Rina Steenkamp - Privacy en technologie
Gelet op artikel 10, tweede en derde lid, van de Grondwet;
In het tijdperk dat voorafging aan de informatiemaatschappij beschermden verschillende onderdelen van het recht het individu tegen aantasting van eer en goede naam en tegen inbreuken op de persoonlijke levenssfeer. Jurisprudentie inzake onrechtmatige daad bij ontoelaatbare publikaties over iemands persoon; strafbepalingen inzake belediging, smaad en laster; regelingen omtrent archivering van overheidsdocumenten en de geheimhoudingsplicht van hulpverleners, vormden op uiteenlopende wijze een bescherming tegen onoirbaar geachte vormen van omgaan met persoonsgegevens. Het object van de regelgeving was hier echter steeds verschillend; persoonsgegevens vormden niet zelfstandig het voorwerp van regelgeving.
Met de komst van nieuwe technieken kunnen grote hoeveelheden persoonsgegevens gemakkelijk worden opgeslagen en ontsloten. Gegevens zijn een bron van informatie; informatie is de basis van kennis en kennis is macht. Deze macht kan ten goede, maar ook ten kwade worden aangewend. Met dit besef ontstaat de behoefte dergelijke samenhangende verzamelingen van persoonsgegevens als afzonderlijke juridische eenheid tot voorwerp van regelgeving te verheffen.
Bij de herziening van de Grondwet in 1983 werd in artikel 10, eerste lid, de bescherming van de persoonlijke levenssfeer uitdrukkelijk als klassiek grondrecht geformuleerd. Daarnaast werd in het tweede en derde lid aan de formele wetgever de opdracht gegeven om regels te stellen omtrent de bescherming van persoonsgegevens. Artikel 10 sloot aan bij zich gelijktijdig ontwikkelende jurisprudentie van het Europese Hof voor de rechten van de mens over de omvang van het recht op respect voor het privé-leven van het individu, neergelegd in artikel 8 van het EVRM, in relatie tot de opslag en het gebruik van persoonsgegevens.
De Wet persoonsregistraties, die op 1 juli 1989 in werking trad, geeft uitvoering aan artikel 10 van de Grondwet en geeft regels voor samenhangende verzamelingen van persoonsgegevens. Deze wet regelt eveneens omstandigheden waarin voorheen geen inbreuk op enig recht werd aangenomen. Met deze wet convergeerde de ontwikkeling van voorheen onderscheiden rechtsgebieden en werd aangeknoopt bij een maatschappelijke ontwikkeling waarbij op enkele plaatsen in computers grote verzamelingen persoonsgegevens werden aangelegd en van daaruit aan gebruikers werden verstrekt.
De ontwikkeling van de techniek verloopt evenwel onafhankelijk van de ontwikkeling van het recht en het vormt een uitdaging aan de rechtspraktijk nieuwe juridische begrippen te ontwikkelen, die tot op zekere hoogte technologie-neutraal zijn en daardoor minder snel verouderen ten gevolge van technische ontwikkelingen. Het begrip 'persoonsregistratie' is een voorbeeld van een technologie-afhankelijk begrip en het onderhavige wetsvoorstel neemt dan ook het meer neutrale begrip 'gegevensverwerking' als aangrijpingspunt. Met dit nieuwe begrip wordt aangesloten bij de realiteit van netwerkvorming waarin de computers van weleer vaak slechts een ondergeschikt knooppunt vormen.
