De Wet bescherming persoonsgegevens is sinds 1 september 2001 van kracht. Op die wet wordt toegezien door wat nu de Autoriteit Persoonsgegevens heet (voorheen: College Bescherming Persoonsgegevens, CBP). Een klein onderzoek op rechtspraak.nl laat zien dat de AP daarbij niet zo vaak door de rechter wordt getoetst. Hoe is dat te verklaren?
Eenvoudig onderzoek rechtspraak.nl
Op rechtspraak.nl heb ik gezocht naar alle uitspraken waarbij het CBP of de AP de wederpartij is.
Dit heb ik simpelweg gedaan door te zoeken op "College Bescherming Persoonsgegevens" en op "Autoriteit Persoonsgegevens" ( link), en daarbij aan te klikken dat ik alleen bestuursrechtelijke uitspraken wil zien.
Na filtering op uitspraken waarin het CBP/de AP wel wordt genoemd, maar geen partij is, krijg je het overzicht zoals onderaan deze blog vermeld.
Soorten kwesties: over de beginselen wordt nauwelijks geprocedeerd
Er valt op dat de meeste kwesties over de formele kanten van het privacyrecht gaan. Na een uitsplitsing is immers het volgende te zien:
-
schending meldplicht: 5 kwesties;
-
handhavingsverzoeken: 5 kwesties;
-
verleende ontheffing verwerking bijzondere persoonsgegevens 4 kwesties (2x beroep en hoger beroep)
-
voorafgaand onderzoek: 1 kwestie
-
verwerken BSN: 1 kwestie;
-
een WOB-kwestie: 1 kwestie
-
bestuursrechtelijke vraag of iemand belanghebbende is: 1 kwestie;
-
verwerking rasgegevens: 1 kwestie;
-
goedkeuring gedragscode: 1 kwestie;
-
aanwijzing NL vertegenwoordiger: 1 kwestie;
-
verwerking gezondheidsgegevens: 1 kwestie.
Over de beginselen - wat mag wel/niet met persoonsgegevens? - wordt dus nauwelijks geprocedeerd. Daar moeten we het dus veelal doen met opinies van de artikel 29 werkgroep (lees: de nationale toezichthouders uit de EU-landen bij elkaar).
22 uitspraken in ongeveer 15,5 jaar
Opgeteld zijn er dus 22 uitspraken te vinden waarin handhaving van de AP wordt aangevochten. Uit het eerder op deze blog vermelde overzicht blijkt dat de AP de laatste jaren zeker 235 keer een last onder dwangsom heeft opgelegd. In de eerste jaren van de wet is bovendien enkele tientallen keren een boete opgelegd. Van de bijna 300 bedrijven en instellingen waar handhavend tegen is opgetreden, verzet zich dus slechts een fractie (althans, openbaar kenbaar volgens rechtspraak.nl). Hoe komt dit?
Verklaringen voor gebrek aan verzet
Naar mijn inschatting zijn er verschillende verklaringen voor dit gebrek aan rechtspraak:
-
op een deel van de kwesties is wellicht weinig af te dingen;
-
het is veelal goedkoper om gehoor te geven aan de door de Autoriteit Persoonsgegevens opgelegde last onder dwangsom dan om daarover te procederen (ongeacht of de opgelegde last wordt onderschreven of niet);
-
procederen vergt in het bestuursrecht een best lange adem alvorens je een onafhankelijke partij spreekt (eerst in de voorbereiding op het besluit, daarna in bezwaar tegen het besluit en daarna pas in beroep bij de rechter);
-
partijen willen niet - via een openbare rechtszaak - bekend kunnen komen staan als een partij waar de privacy niet op orde zou zijn (een ongenuanceerde krantenkop is killing in dit kader);
-
doordat de Autoriteit Persoonsgegevens de abstracte wettelijke normen zelf - rechtstreeks of als lid van de WP29 - invult en er nauwelijks rechtspraak is waarin die interpretatie bestreden wordt, sta je als gedaagde al op 1-0 achterstand.
