Het recht om vergeten te worden
Een onderzoek naar de invloed van het recht om vergeten te worden op de vrijheid van meningsuiting van internetgebruikers.
Masterscriptie Informatierecht
Instituut voor Informatierecht (IViR) Universiteit van AmsterdamFanny Winters
Studentnummer: 5927420
Onder begeleiding van: Mr. V.E. Breemen Juni 2015
“The right of individuals to have their data no longer
processed and deleted when they are no longer needed for
legitimate purposes”
1
1
Inhoudsopgave
1 Inleiding ... 5
1.1 Aanleiding en probleemomschrijving ... 5
1.2 Onderzoeksvraag ... 8
1.3 Deelvragen en methoden ... 8
2 Het huidige raamwerk gegevensbescherming ... 10
2.1 Het recht op gegevensbescherming in Europa ... 10
2.2 Richtlijn 94/46/EG en de Wbp ... 11
2.2.1 ‘Persoonsgegeven’ en ‘verwerking’ ... 12
2.2.2 ‘Betrokkene’ en ‘verantwoordelijke’ ... 13
2.2.3 Plichten van de verantwoordelijken ... 13
2.2.4 Rechten van betrokkenen ... 14
2.3 Afweging van de betrokken grondrechten ... 15
2.3.1 Privacy ... 16
2.3.2 Vrijheid van meningsuiting ... 17
2.4 Het EHRM: afweging privacy en vrijheid van meningsuiting ... 20
2.5 Het HvJ: afweging gegevensbescherming en vrijheid van meningsuiting ... 22
2.6 Tijd voor verandering ... 23
2.7 Deelconclusie ... 24
3 Het recht om vergeten te worden ... 25
3.1 Een nieuwe verordening: het vergeetrecht ... 25
3.2 Verhouding met de huidige richtlijn: van een verwijder- en verzetsrecht naar een vergeetrecht ... 27
3.2.1 Artikel 17, eerste lid... 27
3.2.2 Artikel 17, tweede lid... 28
3.3 Omvang van het vergeetrecht ... 30
3.4 Uitzonderingen op het vergeetrecht ... 32
3.4.1 Artikel 17, derde lid sub a ... 32
3.5 Het begrip ‘journalistiek’ in Nederland... 33
3.6 Deelconclusie ... 36
4 Case study: een vergeetrecht onder de huidige richtlijn?... 37
4.1 Google Spain: feiten en achtergrond ... 37
4.2 Prejudiciële vragen aan het HvJ ... 38
4.3 Conclusie Advocaat-Generaal ... 39
4.4 Uitspraak HvJ ... 41
4.5 Reactie Google ... 42
4.6.1 Van Moerkerke zaak: geen vergeetrecht voor criminelen ... 44
4.6.2 De ‘container kwestie’: niet bedoeld om nieuws onvindbaar te maken ... 44
4.6.3 Rechtbank Noord-Nederland: geen vergeetrecht voor criminelen ... 45
4.7 Deelconclusie ... 46
5 Kritiek: het vergeetrecht vs de vrijheid van meningsuiting ... 49
5.1 Botsing met de vrijheid van meningsuiting ... 50
5.2 Materiele reikwijdte van het vergeetrecht: de media-exceptie ... 54
5.3 Praktische uitvoerbaarheid ... 55
5.3.1 Ex-post oplossing ... 56
5.4 Naar een beter vergeetrecht ... 56
5.5 Deelconclusie ... 59 6 Conclusie en aanbevelingen ... 60 6.1 Conclusie ... 60 6.2 Aanbevelingen ... 64 7 Bijlage I ... 66 8 Literatuurlijst ... 69 8.1 Literatuur ... 69 8.2 Jurisprudentie ... 75
8.3 Europese en internationale documenten ... 77
8.4 Nederlandse regelgeving en rapporten ... 78
8.5 Kamerstukken ... 79
8.6 Overige elektronische bronnen... 79
[ T y p e a q u o t e
1
Inleiding
“You are what Google says you are.”2
1.1 Aanl eiding en probl eemoms ch rijving
We leven in een digitale wereld waarin het internet niet meer weg te denken is. Op het internet worden op velerlei manieren
persoonsgegevens gepubliceerd, opgeslagen en tot in de eeuwigheid bewaard.3 Door de aard van het internet kan dit op zeer laagdrempelige wijze gedaan worden: via een website, op sociale netwerken, op
discussiefora of op een blog. Personen kunnen gegevens over zichzelf publiceren of over anderen.4 Via Google, één van de meest gebruikte zoekmachines ter wereld,5 kan iedereen informatie vinden over (on)bekende personen die zonder zoekmachines wellicht nooit waren gevonden.6 Door het ophalen van online data zijn zoekmachines in staat het publiek te helpen om informatie te zoeken, te ontvangen en door te geven.7 Daarbij helpen ze personen om kennis te verwerven en deel te nemen aan het publiek debat, wat een groot onderdeel vormt van het democratisch proces.8 Online diensten, zoals zoekmachines, bevorderen de publieke informatievoorziening omdat ze de toegang tot informatie vergemakkelijken. Aan de andere kant brengen deze
diensten ook het risico van privacy schendingen met zich mee.9
Wanneer het publicaties met gegevens van personen betreffen, kunnen de nadelige consequenties groot zijn.10 Bijvoorbeeld wanneer het gaat
2 Zie: Ambrose 2012, p. 22; Ambrose & Ausloos 2013, p. 2; en M. Angelo, ‘You are
what Google says you are’, 2 september 2009, via:
http://www.wired.com/business/2009/02/you-are-what-go/ (l.g.o. 27.06.2015).
3 Hier valt wel wat tegenin te brengen. Zo meent Ambrose dat het internet zo vluchtig
is dat in de wirwar van informatie gegevens ook weer snel verloren gaan. Een aantal redenen die zij noemt waardoor informatie kan verdwijnen zijn: fouten in hardware, falen van software, fouten van de operator, interne en externe aanvallen en
economische en organisatorische mislukkelingen. Tevens kan het zo zijn dat informatie door de jaren heen zijn waarde verliest omdat het een “inaccurate weergave van het heden geeft, uit de context is gehaald, en of/irrelevant is geworden”. Ook kan het zijn dat waardevolle informatie eerder verloren gaat en informatie van weinig waarde langer beschikbaar blijft. Zie Ambrose 2012, p. 22 en http://www.wired.com/business/2009/02/you-are-what-go/ (l.g.o. 27.06.2015).
4
CBP Richtsnoeren 2007, p. 3.
5 Zie voor marktaandelen zoekmachines:
http://searchengineland.com/googles-search-market-share-67-percent-pc-83-percent-mobile-203937 (l.g.o. 27.06.2015).
6 Zie voor meer informatie over de werking van Google: Winkelhorst 2005. 7 Raad van Europa, Recommendation of the Committee of Ministers to member
States on the protection of human rights with regard to search engines,
CM/Rec(2012)3, paragraaf 1. Via: https://wcd.coe.int/ViewDoc.jsp?id=1929429.
8 Id. 9
Van Hoboken 2013, p. 4.
10
om intieme details uit het persoonlijke leven van betrokkene of onbewezen verdenkingen.11 Steeds vaker worden personen
geconfronteerd met (ongewilde) onjuiste, onvolledige of onnodige publicaties van hun persoonsgegevens op het internet.12 De vraag met betrekking tot de controle over persoonlijke gegevens wordt dan ook groter omdat het verwijderen van informatie van het internet moeilijk kan zijn. Zo is bijvoorbeeld niet altijd de persoon of instelling te vinden die verantwoordelijk is voor de publicatie. Of degene weigert de informatie te verwijderen stellende dat zijn belang van publicatie groter is dan het privacy belang van de betrokken persoon. Om deze complicaties te overwinnen is er door de Europese Commissie (EC) een vernieuwd wetgevingskader voorgesteld betreffende de
bescherming van persoonsgegevens: de Algemene verordening gegevensbescherming (hierna: verordening of voorgestelde verordening).13 In gedachte moet worden gehouden dat ik in deze scriptie uitga van de (Nederlandse) tekst van de verordening zoals die door de EC bij het Europees Parlement en de Raad is ingediend. De verordening is nog onder behandeling en er zijn al veel amendementen ingediend en aangenomen en bestaat er de kans dat artikelnummers gewijzigd worden. Een aantal van deze amendementen worden in deze scriptie besproken.
Het is de bedoeling dat de verordening de huidige Privacyrichtlijn (ook wel aangeduid als richtlijn 95/46/EG of Dataprotectierichtlijn)14en de Wet bescherming persoonsgegevens (de Wbp)15 op den duur vervangt. De Wbp is de Nederlandse implementatie van de Privacyrichtlijn. Het College bescherming persoonsgegevens (CBP) houdt toezicht op de naleving van de Wbp. In de tekst verwijs ik voornamelijk naar de artikelen uit Wbp omdat deze wet leidend is voor Nederland en omdat deze een uitgebreide Memorie van Toelichting bevat die ik gebruik bij de uitleg van de artikelen.
De Privacyrichtlijn en de Wbp voldoen volgens de Europese Commissie, in de huidige tijd van het internet, niet meer aan een
11 CPB Richtsnoeren 2007, p. 3.
12 Van Alsenoy, Kuczerawy & Ausloos 2013, p. 5. 13
Voorstel voor een verordening van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van
persoonsgegevens en betreffende het vrije verkeer van die gegevens (Algemene verordening gegevensbescherming), COM(2012)11 definitief.