Artikel 10, eerste lid, van de Grondwet erkent het recht op eerbiediging van de persoonlijke levenssfeer en schrijft voor dat inbreuken daarop bij of krachtens wet in formele zin moeten zijn geregeld. Het tweede en derde lid verlangen van de wetgever nadere maatregelen over het omgaan met persoonsgegevens. De WPR en het onderhavige wetsvoorstel als opvolger van deze wet, vloeien voort uit de opdracht in de Grondwet tot het geven van deze regels. Niet elke verwerking van persoonsgegevens vormt een inbreuk op de persoonlijke levenssfeer. Wanneer dit wel en wanneer niet het geval is, kan in zijn algemeenheid niet worden aangegeven; het is afhankelijk van de aard van de gegevens en de wijze waarop deze worden gebruikt. Wel kan worden aangenomen dat de verwerking van gevoelige gegevens, gelet op hun aard, onafhankelijk van de samenhang waar in zij worden gebruikt, veelal een dergelijke inbreuk wordt gemaakt. Het wetsvoorstel geeft ter uitvoering van artikel 10, derde lid, van de Grondwet, de betrokkene aanspraken met betrekking tot de verwerking van hem betreffende gegevens, ongeacht de vraag of er sprake is van een inbreuk op de persoonlijke levenssfeer.
In het volkenrecht is het recht op bescherming van de persoonlijke levenssfeer gewaarborgd in artikel 8 van het EVRM en in artikel 17 van het IVBPR. De in deze verdragen gebruikte term 'privé leven', heeft dezelfde betekenis als de term 'persoonlijke levenssfeer' in de Grondwet. Artikel 8 van het EVRM eist dat als inbreuken plaatsvinden, deze voorzien moeten zijn in de wet en noodzakelijk moeten zijn op grond van een aantal nader aangegeven gronden. Uit de jurisprudentie van het Europese Hof voor de rechten van de mens (EHRM) blijkt dat een beperking op verschillende wijze 'bij de wet' kan zijn voorzien: een wet in materiële zin, een beleidsregel of zelfs een in de jurisprudentie gevormde regel. Deze wet of regel moet echter wel voor de burger toegankelijk zijn en voorts zo precies zijn dat de burger in staat is zijn concrete gedrag daarnaar te richten. Naast artikel 8 EVRM geven de WPR en de WBP ook uitvoering aan het eerdergenoemde, op artikel 8 EVRM steunende Verdrag inzake gegevensbescherming.
Daarnaast heeft het wetsvoorstel tevens betrekking op de bescherming van andere in de Grondwet en verdragen neergelegde rechten, zoals het non-discriminatiebeginsel. Wij komen daarop hieronder in paragraaf 4.5 nog terug. Een ongebreidelde verwerking van persoonsgegevens kan ook een negatieve uitwerking hebben de vrijheid van meningsuiting en politieke participatie.
Ten slotte houdt het recht van de betrokkene op informatie van de verantwoordelijke verband het recht op toegang tot de rechter. Dit recht is neergelegd in artikel 13 EVRM en artikel 17 van de Grondwet. Dit recht omvat zowel het recht om op initiatief van de verantwoordelijke te worden geïnformeerd over de verwerking van gegevens (de artikelen 33 en 34) als het recht op kennisneming, uitgeoefend op initiatief van de betrokkene jegens de verantwoordelijke (artikel 35). De verwerking van persoonsgegevens onttrekt zich naar haar aard aan kenbaarheid door de betrokkene, terwijl wel zijn rechten in het geding zijn. Compenserende wettelijke maatregelen, daaronder begrepen de bevoegdheden van de Registratiekamer, zijn daarom nodig om de uitoefening van rechten desondanks mogelijk te maken.
Bij de toepassing van de in grondrechtenbepalingen opgenomen beperkingsclausules spelen het proportionaliteits- en subsidiariteitsbeginsel een belangrijke rol. Het evenredigheids- of proportionaliteitsbeginsel geldt rechtstreeks op grond van artikel 8 van het EVRM. Het Europese Hof van Justitie van de Europese Unie te Luxemburg aanvaardt in zijn jurisprudentie de grondslagen van het recht in de Lid-Staten van de Unie. Het EVRM en de daarop gebaseerde jurisprudentie van het Hof te Straatsburg worden tot deze grondslagen gerekend. In deze jurisprudentie neemt het proportionaliteitsbeginsel een zeer centrale positie in. De inbreuk op de belangen van de bij de verwerking van persoonsgegevens betrokkene mag niet onevenredig zijn in verhouding tot het met de verwerking te dienen doel. Deze toets speelt een rol wanneer het gaat om de toepassing van de uitoefening van een bevoegdheid tot het verkrijgen van persoonsgegevens, waarbij een inbreuk op een grondrecht aan de orde is. Zij vergt een belangenafweging aan de hand van de omstandigheden van het concrete geval. Er moet telkens sprake zijn van 'a fair balance that has to be struck between the demands of the general interest and the interest of the individual'.
