CBP Richtsnoeren

In december 2007 heeft het CBP algemene richtsnoeren gepubliceerd over de publicatie van persoonsgegevens op internet (hierna: de Richtsnoeren I).¹ Met die richtsnoeren heeft het CBP het voor particulieren, ondernemingen, organisaties en instellingen die van plan zijn persoonsgegevens op internet te publiceren eenvoudiger willen maken te beoordelen of die publicatie is toegestaan en zo ja, aan welke voorwaarden daarbij moet worden voldaan.

Het CBP ontvangt nog regelmatig signalen en vragen over ontwikkelingen op internet in relatie tot de bescherming van de persoonlijke levenssfeer in het algemeen, en ten aanzien van de zorgvuldige omgang met persoonsgegevens op internet in het bijzonder. Het publiceren van persoonsgegevens op internet neemt almaar toe. Bijvoorbeeld door bestuursorganen die uit eigen beweging tot het op internet openbaarmaken van overheidsinformatie overgaan. Soms bevat die overheidsinformatie persoonsgegevens. De wens om een transparante, controleerbare overheid te hebben ligt aan het publiceren van die persoonsgegevens ten grondslag.

Het CBP erkent zonder meer het belang van openbaarheid. Die openbaarheid is onmisbaar voor een goed functionerende democratische samenleving. Dat betekent alleen niet dat informatie van de overheid altijd op internet moet worden gepubliceerd. En het betekent zeker niet dat persoonsgegevens, voor zover die in overheidsinformatie zijn vervat, klakkeloos op internet kunnen worden geplaatst. Dat stelt burgers namelijk bloot aan grote risico’s. Openbaarmaking van hun persoonsgegevens op internet zou bijvoorbeeld tot identiteitsfraude kunnen leiden. Door publicatie op internet wordt het verspreidingsgebied van de informatie enorm vergroot. De gegevens zijn wereldwijd beschikbaar voor iedereen die daarin geïnteresseerd is en informatie is eenvoudig te vinden als internetpagina’s indexeerbaar zijn voor zoekmachines. Derden kunnen zo op ongekende schaal gegevens over personen verzamelen waarvan zij het bestaan of de inhoud niet konden vermoeden. Deze verzameling kunnen zij vervolgens in een door hen gewenste context opnieuw publiceren of gebruiken met het oog op ‘cross searching’, het opstellen van profielen en zelfs data warehousing en datamining.² Doordat verschillende zoekmachines kopieën van internetpagina’s maken, kan het verder voorkomen dat zelfs informatie die van internet is verwijderd, daarna nog toegankelijk blijft. De persoonsgegevens van de burger gaan op die manier ongecontroleerd circuleren. Niemand heeft daarop nog enige greep, burgers zelf al helemaal niet.

Niet alleen is het publiceren van overheidsinformatie op internet door bestuursorganen toegenomen, die publicatie kenmerkt zich steeds vaker door het actief, dat wil zeggen zonder verzoek daartoe, verstrekken van informatie door het bestuursorgaan. Voor het aldus uit eigen beweging verstrekken van overheidsinformatie bestaan geen eenduidige regels. Dat komt de bescherming van de mogelijk in die informatie vervatte persoonsgegevens niet ten goede. Bovendien kan bijvoorbeeld het belang dat is gelegen in het beschermen van die persoonsgegevens grenzen stellen aan het actief openbaarmaken door het bestuursorgaan. Op dat laatste is deze publicatie gericht: het beoogt bestuursorganen een handreiking te geven bij de publicatie van persoonsgegevens op internet in het kader van hun actieve openbaarmakingsplicht. Het CBP wil het voor bestuursorganen eenvoudiger maken te beoordelen of publicatie van persoonsgegevens op internet in het kader van die plicht is toegestaan, en zo ja, aan welke voorwaarden moet worden voldaan.

Deze nieuwe richtsnoeren vormen een aanvulling op de Richtsnoeren I. Zij behandelen uitsluitend de situatie, waarin het recht op openbaarheid van overheidsinformatie en het recht op bescherming van persoonsgegevens samenkomen.

