Privacy basics: verwijderingsverzoeken.
22 december 2020 / in Nieuws /door Paul Dam en Prasanna Kali
Dit artikel is relevant voor: iedere organisatie die een verzoek ontvangt om de persoonsgegevens van een medewerker, klant, burger of andere betrokkene te wissen.
Spring direct naar ons praktijkadvies.
Recht op ‘vergetelheid’
Het recht op vergetelheid is hetzelfde als het recht op gegevenswissing. Een betrokkene heeft in bepaalde gevallen het recht om van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen (art. 17, lid 1, AVG). De situaties waarin de betrokkene dat recht heeft:
- De gegevens worden onrechtmatig verwerkt
Voor de hand liggend: de gegevens moeten dan worden gewist (art. 5, lid 1, onder a, in samenhang met art. 17, lid 1, onder d, AVG). - De gegevens zijn niet langer nodig
De verwerking voldoet dan niet meer aan de vereiste ‘noodzakelijkheid’ (art. 5, lid 1, onder e, en art. 6, lid 1, in samenhang met art. 17, lid 1, onder a, AVG). - Er is een wettelijke plicht om de gegevens te wissen
Ook voor de hand liggend: de gegevens moeten dan worden gewist (art. 6, lid 1, onder c, in samenhang met art. 17, lid 1, onder e, AVG). - De betrokkene trekt zijn toestemming in (en er is geen andere grondslag van toepassing)
Er is dan geen ‘grondslag’ meer voor de verwerking (als bedoeld in art. 6, lid 1, AVG) of geen uitzondering meer van toepassing voor de verwerking van bijzondere persoonsgegevens (als bedoeld in art. 9, lid 2, onder a, AVG). Een betrokkene mag zijn of haar toestemming te allen tijde intrekken (art. 7, lid 3, AVG). - De betrokkene maakt bezwaar tegen gebruik van zijn of haar gegevens voor direct marketing
De belangen van de betrokkene wegen in dit geval op voorhand zwaarder dan het ‘gerechtvaardigd belang’ van de verwerkingsverantwoordelijke (art. 6, lid 1, onder f, in samenhang met art. 17, lid 1, onder c, en art. 21, lid 2 en 3, AVG). - De betrokkene maakt bezwaar vanwege met zijn specifieke situatie verband houdende redenen
Alleen na afweging kan de verwerkingsverantwoordelijke beslissen dat zijn dwingende gerechtvaardigde gronden zwaarder wegen dan de belangen van de betrokkene (art. 6, lid 1, onder f, in samenhang met art. 17, lid 1, onder c, en art. 21, lid 1, AVG).Casus De verwerking van persoonsgegevens door de zoekmachine van Google is in beginsel gerechtvaardigd op basis van art. 6, lid 1, sub f, AVG. Bij een verzoek om URL’s uit zoekresultaten te wissen, moet Google een belangenafweging maken. De eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens wegen in de regel zwaarder dan, en hebben dus voorrang op, het economisch belang van de exploitant van de zoekmachine. Dat kan in bijzondere gevallen anders zijn, afhankelijk van de aard van de betrokken informatie en de gevoeligheid ervan voor het privéleven van de betrokkene en van het belang dat het publiek erbij heeft om over deze informatie te beschikken, wat met name wordt bepaald door de rol die deze persoon in het openbare leven speelt. Zie Hof van Justitie van de EU 13 mei 2014, zaak C-131/12, ECLI:EU:C:2014:317, r.o. 81 (Google Spain v. AEPD & Costeja) en Hoge Raad 24 februari 2017, ECLI:NL:HR:2017:316 (X/Google).
Recent wees de rechtbank Noord-Nederland het verwijderingsverzoek af van twee publieke figuren op de Groningse vastgoedmarkt. Zoekresultaten op Google verwijzen naar mediaberichten van BNNVARA, SBS en Sikkom over de twee. De rechtbank overwoog dat de berichten in de media twee publieke figuren betreffen, een waarschuwingsfunctie hebben en deel uitmaken van een (lokaal) maatschappelijk debat over de lokale huursector. Google hoeft de links naar de berichten in de media niet te verwijderen. Zie Rb. Noord-Nederland 5 november 2020, ECLI:NL:RBNNE:2020:3897, r.o. 7.17.
- In het kader van een online-dienst vraagt de betrokkene om wissing van gegevens die op grond van toestemming zijn verkregen toen betrokkene een kind was
Bij online-diensten (diensten van de informatiemaatschappij als bedoeld in art. 1, lid 1, onder b, Richtlijn (EU) 2015/1535) moet de verwerkingsverantwoordelijke de gegevens wissen als de verwerking op grond van toestemming plaatsvindt en de gegevens de betrokkene als kind betreffen (art. 6, lid 1, onder a, en art. 8, lid 1, in samenhang met art. 17, lid 1, onder f, AVG). Een betrokkene kan eisen dat de gegevens worden gewist indien deze verband houden met deze diensten. Van dit recht kan de betrokkene ook gebruikmaken als hij of zij geen kind meer is (overweging 65, AVG).
