Title: wetten.nl - Regeling - Richtsnoeren publicatie van persoonsgegevens op internet - BWBR0033229

Source: https://wetten.overheid.nl/BWBR0033229/

Content:
{"title": "wetten.nl - Regeling - Richtsnoeren publicatie van persoonsgegevens op internet - BWBR0033229", "content": "Richtsnoeren publicatie van persoonsgegevens op internet\n\nHet College bescherming persoonsgegevens (CBP) handhaaft de Wet bescherming persoonsgegevens. Op internet worden veel persoonsgegevens gepubliceerd. Dit document geeft aan hoe\n                                    het CBP publicatie van persoonsgegevens op internet in het algemeen beoordeelt. De\n                                    richtsnoeren bevatten tevens uitleg over de wet, ge\u00efllustreerd met praktijkvoorbeelden.\n                                    Voor iedereen die publiceert op internet is van belang dat duidelijk is of, wanneer\n                                    en in welke vorm publicatie is toegestaan. De richtsnoeren beogen bij te dragen aan\n                                    deze duidelijkheid. Helderheid over toepasselijke normen bevordert de naleving ervan\n                                    en past in een effici\u00ebnt handhavingsbeleid. Deze richtsnoeren zijn gepubliceerd in\n                                    de Staatscourant van 11 december 2007.\n\nEerbiediging van de persoonlijke levenssfeer wordt beschouwd als een essenti\u00eble voorwaarde\n                                       voor een menswaardig bestaan en als een van de grondslagen van onze rechtsorde. Eenieder\n                                       heeft recht op bescherming tegen de ongebreidelde vergaring, bewerking en verspreiding\n                                       van zijn persoonsgegevens.\n\nOp internet worden op heel veel manieren persoonsgegevens gepubliceerd. Internet\n                                       maakt het door zijn aard zeer laagdrempelig om persoonsgegevens te publiceren: via\n                                       een website, in een discussieforum of in een online dagboek. Mensen kunnen gegevens\n                                       over zichzelf publiceren of over anderen. Publicaties op internet zijn over het algemeen\n                                       wereldwijd 24 uur per dag toegankelijk voor een potentieel zeer omvangrijk en divers\n                                       publiek. Voor mensen van wie de persoonsgegevens op internet staan, kunnen de consequenties\n                                       groot zijn, bijvoorbeeld als het gaat om onbewezen verdenkingen of intieme details\n                                       uit het persoonlijke leven. Zelfs als de gegevens op zichzelf juist zijn, kan door\n                                       de publicatie op internet een onvolledig beeld ontstaan van een persoon, met een negatieve\n                                       beoordeling tot gevolg.\n\nDaarom stelt de wet grenzen aan de toelaatbaarheid van de publicatie van persoonsgegevens\n                                       op internet.\n\nHoofdregel van de Wet bescherming persoonsgegevens (hierna: Wbp) is dat iedereen die persoonsgegevens publiceert z\u00e9lf verantwoordelijk\n                                       is voor de naleving van de wet. Particulieren, ondernemingen, organisaties en instellingen\n                                       die voornemens zijn gegevens over personen op internet te publiceren, dienen dus zelf\n                                       voorafgaand aan de publicatie te beoordelen of dat wel is toegestaan, en zo ja, aan welke voorwaarden\n                                       zij daarbij moeten voldoen.\n\nMet deze richtsnoeren wil het College bescherming persoonsgegevens (hierna: CBP)\n                                       het eenvoudiger maken dat te beoordelen. Dat is in het belang van degenen die op internet\n                                       publiceren en in het belang van de mensen over wie (mogelijk) gegevens worden gepubliceerd.\n\nDeze richtsnoeren behandelen de hoofdlijnen van de beoordeling van een publicatie\n                                       van persoonsgegevens op internet, onder de geldende privacywetgeving en jurisprudentie.1 De richtsnoeren richten zich primair op het World Wide Web.\n\nPublicaties kunnen ook uit anderen hoofde dan privacybescherming onrechtmatig zijn,\n                                       bijvoorbeeld omdat ze in strijd zijn met de Auteurswet. De handvatten in deze richtsnoeren zijn beperkt tot de toelaatbaarheid van de publicatie\n                                       onder de geldende privacywetgeving. In deze richtsnoeren wordt dus niet ingegaan op\n                                       de rechtmatigheid van de publicatie op grond van andere wetgeving.\n\nDe richtsnoeren behandelen veel van de belangrijkste regels op het gebied van de\n                                       bescherming van persoonsgegevens maar bevatten geen uitputtende beschrijving van alle\n                                       bestaande wettelijke bepalingen en jurisprudentie. De voorbeelden die in deze richtsnoeren\n                                       zijn opgenomen, dienen alleen ter illustratie van de manier waarop het CBP een specifieke\n                                       bepaling uit de Wbp toepast bij de beoordeling van een publicatie. Publicatievormen die niet bij wijze\n                                       van voorbeeld in deze richtsnoeren zijn opgenomen, kunnen toch in strijd zijn met\n                                       de Wbp.\n\nBij de beoordeling van een publicatie die vergelijkbaar is met een voorbeeld kunnen\n                                       ook andere dan de besproken Wbp-bepalingen een rol spelen. Ook indien een concreet\n                                       soort publicatie veel lijkt op een voorbeeld, dient men erop bedacht te zijn dat de\n                                       definitieve beoordeling alleen gemaakt kan worden met inachtneming van alle omstandigheden\n                                       van het individuele geval en dat de beoordeling daarom anders kan uitpakken.\n\nRechterlijke uitspraken kunnen naast wetswijzigingen, technische ontwikkelingen en\n                                       praktijkervaringen aanleiding vormen tot aanvulling of herziening.\n\nDeze richtsnoeren treden in werking met ingang van 11 december 2007, zijnde de datum\n                                       van publicatie in de Staatscourant.\n\nPersoonsgegevens op internet moeten op dezelfde zorgvuldige wijze worden verwerkt\n                                          als in de offlinewereld. De wet is van toepassing op \u2018de geheel of gedeeltelijk geautomatiseerde\n                                          verwerking van persoonsgegevens\u2019,2 dus op elke publicatie van persoonsgegevens op internet.3 Iedereen die persoonsgegevens op internet publiceert, ongeacht of dit een priv\u00e9persoon\n                                          is, een bedrijf, een instelling of een bestuursorgaan, dient te voldoen aan de verplichtingen\n                                          die de wet oplegt. Deze zijn: het behoorlijk en zorgvuldig te werk gaan, transparantie,\n                                          doelbinding, rechtvaardigingsgrond, kwaliteit en evenredigheid, informatierechten,\n                                          beveiliging en beperking van doorgifte naar landen buiten de EU.\n\nArtikel 1 van de Wbp bevat definities van de begrippen die in de wet worden gehanteerd. Niet alle begrippen\n                                          zijn even relevant voor het beoordelen van publicaties op internet. Hieronder volgen\n                                          de belangrijkste. Tevens worden drie belangrijke uitzonderingen op de toepasselijkheid\n                                          van de Wbp kort toegelicht: de verwerking van persoonsgegevens voor persoonlijk/huishoudelijk\n                                          gebruik; de verwerking voor uitsluitend journalistieke, literaire of artistieke doeleinden\n                                          en het gebruik voor historische, statistische en wetenschappelijke doeleinden.\n\nMet de term \u2018verantwoordelijke\u2019 wordt in deze richtsnoeren degene aangeduid die onder\n                                          de Wbp verantwoordelijk is voor de inhoud van een publicatie op internet. Volgens de wet\n                                          is de verantwoordelijke de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat,\n                                             alleen of te zamen met anderen, het doel van en de middelen voor de verwerking van\n                                             persoonsgegevens vaststelt.\n\nDe verantwoordelijke kan de houder van een website zijn, de maker van een persoonlijk\n                                          profiel, maar ook de eigenaar/beheerder van een discussieforum. In een discussieforum,\n                                          of in een reactiemogelijkheid onder artikelen, kunnen lezers bijdragen leveren waarin\n                                          persoonsgegevens worden verwerkt. In beginsel is iedereen die een bijdrage levert\n                                          zelf verantwoordelijk voor die verwerking van persoonsgegevens, maar de algemene verantwoordelijkheid\n                                          voor een zorgvuldige gegevensverwerking ligt bij de houder van het forum, omdat die\n                                          immers het doel en de middelen bepaalt. De houder van de website of het forum, degene\n                                          die formeel-juridisch de zeggenschap over de verwerking heeft, biedt de gelegenheid\n                                          tot het publiceren van gegevens en heeft daarom de plicht om zorg te dragen voor een\n                                          zorgvuldige omgang met persoonsgegevens. 4\n\nWebsite in de Verenigde Staten\n\nEen in Nederland gevestigde verantwoordelijke kan ervoor kiezen om technische middelen\n                                             buiten Nederland aan te wenden voor een publicatie, bijvoorbeeld door gebruik te maken\n                                             van webhosting5 in de Verenigde Staten. Hoewel de website niet op Nederlands grondgebied is gevestigd,\n                                             is de Wbp toch van toepassing. De Wbp is van toepassing op alle in Nederland gevestigde\n                                             verantwoordelijken.\n\nDe houder van een webforum is een tussenpersoon op internet. Bij elke handeling op\n                                          internet zijn tussenpersonen betrokken. Andere tussenpersonen zijn bijvoorbeeld aanbieders\n                                          van toegang tot internet, partijen die hosting aanbieden van websites of zoekmachines.\n                                          Het begrip verantwoordelijke uit de Wbp is een breed begrip en is daarom ook van toepassing op sommige tussenpersonen.\n\nVoor toegangsdiensten geldt dat zij geen controle hebben over het al dan niet doorgeven\n                                          van persoonsgegevens. Zij kunnen daarom niet gelden als verantwoordelijke, tenzij\n                                          het om informatie gaat die ze op eigen initiatief en onder eigen redactie aanbieden,\n                                          zoals bijvoorbeeld via een nieuwsbrief. Anders is dat voor de beheerder van een discussieforum.\n                                          Deze heeft de juridische en feitelijke zeggenschap over de gegevens op het forum,\n                                          bepaalt in eerste en laatste instantie de doelen van het forum en zorgt dat het forum\n                                          functioneert.\n\nIn het geval van hosting van materiaal, het plaatsen van een hyperlink naar persoonsgegevens\n                                          en het gebruik dat zoekmachines maken van materiaal op internet moet gekeken worden\n                                          welke zeggenschap deze diensten hebben over de verwerking van persoonsgegevens. Van\n                                          bijzonder belang is de vraag of een tussenpersoon zeggenschap heeft over de verwijdering\n                                          van de gegevens. Deze vraag moet bevestigend worden beantwoord indien een tussenpersoon\n                                          de mogelijkheid heeft informatie te verwijderen en gewend is dit ook te doen in bepaalde\n                                          gevallen waarin derden hem op onrechtmatige publicaties wijzen. Een dergelijke tussenpersoon\n                                          is verantwoordelijke ten aanzien van de verwerking van door derden gepubliceerde persoonsgegevens\n                                          (in het bijzonder het ter beschikking houden en de verwijdering of blokkering) en\n                                          is op grond daarvan medeverantwoordelijke voor deze verwerking.