 |
 |
 |
 |
Ter beoordeling van de vraag of data gehouden door de overheid ook ‘Open Data’ zijn, is de eerste belangrijke vraag of de data openbaar is. Als data niet openbaar is, mag deze ook niet in hergebruik gegeven worden. Aan de hand van een aantal hierna weergegeven stappen kan bepaald worden of de data openbaar is.
- Welke openbaarheidsregeling is van toepassing?
Kwantitatief gezien – het vangt veruit de meeste Open (overheids) Data – is de Wet openbaarheid van bestuur (Wob) de belangrijkste openbaarheidsregeling. Deze bepaalt dat bestuurlijke informatie neergelegd in documenten en berustend bij bestuursorganen openbaar is, tenzij een specifieke wettelijke regel anders bepaalt. Lees meer… - Is de informatie openbaar?
Als we vastgesteld hebben dat het gaat om informatie waarop de Wob van toepassing is, dan is de hoofdregel – in lijn met de Open Data-filosofie en de Nederlandse beleidsambities – dat de informatie openbaar is en vrijgegeven moet worden voor hergebruik. Echter, de Wob kent een aantal uitzonderingen: soorten bestuurlijke informatie die niet openbaar zijn. Uiteraard moet een overheidsorganisatie deze uitzonderingen toetsen. Is een uitzondering van toepassing dan mag de informatie niet vrijgegeven worden voor hergebruik.
Bij de beoordeling of bestuurlijke informatie openbaar gemaakt mag worden moet het bestuursorgaan nagaan of de verstrekking niet indruist tegen de in de Wob expliciet genoemde belangen. Deze zijn vastgelegd in artikel 10 van de Wob en vallen uiteen in twee soorten de absolute weigeringsgronden en relatieve weigeringsgronden. Lees meer…
Welke openbaarheidsregeling is van toepassing?
Om de toepasselijkheid van de openbaarheidsregeling vast te kunnen stellen, moeten we eerst bepalen:
- gaat het om bestuurlijke informatie?
- berust deze bij het bestuursorgaan?
- is deze neergelegd in documenten?
- is de toepasselijkheid van de Wob uitgezonderd?
- Gaat het om bestuurlijke informatie?
Allereerst moet het gaan om informatie over een bestuurlijke aangelegenheid. Artikel 1 onder b van de Wob omschrijft het als ‘een aangelegenheid die betrekking heeft op het beleid van een bestuursorgaan, daaronder begrepen de voorbereiding en de uitvoering daarvan’. Dat brengt ons niet veel verder. Gelukkig heeft dit begrip in de rechtspraak heeft nader vorm gekregen, waarbij opvalt dat de rechter dit begrip steeds ruimer opvat. Zo heeft het niet de enge betekenis van ‘administratief’, maar ziet het op het bestuur in al zijn facetten, inclusief wetgevingsbeleid en is de enkele aanwezigheid van een verband met een bestuurlijke aangelegenheid reeds voldoende. Zo zijn recent als bestuurlijke aangelegenheden aangemerkt: onkostendeclaraties van publieke gezagsdragers, rapportages over gedragingen van ambtenaren, bonussen aan ambtenaren, privaatrechtelijke handelingen van de Staat die het resultaat zijn van beleidsafwegingen en commercieel onderzoek verricht ten behoeve van verdere publieke beleidsvorming. Kortom, een aangelegenheid zal al snel een bestuurlijke aangelegenheid zijn, zodat een verzoek om informatie over die aangelegenheid geregeerd wordt door de Wob. - Berust de informatie bij het bestuursorgaan?
