Veel aandacht voor specifieke privacywetgeving
Privacy is hot en krijgt de laatste tijd steeds meer aandacht in de media en de politiek. Opvallend daarbij is dat die aandacht met name uitgaat naar allerlei hele specifieke privacyregels. Zo geeft het spamverbod regels over de omgang met e-mailadressen, de cookiewet regels over het uitlezen en plaatsen van gegevens opgeslagen op iemands computer en de bel-me-niet wetgeving regels over het gebruik van telefoonnummers voor commerciele doeleinden.
Wet bescherming persoonsgegevens is algemene privacywet
De Wet bescherming persoonsgegevens (Wbp), die kan worden beschouwd als de algemene privacywet, wordt daarbij echter vaak vergeten. Deze wet geeft regels over het verwerken (=ieder werkwoord) van persoonsgegevens (=alle gegevens herleidbaar tot een persoon, al dan niet met enige moeite). Iedere elektronische (computergebaseerde) verwerking van persoonsgegevens dient aan de eisen van de Wbp te voldoen.
Wbp bevat algemene regels voor commercieel gebruik van persoonsgegevens
Een van de eisen die de Wbp stelt is dat persoonsgegevens alleen mogen worden verwerkt op basis van een geldige grondslag. Je zou de grondslag ook de reden of het "waarom" van de persoonsgegevensverwerking kunnen noemen.
De wet noemt zes mogelijke grondslagen (zie artikel 8 Wbp). Algemeen wordt aangenomen dat het gebruik van persoonsgegevens voor marketingdoeleinden valt onder de grondslag van het "gerechtvaardigd belang" (artikel 8 sub f Wbp).
De wet vereist dat bij een beroep op deze grondslag altijd een belangenafweging wordt gemaakt. Dat betekent dat degene die gegevens voor marketingdoeleinden wil gaan verwerken, zich kritisch moet afvragen of hij met die marketingactie de privacy van de betrokkenen niet te veel schendt. Bij veel "gewone" marketingacties zal dat niet snel het geval zijn (en dus zijn ze privacyrechtelijk vaak toegestaan). Het is echter denkbaar dat bijvoorbeeld bij het bij elkaar brengen van zeer veel en/of zeer privacygevoelige gegevens (zoals medische of financiele gegevens) voor een marketingactie, de conclusie moet zijn dat de privacy van de betrokkenen in dat geval moet prevaleren.
Belangrijk correctiemiddel voor de betrokkene
De wet laat het in eerste instantie aan het bedrijf of de instelling zelf om die afweging van belangen te maken. Ook voor wat betreft de andere eisen die de Wbp stelt geldt dat steeds de verantwoordelijke zelf kritisch moet toetsen of hij aan de eisen van de wet voldoet (zie in dat kader ook onze privacycheck en probeer dit eens zelf uit).
Een dergelijke self assessment kan de in ogen van de betrokkene wellicht echter verkeerd uitvallen. Anders gezegd: een bedrijf of instelling kan wel vinden dat een bepaalde marketingactie privacyrechtelijk door de beugel kan, de klanten waarop die marketingactie is gericht denken daar wellicht heel anders over.
Vandaar dat de wetgever een belangrijke correctie heeft aangebracht op die eigen afweging door de verantwoordelijke. Op grond van artikel 41 Wbp kan de betrokkene (de persoons wier gegevens worden verwerkt) namelijk altijd verzet aantekenen tegen (kort samengevat) gebruik van zijn persoonsgegevens voor commerciele doeleinden. De wet verplicht de verantwoordelijke om na een dergelijk verzet het commercieel gebruik van persoonsgegevens "terstond" te beeindigen. Dat betekent dat de gegevens niet meer voor de eerstvolgende marketingactie mogen worden gebruikt.
Je zou ook kunnen zeggen dat de wetgever er van uit gaat dat na het inroepen van verzet de (eerder genoemde) belangenafweging per definitie in het voordeel van de betrokkene uitvalt. De grondslag voor het verwerken van persoonsgegevens komt dus na een verzet te ontvallen. Verder gebruik voor commerciele doeleinden is dan niet langer toegestaan.
Verplichting om iedere keer op dit correctiemiddel te wijzen
De wet gaat zelfs nog iets verder. In lid 4 van artikel 41 Wbp staat namelijk (kort samengevat) dat bij ieder direct marketing bericht moet worden gewezen op dit recht van verzet. De volledige wettekst luidt als volgt:
4. De verantwoordelijke die persoonsgegevens verwerkt voor het in het eerste lid bedoelde doel, draagt zorg dat, indien daartoe rechtstreeks een boodschap aan de betrokkene wordt toegezonden, deze daarbij telkens wordt gewezen op de mogelijkheid tot het doen van verzet.
In de wetsgeschiedenis zijn de nodige vragen over dit artikel gesteld. Kamerleden vroegen zich af of het werkelijk nodig was dat bedrijven/instellingen bij ieder bericht zouden wijzen op dit recht van verzet. Daarop is als volgt geantwoord door een ambtenaar (namens de minister):
Als reclame wordt toegezonden, hetzij door middel van papier, dan wel door middel van e-mail, is dat een bericht van de verantwoordelijke richting betrokkene. In het kader van die communicatie moet dan de betrokkene worden gewezen op de mogelijkheid om bezwaar te maken. Dat geldt niet voor ieder bankafschrift, alleen voor iedere communicatie die het toezenden van reclame betreft.