14 Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995
betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L28/31).
15
Wet van 6 juli 2000, houdende regels inzake de bescherming van persoonsgegevens (Wet bescherming persoonsgegevens), Stb. 2000, 302.
aanvaardbaar beschermingsniveau.16 Enkele dagen voordat de voorgestelde verordening werd uitgebracht benadrukt
Eurocommissaris Reding in haar toespraak van 22 januari 2012 dat individuen in de huidige tijd meer controle over hun eigen data zouden moeten krijgen en noemt daartoe het ‘right to be forgotten’: “I want to explicitly clarify that people shall have the right – and not only the ‘possibility’ – to withdraw their consent to the processing of the personal data that they have given out themselves”.17
In het voorstel voor de Algemene verordening gegevensbescherming van 25 januari 2012 wordt het ‘right to be forgotten’ vastgelegd in artikel 17. In Nederland ‘het recht om vergeten te worden’ of het ‘vergeetrecht’. In bijlage I bij deze scriptie heb ik het volledige artikel 17 toegevoegd. Dit recht wordt beschouwd als een belangrijk
mechanisme van het controle recht.18 Het recht om vergeten te worden staat in deze scriptie centraal.
Het recht heeft betrekking op “iedere informatie betreffende een betrokkene”.19
En dit betreft een punt van kritiek: als de EC
daadwerkelijk beoogt dat het om ‘iedere’ informatie gaat dan kan dit nadelige consequenties hebben voor het recht op de vrijheid van meningsuiting. Het vergeetrecht ziet namelijk op vormen van online publicaties die toegankelijk zijn voor het publiek. De fundamentele vraag is dan of er wel voldoende rekening is gehouden met de vrijheid van meningsuiting van zowel internetgebruikers, zoekmachines en de aanbieders van informatie op het internet.20 Want wat als iedereen door middel van een verwijderingsverzoek alle hem betreffende gegevens zou kunnen wissen? Critici menen dat de introductie van dit recht kan leiden tot censuur en het publieke debat kan ondermijnen doordat informatie die daarvan onderdeel vormt kan worden verwijderd. Dit zou ten koste kunnen gaan van onze geschiedschrijving en is
bovendien in strijd met de vrijheid van meningsuiting.21 De
uitingsvrijheid omvat immers “de vrijheid een mening te koesteren en de vrijheid om inlichtingen of denkbeelden te ontvangen of te
verstrekken, zonder inmenging van enig openbaar gezag en ongeacht grenzen”.22
Door de verwevenheid met het recht op ontvangst van informatie wordt doorgaans het recht op toegang tot informatie aan de
16 O. 7 en 8 voorgestelde verordening.
17 Reding 2012 (1), via: http://europa.eu/rapid/press-release_SPEECH-12-26_en.htm
(l.g.o. 27.06.2015).
18
Ausloos 2012, p. 2-3.
19 Art. 4 sub 2 voorgestelde verordening. 20 Van Hoboken 2013, p. 4.
21
Van der Sloot 2012, p. 254 en Weber 2011.
22
vrijheid van meningsuiting gekoppeld.23
In dit onderzoek wordt aan de hand van literatuur en jurisprudentie de verhouding besproken tussen het recht op privacy en het recht op vrijheid van meningsuiting. Deze rechten bespreek ik ook in de context van het internet omdat het vergeetrecht hierbinnen moet gaan
functioneren. Het doel van deze scriptie is inzicht te krijgen van de invloed van het voorgestelde vergeetrecht op de vrijheid van
meningsuiting op het internet. Dit onderzoek probeert zodoende, op basis van de in de literatuur genoemde kritiek, aanbevelingen te doen voor een vergeetrecht dat meer rekening houdt met het recht op de vrijheid van meningsuiting.
1.2 Onderzoeksvraag
Op basis van het bovenstaande staat de volgende onderzoeksvraag centraal:
In hoeverre vormt ‘het recht om vergeten te worden’, zoals omschreven in de nieuwe verordening gegevensbescherming, een inbreuk op de vrijheid van meningsuiting van de internetgebruiker?
1.3 Deelvragen en meth oden
Ter beantwoording van de onderzoeksvraag worden de volgende deelvragen gesteld:
1. Hoe is het huidige raamwerk gegevensbescherming gewaarborgd? In hoofdstuk 2 zal ik aan de hand van de Wbp de huidige verwijder- en verzetsrechten bespreken waarmee een internetgebruiker zijn gegevens kan laten verwijderen. Om het gegevensbeschermingsrecht in
perspectief te plaatsen, bespreek ik, aan de hand van Europese jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM) en het Hof van Justitie van de Europese Unie (HvJ), het recht op de vrijheid van meningsuiting en het recht op privacy en analyseer ik hoe deze rechten zich tot elkaar verhouden.
2. Wat verandert er ten aanzien van de huidige verwijder- en
verzetsrechten in de nieuwe voorgestelde verordening gegevensbescherming en wat zijn de uitzonderingen?
Deze deelvraag wordt in hoofdstuk 3 besproken. De vernieuwde aspecten van het vergeetrecht ten opzichte van het huidige kader
23
gegevensbescherming zal ik vergelijken. Hiervoor kijk ik welke aanspraken aan het vergeetrecht kunnen worden ontleend en welke verplichtingen dit met zich meebrengt. Voorts onderzoek ik hoe dit vergeetrecht zich verhoudt tot de vrijheid van meningsuiting en in welke mate de media exceptie een inbreuk op de vrijheid van meningsuiting kan beperken.
3. In hoeverre kan er gesproken worden van een vergeetrecht onder
het huidige raamwerk gegevensbescherming?
Aan de hand van een casestudy onderzoek ik in hoofdstuk 4 in hoeverre de huidige wetgeving inzake gegevensbescherming al voorziet in een dergelijk ‘vergeetrecht’. In het Google Spain-arrest24 heeft het HvJ de huidige verwijder- en verzetsrechten uit de richtlijn 95/46/EG van toepassing geacht op zoekmachines.25 Aan de hand van drie zaken bestudeer ik hoe de Nederlandse rechter het Google Spain – arrest in Nederland uitwerkt.
4. Hoe kan het voorgestelde recht om vergeten te worden verbeterd
worden om een minimale beperking van het recht op de vrijheid van meningsuiting te garanderen?
Aan de hand van kritiek van juristen maar ook van journalisten en andere wetenschappers zal ik een conclusie trekken uit de invoering van het recht om vergeten te worden zoals nu voorgesteld door de EC. Na bestudering van de aangenomen amendementen wordt duidelijk dat het vergeetrecht in de huidige vorm geen doorgang krijgt.26
Het gehele juridische kader bestaat uit de Privacyrichtlijn, de Wbp, de Algemene verordening gegevensbescherming, het EVRM, het
Handvest, jurisprudentie van het EHRM en HvJ, uitspraken van de Nederlandse voorzieningenrechter , richtsnoeren van het CBP en opinies van Artikel 29-Werkgroep.27
24
HvJ EU 13 mei 2014, nr. C-131/12 (Google/AEPD).
25 Verwijderrecht: Art. 35 sub a Wbp (recht op inzage), art. 36 sub b Wbp (recht op
verbetering, aanvulling, verwijdering en afscherming) en art. 38 sub c Wbp (recht van verbetering, aanvulling, verwijdering of afscherming) en art. 12 Richtlijn 94/46/EG. Verzetsrecht: Art. 40 sub a Wbp (recht op verzet tegen verwerking op grond van artikel 8, onder e en f) en art. 41 sub b Wbp (recht op verzet tegen verwerking met het oog op werving voor commerciële of charitatieve doelen) en art. 14 Richtlijn 95/46/EG.
26
Aangenomen teksten Europees Parlement 12 maart 2014-1, P7_TA-PRoV(2014)03-12.
27 Artikel 29-werkgroep is het onafhankelijk advies- en overlegorgaan van Europese
privacytoezichthouders. De werkgroep speelt een belangrijke rol in de
2
Het huidige raamwerk
gegevensbescherming
Omdat het voorgestelde recht om vergeten te worden een vernieuwing is van de huidige regels inzake gegevensbescherming wordt in dit hoofdstuk eerst het huidige kader gegevensbescherming in Europa en Nederland besproken. De belangrijkste begrippen, rechten en plichten uit de Wbp zullen aan bod komen. Een belangrijk aspect is de
verhouding tussen het gegevensbeschermingsrecht en het recht op de vrijheid van meningsuiting. In geval van conflict tussen deze twee rechten is een belangenafweging vereist. Hoe deze belangenafweging dient te geschieden wordt besproken aan de hand van jurisprudentie van de twee hoogste gerechtshoven van Europa. Tot slot leg ik uit hoe beide rechten in de context van de online-wereld worden geplaatst en uitleggen waarom er een nieuw wetgevingskader wordt voorgesteld.
2.1 Het rech t op gegevensbes ch erming in E uropa De basis voor de bescherming van persoonsgegevens in Europa is als grondrecht vastgelegd in artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM):28 ‘Recht op eerbiediging van privé-, familie- en gezinsleven’. Tevens wordt dit recht in artikel 8 van het Handvest van de grondrechten van de Europese Unie (het Handvest) vastgelegd:29 ‘De bescherming van persoonsgegevens’. Artikel 8 van het Handvest volgt op artikel 7 van het Handvest: ‘De eerbiediging van het privéleven en van het familie- en gezinsleven’. Het recht op
bescherming van de persoonsgegevens wordt in het Handvest dus erkend als zelfstandig recht. In het EVRM is enkel artikel 8 het ‘recht op privacy’ opgenomen.30
In Nederland is het recht op “eerbieding en bescherming van de persoonlijke levenssfeer” vastgelegd in artikel 10 van de Grondwet.31
Het recht op privacy en de bescherming van persoonsgegevens zijn nauw verwant. Verschil is dat het gegevensbeschermingsrecht niet primair ziet op verboden en beperkingen, maar op transparantie,
werkgroep bestaat uit nationale privacytoezichthouders van de lidstaten van de EU en de European Data Protection Supervisor (EDPS).
