Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: Hoe streng is de privacywet? Klopt het dat je eigenlijk niets mag zonder toestemming van de personen die je monitort, volgt, controleert of wat dan ook?

Antwoord: Nee, zó streng is de privacywet niet.

Toestemming is de hoofdregel uit de privacywet, maar er zijn uitzonderingen. Eén zo’n uitzondering is als de verwerking “nodig is voor een goede uitvoering van de overeenkomst”. In de OV-chipkaartdiscussie was bijvoorbeeld de vraag of de NS studenten mocht verplichten om in- en uit te checken, onder meer met het argument dat dat een onterechte verwerking van hun persoonsgegevens opleverde. Maar dat mocht van de rechter. Dit had een redelijk doel en paste daarmee binnen de uitvoering van de vervoersovereenkomst:

Het niet inchecken maar het slechts laten uitlezen van de OV-chipkaart door de conducteur is dan ook niet meer voldoende omop basis van een geldig vervoersbewijs met het studentenreisrecht te kunnen reizen. (…) Een conducteur moet [], bijvoorbeeld op de dagen waarin de vrij reizenperiode overgaat in de 40%-reductieperiode en vice versa, middels het moment (tijdstip) van inchecken kunnen vaststellen of de reis de vrij reizen periode of de 40%-reductie periode betreft. Het uitlezen van het type studentenreisrecht door de conducteur is dan onvoldoende.

De andere belangrijke uitzondering is de "dringende eigen noodzaak". Dat wil zeggen dat jouw gebruik zó zwaarwegend en dringend is dat je niet op toestemming kunt wachten. Je moet dan een afweging maken of dat gebruik zo belangrijk is dat je de privacy mag passeren. Een voorbeeld is cameratoezicht of securitymonitoren van een ICT-dienst. De noodzaak is dan de beveiliging, en toestemming vragen is ondenkbaar.

De vraag is dan dus, is jouw belang belangrijker dan de privacy van wie je filmt? Vandaar al die afwegingen elke keer bij cameratoezicht: binnen, buiten, wie mag erbij, hoe waarschuw je, hoe lang bewaar je de beelden.

Een derde uitzondering is die voor “activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden”. Voor het adresboek uit je privételefoon hoef je geen toestemming te hebben. En mensen hebben geen correctierecht op hun vermelding op jouw verjaardagskalender. Maar dat is het wel zo’n beetje. Dat adresboek delen met je familie of huisgenoten mag nog net, maar delen met collega’s is al niet meer “persoonlijk of huishoudelijk”. Ook iets publiceren op een openbare blog, Facebookaccount of andere publieke dienst valt niet meer onder deze uitzondering. Dat kun je alleen rechtvaardigen via de dringende noodzaak. Ook als je zegt dat dit vrijheid van meningsuiting is.

Want ja, ook journalistieke uitingen vallen onder de Wbp. Er staat weliswaar een uitzondering “voor uitsluitend journalistieke, artistieke of literaire doeleinden” in de wet, maar die uitzondering komt feitelijk neer op een vrijstelling voor het inzage- en correctierecht. Ook journalisten hebben toestemming nodig of een dringende eigen noodzaak. Dat zal vrijwel altijd de vrijheid van meningsuiting zijn - maar dat verplicht je dus een belangenafweging te doen: is die naam of ander persoonsgegeven noemen nódig voor de uiting?

En als laatste: er is géén aparte uitzondering voor wetenschappelijk onderzoek of statistiek. Alleen als je op een andere grond gegevens al mag verwerken, mag je deze óók inzetten voor “historische, statistische of wetenschappelijke doeleinden”. En het recht van inzage en correctie is dan een stuk beperkter. Maar wie onderzoek wil doen over personen, moet dus gewoon toestemming of een andere grond hebben.

Dan zijn er ook nog de zogeheten vrijstellingen. Wie zijn verwerking onder een vrijstelling kan scharen, hoeft deze niet aan te melden bij de toezichthouder. Maar het betekent niet dat de verwerking dan automatisch legaal is. Zo is er een vrijstelling voor netwerkbeheer, die bepaalt dat loggen ten behoeve van security van het bedrijfsnetwerk niet hoeft te worden gemeld als je de logs maximaal zes maanden bewaart, ze alléén inzet voor security en anderen dan de security officers er geen toegang toe krijgen. Maar daarmee is dergelijk loggen nog niet automatisch toegestaan. Je moet nog steeds toestemming, een overeenkomst of een eigen dringende noodzaak hebben.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.