32 761 Verwerking en bescherming persoonsgegevens

Nr. 65 BRIEF VAN DE STAATSSECRETARIS VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 2 juli 2014

In antwoord op mondelinge vragen van het lid Gesthuizen heeft de Minister van Veiligheid en Justitie op 20 mei 2014 uw Kamer een reactie van mij en de Minister van Economische Zaken toegezegd op het arrest van het Hof van Justitie van de Europese Unie van 13 mei 2014, C-131/12, in de zaak Google Spain SL en Google Inc tegen AEPD en Mario Costeja González. In het onderstaande voldoe ik graag, mede namens de Minister van Economische Zaken, aan deze toezegging.

Korte samenvatting

In een principiële uitspraak heeft het Hof van Justitie voor recht verklaard dat een zoekmachinedienst moet worden aangemerkt als een verwerking van persoonsgegevens in de zin van de geldende EU-richtlijn voor de bescherming van persoonsgegevens en dat de exploitant van dienst de verantwoordelijke voor die verwerking is. Het Hof gaat uit van een ruime uitleg van de territoriale reikwijdte van de geldende richtlijn waardoor Google, hoewel een verwerking vanuit de Verenigde Staten aansturend, toch onder de werking van de richtlijn valt. Het Hof weegt bij de bepaling van de omvang van de verantwoordelijkheid van Google de grondrechtelijke rechten van de betrokkene bij verwijdering van zoekresultaten die betrekking hebben op gegevens die niet of niet langer verwerkt mogen worden zwaarder dan het economisch belang van Google. De rechten van de betrokkene op correctie, uitwissing en afscherming van gegevens worden ruim uitgelegd. Google heeft inmiddels maatregelen ondernomen om aan het arrest te kunnen voldoen. De uitspraak beantwoordt enkele principiële vragen. De uitspraak roept ook nieuwe vragen op, met name op het gebied van de vrijheid van meningsuiting en het recht om informatie te mogen ontvangen en vergaren en de vrijheid van ondernemerschap. Er is geen aanleiding tot aanpassing van de geldende Nederlandse wetgeving, en ook de wijze van bekendmaken van rechtsfeiten in de Staatscourant voldoet aan de eisen die uit de uitspraak voortvloeien. De uitspraak zal vermoedelijk aanleiding geven tot complicering van de onderhandelingen over een nieuwe verordening over gegevensberscherming.

Feiten

Onder een Spaanse staatsburger, de heer Mario Costeja González, is in 1998 beslag gelegd op enige onroerende zaken wegens socialezekerheidsschulden. De zaken werden in het openbaar executoriaal verkocht. Van de voorgenomen verkoop werd in opdracht van het Spaanse Ministerie van Arbeid en Sociale Zaken twee maal een bekendmaking gedaan in La Vanguardia, een dagblad met landelijke verspreiding in Spanje. De uitgever van La Vanguardia heeft na de gebeurtenissen een digitale versie van het dagblad voor raadpleging beschikbaar gesteld op de eigen website. De heer Costeja (hierna: de betrokkene) heeft op zeker moment gemerkt dat bij het ingeven van zoekopdrachten naar zijn eigen naam telkens de advertenties over de executoriale verkoop verschenen. Hij meende dat deze gegevens verwijderd zouden moeten worden, omdat het beslag was opgeheven en verwerking van de gegevens daardoor niet langer noodzakelijk was.

In november 2009 wendde de betrokkene zich tot La Vanguardia met het verzoek de gegevens te verwijderen. La Vanguardia weigerde dat verzoek in te willigen, omdat de gegevens destijds in opdracht van de overheid zijn bekendgemaakt.

In februari 2010 heeft de betrokkene Google Spain SL verzocht ervoor te zorgen dat bij invoering van zijn naam in een zoekopdracht geen links meer naar de openbare bekendmaking uit 1998 in La Vanguardia zou worden getoond. Google Spain SL verwees de betrokkene naar Google Inc in de Verenigde Staten, omdat Google Inc volgens Google Spain SL de eigenlijke dienstaanbieder was.

Betrokkene heeft zich daarop gewend met een handhavingsklacht tot de Spaanse gegevensbeschermingstoezichthouder, Agencia Española de Protección de Datos (hierna: AEPD). AEPD heeft de klacht tegen La Vanguardia ongegrond verklaard, omdat voor de gegevensverwerking een afdoende wettelijke grondslag aanwezig was. De klacht tegen Google Inc en Google Spain SL (hierna: Google) is echter gegrond verklaard. AEPD heeft Google opgedragen om de gegevens uit de zoekmachine te verwijderen en de toegang tot de gegevens voor het overige onmogelijk te maken.

Google heeft tegen het besluit beroep ingesteld bij de bevoegde rechter, de Audiencia Nacional.

Prejudiciële vragen

De Audiencia Nacional heeft in verband met de uitleg van de hier toepasselijke richtlijn 95/46/EG¹ (hierna: de richtlijn) drie groepen prejudiciële vragen gesteld aan het Hof van Justitie van de Europese Unie (hierna: het Hof).