28 Europees verdrag tot bescherming van de rechten van de mens en de fundamentele
vrijheden, (Rome, 04-11-1950).
29 Handvest van de grondrechten van de Europese Unie, (PbEG 2000, C 364/01). 30 Kranenborg 2013, p. 310.
31
Tevens kunnen de artikelen 11, 12 en 13 van de Grondwet geschaard worden onder het recht op privacy.
zorgvuldigheidsnormen en belangenafwegingen.32 De belangrijkste achterliggende reden hiervoor is dat het gegevensbeschermingsrecht, in tegenstelling tot het recht op privacy, voornamelijk ziet op horizontale relaties, dat wil zeggen tussen burgers en bedrijven onderling.33 Het klassieke concept van het recht op privacy ziet op verticale
verhoudingen, de relatie tussen staat en burger.34
De ontwikkeling van persoonsgegevensbescherming in Europa heeft zijn basis in de ‘privacy principles’ ontwikkeld door de Organisatie Economische Samenwerking & Ontwikkeling (OESO/OECD).35 De mogelijkheden die nieuwe informatietechnologieën boden betreffende de verspreiding van persoonsgegevens werd gezien als een kans voor economische vooruitgang en handel, maar ook als een bedreiging voor de privacy.36 De invoering van de ‘privacy principles’ werd dan ook nodig geacht om de nationale privacywetgevingen te
harmoniseren.37Artikel 16 van het Verdrag betreffende de werking van de Europese Unie (VWEU) vormt de “specifieke rechtsgrondslag voor Europese regels voor gegevensbescherming voor alle activiteiten die binnen het toepassingsgebied van de Unie vallen”.38 De grondslag voor de regels met betrekking tot het tot stand brengen van de interne markt is artikel 114 VWEU. Dit artikel vormt dan ook de basis voor richtlijn 95/46/EG en zodoende ook voor de Wbp.39
2.2 Rich tli jn 94/46/E G en d e Wbp
De Privacyrichtlijn betreft de huidige hoeksteen op het gebied van de Europese gegevensbeschermingsregels en heeft volgens de EC twee doelstellingen: het waarborgen van het fundamentele recht op gegevensbescherming en het garanderen van het vrije verkeer van persoonsgegevens tussen de lidstaten.40 Dit moest bereikt worden door harmonisatie van wetgeving. Want indien er geen consensus bestaat over de uitvoering van wetgeving, dit een remmend effect kan hebben
32 Diaz & Gürses 2012, p. 3. 33
Van der Sloot 2012, p. 250-251.
34
Van der Sloot 2012, p. 258.
35 De OECD is een internationale organisatie inzake economische samenwerking en
ontwikkeling. Zie: OECD Guidelines on the Protection of Privacy and Transborder Data Flows of Personal Data, via:
http://www.oecd.org/sti/ieconomy/oecdguidelinesontheprotectionofprivacyandtransb orderflowsofpersonaldata.htm#guidelines (l.g.o. 28.06.2015).
36 Inleiding van de OECD Privacy Principles. 37 Gutwirth & Hert 2008, p. 281.
38
Kranenborg 2013, p. 310.
39 Artikel 114 VWEU vormt ook de basis voor richtlijn 2002/58/EG (de
‘e-Privacyrichtlijn’) en is in Nederland geïmplementeerd in de Telecommunicatiewet.
40
Zie o.a. Europese Commissie, COM(2012) 9 def., 25 januari 2012, p. 3; Europese Commissie, COM(2010) 609 def., p. 11 en zie artikel 1 lid 1 richtlijn 95/46/EG.
op de internationale handel.41 Dit vormde ook een van de redenen voor de invoering van de OECD ‘privacy principles’.42
De Privacyrichtlijn en de Wbp zijn van “toepassing op de geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens en op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen”.43 Kernbegrippen uit de Richtlijn
95/46/EG en de Wbp zijn dan ook de begrippen ‘persoonsgegeven’ en ‘verwerking’. Op grond van Richtlijn 95/46/EG en de Wbp moet de verantwoordelijke voldoen aan enkele verplichtingen en worden er aan de betrokkene verscheidene rechten toegekend. Zoals ik in de inleiding al noemde verwijs ik in de volgende paragrafen enkel naar de Wbp.
2.2.1 ‘Persoonsgegeven’ en ‘verwerking’
Het begrip persoonsgegeven wordt in artikel 1 sub a van de Wbp zeer ruim uitgelegd als “iedere informatie betreffende een betrokkene”.44 Het gaat om alle informatie die direct of indirect “zonder onevenredige inspanning” naar een persoon kan worden herleid, ofwel die een persoon identificeerbaar maakt.45 Zo worden bijvoorbeeld IP-adressen, reisgegevens van de OV-chipkaart en bepaalde informatie van routers, aangemerkt als persoonsgegevens.46 Maar denk ook aan biografieën, financiële of criminele gegevens, foto’s op sociale netwerken of blogs, namen in krantenartikelen, locatiegegevens47 en referenties in
journalistieke uitingen. Anonieme gegevens vallen niet onder de beschermingsbeginselen omdat deze niet herleidbaar zijn tot een natuurlijk persoon.48
Van een ‘verwerking’ van persoonsgegevens is sprake als het gaat om een bewerking, zoals het “verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of andere wijze ter
beschikking stellen, samenbrengen, met elkaar in verband brengen, als mede het afschermen, uitwissen of vernietigen van gegevens”.49 Het verwerken omvat dus praktisch alle handelingen die met betrekking tot gegevens kunnen worden verricht.
41 Berkvens & Prins 2007, p. 25.
42 Explanatory Memorandum van de OECD Privacy Principles. 43 Art. 2 lid 1 Wbp en art. 3 lid 1 Richtlijn 95/46/EG.
44 Zie ook Art. 2 sub a Richtlijn 95/46/EG. 45
KamerstukkenII 1997/98, 25892, 3, p. 47 (MvT).
46 Zie o.a.: CBP onderzoek Google Street View 2007, p. 29. 47 CBP onderzoek Google Street View 2007, p. 32.
48
Artikel 29-werkgroep 2007, p. 22.
49
2.2.2 ‘Betrokkene’ en ‘verantwoordelijke’
De beschermingsbeginselen uit de Wbp gelden op grond van artikel 1 sub a voor “elk gegeven betreffende een geïdentificeerde of
identificeerbare natuurlijke persoon”.50
In dataprotectie-termen wordt deze persoon ook wel ‘het datasubject’ of de ‘betrokkene’ genoemd: de persoon wiens persoonsgegevens worden verwerkt.51
Met de term ‘voor de verwerking verantwoordelijke’ wordt degene aangeduid die de verantwoordelijkheid draagt voor de inhoud van een publicatie, al dan niet op het internet.52 Volgens de Wbp is dit de “natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam die (…) het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt”.53
2.2.3 Plichten van de verantwoordelijken
Uit de Wbp kunnen enkele impliciete plichten van de
verantwoordelijke worden afgeleid. Zo mag de verantwoordelijke alleen persoonsgegevens verwerken indien deze voor een voorafgaand doel verkregen zijn.54 Dit doelbindingsvereiste bepaalt dat een
verantwoordelijke de persoonsgegevens niet voor andere doeleinden mag verwerken en moet verwijderen als de gegevens niet meer noodzakelijk zijn voor de verwerking van het oorspronkelijke doel. Ook moeten persoonsgegevens op een eerlijke en rechtmatige wijze verwerkt worden,55 moeten gegevens correct, volledig en nauwkeurig zijn56 en moeten gegevens op een technisch veilige en zorgvuldige wijze worden verwerkt.57
De verantwoordelijke heeft een informatieplicht ten aanzien van de betrokkene in verband met de verkrijging van de gegevens bij de betrokkene of bij een derde.58 Op grond hiervan is de
verantwoordelijke verplicht zijn identiteit bekend te maken en de betrokkene te informeren over de doeleinden van de verwerking, zo blijkt uit de Memorie van Toelichting.59 Ook is de verantwoordelijke verplicht tot kennisgeving aan derden aan wie de gegevens zijn
50
O. 26 Richtlijn 95/46/EG.
51 Van der Sloot 2012, p. 250. 52 CBP Richtsnoeren 2007, p. 7.
53 Art. 1 sub d Wbp en art. 2 sub d Richtlijn 94/46/EG.
54 Art. 7 Wbp en art. 6 lid 1 sub b Richtlijn 95/46/EG jo. O. 28 Richtlijn 95/46/EG 55
Art. 6 Wbp en art. 6 sub a Richtlijn 95/46/EG.
56 Art. 6 sub d Richtlijn 95/46/EG en art. 11 lid 2 Wbp. 57 Artt. 12, 13 en 14 Wbp en artt. 16 en 17 Richtlijn 94/46/EG. 58
Artt. 33 en 34 Wbp en art. 10 en 11 Richtlijn 95/46/EG.
