het begrip schade ruim uit, op een wijze die volledig recht doet aan de doelstellingen van de AVG. Betrokkenen dienen een volledig en daadwerkelijke vergoeding van de schade te ontvangen. Voor de bepaling van het verzoek sluit de rechter aan bij het civiele schadevergoedingsrecht (artikel 6:106b BW). Zo heeft een benadeelde recht op een naar billijkheid vast te stellen schadevergoeding indien de benadeelde in zijn eer of goede naam is geschaad of op andere wijze in zijn persoon is aangetast.
Door het bewaren en verwerken van rapporten met persoonlijke gegevens van verzoekster handelde het college in strijd met de AVG. Het college schaadde haar recht op de eerbiediging van de persoonlijke levenssfeer. Dit geldt als een aantasting in de persoon (artikel 6:106b BW).
De verzoekster stelt € 25.000 schade te hebben geleden. Nooit geschoten is nooit een konijn, oftewel, je kan ’t maar proberen. Maar dit schot is ver van de roos.
De rechtbank neemt in aanmerking dat de gevoelige persoonsgegevens tien jaar zijn bewaard ondanks herhaaldelijke verzoeken tot verwijdering. Daarom is er een grote kans dat meerdere personen en organisaties in die tien jaar de gegevens – onrechtmatig – bekeken. De rechtbank komt daarom tot een schadevergoeding van € 2.500.
Benieuwd wat er in augustus 2021 gaat gebeuren? Wij ook. Over een maand zijn we bij u terug met de volgende jurisprudentieblog!
Meld je nu aan voor één van de nieuwsbrieven van ICTRecht en blijf op de hoogte van onderwerpen zoals AI, contracteren, informatiebeveiliging, e-commerce, privacy, zorg & ICT en overheid.