Met name dit laatste punt heeft natuurlijk principieel/rechtstatelijk toch wel iets geks. De AP is tot op zekere hoogte wetgever, handhaver en rechter ineen. En juist omdat de AP dat al jaren is (en recente beslissingen gaat motiveren door te verwijzen naar haar eigen historische beslissingen), wordt de lat om die "hete kolen uit het vuur te halen" om het privacyrecht anders uit te leggen steeds hoger.
Wetgever helpt ook niet mee, Kamerleden zien hun eigen rol niet
Wat verder ook niet helpt is dat Kamerleden niet lijken te zien dat zij een rol (kunnen) hebben in dit proces en tegemoet kunnen komen aan de maatschappelijke behoefte aan duidelijke regels.
Uit Kamervragen blijkt dat er regelmatig kritische vragen worden gesteld over de Autoriteit Persoonsgegevens (en onder de vorige naam College Bescherming Persoonsgegevens). Kamerleden vragen zich bijvoorbeeld af of de AP niet te streng of juist te voorzichtig in de leer is. De regering antwoordt vervolgens consequent dat de AP onafhankelijk is en dat ze (dus) niets over optreden van de AP mag vinden.
Dat laatste behoeft enige nuancering. De privacywetgeving staat vol met open normen. In een verdrag uit 1981 zijn minimumgrondbeginselen opgenomen voor de bescherming van persoonsgegevens. Die beginselen zijn, via de EU privacyrichtlijn, zo ongeveer in de Wet bescherming persoonsgegevens (Wbp) terecht gekomen. De Wbp bevat dus grotendeels alleen maar beginselen en geen hard and fast rules.
Het zijn juist vaak andere wetten die wel heel precies specificeren welke persoonsgegevens mogen worden verwerkt (vgl. bijv. de gedetailleerde regeling in de Jeugdwet).
Als er geen specifieke wettelijke regeling is die iets bepaalt over de verwerking van persoonsgegevens, dan geldt (dus) de algemene Wet bescherming persoonsgegevens (Wbp). En het is juist die algemene Wbp die vrij strikt door de AP wordt geïnterpreteerd.
Als Kamerleden van oordeel zijn dat de AP de Wbp te strikt interpreteert, dan is het aan die Kamerleden - in hun rol van medewetgever ( artikel 81 e.v. Grondwet) - om een wetsvoorstel te lanceren dat meer (in bepaalde context) ruimte biedt om persoonsgegevens te verwerken. Of nog concreter: eigenlijk zou iedere wet die een bepaalde verwerking van persoonsgegevens verplicht stelt, ook moeten uitwerken wat er wel/niet met die persoonsgegeven mag gebeuren. Dat scheelt een hoop discussie in de praktijk. Dat is effectiever dan wederom een Kamervraag over de AP waarop het antwoord zal zijn dat de AP onafhankelijk is.
Resumerend
Uit het voorgaande volgt dat het handelen van de Autoriteit Persoonsgegevens - om verschillende redenen - tot op heden nauwelijks door de rechter is getoetst. Mogelijk wordt dat anders wanneer de AP boetes op gaat leggen. Als de boete maar hoog genoeg is, is er immers vanzelf een (economische) prikkel om wel naar de rechter te gaan.
De vraag is echter of het voor de AP niet veel aantrekkelijker is de koers vast te houden van (relatief beperkte) handhaving middels af en toe een last onder dwangsom. Juist voor een kleine organisatie als de AP kan het immers ook wel prettig zijn dat er niet te veel geprocedeerd wordt.
Het beloven dus mogelijk interessante tijden te worden. Gaat de AP inderdaad de grote woorden over handhaving waar maken en gaan we dus naar verwachting eindelijk rechterlijke toetsing van de handhaving tegemoet zien? Of kabbelt het nog wel even op de huidige wijze voort?
We houden u op de hoogte.