\n\nHet begrip bewerker uit de Wbp is niet van toepassing op de aanbieder van een dienst als een geleverde dienst aan\n                                          de verantwoordelijke niet expliciet betrekking heeft op de verwerking van persoonsgegevens.\n                                          De genoemde tussenpersonen zullen dus in beginsel niet beschouwd kunnen worden als\n                                          bewerker.\n\nVerschil verantwoordelijkheid en aansprakelijkheid\n\nVerantwoordelijkheid op grond van de Wbp is iets anders dan aansprakelijkheid. Sommige\n                                             tussenpersonen zijn onder voorwaarden vrijgesteld van aansprakelijkheid voor onrechtmatig\n                                             handelen van derden. Het gaat om diensten van de informatiemaatschappij die bestaan\n                                             uit het verlenen van toegang, de tijdelijke opslag en de hosting van materiaal. Deze\n                                             regels komen voort uit de richtlijn elektronische handel en zijn te vinden in artikel\n                                             6:196c van het Burgerlijk Wetboek. De scheidslijn tussen verantwoordelijke en niet-verantwoordelijke\n                                             in de Wbp is niet afgestemd met de vrijstelling van aansprakelijkheid van sommige\n                                             tussenpersonen. Het kan dus zo zijn dat een dienst, die op grond van artikel 6:196c\n                                             BW beschouwd moet worden als een hostingdienst (lid 4), op grond van de Wbp geldt\n                                             als verantwoordelijke. Deze aanbieder is in dat geval niet aansprakelijk voor onrechtmatige\n                                             verwerkingen van persoonsgegevens door derden. Wel moet de aanbieder de informatie\n                                             verwijderen of de toegang daartoe onmogelijk maken zodra hij weet of redelijkerwijs\n                                             behoort te weten dat er sprake is van onrechtmatigheid. Gezien de aard van de normen\n                                             in de Wbp en de beperkte mogelijkheid van tussenpersonen zich te vergewissen van de\n                                             rechtmatigheid van de publicatie van persoonsgegevens zal deze verplichting tot blokkeren\n                                             of verwijderen alleen bij evidente overtredingen van de Wbp ontstaan.\n\nHet bovenstaande betekent voor de praktijk dat tussenpersonen die zich kunnen beroepen\n                                             op een wettelijke vrijwaring van aansprakelijkheid zich kunnen richten op de regeling\n                                             met bijbehorende voorwaarden in artikel 6:196c van het Burgerlijk Wetboek.\n\nMet de term \u2018betrokkene\u2019 wordt de persoon bedoeld wiens persoonsgegevens worden verwerkt.\n                                          Op internet lopen de twee rollen nogal eens door elkaar; wie een persoonlijk webdagboek\n                                          bijhoudt, kan zowel verantwoordelijke als betrokkene zijn.\n\nProfielsites\n\nProfielsites zijn bijzonder populair bij jongeren. Met een profiel laten ze zien wie\n                                             ze zijn, welke vrienden ze hebben en hoeveel het er zijn. Ze schrijven over wat ze\n                                             doen en leuk vinden en laten persoonlijke berichten achter bij anderen. Hoe meer informatie\n                                             iemand van zichzelf laat zien, hoe beter diegene kan laten zien dat hij of zij de\n                                             moeite waard is. Er zijn veel jongeren die erg ver gaan met het delen van informatie\n                                             op publiek toegankelijke profielen, bijvoorbeeld met verhalen over feestjes, drugsgebruik\n                                             en seks.\n\nDe aanbieders van profielsites zijn samen met de gebruikers medeverantwoordelijk\n                                             voor de verwerking van persoonsgegevens op de betreffende website. De aanbieders van\n                                             deze diensten moeten zich daarom houden aan de regels uit de Wbp. Zo dienen ze gebruikers\n                                             vooraf volledig te informeren over de beschikbaarheid van de profielen voor andere\n                                             bezoekers van de site. Ze dienen geschikte beveiligingsmaatregelen te treffen, zoals\n                                             het standaard afschermen van de profielen voor zoekmachines en alleen toegang te bieden\n                                             aan vrienden van de gebruiker. Ook dienen ze de mogelijkheid te bieden de profielen\n                                             en elders op de site geplaatste informatie te verwijderen.\n\nDe Wbp kent een ruime definitie van persoonsgegevens. In artikel 1 sub a Wbp wordt een persoonsgegeven gedefinieerd als \u2018elk gegeven betreffende een ge\u00efdentificeerde\n                                          of identificeerbare natuurlijke persoon\u2019. De omschrijving is letterlijk overgenomen\n                                          van artikel 2 van het Europees Dataverdrag6. De Europese privacyrichtlijn 95/46/EG (hierna: de richtlijn) waarop de Wbp is gebaseerd, geeft een iets uitgebreidere omschrijving.\n\nDe richtlijn geeft in artikel 2 onder a als definitie van persoonsgegevens: iedere informatie betreffende een ge\u00efdentificeerde of identificeerbare natuurlijke\n                                                persoon, hierna \u2019betrokkene\u2019 te noemen; als identificeerbaar wordt beschouwd een persoon\n                                                die direct of indirect kan worden ge\u00efdentificeerd, met name aan de hand van een identificatienummer\n                                                of van een of meer specifieke elementen die kenmerkend zijn voor zijn of haar fysieke,\n                                                fysiologische, psychische, economische, culturele of sociale identiteit.\n\nHoewel het tweede deel van de Europese definitie, de uitleg over specifieke elementen\n                                          die iemand identificeerbaar maken, niet is overgenomen in de Wbp, maakt de Memorie van Toelichting bij de Wbp duidelijk dat de Wbp het zelfde uitgangspunt\n                                          hanteert ten aanzien van indirect identificerende gegevens.\n\nAllereerst is voor het begrip \u2019persoonsgegeven\u2019 relevant of de gegevens informatie\n                                             over een persoon bevatten. In veel gevallen, zoals bij feitelijke of waarderende gegevens\n                                             over eigenschappen, opvattingen of gedragingen, zal dit uit de aard van de gegevens\n                                             voortvloeien. In andere gevallen zal mede aandacht moeten worden besteed aan de context\n                                             waarin het gegeven wordt vastgelegd en gebruikt. Als gegevens medebepalend zijn voor\n                                             de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld\n                                             of behandeld, moeten die gegevens als persoonsgegevens worden aangemerkt. Het (maatschappelijk)\n                                             gebruik dat van gegevens wordt gemaakt is dus medebepalend voor de beantwoording van\n                                             de vraag of sprake is van een persoonsgegeven.7\n\nDe Artikel 29-werkgroep van samenwerkende privacytoezichthouders in de EU heeft in\n                                          een recente opinie de verschillende onderdelen van de definitie van persoonsgegevens\n                                          nader uitgewerkt. Het gaat om de begrippen \u2018iedere informatie\u2019, \u2018betreffende een natuurlijk\n                                          persoon\u2019 en \u2018direct of indirect herleidbaar\u2019.\n\nDe werkgroep benadrukt dat \u2018iedere informatie\u2019 zowel objectieve als subjectieve gegevens\n                                             omvat, ongeacht of ze juist of bewezen zijn. Denk aan waardeoordelen als \u2018Jan is een\n                                             betrouwbare lener\u2019 of \u2018Jan is een goede medewerker die promotie verdient.\u2019 8\n\nOm te bepalen of een gegeven betrekking heeft op een persoon, moet volgens de Artikel\n                                             29-werkgroep \u00e9\u00e9n van de volgende drie elementen aanwezig zijn: een inhoudelijk element,\n                                             een doelelement of een resultaatelement.\n\nEen inhoudelijk element betekent dat het om informatie gaat over een persoon, ongeacht\n                                             het doeleinde van de verantwoordelijke of het resultaat voor die persoon, zoals de\n                                             resultaten van een medisch onderzoek betrekking hebben op de pati\u00ebnt of zoals de gegevens\n                                             in een klantenbestand van een bedrijf betrekking hebben op de klant.\n\nOok de aanwezigheid van een doelelement kan er toe leiden dat gegevens als persoonsgegevens\n                                             worden beschouwd. Daar is sprake van als de gegevens (waarschijnlijk) gebruikt worden\n                                             met het doel om iemand op een bepaalde manier te behandelen of diens status of gedrag\n                                             te beoordelen of te be\u00efnvloeden. Dat kan het geval zijn als een bedrijf een bestand\n                                             bijhoudt met een overzicht van alle inkomende en uitgaande telefoontjes. Dat bestand\n                                             kan gebruikt worden om medewerkers te beoordelen.\n\nAls er geen inhoudelijk of doelelement is, kunnen gegevens toch persoonsgegevens\n                                             zijn, als het gebruik ervan waarschijnlijk invloed heeft op de rechten en belangen\n                                             van een persoon, zodanig dat die persoon daardoor anders wordt behandeld. Dat kan\n                                             het geval zijn als een taxibedrijf met behulp van GPS de locaties van zijn taxi\u2019s\n                                             in de gaten houdt. Hoewel het systeem gericht is op het verwerken van gegevens over\n                                             de routes van voertuigen, kunnen de gegevens ook gebruikt worden om de individuele\n                                             taxichauffeurs te beoordelen.9\n\nHet bekendste direct identificerende gegeven is de combinatie van voor- en achternaam.\n                                             De bekendste indirect identificerende gegevens zijn (e-mail)adres, telefoonnummer,\n                                             kenteken en de combinatie postcode/huisnummer.10 Andere indirect identificerende gegevens zijn gegevens over iemands eigenschappen,\n                                             opvattingen of gedragingen, waarmee die persoon wordt onderscheiden van andere personen.\n                                             Bijvoorbeeld: de directeur van een met name genoemde onderneming.\n\nBij het vaststellen of een gegeven een indirect identificerend persoonsgegeven is,\n                                             is van belang of de identiteit van de persoon er redelijkerwijs, zonder onevenredige\n                                             inspanning, mee kan worden vastgesteld. Het is niet doorslaggevend of het identificeren\n                                             daadwerkelijk plaatsvindt. Deze opvatting komt voort uit overweging 26 bij de privacyrichtlijn:\n\nOverwegende dat de beschermingsbeginselen moeten gelden voor elk gegeven betreffende\n                                                een ge\u00efdentificeerde of identificeerbare persoon, dat om te bepalen of een persoon\n                                                identificeerbaar is, moet worden gekeken naar alle middelen waarvan mag worden aangenomen\n                                                dat zij redelijkerwijs door degene die voor de verwerking verantwoordelijk is dan\n                                                wel door enig ander persoon in te zetten zijn om genoemde persoon te identificeren.