De eerste groep vragen had betrekking op de territoriale reikwijdte van de richtlijn en daarmee ook de Spaanse gegevensbeschermingswetgeving. De richtlijn en de implementatiewetgeving zijn van toepassing op de verwerking van persoonsgegevens die wordt verricht in het kader van de activiteiten van een vestiging van de verantwoordelijke. Als er geen vestiging van de verantwoordelijke in de Europese Unie aanwezig is, is de richtlijn van toepassing wanneer voor de verwerking gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van een lidstaat bevinden. De voornaamste vraag uit de eerste groep vragen was of de aanwezigheid van Google Spain SL in Spanje – in essentie een verkoopkantoor voor advertentieruimte – voldoende was om aan te nemen dat de richtlijn toepassing zou kunnen vinden.

De tweede groep vragen had betrekking op de activiteit van de zoekmachines als leveranciers van informatie die bereikbaar en inhoudelijk toegankelijk wordt gemaakt. De vraag is of het leveren van deze dienst wel als het verwerken van persoonsgegevens in de zin van de richtlijn kan worden aangemerkt. Als dat zo zou zijn, was het vervolgens de vraag of de exploitant van de Google-zoekmachine als verantwoordelijke in de zin van de richtlijn kon worden aangemerkt. En als die vraag bevestigend moet worden beantwoord was het de vraag of de AEPD zich ter bescherming van de rechten van de betrokkene rechtstreeks tot die verantwoordelijke kan wenden met een last tot rectificatie, uitwissing of afscherming van gegevens of het recht op verzet tegen verwerking van de gegevens als geheel te effectueren, zonder zich tot de houder van de webpagina te wenden die de gegevens heeft bekendgemaakt. Wanneer die mogelijkheid bestaat is de vraag of de verantwoordelijke een dergelijke last niet zou kunnen worden opgelegd, omdat de gegevens door derden rechtmatig zijn verwerkt in de vorm van publicatie op een webpagina en die pagina gehandhaafd blijft.

De derde groep vragen betreft de rechten op uitwissing en afscherming van gegevens en van verzet, die in artikel 12, onder b, respectievelijk in artikel 14, onderdeel a, van de richtlijn, zijn neergelegd. De vraaag is of deze rechten zo moeten worden uitgelegd dat de betrokkene zich rechtstreeks tot de exploitant van de zoekmachine kan richten met een verzoek om de indexering van de hem betreffende gegevens die door derden op webpagina's zijn gepubliceerd te verhinderen of hem in het geheel te doen vergeten. Daarbij vraagt de Audiencia Nacional of een dergelijk verzoek gedaan kan worden op grondslag dat de betrokkene zelf van mening is dat de gegevens niet bekend mogen worden bij andere internetgebruikers omdat dit de betrokkene naar zijn mening schade kan berokkenen, ook al betreft het verzoek rechtmatig door derden openbaargemaakte gegevens.

Uitspraak Hof van Justitie van de Europese Unie

Functionele reikwijdte richtlijn

Het Hof beantwoordt in zijn arrest eerst twee vragen uit de tweede groep vragen, namelijk of het aanbieden en gebruiken van een zoekmachinedienst als verwerking van persoonsgegevens in de zin van de richtlijn moet worden aangemerkt en of daarmee de exploitant van de dienst als verantwoordelijke voor de verwerking kan gelden.

Het Hof stelt vast dat de exploitant van een zoekmachine die door het geautomatiseerd, onophoudelijk en systematisch zoeken op het internet naar daar gepubliceerde gegevens en andere informatie, die gegevens verzamelt in de zin van artikel 2, onder b, van de richtlijn. Het vervolgens opvragen, vastleggen en ordenen en op servers bewaren en daarna verstrekken en ter beschikking stellen aan gebruikers zijn ook verrichtingen in de zin van artikel 2, onder b, van de richtlijn. Dit geheel merkt het Hof daarom aan als een verwerking van persoonsgegevens. Daarbij maakt het volgens het Hof geen verschil dat de zoekresultaten niet alleen uit persoonsgegevens bestaan, maar ook uit andere informatie. Het begrip verwerking van persoonsgegevens wordt door het Hof in lijn met zijn eerdere jurisprudentie ruim geïnterpreteerd.

Het Hof overweegt vervolgens dat de exploitant van de zoekmachine als verantwoordelijke in de zin van artikel 2, onder d, van de richtlijn moet worden aangemerkt. Daarbij is niet zozeer van belang dat een zekere beperking van het recht op persoonsgegevens al volgt uit de bekendmaking van gegevens op een webpagina. Het Hof acht daarbij doorslaggevend dat zoekmachines een beslissende rol spelen bij het wereldwijd verspreiden en toegankelijk maken van persoonsgegevens voor elke internetgebruiker. De zoekmachinedienst maakt het mogelijk dat gedetailleerde profielen van betrokkenen kunnen worden opgesteld. Deze activiteiten van zoekmachines acht het Hof een aanzienlijke aantasting van de grondrechten op het privéleven en op bescherming van persoonsgegevens, die bovenop de aantasting komt door de bekendmakingen op webpagina's. Onder die omstandigheden acht het Hof het noodzakelijk dat de exploitant van een zoekmachine kan verzekeren dat de waarborgen voor de bescherming van de persoonlijke levenssfeer in de richtlijn volledig tot gelding kunnen komen en dat een volledige bescherming van de betrokkene ook daadwerkelijk kan worden gerealiseerd. Webredacteuren zijn in staat met zogenaamde «exclusion codes» de wens te kennen te geven dat de pagina niet voor zoekmachines toegankelijk moet zijn. Het ontbreken van een «exclusion code» acht het Hof geen omstandigheid die de exploitant van de zoekmachine van zijn verantwoordelijkheid ontslaat. Verantwoordelijkheid kan volgens de richtlijn alleen of tezamen met anderen worden uitgeoefend.