59
verstrekt.60 Dit betekent dat de verantwoordelijke die naar aanleiding van een verzoek op grond van artikel 36 Wbp de persoonsgegevens heeft verbeterd, aangevuld, verwijderd of afgeschermd, verplicht is om aan derden aan wie de gegevens daaraan voorafgaand zijn verstrekt, van deze verandering op de hoogte te brengen, tenzij dit onmogelijk is of onevenredig veel moeite kost.61
Naast het doelbindingsvereiste en de informatieplicht is ook de rechtsgrond waarop de verantwoordelijke de verwerking van de persoonsgegevens kan baseren van belang. De grondslagen worden genoemd in artikel 8 Wbp.62 Zo wordt er in artikel 8 sub f gesteld dat de grondslag gebaseerd kan zijn op “behartiging van een
gerechtvaardigd belang (…)”. Een gerechtvaardigd belang is bijvoorbeeld de vrijheid van meningsuiting.63 Wanneer de
verantwoordelijke niet voldoet aan de zorgvuldigheidsnormen, heeft de betrokkene twee mogelijkheden om de verwerking van zijn
persoonsgegevens tegen te gaan.64 Dit betreffen de verwijder- en verzetsrechten die ik in de volgende paragraaf zal bespreken.
2.2.4 Rechten van betrokkenen
Een eerste mogelijkheid om de verwerking van gegevens te beperken of om gegevens te verwijderen kan op grond van het verzetsrecht.65 Een betrokkene kan in bepaalde gevallen, in verband met zijn
bijzondere situatie, zich verzetten tegen de verwerking van de hem of haar betreffende persoonsgegevens.66
De tweede mogelijkheid om de verwerking tegen te gaan is op grond van het recht van toegang.67 Ook wel het verwijderrecht genoemd. Het biedt de betrokkene het recht op inzage, rectificatie, uitwissing en afscherming van gegevens indien de verwerking niet overeenkomt met
60
Art. 38 Wbp en art. 12 sub c Richtlijn 95/46/EG.
61 Kamerstukken II 1997/98, 25892, 3, p. 161 (MvT) en zie artikel 12 sub b Richtlijn
95/46/EG.
62
Art. 8 sub a jo. Art. 5 lid 2 Wbp en art. 7 sub a Richtlijn 95/46/EG. Andere grondslagen die artikel 8 Wbp en artt. 5 en 7 Richtlijn 95/46/EG worden genoemd zijn: toestemming van de betrokkene, uitvoering van een overeenkomst, wettelijke verplichting en vitaal belang. Enkel bij de grondslag toestemming is
‘noodzakelijkheid’ niet vereist.
63 Hins 2008, p. 559-560. 64 Hins 2013, p. 98.
65 art. 40 sub a Wbp (recht op verzet tegen verwerking op grond van artikel 8, onder e
en f) en art. 41 sub b Wbp (recht op verzet tegen verwerking met het oog op werving voor commerciële of charitatieve doelen) en art. 14 Richtlijn 95/46/EG en
66 Zwenne 2015, p. 9-10.
67 Art. 35 sub a Wbp (recht op inzage), art. 36 sub b Wbp (recht op verbetering,
aanvulling, verwijdering en afscherming) en art. 38 sub c Wbp (recht van
de bepalingen uit de Wbp.68 Het verwijderrecht biedt de betrokkene geen absoluut recht tot verwijdering van zijn gegevens. Er moet immers sprake zijn van een schending van een zorgvuldigheidsnorm door de verantwoordelijke.69 Indien de betrokkene dus een
aanpassings- of verwijderingsverzoek indient terwijl de informatie niet onjuist, onvolledig of anderszins onrechtmatig is, gaat de voor de verwerking verantwoordelijke niet direct over tot verwijdering.70 Er zal dan eerst een belangenafweging moeten plaatsvinden. Hoe en tussen welke rechten deze afweging dient te geschieden bespreek ik in de volgende paragrafen.
2.3 Afweging van de betrokken grond rech ten Het is duidelijk dat het recht op de vrijheid van meningsuiting het tegenovergestelde voorschrijft van wat het recht op privacy en gegevensbescherming beogen. De uitingsvrijheid gaat uit van het principe dat iedereen in beginsel mag publiceren en uiten wat hem goeddunkt. Vrijheid is de regel, een verbod de uitzondering. Het grondrecht op privacy en daarmee het recht op bescherming van persoonsgegevens en het recht op de vrijheid van meningsuiting zijn geen absolute rechten en wegen even zwaar. Zoals het EHRM het verwoord, “as a matter of principle these rights deserve equal
respect”.71 Welk recht voor gaat zal afhangen van alle omstandigheden van het geval.
In artikel 9 van de Richtlijn 95/46/EG wordt expliciet gewezen op de mogelijke botsing tussen het recht op privacy en het recht op de vrijheid van meningsuiting. Op grond van dit artikel moeten lidstaten voorzien in uitzonderingen voor de verwerking van persoonsgegevens voor uitsluitend journalistieke of voor artistieke of literaire doeleinden, voor zover deze nodig blijken om het recht op privacy te verzoenen met de regels betreffende de vrijheid van meningsuiting. Dit is de zogeheten media- of journalistieke exceptie.
In de volgende paragraaf zal ik een korte analyse geven over hoe de twee hoogste rechters van Europa, in geval van een conflict, het recht op de vrijheid van meningsuiting en het recht op privacy en
68 Art. 36 Wbp en art. 12 sub b Richtlijn 95/46/EG. 69 Hardick & Kroeks-de Raaij 2014, p. 115.
70 Id., en Kamerstukken II 1997/98, 25892, 3, p. 160 (MvT).
71 EHRM 7 februari 2012, nr. 39954/08 (Axel Spinger AG/Duitsland), r.o. 87. Zie
ook: EHRM 2 februari 2012, nr. 40660/08 en 60641/08 (Von Hannover/Duitsland), r.o. 100; EHRM 16 juli 2013, nr. 33846/07 (Wegrzynowski en Smolczewski/Polen), r.o. 56. Zoals ik al eerder aangaf bevat het EVRM geen apart recht op
gegevensbescherming, vaak schaart het EHRM het recht op gegevensbescherming onder het recht op privacy.
gegevensbescherming tegen elkaar afwegen. Het eerste systeem is dat van het EVRM waarover het EHRM in Straatsburg individuele klachten behandelt inzake (vermeende) verdragsschendingen door de lidstaten.72 Het tweede systeem is gebaseerd op de uitspraken van het HvJ in Luxemburg, dat de bescherming van de fundamentele rechten in de EU garandeert.73 Het EVRM is vastgesteld en geratificeerd door alle lidstaten van de Raad van Europa. Omdat de Raad van Europa geen EU-instelling is, bestaan de twee systemen in theorie los van elkaar.74 Echter, alle lidstaten van de Europese Unie hebben het EVRM ondertekend wat betekent dat alle lidstaten gebonden zijn aan dit verdrag.75 Daarnaast heeft het HvJ expliciet erkend dat de Europese rechtbanken de jurisprudentie van het EHRM in aanmerking dienen te nemen bij het interpreteren van fundamentele rechten.76 Op zijn beurt, en in de laatste jaren steeds meer, verwijst het EHRM regelmatig naar jurisprudentie van het HvJ.77 Dit betekent dat rechtspraak van beide instellingen van evenveel belang wordt geacht.78
In het kader van het vergeetrecht is het belangrijk om na te gaan wat precies onder privacy wordt verstaan en welke relatie er bestaat met de vrijheid van meningsuiting. Ook worden de twee grondrechten in de context van het internet besproken.
2.3.1 Privacy
Privacy is een breed en lastig te definiëren begrip. Al in 1890 werd ‘the right to privacy’ geïntroduceerd door de twee Amerikaanse
rechtsgeleerden Warren & Brandeis. Het recht werd omschreven als ‘the right to be let alone’ en was bedoeld om het individu beter te kunnen beschermen tegen de opkomst van de roddelpers en nieuwe technologische ontwikkelingen, zoals de uitvinding van de
Kodakcamera.79 Al eerder was het recht op privacy een recht van de burger om zich te beschermen tegen inmenging door de overheid in de persoonlijke levenssfeer. Maar door de opkomst van onder andere de fotografie, telefoon en computer konden persoonsgegevens door de
72
Kokott & Sabotta 2013, p. 222 e.v.
73 Id., p. 223 e.v.
74 Van Alsenoy, Kuczerawy & Ausloos 2013, p. 46. 75
Lock 2009, p. 376 e.v.
76 Zie o.a.: Kokott & Sabotta 2010, p. 2; Gerards & Glas 2012, p. 523-524; en zie
bijvoorbeeld: HvJ EG 15 oktober 2002, gevoegde zaken nrs. C-238/99 P, C-244/99 P, C-245/99 P, C-247/99 P, C-250/99 P, C-252/99 P en C-254/99 P (Limburgse Vinyl
Maatschappij e.a./Commissie), r.o. 274; en HvJ EG 29 juni 2006, nr. C-301/04 P
(Commissie/ SGL Carbon AG), r.o. 43.
77 Zie o.a.: Lock 2009, p. 380; Gerards & Glas 2012, p. 523 en zie bijvoorbeeld:
EHRM 11 juli 2002, nr. 28957/95 (Goodwin/Verenigd Koninkrijk), r.o. 43-45.
78
Van Alsenoy, Kuczerawy & Ausloos, p. 46.
