Inleiding
In het eerste artikel van deze reeks heb ik uitgelegd dat openbaar toegankelijke persoonsgegevens gewoon onder de AVG vallen. Wie denkt dat het openbare karakter van een bron al voldoende rechtvaardiging geeft om die gegevens te verwerken, mist een kernpunt: een verwerking van persoonsgegevens vereist een grondslag op grond van artikel 6 AVG, en ook alle andere beginselen van de verordening blijven gewoon gelden.
Dat betekent niet dat openbaarheid juridisch niets uitmaakt. In dit tweede artikel kijk ik naar de situaties waarin openbaarheid wél een rol speelt: bij de grondslag gerechtvaardigd belang, bij de verhouding tot toestemming als grondslag, en bij de beperkte uitzondering voor ‘kennelijk openbaar gemaakte’ bijzondere persoonsgegevens. Alle drie laten zien dat openbaarheid een factor kan zijn in de afweging, maar nooit een vrijbrief.
Openbaarheid in de belangenafweging
De grondslag ‘gerechtvaardigd belang’ is de plek waar openbaarheid het meest concreet meeweegt.[1] Hoe die afweging werkt, en welke rol de redelijke verwachtingen van de betrokkene daarin spelen, laat ik hieronder zien.
De driestappentoets
Om een beroep te kunnen doen op gerechtvaardigd belang, moet de verwerkingsverantwoordelijke voldoen aan drie cumulatieve voorwaarden.Ten eerste moet sprake zijn van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde. Ten tweede moet de verwerking noodzakelijk zijn voor de behartiging van dat belang. Ten derde mogen de belangen of grondrechten en fundamentele vrijheden van de betrokkene niet zwaarder wegen.[2]
Het Hof van Justitie van de Europese Unie (HvJ-EU) heeft deze driestappentoets recent bevestigd en nader ingevuld in de zaak KNLTB/AP.[3] Het Hof oordeelde ter nadere invulling bij stap 1 dat een zuiver commercieel belang wél kan kwalificeren als gerechtvaardigd belang. Daarvoor is geen uitdrukkelijke wettelijke basis vereist. Maar het Hof benadrukte tevens dat dit per geval moet worden beoordeeld, waarbij de verwerkingsverantwoordelijke moet nagaan of het doel niet ook op een minder ingrijpende wijze kan worden bereikt (stap 2).
Redelijke verwachtingen als sleutelbegrip
Bij de derde stap, de belangenafweging, speelt het concept van de redelijke verwachtingen van de betrokkene een belangrijke rol. Overweging 47 AVG stelt dat de belangen en grondrechten van de betrokkene in het bijzonder zwaarder kúnnen wegen wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkene redelijkerwijs niet van verdere verwerking hoeft uit te gaan.[4]
Hier komt openbaarheid in beeld. Iemand die zijn contactgegevens op een openbare bedrijfswebsite plaatst, verwacht wellicht dat potentiële klanten contact opnemen. Maar diezelfde persoon verwacht niet noodzakelijkerwijs dat zijn gegevens worden opgenomen in een commercieel adressenbestand of worden ge-scraped voor geautomatiseerde marketingcampagnes. De redelijke verwachtingen moeten steeds worden beoordeeld vanuit het perspectief van de betrokkene, niet vanuit dat van de verwerkingsverantwoordelijke.[5]
Het openbare karakter van gegevens kán dus in het voordeel van de verwerkingsverantwoordelijke werken bij de belangenafweging, maar het is allerminst een vrijbrief. Steeds zal moeten worden beoordeeld: wat is het doel van de verwerking, is dat doel verenigbaar met de context waarin de gegevens openbaar zijn gemaakt, en wat mag de betrokkene redelijkerwijs verwachten?