(\u2026). Herleidbaarheid tot een natuurlijk persoon, voorzover die redelijkerwijs door een\n                                             derde kan worden bewerkstelligd, is dus voldoende.\n\nIP-adres\n\nIs een IP-adres , dat wil zeggen het internetnummer waarmee een computer zichzelf\n                                                op internet kenbaar maakt, een persoonsgegeven? Ja. Een IP-adres is een persoonsgegeven\n                                                omdat het door een derde \u2013 de internetaanbieder \u2013 eenvoudig te herleiden valt tot\n                                                een natuurlijk persoon, de afnemer van het internetabonnement. Dit geldt ook voor\n                                                dynamische IP adressen die worden verwerkt in combinatie met datum en tijd. Het maakt\n                                                geen verschil dat een verantwoordelijke het IP adres niet zal gebruiken om een persoon\n                                                mee te identificeren. Het feit dat de mogelijkheid bestaat bij de verantwoordelijke\n                                                of bij een derde om dit te doen, is voldoende. Dat het IP-adres in sommige gevallen\n                                                naar een rechtspersoon leidt, in plaats van naar een natuurlijk persoon, doet niet\n                                                af aan het feit dat het in de meeste gevallen wel degelijk om persoonsgegevens gaat\n                                                en dat dus de hele verzameling moet worden behandeld conform de uitgangspunten van\n                                                de Wbp. Ten slotte is van belang dat op basis van het IP-adres beslissingen kunnen\n                                                worden genomen over de toegang tot bepaalde informatie, zonder dat een dienstverlener\n                                                op internet \u00fcberhaupt enige moeite hoeft te doen om zelf persoonsgegevens te verbinden\n                                                aan een IP-adres. Denk bijvoorbeeld aan onderscheid naar geografische herkomst bij\n                                                de toegang tot en de presentatie van (delen van) websites11. Ook het registreren en eventueel op internet publiceren van IP-adressen van bezoekers\n                                                van een website of deelnemers aan een discussieforum valt dus onder het bereik van\n                                                de Wbp.\n\nGegevens over organisaties, zoals bedrijven of stichtingen, zijn geen persoonsgegevens\n                                          in de zin van de Wbp. De wet is wel weer van toepassing op bedrijven als het gegeven herleidbaar is naar\n                                          een persoon, zoals bij een eenmanszaak, of als het over de individuele bestuurders\n                                          gaat van een onderneming of stichting.\n\nDe Wbp is evenmin van toepassing op gegevens die betrekking hebben op personen die overleden\n                                          zijn. Als de gegevens van een overledene echter ook betrekking hebben op een nabestaande\n                                          (bijvoorbeeld in het geval van informatie over een erfelijke ziekte), kan de Wbp wel\n                                          van toepassing zijn.\n\nGenealogische websites\n\nWie ge\u00efnteresseerd is in stamboomonderzoek, vindt op internet steeds meer bronnen,\n                                             zowel gedigitaliseerd archiefmateriaal als onderzoek door (amateur-) genealogen. Omdat\n                                             de Wbp niet van toepassing is op overleden personen, zijn er vanuit de Wbp weinig\n                                             bezwaren tegen het publiceren van een stamboom op internet. Toch ontvangt het CBP\n                                             regelmatig vragen en klachten over stambomen op internet. In het begrijpelijke streven\n                                             naar volledigheid bevatten veel stambomen informatie over levende personen, zoals\n                                             hun geboortedatum. In sommige stambomen worden zelfs de ziekten vermeld waaraan mensen\n                                             zijn overleden. Dergelijke informatie kan betrekking hebben op nabestaanden en dus\n                                             een persoonsgegeven zijn, als het gaat om erfelijke ziekten waarmee de kinderen kunnen\n                                             zijn belast. Dat kan het geval zijn bij een moeder die aan hemofilie leed. Omdat deze\n                                             ziekte is gebonden aan een gen in het X-chromosoom, geeft zij de ziekte in ieder geval\n                                             door aan zonen. In dit voorbeeld is de Wbp dus wel van toepassing. Wie een stamboom\n                                             wil publiceren op internet, doet er verstandig aan om zich in eerste instantie te\n                                             beperken tot gegevens van overledenen en alleen gegevens op te nemen over levende\n                                             personen als zij daarin ondubbelzinnig hebben toegestemd. De Wbp kent geen principe\n                                             als \u2018wie zwijgt, stemt toe\u2019 bij het publiceren op internet van persoonsgegevens. De\n                                             publicist moet re\u00eble moeite doen om de (levende) familieleden te bereiken en hen \u2013\n                                             voorafgaand aan de publicatie op internet van hun persoonsgegevens \u2013 vertellen wat\n                                             hij over hen wil publiceren en met welk doel. Als een familielid geen toestemming\n                                             geeft voor een dergelijke vermelding, mogen zijn of haar gegevens niet worden gepubliceerd.\n                                             De publicist kan in de stamboom op internet een verwijzing opnemen als: \u2018Uit dit huwelijk\n                                             kwamen drie kinderen voort, onder wie...\u2019\n\nGegevens over objecten zijn over het algemeen ook geen persoonsgegevens. In grensgevallen\n                                          is de context waarin van de gegevens gebruik wordt gemaakt van belang. Gegevens over\n                                          objecten, zoals woonhuizen, zijn persoonsgegevens als de informatie kan worden gebruikt\n                                          om de bewoners of eigenaren te beoordelen en daar consequenties aan te verbinden,\n                                          zoals de hoogte van een belastingheffing.\n\nPanoramafoto\u2019s van huizen\n\nIn 2001 deed de Registratiekamer (de voorganger van het CBP) onderzoek naar het gebruik\n                                          van geoinformatie12. Een bedrijf maakte digitale opnames van openbare ruimten met een beeld van 360 graden.\n                                          De beelden konden doorzocht worden op gemeente, plaats, straat en huisnummer. Omdat\n                                          de eigenaren en bewoners van de betrokken panden zonder onevenredige moeite konden\n                                          worden ge\u00efdentificeerd en de digitale beelden onder meer door gemeenten werden gebruikt\n                                          om de waarde van panden te taxeren, stelde de Registratiekamer vast dat de foto\u2019s\n                                          persoonsgegevens waren, waarvoor zowel de makers als de afnemers verantwoordelijk\n                                          waren in de zin van de Wbp.\n\nGeanonimiseerde gegevens zijn geen persoonsgegevens als de betrokken personen redelijkerwijs\n                                          niet identificeerbaar zijn. De vraag of een gegeven daadwerkelijk anoniem is, komt\n                                          met name aan de orde bij het publiceren van statistische informatie op internet. Geaggregeerde\n                                          informatie kan toch persoonsgegevens bevatten als het aantal betrokkenen klein is\n                                          en er andere informatie beschikbaar is, bijvoorbeeld via zoekmachines, waardoor individuele\n                                          personen toch kunnen worden ge\u00efdentificeerd.\n\nDoor pseudonimisering zijn gegevens soms geen persoonsgegevens, afhankelijk van de\n                                          gekozen versleutelingsmethode. Zolang de gegevens echter zonder onevenredige inspanning\n                                          herleidbaar blijven naar natuurlijke personen, door de verantwoordelijke of door een\n                                          derde, moeten ze als persoonsgegevens worden behandeld.13 Dat kan het geval zijn bij het gebruik van pseudoniemen voor bijdragen aan een discussie-forum.\n                                          Ook als slechts \u00e9\u00e9n forumhouder de identiteit kent van de betrokkene, is het pseudoniem\n                                          daarmee herleidbaar en is het een persoonsgegeven op alle plaatsen waar het pseudoniem\n                                          wordt gebruikt. Het gebruik van pseudoniemen kan ook op een andere manier tot herleidbaarheid\n                                          leiden. Veel mensen gebruiken hetzelfde pseudoniem voor al hun activiteiten op internet.\n                                          Door zoekmachines kunnen persoonlijke details van een betrokkene ongewild worden gekoppeld\n                                          aan bijdragen die bedoeld waren anoniem te zijn.\n\nVerantwoordelijken voor publicaties op internet dienen zich rekenschap te geven van\n                                          de gevolgen van de vaak lange of onbepaalde termijn van een publicatie. Door technische\n                                          ontwikkelingen kan een gegeven dat op het moment van publicatie geen persoonsgegeven\n                                          lijkt, later toch herleidbaar worden naar een persoon. Verantwoordelijken kunnen dan\n                                          vanaf dat moment worden aangesproken op grond van de Wbp.14 Daarom is het van belang dat verantwoordelijken die niet in strijd met de Wbp willen handelen ervoor zorgen dat ze een beperkte, op de risico\u2019s afgestemde, termijn\n                                          hanteren voor publicatie van gegevens die geen persoonsgegevens lijken en ingrijpen\n                                          zodra ze merken dat gegevens alsnog herleidbaar worden naar personen.15\n\nHet publiceren van verslagen van vergaderingen\n\nEen organisatie besluit de verslagen van vergaderingen op internet te zetten. Zo kan\n                                             iedereen in en buiten de organisatie zien hoe de organisatie functioneert. Als er\n                                             persoonsgegevens in de verslagen staan moet de verantwoordelijke zich houden aan de\n                                             regels van de Wbp. Als de openbaarheid van de verslagen niet gelegitimeerd wordt door\n                                             de taken van de organisatie of de arbeidsverhouding zal de verantwoordelijke in beginsel\n                                             toestemming moeten hebben van de betrokkene(n). In het bijzonder moet de verantwoordelijke\n                                             een termijn vaststellen hoe lang de stukken op internet blijven staan. Om te laten\n                                             zien hoe een organisatie functioneert lijkt een termijn van 2 jaar genoeg. Het gebruik\n                                             van een systeem voor webpublicatie dat het mogelijk maakt deze termijn automatisch\n                                             in te stellen, is een eenvoudig voorbeeld van het gebruik van Privacy Enhancing Technologies.\n\nEr zijn drie soorten gegevensgebruik waarop de Wbp niet of slechts gedeeltelijk van toepassing is. Dat zijn: verwerkingen voor persoonlijk\n                                          of huishoudelijk gebruik, gebruik voor uitsluitend journalistieke, artistieke of literaire\n                                          doeleinden en gebruik voor historische, wetenschappelijke of statistische doeleinden.\n\nDe eerste uitzondering is de meest absolute. De Wbp is in het geheel niet van toepassing op de verwerking van persoonsgegevens voor uitsluitend\n                                             persoonlijke of huishoudelijke doeleinden. Dit om te voorkomen dat alledaagse handelingen\n                                             van priv\u00e9personen, zoals het bijhouden van een adresboek, onder de werking van de\n                                             wet zouden vallen.