De Wob ziet alleen op informatie (of liever de documenten waar de informatie in zit) die bij het bestuursorgaan berust. Officieel is het bestuursorgaan van de gemeente het College van B&W, maar gemakshalve zullen we hierna het bestuursorgaan steeds duiden als ‘de gemeente’. Het doet er niet toe of de gemeente ook de opsteller is; ook documenten geproduceerd door derden vallen onder dit begrip. Als de gemeente toegang heeft tot het document en het document ook voor haar bestemd is, berust het document bij haar. In een elektronische omgeving betekent ‘berusten bij’ dat de gemeente toegang moet hebben (en rechte hebben op die toegang) tot het opslagmedium waarop de data zich bevindt en de beschikkingsmacht hebben over die data. Let op: of deze bij de gemeente berustende informatie van derden ook vrijgegeven mag worden voor hergebruik is daarmee niet gezegd: de Wob ziet op openbaarheid. Rechten van derden komen hierna nog aan de orde. - Is deze neergelegd in documenten?
Ten slotte moet de informatie neergelegd zijn in ‘documenten’. Artikel 1a van de Wob beschrijft een document als ‘een schriftelijk stuk of ander materiaal dat gegevens bevat’. Net als het begrip ‘bestuurlijke aangelegenheid’ moet het begrip ‘document’ ook zeer ruim geïnterpreteerd worden. De vorm van de informatie – gedrukt of in elektronische vorm – doet daarbij niet ter zake. De data moeten wel bestaan: de gemeente kan dus niet verplicht worden de informatie te creëren of in een bepaald format op te slaan. Dat neemt niet weg dat een bewerking van de aanwezige informatie kan wel aan de orde zijn, zoals het maken van een selectie van digitaal opgeslagen gegevens, neergelegd in elektronische databestanden. - Is de toepasselijkheid van de Wob uitgezonderd?
Helaas zijn we er nu nog niet: het kan zijn dat een andere regeling boven de Wob gaat. Artikel 2 van de Wob zegt namelijk dat een bestuursorgaan bij de uitvoering van zijn taak actief en passief informatie moet verschaffen overeenkomstig de bepalingen van de Wob, onverminderd het elders bij de wet bepaalde. Dit betekent concreet dat sommige formele wetten als ‘bijzondere regelingen aan de Wob derogeren’. Het moet dan wel gaan om regelingen met een zogenaamd uitputtend karakter. Het voert te ver in het kader van deze Handreiking om hier diep op in te gaan.
Is de informatie openbaar?
Als we vastgesteld hebben dat de Wob van toepassing is, dan geldt de regel ‘openbaar tenzij…’. De uitzonderingen op deze hoofdregel zijn vastgelegd in artikel 10 van de Wob en vallen uiteen in twee soorten: de absolute weigeringsgronden, en de relatieve weigeringsgronden.
Absolute weigeringsgronden
Bij absolute weigeringsgronden blijft informatieverstrekking te allen tijde achterwege. Dit is het geval indien de verstrekking van de informatie:
- een bedreiging zou kunnen vormen voor de eenheid van de Kroon
- de veiligheid van de Staat zou kunnen schaden
- indien het bedrijfs- en fabricagegegevens betreft die vertrouwelijk aan de overheid zijn medegedeeld
- indien het bijzondere persoonsgegevens betreft
- Eenheid van de Kroon
Het verstrekken van informatie blijft zonder meer achterwege voor zover dit de eenheid van de Kroon in gevaar zou kunnen brengen (Art. 10 eerste lid onder a Wob). Blijkens de totstandkomingsgeschiedenis gaat het hier om informatie over meningsverschillen tussen de Koning enerzijds en ministers en staatssecretarissen anderzijds. In de gemeentelijke praktijk zal dit niet vaak spelen. - Veiligheid van de Staat