Grondslag voor verwerking door de overheid
Voor de overheid werkt het hierboven besproken kader vaak niet. Overheidsinstanties mogen voor de uitvoering van hun wettelijke taken namelijk geen gebruik maken van de grondslag gerechtvaardigd belang.[6] Voor hun wettelijke verplichtingen en taken steunen overheidsorganisaties op de grondslagen van ‘wettelijke verplichting’ of ‘taak van algemeen belang of openbaar gezag’.[7]
Net als bij iedere verwerking moet die grondslag terug te voeren zijn op een duidelijke en voorspelbare regel in het Unierecht of het nationale recht. Het openbare karakter van de bron levert die grondslag niet vanzelf op. Het Hof van Justitie heeft dat scherp gemarkeerd in de zaak SS SIA, waarin een Letse belastingdienst een advertentieplatform verplichtte om voor onbepaalde tijd alle gegevens over autoadvertenties aan te leveren. Het Hof oordeelde dat ook een overheidsinstantie niet op algemene en ongedifferentieerde wijze persoonsgegevens mag verzamelen, zelfs niet uit publiek toegankelijke bronnen en zelfs niet ter uitvoering van een taak van algemeen belang. Doelbinding, dataminimalisatie en de overige beginselen van artikel 5 AVG blijven onverkort gelden.[8]
Toch kan openbaarheid op een andere plek wel meewegen, namelijk bij de evenredigheid van de inbreuk. Het Europees Hof voor de Rechten van de Mens beoordeelt de zwaarte van een privacy-inbreuk aan de hand van de redelijke verwachting van de betrokkene: wie zijn gegevens vrijwillig in een openbare bron heeft geplaatst, kan minder verwachten dat die gegevens onder de radar van de overheid blijven.[9] Het Ministerie van Binnenlandse Zaken werkt dat in zijn juridisch kader voor online onderzoek in publiek toegankelijke bronnen verder uit aan de hand van vier factoren: de aard en hoeveelheid van de gegevens, de aard van de bron, de wijze van zoeken, en het beoogde gebruik.[10] Hoe lichter de inbreuk op deze factoren, hoe algemener de wettelijke grondslag mag zijn. Een eenmalig en gericht raadplegen van een openbaar profiel om te beoordelen of er reden is om handhavend op te treden, is iets fundamenteel anders dan het stelselmatig volgen van personen of het samenbrengen van informatie uit verschillende bronnen tot een persoonsbeeld.
Daar zit ook de bovengrens. Hoe ingrijpender de verwerking, hoe specifieker de wettelijke grondslag moet zijn en hoe meer waarborgen die wet zelf moet bevatten. Een algemene taakomschrijving biedt geen blanco volmacht om grootschalig of stelselmatig persoonsgegevens uit openbare bronnen te combineren. Voor de overheid blijven dus drie vragen leidend: berust de verwerking op een voldoende specifieke wettelijke grondslag, is zij strikt noodzakelijk voor het concrete doel, en is het verzamelen begrensd in omvang en tijd? Openbaarheid speelt in deze afweging hooguit een bescheiden rol; de werkelijke begrenzing zit in de wet waar haar grondslag op berust en in de beginselen van de AVG.
Openbaar gemaakt ≠ toestemming
Een misvatting is dat openbaarmaking van persoonsgegevens gelijkstaat aan toestemming voor verdere verwerking. Het arrest van het HvJ-EU in de zaak Schrems/Meta maakt definitief korte metten met die aanname.[11]
Schrems had tijdens een openbare paneldiscussie in Wenen zijn seksuele geaardheid ter sprake gebracht, specifiek om het privacybeleid van Facebook te bekritiseren. De discussie was toegankelijk voor publiek, werd gestreamd en later als podcast gepubliceerd. Schrems had zijn seksuele geaardheid echter nooit vermeld op zijn Facebook-profiel. Desondanks verwerkte Meta gegevens over zijn seksuele geaardheid, onder meer afkomstig van datingapps en websites voor homoseksuelen, en richtte op basis daarvan gepersonaliseerde reclame op hem.[12] De vraag was of de openbare verklaring van Schrems Meta machtigde om deze gegevens over zijn geaardheid te verwerken. Het Hof beantwoordde die vraag ontkennend.[13]
Toestemming in de zin van de AVG is aan strikte voorwaarden gebonden: de betrokkene moet zijn wil vrij, specifiek, geïnformeerd en ondubbelzinnig hebben geuit ten aanzien van een concrete verwerking door een geïdentificeerde verwerkingsverantwoordelijke, voor een bepaald doel.[14] De uitvoering van een overeenkomst mag bovendien niet afhankelijk worden gesteld van toestemming die voor die uitvoering niet noodzakelijk is.[15]
Het Hof trekt in dit arrest een heldere scheidslijn tussen openbaarmaking en toestemming. Het feit dat een betrokkene persoonsgegevens kennelijk openbaar heeft gemaakt, betekent niet dat hij daarmee toestemming heeft gegeven voor de verwerking van die gegevens.[16] Openbaarmaking en toestemming zijn twee zelfstandige rechtsfiguren met elk eigen voorwaarden.
Het onderscheid is zowel conceptueel als juridisch. Openbaarmaking betreft een beslissing over de toegankelijkheid van gegevens: de betrokkene maakt informatie beschikbaar voor een onbeperkt aantal personen, door middel van een bewuste en geïnformeerde keuze.[17] Toestemming daarentegen is een gerichte wilsuiting ten aanzien van een specifieke verwerking. Wie gegevens openbaar maakt, weet niet welke verwerkingsverantwoordelijken die gegevens zullen verwerken, noch voor welke doeleinden. Daarmee kan per definitie niet worden voldaan aan de vereisten van specifiekheid en geïnformeerdheid die de AVG aan toestemming stelt.
