In het artikel van vorige week kon u lezen waarom Google met zijn streetviewservice moet voldoen aan de Wet bescherming persoonsgegevens (Wbp) – voor meer informatie over de Wet bescherming persoonsgegevens verwijs ik u naar het artikel daarover. In deze wet worden plichten toegekend aan de verantwoordelijke voor de gegevensverwerking, en rechten aan iedereen van wie gegevens worden verwerkt (oftewel de betrokkene). In dit artikel kunt u meer lezen over de vraag wie de verantwoordelijke is en waaruit zijn plichten bestaan.

In art. 1 van de Wbp wordt het begrip ‘verantwoordelijke’ als volgt omschreven: “de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”. Deze ingewikkelde formulering vertelt ons dat de verantwoordelijke degene is die het doel en de middelen voor de bewerking van gegevens vaststelt. Met het vaststellen van de middelen wordt bedoeld de manier waarop de verwerking plaatsvindt. Dit betreft bijvoorbeeld de computerprogramma’s die hierbij worden gebruikt. Het vaststellen van het doel van de verwerking is iets gecompliceerder. De Wbp bepaalt dat een verantwoordelijke alleen persoonsgegevens mag verwerken indien de verwerking plaatsvindt in het kader van een in de wet vastgelegd doel (art. 7 Wbp). Deze doelen staan vermeld in art. 8 van de wet. Als er eenmaal een doel is vastgesteld, mogen de gegevens niet zomaar voor een ander doel worden gebruikt (art. 9 Wbp). Dit heet het ‘doelbindingsbeginsel’. Als we teruggaan naar Google streetview, kunnen we stellen dat Google de verantwoordelijke is. Deze rechtspersoon stelt het doel en de middelen vast voor zijn streetviewservice.

Aangezien Google zelf van mening is dat men geen persoonsgegevens verwerkt – zie het artikel van vorige week – heeft het bedrijf zich niet uitgesproken over het doel waarvoor de gegevens worden verzameld. Om te kunnen beoordelen of de gegevens voor een gerechtvaardigd doel (zoals verplicht gesteld in art 7 Wbp) worden verwerkt, moeten we alle relevante opties langsgaan om te bekijken of Google zich daar wel op kan beroepen. De eerste optie geeft alleen toestemming voor de verwerking in geval van ondubbelzinnige toestemming van de betrokkene. In geval van Google streetview is dit niet mogelijk, omdat men dan alvorens de foto’s worden gemaakt – zoals nu gebeurt van uit rondrijdende auto’s – alle mensen en auto-eigenaren om toestemming zou moeten vragen. Dit is onwerkbaar. Daar komt bij dat deze toestemming vooraf te allen tijde kan worden ingetrokken en dus geen stabiele situatie schept. Bij de tweede mogelijkheid moet er sprake zijn van een overeenkomst tussen de verantwoordelijke en de betrokkene, en moet de verwerking in het kader van die overeenkomst plaatsvinden. De derde grond geeft toestemming aan de verantwoordelijke tot de verwerking als die gebeurt in het kader van een wettelijke verplichting waaraan de verantwoordelijke is onderworpen. Google heeft zijn streetviewservice echter in het leven geroepen om geld te verdienen! Hierbij is dus geen sprake van een wettelijke verplichting.

Voor de vierde grond moet er sprake zijn van de vrijwaring van een vitaal belang van de betrokkene. Ook aan dit vereiste lijkt niet te worden voldaan. De vijfde grond is alleen van toepassing op bestuursorganen. Aangezien Google een commercieel bedrijf is, is hiervan zeker geen sprake. De zesde en laatste grond blijft dan als enige mogelijkheid over. Hierbij is een belangenafweging noodzakelijk, waarin het gerechtvaardigde belang van de verantwoordelijke moet worden afgewogen tegen de belangen van de betrokkene, in het bijzonder zijn recht op bescherming van de persoonlijke levenssfeer. Pas als het eerste belang, in dit geval de inkomsten die de Google streetviewservice aan het bedrijf Google Inc oplevert, prevaleert boven het belang van bescherming van de persoonlijke levenssfeer van alle betrokkenen op de foto’s, kan Google zich op deze verwerkingsgrond beroepen. In dit geval zal echter het belang van de betrokkene zwaarder moeten wegen. Google kan zich dan ook niet op een gerechtvaardigd doel beroepen, met als gevolg dat de verwerking op basis van de Wbp niet zal mogen plaatsvinden. Om een volledig beeld van de verplichtingen van de verantwoordelijke te scheppen, zal voor de rest van dit artikel worden aangenomen dat de verwerking wel is toegestaan.