79
burgers en bedrijven zelf op grote schaal verwerkt worden. Naast deze snel opkomende informatietechnieken en dataverwerkingssystemen hebben ook maatschappelijke ontwikkelingen invloed (gehad) op de ideeën over privacy en gegevensbescherming.80
2.3.1.1 Privacy & het internet
Het begrip privacy kan onderscheiden worden in relationele en informationele privacy. Bij relationele privacy gaat het om de
persoonlijke levenssfeer. Als we het hebben over privacy in de online context wordt er vaak verwezen naar de ‘informationele privacy’.81
Westin beschrijft dit als het recht om zelf te kunnen bepalen wie welke informatie over ons krijgt, welke informatie openbaar wordt gemaakt en met welk doel.82 Informationele privacy ziet dan ook op de
beginselen van behoorlijk gegevensbeheer. Door de toename van het gebruik van internet groeit ook de hoeveelheid persoonsgegevens die voor commerciële doeleinden worden verwerkt. Persoonsgegevens worden op allerlei manieren openbaar gemaakt, verspreid, gedeeld, geselecteerd, gedownload en geregistreerd. Voor betrokkenen zal het moeilijk zijn om te controleren hoe een verantwoordelijke c.q. bedrijf met hun persoonsgegevens omgaat. Het risico op privacy schendingen neemt daardoor toe.83 Hieruit volgt de directe relatie tussen
informationele zelfbeschikking en persoonlijke informatie.84
2.3.2 Vrijheid van meningsuiting
De bepalingen inzake de vrijheid van meningsuiting zijn onder andere vastgelegd in artikel 11 van het Handvest en in artikel 10 EVRM. Op nationaal niveau is het grondrecht vastgelegd in artikel 7 van de Grondwet en bepaalt: “Niemand heeft voorafgaand verlof nodig om door de drukpers gedachten of gevoelens te openbaren, behoudens ieders verantwoordelijkheid volgens de wet”. Echter, de reikwijdte van artikel 10 EVRM en artikel 11 Handvest gaan verder, niet alleen de vrijheid zich te uiten maar ook het ontvangen van informatie en ideeën is onder deze artikelen beschermd. Tevens wordt de vrijheid van nieuwsgaring, ook wel de persvrijheid, onder de vrijheid van
80 Denk bijvoorbeeld aan de aanslag op de Twin Towers in New York op 11
september 2001. Zie: Alberdingk Thijm 2007, p. 13.
81
Blok 2001, p. 435. Infomationele privacy wordt ook wel informationele zelfbeschikking genoemd, zie: Blok 2001, p. 438.
82 Westin 1970, p. 7 en zie: Berkvens & Prins 2004, p. 339.
83 Zie o.a.: Hoogveld & Straathof 2013, p. 266 en TNO-Rapport ‘Stimulerende en
remmende factoren van Privacy by Design in Nederland’ als bijlage bij de brief ‘Kabinetsvisie op e-privacy: op weg naar gerechtvaardigd vertrouwen’ van 24 mei 2013, via: http://www.rijksoverheid.nl/onderwerpen/internet/documenten-en- publicaties/rapporten/2012/05/01/stimulerende-en-remmende-factoren-van-privacy-by-design-in-nederland.html (l.g.o. 27.06.2015).
84
meningsuiting beschermd.85 De media kan het publiek informeren, waarschuwen, onderbelichte zaken onder de aandacht brengen, of zorgen dat maatschappelijk relevante zaken op de politieke agenda komen.86 Hiermee wordt de bescherming van de journalist gekoppeld aan het recht van het publiek om geïnformeerd te worden.87De
primaire functie van de media is dan ook die van publieke waakhond en de secundaire functie is het onderhouden van nieuwsarchieven.88 Het recht op (toegang tot) informatie blijkt niet als zodanig uit de artikelen maar via haar verwevenheid met de uitingsvrijheid komt er toch bescherming aan toe. We spreken van een connex recht.89 Zo wordt de toegang tot openbare online persarchieven ook beschermd onder artikel 10 EVRM.90
Voor de vrijheid van meningsuiting zijn vier grondslagen te noemen meent Barendt: waarheidsvinding, zelfontplooiing en autonomie, het beschermen van burgers om politieke kwesties te begrijpen en het op een effectieve manier kunnen deelnemen aan het publieke debat.91 De vrijheid van meningsuiting is echter niet onbeperkt, zo moet rekening gehouden worden met de bescherming van de goede naam of de rechten van anderen.92 Dat geldt voor meningen en uitingen in de klassieke media, zoals in kranten en op televisie, maar ook voor op het internet.
2.3.2.1 Vrijheid van meningsuiting & het internet
Volgens een rapport van UNESCO kan de uitingsvrijheid op het internet op drie manieren belemmerd worden: belemmeringen met betrekking tot de toegang, zelf- of overheidscensuur en beperkingen gesteld aan de rechten van de internetgebruikers, zoals (on)
rechtmatige ontkoppeling.93 In de zaak Yildirim komen deze
belemmeringen samen en overweegt het Hof: “Nevertheless, the fact that the effects of the restriction in issue were limited does not
85 Zie o.a.: EHRM 26 april 1979, nr. 6538/74 (Sunday Times/Verenigd Koninkrijk) en
EHRM 16 juli 2013, nr. 33846/07 (Wegrzynowski en Smolczewski/Polen).
86
Oosterveld & Oostveen 2013, p. 147.
87
Id.
88 EHRM 10 maart 2009, nrs. 3002/03 en 23676/03 (Times Newspapers/Verenigd
Koninkrijk), Nederlandse Jurisprudentie 2010-10, m.nt. E.J. Dommering.
89
Overigens is het recht op toegang tot informatie wel als zelfstandig recht
vastgelegd in art. 19 van het Internationaal Verdrag inzake burgerrechten en politieke rechten (Bupo).
90 Zie: EHRM 22 mei 1990, nr. 12726/87 (Autronic AG/Zwitserland), r.o. 44-45;
EHRM 16 juli 2013, nr. 33846/07 (Wegrzynowski en Smolczewski/Polen), r.o. 65.
91
Barendt 2005, p. 6-23.
92 Art. 10 lid 2 EVRM.
93 Zie: UNESCO 2009, p. 11, (Overgenomen van Freedom house (2009) ), via:
http://unesdoc.unesco.org/images/0019/001915/191594e.pdf (l.g.o. 27.06.2014). En zie ook: EHRM 18 december 2012, nr. 3111/10 (Yildirim/Turkije).
diminish its significance, especially since the Internet has now become one of the principal means by which individuals exercise their right to freedom of expression and information, providing as it does essential tools for participation in activities and discussions concerning political issues and issues of general interest”.94
Ook al eerder heeft het EHRM in het Times Newspapers- arrest bepaald dat de waarden gewaarborgd in artikel 10 EVRM worden bevorderd door het internet: “In light of its accessibility and its capacity to store and communicate vast amounts of information, the internet plays an important role in enhancing the public’s access to news and facilitating the dissemination of information generally’.95
Vervolgens stelt het Hof dat internetarchieven ook onder de reikwijdte van artikel 10 EVRM vallen.96 Het Hof verduidelijkt wel dat de bescherming ten aanzien van ‘lopende’ publicaties hoger kan liggen dan online publicaties van oude artikelen. “[T]he margin of
appreciation (…) is likely to be greater where news archives of past events, rather than news reporting of current affairs, are concerned. In particular, the duty of the press to act in accordance with the principles of responsible journalism by ensuring the accuracy of historical, rather than perishable, information published is likely to be more stringent in the absence of any urgency in publishing the material.”97 Hierom geeft het Hof een ruime (maar vage) appreciatiemarge aan de lidstaten om uitzonderingen op de publicatie van online nieuwsarchieven te stellen.98
De rol van zoekmachines op het internet kan variëren.99 Met Van Eijk ben ik het eens dat zoekmachines het ophalen van informatie
vergemakkelijken. Door het aanbieden van deze dienst maken ze het voor de internetgebruiker makkelijk zowel informatie te ontvangen als door te geven. Enige beperking op de activiteiten van zoekmachines kunnen dan ook gezien worden als een inbreuk op het recht op de vrijheid van meningsuiting.100 Daarnaast kan men zich ook afvragen in hoeverre het tonen van zoekresultaten een vorm van ‘meningsuiting’ is en beschermd moet worden onder artikel 10 EVRM. Volgens Van Eijk gaat het te ver te stellen dat een zoekresultaat een uiting is die gelijk is aan het openbaren van een gedachte. De onderliggende informatie is
94 EHRM 18 december 2012, nr. 3111/10 (Yildirim/Turkije), r.o. 54. 95 EHRM 10 maart 2009, nrs. 3002/03 en 23676/03 (Times Newspapers
Ltd./Verenigd Koninkrijk), r.o. 27.
96
Id.
97 Id., r.o. 45.
98 Van Alsenoy, Kuczerawy & Ausloos 2013, p. 50 -51. 99
Zie voor een uitgebreide analyse: Van Eijk 2005, p.