Na kritiek van de DMSA heeft de minister wederom de verplichting verdedigd:
Artikel 41, vierde lid, heeft betrekking op een andere situatie, namelijk dat vervolgens van eerder vergaarde persoonsgegevens, hetzij door dezelfde verantwoordelijke, hetzij door een derde, gebruik wordt gemaakt om personen gericht te benaderen met commerciële aanbiedingen. Het schrijft voor dat ook in die situatie betrokkenen wordt gewezen op de mogelijkheden van verzet. Ik acht dit een wenselijk voorschrift, omdat vaak pas dan het (neven)doel van direct marketing duidelijk wordt
Wel is ook in andere kamerstukken opgenomen dat de verplichting niet geldt wanneer reclame terloops meegezonden wordt bij andere berichten:
e. Naar ons oordeel is geen sprake van gebruik van persoonsgegevens voor direct marketing, indien bij toezending van bijvoorbeeld een bankafschrift daarop tevens aandacht wordt gevraagd voor een nieuw produkt. De persoonsgegevens zijn dan immers niet gebruikt om de betrokkene te selecteren met het oog op direct marketing. Wij beschouwen dit dan ook niet als een mogelijkheid om de verplichting van artikel 41, vierde lid, te omzeilen.
Wetsvoorstel om deze verplichting af te schaffen afgewezen
De regering wilde in het kader van de administratieve lastenverlichting van deze bepaling af. Vandaar dat het aan het begin van 2009 een wetsvoorstel indiende waarin onder meer stond dat lid 4 van artikel 41 Wbp zou worden afgeschaft. De regering was onder meer van oordeel dat de privacyrichtlijn - de basis voor de Wbp - helemaal niet voorschrift om bij ieder reclamebericht te wijzen op het recht van verzet. Die informatie zou ook op andere wijze kunnen worden verstrekt:
Artikel 14, onderdeel b, van de richtlijn schrijft voor dat lidstaten aan betrokkenen het recht toekennen, op verzoek en kosteloos, zich te verzetten tegen een voorgenomen verwerking van hem betreffende persoonsgegevens door een verantwoordelijke met het oog op direct marketing, of aan betrokkenen het recht toekennen te worden ingelicht voordat persoonsgegevens voor de eerste keer aan derden worden verstrekt of voor rekening van derden worden gebruikt voor direct marketing, en het recht uitdrukkelijk ter kennis gebracht krijgen dat hij of zij zich kosteloos kan verzetten tegen deze verstrekking of dit gebruik van gegevens. Daaruit volgt niet dat betrokkene telkens wanneer hij wordt benaderd op de hoogte dient te worden gebracht van de mogelijkheid tot het doen van verzet. Derhalve kan worden volstaan met het voorgestelde derde lid van artikel 41 van de Wbp waarin is bepaald dat de verantwoordelijke die persoonsgegevens verwerkt voor de in het eerste lid bedoelde doelen, passende maatregelen neemt om betrokkenen de mogelijkheden bekend te maken tot het doen van verzet.
Hiertegen kwam vanuit de Tweede Kamer echter uitdrukkelijk verzet. Er werd een amendement ingediend om het vierde lide van artikel 41 Wbp juist te behouden. De kamerleden wensten het artikel te behouden, omdat met het wetsartikel "de burger bij uitstek in de gelegenheid [wordt] gesteld zelf het gebruik van [zijn] persoonsgegevens te sturen".
De staatssecretaris reageerde in eerste instantie kritisch op dit amendement, maar liet uiteindelijk in de brief van 20 juni 2011 blijken het oordeel over het amendement over te laten aan de Kamer. De Kamer heeft het amendement vervolgens met algemene stemmen aangenomen.
Conclusie: verplichting nog volop aanwezig
Een duidelijkere aanwijzing dat de verplichting nog volop geldt is er wat mij betreft haast niet denkbaar. De regering heeft geprobeerd het artikel af te schaffen, de Tweede Kamer hield dit echter (zelfs met algemene stemmen) tegen.
Direct marketing zal dus altijd vergezeld moeten gaan van een mededeling dat het recht op verzet bestaat. Indien niet aan die verplichting wordt voldaan, zou door het College Bescherming Persoonsgegevens handhavend opgetreden kunnen worden. Aangezien deze eis ook in specifieke wetgeving wel terugkomt, bijvoorbeeld in de spamwetgeving, zouden ook andere toezichthouders (zoals de OPTA) mogelijk handhavend kunnen optreden.
Bovendien denk ik, los van alle juridische argumenten en afwegingen, dat bedrijven en instellingen er eenvoudigweg verstandig aan doen dergelijke informatie in reclameuitingen op te nemen. Je kunt je immers afvragen of een bedrijf dat het klanten moeilijk maakt om toezending van reclame stop te zetten, niet eigenlijk bezig is met korte termijn politiek.
