Tilburg University
Een recht op vergeten
Prins, J.E.J.
Published in:
Ars Aequi
Publication date:
2011
Document Version
Publisher's PDF, also known as Version of record
Link to publication in Tilburg University Research Portal
Citation for published version (APA):
Prins, J. E. J. (2011). Een recht op vergeten: Vergeet het maar? Ars Aequi, 60(11), 774-775.
General rights
Copyright and moral rights for the publications made accessible in the public portal are retained by the authors and/or other copyright owners and it is a condition of accessing publications that users recognise and abide by the legal requirements associated with these rights. • Users may download and print one copy of any publication from the public portal for the purpose of private study or research. • You may not further distribute the material or use it for any profit-making activity or commercial gain
• You may freely distribute the URL identifying the publication in the public portal Take down policy
If you believe that this document breaches copyright please contact us providing details, and we will remove access to the work immediately and investigate your claim.
recht & media 774 Ars Aequi november 2011
Recht & media arsaequi.nl/maandblad AA20110774
EEn rEcht op vErgEtEn.
vErgEEt hEt maar?
Corien Prins*
Burgers worden in een digitale wereld veel sterker het product van hun verleden dan ze in het papieren tijdperk waren. ‘Eens een zuipschuit, altijd een zuipschuit’ krijgt digitale eeuwigheidswaarde. Als de opmars van nieuwe media iets duidelijk maakt, is het dat vergeten niet meer vanzelf gaat. Bovendien, telkens weer lijken allerhande gebeurtenissen de informatiehonger van bedrijven en overheden te voeden: bewaren en onthouden wordt langzamerhand een belang op zichzelf. Toch wordt recentelijk ook een expliciet wettelijk te verankeren ‘recht op vergeten’ bepleit. Zal dat soelaas bieden? Of is de kans groot dat dit recht – evenals momenteel het recht op correc tie (en daarmee: verwijdering) van artikel 36 Wet bescherming persoonsgegevens (Wbp) – niet meer dan een tekentafelrecht blijkt te zijn?
Momenteel loopt in Brussel de discussie over de herziening van de Privacyrichtlijn uit 1995. Wat de modernisering van het privacybouwwerk zal inhouden werd eind vorig jaar al voorzichtig zichtbaar, toen de Europese Commissie ‘een strategie voor versterking van de Europese gegevens beschermingsregels’ presenteerde. Opval lend daarin was de opmerking: ‘Iedereen heeft het recht te worden “vergeten”, wanneer gegevens niet langer nodig zijn of wanneer iemand zijn gegevens wil laten wis sen.’1 De opmerking is opvallend, omdat het
huidige wettelijk kader via artikel 36 Wbp al lang de mogelijkheid biedt om persoons gegevens te laten verwijderen wanneer deze niet langer nodig of relevant zijn. Het artikel geeft het individu van wie gegevens worden verwerkt de mogelijkheid te verzoe ken om verbetering, aanvulling, verwijdering of afscherming van zijn persoonsgegevens. Opvallend is het voorstel van de Europese Commissie ook omdat ‘het recht op verge ten’ als daadwerkelijk effectief uit te oefenen recht eigenlijk niet meer van deze (digitale) tijd lijkt te zijn. Het karakter van het internet is immers dat van bewaren en kopiëren, juist niet van vergeten. In juridische zin mag je dan nog wel een procedure tegen
Foto © Marten Hoogstraat (whiteframe.nl)
GeenStijl2 of soortgelijke web diensten
winnen om onrechtmatig materiaal (een belastend of smakeloos filmpje) verwijderd te krijgen, technisch gezien is een recht op vergeten en daarmee ‘opnieuw beginnen’ vrijwel onmogelijk voor iedereen die met naam en toenaam op internet te boek staat als ‘losbandig’, ‘radicaal’ of ‘gezocht’.3
Eveneens technisch gezien, is weg gooien en dus vergeten niet meer nodig nu beschikbare opslagcapaciteit niet langer een relevante overweging is. Daarmee lijkt het belang van ‘vergeten’ niet alleen in de grenzen loze wereld van het internet passé. Ook in de ontelbare interne bedrijfs en overheidssystemen blijven persoonsgege vens zonder houdbaarheidsdatum opgesla gen. Wettelijke regelingen stellen weliswaar een tijdslimiet aan het bewaren van gege vens, maar het opschonen van gegevens bestanden blijkt veelal een teken tafelbelang. Dat laten bijvoorbeeld de recente be vindingen van het College Bescherming Persoonsgegevens over de bewaartermij nen van gegevens over het reisgedrag met de Studenten OVchipkaart overduidelijk zien.4 Overigens tonen deze bevindingen
tegelijkertijd ook hoe complex het voor bedrijven en organisaties is om vanuit de wirwar aan regelingen scherp te krijgen wanneer exact gegevens moeten worden verwijderd. Kortom, de casus illustreert dat afspreken dat er vergeten moet worden heel wat eenvoudiger is dan afspreken wanneer er dan vergeten moet worden. Juist deze complexiteit in combinatie met een gebrek aan intrinsieke (commerciële) motivatie om weg te gooien, maakt dat het belang van vergeten veelal geen prioriteit heeft.
