Persoonsgegevens ondernemers op Google Maps
Dit voorjaar ontdekten kamerleden van de SP dat adresgegevens van ondernemers via Google Maps te vinden zijn. In de ogen van de kamerleden werd de privacy van met name eenmanszaken hierdoor geschonden, aangezien deze ondernemers vaak bedrijf aan huis hebben en daarmee hun priveadres op internet staat. Zij stelden daarop kamervragen aan de staatssecretaris van Economische Zaken.
In het antwoord van de staatssecretaris wordt het volgende opgemerkt: "Openbaarmaking van gegevens en verstrekking daarvan aan derden dient het doel van de bevordering van handel, industrie, ambacht en dienstverlening. Ook wanneer die informatie niet rechtstreeks maar via derden openbaar gemaakt wordt." Op de Wet bescherming persoonsgegevens gaat de staatssecretaris nauwelijks in, ze merkt slechts op dat het College Bescherming Persoonsgegevens destijds over het wetsontwerp "positief heeft geadviseerd".
Ik zal hierna kort ingaan op de vraag of dit antwoord volgens mij juist is. Eerst zal ik de andere zaak kort schetsen.
Persoonsgegevens domeinnaamhouders via SIDN
De SIDN, de beheerder van alle .nl-domeinnamen, biedt al sinds haar oprichting de mogelijkheid via haar website te zoeken in een publiek toegankelijk register van domeinnaamhouders. Zo is bijvoorbeeld eenvoudig te zien wie de houder is van het domein dirkzwager.nl.
Onlangs kondigde SIDN op Webwereld aan dat het aantal gepubliceerde gegevens bij een domeinnaam in de toekomst beperkt zal worden tot naam en e-mailadres. Ik zal hierna beschrijven of deze beperking naar mijn oordeel voldoende is.
Wet bescherming persoonsgegevens geeft beperkingen
De Wet bescherming persoonsgegevens is van toepassing op iedere geautomatiseerde verwerking van persoonsgegevens (artikel 2) en daarmee op het publiceren van gegevens op Internet. Zo is ook bevestigd in de Lindqvist-zaak.
Persoonsgegevens mogen slechts worden verwerkt wanneer een van de grondslagen van artikel 8 WBP zich voordoet. Deze grondslagen zijn kortweg:
- toestemming;
- uitvoering overeenkomst;
- wettelijke verplichting;
- vrijwaring vitaal belang betrokkene;
- vervulling publiekrechtelijke taak;
- gerechtvaardigd belang verantwoordelijke.
Toetsing situaties Google en SIDN aan de wet
Google lijkt geen grondslag te hebben
Google heeft ongetwijfeld geen toestemming van alle betrokkenen voor publicatie (8a), van een overeenkomst (8b) met degene wiens gegevens worden gepubliceerd lijkt geen sprake, Google heeft geen wettelijke plicht tot publicatie (8c) en ook de situaties onder 8d en 8e doen zich niet voor. Daarmee blijft 8f over: gerechtvaardigd belang.
Uit de Memorie van Toelichting (pdf) volgt dat daarbij een afweging van belangen moet plaatsvinden, waarbij kritisch moet worden bekeken of het belang van de betrokkene niet voorgaat: "Cruciaal is evenwel dat de toelaatbaarheid van de gegevensverwerking door diezelfde richtlijn begrensd wordt: de verwerking is uitsluitend toelaatbaar indien zij noodzakelijk is met het oog op belang van de verantwoordelijke of een derde én het belang van degene van wie de gegevens worden verwerkt niet prevaleert." (pagina 86).
Ik vraag mij af of het belang van de betrokkene op privacy in dit geval niet zwaarder weegt dan het commerciële belang van Google op nog wat meer gegevens in de zoekresultaten.
Overigens kan de Kamer van Koophandel zelf zich vermoedelijk beroepen op artikel 8c: uitvoering van een wettelijke taak.
Ook SIDN lijkt geen grondslag te hebben
Voor publicatie van de gegevens in de SIDN databank geldt in feite hetzelfde: ook dit komt aan op een belangenafweging in de zin van 8f. Denkbaar was nog geweest dat SIDN via haar algemene voorwaarden (pdf) toestemming zou vragen, maar deze voorwaarden melden slechts dat er een register is (zonder voor opname hierin toestemming te vragen).
Ook hier vraag ik me af of de keuze van de SIDN om gegevens te publiceren de (rechterlijke) toets doorstaat. De publicatie van deze gegevens, zelfs wanneer dit beperkt zou worden tot slechts naam en e-mailadres, dient immers vooral haar eigen belang: voorkomen dat zij veel capaciteit kwijt is aan het beoordelen en afhandelen van verzoeken om informatie.
Dit terwijl bijvoorbeeld het achterhalen van de abonnee achter een telefoonnummer of het postadres van een Hyves-gebruiker bij lange na niet zo eenvoudig is. Dit zijn in feite vergelijkbare situaties; ik zie niet in waarom een domeinnaamhouder meer privacy prijs zou moeten geven dan andere afnemers van vergelijkbare elektronische diensten.
Conclusie
De Wet bescherming persoonsgegevens is een strenge wet. Bij publicatie van persoonsgegevens op Internet is deze wet (nagenoeg) altijd van toepassing. De wet verdient dan ook meer aandacht.
