De AVG stelt verzwaarde eisen aan de verwerking van bijzondere persoonsgegevens, zoals gegevens over gezondheid, ras of seksuele gerichtheid (1). Soms kan een dergelijk gegeven indirect uit andere gegevens worden afgeleid. Als bijvoorbeeld iemand met een bril wordt afgebeeld op een foto, zou hieruit indirect iets kunnen worden afgeleid over zijn gezondheid. Moet een foto van iemand met een bril, nu immer als een bijzonder persoonsgegeven worden gezien?
Bij de beantwoording van deze vraag wordt over het algemeen de context meegewogen waarin de gegevens worden verwerkt. Zie bijvoorbeeld op de website van de AP (2):
“Geen bijzondere persoonsgegeven. U verwerkt gewone – en dus géén bijzondere – persoonsgegevens met uw foto’s of filmpjes als alle 3 de volgende punten gelden: de foto’s of filmpjes zijn niet gericht op bijzondere persoonsgegevens of het maken van onderscheid op basis van deze gegevens. Het is voor u redelijkerwijs ook niet te voorzien dat iemand onderscheid zal maken op basis van uw foto’s of filmpjes. Het is onvermijdelijk dat u bijzondere persoonsgegevens verwerkt als u de foto’s of filmpjes maakt. Van gewone persoonsgegevens zal doorgaans sprake zijn bij bijvoorbeeld een smoelenboek op intranet van de werkgever, een klassenfoto of het promoten van een (algemeen) evenement.”
Op basis van deze contextuele benadering hoeft een foto van een brildrager niet altijd als een bijzonder persoonsgegeven te worden behandeld. Deze praktische benadering is zeer welkom, nu anders wel erg veel verwerkingen onder de verzwaarde eisen voor verwerking van bijzondere persoonsgegevens zouden komen te vallen en daardoor niet mogelijk zouden zijn, ook verwerkingen zonder groot risico voor het privéleven van de betrokkenen.
In de zaak OT (3) ging het om de publicatie op internet van de naam van de partner van de directeur van een Litouwse gesubsidieerde instelling. Ingevolge anti-corruptiewetgeving diende deze een groot aantal gegevens van zichzelf en van zijn levenspartner aan te leveren. Deze werden deels ook openbaar gemaakt via internet. Uit de naam van de partner kan diens geslacht worden afgeleid, en uit de combinatie van de namen van de partners de seksuele gerichtheid van beide partners. De naam zegt zodoende niet direct, maar wel indirect iets over die seksuele gerichtheid. Is de naam daarmee een bijzonder persoonsgegeven? Het Hof beantwoordt die vraag bevestigend.
In het arrest komt een eigenaardigheid in de tekst van artikel 9 AVG naar voren. Soms gaat het daarin om gegevens waaruit iets “blijkt”, soms om gegevens “over” of “met betrekking tot”.
Zouden daarom bij de ene categorie bijzondere persoonsgegevens eerder indirecte gegevens in aanmerking genomen moeten worden dan bij andere categorieën? Ten aanzien van seksuele gerichtheid gaat het om gegevens “over” iemands seksuele gerichtheid. Zou dit indirecte gegevens uitsluiten? Het Hof oordeelt dat aan deze tekstuele verschillen geen betekenis moet worden toegekend en dat, mede in het licht van het beschermingskarakter van de bepaling, aan alle bijzondere persoonsgegevens een zelfde, ruime, uitleg moet worden gegeven. Alle categorieën van bijzondere persoonsgegevens kunnen op dezelfde wijze mede gegevens omvatten waaruit de gevoelige informatie indirect kan worden afgeleid. Gegevens “over” kunnen dus ook gegevens zijn waaruit indirect iets blijkt.
Sluit deze ruime uitleg nu ook de contextuele benadering uit? Ik meen van niet.
Ten eerste is de benadering van het Hof niet primair taalkundig. De benadering van het Hof leidt ertoe dat aan de verschillende categorieën van bijzondere persoonsgegevens een zelfde, ruime, uitleg moet worden gegeven. Ik meen dat deze uniforme benadering vervolgens ook geldt voor de toepassing van nuanceringen op die ruime uitleg, waarbij in gevallen waarin er geen oogmerk is op verwerking van bijzondere persoonsgegevens én er ook geen belangrijke risico’s zijn, aanleiding kan zijn om indirecte gegevens niet als bijzondere persoonsgegevens aan te merken (4).
Ten tweede koppelt het Hof zijn conclusies in rechtsoverweging 128 en in het dictum van het arrest zeer strikt aan een aantal feiten en omstandigheden van de zaak, dit terwijl de prejudiciële vraag een veel algemenere strekking had. De omstandigheden die het Hof noemt zijn:
publicatie op internet; van persoonsgegevens die indirect de seksuele gerichtheid van een natuurlijke persoon kunnen onthullen; door een overheidsinstantie die belast is met het verzamelen van de opgaven van particuliere belangen en het uitoefenen van controle op de inhoud daarvan.
Het Hof kiest er dus duidelijk niet voor om een algemeen uitgangspunt te formuleren maar beperkt zijn oordeel nadrukkelijk tot de omstandigheden van het geval. Tezamen indiceren deze omstandigheden een groot risico op inbreuk op het privéleven. Anders dan het feit dat iemand een bril draagt, die bij ieder contact direct zichtbaar is, is iemands seksuele gerichtheid niet altijd openbaar en het is aan de persoon zelf om daar al dan niet bekendheid aan te geven. Het is niet aan de overheid om dat ongevraagd te openbaren.
Ook is de expliciete koppeling aan de omstandigheden van het geval als zodanig al een aanwijzing dat het Hof een analyse van de context van de verwerking relevant acht voor de vraag of (indirecte) gegevens in een specifiek geval als bijzondere persoonsgegevens moeten worden aangemerkt.
Mijn conclusie is daarom dat het in de omstandigheden van het geval zeer voor de hand lag om de naam van de partner als bijzonder persoonsgegeven aan te merken, maar dat dit niet automatisch impliceert dat alle gegevens waaruit indirect een bijzonder persoonsgegeven kan worden afgeleid, onder alle omstandigheden als bijzonder persoonsgegeven aangemerkt dienen te worden. Geen streep dus door de contextuele benadering van bijzondere persoonsgegevens.
Zie in het bijzonder artikel 9 AVG.
https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/foto-en-film/beeldmateriaal, laatst bekeken op 22 mei 2023. Aanknopingspunten voor een contextuele benadering zijn ook te vinden in overweging 51 bij de AVG en in richtsnoeren van het Europees Comité voor Gegevensbescherming (EDPB, Guidelines 3/2019 on processing of personal data through video devices, 29 januari 2020; par. 60 en verder).
HvJ EU 1 augustus 2022, C‑184/20, OT/ Vyriausioji tarnybinės etikos komisija, ECLI:EU:C:2022:601. Dit blog is deels een bewerking van mijn noot bij het arrest in JBP 2023/41.
Zoals in overweging 51 bij de AVG ten aanzien van biometrische gegevens.