Concreter gaat het uitsluitend om de situatie, waarin een belangenafweging moet worden gemaakt tussen het belang van openbaarheid en het belang van eerbiediging van de persoonlijke levenssfeer.³ Daarnaast wordt opgemerkt dat een bestuursorgaan overheidsinformatie weliswaar ook op andere manieren openbaar kan maken, bijvoorbeeld door het ter inzage leggen of het in de krant plaatsen, maar dat deze nieuwe richtsnoeren alleen op het publiceren op internet zien.

Voor zover de uitkomst van de eerdergenoemde belangenafweging ertoe leidt dat het bestuursorgaan op internet overheidsinformatie gaat publiceren waarin persoonsgegevens zijn opgenomen, moet die uitkomst ‘Wbp-proof’ zijn, oftewel aan de in die wet neergelegde normen voldoen. Deze richtsnoeren beogen daaraan een bijdrage te leveren.

De richtsnoeren zien daarmee alleen op de fase voorafgaand aan de publicatie. Als het bestuursorgaan eenmaal heeft besloten dat het in het kader van zijn actieve openbaarmakingsplicht op grond van de Wet openbaarheid bestuur (hierna: de Wob) is gehouden tot publicatie, het daarbij het internet als instrument voor openbaarmaking kiest en heeft vastgesteld dat de eerbiediging van de persoonlijke levenssfeer aan publicatie niet in de weg staat, gelden de regels en het kader zoals uiteengezet in de Richtsnoeren I. Wat betreft de fasen ‘bij publicatie’ en ’na publicatie’ wordt dan ook verwezen naar de Richtsnoeren I.

Met de term ‘betrokkene’ wordt in deze handreiking overeenkomstig artikel 1, aanhef en onder f, van de Wet bescherming persoonsgegevens (hierna: de Wbp) degene bedoeld op wie een persoonsgegeven betrekking heeft. Met de term ‘verantwoordelijke’ wordt hier uitsluitend bedoeld het bestuursorgaan in de zin van de artikelen 1:1 van de Algemene wet bestuursrecht (hierna: de Awb) en 1a, eerste lid, van de Wob.

De Wob kent als hoofdregel dat overheidsinformatie openbaar is. In artikel 8, eerste lid, van de Wob is het beginsel van actieve openbaarmaking neergelegd, dat wil zeggen het uit eigen beweging verstrekken van informatie door een bestuursorgaan, derhalve zonder dat daaraan een verzoek ten grondslag ligt.

De bepaling stelt een tweetal voorwaarden:

• de openbaar te maken informatie gaat over het beleid, de voorbereiding en uitvoering daaronder begrepen;

• de openbaarmaking is in het belang van een goede en democratische bestuursvoering.

Voor beantwoording van de vraag of informatie gaat over beleid met inbegrip van de voorbereiding en uitvoering daarvan, kan worden verwezen naar de rechtspraak omtrent artikel 3 van de Wob en de in dat artikel gebezigde term ‘bestuurlijke aangelegenheid’. Wat betreft de vraag wanneer sprake is van ‘een goede en democratische bestuursvoering’ vermeldt de geschiedenis van de totstandkoming van artikel 8:

’De plicht tot het verstrekken van informatie ingevolge artikel 8 ontstaat voor het overheidsorgaan zodra dit in het belang is van een goede en democratische bestuursvoering. Dit is een soepele norm [...]. Exacte criteria voor het uit eigen beweging verstrekken van informatie zijn echter niet te geven.’⁴

Het verstrekken van informatie uit eigen beweging is voor elk bestuursorgaan dan ook een verplichting, die ontstaat zodra het verstrekken in het belang is van een goede en democratische bestuursvoering. Wanneer en onder welke voorwaarden daarvan sprake is, staat echter niet vast. Aan het motief van een goede en democratische bestuursvoering vindt geen toetsing plaats, omdat het belang van openbaarheid van overheidsinformatie nu eenmaal uitgangspunt is.⁵ Het publieke belang van een goede en democratische bestuursvoering wordt door de Wob namelijk voorondersteld. De naleving van de plicht tot actieve openbaarmaking is echter niet rechtens afdwingbaar.