100
immers al op het internet aanwezig en is daarmee openbaar. Maar de activiteit van het toegankelijk maken van informatie dient volgens Van Eijk wel een soortgelijke bescherming te krijgen van de uitingsvrijheid. Deze activiteit is namelijk van wezenlijk belang om daadwerkelijk kennisneming van informatie mogelijk te maken.101 Van Hoboken meent dat zoekmachines niet alleen de toegang tot informatie vergemakkelijken, maar informatie ook zelf produceren. Namelijk informatie over informatie. Daarom kan de publicatie van
zoekresultaten als een zelfstandige publicatie aangemerkt worden, die onafhankelijke bescherming verdiend op grond van artikel 10
EVRM.102 Deze opvattingen zijn in lijn met de jurisprudentie van het EHRM, die de toepassing van artikel 10 heeft uitgebreid tot de wijze van uitzending en ontvangst van informatie.103
2.4 Het EH RM: afwegi ng pri vacy en vrijh eid van menin gsui ting
Om de belangenafwegingen die het EHRM maakt te begrijpen leg ik eerst kort de systematiek van het EVRM uit aan de hand van artikel 8 EVRM: het recht op privacy. Alvorens het Hof overgaat tot een belangenafweging dient er eerst vastgesteld te worden of er sprake is van een inmenging in het recht op privacy. Als hier sprake van is, kijkt het Hof of de inmenging op grond van artikel 8 lid 2 gerechtvaardigd is. Hierbij geldt ten eerste het vereiste dat de inmenging voorzien moet zijn bij wet. Dit betekend dat er in de nationale wetgeving een
grondslag moet liggen voor de inmenging. Zoals ik in paragraaf 2.2.3 al aangaf vormt de vrijheid van meningsuiting op grond van artikel 8 sub f Wbp een legitieme grondslag. De wettelijke grondslag moet voor de betrokkene toegankelijk en voorzienbaar zijn. Tot slot kijkt het Hof of de inmenging op het recht op privacy noodzakelijk104 is in een democratische samenleving en of de inmenging proportioneel is aan het doel.105
Op dezelfde manier heeft het EHRM erkend dat het recht op privacy een legitieme reden kan zijn voor de beperking van de vrijheid van meningsuiting. Een dergelijke beperking is zelfs mogelijk op informatie dat al openbaar is gemaakt: “in certain circumstances a restriction on reproducing information that has already entered the public domain may be justified, for example to prevent further airing
101
Van Eijk 2005, p. 12-13.
102 Van Hoboken 2012 (2), p. 182-183.
103 Zie: EHRM 22 mei 1990, nr. 12726/87 (Autronic AG/Zwitserland). 104
Een inmenging is noodzakelijk als sprake is van een ‘pressing social need’.
105
of the details of an individual’s private life which do not come within the scope of any political or public debate on a matter of general importance.”106
Bij de afweging van de belangen van het individu tegen het belang van het publiek op toegang tot die informatie moeten enkele aspecten in aanmerking worden genomen. Zo is de mate van bekendheid van de betrokkene van belang, het tijdsverloop sinds de gebeurtenis en de publicatie, het getoonde beeld en de volledigheid en juistheid van de publicatie.107
Een voorbeeld van een arrest waar de beperking op zich
gerechtvaardigd is op grond van het recht op privacy maar niet voldoet aan het proportionaliteitsvereiste is het Wegrzynowski en Smolczewski-arrest. Het Hof redeneert dat noch de rechtbank, noch de media de taak hebben om de geschiedenis te herschrijven door middel van het
verwijderen van artikelen op het internet. Ook niet wanneer deze artikelen een inbreuk maken op de rechten van anderen.108 Volgens het Hof verschillen online krantenarchieven weliswaar van de gedrukte pers omdat zij grotere potentiële privacy schendingen tot gevolg hebben, maar het publieke belang van de archieven wordt alsnog niet snel overtroffen door het recht op privacy.109 Het geheel verwijderen van een krantenarchief is volgens het EHRM dan ook disproportioneel aan de legitieme belangen van het publiek.110
Echter, het EHRM heeft duidelijk gemaakt dat het recht op de vrijheid van meningsuiting niet impliceert dat persoonsgegevens bekend mogen worden gemaakt enkel om aan de nieuwsgierigheid van een bepaald publiek te voldoen. Ook niet als het om een bekend persoon gaat.111 Het Hof verduidelijkt dat de publicatie van foto’s en artikelen waarvan het enige doel is om aan de nieuwsgierigheid van een bepaald publiek te voldoen, niet kan worden geacht een bijdrage te leveren aan het maatschappelijk debat. Hieruit kan geconcludeerd worden dat de persvrijheid niet wordt beschermd voor publicaties die niet bijdragen aan het publiek debat, waarin de pers de rol van ‘public watchdog’
106
EHRM 16 maart 2011, nr. 24061/04 (Aleksey Oychinnikov/Rusland), r.o. 50.
107 EHRM 7 december 2006, nr. 35841/02 (Österreichischer Rundfunk/Oostenrijk),
r.o. 68.
108 EHRM 16 juli 2013, nr. 33846/07 (Wegrzynowski en Smolczewski/Polen), r.o. 65. 109 Id., r.o. 58-59.
110
Zie paragraaf 2.3.2.
111 Zie: EHRM 26 april 2004, nr. 59320/00 (Von Hannover/Duitsland), r.o. 65
(echter, deze belangenafweging had anders kunnen uitpakken indien het op een politicus zou gaan, zie: Voorhoof 2010, p. 29); en EHRM 9 oktober 2012, nr. 42811/06 (Alkaya/Turkije).
dient te vervullen.112 Het EHRM stelt overigens niet de boodschapper maar de boodschap centraal. Wanneer een publicatie bijdraagt aan het publieke debat inzake een maatschappelijk relevant onderwerp, is het zijn van ‘professioneel’ journalist nauwelijks van belang.113
Conflicten tussen de artikelen 8 en 10 EVRM zijn lastig op te lossen. Elk geval betreft verschillende omstandigheden waarin het Hof
casuïstisch beoordeelt. Deze strijd is niet voorbehouden aan het EVRM en is ook terug te zien in uitspraken van het HvJ.
2.5 Het HvJ: afwegin g gegevensb es ch ermin g en vri jheid van menin gsuiting
In de hieronder weergegeven uitspraken heeft het HvJ expliciet de verhouding tussen de privacyrichtlijn en de vrijheid van meningsuiting weergeven.
In het Lindqvist-arrest heeft het HvJ bepaald dat de toepassing van nationale regels tot uitvoering van richtlijn 95/46/EG kunnen resulteren in een gerechtvaardigde inmenging van het recht op de vrijheid van meningsuiting.114 Toepassing van de bepalingen uit de Wbp kunnen zodoende een gerechtvaardigde inmenging op de uitingsvrijheid vormen. Een dergelijke beperking moet echter wel proportioneel zijn.115 Dit betekent dat de nationale instanties moeten zorgen voor een billijk evenwicht tussen de rechten in kwestie, rekening houdend met alle specifieke omstandigheden van het geval.116 Mee te wegen omstandigheden zijn onder andere de duur van de schending van de gegevensbeschermingsregels en het belang voor de betrokkene bij de bescherming van de bekendgemaakte gegevens.117
Het Satamedia-arrest biedt meer duidelijkheid over de relatie tussen richtlijn 95/46/EG en de vrijheid van meningsuiting. Het Hof verwijst expliciet naar de enige bepaling inzake de vrijheid van meningsuiting uit de richtlijn: de journalistieke exceptie uit artikel 9. Het HvJ is van mening dat het begrip ‘journalistiek’ ruim moet worden uitgelegd.118
Zodoende bepaalt het Hof dat de uitzonderingen niet alleen voor mediaondernemingen gelden, maar voor alle in de journalistiek
112 Van Alsenoy, Kuczerawy & Ausloos 2013, p. 53. 113 Voorhoof 2008, p. 203.
114
HvJ EU 6 november 2003, nr. C-101/01 (Bodil Lindqvist/Zweden), r.o. 90.
115 Id., r.o. 88. 116 Id., r.o. 88. 117
Id., r.o. 89.
118
werkzame personen, want niet het medium maar het doel van de publicatie is bepalend.119 Doel van de publicatie moet zijn de
bekendmaking aan het publiek van informatie, meningen of ideeën.120
2.6 Tijd voor verand eri ng
Toen richtlijn 95/46/EG in 1995 werd vastgesteld stond het internet nog in de kinderschoenen.121 Inmiddels heeft een ware explosie plaatsgevonden in de omvang van online beschikbaar materiaal. Door het internet wordt de toegang tot deze informatie, evenals het kopiëren, verspreiden, downloaden en uploaden van materiaal heel eenvoudig gemaakt. Een van die gevolgen is dat de richtlijn 95/46/EG, en daarmee de Wbp, inhoudelijk niet meer voldoen aan de eisen van een ver ontwikkelde digitale wereld om een doeltreffende
gegevensbescherming te bieden. Het nadeel van het karakter van een richtlijn is namelijk dat deze door alle lidstaten van de EU moet worden geïmplementeerd en uitgevoerd. De nationale privacy
toezichthouders hebben ieder op hun eigen manier de privacyrichtlijn geïnterpreteerd en hierdoor gelden er in iedere lidstaat andere
uitzonderingen. Gevolg hiervan is rechtsonzekerheid en verscheidenheid in de rechtsbescherming van de burgers. De EC heeft daarom in januari 2012 voorstellen gedaan voor een Algemene verordening gegevensbescherming die de huidige richtlijn en de Wbp op termijn gaat vervangen. De verordening speelt onder meer in op de nieuwe technologische ontwikkelingen in het digitale tijdperk.122 Reden dat er gekozen is voor een verordening is dat dit zal leiden tot (meer) harmonisatie omdat een verordening rechtstreekse werking heeft.123 Implementatieverschillen worden zodoende verkleind. Introductie van het ‘one stop shop’-systeem maakt het mogelijk dat een bedrijf niet meer met alle 28 nationale privacy toezichthouders te maken heeft maar slecht met één toezichthouder.124 Hierdoor neemt de rechtsonzekerheid voor bedrijven af.125
119 HvJ EG 16 december 2008, C-73/07 (Satamedia), r.o. 58 en 61.
120 O. 121 voorgestelde verordening en HvJ EG 16 december 2008, C-73/07
(Satamedia), r.o. 61.