Toch is het zaak nader stil te staan bij het belang van vergeten. Allereerst heeft dat be lang alles te maken met onze privacy positie: als niets meer verdwijnt, kunnen we ook nergens meer van los komen. Ook niet van het beeld dat bedrijven en overheden met behulp van nieuwe media over ons creëren. Belangrijk daarbij is dat gegevensverzame lingen lang niet altijd meer uit uitsluitend losse persoonsgegevens (NAWgegevens,
geboortedatum, etc.) bestaan. Veel instan ties werken met profielen van individuen. Niet alleen Google en andere aanbieders van digitale diensten zoals online boek verkopers zetten zogenaamde datamining technieken in voor het opstellen van profie len (‘lezers van Ars Aequi bestelden eerder het boek “…”’).5 Ook de overheid gebruikt
de toepassing om het gedrag van jongeren, bestedingspatroon van uitkeringsgerech tigden of aangiftepatroon van belasting betalers te categoriseren om vervolgens op basis van typen burgers beleid te voeren. De gegevens die bij dit profileren en typeren worden gebruikt betreffen bovendien niet alleen ‘harde’ gegevens die direct dan wel indirect over iemand worden verzameld, maar ook gegevens die uit zijn gedrag zijn af te leiden. Illustratief: bij de gegevens die organisaties op internet verzamelen gaat het niet alleen om onze digital footprint (gegevens die wij al dan niet bewust c.q. vrijwillig zelf genereren), maar evenzeer om onze digital shadow (informatie die anderen uit ons gedrag afleiden). Juist als typeringen een hardnekkig bestaan gaan leiden, bergt dit het risico in zich dat mensen zich niet meer aan hun eerdere voorkeuren of verle den kunnen ontrekken en achtervolgd blij ven door sporen van dom en onvolwassen gedrag in een eerdere levensfase. Behalve de privacypositie van individuen, raakt het belang van vergeten ook de organisaties die de gegevens verwerken en wel omdat de noodzakelijke garanties voor de kwaliteit en relevantie van gegevens onder druk staan. Evenals voor producten in de supermarkt, geldt ook voor gegevens dat kwaliteit nauw samenhangt met de vraag hoe ‘vers’ ze zijn. Met het verstrijken van de jaren neemt de mate van zekerheid over de juistheid van zowel losse gegevens als typeringen over burgers, af.6
recht & media Ars Aequi november 2011 775 arsaequi.nl/maandblad AA20110000
Burgers worden in een digitale wereld veel sterker het product van hun verleden dan ze in het papieren tijdperk waren. ‘Eens een zuipschuit, altijd een zuipschuit’ krijgt digitale eeuwigheidswaarde. Als de opmars van nieuwe media iets duidelijk maakt, is het dat vergeten niet meer vanzelf gaat. Bovendien, telkens weer lijken allerhande gebeurtenissen de informatiehonger van bedrijven en overheden te voeden: bewaren en onthouden wordt langzamerhand een belang op zichzelf. Toch wordt recentelijk ook een expliciet wettelijk te verankeren ‘recht op vergeten’ bepleit. Zal dat soelaas bieden? Of is de kans groot dat dit recht – evenals momenteel het recht op correc tie (en daarmee: verwijdering) van artikel 36 Wet bescherming persoonsgegevens (Wbp) – niet meer dan een tekentafelrecht blijkt te zijn?