\n\nDe uitzondering voor persoonlijk/huishoudelijk gebruik in de Wbp betreft gebruik voor \u2018een duidelijk bepaalbare groep van personen\u2019. 16 De uitzondering geldt ook voor gebruik door familieleden of vrienden die niet tot\n                                             het directe huishouden behoren, mits de toegang daadwerkelijk afgebakend is tot een\n                                             benoembare groep familieleden, kennissen of vrienden.\n\nWie bijvoorbeeld een weblog wil bijhouden op internet voor het eigen gezin en zich\n                                             wil beroepen op de exceptie van persoonlijk of huishoudelijk gebruik, moet passende\n                                             maatregelen nemen om de toegang daadwerkelijk te beperken tot die beperkte kring.\n                                             Dat kan bijvoorbeeld door middel van het hanteren van een verplicht wachtwoord, maar\n                                             ook door de pagina\u2019s met persoonsgegevens af te schermen van zoekmachines. Meer over\n                                             beveiligingsmaatregelen valt te lezen in hoofdstuk II.8. van deze richtsnoeren.\n\nZodra de gegevens echter verstrekt worden aan een onbekend aantal personen, hetgeen\n                                             het geval is bij vrij toegankelijke publicaties op internet, is de Wbp volledig van toepassing.17 Veel persoonlijke publicaties die bedoeld zijn voor een beperkte kring belangstellenden,\n                                             vallen daarom toch onder de Wbp. Het kan gaan om een website ter verwelkoming van een pasgeborene, beelden van vakantieactiviteiten\n                                             of een weblog met persoonlijk commentaar op de gebeurtenissen van alledag. Als iedere\n                                             belangstellende de publicatie kan bekijken en de persoonsgegevens niet afgeschermd\n                                             zijn tegen verdere verwerking door zoekmachines, is de Wbp volledig van toepassing.\n\nOp gegevensverwerkingen op internet voor uitsluitend journalistieke, artistieke of\n                                             literaire doeleinden is de Wbp gedeeltelijk van toepassing.18 Daarbij heeft de wetgever gezocht naar een balans tussen het recht op bescherming\n                                             van persoonsgegevens en het recht op vrijheid van meningsuiting. In hoofdstuk 4 van\n                                             deze richtsnoeren wordt deze balans verder toegelicht en wordt uitgewerkt wanneer\n                                             een publicatie op internet voldoet aan het criterium van \u2018uitsluitend journalistieke,\n                                             artistieke of literaire doeleinden\u2019.\n\nTen slotte is er een uitzonderingsgrond op de toepasselijkheid van de Wbp19 die het mogelijk maakt dat persoonsgegevens die voor een ander doeleinde zijn verzameld,\n                                             toch voor historische, statistische of wetenschappelijke doeleinden kunnen worden\n                                             gebruikt.\n\nVerantwoordelijken die persoonsgegevens op internet willen publiceren in het kader\n                                             van wetenschappelijk, historisch of statistisch onderzoek, dienen de nodige maatregelen\n                                             te treffen om ervoor te zorgen dat de gegevens alleen ten behoeve van deze specifieke\n                                             doeleinden worden verwerkt.20 Dat kunnen technische maatregelen zijn, zoals afscherming van de publicatie door\n                                             middel van een wachtwoord (zie ook Hoofdstuk II paragraaf 8 over beveiliging), juridische maatregelen, zoals het contractueel vastleggen van\n                                             het gebruik dat van de gegevens mag worden gemaakt, maar ook organisatorische maatregelen,\n                                             zoals het inrichten van een procedure om toegangsverzoeken individueel te kunnen beoordelen.\n                                             Deze uitzondering zal daarom in de praktijk alleen van toepassing zijn op strikt afgeschermde\n                                             intranetten.\n\nDe verantwoordelijke mag dergelijke gegevens ook langer bewaren dan strikt noodzakelijk\n                                             voor het oorspronkelijke doeleinde, mits opnieuw adequate beschermingsmaatregelen\n                                             zijn getroffen tegen oneigenlijk gebruik.21 Ten slotte hoeven instellingen of diensten voor wetenschappelijk onderzoek of statistiek\n                                             in bepaalde gevallen niet te voldoen aan de informatieplicht en het inzagerecht.22\n\nPubliceren internetstatistieken\n\nVoor statistische doeleinden houden veel verantwoordelijken statistieken bij over\n                                                het gebruik van hun website, waaronder bijvoorbeeld IP-adressen en zoektermen. Wie\n                                                dergelijke statistieken op internet publiceert, kan zich niet vergewissen van het\n                                                doeleinde waarvoor bezoekers deze gegevens verder verwerken. Om toch openbaar inzicht\n                                                te geven in het gebruik van de site, kunnen gegevens over bezoekersaantallen en meest\n                                                gebruikte zoektermen geanonimiseerd worden gepubliceerd.23 De statistieken mogen wel voor intern gebruik ontsloten worden voor de medewerkers\n                                                die de toegang beroepshalve nodig hebben.\n\nHet publiceren op internet van een archief met persoonsgegevens, bijvoorbeeld een\n                                             verzameling historische homepages, ten behoeve van een historisch, statistisch of\n                                             wetenschappelijk doeleinde, is alleen toegestaan als de verantwoordelijke de nodige\n                                             maatregelen heeft getroffen om ervoor te zorgen dat de gegevens ook uitsluitend voor\n                                             dat historisch, statistisch of wetenschappelijk doel worden gebruikt. Als een archief\n                                             met persoonsgegevens ook bijzondere persoonsgegevens (zie hierna, paragraaf 8) bevat, gelden nog strengere regels. De verwerking daarvan is verboden, tenzij een\n                                             van de uitzonderingen van toepassing is. Twee belangrijke algemene uitzonderingen\n                                             zijn dat de betrokkene de gegevens duidelijk zelf openbaar heeft gemaakt (bijvoorbeeld\n                                             in het geval van een homepage en alleen voor zover het gegevens over de betrokkene\n                                             zelf bevat) of als de betrokkene uitdrukkelijk toestemming heeft gegeven voor publicatie.\n                                             De Wbp kent daarnaast een specifieke uitzondering op het verwerkingsverbod van bijzondere\n                                             persoonsgegevens voor wetenschappelijk onderzoek of statistiek (en dus niet voor algemene\n                                             historische doeleinden!), maar alleen als aan vier voorwaarden is voldaan:\n\n1. Het onderzoek dient een algemeen belang;\n\n2. De verwerking van de bijzondere gegevens is voor het betreffende onderzoek noodzakelijk;\n\n3. Het vragen van uitdrukkelijke toestemming blijkt onmogelijk of kost een onevenredige\n                                                   inspanning;\n\n4. Bij de uitvoering van het onderzoek is voorzien in zodanige waarborgen dat de persoonlijke\n                                                   levenssfeer van de betrokkene niet onevenredig wordt geschaad.24\n\nEen archief van internetpagina\u2019s met persoonsgegevens mag dus wel aangelegd worden\n                                             voor wetenschappelijke doeleinden en via terminals in de bibliotheek ontsloten worden\n                                             voor een beperkte groep wetenschappers, maar mag niet automatisch opnieuw op internet\n                                             worden gepubliceerd. Niet iedere wetenschapper mag bovendien automatisch toegang krijgen\n                                             tot het gedigitaliseerde materiaal; de erfgoedinstelling moet elke specifieke onderzoeksvraag\n                                             toetsen aan de vier bovengenoemde eisen.\n\nDe Juridische Wegwijzer Archieven en Musea online concludeert daarom terecht: Het verwerken van bijzondere persoonsgegevens in het kader van de digitale beschikbaarstelling\n                                                van erfgoed kan dus op zeer gespannen voet staan met de Wbp. Beschikbaarstelling van\n                                                bijzondere persoonsgegevens aan een groot, onbepaald publiek is problematisch; de\n                                                uitzondering ten behoeve van wetenschappelijk onderzoek levert immers geen soelaas\n                                                voor de instelling die zijn materiaal breed beschikbaar wil stellen.25\n\nDe Wbp maakt onderscheid tussen \u2018gewone\u2019 en \u2018bijzondere\u2019 persoonsgegevens. Bijzondere persoonsgegevens\n                                          zijn gegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke\n                                          gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap\n                                          van een vakvereniging. Ook strafrechtelijke persoonsgegevens en persoonsgegevens over\n                                          onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding\n                                          van dat gedrag zijn bijzondere persoonsgegevens. Van belang is dat het begrip \u2018strafrechtelijke\n                                          gegevens\u2019 zowel informatie over veroordelingen omvat als min of meer gegronde verdenkingen.\n                                          Het gegeven dat iemand is gearresteerd of dat tegen hem proces-verbaal is opgemaakt\n                                          wegens een bepaald vergrijp is ook een strafrechtelijk gegeven.\n\nBijzondere persoonsgegevens zijn onderworpen aan een strenger wettelijk regime dan\n                                          de overige persoonsgegevens. Verwerking van bijzondere persoonsgegevens is verboden26, tenzij de betrokkene daarvoor uitdrukkelijke toestemming heeft gegeven, of als de\n                                          betrokkene de gegevens bewust zelf openbaar heeft gemaakt.\n\nWie toch bijzondere persoonsgegevens op internet wil publiceren, kan gebruik maken\n                                             van een van de twee hierboven al vermelde algemene uitzonderingen op het verwerkingsverbod,\n                                             uitdrukkelijke toestemming van de betrokkene of het feit dat de gegevens door de betrokkene\n                                             bewust zelf openbaar zijn gemaakt.\n\nMet het begrip \u2018uitdrukkelijke toestemming\u2019 stelt de Wbp een zware eis aan de kwaliteit van de toestemming. Die mag niet impliciet of stilzwijgend\n                                                zijn; de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven\n                                                aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking.27 De uitdrukkelijke individuele toestemming kan dus niet vervangen worden door het\n                                                aanbieden van een mogelijkheid om de gegevens te laten verwijderen (ook wel een \u2018opt\n                                                out\u2019 genoemd).\n\nIedere volwassene die op zijn of haar eigen homepage of weblog met opzet en onder\n                                                eigen naam gevoelige informatie over zichzelf publiceert, zoals verslagen van medische\n                                                perikelen, maakt die gegevens duidelijk zelf openbaar. Daardoor vervalt het verbod\n                                                om die bijzondere gegevens te verzamelen en te verwerken. Of iemand een bijzonder\n                                                gegeven heeft openbaar gemaakt, hangt soms af van de intentie van de betrokkene. Een\n                                                politicus die zich verkiesbaar stelt, maakt zijn politieke gezindheid duidelijk openbaar.