Het verstrekken van informatie blijft eveneens achterwege als dit de veiligheid van de Staat zou kunnen schaden (Art. 10 eerste lid onder b Wob). Het gaat hier zowel om de interne (bijvoorbeeld werkzaamheden van de BVD) als de externe veiligheid (bijvoorbeeld informatie over defensie). Bij de beoordeling van het verzoek moet beoordeeld worden of de veiligheid van de staat daadwerkelijk in het geding is op basis van de documenten. Het enkele feit dat de informatie in betrekking staat of heeft gestaan tot de veiligheid van de Staat is onvoldoende. De gedateerdheid speelt daarbij een rol. In de gemeentelijke praktijk zal dit niet vaak spelen. - Vertrouwelijke bedrijfs- en fabricagegegevens
Het verstrekken van informatie blijft eveneens altijd achterwege als het gaat om door natuurlijke personen of rechtspersonen vertrouwelijk aan de overheid meegedeeld bedrijfs- en fabricagegegevens (Art. 10 eerste lid onder c Wob). Verzuim van het aangeven van het confidentiële karakter doet daar niet aan af. Doorslaggevend is of de mededeling plaats heeft in het kader van een contact dat het bedrijf redelijkerwijs als vertrouwelijk mag beschouwen. Aan de andere kant vrijwaart het enkele feit dat een stuk als ‘vertrouwelijk’ is aangemerkt een bedrijf niet tegen openbaarmaking. In de gemeentelijke praktijk kan dit spelen bij aanbestedingen. Hiervoor gelden bijzondere regelingen, zoals de aanbestedingswet. - Bijzondere persoonsgegevens
Het verstrekken van informatie blijft ook achterwege als dit ‘bijzondere’ gegevens in de zin van de Wet bescherming persoonsgegevens betreft. Deze uitzondering wordt, samen met de ‘gewone’ persoonsgegevens, apart behandeld.
Relatieve uitzonderingsgronden
Bij relatieve weigeringsgronden heeft de gemeente een discretionaire bevoegdheid. Het moet een afweging maken tussen het algemene abstracte belang van openbaarheid en de belangen genoemd in Art. 10 tweede lid Wob. Het betreft hier:
- internationale betrekkingen,
- economische of financiële belangen van de overheid,
- de opsporing en vervolging van strafbare feiten,
- inspectie controle en toezicht door bestuursorganen,
- eerbiediging van de persoonlijke levenssfeer
- het belang dat een geadresseerde erbij heeft als eerste kennis te kunnen nemen van informatie
- het voorkomen van onevenredige bevoordeling of benadeling van de betrokkenen.
- Internationale betrekkingen
De gevraagde informatie moet worden verstrekt, indien het belang van openbaarheid zwaarder weegt dan het belang van de betrekkingen van Nederland met andere staten en internationale organisaties (Art. 10 tweede lid onder a Wob). Doel van deze uitzondering is te voorkomen dat de Nederlandse internationale betrekkingen schade zouden lijden als gevolg van die informatieverstrekking onder de Wob. In de gemeentelijke praktijk zal dit niet vaak spelen. - Economische of financiële belangen
Informatieverstrekking blijft achterwege voor zover het belang daarvan niet opweegt tegen de economische of financiële belangen van de gemeente (Art. 10 tweede lid onder b Wob). Deze uitzonderingsgrond beoogt te voorkomen dat het verstrekken van de gevraagde informatie leidt tot financieel of economisch nadeel voor de overheid. Deze bepaling is vooral van belang bij openbare aanbestedingsprocedures. Zolang deze onderhandelingen nog niet hebben plaatsgevonden dan wel nog gaande zijn, hoeft de gemeente daarover geen informatie te verstrekken. Zodra de onderhandelingen zijn afgerond of de opdracht is gerealiseerd, geldt deze uitzonderingsgrond niet meer. - Opsporing en vervolging van strafbare feiten