Momenteel loopt in Brussel de discussie over de herziening van de Privacyrichtlijn uit 1995. Wat de modernisering van het privacybouwwerk zal inhouden werd eind vorig jaar al voorzichtig zichtbaar, toen de Europese Commissie ‘een strategie voor versterking van de Europese gegevens beschermingsregels’ presenteerde. Opval lend daarin was de opmerking: ‘Iedereen heeft het recht te worden “vergeten”, wanneer gegevens niet langer nodig zijn of wanneer iemand zijn gegevens wil laten wis sen.’1 De opmerking is opvallend, omdat het
huidige wettelijk kader via artikel 36 Wbp al lang de mogelijkheid biedt om persoons gegevens te laten verwijderen wanneer deze niet langer nodig of relevant zijn. Het artikel geeft het individu van wie gegevens worden verwerkt de mogelijkheid te verzoe ken om verbetering, aanvulling, verwijdering of afscherming van zijn persoonsgegevens. Opvallend is het voorstel van de Europese Commissie ook omdat ‘het recht op verge ten’ als daadwerkelijk effectief uit te oefenen recht eigenlijk niet meer van deze (digitale) tijd lijkt te zijn. Het karakter van het internet is immers dat van bewaren en kopiëren, juist niet van vergeten. In juridische zin mag je dan nog wel een procedure tegen
Foto © Marten Hoogstraat (whiteframe.nl)
alle noodzakelijke maatregelen treft om de gegevens terstond en volledig uit de syste men en andere middelen voor gegevensver werking te verwijderen.’ Ik schat in dat een dergelijke regeling weinig realistisch is. Het grondrecht op privacy (art. 10 Gw) is geen absoluut recht en het recht op vergeten zal dus ook geen absoluut recht kunnen zijn. Het gaat er juist om dat partijen een goede en beredeneerde afweging maken, die vervolgens ook daadwerkelijk in acht te ne men valt. Telkens zal de context om nadere en soms ook andere afwegingen rondom bewaren dan wel vernietigen van gegevens vragen.7 Zo zullen gegevens in het domein
van de opsporing anders moeten worden
beoordeeld dan die in de gezondheidszorg, waar het langdurig bewaren van onschat bare waarde kan zijn voor onderzoek naar bijvoorbeeld sterfterisico’s en erfelijkheid. Op welke wijze gegevens vervolgens (al dan niet geanonimiseerd) bewaard worden, is een volgende vraag die ook per categorie beoordeeld moet worden.
Het voorgaande wil niet zeggen dat het ‘recht op vergeten’ dan maar verder vergeten dient te worden. Zelf zou ik vanuit dit belang de bestaande regeling willen aanpassen. Zo moet een individu momen teel bij het beroep op artikel 36 Wbp zelf aangeven welke correctie hij aangebracht wenst te zien. In de realiteit van alledag is
* Prof.mr. J.E.J. Prins is hoogleraar aan het Tilburg Insti tute for Law, Technology, and Society (TILT), Universi teit van Tilburg en Raadslid bij de Wetenschappelijke Raad voor het Regeringsbeleid (WRR).
1 Europese Commissie, ‘Europese Commissie presenteert strategie voor versterking gegevens beschermingsregels EU’, IP/10/1462 (Brussel, 4 november 2010), europa.eu.
2 Zie onlangs nog over een al langer lopende zaak van een dronken studente: F. Jensma, ‘GeenStijl veroor deeld voor filmpje studente’, NRC Handelsblad 20
september 2011, p. 32.