Territoriale reikwijdte richtlijn

Het Hof komt vervolgens toe aan de vraag of gegeven de functionele toepassing van de richtlijn er sprake kan zijn van toepassing van richtlijn op Google, aangezien de houdstermaatschappij van Google in de Verenigde Staten is gevestigd en de activiteiten van het bedrijf ook vanuit dat land worden aangestuurd. De richtlijn is immers eerst van toepassing wanneer de gegevensverwerking wordt verricht in het kader van de activiteiten van een vestiging van de verantwoordelijke in de Unie, of wanneer de verantwoordelijke die niet in de Unie is gevestigd gebruik maakt van al dan niet geautomatiseerde middelen die zich op het grondgebied van de Unie bevinden.

Het Hof wijst erop dat de Audiencia Nacional heeft vastgesteld dat het aanbod van de zoekmachinedienst feitelijk plaatsvindt vanuit de Verenigde Staten door Google Inc en dat de dochteronderneming Google Spain SL zich concentreert op de verkoop van advertentieruimte aan bedrijven op de Spaanse markt. Deze feitelijke verhouding roept de vraag op of daarmee is voldaan aan de criteria van de richtlijn.

Het Hof overweegt dat de onlosmakelijke band tussen de verkoop van advertentieruimte en het rendabel houden van de zoekmachinedienst, die zelf alleen kan bestaan dankzij dit model, voldoende is om aan te nemen dat de activiteiten van zoekmachinedienst worden verricht in het kader van een vestiging op het grondgebied van een lidstaat. Een tegengesteld oordeel zou volgens het Hof leiden tot een aantasting van het nuttig effect van de richtlijn en de doeltreffende en volledige bescherming van de fundamentele vrijheden en rechten die de richtlijn beoogt te verzekeren.

Omvang van de verantwoordelijkheid van de exploitant van de zoekmachine

Het Hof komt vervolgens toe aan de beantwoording van de vraag of de door de richtlijn gegarandeerde rechten van correctie, uitwissing of afscherming van gegevens (artikel 12, onder b) en van verzet (artikel 14, eerste alinea, onder a) zodanig uitgelegd moeten worden dat de exploitant van een zoekmachine verplicht is gehoor te geven aan een verzoek van de betrokkene om de koppelingen in de zoekmachine tussen zijn naam of andere informatie over zijn persoon en verwijzingen naar webpagina's waarop die naam of andere informatie voorkomt te verwijderen.

Het Hof overweegt dat het noodzakelijk is de richtlijn uit te leggen tegen de achtergrond van het Handvest voor de Grondrechten en het wijst in dit kader op de artikelen 7 (recht op eerbiediging van het privéleven) en 8 (recht op bescherming van persoonsgegevens). Artikel 8, tweede en derde lid, van het Handvest bevatten de eisen dat gegevens eerlijk worden verwerkt, alleen voor bepaalde doeleinden met toestemming of op een andere grondslag mogen worden verwerkt en dat de rechten op inzage en rectificatie bestaan en dat op verwerking moet worden toegezien door een onafhankelijke autoriteit.

Het Hof legt nu de bepalingen in de richtlijn die de kwaliteit van de gegevens betreffen en de toelaatbaarheid van de verwerking regelen zodanig uit dat de exploitatie van een zoekmachinedienst op zichzelf genomen gerechtvaardigd kan worden met een beroep op artikel 7, onder f, van de richtlijn. Persoonsgegevens kunnen worden verwerkt wanneer die verwerking noodzakelijk is voor de behartiging van het gerechtvaardigd belang van de voor de verwerking verantwoordelijke of van derden aan wie de gegevens verder worden verstrekt, mits dat belang opweegt tegen het belang of de fundamentele rechten en vrijheden van de betrokkene. Het Hof legt ook deze belangenafweging uit tegen de achtergrond van de artikelen 7 en 8 van het Handvest. De uitleg die aan artikel 7, onder f, wordt gegeven houdt direct verband met het recht van verzet dat de betrokkene kan inroepen, wanneer de gegevensverwerking op die grond gerechtvaardigd is. Bij een dergelijk beroep moet de verantwoordelijke het eigen gerechtvaardigd belang afwegen tegen dat van de betrokkene, waarbij met de specifieke omstandigheden van de betrokkene rekening moet worden gehouden. Indien het beroep niet wordt ingewilligd, moet een voorziening bij de toezichthouder kunnen worden gevraagd.