Openbaarmaking blijft achterwege indien het belang van openbaarheid niet opweegt tegen het belang dat gemoeid is met de opsporing en vervolging van strafbare feiten (Art. 10 tweede lid onder c Wob). Deze uitzonderingsgrond beoogt te voorkomen dat de opsporing en vervolging van strafbare feiten zou kunnen worden gefrustreerd door openbaarmaking van gegevens die opsporingsambtenaren of het Openbaar Ministerie hebben vergaard. Het ziet dus niet op gegevens verzameld in het kader van de handhaving van de openbare orde. Ook gegevens die de opsporing en vervolging in andere zaken, of zelfs in het algemeen, zouden kunnen frustreren, mogen geheim gehouden worden. - Inspectie, controle en toezicht door of vanwege bestuursorganen
Openbaarmaking vindt niet plaats indien het belang van openbaarheid niet opweegt tegen het belang van inspectie, controle en toezicht door of vanwege bestuursorganen (Art. 10 tweede lid onder d Wob). Het gaat het hier om het belang bij een doeltreffende inspectie, controle en toezicht, gericht op het vaststellen van niet-strafbare feiten. - Eerbiediging van de persoonlijke levenssfeer
Vanwege het grote belang van deze uitzonderingsgrond bij het doen aan Open Data, wordt deze apart behandeld onder ‘aanwezigheid van persoonsgegevens’. - Belang eerste kennisname geadresseerde
Het verstrekken van informatie blijft eveneens achterwege voor zover het belang daarvan niet opweegt tegen het belang dat de geadresseerde erbij heeft als eerste kennis te kunnen nemen van de informatie (Art. 10 tweede lid onder f Wob). Ofschoon de geadresseerde geen absoluut recht heeft op eerste kennisname, moet onder omstandigheden echter de geadresseerde in staat worden gesteld kennis te nemen van de informatie vóórdat die aan anderen wordt bekendgemaakt. - Voorkomen van onevenredige bevoordeling of benadeling
Ten slotte zal de gevraagde informatie niet verstrekt mogen worden indien het belang van de openbaarheid niet opweegt tegen het belang bij het voorkomen van onevenredige bevoordeling of benadeling van bij de aangelegenheid betrokken natuurlijke personen of rechtspersonen dan wel derden (Art. 10 tweede lid onder g Wob). Deze laatste relatieve uitzonderingsgrond fungeert als ‘restgrond’ ten opzichte van de vorige meer specifieke relatieve uitzonderingsgronden. Onder ‘betrokkenen’ vallen niet alleen burgers of bedrijven, maar ook personen die een publieke functie uitoefenen, zoals ministers, andere bestuurders en ambtenaren. De bepaling mag er niet toe leiden dat bestuursorganen gegevens zouden mogen achterhouden, omdat publicatie daarvan mogelijk een ongunstig licht zouden werpen op het door hen gevoerde beleid, of de kansen op aanvaarding van het door hen voorgenomen beleid zou verkleinen.
Aanwezigheid van persoonsgegevens
De aanwezigheid van persoonsgegevens is een hele belangrijke als het gaat om aan Open Data doen. Immers, overheden, gemeentes in het bijzonder, verzamelen bij de uitoefening van hun taken vaak massaal gegevens over personen. De hoofdregel van de Wob in samenhang met de Wbp is dat deze gegevens niet voor hergebruik in aanmerking komen. Vanwege het grote belang van deze categorie, gaat deze Handreiking hier uitgebreid op in.
Achtereenvolgens komen aan de orde:
- Het grote belang van zorgvuldige toetsing
- Regeling in de Wob en de Wbp
- Het begrip ‘persoonsgegeven’
- Wat als de privacywetgeving van toepassing is?
- Hoe te handelen?
- Wat als er toch wat mis is gegaan?
- Het grote belang van zorgvuldige toetsing
Openbaarmaking vindt niet plaats als het belang van openbaarheid niet zwaarder weegt dan het belang van eerbiediging van de persoonlijke levenssfeer (Art. 10 tweede lid onder de Wob). Hierbij spelen persoonsgegevens een belangrijke rol. Openbaarmaking van persoonsgegevens is geregeld in de Wet bescherming persoonsgegevens (de Wbp).