3 D. Solove, The future of reputation, gossip, rumor and privacy on the internet, New Haven, CT: Yale
University Press 2007; V. MayerSchönberger, Delete,
Princeton: Princeton University Press 2009; J.E.J. Prins, ‘Name, shame and everlasting blame’, NJB
20093, p. 119; Y. Buruma, ‘Het recht op vergetel heid’, (D. Broeders, C. Cuijpers & J.E.J. Prins, red.),
De staat van informatie, Amsterdam: Amsterdam
University Press 2011.
4 Zie de dwangsombesluiten van het CBP van 26 juli 2011 (beschikbaar via www.cbpweb.nl)
5 Bij datamining doorzoekt software de beschikbare ge
gevens op correlaties en patronen. Bij profiling worden
op voorhand criteria vastgesteld (bijvoorbeeld voor bepaald gedrag of specifieke risico’s) aan de hand waarvan de gegeven verzameling wordt doorzocht. 6 Zie over de risico’s rondom gegevenskwaliteit het rapport van de Wetenschappelijke Raad voor het
Regeringsbeleid (WRR) getiteld iOverheid (www.wrr. nl).
7 Rijkeboer. HvJ EG 7 mei 2009, nr. C/55307, Jur. 2009, p. I/03889, JB 2009159; zie H.R.
Kranenborg in SEW 2009, p. 508510.
8 ABRvS 3 maart 2004, LJN: AO4783, JB 2004,
156 r.o. 2.2; ABRvS 16 maart 2005, LJN: AT0510,
AB 2005, 264 r.o. 2.21 (m.nt. A.M. Klingenberg) en
ABRvS 22 februari 2006, LJN: AV2256, r.o. 2.3. 9 Het kabinet beoogt via de Wbp regels te stellen voor
profilering (privacybrief van het kabinet van 29 april 2011).
10 Opinie van de Werkgroep gegevensbescherming nr. 3 van 2010 , 13 juli 2010, p. 3: ‘Data protection must move from “theory to practice”’.
dit natuurlijk ondoenlijk. Niemand van ons krijgt het nog voor elkaar afdoende inzicht te krijgen in de gegevens die zoal worden bewaard. In de praktijk blijken heel wat be drijven en organisaties zelf al geen allesom vattend overzicht te hebben (wat overigens weer een zekere mate van privacybescher ming oplevert). Bovendien weigeren veel organisaties en bedrijven vrijwel categorisch het recht op inzage serieus te nemen. Een klein experiment dat ik vorig collegejaar met ruim 90 studenten uitvoerde, had als uitkomst dat ruim driekwart van hen het niet voor elkaar kreeg om met een beroep op de Wbp iets te weten te komen over de persoonsgegevens die van hen werden verwerkt. Er is dus wel een wettelijk, maar geen reëel systeem dat ons in staat stelt te vernemen wat er eigenlijk over ons is op geslagen. Daarmee is het tevens ondoenlijk concreet aan te geven welke gegevens wij zoal verwijderd willen hebben. Voor artikel 36 Wbp impliceert het belang van vergeten, kortom, dat het niet langer aan het individu is om uitdrukkelijk aan te geven welke cor rectie hij aangebracht wil zien, maar dat een beroep op verwijderen in eerste instantie niet behoeft te worden gespecificeerd. Een ander punt betreft de vaste rechtspraak dat het recht op correctie niet is bedoeld om gegevens te laten verwijderen die bestaan uit indrukken, meningen en conclusies die een organisatie heeft verzameld, maar waar mee het individu zich niet kan verenigen.8
Juist als het gebruik van profielen en digitale beelden van burgers een vlucht neemt, zou de mogelijkheid tot correctie van ‘indruk ken’ die met digitale middelen zijn gege nereerd, wettelijk verankerd moeten zijn.9
Verder zou de aanhef van artikel 36 Wbp duidelijker moeten expliciteren dat het niet alleen om correctie, maar ook om het recht op verwijderen (vergeten) gaat. Ten slotte zal nog steviger ingezet moeten worden op handhaving van het bestaande regime voor het bewaren van gegevens. Kortom, laat de tekentafel van de Wbp eindelijk eens rea listische praktijk worden. Van ‘law in theory’ naar ‘law in action’, zoals de gezamenlijke Europese toezichthouders het vorig jaar formuleerden.10 Dat geldt ook voor het recht