\n                                                Dat geldt ook voor een imam die in die hoedanigheid in het openbaar uitspraken doet\n                                                over de Islam. Maar het geldt niet voor een ziekmelding of voor een lichamelijke handicap.\n                                                Hoewel een lichamelijke handicap vaak voor eenieder zichtbaar is, maakt de betrokkene\n                                                dit gezondheidsgegeven niet uit vrije wil openbaar. Het gegeven mag dus niet worden\n                                                verwerkt, tenzij de betrokkene er actief in het openbaar aandacht voor vraagt, bijvoorbeeld\n                                                als belangenbehartiger van een pati\u00ebntenvereniging.\n\nOok foto\u2019s, video- en geluidsopnamen van herkenbare natuurlijke personen zijn persoonsgegevens.28 Herkenbaar is daarbij breder dan direct identificeerbaar. Zelfs als het gezicht van\n                                             een betrokkene wordt gemaskeerd, bijvoorbeeld met een zwart balkje, kan een foto een\n                                             persoonsgegeven zijn. Dat is bijvoorbeeld het geval bij publicatie van camerabeelden\n                                             van vermeende winkeldieven. Er bestaat een kans dat de betrokkenen herkend worden\n                                             door hun vrienden, bekenden of buren, op grond van hun uiterlijk, kapsel en kleding.29\n\nFoto\u2019s van leerlingen\n\nEen lagere school besluit de foto\u2019s van een schoolreisje op de website van de school\n                                                te zetten. De school moet zich daarbij houden aan de regels van de Wbp. In het bijzonder\n                                                moet de school uitdrukkelijke toestemming hebben van de ouders van de kinderen. Deze\n                                                toestemming kan nadien altijd worden ingetrokken. In dat geval moet de school het\n                                                beeldmateriaal van de betrokkene in beginsel verwijderen.\n\nAls een persoon beeldmateriaal over zichzelf publiceert, geeft hij toestemming voor\n                                             publicatie in die context. Daarmee is een rechtvaardigingsgrond aanwezig, ook voor\n                                             de houder van de website waarop het materiaal wordt gepubliceerd. Als iemand beeldmateriaal\n                                             van andere natuurlijke personen op internet wil publiceren, moet hij daarvoor toestemming\n                                             van de betrokkenen hebben of een aantoonbare noodzaak voor de publicatie kunnen aantonen\n                                             (zie II.4). Alleen als een verantwoordelijke foto\u2019s of ander beeldmateriaal publiceert met\n                                             het uitdrukkelijke doel om onderscheid te maken naar ras, is bijzondere oplettendheid\n                                             geboden. In dat geval acht het CBP het een redelijke wetstoepassing om het beeldmateriaal\n                                             aan te merken als een bijzonder persoonsgegeven. Verwerking daarvan is verboden, tenzij\n                                             een van de hierboven beschreven uitzonderingen van toepassing is. Ten aanzien van\n                                             publicaties met uitsluitend journalistieke, artistieke of literaire doeleinden (zie\n                                             hoofdstuk 4 van deze richtsnoeren) gelden ruimere verwerkingsmogelijkheden van beeld-\n                                             en geluidsmateriaal. Daarnaast is de Wbp niet van toepassing op publicatie van beeldmateriaal op internet voor uitsluitend\n                                             persoonlijke of huishoudelijke doeleinden. Priv\u00e9personen kunnen op grond van die exceptie\n                                             dus bijvoorbeeld vrijelijk familiefoto\u2019s op internet publiceren, mits de toegang adequaat\n                                             is afgebakend tot een duidelijk bepaalbare groep van personen. Dit geldt ook voor\n                                             foto\u2019s op profielsites. Als het profiel is afgeschermd voor zoekmachines en de toegang\n                                             is beperkt tot vrienden of kennissen, valt de publicatie onder de persoonlijk/huishoudelijke\n                                             exceptie. De Wbp is dan in het geheel niet van toepassing.\n\nIdentificatienummers vormen een aparte categorie bijzondere persoonsgegevens. Omdat\n                                             persoonsnummers de koppeling van verschillende bestanden vergemakkelijken, vormen\n                                             ze een extra bedreiging voor de persoonlijke levenssfeer. Volgens artikel 24 Wbp mogen wettelijk voorgeschreven nummers ter identificatie van personen alleen worden\n                                             gebruikt voor de uitvoering van de betreffende wet of voor doeleinden die bij de wet\n                                             zijn bepaald. Dit betekent in de praktijk dat het niet is toegestaan om bijvoorbeeld\n                                             iemands sofinummer (straks: burgerservicenummer) op internet te publiceren, zelfs\n                                             niet als de betrokkene er toestemming voor heeft gegeven.\n\nOnrechtmatige publicaties van persoonsgegevens moeten door de verantwoordelijke onmiddellijk\n                                          van internet worden verwijderd. Maar ook voorafgaand aan de publicatie van persoonsgegevens\n                                          op internet dient een verantwoordelijke een aantal stappen te doorlopen om onrechtmatigheid\n                                          te voorkomen. Dit hoofdstuk van de richtsnoeren bevat aanwijzingen voor de verantwoordelijke\n                                          om in de fasen voorafgaand aan, tijdens en volgend op publicatie aan de vereisten\n                                          van de Wet bescherming persoonsgegevens te voldoen.\n\nZoals in het onderstaande zal worden uitgelegd dient de verantwoordelijke voorafgaand\n                                          aan de publicatie vast te stellen of de publicatie een legitiem doeleinde dient en\n                                          of dat doel verenigbaar is met het doel waarvoor de gegevens oorspronkelijk zijn verkregen.\n                                          De verantwoordelijke dient bij voorkeur toestemming te vragen van de betrokkenen,\n                                          of anders te kunnen onderbouwen dat publicatie is toegestaan op grond van een van\n                                          de andere wettelijke regels over de noodzakelijkheid van de publicatie.\n\nBij de publicatie dienen verantwoordelijken betrokkenen actief te informeren over\n                                          het doel en de opzet van de publicatie. Daarnaast moet iedere verantwoordelijke zijn\n                                          eigen identiteit duidelijk vermelden, toegankelijk voor iedere bezoeker van de publicatie.\n                                          Persoonsgegevens mogen niet langer bewaard en ter beschikking worden gesteld dan strikt\n                                          noodzakelijk. Bovendien moet de verantwoordelijke actief de kwaliteit en juistheid\n                                          van de gepubliceerde persoonsgegevens waarborgen. Een laatste belangrijke stap die\n                                          verantwoordelijken moeten nemen om te voldoen aan de vereisten van de Wbp is het treffen van beveiligingsmaatregelen tegen onbevoegd gebruik.\n\nTen slotte dienen verantwoordelijken zich bewust te zijn van de verplichting om ook\n                                          na de publicatie nog wijzigingen aan te brengen, bijvoorbeeld als een betrokkene zijn\n                                          toestemming voor publicatie intrekt, of als de gegevens onrechtmatig blijken te zijn.\n\nVOORAFGAAND AAN PUBLICATIE\n\nWie persoonsgegevens van derden wil publiceren op internet, moet zich afvragen of\n                                          hij de gegevens verzamelt en gebruikt voor een legitiem doeleinde. Artikel 7 van de Wbp legt vast dat persoonsgegevens alleen voor welbepaalde, uitdrukkelijk omschreven\n                                          en gerechtvaardigde doeleinden mogen worden verzameld. Een doeleinde kan bijvoorbeeld\n                                          zijn: voortzetting van het papieren clubblad op internet, met als doeleinde het informeren\n                                          van de leden van de vereniging over de verenigingsactiviteiten. Een doeleinde mag\n                                          niet zo vaag of ruim zijn dat er geen kader is om te toetsen of de gegevens werkelijk\n                                          nodig zijn voor het gestelde doel.\n\nBij het publiceren op internet van gegevens die voor een ander doeleinde zijn verzameld,\n                                          dient de verantwoordelijke vast te stellen of publicatie op internet verenigbaar is\n                                          met die doeleinden. Artikel 9 van de Wbp stelt een afweging verplicht tussen het oorspronkelijke doeleinde en de verdere verwerking\n                                          en geeft daarbij vijf criteria waarmee in elk geval rekening moet worden gehouden;\n\na. de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de\n                                                gegevens zijn verkregen;\n\nb. de aard van de betreffende gegevens;\n\nc. de gevolgen van de beoogde verwerking voor de betrokkene;\n\nd. de wijze waarop de gegevens zijn verkregen;\n\ne. de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen.\n\nGegevens van oud-leerlingen\n\nEen school voor voortgezet onderwijs vraagt alle leerlingen of ze ook na het eindexamen\n                                             hun correcte contactgegevens willen blijven doorgeven aan de schooladministratie,\n                                             zoals adres, telefoonnummer en e-mailadres. De school noemt het organiseren van toekomstige\n                                             re\u00fcnies als doeleinde, evenals het kunnen toesturen van andere informatie over lustra\n                                             en jubilea van de school. De school wordt regelmatig benaderd door oud-leerlingen\n                                             die contact zoeken met voormalige klasgenoten. De school besluit de contactgegevens\n                                             van alle oud-leerlingen op internet te publiceren, om hen in staat te stellen makkelijker\n                                             zelf contact met elkaar op te kunnen nemen. Deze werkwijze is in strijd met het doelbindingsprincipe\n                                             uit de Wbp, omdat de gegevens voor een ander doeleinde zijn verzameld en de publicatie\n                                             op internet vervelende gevolgen kan hebben voor de betrokkenen. De publicatie op internet\n                                             van de contactgegevens kan bijvoorbeeld leiden tot spam of ongewenst contact met andere\n                                             oud-leerlingen, maar ook in algemene zin tot een oordeel door derden over iemands\n                                             kwaliteiten in relatie tot de kwaliteit en aard van de betreffende school. Als de\n                                             school de oudleerlingen in staat wil stellen contact met elkaar op te nemen, moet\n                                             ze een andere manier kiezen, bijvoorbeeld op basis van expliciete toestemming bij\n                                             het verzamelen van de gegevens. Daarbij is het belangrijk dat de school nadenkt over\n                                             passende waarborgen, zoals afscherming van de gegevens door middel van een (uniek)\n                                             wachtwoord en afscherming van de pagina\u2019s voor zoekmachines.