Aan deze afweging van belangen komt men in zijn geheel niet toe als het gaat om persoonsgegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, het lidmaatschap van een vakvereniging, strafrechtelijke aangelegenheden en onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag, aldus Art. 10 eerste lid onder b Wob. Dit zijn zogenaamde bijzondere persoonsgegevens. Als we te maken hebben met bijzondere persoonsgegevens mogen deze nooit opengesteld worden: het gaat hier om een absolute weigeringsgrond in de Wob.
De aanwezigheid van persoonsgegevens is by far de belangrijkste uitzondering waar het Open Data aangaat. Immers, persoonsgegevens zitten massaal, dwars door alle soorten overheidsinformatie heen. Daarnaast is het denkbaar dat er weliswaar geen direct tot personen herleidbare gegevens zijn, maar dat men met een combinatie van gegevens wel personen kan identificeren.
In ons digitale tijdperk heeft deze weigeringsgrond een nieuwe dimensie gekregen. Gegevens op het Internet kunnen niet alleen overal 24 uur per dag geraadpleegd worden, ze zijn ook vindbaar, koppelbaar met andere gegevens en bovendien moeilijk te verwijderen. Daardoor kan de mate van inbreuk zwaarder worden. Daar komt bij dat overtreding van deze norm weliswaar niet direct leidt tot grote financiële risico’s, maar het kan wel tot veel (politieke) beroering leiden. Vandaar deze uitgebreide behandeling. - Regeling in de Wob en de Wbp
Het regime van de Wbp is in zijn effecten tegenovergesteld aan dat van de Wob: openbaarmaking (of liever ‘verwerking’) van persoonsgegevens is verboden, tenzij de Wbp het toestaat. Nu kan bestuurlijke informatie persoonsgegevens bevatten zodat, bij verstrekking zowel de Wob als de Wbp van toepassing zijn. Simpel gezegd, bepaalt de Wob dan dat bij het nemen van die beslissing het bestuursorgaan het (algemene) belang van verstrekking moet afwegen tegen de eerbiediging van de persoonlijke levenssfeer van de in de informatie genoemde personen.
De cruciale term is dus het begrip persoonsgegeven: is er geen sprake van een persoonsgegeven, dan is de Wbp niet van toepassing en kan verstrekking voor hergebruik gewoon plaatsvinden. In de Wbp is in navolging van eerdere internationaal geformuleerde definities een ruime definitie van het begrip persoonsgegeven opgenomen (artikel 1, onder a Wbp). Bij persoonsgegevens gaat het op basis van deze definities om ‘iedere informatie (of zoals de Wbp is opgenomen ‘elk gegeven’) betreffende een geïdentificeerde of identificeerbare natuurlijke persoon’. De twee elementen ‘iedere informatie betreffende’ en ‘geïdentificeerd of identificeerbare’ staan dus centraal bij de beantwoording van de vraag of een gegeven tevens een persoonsgegeven is. Laten we die twee eens nader bekijken. - Het begrip ‘persoonsgegeven’
Met ‘iedere informatie betreffende’ wordt bedoeld dat het om alle gegevens gaat die omtrent een bepaalde persoon informatie kunnen verschaffen. Het gaat daarbij niet alleen om bijvoorbeeld de naam of andere personalia, maar ook om gegevens die indirect iets vertellen over de persoon, zoals informatie over goederen of gebeurtenissen. Zo kan de waarde van de auto een persoonsgegeven zijn. Dit is zeker het geval als het een auto van de zaak betreft en deze waarde van belang is voor de fiscale bijtelling. Hetzelfde geldt in beginsel voor een kenteken van een voertuig en voor foto’s en verkoopprijzen van huizen. In veel gevallen is de context waarin een gegeven wordt gebruikt bepalend of er sprake is van persoonsgegevens. Van belang is dan of het gegeven bepalend kan zijn voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Zo kunnen gegevens over een onderneming, geo-informatie over bedrijventerreinen, of telefoongesprekken persoonsgegevens zijn als de gegevens ook iets vertellen over een natuurlijke persoon. Ook gegevens over vennootschappen onder firma, eenmanszaken en vrije beroepsbeoefenaren zijn persoonsgegevens omdat deze gegevens vaak ook informatie geven over de eigenaar of vennoten zelf.