Het subsidiariteitsbeginsel maakt in deze jurisprudentie geen expliciet onderdeel uit van het noodzakelijkheidsvereiste, maar wordt door het Hof wel beschouwd als een factor die een rol speelt in het kader van de evenredigheidstoetsing. Het doel waarvoor de persoonsgegevens worden verwerkt dient in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokkene minder nadelige wijze te kunnen worden verwerkelijkt. Op degene die persoonsgegevens verwerkt rust de plicht om binnen redelijke grenzen een inbreuk op de persoonlijke levenssfeer van anderen te vermijden dan wel zo beperkt mogelijk te houden. Deze plicht omvat een tweetal aspecten. Allereerst dient men af te zien van de verwerking van persoonsgegevens indien hetzelfde doel ook langs andere weg en met minder ingrijpende middelen kan worden gerealiseerd, bij voorbeeld door de vergaring van anonieme gegevens. Wordt desondanks tot gegevensverwerking overgegaan, dan is van belang dat degene die gegevens wil verwerken in redelijkheid alle eventuele bestaande mogelijkheden benut om de inbreuk op de persoonlijke levenssfeer van betrokkenen te beperken.
Deze mede op de grondrechten gebaseerde beginselen nemen ook in het onderhavige wetsvoorstel een centrale positie in. Op veel plaatsen in het wetsvoorstel wordt de verwerking van gegevens gebonden aan het noodzakelijkheidscriterium. De norm behelst in die gevallen de noodzakelijkheidstoets in relatie tot een welbepaald, concreet aangeduid of nader aan te duiden doel.
In een uitspraak van 15 december 1983 heeft het Duitse Constitutionele Hof uit het algemene persoonlijkheidsrecht en de menselijke waardigheid het beginsel afgeleid dat binnen de relatie overheid en burger, ieder zelf mag bepalen in hoeverre informatie over hem wordt gebruikt en verder bekendgemaakt; zij het dat het individu zich in het algemeen belang bepaalde beperkingen op dit grondrecht moet laten welgevallen. Dit beginsel wordt in de Duitse jurisprudentie aangeduid als het beginsel van de informationele zelfbeschikking.
De vraag rijst in hoeverre de zeggenschap van de betrokkene over de hem betreffende gegevens binnen de grenzen van de Nederlandse wetgeving, moet worden gezien als een uitwerking van het beginsel van informationele zelfbeschikking. In hoeverre heeft deze zeggenschap in Nederlandse wetgeving materiële betekenis, in de zin dat de betrokkene zelf in beginsel kan uitmaken of een ander gegevens over hem vastlegt en gebruikt? In de vorm zoals erkend in de Duitse jurisprudentie, zelfs al zijn daarop uitzonderingen mogelijk, is dit beginsel in Nederland geen onderdeel van het geldend recht. Ook de harmonisatie van het recht inzake gegevensbescherming tussen de landen van de UNie dwingt niet tot een receptie van dit beginsel in de Nederlandse rechtsorde. Hier wordt aangesloten bij de mening van onze ambtsvoorgangers, dat het Nederlands recht zich hierin, ook wat betreft zijn uitgangspunten, onderscheidt van het Duitse. In het Nederlandse systeem geldt buiten de werkingssfeer van artikel 10, eerste lid, van de Grondwet als algemeen uitgangspunt dat noch de handelingsvrijheid van de degene die persoonsgegevens verwerkt, noch het recht op bescherming van de persoonlijke levenssfeer van de betrokkene in abstracto zwaarder weegt. Als in een concreet geval beide belangen dreigen te botsen, dienen zij tegen elkaar te worden afgewogen, waarbij rekening moet worden gehouden met de bijzondere (grondwettelijke) waarde van het recht op bescherming van de persoonlijke levenssfeer. Het wetsvoorstel beoogt slechts voor deze afweging het nodige instrumentarium aan te reiken. Het concretiseert in dat verband de criteria aan de hand waarvan moet worden afgewogen, of maakt in een enkel geval, bijvoorbeeld bij gevoelige gegevens, zelf de verlangde afweging.