Bijlage: overzicht rechtspraak AP/CBP op rechtspraak.nl
|
Datum |
ECLI |
Instantie |
Wederpartij |
Inzake |
|---|---|---|---|---|
|
07-09-2001 |
ECLI:NL:RBSGR:2011:BR7092 |
Rechtbank ’s-Gravenhage |
de minister van Infrastructuur en Milieu |
CBP heeft last onder dwangsom opgelegd wegens verwerken BSN in het kader van de Rijkspas. Rechtbank oordeelt dat inderdaad geen wettelijke grondslag hiervoor bestaat. Rijk onderscheidt zich als werkgever immers niet van andere werkgevers en voert dus in hoedanigheid van werkgever geen publieke taken uit. |
|
28-11-2002 |
ECLI:NL:RBROT:2002:AF1363 |
Rechtbank Rotterdam |
Geanonimiseerde man (startend particulier recherchebureau) |
Voornemen oprichting particulier recherchebureau. Onderzoek in vervolg op melding. Afsluitende verklaring CBP na onderzoek ex. artikel 31/32 Wbp is een appellabel Awb-besluit. Dat man nu een vergunning voor particuliere recherche heeft aangevraagd doet er niet aan af dat dit ten tijde van onderzoek niet het geval was, noch bekend was. Voor het overige is het beroep kennelijk slecht gemotiveerd. Beroep wordt afgewezen. |
|
07-04-2004 |
ECLI:NL:RVS:2004:AO7115 |
Raad van State |
Nederlandse Vereniging van Handelsinformatiebureaus |
Actieve openbaarmaking CBP van naam van handelsinformatiebureau waar Registratiekamer onderzoek naar gedaan heeft. WOB-kwestie dus. Naam is overigens terecht niet openbaar gemaakt. |
|
18-01-2005 |
ECLI:NL:RBSHE:2005:AT0462 |
Rechtbank ’s-Hertogenbosch |
Geanonimiseerde gemeente |
Boete van € 15.000,- wegens niet melden verwerkingen. Rechtbank overweegt dat de verwerkingen inderdaad gemeld hadden moeten worden en dat bij het vaststellen van het boetebedrag terecht rekening is gehouden met alle omstandigheden. Controle op basis van steekproeven is niet in strijd met het verbod op willekeur. |
|
10-03-2005 |
ECLI:NL:RBROE:2005:AS8491 |
Rechtbank Roermond |
de gemeente Horst aan de Maas en B en W van Horst aan de Maas |
Beroep tegen boete schending meldplicht. Enkele feit dat minister beleidsregels kan vaststellen maakt CBP nog niet niet-onafhankelijk. Bevoegdheid opleggen boete bestond, want er was te laat gemeld. Burgemeester en niet de gemeente is verantwoordelijke voor registratie rijbewijzen. Voornemen tot handhaving had transparanter moeten worden gecommuniceerd, maar maakt boete nog niet onrechtmatig. In hoger beroep vernietigd. |
|
09-08-2005 |
ECLI:NL:RBUTR:2005:AU0980 |
Rechtbank Utrecht |
het College van burgemeester en wethouders van de gemeente Oudewater |
Boete van €15.000,-- opgelegd wegens niet melden verwerkingen. Rechtbank oordeelt dat artikel 27 Wbp vanaf 1 september 2002 onverkort van toepassing is op verwerkingen die voor inwerkingtreding wet reeds bestonden. Boete is dus terecht opgelegd. Geen aanleiding tot matigen boete, gemeente had bij onduidelijkheden CBP kunnen benaderen. Een steekproef is niet in strijd met verbod op willekeur. |
|
21-09-2005 |
ECLI:NL:RVS:2005:AU2998 |
Raad van State |
het college van burgemeester en wethouders van Kampen |
Boete van €15.000,-- opgelegd wegens niet melden verwerkingen. Rechtbank Zwolle-Lelystad had terecht geconstateerd dat met overtreding artikel 79 Wbp (overgangssituatie) nog niet (ook) artikel 27 Wbp was overtreden. Beroep van CBP tegen dit oordeel wordt dus verworpen. |