121 Hijmans 2012, p. 132. 122
Europese Commissie, COM(2010) 609 definitief, p. 2 e.v.
123 Van der Sloot 2012, p. 252.
124 Zie: Reding 2012 (2), via:
http://europa.eu/rapid/press-release_SPEECH-12-316_en.htm (l.g.o. 29.06.2015).
125
2.7 Deel con clusi e
In dit hoofdstuk heb ik de volgende deelvraag behandeld: Hoe is het huidige raamwerk gegevensbescherming gewaarborgd?
Privacy is een breed begrip. Het gaat niet alleen maar over eerbiediging van de persoonlijke levenssfeer, maar ook om de bescherming van de eigen persoonsgegevens. Technologische
ontwikkelingen vormen een belangrijke bijdrage aan de dynamiek van het privacy-begrip. Tevens wordt het recht op de vrijheid van
meningsuiting ruim uitgelegd. Het beschermt immers ook het
ontvangen van informatie en de persvrijheid. Via het internet worden de waarborgen onder artikel 10 EVRM en artikel 11 Handvest
versterkt. En naar mijn mening worden deze waarborgen ook versterkt door de activiteit van zoekmachines doordat zij de toegang tot
informatie vergemakkelijken. Tegelijkertijd wordt door de toename van het gebruik van het internet het risico op privacy schendingen vergroot. Betrokkenen hebben onder het huidige regime het recht om bezwaar te maken tegen de verwerking van hun persoonsgegevens op basis van de verwijder- en verzetsrechten uit de Wbp. Wanneer de verwerking echter wordt beschermd door het recht op de vrijheid van meningsuiting, bijvoorbeeld wanneer de verwerking valt onder de media exceptie, ontstaat er een conflict tussen het recht op privacy en het recht op de vrijheid van meningsuiting. Het is dan ook
onvermijdelijk dat beide rechten in een permanente strijdt verwikkeld zijn. Om een eerlijk evenwicht tussen de betrokken belangen te vinden moeten alle omstandigheden van het geval meegewogen worden.126 Met name wanneer een publicatie bijdraagt aan het maatschappelijk debat zal de vrijheid van meningsuiting voorrang krijgen.
126
3
Het recht om vergeten te worden
De voorgestelde vervanging van richtlijn 95/46/EG speelt onder meer in op het digitale tijdperk en de snelgroeiende internetdiensten. De Europese Commissie zet daarbij in op een vergroting van de
handhavende rol van de staat en op concrete rechten van de consument. Een van de meest in het oog springende elementen in het voorstel is het zogenoemde ‘right to be forgotten’. Dit ‘nieuwe’ recht is opgenomen in artikel 17 van de voorgestelde verordening.127 Als oorsprong van dit vergeetrecht wordt ook wel het, vanuit het Franse strafrecht afkomstige ‘recht op vergetelheid’, ‘droit de l’oublie’, genoemd. Dit principe wordt bijvoorbeeld gebruikt om veroordeelde misdadigers de mogelijkheid te geven om, nadat zij hun straf hebben uitgezeten, bij herintreding in de maatschappij hun leven met een schone lei te beginnen.128 Het gaat bij het droit de l’oublie om een afweging tussen het recht van het individu om niet meer met zijn verleden geconfronteerd te worden en het recht op toegang tot
informatie, die wel of niet nieuwswaardig is.129 Gaat het recht van het individu voor, dan wordt het de media verboden om deze personen nog langer met hun negatieve verleden te achtervolgen.130 De herkomst van het droit de l’oublie ligt in het grondrecht op privacy en staat in relatie met reputatie en waardigheid.131 Naast dit droit de l’oublie menen Ausloos en Ambrose dat het vergeetrecht ook voortvloeit uit ‘the right to erasure’: het recht gegevens te wissen die door derden openbaar gemaakt zijn.132 Het uit deze twee rechten afgeleide vergeetrecht geeft de burger het recht om de openbare verspreiding van persoonlijke informatie te beheren. In dit hoofdstuk zal ik de omvang van het voorgestelde vergeetrecht analyseren.
3.1 Een ni euwe verord ening: h et vergeetrecht De EC beoogt met de nieuwe verordening de positie van de
internetgebruiker te versterken ten aanzien van de controle over zijn gegevens.133 Daarvoor worden drie (gedeeltelijk) nieuwe rechten aan de burger toegekend: bescherming tegen profilering, het recht op
127
Europese Commissie, COM(2012) 11 def., 25 januari 2012.
128 Zie o.a. Rosen 2012, p. 88; Ausloos 2012, p. 3; Koops 2012, p. 5 e.v. Overigens
bestaat deze vorm van ‘reputatiezuivering’ in meerde landen van de EU, bijvoorbeeld in Duitsland.
129 Ambrose & Ausloos 2013, p. 2. 130
Van Hoboken 2012 (1), p. 127.
131 Ambrose & Ausloos 2013, p. 2. 132 Ambrose & Ausloos 2013, p. 1-2. 133
O. 9 van de voorgestelde verordening. Zie ook Europese Commissie, COM (2010) 609 def., p. 8.
dataportabiliteit en het recht om vergeten te worden.134 Het
vergeetrecht betreft een ‘recht van een persoon om te verkrijgen dat zijn gegevens niet meer worden verwerkt en worden gewist wanneer ze niet langer nodig zijn voor rechtmatige doeleinden’.135 Want, zo stelt de EC, persoonlijke data kunnen gemakkelijk worden opgeslagen en vermenigvuldigd op het internet maar het vervolgens weer verwijderen van die gegevens is niet zo eenvoudig. Hierdoor is het cruciaal om in de online omgeving vertrouwen tot stand te brengen.136
Er valt overigens wel een kanttekening te plaatsen bij de gedachte dat ‘het internet nooit vergeet’.137
De sector inzake informatiebehoud, zoals bibliotheken en digitale archieven, hebben juist hun bezorgdheid geuit over de vluchtigheid van het internet. De gemiddelde levensduur van een webpagina wordt geschat op 75 dagen. Dit heeft als gevolg dat informatie met historische waarde, en dus belangrijk voor de openbare informatievoorziening, mogelijk verdwijnt.138 Zodoende leert dat er niet alleen discussie is rond het ‘vergeten’, maar juist ook discussie met betrekking tot het ‘onthouden’ en het behoud van informatie is.139
De EC meent echter dat het tijd is om een “krachtiger en coherent kader voor gegevensbescherming in de EU tot stand te brengen en bovendien scherp toe te zien op de handhaving daarvan”.140 Het niet in achtnemen van de verordening kan een hoge boete opleveren.141
Het verdient opmerking dat de voorgestelde verordening in zijn geheel is bediscussieerd en dat er bijna 4000 amendementen zijn ingediend.142 Vooral het recht om vergeten te worden is onderwerp van kritiek. De kritiek en de aangenomen amendementen bij artikel 17 komen in hoofdstuk 5 aan de orde. Om de kritiek straks beter te begrijpen is het van belang om eerst het vergeetrecht zoals voorgesteld door de EC te behandelen.
134 In deze scriptie laat ik profilering en dataportabiliteit verder buiten beschouwen.
Zie voor een nadere uitleg van deze twee rechten; Van der Sloot 2012, p. 254-257.
134 Europese Commissie, COM(2010) 609, p. 9. 135 Europese Commissie, COM(2010) 609, p. 9. 136 Europese Commissie, COM(2012) 11, p. 1. 137 Ambrose 2012, p. 22.
138
Van Hoboken 2013, p. 4-5.
139 Id., p. 5.
140 Europese Commissie, COM(2012) 9, p. 2 en 20. 141
Art. 79, lid 5 sub c voorgestelde verordening.
142
3.2 Verhoudin g met d e huidige ri ch tli jn: van een verwijd er - en verzets rech t naar een vergeetrecht De volledige titel van artikel 17 onder de voorgestelde verordening luidt: ‘recht om te worden vergeten en om gegevens te laten wissen’.143
Het artikel bestaat uit negen leden waarvan ik het eerste tot en met het derde lid bespreek. Deze zijn het meest relevant met betrekking tot het spanningsveld met de vrijheid van meningsuiting.
3.2.1 Artikel 17, eerste lid
Het eerste lid voorziet in een verwijderingsrecht. Op grond hiervan kan de betrokkene verlangen dat de verantwoordelijke ervoor zorgdraagt dat de hem betreffende persoonsgegevens worden gewist of verwijderd en dat de verdere verspreiding ervan achterwege blijft. Het gaat om gegevens waarover de verantwoordelijke zelf beschikt. Tot zo ver biedt het vergeetrecht niets nieuws ten opzichte van de huidige wetgeving. Het combineert tenslotte elementen uit de artikelen 12 en 14 van de huidige richtlijn.144 Ten eerste verleent het de betrokkene het recht tot het wissen van persoonsgegevens. Dit volgt uit artikel 12 van de huidige richtlijn. Ten tweede wordt de betrokkene het recht toegekend om de verantwoordelijke te onthouden van verdere verspreiding van persoonsgegevens. Het recht om zich hier tegen te verzetten, komt overeen met artikel 14 van de richtlijn.
