DEEL 2: Het recht op vergetelheid binnen de AVG
III. Geïdentificeerde of identificeerbare persoon
Het derde element uit de definitie is misschien wel het meest besproken van de vier: ‘geïdentificeerde of identificeerbare’. De Artikel 29 Werkgroep definieerde het begrip ‘geïdentificeerd’ als volgt:
“In general terms, a natural person can be considered as “identified” when, within a group of persons, he or she is "distinguished" from all other members of the group.115”.
Een persoon is volgens de Artikel 29 Werkgroep ‘identificeerbaar’ wanneer hij nog niet geïdentificeerd is, maar dit wel mogelijk is. De identificatie van een persoon gebeurt hierbij aan
112 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
113 Voorstel (Comm.) voor een verordening van het Europees Parlement en de Raad betreffende de
bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en
betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), 25 januari 2012, COM(2012) 11 final - 2012/0011 (COD).
114 Wetgevingsresolutie (EP) over het voorstel voor een verordening van het Europees Parlement en de
Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (algemene verordening gegevensbescherming), 12 maart 2014, P7_TA(2014)0212.
115 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
de hand van ‘identificatoren’116. Deze identificatoren zijn specifieke stukjes informatie die een bijzonder hechte band met het individu hebben117. Voorbeelden zijn uiterlijke kenmerken van een persoon zoals haarkleur, lengte of kledij. Maar ook informatie die niet direct af te leiden valt uit iemands verschijning zoals de naam, job, hobby’s118. In artikel 4(1) AVG worden als voorbeelden van identificatoren naam, identificatienummer en locatiegegevens gegeven. Hier wordt nog aan toegevoegd dat het ook om een online identificator kan gaan of om “een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”119.
Door Bensoussan e.a. worden op basis hiervan 5 categorieën van identificatoren onderscheiden: § Fysieke identiteit: Naam, foto, vingerafdruk of biometrische gegevens, fysiologische gegevens, genetische gegevens, gegevens met betrekking tot de mentale, economische, culturele of sociale identiteit.
§ Singulariteit: Systematische gewoontes die iemand heeft. Zaken die typerend zijn voor die persoon. Bijvoorbeeld een unieke kledingstijl.
§ Fysieke informatie: Gegevens met betrekking tot de locatie van je telefoon, nummerplaat, aangesloten apparaten.
§ Elektronische informatie: Online login gegevens, email adres, IP-adres, cookies, online gedrag.
§ Artificiële intelligentie: Bots, avatars, robots120.
Zoals door de Artikel 29 Werkgroep terecht werd opgemerkt zal de vraag of een persoon geïdentificeerd is of niet ook sterk afhangen van de specifieke situatie. Zo zal een veel voorkomende familienaam niet voldoende zijn om iemand te kunnen identificeren, te
116 Zie art. 4(1) AVG.
117 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
118 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
119 Art. 4(1) AVG.
120 BENSOUSSAN, A., HENROTTE, J.-F., GALLARDO, M., FANTI, S., General Data Protection Regulation: Texts, Comments and Practical Guidelines, Mechelen, Kluwer, 2018, 576 p.
onderscheiden uit de massa, wanneer men dit uit de ganse Belgische bevolking probeert te doen, maar zal dit wel volstaan om een persoon uit een klasgroep te identificeren121.
Ook dient een onderscheid gemaakt te worden tussen direct en indirect geïdentificeerd of identificeerbaar. Bij directe identificatie speelt de naam volgens de Artikel 29 Werkgroep een centrale rol. Om de identiteit van een persoon vast te stellen zal de naam in sommige gevallen moeten worden aangevuld met bijkomende informatie om verwarring met naamgenoten te vermijden. De naam is echter een startpunt op basis waarvan bijkomende informatie kan worden verzameld om het individu te onderscheiden van alle andere in e samenleving122. Een unieke naam zal bijgevolg sneller tot de directe identificatie van een persoon leiden dan een naam als Jan Janssens bijvoorbeeld. In de gevallen die worden besproken in deze thesis zal echter in praktisch alle gevallen de naam van de persoon gekoppeld zijn aan zijn afbeelding en aanvullende persoonsgegevens waardoor weinig verwarring mogelijk zal zijn (zie infra Deel 3). Indirecte identificatie hangt dan weer af van unieke combinaties van factoren. Wanneer de identificatoren die voorhanden zijn niet volstaan om een individu te identificeren kan die persoon wel nog identificeerbaar zijn door aanvulling van de identificatoren met andere informatie. Hierbij kan het, maar is geenszins vereist, dat die bijkomende informatie in het bezit van de verwerkingsverantwoordelijke is123. In artikel 4(1) AVG wordt dit weergegeven als “een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon”. Uit de bewoording “een of meerdere” blijkt dat het dus niet steeds om een combinatie van factoren dient te gaan. Sommige identificatoren zijn immers dermate specifiek dat ze op zichzelf volstaan om een persoon te onderscheiden124. Bijvoorbeeld ‘de huidige decaan van de UGent’. Het is in sommige gevallen ook mogelijk dat een persoon geïdentificeerd wordt aan de hand van een combinatie van identificatoren die veel ruimer zijn (bijvoorbeeld leeftijdscategorie tussen 20 en 25 jaar, regionale afkomst, BMI,…)125.