|
26-10-2005 |
ECLI:NL:RVS:2005:AU4972 |
Raad van State |
College van B&W van Horst aan de Maas |
Opgelegde boete wegens niet melden verwerkingen. Oordeel RvS: CBP niet bevoegd boete op te leggen voor niet gemelde verwerkingen die voor inwerkingtreding van de wet reeds bestonden. |
|
12-07-2007 |
ECLI:NL:RBUTR:2007:BA9990 |
Rechtbank Utrecht |
Geanonimiseerde man |
Beroep tegen ontheffing verbod verwerking bijzondere persoonsgegevens door Orde Advocaten. Bestuursrechtelijke vraag of man belanghebbende is of niet. |
|
26-07-2007 |
ECLI:NL:RBSGR:2007:BB0711 |
Rechtbank ’s-Gravenhage |
de Stichting Overlegorgaan Caribische Nederlanders (OCaN) |
Minister Integratie vraagt bij CBP ontheffing aan in het kader van landelijke verwijsindex Antillianen. Ontheffing wordt verleend, stichting gaat in bezwaar. Verwerking rasgegevens niet onder alle omstandigheden verboden. Geen beleidsvrijheid bij artikel 23 Wbp, dus volle toets door rechtbank. Ernst van problematiek gegeven. Rechtvaardigt evenwel niet de VIA als middel. Schending artikel 23 Wbp. |
|
12-03-2008 |
ECLI:NL:RVS:2008:BC6439 |
Raad van State |
Geanonimiseerde man |
Beroep tegen ontheffing verbod verwerking bijzondere persoonsgegevens door Orde Advocaten. Bestuursrechtelijke vraag of man belanghebbende is of niet. |
|
03-09-2008 |
ECLI:NL:RVS:2008:BE9698 |
Raad van State |
stichting Stichting Overlegorgaan Caribische Nederlanders |
Verleende ontheffing voor het verwerken van persoonsgegevens omtrent etniciteit in de Verwijsindex Antillianen. RvS toetst, marginaal doch wel tegen achtergrond van strenge regels grondrechten en rechtspraak EHRM, of college in redelijkheid tot besluit heeft kunnen komen. Vernietiging eerdere uitspraak rechtbank. |
|
07-06-2011 |
ECLI:NL:RBSGR:2011:BQ9229 |
Rechtbank Den Haag |
de Nederlandse Vereniging van Handelsinformatiebureaus (NVH) |
Actieve openbaarmaking zienswijze CBP over concept systeem ter voorkoming overkreditering. WOB-kwestie dus. |
|
16-05-2012 |
ECLI:NL:RBROT:2012:BW5513 |
Rechtbank Rotterdam |
het dagelijks bestuur van de deelgemeente Charlois |
CBP heeft last onder dwangsom opgelegd tot staken verwerken rasgegevens in databank hulpverlening, waarbij specifiek voorzien was in hulpverleningstrajecten voor jongeren van Antilliaanse, Kaapverdiaanse, Marokkaanse en Turkse afkomst. Geboortelandgegevens kunnen worden aangemerkt als persoonsgegevens betreffende iemands ras. Verwerking volgens rechtbank niet noodzakelijk, omdat niet aannemelijk gemaakt is dat minder verstrekkende middelen konden worden aangewend om zelfde doel te bereiken. Andere gemeenten gaan minder ver, althans niet is onderbouwd dat zo ver gaan noodzakelijk is. Geen concreet zich op legalisatie. |
|
13-11-2013 |
ECLI:NL:RBAMS:2013:7480 |
Rechtbank Amsterdam |
Geanonimiseerde man |