Voor de verantwoordelijke is het belangrijk om te weten welke soort persoonsgegevens er wordt verwerkt. De Wbp maakt onderscheid tussen 3 soorten persoonsgegevens, zoals kunt u lezen in het artikel over de Wbp. Afhankelijk van het soort persoonsgegevens is er een bepaald regime van verplichtingen van toepassing. In geval van Google streetview worden er sowieso algemene of gewone persoonsgegevens verwerkt. Daarnaast kan worden betoogd dat Google streetview ook bijzondere persoonsgegevens verwerkt. Dit zou het geval zijn wanneer aan de hand van uiterlijke kenmerken iemands ras zou kunnen worden vastgesteld. Dit zal vast niet voor iedereen gelden, maar er zijn zeker mensen op wie dit van toepassing is. Bij het verwerken van bijzondere persoonsgegevens is er sprake van een verbod op de verwerking, tenzij de verantwoordelijke zich op een uitzondering kan beroepen. Deze uitzonderingen staan in de artikelen 17 t/m 23 Wbp. In art. 18 worden specifieke uitzonderingen genoemd voor de verwerking van persoonsgegevens met betrekking tot iemands ras en in art. 23 staan uitzonderingen die gelden voor alle soorten bijzondere persoonsgegevens. Aangezien Google zich op geen van deze uitzonderingen kan beroepen, is de verwerking van deze bijzondere persoonsgegevens volgens de wet niet toegestaan. Met betrekking tot de normale persoonsgegevens geldt geen verwerkingsverbod, zoals bij de bijzondere persoonsgegevens.

Wel is er bij normale persoonsgegevens een algemeen regime van maatregelen van toepassing om een goede verwerking van deze gegevens te verzekeren. In het artikel over de Wbp werd al ingegaan op de meldingsplicht. Deze is in dit geval eveneens van toepassing. In art. 10 wordt vermeld dat de gegevens waarmee een persoon kan worden geïdentificeerd niet langer bewaard mogen worden dan voor het doel, waarvoor de gegevens zijn verkregen, is vereist. In het artikel van vorige week zagen we dat Google van mening is dat men geen persoonsgegevens meer verwerkt als de gezichten en kentekenplaten worden vervaagd. Hierdoor zou de bewaarplicht niet meer van toepassing zijn en zou Google zelf mogen bepalen hoelang de gegevens worden bewaard. In datzelfde artikel werd aangetoond waarom deze mening onjuist is.

Naast de bewaarplicht bepaalt de wet in art. 11 dat de gegevens alleen verwerkt mogen worden als dat met het oog op het doel van de verwerking noodzakelijk is en de gegevens niet bovenmatig zijn. Met andere woorden, er mogen niet meer gegevens worden verwerkt en ze mogen niet langer worden bewaard dan strikt noodzakelijk is. Daarnaast is in art. 13 de plicht vastgelegd dat de verantwoordelijke alle noodzakelijke technische en organisatorische maatregelen moet nemen om de gegevens en de verwerking ervan te beschermen. Afhankelijk van het soort persoonsgegevens moet worden bepaald welke beveiligingsmaatregelen noodzakelijk zijn om ongewenste verspreiding te voorkomen. Hierbij is de mate van beveiliging tevens afhankelijk van de gebruikte middelen. Als het gaat om een verwerking van persoonsgegevens in een kaartenbak, zijn er andere beveiligingsmaatregelen nodig dan wanneer de gegevens worden opgeslagen in bijvoorbeeld een Cloud (zie in dit verband ook het artikel over Cloud Computing en privacy). Hierbij is niet alleen van belang dat de beveiliging op technisch, maar dus ook op organisatorisch vlak wordt bekeken.

Kortom, een verantwoordelijke van een gegevensverwerking waarin persoonsgegevens worden verwerkt, moet zich houden aan een breed scala van verplichtingen. In geval van Google streetview is de verwerking van persoonsgegevens volgens de Wbp zelfs niet toegestaan. Mensen die zichzelf op de foto’s van Google streetview aantreffen kunnen dan ook verschillende stappen ondernemen om zich tegen deze foto’s te verzetten. Zo kunnen zij zich beroepen op strijdigheid met de wet waarvan bij deze verwerking sprake is. Daarnaast kunnen zij zich beroepen op de rechten die de Wbp aan betrokkenen van een gegevensverwerking toekent. Hierover kunt u meer lezen in het artikel van volgende week. Mr. Sophia Sipkens kan u helpen bij het claimen van uw rechten.

Lees ook de andere artikelen van mr. Sophia Sipkens.