\n\nVeel mensen gebruiken gegevens van andere websites voor een eigen publicatie, zoals\n                                             foto\u2019s waar mensen herkenbaar op staan of adressen. De Wbp stelt echter belangrijke beperkingen aan het hergebruik. Het feit dat persoonsgegevens\n                                             op internet staan, betekent niet dat ze zomaar opnieuw gebruikt mogen worden in een\n                                             andere context, voor een ander doeleinde. Het nieuwe doel moet verenigbaar zijn met\n                                             het oude doel en de verantwoordelijke dient een zelfstandige rechtvaardigingsgrond\n                                             te hebben voor de publicatie. Iemand die bijvoorbeeld een weblog bijhoudt waarin hij\n                                             of zij ook bijzondere persoonsgegevens over zichzelf verwerkt, zoals een beschrijving\n                                             van gezondheidsklachten, maakt die gegevens zelf openbaar. Hergebruik van bijzondere\n                                             persoonsgegevens is niet verboden als de betrokkene de gegevens zelf openbaar heeft\n                                             gemaakt, maar de verantwoordelijke die deze gegevens in een eigen publicatie wil verwerken,\n                                             dient een zelfstandige rechtvaardigingsgrond te hebben (zie hierna paragraaf 4: toestemming vragen of noodzaak aantonen).\n\nHet verenigbaarheidsvereiste uit de Wbp heeft sterke raakvlakken met bepalingen in de wet over de kwaliteit en beveiliging\n                                             van gegevens. Zelfs als het nieuwe doel verenigbaar is met het oude doel, kan de verwerking\n                                             onrechtmatig zijn, bijvoorbeeld als het gaat om het overnemen van verouderde, onjuiste\n                                             informatie over iemands functie of beroep. De onderwerpen kwaliteit en beveiliging\n                                             komen nader aan de orde in de paragrafen 7 en 8 van dit hoofdstuk. Daarnaast geldt het algemene uitgangspunt (uit artikel 6 Wbp) dat verantwoordelijken op behoorlijke en zorgvuldige wijze te werk dienen te gaan\n                                             bij het verzamelen en verwerken van persoonsgegevens. Deze bepaling speelt zeker bij\n                                             de beoordeling van de verenigbaarheid van publicaties op internet een belangrijke\n                                             rol.\n\nVerantwoordelijken dienen zich bij het beoordelen of (her-)publicatie van persoonsgegevens\n                                             op internet verenigbaar is met het oorspronkelijke doeleinde niet alleen rekenschap\n                                             te geven van de herkomst van de gegevens, maar ook van het risico dat anderen de gegevens\n                                             gebruiken die de verantwoordelijke zelf op internet publiceert. Om de risico\u2019s voor\n                                             betrokkenen te verkleinen, dient elke verantwoordelijke adequate beveiligingsmaatregelen\n                                             te treffen tegen oneigenlijk verder gebruik.\n\nVoor een juiste risico-inschatting moet de rol van zoekmachines worden meegewogen.\n                                             Publicaties op internet die eigenlijk gericht zijn op een klein publiek, worden door\n                                             zoekmachines wereldwijd toegankelijk gemaakt. Zoekmachines kunnen verspreide informatie\n                                             van verschillende aard over een persoon koppelen. Dat kan een nieuw beeld opleveren,\n                                             met een veel hoger risico voor de betrokkene dan elk van de afzonderlijke gegevens\n                                             meebrengt. Strikte inperking van de gebruiksmogelijkheden en afscherming van persoonsgegevens\n                                             voor zoekmachines zijn daarom belangrijke maatregelen om oneigenlijk hergebruik te\n                                             voorkomen. Dit vereiste wordt nader uitgewerkt in paragraaf 8 van dit hoofdstuk.\n\nDe Wbp verbiedt publicatie van persoonsgegevens indien de gegevens onder een geheimhoudingsplicht\n                                             uit hoofde van ambt, beroep of wettelijk voorschrift vallen.30 Deze bepaling wordt dikwijls ingezet in zaken waarin het medisch beroepsgeheim speelt,\n                                             maar is door het CBP ook gehanteerd bij het beoordelen van een overheidsinitiatief\n                                             om persoonsgegevens openbaar te maken via internet.\n\nPublicatie van waardegegevens onroerend goed\n\nIn 2003 vroeg het Ministerie van Financi\u00ebn advies aan het CBP over een aantal voorgenomen\n                                                wijzigingen in de Wet waardering onroerende zaken (Wet WOZ). Het voorstel beoogde\n                                                de openbaarheid van WOZ-gegevens te vergroten door de taxatierapporten op internet\n                                                te plaatsen. Het CBP adviseerde31: Gelet op het vorengaande komt het CBP tot het oordeel dat een algemene toegankelijkheid\n                                                van waardegegevens op het internet zich niet verhoudt met de Wbp en de Wet WOZ. Het\n                                                CBP onderschrijft het oordeel van de Raad van State dat het waardegegeven privacygevoelige\n                                                informatie betreft. Verdere verwerking van deze gegevens (door plaatsing op het internet)\n                                                dient daarom op grond van het bepaalde in artikel 40, eerste lid, Wet WOZ en artikel\n                                                9, vierde lid, Wbp achterwege te blijven.\n\nVoor verantwoordelijken die persoonsgegevens op internet willen publiceren, geldt\n                                          dat zij toestemming nodig hebben van de betrokkenen, tenzij er een aantoonbare andere\n                                          noodzaak is voor de publicatie, zoals nakoming van een wettelijke verplichting of\n                                          uitvoering van een contractuele verplichting. De Wbp noemt dit een grondslag voor een gerechtvaardigde gegevensverwerking. In deze richtsnoeren\n                                          wordt hiervoor het begrip \u2018rechtvaardigingsgrond\u2019 gehanteerd. Artikel 8 Wbp somt in totaal zes rechtvaardigingsgronden op.32 Indien er geen toestemming is (artikel 8 onder a Wbp) mag publicatie uitsluitend indien deze noodzakelijk is volgens een van de volgende\n                                          vijf rechtvaardigingsgronden:\n\n\u2013 voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of voor\n                                          het nemen van precontractuele maatregelen naar aanleiding van een verzoek van de betrokkene\n                                          en die noodzakelijk zijn voor het sluiten van een overeenkomst (artikel 8 onder b Wbp);\n\n\u2013 om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen\n                                          is (artikel 8 onder c Wbp);\n\n\u2013 ter vrijwaring van een vitaal belang van de betrokkene (artikel 8 onder d Wbp);\n\n\u2013 voor de goede vervulling van een publiekrechtelijke taak door het desbetreffende\n                                          bestuursorgaan dan wel het bestuursorgaan waaraan de gegevens worden verstrekt, (artikel 8 onder e Wbp);\n\n\u2013 voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of\n                                          van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele\n                                          rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming\n                                          van de persoonlijke levenssfeer, prevaleert (artikel 8 onder f Wbp).\n\nElk van de rechtvaardigingsgronden wordt hierna uitvoerig toegelicht. Ten aanzien\n                                          van bijzondere persoonsgegevens, zoals strafrechtelijke gegevens, gelden extra regels.\n                                          Verwerking ervan is verboden, tenzij de betrokkene de gegevens duidelijk zelf openbaar\n                                          heeft gemaakt of uitdrukkelijke toestemming heeft gegeven voor de verwerking (zie\n                                          hoofdstuk I, paragraaf 8). Opheffing van het verwerkingsverbod ontslaat de verantwoordelijke\n                                          niet van de plicht om een zelfstandige rechtvaardigingsgrond voor de publicatie te\n                                          hebben.\n\nToestemming, de rechtvaardigingsgrond voor veel publicaties op internet, moet ondubbelzinnig\n                                             zijn (in het geval van bijzondere persoonsgegevens zelfs \u2018uitdrukkelijk\u2019). De verantwoordelijke\n                                             mag niet uitgaan van het principe \u2018wie zwijgt, stemt toe\u2019, maar moet elke twijfel\n                                             uitsluiten over de vraag \u00f2f de betrokkene toestemming heeft gegeven en voor welke\n                                             specifieke verwerkingen hij toestemming heeft gekregen. Als het gaat om een openbaar\n                                             toegankelijk discussieforum of gastenboek op internet, hoeft de verantwoordelijke\n                                             echter niet expliciet toestemming te vragen voor publicatie van een reactie; hij mag\n                                             er redelijkerwijs van uitgaan dat de betrokkene begrijpt dat de reactie op internet\n                                             verschijnt.33\n\nCWI publiceert gegevens werkzoekenden op internet\n\nNaar aanleiding van berichten in de media dat priv\u00e9gegevens van werkzoekenden vrij\n                                                toegankelijk waren via de vacaturesite werk.nl heeft het CBP het Centrum voor werk\n                                                en inkomen in april 2004 om opheldering gevraagd. Uit de verstrekte informatie bleek\n                                                dat werkzoekenden zelf konden besluiten of zij naast gegevens over opleiding en werkervaring\n                                                ook andere persoonsgegevens (zoals naam, adresgegevens en telefoonnummer) op internet\n                                                wilden plaatsen. Het privacystatement van het CWI vermeldde duidelijk dat deze gegevens\n                                                openbaar toegankelijk waren voor anderen. Het CWI heeft inmiddels wel restricties\n                                                aangebracht in deze toegang tot gegevens van werkzoekenden. Alleen werkgevers met\n                                                een zogenaamd werkgeversaccount kunnen nu direct alle gegevens van werkzoekenden opvragen.34\n\nEen eenmaal gegeven toestemming tot het verwerken van gegevens kan te allen tijde\n                                                worden ingetrokken.35 De memorie van toelichting bij de Wbp voegt daar volledigheidshalve aan toe dat een\n                                                dergelijke intrekking geen consequenties heeft voor gegevensverwerkingen die v\u00f3\u00f3r\n                                                het moment van de intrekking hebben plaatsgevonden.36 Deze inperking heeft echter geen betrekking op het voortduren van de publicatie van\n                                                persoonsgegevens op internet. Als de toestemming wordt ingetrokken, is de publicatie\n                                                vanaf dat moment onrechtmatig, tenzij de verantwoordelijke de verwerking kan rechtvaardigen\n                                                onder een andere rechtvaardigingsgrond. Dat betekent dat verantwoordelijken voor publicaties\n                                                op internet, voorzover die gebaseerd zijn op toestemming, technische voorzieningen\n                                                moeten treffen om persoonsgegevens ook daadwerkelijk te kunnen verwijderen als een\n                                                betrokkene zijn of haar toestemming intrekt.\n\nMet betrekking tot personen onder de zestien jaar stelt de Wbp bijzondere regels. Voor de verwerking van persoonsgegevens van jongeren onder de\n                                                zestien jaar kunnen alleen de ouders of wettelijk vertegenwoordiger(s) toestemming\n                                                geven. De verantwoordelijke moet aan kunnen tonen dat hij toestemming heeft gekregen\n                                                van de ouders. Als dat niet het geval is, is de toestemming van de betreffende jongere\n                                                nietig en de publicatie op internet van de persoonsgegevens onrechtmatig. 