Nieuw is de toevoeging in de aanhef van het eerste lid, dat het
vergeetrecht “met name geldt waar het gaat om persoonsgegevens die door de betrokkene als kind beschikbaar zijn gesteld”. Hieruit kan worden opgemerkt dat de bepaling betrokkenen wil beschermen met betrekking tot de gegevensverwerkingen waarvoor ze toestemming hebben gegeven toen ze nog niet volwassen waren en zich daarom mogelijk niet bewust waren van de gevolgen of risico’s daarvan.145
Zwenne veronderstelt dat de EC hier voornamelijk doelt op activiteiten op sociale netwerksites.146
Het eerste lid gaat verder met een lijst van vier, of eigenlijk vijf,147 gronden waarop deze rechten kunnen worden ingeroepen. De genoemde gronden zijn:
(a) Het doelbindingsvereiste: het vereiste dat de gegevens niet
143 Zie bijlage I voor het gehele voorgestelde artikel 17. 144 Zwenne 2012, p. 69.
145
Art. 4 sub 18 van de voorgestelde verordening: “iedere persoon die jonger is dan achttien jaar”. En zie O. 29 en O. 52 voorgestelde verordening.
146 Zwenne 2012, p. 69. 147
Art. 17 lid 1, sub b van de voorgestelde verordening noemt immers twee gronden: toestemming en bewaartermijn.
mogen worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verzameld.148
(b) Ingetrokken toestemming of verstrijken bewaartermijn: in beide gevallen hoeft de verantwoordelijke echter niet aan het
verwijderingsverzoek te voldoen als sprake is van nog een andere verwerkingsgrondslag. Bijvoorbeeld als de gegevens nog steeds nodig zijn ter behartiging van een gerechtvaardigd belang van de
verantwoordelijke,149 mits het privacybelang van de betrokkene niet op onevenredige wijze wordt aangetast.150
(c) Bezwaar- of verzetsrecht: de verantwoordelijke is hier tegemoet gekomen aan de betrokkene en heeft de verwerking beëindigd. Betrokkenen hebben bezwaar gemaakt vanwege hen
betreffende bijzondere omstandigheden,151 die hun grondslag vinden in ofwel de bescherming van hun vitale belangen, dan wel de uitoefening van een of andere publiekrechtelijke taak of de behartiging van een gerechtvaardigd belang.152
(d) Andere gronden: verwerking zonder grondslag in de verordening. Dit is de ‘restgrondslag’ en vormt het sluitstuk op al bestaande en mogelijke nieuwe regels over persoonsgegevens.153
Op basis van het voorgaande kan kortom geconcludeerd worden dat een verwerking niet (meer) toegestaan is indien er niet langer een grondslag voor is.154
3.2.2 Artikel 17, tweede lid
In het tweede lid van artikel 17 wordt het verwijderrecht van het eerste lid uitgewerkt.155 De eerste volzin bepaalt dat de voor de verwerking verantwoordelijke die de persoonsgegevens openbaar heeft gemaakt, derden op de hoogte dient te stellen dat een betrokkene hun verzoekt om iedere koppeling naar en kopie of reproductie van die
persoonsgegeven te wissen.156 Dit betreft geen verplichting voor de verantwoordelijke om de gegevens te verwijderen of te stoppen met de verwerking van persoonsgegevens. De verplichtingen zijn beperkt tot het nemen van “alle redelijke maatregelen” om derden te informeren
148 Art. 6, lid 2 van de voorgestelde verordening.
149 Zie o.a. O. 38 voorgestelde verordening: ‘De verwerking van verkeersgegevens
voor zover die strikt noodzakelijk is met het oog op netwerk- en informatieveiligheid, (…), is een gerechtvaardigd belang voor de verwerking verantwoordelijke’.
150 Art. 6, lid 1 sub f van de voorgestelde verordening. 151 Zie O. 37 voorgestelde verordening.
152 Art. 6 lid 1 sub f jo. Art. 19, lid 1 van de voorgestelde verordening. En zie:
Zwenne 2012, p. 71. 153 Zwenne 2012, p. 71. 154 Van Hoboken 2013, p. 14. 155 Zwenne 2012, p. 71. 156
die de informatie ook gepubliceerd hebben en die daartoe ook bevoegd waren. Bij ‘derden’ moet vooral gedacht worden aan journalisten, kranten of andere journalistieke instanties.157 Hierbij wordt er vanuit gegaan dat het verwijderingsverzoek van de betrokkene aan de verantwoordelijke datzelfde verzoek inhoudt jegens derden. De Europese toezichthouder voor gegevensbescherming, de European Data Protection Supervisor (EDPS) heeft verklaard dat dit een inspanningsverplichting betreft, omdat dit vanuit praktisch oogpunt realistischer is dan een resultaatsverplichting.158 Zoals aangegeven heeft de verantwoordelijke ook in de huidige wetgeving een
informatieplicht.159 Tot zover komt het nog sterk overeen met de huidige Richtlijn 95/46/EG en de Wbp.160
De vernieuwing van het vergeetrecht zit in de tweede volzin van lid twee van artikel 17. De voor de verwerking verantwoordelijke wordt verantwoordelijk geacht voor de openbaarmaking van
persoonsgegevens door derden indien hij daartoe zelf toestemming heeft gegeven. Dit betekent dat de verantwoordelijke in die gevallen niet slechts een informatieplicht heeft maar zelfs moet verzekeren dat de door hem (eerst) geopenbaarde persoonsgegevens bij derde(n) worden verwijderd.161 Hieruit kan worden afgeleid dat er naast de informatieplicht ook een resultaatsverplichting voor de
verantwoordelijke bestaat, meent Van Hoboken.162 Op grond hiervan kan dan inderdaad gesproken worden van een versterking van de positie van de betrokkenen.163
Op grond van het tweede lid wordt duidelijk dat het vergeetrecht ook ziet op publieke informatie.164 De huidige richtlijn en Wbp voorzien niet in een specifiek recht ten aanzien van openbare informatie.165 Deze gerichtheid op ‘public data’ is in lijn met het klassieke recht op vergetelheid en roept de vraag op hoe het vergeetrecht zich verhoudt tot het recht op de vrijheid van meningsuiting, de media exceptie uit het derde lid van artikel 17 en de onderliggende jurisprudentie van het HvJ.166 Het is dan ook dit aspect dat heeft geleid tot de vele discussies
157 Larsen 2012/2013, p. 13. 158 EDPS 2012, p. 24. 159
Kamerstukken II 1997/98, 25892, 3, p. 161 (MvT) en zie paragraaf 2.2.3.
160 Pack 2014, p. 54. 161 Id., p. 54-55. 162 Van Hoboken 2013, p. 15. 163 Zwenne 2012, p. 69. 164 Van Hoboken 2013, p. 15.
165 De huidige richtlijn bevat echter wel wat uitzonderingen voor openbare
informatie. Zie bijvoorbeeld de artikelen 8 sub 3, 18 lid 3, 21 en 26 lid 1 sub f van de Richtlijn 95/46/EG.
166
omtrent de botsing van het vergeetrecht met de vrijheid van
meningsuiting. Hieronder zal ik eerst de omvang en de uitzonderingen op artikel 17 bespreken.
3.3 O mvan g van h et vergeetrecht
In haar toespraak van 22 januari 2012 die ik ook in de inleiding aanhaal heeft Reding medegedeeld dat:
“The right to be forgotten is of course not an absolute right. There are cases where there is a legitimate and legally justified interest to keep data in a database. The archives of newspapers are a good example. It is clear that the right to be forgotten cannot amount to a right of the total erasure of history. Neither must the right to be forgotten take precedence over freedom of expression or freedom of the media. The new EU rules will include explicit provisions that ensure the respect of freedom of expression and information.”167
Hoewel Reding lijkt te impliceren dat het vergeetrecht beperkt wordt tot data die een persoon zelf zou hebben verstrekt en niet tot informatie die al op een andere manier aan het publiek beschikbaar is gemaakt, is de tekst van het voorstel hierin niet zo duidelijk.168 Zoals hierboven al aangegeven ziet het vergeetrecht ook op publicatie van
persoonsgegevens die onderdeel zijn van de publieke
informatievoorziening, zoals gegevens in krantenartikelen en nieuwsarchieven.169 En dit zou juist een inbreuk op de vrijheid van meningsuiting kunnen betekenen.
Privacy-chef Peter Fleischer brengt enige verheldering aan in het vraagstuk op welke data het vergeetrecht zou kunnen zien. Daartoe heeft hij informatie gecategoriseerd op basis van de manieren waarop gegevens worden verspreid en in hoeverre de betrokkene daarbij een rol speelt.170 De categorieën lopen op in de mate van bedreiging voor de vrijheid van meningsuiting:
(1) De eerste categorie is het meest eenvoudig en komt geregeld voor: wanneer betrokkene een foto online plaatst, heeft betrokkene ook de mogelijkheid deze wanneer dan ook te (laten)
167 Reding 2012 (1), via: http://europa.eu/rapid/press-release_SPEECH-12-26_en.htm
(l.g.o. 26.06.2015).
168 Larsen 2012/2013, p. 12. 169
Id., p. 13.
170 Fleischer 2011, via:
www.peterfleischer.blogspot.nl/2011/03/foggy-thinking-about-right-to-oblivion.html (l.g.o. 26.06.2015). Fleischer schreef deze blog als reactie op een eerder uitgelekt voorstel van de Europese Commissie voor een Privacyverordening. Zijn aanpak ik echter nog steeds van belang.