Ziet het recht op wissen ook op verstrekte gegevens?
De persoonsgegevens waar het verwijderingsverzoek betrekking op heeft, zijn mogelijk door de verwerkingsverantwoordelijke verstrekt aan anderen. Als de verwerkingsverantwoordelijke (op bovenstaande gronden) de gegevens moet wissen, is de verwerkingsverantwoordelijke verplicht de ontvangers ervan op de hoogte te stellen dat de betrokkene heeft verzocht om zijn gegevens te wissen. De verwerkingsverantwoordelijke dient daartoe, met inachtneming van de beschikbare technologie en de middelen waarover hij beschikt, redelijke maatregelen te nemen (overweging 66, AVG).
Uitzonderingen
Er zijn enkele uitzonderingen op het verwijderingsrecht (art. 17, lid 3, AVG):
- Vrijheid van meningsuiting en informatie
Als verwerking nodig is voor uitoefening van het recht op vrijheid van meningsuiting en informatie, is het verwijderingsrecht niet van toepassing. In het Google Spain v. AEPD & Costeja-arrest wordt duidelijk dat dit soms afhankelijk is van een belangenafweging tussen de gevoeligheid ervan voor het privéleven van de betrokkene en van het belang dat het publiek erbij heeft om over deze informatie te beschikken. Dit wordt met name bepaald door de rol die deze persoon in het openbare leven speelt. Politici, hooggeplaatste ambtenaren, zakenmensen en leden van (gereglementeerde) beroepen worden doorgaans aangemerkt als mensen die een rol in het openbare leven spelen. - Grondslagen: wettelijke verplichting, algemeen belang en openbaar gezag
Het verwijderingsrecht is niet van toepassing indien de verwerking een wettelijke verplichting, een algemeen belang of openbaar gezag als grondslag heeft als bedoeld in art. 6, lid 1, onder c en e, AVG. Zo is ING als aanbieder van krediet op grond van artikel 4:32 lid 1 Wft verplicht deel te nemen aan een stelsel van kredietregistratie en is de grondslag van die verwerking dus een wettelijke plicht (Gerechtshof Den Haag 8 september 2020, ECLI:NL:GHDHA:2020:1569, r.o. 13.2.). Een werkgever is verplicht een loonadministratie te voeren. - Volksgezondheid
Een verwijderingsverzoek kan ook worden geweigerd indien de gegevens nodig zijn in verband met doeleinden van preventieve of arbeidsgeneeskunde, voor de beoordeling van de arbeidsgeschiktheid van de werknemer, medische diagnosen, het verstrekken van gezondheidszorg of sociale diensten of behandelingen dan wel het beheren van gezondheidszorgstelsels en -diensten of sociale stelsels en diensten, of uit hoofde van een overeenkomst met een gezondheidswerker (art. 9, lid 2, sub h, en lid 3, AVG). Ook kan een verwijderingsverzoek worden geweigerd indien de verwerking noodzakelijk is om redenen van algemeen belang op het gebied van de volksgezondheid, zoals bescherming tegen ernstige grensoverschrijdende gevaren voor de gezondheid of het waarborgen van hoge normen inzake kwaliteit en veiligheid van de gezondheidszorg en van geneesmiddelen of medische hulpmiddelen, op grond van Unierecht of lidstatelijk recht waarin passende en specifieke maatregelen zijn opgenomen, met name van het beroepsgeheim (art. 9, lid 2, sub i, AVG). - Archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden
Als een verwijderingsverzoek archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of verwerking met het oog op statistische doeleinden in de weg staat, mag je dit weigeren. Dit kan echter alleen als rekening wordt gehouden met technische en organisatorische maatregelen om de inachtneming van het beginsel van minimale gegevensverwerking te garanderen, waaronder pseudonimisering (art. 89, lid 1, AVG). - Rechtsvorderingen
Ook hoef je niet te voldoen aan een verwijderingsverzoek als de gegevens waarop het verzoek betrekking heeft, nodig zijn voor het instellen, uitoefenen of onderbouwen van een rechtsvordering. Feiten die bijvoorbeeld van belang zijn voor een verzoek tot revindicatie hoeven niet verwijderd te worden.
Verwijdering door Google en andere zoekmachines
Zoekmachine-exploitanten verwerken ook persoonsgegevens. Er zijn veel verwijderingsverzoeken tot hen gericht.
Een zoekmachine die erin volstaat door derden op het internet gepubliceerde of opgeslagen informatie te vinden, automatisch te indexeren, tijdelijk op te slaan én in een bepaalde volgorde ter beschikking te stellen aan internetgebruikers, moet worden gekwalificeerd als verwerking van persoonsgegevens. Het wordt op deze wijze gekwalificeerd indien deze informatie persoonsgegevens bevat en de exploitant van deze zoekmachine moet worden geacht de „verantwoordelijke” voor deze verwerking te zijn (CJEU 13 May 2014, C-131/12 (Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González), r.o. 41.). Een voorbeeld zou kunnen zijn dat als op de naam van betrokkene wordt gegoogled zoekresultaten naar voren komen van twee pagina’s van een dagblad met daarin een aankondiging met de naam van de betrokkene betreffende een verkoop per opbod van gebouwen in het kader van een beslag ter terugvordering van socialezekerheidsschulden. Deze veiling dateert echter al van vele jaren daarvoor (CJEU 13 May 2014, C-131/12 (Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González), r.o. 14-15.). Google is in dit geval de verwerkingsverantwoordelijke.