Het Hof wijst opnieuw op de potentiële ernst van inmenging in het grondrecht op de bescherming van persoonsgegevens bij de verwerking van die gegevens in zoekmachines en overweegt dat die inmenging niet uitsluitend kan worden gerechtvaardigd door het economische belang dat de exploitant van een zoekmachine bij deze verwerking heeft. Verwijdering van de koppelingen in zoekmachines kan, afhankelijk van de aard van informatie bovendien gevolgen hebben voor het gerechtvaardigd belang van internetgebruikers die juist toegang willen hebben tot de gevraagde informatie. Het Hof overweegt dat een evenwicht moet worden gezocht tussen dit belang en de grondrechten van de persoon die het betreft. De grondrechten van de betrokkene hebben volgens het Hof in beginsel voorrang boven het belang van internetgebruikers. Maar in bijzondere gevallen kan het evenwicht afhangen van de aard van de betrokken informatie, de gevoeligheid ervan voor het privéleven van de betrokkene dat met name wordt bepaald door de rol die de betrokkene in het openbare leven speelt. Wanneer aan de voorwaarden voor het inroepen van het recht op verwijdering of het recht op verzet is voldaan, kunnen de toezichthoudende autoriteiten of de rechter de exploitant van de zoekmachine daarom bevelen de koppelingen naar de naam en andere informatie van een betrokkene te verwijderen, zonder dat gelijktijdig een zelfde opdracht uitgaat naar de redacteur van een webpagina waar de desbetreffende naam en informatie oorspronkelijk is bekendgemaakt, of zonder dat de webredacteur deze informatie zelf heeft verwijderd, of zelfs wanneer de publicatie evident rechtmatig is geweest. Het Hof wijst er nog op dat de rechtvaardigingsgrond voor het verwerken van persoonsgegevens door de exploitant van de zoekmachine weliswaar kan worden gevonden in artikel 7, onder f, van de richtlijn, maar dat die rechtvaardigingsgrond niet noodzakelijkerwijs impliceert dat ook elk persoonsgegeven op individueel niveau daarmee rechtmatig wordt verwerkt.

Omvang van de rechten van de betrokkene

Het Hof wijst erop dat het recht op correctie, uitwissing en afscherming van gegevens, respectievelijk het recht van verzet, moet kunnen worden ingeroepen om de algemene voorwaarden voor het verwerken van persoonsgegevens daadwerkelijk inhoud te geven. Het gaat daarbij onder meer om de verplichting om gegevens te verwerken die nauwkeurig of niet bovenmatig zijn of de verplichting om gegevens niet langer te verwerken dan strikt noodzakelijk is voor het doel waarvoor ze zijn verzameld. In de context van de verwerking van persoonsgegevens door de exploitant van een zoekmachine zal volgens het Hof beoordeeld moeten worden of de betrokkene er recht op heeft dat dat informatie over hem op een bepaald ogenblik niet langer met zijn naam wordt verbonden. Schade als gevolg van de verwerking van zijn naam hoeft de betrokkene daarbij niet te stellen of te bewijzen. Dit recht zal in verband met de artikelen 7 en 8 van het Handvest voor de Grondrechten in beginsel prevaleren boven het economische belang van de exploitant van de zoekmachine en het belang van het algemene publiek bij het vinden van de informatie. Dit zal echter niet het geval zijn wanneer bijzondere redenen, zoals de rol die betrokkene in het openbare leven speelt, rechtvaardigen dat het belang dat het publiek heeft om kennis te nemen van de informatie zwaarder weegt.

Verdere gang van zaken

De uitspraak van het Hof is een prejudicieel geschil. Het gaat om de uitleg van de richtlijn in een voor de Spaanse rechter nog aanhangig geding. Deze rechter moet thans uitspraak doen in dat geding met inachtneming van de uitspraak van het Hof. Van de AEPD is begrepen dat de uitspraak grote gevolgen heeft. Er liggen 200 vergelijkbare zaken op een beslissing van de AEPD te wachten.

Eerste reactie Google

Google heeft inmiddels voor de Europese gebruikers van zijn dienst een webformulier beschikbaar gesteld met behulp waarvan zij een gemotiveerd verzoek tot Google kunnen richten om zoekresultaten te kunnen verwijderen. Ik heb daar waardering voor. Daarnaast heeft Google een adviesgroep van experts ingesteld om verder te kunnen nadenken over de algemene thematiek van de onderlinge verhouding tussen het recht om gegevens te laten wissen en het recht op het publiek op informatie.

Van de aanbieders van andere zoekmachinediensten zijn geen reacties bekend.

Eerste beoordeling

De uitspraak van het Hof past in een reeks van uitspraken waarin het belang van het geven van daadwerkelijke inhoud aan recht op gegevensbescherming door het Hof is afgewogen tegen andere belangen, zoals het belang van openbaarheid bij de verstrekking van landbouwsubsidies (zaken C-92/09 en C-93/09 Volker en Markus Schecke en Eifert) of het belang van overheid bij het bewaren van verkeersgegevens door telecommunicatiebedrijven (zaken C-293/12 en C-594/12 Digital Rights Ireland Ltd en Kärntner Landesregierung e.a.). Hoewel het in die zaken om een heel andere context ging, heeft het Hof telkens aan het belang van de bescherming van persoonsgegevens een zwaarder gewicht toegekend dan aan de andere belangen. Het Hof heeft nog niet eerder in een context waarin de overheid helemaal geen rol speelt expliciet aan het belang van de handhaving en bescherming van de grondrechten op bescherming van het privéleven en de bescherming van de persoonlijke levenssfeer meer gewicht toegekend dan aan het economische belang van de exploitant van de zoekmachine of aan de belangen van derden (het algemene publiek) om van bepaalde informatie op efficiënte wijze kennis te kunnen nemen. De doorwerking van grondrechten in de verhouding tussen burgers en bedrijven onderling is met dit arrest versterkt.

Dat het functioneren van een zoekmachine als Google Search (dat geldt vanzelfsprekend ook voor alle andere zoekmachines zoals die van Yahoo of van Bing) als een verwerking van persoonsgegevens wordt aangemerkt is niet verrassend. In zijn conclusie in deze zaak had de advocaat-generaal bij het Hof uitgebreid en overtuigend gemotiveerd dat de werking van deze machines eigenlijk geen andere uitkomst toelaat.