37\n\nDe dagelijkse gang van zaken op internet is dat veel jongeren gedetailleerde informatie\n                                                over zichzelf en hun vrienden en kennissen publiceren op internet, op een eigen website\n                                                of in sociale netwerkomgevingen. Zo lang de betrokkenen geen hinder ondervinden van\n                                                dergelijke publicaties, kan het wettelijk toestemmingsvereiste daarbij soms zinloos\n                                                lijken. Bij publicatie op internet moet echter rekening worden gehouden met het feit\n                                                dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens\n                                                over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving\n                                                (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen\n                                                dan voorheen.\n\nDe grens van 16 jaar in de Wbp betekent dat houders van websites of netwerkomgevingen die speciaal zijn gericht\n                                                op jongeren onder de 16 jaar een maatschappelijke verantwoordelijkheid hebben om hen\n                                                te wijzen op hun rechten en plichten, op een heldere en voor de doelgroep begrijpelijke\n                                                wijze.\n\nVuistregels publicaties\n\njongeren Verantwoordelijken voor publicaties of netwerkomgevingen die veel door jongeren\n                                                   worden bezocht, dienen zich om aan de Wbp te voldoen in ieder geval aan de volgende\n                                                   regels te houden:\n\n1. \nBenadrukken dat de gebruikers hun ouders dienen te informeren en om hun toestemming\n                                                         dienen te vragen;\n\n2. \nWaarschuwen dat gebruikers niet zonder toestemming persoonsgegevens van anderen (veelal\n                                                         zelf ook weer minderjarigen) mogen publiceren;\n\n3. \nTechnische maatregelen doorvoeren om verdere verwerking op internet zoveel mogelijk\n                                                         in te perken, zoals automatische blokkade van persoonlijke profielpagina\u2019s voor zoekmachines\n                                                         en persoonlijke controle van de gebruiker over de toegang tot zijn gegevens voor andere\n                                                         gebruikers van de site of omgeving;\n\n4. \nStrikte inperking van de soorten gegevens die aan jongeren worden gevraagd. Het publiceren\n                                                         van bijzondere persoonsgegevens van minderjarigen, zoals gegevens over seksuele geaardheid\n                                                         of religieuze overtuiging dient altijd achterwege te blijven. Verantwoordelijken mogen\n                                                         er niet vanuit gaan dat jongeren de risico\u2019s kunnen doorgronden van beoordeling op\n                                                         grond van een dergelijk kenmerk.\n\nDe Wbp kent vijf rechtvaardigingsgronden die gebaseerd zijn op een aantoonbare noodzaak\n                                             voor de verantwoordelijke. Dat zijn: uitvoering van een overeenkomst, voldoen aan\n                                             een specifieke wettelijke verplichting, vitaal belang, een goede vervulling van een\n                                             specifieke publiekrechtelijke taak of een afweging van belangen.\n\nDe rechtvaardigingsgrond dat publicatie op internet noodzakelijk is ter uitvoering\n                                                van een overeenkomst kan van pas komen bij specifieke dienstverlening om via internet\n                                                te bemiddelen. Dat kan gaan om bemiddeling tussen werkzoekenden en werkgevers, of\n                                                tussen mensen die op zoek zijn naar contact of een relatie. Daarbij is het wel van\n                                                belang, in het licht van de informatieplicht uit de Wbp (zie hierna, paragraaf 5) en de bepalingen in het Burgerlijk Wetboek over de toegankelijkheid, begrijpelijkheid, redelijkheid en billijkheid van contractuele\n                                                bepalingen,38 dat betrokkenen goed worden ge\u00efnformeerd over welke gegevens op internet worden gepubliceerd\n                                                en over de mate waarin de gegevens zijn afgeschermd tegen onbedoeld hergebruik door\n                                                derden, bijvoorbeeld door een wachtwoord en afscherming van de persoonsgegevens van\n                                                zoekmachines.\n\nHet moeten nakomen van een wettelijke verplichting is een rechtvaardigingsgrond die\n                                                naar verwachting in de toekomst steeds vaker door overheidsinstellingen of beheerders\n                                                van openbare registers gebruikt kan worden. Er is veel wetgeving in ontwikkeling ter\n                                                bevordering van de transparantie en eenvormigheid van de besluitvorming door bestuursorganen.\n                                                Daarbij wordt elektronische publicatie van persoonsgegevens soms expliciet voorgeschreven.\n                                                Het CBP zet zich daarbij in voor een duidelijk onderscheid tussen openbaarmaking en\n                                                publicatie op internet. Het openbaar mogen, of zelfs moeten maken van persoonsgegevens\n                                                betekent niet automatisch dat de gegevens op internet mogen worden gepubliceerd.\n\nHet onderscheid tussen een wettelijke plicht om bepaalde persoonsgegevens te verzamelen\n                                                en de publicatie ervan op internet speelde een belangrijke rol in het onderzoek dat\n                                                het CBP in 2005 deed naar de publicatie op internet van (aanvragen voor) bouwvergunningen\n                                                door de gemeente Nijmegen. Op het gemeentelijk aanvraagformulier moeten allerlei persoonsgegevens\n                                                worden ingevuld, zoals naam, adres, e-mailadres, telefoonnummer, handtekening en hoogte\n                                                van de bouwsom. De gemeente scande de aanvraagformulieren in en publiceerde die op\n                                                internet. Het CBP stelde vast dat er wel een wettelijke verplichting was tot het bijhouden\n                                                van een bouwregister, maar geen wettelijke verplichting om alle documenten integraal\n                                                op internet te publiceren.\n\nHet CBP schreef: Dit rechtvaardigt niet zonder meer dat alle persoonsgegevens waarvan de gemeente gebruik\n                                                   heeft gemaakt in de procedure voor het verlenen van de bouwvergunning \u2013 gegevens die\n                                                   op goede gronden in het bouwregister voorkomen \u2013 opgenomen worden in het via internet\n                                                   toegankelijke Digitaal Bouwarchief. Dat de gemeente bepaalde persoonsgegevens noodzakelijkerwijs\n                                                   mag opnemen <in het analoge archief, red.>, betekent namelijk op zich niet dat de\n                                                   gemeente die gegevens ook, al dan niet beperkt, aan anderen ter beschikking mag stellen.\n                                                   39\n\nDe rechtvaardigingsgrond dat publicatie noodzakelijk is ter vrijwaring van een vitaal\n                                                belang van de betrokkene heeft betrekking op een medische noodzaak. Het artikel is\n                                                bedoeld om mensenlevens te kunnen redden in acute noodsituaties, als de betrokkene\n                                                bijvoorbeeld buiten bewustzijn is. Het is hoogst onwaarschijnlijk dat deze rechtvaardigingsgrond\n                                                gebruikt kan worden om een publicatie op internet te rechtvaardigen.\n\nOverheidsinstellingen of -diensten die persoonsgegevens op internet willen publiceren,\n                                                kunnen een rechtvaardigingsgrond vinden in artikel 8 onder e Wbp. Er is een rechtvaardigingsgrond als publicatie noodzakelijk is voor een goede vervulling\n                                                van een publiekrechtelijke taak van het desbetreffende bestuursorgaan. Daarbij moet\n                                                voor elk te publiceren gegeven de noodzaak zorgvuldig worden afgewogen. Dat verstrekking\n                                                van bepaalde gegevens aan een bestuursorgaan noodzakelijk is, rechtvaardigt niet dat\n                                                alle gegevens automatisch ook op internet worden gepubliceerd. Dat geldt ook voor\n                                                bestuursorganen die actieve openbaarmaking overwegen in het kader van de Wet openbaarheid van bestuur (Wob).\n\nEen laatste rechtvaardigingsgrond zit in de afweging van het eigen gerechtvaardige\n                                                publicatiebelang tegen de rechten en vrijheden van betrokkenen, in het bijzonder de\n                                                bescherming van hun persoonlijke levenssfeer. De afweging is veel algemener van aard\n                                                dan de eerste vijf rechtvaardigingsgronden en is naar zijn aard afhankelijk van de\n                                                omstandigheden van een specifieke publicatie. In beginsel zullen slechts weinig publicaties\n                                                zich op deze rechtvaardigingsgrond kunnen beroepen, omdat publicatie op internet onvoorspelbare\n                                                risico\u2019s met zich meebrengt voor de persoonlijke levenssfeer van betrokkenen.\n\nEen verantwoordelijke die zich op artikel 8 onder f Wbp wil beroepen moet allereerst aantonen dat een voorgenomen publicatie noodzakelijk\n                                                is voor de verwezenlijking van een gerechtvaardigd eigenbelang. Noodzaak is volgens\n                                                jurisprudentie van het EHRM niet hetzelfde als \u2018leuk\u2019 of \u2018nuttig\u2019.40 Bovendien dient de verantwoordelijke aan te tonen dat het beoogde belang niet anderszins\n                                                of met minder ingrijpende middelen kan worden gediend.41\n\nNadat deze afweging is gemaakt, dient de verantwoordelijke een tweede afweging te\n                                                maken, waarbij de individuele belangen van betrokkenen een zelfstandig gewicht in\n                                                de schaal leggen. Een verantwoordelijke kan niet volstaan met de redenering dat het\n                                                om gegevens gaat die toch al op andere plaatsen op internet zijn te vinden en dat\n                                                de inbreuk van de nieuwe publicatie daarom gering zou zijn.\n\nDe memorie van toelichting bij de Wbp geeft als hulpmiddel vier vragen die verantwoordelijken\n                                                kunnen stellen om de dubbele afweging te maken.\n\n\u2022 Is er werkelijk een belang dat verwerking van persoonsgegeven rechtvaardigt?\n\n\u2022 Wordt met de verwerking een inbreuk gemaakt op belangen of fundamentele rechten\n                                                van degene wiens gegevens worden verwerkt en zo ja, dient dan \u2013 afhankelijk van de\n                                                ernst van de inbreuk \u2013 gegevensverwerking niet achterwege te blijven?\n\n\u2022 Kan het doel dat met de verwerking wordt nagestreefd ook langs andere weg \u2013 zonder\n                                                verwerking \u2013 worden bereikt?\n\n\u2022 Is de verwerking in de mate die is beoogd evenredig aan het nagestreefde doel?42\n\nDit komt er op neer dat de verantwoordelijke zich moet afvragen:\n\n\u2013 Is publicatie echt nodig? Kan het niet anders?\n\n\u2013 Weegt het belang van publicatie wel op tegen de nadelen ervan?