Gelet op de potentiële ernst van de gevolgen van deze verwerking op de grondrechten t.a.v. persoonlijke levenssfeer en gegevensbescherming, hebben rechten van de betrokkene in de regel voorrang op het economische belang van de zoekmachine en dat van internetgebruikers om toegang te krijgen tot de persoonsgegevens via de zoekmachine (CJEU 13 May 2014, C-131/12 (Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González), r.o. 81.). Soms dienen koppelingen die rechtmatig zijn opgenomen in door derden gepubliceerde webpagina’s met correcte informatie over de betrokkene verwijderd te worden van de resultatenlijst. Dit is het geval wanneer na het zoeken op naam van de betrokkene in de resultatenlijst koppelingen en informatie is opgenomen die ontoereikend, niet of niet meer ter zake dienend of bovenmatig is ten aanzien van het doel van de betrokken verwerking door de exploitant van de zoekmachine. Gewaarborgde grondrechten kunnen verlangen dat betrokken informatie niet meer opgenomen kan worden in een dergelijke resultatenlijst. Deze rechten krijgen in beginsel voorrang, niet enkel op het economische belang van de exploitant van de zoekmachine, maar ook op het belang van dit publiek om toegang tot deze informatie te krijgen wanneer op de naam van deze persoon wordt gezocht. De rol die deze persoon in het openbare leven speelt wordt bijvoorbeeld gerechtvaardigd door het overwegende belang dat het publiek erbij heeft om, door deze opneming, toegang tot de betrokken informatie te krijgen (CJEU 13 May 2014, C-131/12 (Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González), r.o. 97-99.).
In het bovenstaande voorbeeld zou Google bij de beoordeling van een verwijderingsverzoek afwegingen moeten maken tussen de privacybelangen van betrokkene en informatie- en nieuwswaarde van zoekresultaten die de persoonsgegevens van betrokkene bevat. Gelet op de gevoeligheid van informatie in deze aankondigingen voor het privéleven van de betrokkene en op de omstandigheid dat deze informatie zestien jaar daarvoor is gepubliceerd, heeft de betrokkene recht erop dat deze informatie niet langer via een dergelijke resultatenlijst met zijn naam wordt verbonden. Aangezien er in dit voorbeeld geen bijzondere redenen lijken te zijn ter rechtvaardiging van een overwegend belang voor het publiek, kan de betrokkene de verwijdering van deze koppelingen van de resultatenlijst verlangen.
Het verwijderingsrecht heeft enkel betrekking op resultaten van zoekopdrachten op basis van de naam van een persoon en vereist niet dat de koppeling volledig wordt verwijderd uit de indexen van de zoekmachine. Dit houdt in dat de oorspronkelijke informatie nog steeds toegankelijk zal zijn via andere zoektermen of door directe toegang tot de oorspronkelijke bron van de webredacteur. Je hoeft namelijk niets te verwijderen als gevolg van handelingen van zoekmachine-aanbieders.
Praktijkadvies: wat betekent dit voor mij?
De beslissing op een verwijderingsverzoek hangt van vele factoren af. Het schema in het begin van dit artikel biedt overzicht. In een aantal gevallen kan eenvoudig geweigerd worden of staat vrijwel op voorhand vast dat het ingewilligd moet worden. In andere gevallen moet een belangenafweging plaatsvinden. Kort gezegd is ons praktische advies:
- Een betrokkene heeft recht op het wissen van zijn of haar gegevens zonder onredelijke vertraging indien: persoonsgegevens niet langer nodig zijn, toestemming is ingetrokken, terecht bezwaar is gemaakt, onrechtmatige verwerking plaatsvond, een wettelijke verplichting tot het wissen bestaat of verwerking op grond van toestemming bij online-diensten aangeboden aan kinderen.
- De verwerkingsverantwoordelijke die verplicht is te wissen, moet redelijke maatregelen nemen om de ontvangers van die persoonsgegevens, op de hoogte stellen van het verzoek tot wissen.
- Uitzonderingen kunnen gelden indien sprake is van: recht op vrijheid van meningsuiting en informatie, wettelijke verplichting tot verwerking of verwerking noodzakelijk met het oog op taken van algemeen belang of openbaar gezag, volksgezondheid, archivering in het algemeen belang of wetenschappelijk of historisch onderzoek of verwerking met het oog op statistische doeleinden of rechtsvorderingen.
De exploitant van een zoekmachine kan verplicht zijn om een of meer resultaten (URL’s) die na een zoekopdracht op naam van een persoon worden weergegeven te verwijderen. De exploitant moet daartoe bij de beoordeling van een verwijderingsverzoek een belangenafweging maken.