Als die uitkomst wordt aanvaard, is het aanmerken van Google als verantwoordelijke nog niet vanzelfsprekend. De advocaat-generaal heeft in zijn conclusie die stap niet willen zetten. Hij wees erop dat een zoekmachine niet zelf gegevens op het web plaatst, maar deze slechts gemakkelijk toegankelijk maakt. Er is volgens de advocaat-generaal dan ook geen controle over de gegevens geweest. Dat ligt alleen anders wanneer de exploitant zou weigeren om exclusion codes (markeringen die aangeven dat de verantwoordelijke voor een webpagina wenst dat deze niet doorzoekbaar is voor zoekmachines) te respecteren of de bijwerking van de oorspronkelijke webpagina's over te nemen, aldus de advocaat-generaal. Het Hof ziet dit echter anders.

Het arrest beantwoordt daarmee een tweetal in de praktijk levende vragen in elk geval voldoende duidelijk.

Het antwoord op de vraag of de territoriale reikwijdte van de richtlijn moet worden uitgebreid door middel van een analyse van het exploitatiemodel van de zoekmachine, in plaats van het aansluiting zoeken bij hetzij de plaats van vestiging van de verantwoordelijke of de plaats waar beslissingen genomen worden over doel en middelen van de verwerking lag minder snel voor de hand. Het blijkt uit de zaak voldoende duidelijk dat de wezenlijke beslissingen over de gegevensverwerking feitelijk niet Spanje, maar in Californië worden genomen. Niettemin motiveert het Hof overtuigend dat de samenhang van de verkoop van advertentieruimte enerzijds en de werking en financiering van het bedrijfsmodel van Google anderzijds zodanig onderling verweven zijn dat de omstandigheid dat het feitelijke inhoudelijke zwaartepunt van de activiteiten in Californië ligt niet doorslaggevend is. Het is niet zo dat dit ook zonder meer voor andere zoekmachines geldt. Het is niet uitgesloten dat er zoekmachines zijn of komen die niet over een vestiging in de Unie beschikken, en het is ook niet uitgesloten dat er zoekmachnies zijn die over een zodanig verschillend bedrijfsmodel beschikken dat een andere conclusie moet worden getrokken. Dat zal van geval tot geval moeten worden onderzocht door nationale toezichthouders en uiteindelijk de Europese rechter. Het is ook niet ondenkbaar dat de consequenties van de uitspraak uiteindelijk leiden tot andere bedrijfsmodellen, wanneer de bedrijven menen dat aan de verplichte inwilliging van verzoeken van belanghebbenden meer kosten zijn verbonden dan zij bereid zijn te dragen. Dat zal moeten worden afgewacht.

Wat de verantwoordelijkheden van zoekmachines betreft, heeft het Hof bevestigd wat in de praktijk al gold: de rechtvaardigingsgrond voor het verwerken van persoonsgegevens is het eigen gerechtvaardigd belang van de exploitant en het gerechtvaardigd belang van de internetgebruikers. De richtlijn schrijft bij een beroep op deze belangen een afweging tussen die belangen en het belang van de bescherming van persoonsgegevens van de betrokkenen voor. Het is dus niet zo dat het exploiteren van een zoekmachinedienst principieel onverenigbaar is met het recht op bescherming van het privéleven en het recht op bescherming van persoonsgegevens. Eenmaal aangenomen dat de exploitant van de zoekmachine erin slaagt die belangenafweging in abstracto op juiste wijze te verrichten, dan gaan de verplichtingen gelden die in artikel 6 van de richtlijn zijn geregeld. Het gaat daar om, onder meer, doelbinding, toereikendheid, ter zake dienend zijn van de verwerkte gegevens en het niet bovenmatig zijn van de verwerking van de gegevens, gelet op het doel waarvoor ze zijn verwerkt. Dat is voor de exploitant van een zoekmachine in abstracto geen eenvoudige opgave, gelet op de onvoorstelbare aantallen gegevens die worden verwerkt. Het is vanwege de enorme hoeveelheid gegevens echt de vraag of van de exploitant in redelijkheid kan worden gevergd die verplichtingen volledig na te komen. Het is mogelijk vanwege de massaliteit van de gegevensverwerking en de feitelijke onmogelijkheid van de exploitant om te verzekeren dat de verwerking van elk gegeven rechtmatig geschiedt dat het Hof zoveel ruimte geeft aan de positie van betrokkenen door te overwegen dat verzoeken om correctie, verwijdering of afscherming of het inroepen van het recht op verzet in beginsel moeten worden ingewilligd, omdat de grondrechtelijke basis van de richtlijn dit zonder meer rechtvaardigt. Die grondrechtelijke basis zoekt het Hof nu in het Handvest voor de Grondrechten, ook al bestond het Handvest nog niet toen de richtlijn werd vastgesteld. In de eerdergenoemde uitspraak van 8 april 2014 in de zaken C-293/12 en C-594/12 (Digital Rights Ireland) heeft het Hof duidelijk gemaakt dat het geldend secundair recht dat is vastgesteld voor de totstandkoming van het Handvest thans integraal aan dat Handvest kan worden getoetst.