Bij actieve openbaarmaking is een bestuursorgaan voorts gebonden aan de uitzonderingsgronden van de artikelen 10 van de Wob. Dit volgt uit de uitspraak van de Afdeling bestuursrechtspraak van de Raad van State (hierna: de Afdeling) van 31 mei 2006, waarin de Afdeling overwoog dat:

‘Artikel 10 van de Wob, dat betrekking heeft op het verstrekken van informatie ingevolge die wet, biedt geen aanknopingspunten voor het oordeel dat de in die bepaling gevergde afweging niet ook dient plaats te vinden indien het bestuur eigener beweging voornemens is tot het openbaar maken, op voet van artikel 8, eerste lid, van de Wob, van informatie neergelegd in documenten over een bestuurlijke aangelegenheid, waarbij in artikel 10 van de Wob vermelde belangen zijn betrokken. Ook in dat geval dient derhalve met het oog op die belangen een afgewogen besluitvorming plaats te vinden.’⁶

In het eerste lid van artikel 10 van de Wob zijn de absolute weigeringsgronden neergelegd: wanneer een van de daarin genoemde gevallen zich voordoet, blijft het verstrekken van informatie zonder meer achterwege. Dit is bijvoorbeeld het geval als sprake is van bijzondere persoonsgegevens in de zin van paragraaf 2 van hoofdstuk 2 van de Wbp. Artikel 10, tweede lid, van de Wob vermeldt de relatieve uitzonderingsgronden: vóór het uit eigen beweging verstrekken van informatie moet het bestuursorgaan nagaan of de in het artikel onder a tot en met g genoemde belangen aan openbaarmaking in de weg staan. Een afweging moet worden gemaakt tussen het specifieke belang dat met geheimhouding van de informatie wordt gediend en het publieke belang van de openbaarheid van de gevraagde informatie.

Artikel 8, tweede lid, van de Wob stelt voorwaarden aan de vorm waarin en de wijze waarop de overheidsinformatie actief openbaar wordt gemaakt. Volledigheidshalve wordt nog opgemerkt dat artikel 9 ten slotte het actief openbaarmaken van adviezen van niet-ambtelijke adviescommissies regelt.

Het recht op eerbiediging van de persoonlijke levenssfeer wordt erkend in bijvoorbeeld artikel 10 van de Grondwet en artikel 8 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (hierna: het EVRM). De betekenis van het recht op eerbiediging van de persoonlijke levenssfeer is van verstrekkend belang, met name door de extensieve interpretatie die het Europees Hof voor de rechten van de mens (hierna: het EHRM) daaraan geeft. Artikel 8 eist dat als een inbreuk op het recht van eerbiediging van de persoonlijke levenssfeer plaatsvindt, deze voorzien moet zijn in de wet en noodzakelijk moet zijn op grond van een aantal nader aangegeven gronden.⁷

Persoonsgegevens maken deel uit van de persoonlijke levenssfeer. Een ieder heeft het recht op bescherming tegen de ongebreidelde vergaring, bewerking en verspreiding van zijn persoonsgegevens. Daartoe strekt kort gezegd de Wbp. Dat betekent dat die wet aangeeft wat de rechten zijn van iemand van wie gegevens worden gebruikt en wat de plichten zijn van de instanties of bedrijven die deze gegevens gebruiken. Gegevens moeten op een behoorlijke en zorgvuldige manier en in overeenstemming met de Wbp en toepasselijke andere wetten worden verwerkt. Voordat een verantwoordelijke persoonsgegevens mag verzamelen, moet hij eerst bepalen voor welk doel of doelen hij dat doet. Daarmee vormt de Wbp een uitvloeisel van het recht dat artikel 8 van het EVRM beoogt te waarborgen.

Anders gezegd: de normen die ten grondslag liggen aan artikel 8 van het EVRM liggen ook ten grondslag aan de Wbp, specificiek daar waar het om bescherming van persoonsgegevens gaat. In het bijzonder zijn het proportionaliteits- en subsidiariteitsbeginsel van belang.