Behalve dat de gegevens iets moeten vertellen over een persoon, moet het gaan om een geïdentificeerde of identificeerbare persoon. Personen zijn identificeerbaar als zij zonder al te veel moeite geïdentificeerd kunnen worden. Hierbij speelt vooral de vraag of de identiteit van de persoon zonder onevenredige inspanning vastgesteld kan worden. Twee factoren zijn hierbij van belang: de aard van de gegevens en de mogelijkheden van de verantwoordelijke, dat wil zeggen degene onder wiens verantwoordelijkheid de gegevens verwerkt worden, om de identificatie tot stand te brengen.
Wat de aard van de gegevens betreft, is een persoon identificeerbaar als sprake is van gegevens die alleen of die in combinatie met andere gegevens zo kenmerkend zijn voor een bepaalde persoon dat deze aan de hand daarvan kan worden geïdentificeerd. Niet ieder gegeven zal in dezelfde mate tot het identificeren van een persoon (kunnen) leiden. In dit kader kan een onderscheid worden gemaakt tussen direct en indirect identificerende gegevens. Van direct identificerende gegevens is sprake als de identiteit zonder veel omwegen eenduidig is vast te stellen. Voorbeelden zijn gegevens zoals naam, adres en geboortedatum. Die zijn in combinatie met elkaar zo uniek en kenmerkend voor een bepaalde persoon dat deze daarmee kan worden geïdentificeerd. Bij indirect identificerende gegevens kunnen de gegevens via nadere stappen in verband worden gebracht met een bepaalde persoon. Bij indirect identificerende gegevens kan weer een onderscheid worden gemaakt tussen gegevens met een hoog onderscheidend karakter, zoals leeftijd, woonplaats en beroep, en gegevens met een laag onderscheidend karakter, zoals leeftijdsklasse, woonregio en beroepsklasse. Het onderscheidende vermogen van dergelijke (combinaties van) gegevens is mede afhankelijk van de context waarbinnen ze worden gebruikt. Ze zijn bijvoorbeeld afhankelijk van de omvang van de bevolkingsgroep waarop de gegevensverwerking betrekking heeft.
Naast de aard van de gegevens, spelen de mogelijkheden van de verantwoordelijke om identificatie tot stand te brengen een rol bij de vraag of er sprake is van identificerende gegevens. Dit hangt bijvoorbeeld samen met het (kunnen) verkrijgen van aanvullende informatie. Hierbij kan gedacht worden aan openbare gegevens uit een telefoonboek of het Internet, vrij te kopen informatie, of aan binnen de eigen organisatie aanwezige informatie.
Bij de afweging of er sprake is van een ‘identificeerbare’ persoon gaat het niet om een absolute maatstaf. Gekeken moet worden naar alle middelen waarvan mag worden aangenomen dat zij redelijkerwijs zijn in te zetten om die persoon te identificeren. Daarbij moet uitgegaan worden van een redelijk toegeruste verantwoordelijke. In concrete gevallen moet echter wel rekening worden gehouden met bijzondere expertise, technische faciliteiten en dergelijke van de verantwoordelijke. Het gaat dus enerzijds om objectivering naar een redelijk toegeruste verantwoordelijke en anderzijds om subjectivering naar bijzondere expertise. Ook als niet door de verantwoordelijke zelf, maar wel door derden (bijvoorbeeld door een ontvanger van de gegevens) identificatie kan plaatsvinden, is sprake van persoonsgegevens.
Overigens zal vanaf 2018 het begrip persoonsgegeven nog ruimer gedefinieerd zijn. Dat betekent dus dat gegevens eerder dan voorheen persoonsgegevsn kunnen zijn (zo zijn bijvoorbeeld locatiegegevens toegevoegd als categorie gegevens die mogelijk persoonsgegevens kunnen zijn). Dit op grond van de nieuwe Europese Privacy Verordening. We laten deze regeling verder voor wat die is, aangezien deze nog niet van kracht is. - Wat als de privacywetgeving van toepassing is?
