Openbare bronnen op internet en privacy

Laatst kwam ik een interessante uitspraak tegen van de Rechtbank Noord-Nederland over het gebruik van persoonsgegevens uit openbare bronnen op internet. Men bedoelt met openbare bronnen vaak registers, social media en alles wat je op internet of google kan vinden. 

Ze zijn openbaar te raadplegen (soms tegen betaling) en bevatten vaak persoonsgegevens. Denk bijvoorbeeld ook aan KvK gegevens of gegevens uit het Kadaster. De vraag is of een andere organisatie (een gemeente, een webwinkel, een dienstverlener) die informatie vervolgens vrijelijk mag gebruiken.

Het is vaak lastig uit te leggen dat deze ‘openbare’ gegevens niet zomaar gebruikt mogen worden. Ik schrijf ‘niet zomaar’ omdat er uiteraard – het recht zou het recht niet zijn – altijd uitzonderingen bestaan. De hoofdregel is echter dat je als organisatie persoonsgegevens uit openbare bronnen niet vrijelijk mag gebruiken.

In de uitspraak waar ik zojuist op doelde, gaat het om het volgende. Een advocatenkantoor maakte gebruik van persoonsgegevens die in het kader van een Wsnp-zaak in de Staatscourant waren gepubliceerd. Wsnp staat voor Wettelijke schuldsanering natuurlijke personen. In dergelijke zaken publiceert de griffier van de rechtbank de persoonsgegeven (naam, adres en geboortedatum) van de personen die zijn opgeroepen voor een beëindigingszitting van de schuldsanering in de Staatscourant.

Het advocatenkantoor gebruikte deze persoonsgegevens voor direct marketing: de betrokken personen in de schuldsanering kregen een brief waarin de diensten van het advocatenkantoor werden aangeboden. Een ontvanger van een dergelijke brief is op een gegeven moment naar de rechter gestapt om deze verwerking van persoonsgegevens onrechtmatig te laten verklaren en schadevergoeding te vragen. De rechter ging hierin mee en veroordeelde het advocatenkantoor tot betaling van € 100,- aan schadevergoeding. Voor de fijnproevers: ECLI:NL:RBNNE:2017:1700.

Al lezende bekroop mij het gevoel dat het advocatenkantoor zich onvoldoende heeft gerealiseerd dat zij op deze manier persoonsgegevens zouden verwerken. Hoe dan ook: mijn conclusie is dat je – ook bij het gebruik van persoonsgegevens uit openbare bronnen – goed moet nadenken over een eigen grondslag en doel en vervolgens ook of de verwerking ook echt noodzakelijk is voor dat doel. Je zou kunnen redeneren: de gegevens uit de Staatscourant zijn openbaar en mag je dus gewoon gebruiken. Deze gegevens worden echter gepubliceerd met als doel om eventuele schuldeisers te infomeren. Deze gegevens mag je dus niet (zomaar) voor iets anders gebruiken.

Hetzelfde geldt bijvoorbeeld voor onderzoek op internet (google, social media) bij adresonderzoeken of door de sociale recherche. Ik krijg weleens te horen: maar dat heeft iemand zelf op internet gezet, dat kan ik toch gewoon gebruiken? Nee dus. Dat mag alleen als daarvoor grondslag, doel en noodzaak bestaan. En in sommige gevallen moet je jezelf ook de vraag stellen: mag je dan ook heimelijk waarnemen? Dus achter iemands rug om gegevens verzamelen over die persoon?

Een mooi voorbeeld is ook dat je als (toekomstig) werkgever niet je werknemers op social media mag volgen en in de gaten mag houden. Ook niet met toestemming. De Artikel 29 Werkgroep heeft daar net nog nog een advies over uitgebracht. Dus snel even het LinkedIn profiel van die sollicitant screenen? Alleen als er een grondslag, doel en noodzaak is.

Wolfje Mijnders