Het Hof geeft nadrukkelijk aan dat schade niet hoeft te worden gesteld of bewezen. En het verzoek van de betrokkene is een subjectief verzoek: verwijdering van gegevens is geen objectieve waarheidsvinding, maar het inhoud geven aan hetgeen de betrokkene zelf wil, onafhankelijk van de vraag of de te verwijderen gegevens feitelijk juist zijn of niet. Een vanzelfsprekende redenering van het Hof is dit niet. De advocaat-generaal heeft in zijn conclusie met kracht van argumenten betoogd dat de rechten van correctie, uitwissing en afscherming en van verzet niet kunnen worden uitgelegd als een recht om te worden vergeten. Het Hof noemt laatstbedoeld recht niet expliciet in de uitspraak. Het kan buiten de context van de onderhandelingen over de Algemene verordening gegevensbescherming daarom in het midden blijven of het Hof dat recht nu heeft erkend of niet. Duidelijk is wel dat het recht op correctie, uitwissing en afscherming en het recht van verzet ten opzichte van de exploitanten van zoekmachines beslist minder relatief zijn geworden. Absoluut zijn deze rechten echter niet, ook niet in de uitleg van het Hof. Het Hof geeft duidelijk aan dat de belangenafweging in concreto anders kan liggen wanneer het personen betreft die in het maatschappelijk leven een bepaalde rol spelen.

Wat de feitelijke betekenis van de verzwaring van de rechten van de betrokkene betreft, is er voor Nederland nog weinig duidelijkheid. Ongetwijfeld zijn er bij Google al verzoeken binnengekomen, maar om welke aantallen het nu gaat en of het huidige aantal verzoeken zich ook over enige tijd zal handhaven is nog onduidelijk. Ook is nog niet duidelijk welke technische voorzieningen nodig zijn om de verzoeken volledig te kunnen uitvoeren en hoe betrouwbaar die uitvoering kan zijn. Voor zover kon worden nagegaan is door andere aanbieders van zoekmachinediensten dan Google nog niet bekendgemaakt wat hun reactie op het arrest is. Het is primair aan het bedrijfsleven om daar een oplossing voor te vinden. Het College bescherming persoonsgegevens moet daarop toezicht houden. Het is niet onmogelijk dat het geruime tijd zal duren voor terzake definitieve duidelijkheid bestaat. Wel heeft het kabinet bezien of het arrest noodzaakt tot onmiddellijke aanpassing van de Wet bescherming persoonsgegevens (Wbp). De toepasselijke bepalingen van de Wbp (de artikelen 36, 37 en 38) lijken vooralsnog te voldoen aan het Europese recht zoals dat geldt sinds de uitspraak van het Hof.

Nieuwe vragen

Het arrest beantwoordt niet alleen een aantal vragen, het roept ook nieuwe vragen op. Die vragen houden verband met de vrijheid van meningsuiting en het daarmee verbonden recht op het ontvangen van informatie en het vergaren van nieuws.

Die vragen beginnen bij overwegingen van het Hof zelf. Een verzoek om correctie, uitwissing of afscherming behoeft afhankelijk van de omstandigheden niet te worden ingewilligd wanneer de desbetreffende persoon een bepaalde rol vervult in het openbare leven. Het is de vraag of die kring van personen wel voldoende nauwkeurig bepaalbaar is. Wie zelf de publiciteit zoekt of daarvan voor zijn dagelijks functioneren afhankelijk is, zoals een politicus of mediapersoonlijkheid kan begrijpelijkerwijs minder aanspraak maken op bescherming, al is het zeker niet zo dat die bescherming geheel wegvalt bij deze kring van personen. Het zal afhankelijk zijn van de omstandigheden van het geval of de betrokkene toch van de exploitant mag verlangen dat bepaalde koppelingen kunnen worden verwijderd. Maar voor wie de publiciteit niet zoekt, of deze misschien zelfs mijdt, maar die desondanks vindt, kan het anders liggen. Dan zal, mogelijk met een beroep op de overvloedige jurisprudentie van het Europees Hof voor de Rechten van de Mens te Straatsburg (hierna: EHRM), moeten worden beoordeeld of er sprake is van een aangelegenheid van algemeen belang die rechtvaardigt dat een verzoek om correctie, uitwissing of afscherming niet wordt ingewilligd door de exploitant. Of dat zo is moet van geval tot geval worden bezien, waarbij de identiteit van de persoon het eerste aandachtspunt is. Voorstelbaar is dat het bij een lid van het Koninklijk Huis, een politiek ambtsdrager of een mediapersoonlijkheid eerder aanvaardbaar is dit niet te doen dan in het geval van een vrijgelaten delinquent wiens persoonsgegevens in de openbaarheid zijn gekomen en die aanspraak mag maken op bescherming daarop. Maar ook de context en de middelen van verwerking kunnen relevant zijn, zoals volgt uit de uitspraak van het EHRM van 24 juni 2004², waarin wordt overwogen dat een beperking bij de vrijheid van meningsuiting minder snel aanvaardbaar is wanneer de gekozen wijze van publiceren een serieuze bijdrage beoogt te zijn aan een maatschappelijk relevant debat.