Toepassing van de bovenstaande uitgangspunten maakt dat gegevens, ook als ze geanonimiseerd, of geaggregeerd zijn, toch nog persoonsgegevens kunnen zijn. Daar komt nog bij dat in Nederland de toezichthouder een stringente uitleg van deze ruime uitleg van het begrip persoonsgegeven hanteert. Kortom, de Wbp zal snel van toepassing zijn, omdat een gegeven ook snel een persoonsgegeven is. Laten we daarom eens kijken wat de toepasselijkheid van de Wbp tot gevolg heeft.
De Wbp geeft regels over wanneer en onder welke voorwaarden persoonsgegevens verwerkt mogen worden. Kenmerkend voor de Wbp is het uitgangspunt dat het verwerken van persoonsgegevens alleen is toegestaan als de Wbp of een andere wettelijke regeling dit mogelijk maakt. Voor wat betreft het beschikbaar stellen voor hergebruik in het kader van Open Data zijn vooral de bepalingen met betrekking tot de zogenaamde ‘doelbinding’ en het verdere gebruik van gegevens relevant (met name de artikelen 7 en 9 Wbp). Op grond van artikel 7 Wbp moet bij verwerking van persoonsgegevens sprake zijn van een vooraf bepaald doel en moet aan de eisen van rechtmatigheid en kwaliteit zijn voldaan. Verder gebruik van gegevens (zoals hergebruik) is mogelijk voor zover dit gebruik in overeenstemming is met het doel waarvoor ze zijn verzameld, dit op de voet van artikel 9 Wbp. Hiervoor moet in beginsel bij ieder soort hergebruik, voor ieder doel een afweging plaatsvinden. Het met zo min mogelijk voorwaarden ter beschikking stellen van gegevens voor hergebruik zonder expliciet en specifiek doel in het kader van Open Data beleid verhoudt zich uiteraard zeer slecht met deze doelbindingsuitgangspunten.
Het is dus niet zo dat zodra er sprake is van een persoonsgegeven, het einde oefening moet zijn. Ook binnen de grenzen van de Wbp is onder voorwaarden nog steeds veel mogelijk: voor verder gebruik van persoonsgegevens zijn er in specifieke gevallen (bij specifieke verstrekkingen van specifieke gegevens aan specifieke partijen voor specifieke doeleinden) de nodige mogelijkheden. Als een vertrekking voor een specifiek doeleinde verenigbaar is met het oorspronkelijke doel kan in dat specifieke geval verder gebruik zijn toegestaan (bijvoorbeeld bij een specifiek onderzoek op basis bepaalde gegevens voor een bepaald doel). Voor de vaststelling daarvan verwijzen we naar de Persoonsgegevens Hergebruik Tool.
- Hoe te handelen?
Hoe hier nu praktisch mee om te gaan? In het algemeen kan een datahouder de regel toepassen dat openbaarmaking van gegevensbestanden waarin systematisch persoonsgegevens zijn opgenomen, nimmer openbaar gemaakt mogen worden omdat de belangenafweging die onder de Wob gemaakt moet worden praktisch altijd in het voordeel van de bescherming van de persoonlijke levenssfeer moet uitvallen. Dit is slechts anders als er een wettelijke plicht tot openbaarheid ligt, anders dan op grond van de Wob, zoals dat het geval is bij openbare registers, zoals het Nieuwe Handelsregister.