121 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
122 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
123 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
124 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
125 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
Het Hof van Justitie stelde dat het risico op identificatie in realiteit onbeduidend is wanneer de identificatie van de betrokkene een onevenredige investering van tijd, geld en arbeidskracht zou vragen126. Dit impliceert dat informatie over een bepaald persoon enkel als persoonsgegevens kunnen worden gezien, wanneer de identificatie van de betrokkene mogelijk is aan de hand van bijkomende informatie die zonder onevenredige inspanning door de verwerkingsverantwoordelijke kan worden verkregen. M.a.w. wanneer de bijkomende informatie die voor de identificatie van de betrokken persoon makkelijk toegankelijk is, bijvoorbeeld omdat ze op het internet te raadplegen is127. Dit arrest had betrekking op de Gegevensbeschermingsrichtlijn maar dezelfde bewoording werd in de AVG gebruikt waardoor het nog steeds relevant is128.
In artikel 4(1) AVG is opgenomen dat een identificatienummer ook een identificator is. Hieruit volgt dat het niet vereist is dat de naam bekend is om een persoon te identificeren. Door de Artikel 29 Werkgroep wordt het voorbeeld gegeven van een asielzoeker die een valse naam opgeeft. Hoewel de echte naam van die persoon misschien nooit gekend zal zijn zal hem toch een identificatienummer gegeven worden in zijn dossier. In dat dossier zullen ook verschillende persoonsgegevens worden verzameld over de betrokken persoon, eventueel vergezeld van een foto. Deze gegevens zullen ook een sterke, persoonlijke band met de betrokken persoon hebben en het mogelijk maken om hem te onderscheiden van andere asielzoekers129. Het zal met andere woorden mogelijk zijn om bepaalde elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon130 aan hem toe te schrijven. Het begrip ‘geïdentificeerde natuurlijke persoon’ stond onder de Gegevensbeschermingsrichtlijn al los van de naam. In de AVG werd dit principe overgenomen en zelfs enigszins uitgebreid door de genetische identiteit toe te voegen aan de definitie.
i) Online identificator
Wat nieuw is in de AVG is de opname een online identificator aan de definitie. De AVG zelf zegt wat begrepen moet worden onder online identificator:
126 HvJ (2e kamer), 19 oktober 2016, nr. C‑582/14, ECLI:EU:C:2016:779, Breyer.
127 VOIGT, P., VON DEM BUSSCHE, A., The EU General Data Protection Regulation (AVG): A Practical Guide, Cham, Springer, 2017, 383 p.
128 Zie overweging 26 AVG bijvoorbeeld.
129 ARTICLE 29 DATA PROTECTION WORKING PARTY, Opinion 4/2007 on the concept of personal data,
20th June 2007, Opinion 4/2007, https://www.clinicalstudydatarequest.com/Documents/Privacy-European- guidance.pdf.
“Natuurlijke personen kunnen worden gekoppeld aan online-identificatoren via hun apparatuur, applicaties, instrumenten en protocollen, zoals internetprotocol (IP)-adressen, identificatiecookies of andere identificatoren
zoals radiofrequentie-identificatietags. Dit kan sporen achterlaten die, met name wanneer zij met unieke identificatoren en andere door de servers ontvangen informatie worden gecombineerd, kunnen worden gebruikt
om profielen op te stellen van natuurlijke personen en natuurlijke personen te herkennen.131”.
Hieruit blijkt dat het vooral gaat om gegevens die gelinkt zijn aan de online-activiteiten van de betrokkenen. Dergelijke gegevens lijken mij niet te verzamelen door het maken van camerabeelden, waardoor deze categorie van identificatoren niet verder zal worden besproken. ii) Locatiegegevens
Ook nieuw in de AVG is de toevoeging van locatiegegevens als identificator aan de definitie van persoonsgegevens. Deze identificator valt echter ook buiten het toepassingsgebied van deze masterproef daar locaties niet verzameld worden aan de hand van camerabeelden.