Die vragen komen ook op bij datgene waar het Hof zich niet over uitlaat en dat is de feitelijke betekenis van zoekmachines voor de vrijheid van meningsuiting. De advocaat-generaal heeft in zijn conclusie de stelling betrokken dat in de hedendaagse informatiemaatschappij het recht om met behulp van zoekmachines op het internet gepubliceerde informatie op te zoeken een van de belangrijkste uitingen van het grondrecht op de vrijheid van meningsuiting is. Die uiting omvat mede het recht om informatie over andere personen te zoeken, ook al is die informatie deel van het privéleven van de betrokkene. Het is de vraag of het recht op informatie van de internetgebruiker geen geweld wordt aangedaan wanneer de zoekresultaten geen betrouwbare weergave zouden zijn van de relevante webpagina's, maar een weergave die beïnvloed is door de inwilliging van een verzoek om correctie, uitwissing of afscherming. Dat speelt het duidelijkst in zaken waarin het gaat om een publiek persoon, maar bij een betrokkene die niet tot die kring van personen behoort, kan dit ook een rol spelen. Voor de advocaat-generaal woog het effect op de vrijheid van meningsuiting zo zwaar dat hij het Hof in overweging gaf het recht om te worden vergeten niet te erkennen. Nu het Hof zich niet in fundamentele zin heeft uitgelaten over de verhouding tussen de in geding zijn de grondrechten, blijft die vraag onbeantwoord. Er zal nadere jurisprudentie nodig zijn om de verhouding tussen de rechten verder te verduidelijken.

De advocaat-generaal heeft er in zijn conclusie op gewezen dat de zaak ook aanleiding geeft voor een fundamentele afweging tussen de rechten op bescherming van het privéleven en de bescherming van persoonsgegevens (artikelen 7 en 8 Handvest voor de Grondrechten) enerzijds en het recht op vrijheid van meningsuiting (artikel 11 Handvest voor de Grondrechten) en de vrijheid van ondernemerschap (artikel 16 Handvest voor de Grondrechten) anderzijds.

In artikel 11, eerste lid, van het Handvest wordt de vrijheid om kennis te nemen en te geven van informatie expliciet onder het beschermingsbereik van het Unierecht gebracht. Het is niet in alle opzichten bevredigend dat het Hof aspecten van die bescherming alleen betrekt bij de uitleg van artikel 7, onder f, van de richtlijn, en niet ingaat op de uitleg van het Handvest. Publicaties van webpagina's op internet geschiedt in veel gevallen juist met het oogmerk om via zoekmachines onder de aandacht van een ruim publiek te worden gebracht. Bij de publicatie van nieuwsarchieven door kranten op internet zal dit zelfs de voornaamste doelstelling zijn. De advocaat-generaal wijst op een arrest van het EHRM van 10 maart 2009, Times Newspapers Ltd/Verenigd Koninkrijk³ waarin de belangrijke bijdrage van internetarchieven van dagbladen aan het bewaren en beschikbaar maken van nieuws en informatie door het EHRM wordt erkend.

Ook wijst de advocaat-generaal erop dat Google zijn zoekmachine exploiteert als ondernemer en het Handvest het ondernemerschap ook respecteert. Natuurlijk is ook de vrijheid van ondernemerschap niet onbeperkt. Doordat het Hof niet op de onderlinge verhouding van deze grondrechten is ingegaan, blijft vooralsnog onduidelijk hoe het Handvest in dit opzicht moet worden uitgelegd. Mogelijk moet daarbij nog een rol spelen dat de zoekmachinedienst van Google zich weliswaar feitelijk heeft ontwikkeld tot een maatschappelijke archieffunctie, maar het bedrijfsmodel natuurlijk in de eerste plaats een kwestie is van bedrijfseconomische afwegingen en niet van een maatschappelijke of culturele verworvenheid. Google kan daarom niet goed worden vergeleken met instellingen die onder de Archiefwet 1995 vallen.

De vraag rijst ook of de wijze van bekendmaken in de Staatscourant van faillissementen, ondercuratelestellingen en andere aankondigingen van rechtsfeiten waarin persoonsgegevens worden verwerkt en langs elektronische weg onder verantwoordelijkheid van de overheid bekend worden gemaakt geheel in overeenstemming is met het Europese recht, zoals dat na het arrest luidt. Dat is nog steeds het geval. Deze bekendmakingen zijn bij wet voorgeschreven. De rechtvaardigingsgrond voor de deze bekendmakingen kan daarom gevonden worden in artikel 8, onder c, van de Wbp. Bij de wijze van verwerking – de Staatscourant wordt immers thans nog uitsluitend elektronisch uitgegeven, terwijl de historische papieren uitgave via internet toegankelijk is – moet de verantwoordelijke zich rekenschap geven van de effecten van die verwerking op het individu. Daar het internet met behulp van een zoekmachinedienst gemakkelijker doorzoekbaar is dan het ingeven van een zoekopdracht in het gedigitaliseerde archief van de Staatscourant of een landelijk dagblad of streekblad, worden maatregelen getroffen met betrekking tot de bescherming van de persoonlijke levenssfeer bij de bekendmaking van die rechtsfeiten waarbij effecten op de persoonlijke levenssfeer redelijkerwijs verwacht kunnen worden.