Beroep tegen goedkeuring gedragscode de Vereniging Zorgverzekeraars Nederland ex. artikel 25 Wbp. Gedragscode moet uitwerking wettelijk kader vormen. Onvoldoende rekening gehouden met eerdere uitspraak CBB dat verstrekken DBC-codes met diagnoseinformatie verstrekkende inbreuk op de privacy is, te meer nu de informatie wordt verwerkt door personen die niet aan beroepsgeheim zijn gebonden. Gedragscode had dat moeten reflecteren en van toezichthouder CBP had juist verwacht mogen worden dat ze op dit punt extra kritisch zou zijn. Uitzondering op doelbindingsbeginsel bovendien onvoldoende gepreciseerd. Onvoldoende waarborgen dat gegevens niet in handen onbevoegden komen. Nu enkele gronden beroep slagen had CBP, mede gelet op artikel 8 EVRM, in redelijkheid niet tot goedkeurende verklaring kunnen komen. |
|
15-04-2015 |
ECLI:NL:RVS:2015:1185 |
Raad van State |
Twee geanonimiseerde personen |
Handhavingsverzoek vanwege (heimelijke) observatie van een van de appellanten door verzekeraar van arbeidsongeschiktheidsverzekering. CBP heeft gesteld niet bevoegd te zijn, omdat verzekeraar in USA gevestigd is en waarneming door in UK gevestigd bedrijf is gedaan. Bovendien heeft CBP zich op standpunt gesteld dat handhaving gelet op handhavingsbeleid niet opportuun is. Prejudiciële vragen (1) of het vanuit de USA aansturen van in Nederland opererend recherchebureau niet maakt dat Nederlands privacyrecht van toepassing is en (2) of handhavingsbeleid wel in overeenstemming is met door richtlijn beoogde doeltreffende bescherming betrokkene. Prejudiciële vragen later ingetrokken. |
|
01-08-2016 |
ECLI:NL:RBMNE:2016:5421 |
Rechtbank Midden-Nederland |
Geanonimiseerde man (voormalig agent) |
Handhavingsverzoek jegens de politie. Onzorgvuldige voorbereiding in besluit niet handhavend op te treden. |
|
16-08-2016 |
ECLI:NL:RBGEL:2016:4553 |
Rechtbank Gelderland |
Geanonimiseerde man. |
Afwijzing handhavingsverzoek jegens NS vanwege OV-chipkaart was onvoldoende deugdelijk gemotiveerd, nu onvoldoende rekenschap is gegeven van eisen van proportionaliteit en subsidiariteit. Principiele karakter voorliggende vraag maakt bovendien dat sprake is van zwaarwichtige gronden om een onderzoek in te stellen. Beroep slaagt. |
|
19-10-2016 |
ECLI:NL:RVS:2016:2743 |
Raad van State |
Geanonimiseerde man (voormalig rechtskundig adviseur) |
Handhavingsverzoek wegens publicatie faillissementsverslagen op website curator. Belang bij hoger beroep blijft, ook al zijn verslagen reeds verwijderd. Slecht gemotiveerde afwijzing, omdat AP eerst niet en later toch betoogt dat individuele gevallen soms wel in behandeling worden genomen. Overtreding is echter reeds gestaakt, dus toewijzing van handhavingsverzoek kan nu niet meer. |
|
22-11-2016 |
ECLI:NL:RBDHA:2016:14088 |
Rechtbank Den Haag |
WhasApp Inc. |
Whatsapp moet een Nederlandse vertegenwoordiger aanwijzen omdat de middelen waarmee de verwerking plaatsvindt (de mobiele telefoons van eindgebruikers) zich in Nederland bevinden. |
|
15-12-2016 |
ECLI:NL:RBMNE:2016:6795 |
Rechtbank Midden-Nederland |
Stichting Abrona |
Voorlopige voorziening tot schorsing van opgelegde last onder dwangsom. Vastleggen verzuimpercentage in verzuimsysteem = verwerking bijzondere persoonsgegevens. Geen beroep op artikel 21 of 23 Wbp. Verzoek wordt (dus) afgewezen. |
|
20-01-2017 |
ECLI:NL:RBMNE:2017:404 |
Rechtbank Midden-Nederland |
Geanonimiseerde man (voormalig agent) |
Vervolg op handhavingsverzoek jegens politie. Rechtbank onderschrijft belangenafweging AP in beslissing al dan niet handhavend op te treden. |
Gerelateerd
Privacy