Daar waar de data weliswaar geen directe links naar personen bevatten, maar deze mogelijk wel, in combinatie met andere data – niet noodzakelijkerwijs van de datahouder zelve – tot identificeerbaarheid zullen kunnen leiden, is ook waakzaamheid geboden en doet de datahouder er goed aan een Wbp-specialist te raadplegen. Als identificeerbaarheid inderdaad het geval blijkt te zijn, is de privacy wet- en regelgeving van toepassing en is het de vraag of de gegevens geschikt zijn voor hergebruik. Bij overtreding, zeker als die per ongeluk is begaan zijn weliswaar de financiële risico’s beperkt, maar de publicitaire schade zal stevig kunnen zijn
Hieronder is een beslisboom weergegeven, waarmee belangrijkste controleslagen gemaakt kunnen worden. Maar als gezegd: bij twijfel, niet inhalen!
Illustratie: Afwegingskader Open Data en eerbiediging persoonlijke levenssfeer
- Wat als er toch wat mis is gegaan?
Wat nu als er toch persoonsgegevens voor hergebruik vrij zijn gegeven, dit in strijd met de Wbp blijkt te zijn gebeurt? Deze risico’s kunnen gelegen zijn in aansprakelijkheid, schadevergoeding en sancties. In verband met aansprakelijkheid voor privacy-schendingen en datalekken – waarvoor een wettelijke meldplicht bij de de Autoriteit Persoonsgegevens (AP) bestaat – zijn vooral de artikelen 49 en 50 Wbp van belang. In artikel 49 Wbp wordt een recht op schadevergoeding toegekend wanneer in strijd is gehandeld met de bepalingen van de Wbp. In artikel 50 Wbp wordt de mogelijkheid gegeven tot het vorderen van een verbod om te voorkomen dat (nog verder) in strijd met deze wet wordt gehandeld. De bepaling van artikel 49 Wbp sluit aan bij het aansprakelijkheidsrecht. In beginsel zal schending van de verplichtingen uit de Wbp een handelen in strijd met een wettelijke plicht als bedoeld in artikel 6:162 lid 2 BW opleveren. Het verdient in dit verband wel opmerking dat de schade bij een inbreuk op de privacy van een burger veelal uit niet-vermogensschade (immateriële schade) bestaat. Artikel 49 lid 2 Wbp bepaalt dat voor andere schade dan vermogensschade een vergoeding naar billijkheid wordt toegekend. Tot op heden zijn procedures die uiteindelijk tot een schadevergoeding leiden echter zeer uitzonderlijk. Wel is er een toenemende aandacht voor rechterlijke procedures waarin een verbod op het verwerken van gegevens geëist wordt. Voor zover een privacyschending heeft plaatsgevonden, speelt het vereiste van toerekenbaarheid zoals dat is neergelegd in de artikelen 6:74 en 6:162 BW nog een rol, zij het dat de verantwoordelijke voor de gegevensverwerking krachtens artikel 49 lid 4 Wbp dient te bewijzen dat de schending hem niet kan worden toegerekend (en niet omgekeerd).
Bij sancties staat uiteraard de vraag voorop of er inderdaad wel sancties gesteld zijn op een mogelijke inbreuk of bij een mogelijk tekort bij naleving. Ten aanzien van mogelijke dwangsommen kan opgemerkt worden dat (AP)het CBP de afgelopen jaren meer en meer bereid is tot het dreigen en het daadwerkelijk opleggen van een dwangsom. In de praktijk betekent dit dat een organisatie een bepaalde termijn krijgt om de tekortkomingen te herstellen.
Op dit moment kunnen bestuurlijke boeten nog slechts voor een zeer beperkt aantal handelingen opgelegd kunnen worden bij het niet naleven van de meldingsplicht. Er is thans echter wel een duidelijke ontwikkeling waarbij de mogelijkheden voor het AP boetes op te leggen (sterk) uitgebreid zullen worden. Van strafrechtelijke vervolgingen wegens bepaalde overtredingen van de Wbp zijn geen voorbeelden bekend. Evenals bij boetes is slechts een zeer beperkt aantal handelingen strafbaar. Wel is er (in beperkte mate) sprake van strafrechtelijke vervolging wegens het schenden van een met name op een ambt of een beroep gebaseerde geheimhoudingsverplichting.