De authentieke versie wordt alleen als een image-PDF beschikbaar gesteld, zodat de tekstuele inhoud niet zonder meer door zoekmachines zoals Google kan worden geïndexeerd. Ook met de zoekmachine van de Staatscourant kan in de betreffende publicaties niet op trefwoord worden gezocht. In de eerste vier maanden zijn de gegevens echter zowel beschikbaar in een op naam doorzoekbare HTML-versie als in een PDF-versie. Na vier maanden verandert het regime en wordt de HTML-versie van de publicatie, de meest toegankelijke en eenvoudig verwerkbare versie die ook toegankelijk is voor de hulpmiddelen van mensen met een leeshandicap, verwijderd. Alleen een – niet (op naam) doorzoekbare – PDF-versie blijft over. Overigens wordt van rechtsfeiten dikwijls tegelijk mededeling gedaan in onder verantwoordelijkheid van de rechtspraak bijgehouden openbare registers. Deze registers zijn thans ook elektronisch te raadplegen, maar zijn niet uitsluitend op de naam van de betrokkene doorzoekbaar. Nadere gegevens zijn nodig om het register te ontsluiten. Ik acht deze waarborgen voldoende om aan de uit het arrest voortvloeiende eisen voor de bescherming van de persoonlijke levenssfeer te kunnen blijven voldoen.

Verder moet nog worden afgewacht in hoeverre de rechtspraak in Nederland over de aansprakelijkheid van een zoekmachinedienst – die een intermediaire rol vervult tussen producenten en consumenten van nieuws – nog zal veranderen. In de jurisprudentie⁴ lijkt de rechter tot dusverre geneigd de rol van een zoekmachine passief op te vatten. Daarbij moet bedacht worden dat het civiele geschillen betreft waarin beweerdelijk onrechtmatige uitlatingen zijn gedaan en waarbij de grondrechtelijke kanten niet aan de orde zijn geweest.

Gevolgen voor de onderhandelingen over de Algemene verordening gegevensbescherming

Het is evident dat het arrest besproken zal worden in de onderhandelingen. Daarbij is het geen gegeven dat het arrest zonder meer de inhoud van het recht voor de toekomst bepaalt. De wetgever heeft een andere verantwoordelijkheid dan het Hof. Het is duidelijk dat de vraag op tafel zal komen of de Raad het Hof zal volgen in zijn uitleg en of de rechten van correctie en verzet – al dan niet onder de benaming recht om te worden vergeten – met deze reikwijdte moeten worden aanvaard. Ook andere aspecten zullen aan de orde komen.

Ik zie in dit stadium nog geen aanleiding terug te komen op het door Nederland sinds het begin van de onderhandelingen ingenomen standpunten over het recht om te worden vergeten. Het arrest heeft alleen betrekking op de rechten die ten aanzien van zoekresulaten kunnen worden uitgeoefend. Het recht om te worden vergeten predenteert een ruimere reikwijdte te hebben. Dit recht zou volgens mij bij voorkeur als verschijningsvorm van het recht op correctie, uitwissing en afscherming moeten worden aangemerkt. Waar het recht beoogt om een bijzondere bescherming te bieden aan de gebruikers van sociale netwerksites, moet het erom gaan dat het «vergeten» beperkt wordt tot die informatie die de betrokkene zelf op de sociale netwerksite heeft geplaatst. Van een recht om te worden vergeten is verder geen plaats in de verhouding tussen overheid en burger.

Het valt te verwachten dat de territoriale reikwijdte van de verordening opnieuw moet worden doordacht. Wanneer exploitanten van zoekmachines geen vestiging in de EU hebben en ook geen vertegenwoordiger in EU aanwijzen is het weliswaar zo dat de verordening geldt, maar dat de exploitanten die in de VS gevestigd zijn via acceptatie van het Safe Harbour-regime – dat deel gaat uitmaken van de verordening – vervolgens een eigen invulling aan hun verplichtingen kunnen geven die niet noodzakelijkerwijs dezelfde is als het niveau dat de verordening beoogt te bieden. Consequenties zijn er ook voor de discussie over het one stop shop-systeem. Dat systeem gaat uit van de aanwijzing van een «lead authority» in de Unie wanneer het gaat om grensoverschrijdende zaken. Die «lead authority» hoeft niet gevestigd te zijn in het land waar de klacht vandaan komt. Het arrest knoopt echter nadrukkelijk aan bij het bestaan van een vestiging in Spanje.

Hierboven is al toegelicht dat het Hof niet, althans niet volledig, ingaat op de verhouding tussen het recht op bescherming van persoonsgegevens en op de vrijheid van meningsuiting. De afweging tussen beide grondrechten in de verordening is tot dusverre steeds een moeilijk vraagstuk geweest. Het lijdt geen twijfel dat het in de onderhandelingen terugkeert. Hoofdstuk IX van de verordening, waarin de bijzondere verwerkingen van persoonsgegevens zijn geregeld, waaronder die ten behoeve van journalistieke en artistieke doeleinden, zal opnieuw moeten worden bezien.

Ik verwacht dat het arrest de onderhandelingen nadrukkelijk zal beïnvloeden. Ik houd u via de toegezegde kwartaalrapportages op de hoogte van hetgeen in de onderhandelingen gebeurt.

De Staatssecretaris van Veiligheid en Justitie, F. Teeven

---

1 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281).

2 EHRM 24 juni 2004, NJ 2005, 22, inzake Caroline von Hannover/Duitsland.

3 EHRM 10 maart 2009, Times Newspapers Ltd/Verenigd Koninkrijk (nrs. 1 en 2), appl nrs 3002/03 en 23676/03, r.o.45.

4 Vzr. Rb. Almelo 31 oktober 2012, LJN BY1807 en Vzr. Rb. Amsterdam 26 april 2007, LJN BA3941.