De les voor de praktijk is helder. Verwerkingsverantwoordelijken die persoonsgegevens uit openbare bronnen verwerken, kunnen zich niet verschuilen achter het openbare karakter van die gegevens als substituut voor toestemming. Zij zullen steeds moeten beschikken over een zelfstandige, eigen grondslag die voldoet aan de eisen van de AVG.
Wat betekent dit in de praktijk?
Op basis van het voorgaande kunnen de volgende aanbevelingen worden geformuleerd voor personen of organisaties die werken met persoonsgegevens uit openbaar toegankelijke bronnen.
Voer een belangenafweging uit.
Bij een beroep op gerechtvaardigd belang is een gedocumenteerde belangenafweging onmisbaar. Betrek daarbij de redelijke verwachtingen van de betrokkene: kan hij redelijkerwijs verwachten dat zijn openbaar beschikbare gegevens voor dit specifieke doel worden gebruikt?
Vertrouw niet op openbaarmaking als toestemming.
Het feit dat persoonsgegevens openbaar toegankelijk zijn, levert geen toestemming op voor verdere verwerking. Zorg voor een zelfstandige grondslag die voldoet aan de eisen van artikel 6 AVG, en bij bijzondere persoonsgegevens voor een toepasselijke uitzonderingsgrond uit artikel 9 lid 2 AVG.
Voor overheidsorganisaties: toets de mate van specificiteit van de wettelijke grondslag.
Een algemene taakomschrijving volstaat niet voor structureel of stelselmatig verzamelen van gegevens uit openbare bronnen. Hoe ingrijpender de verwerking, naar aard van de gegevens, wijze van zoeken en beoogd gebruik, hoe specifieker de wettelijke grondslag moet zijn en hoe meer waarborgen die wet zelf moet bevatten.
Conclusie
Openbaarheid is geen schakelaar die de bescherming van de AVG uitschakelt, maar zij is evenmin juridisch betekenisloos. Bij de grondslag gerechtvaardigd belang kan zij meewegen in de belangenafweging, met name via de redelijke verwachtingen van de betrokkene. Maar in beide gevallen blijft het de verwerkingsverantwoordelijke die het werk moet doen: het doel benoemen, de noodzakelijkheid onderbouwen, de afweging documenteren en de grenzen van de openbaarmaking respecteren. Openbaarheid kan meewegen, maar geeft niet eenzijdig de doorslag.
En bij bijzondere persoonsgegevens kan de openbaarheid van gegevens de toepassing van een specifieke uitzonderingsgrond openen. Hoe dat precies werkt, lees je in het derde deel van dit drieluik.
voetnoten:
[1] Artikel 6, lid 1, sub f, AVG.
[2] Overweging 47 AVG. Zie ook: EDPB Guidelines 1/2024 on processing of
personal data based on Article 6(1)(f) GDPR, 8 oktober 2024, p. 7-13.
[3] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:858, C-621/22 (KNLTB), r.o. 47-54.
[4] Overweging 47 AVG, vierde volzin.
[5] EDPB Guidelines 1/2024 on processing of personal data based on Article 6(1)
(f) GDPR, 8 oktober 2024, par 50-54.
[6] Artikel 6 lid 1, slotzin AVG.
[7] Respectievelijk artikel 6 lid 1 sub c en e AVG.
[8] HvJ-EU 24 februari 2022, ECLI:EU:C:2022:124, C-175/20 (SS SIA), r.o. 47, 57-58 en 73-74.
[9] EHRM 25 september 2001, nr. 44787/98, P.G. and J.H./Verenigd Koninkrijk, par. 57-58. Zie in dezelfde zin EHRM 27 juni 2017, nr. 931/13, Satakunnan Markkinapörssi Oy en Satamedia Oy/Finland [GC], par. 134 en 136-137, waar het Hof benadrukt dat openbare beschikbaarheid van gegevens de bescherming van art. 8 EVRM niet wegneemt, maar wel relevant kan zijn voor de voorzienbaarheid en zwaarte van de inmenging.
[10] Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, Juridisch kader online onderzoek in publiek toegankelijke bronnen door gemeenten in het kader van de openbare orde, oktober 2023, p. 10-11 en 23.
[11] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:834, C-446/21 (Schrems/Meta).
[12] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:834, C-446/21 (Schrems/Meta), r.o. 21–25 en 78–79.
[13] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:834, C-446/21 (Schrems/Meta), r.o. 80 en 83.
[14] Artikel 6 lid 1 sub a AVG. Zie ook artikel 7 en overwegingen 32, 42 en 43 AVG voor de specifieke voorwaarden voor toestemming.
[15] Artikel 7 lid 4 AVG.
[16] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:834, C-446/21 (Schrems/Meta), r.o. 82.
[17] HvJ-EU 4 oktober 2024, ECLI:EU:C:2024:834, C-446/21 (Schrems/Meta), r.o. 76-77.