Het uitgangspunt in de WPR is daarbij dat iedereen in de gelegenheid moet zijn om na te kunnen gaan waar gegevens over hem zijn vastgelegd en worden verwerkt. De betrokkene die de wijze waarop zijn gegevens worden verwerkt onrechtmatig vindt, kan dit zelf langs privaatrechtelijke weg aanvechten. Hij moet dan wel van het bestaan van de verwerking van hem betreffende gegevens op de hoogte zijn. Duidelijkheid over de verwerking van gegevens, de zogenaamde transparantie, kan langs publiekrechtelijke weg worden afgedwongen. De strafbepalingen in artikel 50 WPR zijn hierop gericht. Uitzonderingen op het beginsel van transparantie zijn uiteraard mogelijk, maar de uitzonderingen moeten strikt worden geïnterpreteerd. Dit uitgangspunt vormt ook een belangrijke basis voor het onderhavige wetsvoorstel. Bij de diverse onderdelen van deze memorie komen wij daar nog op terug.
De afwijzing van het informationele zelfbeschikkingsrecht sluit verdergaande beïnvloeding vanuit het Duitse recht in de toekomst echter niet uit. Van een zodanige beïnvloeding lijkt sprake te zijn geweest in een recent arrest van de Hoge Raad, waarin het recht om te weten van welke ouders men afstamt in principiële zin werd erkend. In dit arrest nam de Hoge Raad een 'aan grondrechten als het recht op respect voor het privé-leven, het recht op vrijheid van gedachte, geweten en godsdienst en het recht op vrijheid van meningsuiting ten grondslag liggend algemeen persoonlijkheidsrecht' tot uitgangspunt. In de Duitse Grondwet – waar de conclusie van de AG bij dit arrest naar verwees – is dit recht in algemene zin omschreven als het recht van een ieder op ontplooiing van zijn persoonlijkheid. Het gaat om een recht dat onlosmakelijk met de persoonlijkheid van het individu is verbonden.
Tegen de achtergrond van het aldus te karakteriseren rechtsgoed wordt aangenomen dat persoonlijkheidsrechten in beginsel niet overdraagbaar zijn en daarom niet voor contractuele afstand vatbaar zijn. Vanuit deze algemene notie gelden de voorschriften van de WBP als dwingend recht. Daarmee wordt geen verandering beoogd ten opzichte van de huidige situatie want de WPR bevat blijkens de parlementaire behandeling eveneens voorschriften van dwingend recht. Voorts sluit de kwalificatie van de WBP als dwingend recht goed aan bij de doorwerking van het grondrecht op eerbiediging van de persoonlijke levenssfeer in particuliere rechtsverhoudingen. Deze doorwerking, ook wel aangeduid als horizontale werking, is in beginsel door de Hoge Raad erkend. De kwalificatie van de WBP als dwingend recht heeft tot gevolg dat een rechtshandeling waarbij afstand wordt gedaan van de door de WBP toegekende rechten in beginsel wegens strijd met de openbare orde nietig is op grond van artikel 3:40 van het Burgerlijk Wetboek (BW).
Een en ander betekent dat contractuele afwijkingen van de wettelijke voorschriften niet toelaatbaar zijn, tenzij dat in de wet uitdrukkelijk wordt bepaald. In dit verband kan worden gewezen op artikel 8, onder a, van de WBP waarin bepaald wordt dat gegevensverwerking geoorloofd is als de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft verleend. Aan de gegeven toestemming worden wel zware eisen gesteld. Dit ligt in het verlengde van het BW. Op grond van het BW een dergelijke toestemming, indien deze rechtstreeks voortkomt uit een afhankelijkheidssituatie, nietig zijn wegens misbruik van omstandigheden. Het BW biedt op dit punt voldoende ruimte voor doorwerking van uit de richtlijn voortvloeiende privacyrechten.
