In december 2007 heeft het CBP algemene richtsnoeren gepubliceerd over de publicatie van persoonsgegevens op internet (hierna: de Richtsnoeren I).

1 Stcrt 2007, nr. 240, p. 27.

http://www.cbpweb.nl/downloads_rs/rs_20071211_persoonsgegevens_op_internet_definitief.pdf?refer=true&theme=purple.

Met die richtsnoeren heeft het CBP het voor particulieren, ondernemingen, organisaties en instellingen die van plan zijn persoonsgegevens op internet te publiceren eenvoudiger willen maken te beoordelen of die publicatie is toegestaan en zo ja, aan welke voorwaarden daarbij moet worden voldaan.

Het CBP ontvangt nog regelmatig signalen en vragen over ontwikkelingen op internet in relatie tot de bescherming van de persoonlijke levenssfeer in het algemeen, en ten aanzien van de zorgvuldige omgang met persoonsgegevens op internet in het bijzonder. Het publiceren van persoonsgegevens op internet neemt almaar toe. Bijvoorbeeld door bestuursorganen die uit eigen beweging tot het op internet openbaarmaken van overheidsinformatie overgaan. Soms bevat die overheidsinformatie persoonsgegevens. De wens om een transparante, controleerbare overheid te hebben ligt aan het publiceren van die persoonsgegevens ten grondslag.

Het CBP erkent zonder meer het belang van openbaarheid. Die openbaarheid is onmisbaar voor een goed functionerende democratische samenleving. Dat betekent alleen niet dat informatie van de overheid altijd op internet moet worden gepubliceerd. En het betekent zeker niet dat persoonsgegevens, voor zover die in overheidsinformatie zijn vervat, klakkeloos op internet kunnen worden geplaatst. Dat stelt burgers namelijk bloot aan grote risico’s. Openbaarmaking van hun persoonsgegevens op internet zou bijvoorbeeld tot identiteitsfraude kunnen leiden. Door publicatie op internet wordt het verspreidingsgebied van de informatie enorm vergroot. De gegevens zijn wereldwijd beschikbaar voor iedereen die daarin geïnteresseerd is en informatie is eenvoudig te vinden als internetpagina’s indexeerbaar zijn voor zoekmachines. Derden kunnen zo op ongekende schaal gegevens over personen verzamelen waarvan zij het bestaan of de inhoud niet konden vermoeden. Deze verzameling kunnen zij vervolgens in een door hen gewenste context opnieuw publiceren of gebruiken met het oog op ‘cross searching’, het opstellen van profielen en zelfs data warehousing en datamining.

2 Een datawarehouse is een database, waarin gegevens uit verscheidene systemen worden gekopieerd om in die database, bijvoorbeeld door middel van datamining, patronen te ontdekken of op andere manieren analyses uit te voeren. Datamining is het in grote hoeveelheden gegevens op een geautomatiseerde manier patronen en verbanden ontdekken. De naam komt voort uit de overeenkomst tussen het zoeken naar waardevolle bedrijfsinformatie en het graven (mining) naar iets waardevols in een grote berg gegevens.

Doordat verschillende zoekmachines kopieën van internetpagina’s maken, kan het verder voorkomen dat zelfs informatie die van internet is verwijderd, daarna nog toegankelijk blijft. De persoonsgegevens van de burger gaan op die manier ongecontroleerd circuleren. Niemand heeft daarop nog enige greep, burgers zelf al helemaal niet.

Niet alleen is het publiceren van overheidsinformatie op internet door bestuursorganen toegenomen, die publicatie kenmerkt zich steeds vaker door het actief, dat wil zeggen zonder verzoek daartoe, verstrekken van informatie door het bestuursorgaan. Voor het aldus uit eigen beweging verstrekken van overheidsinformatie bestaan geen eenduidige regels. Dat komt de bescherming van de mogelijk in die informatie vervatte persoonsgegevens niet ten goede. Bovendien kan bijvoorbeeld het belang dat is gelegen in het beschermen van die persoonsgegevens grenzen stellen aan het actief openbaarmaken door het bestuursorgaan. Op dat laatste is deze publicatie gericht: het beoogt bestuursorganen een handreiking te geven bij de publicatie van persoonsgegevens op internet in het kader van hun actieve openbaarmakingsplicht. Het CBP wil het voor bestuursorganen eenvoudiger maken te beoordelen of publicatie van persoonsgegevens op internet in het kader van die plicht is toegestaan, en zo ja, aan welke voorwaarden moet worden voldaan.

Deze nieuwe richtsnoeren vormen een aanvulling op de Richtsnoeren I. Zij behandelen uitsluitend de situatie, waarin het recht op openbaarheid van overheidsinformatie en het recht op bescherming van persoonsgegevens samenkomen.

Concreter gaat het uitsluitend om de situatie, waarin een belangenafweging moet worden gemaakt tussen het belang van openbaarheid en het belang van eerbiediging van de persoonlijke levenssfeer.

3 Het gaat hier dus om de samenloop van de artikelen 8, eerste lid, en 10, tweede lid, aanhef en onder e, van de Wob. De situatie waarin actieve openbaarmaking achterwege blijft omdat sprake is van bijzondere persoonsgegevens in de zin van de Wbp (artikel 8, eerste lid, gelezen in samenhang met artikel 10, eerste lid, aanhef en onder d, van de Wob) blijft hier dan ook onbesproken. Kortheidshalve wordt verwezen naar (paragraaf 7.2.2. van) ‘Transparant bestuur, een praktische handleiding voor gemeenten over de Wet openbaarheid van bestuur’ in februari 2009 uitgegeven door de VNG.

Daarnaast wordt opgemerkt dat een bestuursorgaan overheidsinformatie weliswaar ook op andere manieren openbaar kan maken, bijvoorbeeld door het ter inzage leggen of het in de krant plaatsen, maar dat deze nieuwe richtsnoeren alleen op het publiceren op internet zien.

Voor zover de uitkomst van de eerdergenoemde belangenafweging ertoe leidt dat het bestuursorgaan op internet overheidsinformatie gaat publiceren waarin persoonsgegevens zijn opgenomen, moet die uitkomst ‘Wbp-proof’ zijn, oftewel aan de in die wet neergelegde normen voldoen. Deze richtsnoeren beogen daaraan een bijdrage te leveren.

De richtsnoeren zien daarmee alleen op de fase voorafgaand aan de publicatie. Als het bestuursorgaan eenmaal heeft besloten dat het in het kader van zijn actieve openbaarmakingsplicht op grond van de Wet openbaarheid bestuur (hierna: de Wob) is gehouden tot publicatie, het daarbij het internet als instrument voor openbaarmaking kiest en heeft vastgesteld dat de eerbiediging van de persoonlijke levenssfeer aan publicatie niet in de weg staat, gelden de regels en het kader zoals uiteengezet in de Richtsnoeren I. Wat betreft de fasen ‘bij publicatie’ en ’na publicatie’ wordt dan ook verwezen naar de Richtsnoeren I.

Met de term ‘betrokkene’ wordt in deze handreiking overeenkomstig artikel 1, aanhef en onder f, van de Wet bescherming persoonsgegevens (hierna: de Wbp) degene bedoeld op wie een persoonsgegeven betrekking heeft. Met de term ‘verantwoordelijke’ wordt hier uitsluitend bedoeld het bestuursorgaan in de zin van de artikelen 1:1 van de Algemene wet bestuursrecht (hierna: de Awb) en 1a, eerste lid, van de Wob.