Voorts wordt in artikel 8, onder b, van het wetsvoorstel bepaald dat verwerking van gegevens is toegestaan voor zover dat noodzakelijk is voor de uitvoering van een overeenkomst waarbij betrokkene partij is. Hierbij gaat het om de situatie waarin de overeenkomst zelf niet gericht is op de verwerking van persoonsgegevens, maar waarbij de verwerking van persoonsgegevens een noodzakelijke bijkomstigheid is. Anders dan in artikel 8, onder a, is gegevensverwerking hier dus accessoir.
De verwerking van persoonsgegevens kan ook andere grondrechten dan het recht op privacy raken. Het gaat hierbij met name om het gelijkheidsbeginsel, zoals verwoord in artikel 1 van de Grondwet. Dit beginsel is nader uitgewerkt in de Algemene wet gelijke behandeling (AWGB). Deze wet verbiedt het maken van onderscheid tussen personen op grond van godsdienst, levensovertuiging, politieke gezindheid, ras, geslacht, nationaliteit, hetero- of homoseksuele gerichtheid of burgerlijke staat bij verschillende vormen van economisch en maatschappelijk verkeer, tenzij de wet het maken van onderscheid toestaat dan wel het om indirect onderscheid gaat dat objectief gerechtvaardigd is. De meeste van de genoemde gronden worden ook vermeld in een aantal bepalingen in dit wetsvoorstel over de verwerking van bijzondere gegevens. Deze bepalingen – zie de artikelen 16, 17, 18 en 19 – bieden extra waarborgen bij het verwerken van persoonsgegevens betreffende onder meer iemands godsdienst of levensovertuiging, ras, politieke gezindheid en seksuele leven. Aldus werkt het gelijkheidsbeginsel oom door in dit wetsvoorstel.
Een verwerking met de intentie om een ongerechtvaardigd onderscheid te maken, is onrechtmatig in de zin van artikel 6 van de WBP. Verwerking van persoonsgegevens omvat ook het verzamelen van persoonsgegevens. Het verzamelen valt weer uiteen in twee deelactiviteiten: het vragen en het verkrijgen van gegevens. Er is al sprake van verzamelen als persoonsgegevens mondeling of schriftelijk worden gevraagd. Daarbij is niet relevant of de betrokkene wel of niet een antwoord geeft en of de betrokkene tot antwoorden verplicht is of niet. Deze bepaling leidt ertoe dat aan personen geen vragen mogen worden gesteld die slechts tot doel kunnen hebben een onderscheid te maken dat verboden is in de AWGB. In die zin verbiedt het voorstel voor een WBP gedragingen, die in de voorfase liggen van de gedragingen op het terrein van de AWGB. De AWGB verbiedt slechts het daadwerkelijk maken van onderscheid, terwijl de WBP gegevensverwerkingen verbiedt waarvan het resultaat gebruikt zou kunnen worden voor het maken van onderscheid. Deze vorm van gevaarzettend gedrag wordt op deze manier binnen het bereik van het recht gebracht.
De Registratiekamer stelt in haar advies dat een ongebreidelde verwerking van persoonsgegevens ook een negatieve uitwerking kan hebben op de vrije uitoefening van andere grondrechten, zoals de vrijheid van meningsuiting, politieke participatie en dergelijke. Daarbij zal dan met name gedacht moeten worden aan gevallen waarin een persoon of instantie over iemand zoveel gegevens met een zodanige lading heeft verzameld dat die persoon of instantie door het schermen met deze gegevens het gedrag van de betrokkene, waaronder ook het uitoefenen van grondrechten, kan beïnvloeden. De waarborgen die dit wetsvoorstel biedt, zullen er mede toe kunnen dienen dat dergelijke praktijken worden voorkomen.
[MvT, pagina 6-11]