\n\n\u2013 Wat betekent publicatie voor elke individuele betrokkene in zijn specifieke geval?\n\nEen verantwoordelijke dient het resultaat van deze afweging inzichtelijk te kunnen\n                                                maken. Het resultaat van de afweging moet een duidelijk belang zijn, dat maatschappelijk\n                                                aanvaardbaar is, niet in strijd met wat volgens geschreven en ongeschreven recht in\n                                                het maatschappelijk verkeer betaamt. De verantwoordelijke mag het belang van de verwerking\n                                                niet snel laten prevaleren boven het belang van de betrokkene, juist ook vanwege de\n                                                risico\u2019s van verdere verwerking door publicatie op internet.\n\nDat het belang van betrokkenen zwaar weegt en vaak prevaleert boven het belang van\n                                                de verwerking, blijkt ook uit jurisprudentie over het publiek etaleren van foto\u2019s\n                                                van vermeende winkeldieven. In augustus 2004 oordeelde de voorzieningenrechter van\n                                                de rechtbank Amsterdam43 dat een winkelier geen foto in zijn winkel mocht ophangen van een vrouw die hij aanzag\n                                                voor een winkeldief. De publicatie zou in strijd zijn met de auteurswet, maar ook\n                                                met de Wbp, in het bijzonder met artikel 8 onder f: Het ophangen van de foto van [eiseres] met daarbij de tekst \u2018Deze vrouw heeft hier gestolen\u2019\n                                                   is eveneens in strijd met de Wbp. De videobeelden gemaakt met een bewakingscamera\n                                                   zijn aan te merken als een bestand in de zin van artikel 1 onder c van de Wbp, nu\n                                                   sprake is van een gestructureerd geheel van persoonsgegevens. De verwerking van deze\n                                                   gegevens door een winkelier valt onder de Wbp. Uit hetgeen hiervoor (\u2026.) is overwogen,\n                                                   volgt dat [eiseres] geen ondubbelzinnige toestemming heeft gegeven voor de verwerking\n                                                   van de videobeelden tot een foto \u2013 zoals vereist in artikel 8 onder a Wbp \u2013 en dat\n                                                   het belang van [eiseres] prevaleert bij de in artikel 8 onder f Wbp bedoelde belangenafweging.44\n\nDe rechter in kort geding overwoog daarbij (in punt 9) : \u201cEen publicatie als de onderhavige \u2013 die een element van straf in zich heeft \u2013 levert\n                                                   eigenrichting op jegens [eiseres].\u201d En voegde er aan toe: \u201cHet opsporen en berechten\n                                                   van verdachten is het monopolie van justitie en het is niet aan burgers om mogelijke\n                                                   verdachten openlijk te schande te zetten.\u201d\n\nTwee jaar later, nadat de gewraakte foto opnieuw was gepubliceerd in een dagblad,\n                                                deed het CBP een algemene uitspraak over de toelaatbaarheid van publicaties van foto\u2019s\n                                                van verdachten van winkeldiefstal door particuliere ondernemingen.45 Het CBP oordeelde dat de Wet bescherming persoonsgegevens niet toelaat dat foto\u2019s van personen die verdacht worden van winkeldiefstal door\n                                                winkeliers op winkelruiten of andere voor het publiek zichtbare plaatsen worden gepubliceerd.\n\nGeoordeeld is: Het gebruik van de beelden voor publicatie in winkels, zodat er feitelijk sprake is\n                                                   van het publiekelijk betichten van strafbare feiten (shaming), kan niet gerekend worden\n                                                   tot een maatschappelijk aanvaardbaar doel. Daarmee is gegeven dat het eveneens geen\n                                                   gerechtvaardigd belang kan zijn voor de verantwoordelijke.46\n\nBIJ PUBLICATIE\n\nDe Wbp bevat een informatieplicht. Verantwoordelijken voor publicaties op internet moeten\n                                          op eigen initiatief inzicht geven in het doel van de publicatie, hoe en welke persoonsgegevens\n                                          ze verwerken en wat hun identiteit is. Dat is geen eenmalige verplichting, maar geldt\n                                          jegens elke persoon over wie zij gegevens verwerken.\n\nDe informatieplicht geldt als verantwoordelijken de gegevens zelf verzamelen (artikel 33 Wbp), maar ook als zij de gegevens op een andere manier verkrijgen, bijvoorbeeld door\n                                          gegevens over te nemen uit andere publicaties op internet (artikel 34 Wbp). Wie gegevens op internet verzamelt en voor een eigen publicatie wil hergebruiken,\n                                          moet de betrokkenen individueel op de hoogte stellen dat er een nieuwe verantwoordelijke\n                                          is die de persoonsgegevens verwerkt.47 Als er weinig risico\u2019s gemoeid zijn met de publicatie en als betrokkenen redelijkerwijs\n                                          weten in welke context bepaalde persoonsgegevens over hen op internet worden gepubliceerd,\n                                          kan een verantwoordelijke volstaan met het verstrekken van passieve informatie over\n                                          zijn identiteit en het doeleinde van de publicatie, bijvoorbeeld in de vorm van een\n                                          privacyverklaring. In alle andere gevallen dient een verantwoordelijke alle betrokkenen\n                                          op voorhand te informeren, met zoveel aanvullende informatie als nodig is om er zeker\n                                          van te zijn dat betrokkenen begrijpen wat de bedoeling is en hoe zij zich eventueel\n                                          tegen publicatie kunnen verzetten.\n\nExtra informatie en aandacht voor privacy en jongeren\n\nJongeren zijn een extra kwetsbare groep als het gaat om persoonsgegevens en het Web.\n                                             Diensten op het Web die gegevens over jongeren en door jongeren geplaatste persoonsgegevens\n                                             verwerken dienen er daarom extra goed voor te zorgen dat zorgvuldig met persoonsgegevens\n                                             wordt omgegaan. Aan de ene kant zijn het juist jongeren die de mogelijkheden van nieuwe\n                                             communicatietechnieken en diensten ontdekken en benutten. Aan de andere kant hebben\n                                             de meeste jongeren nog geen goed besef van de consequenties die de publicatie en het\n                                             afstaan van persoonsgegevens kunnen hebben. Dat geldt voor henzelf en voor gegevens\n                                             over andere jongeren die zij publiceren. Ook voor jongeren geldt de verplichting om\n                                             zorgvuldig met persoonsgegevens om te gaan. De verantwoordelijken dienen daarom extra\n                                             veel aandacht te besteden aan informatie over de verwerkingen van persoonsgegevens\n                                             en gebruikers goed voor te lichten.\n\nHoe verantwoordelijken precies aan de informatieplicht uit de Wbp kunnen voldoen, is afhankelijk van een aantal factoren. De memorie van toelichting\n                                             bij de Wbp geeft aan dat verantwoordelijken zoveel informatie moeten verstrekken als\n                                             nodig is om in elk concreet geval een behoorlijke en zorgvuldige gegevensverwerking\n                                             te waarborgen, of zij de gegevens nu zelf van de betrokkene krijgen, of indirect.48 Dat betekent dat de omvang van de informatieplicht afhangt van de aard van de verantwoordelijke,\n                                             de risico\u2019s die met de publicatie zijn gemoeid en de manier waarop de persoonsgegevens\n                                             zijn verkregen. Wie met toestemming van de betrokkenen persoonsgegevens op internet\n                                             publiceert en de persoonsgegevens heeft afgeschermd tegen verder gebruik door zoekmachines,\n                                             kan volstaan met een beknopte vermelding van zijn identiteit en het doeleinde van\n                                             de publicatie, voorafgaand aan de publicatie. Wie echter op grond van een andere rechtvaardigingsgrond,\n                                             zoals een goede vervulling van zijn publiekrechtelijke taak, gegevens op internet\n                                             wil publiceren, dient de betrokkenen veel uitgebreider, individueel te informeren\n                                             \u2013 zeker als niet op voorhand duidelijk is dat de gegevens ook op internet worden gepubliceerd\n                                             \u2013 en hen te wijzen op hun recht op verzet. Alleen als de verantwoordelijke aannemelijk\n                                             kan maken dat het individueel informeren een onevenredige inspanning vergt \u2013 waaronder\n                                             wordt verstaan dat het informeren substanti\u00eble kosten meebrengt, een buitengewone\n                                             inspanning kost bij het achterhalen van betrokkenen of stuit op technische onmogelijkheden\n                                             \u2013 en er geen andere wegen openstaan om de betrokkenen via algemenere kanalen te informeren,\n                                             vervalt de actieve informatieplicht. De verantwoordelijke moet in dat geval wel zorgvuldig\n                                             vastleggen van wie en op welke wijze hij de gegevens heeft verkregen, bijvoorbeeld\n                                             van welke andere internetpublicaties hij de gegevens heeft overgenomen.\n\nSchrijven over bekende personen\n\nEen minister vertelt op televisie over zijn priv\u00e9leven. Tal van persoonlijke, niet-journalistieke\n                                                weblogs besteden aandacht aan zijn uitspraken en allerlei mensen geven daar weer commentaar\n                                                op. In dit geval, omdat de bewindsman zijn uitlatingen in het openbaar heeft gedaan,\n                                                mag aangenomen worden dat hij op de hoogte is van het feit dat hierover in het openbaar\n                                                verder wordt gediscussieerd, ook op internet. De houders van de weblogs hoeven de\n                                                minister daarom niet apart te informeren dat ze persoonsgegevens over hem verwerken.\n                                                Een (niet-journalistieke) verantwoordelijke die de aanleiding echter te baat neemt\n                                                om allerlei andere priv\u00e9-informatie over de minister op internet te publiceren, inclusief\n                                                bijvoorbeeld foto\u2019s van zijn familie, dient de minister wel degelijk te informeren.\n                                                Of een dergelijke publicatie \u00fcberhaupt te rechtvaardigen valt, is zeer de vraag, gezien\n                                                de mogelijke gevolgen voor de familieleden.\n\nDe informatieplicht geldt jegens alle betrokkenen over wie persoonsgegevens worden\n                                             verwerkt, ook als het gaat om inwoners uit een land buiten de Europese Unie. Als een\n                                             verantwoordelijke bijvoorbeeld een contactlijst wil publiceren van mensen uit de hele\n                                             wereld met een hele specifieke interesse, dan moeten alle betrokkenen voorafgaand\n                                             aan de publicatie individueel op de hoogte worden gesteld. Als een inwoner uit de\n                                             Verenigde Staten merkt dat zijn naam op de desbetreffende website staat zonder dat\n                                             hij daarover tevoren is ge\u00efnformeerd, kan hij in Nederland de rechtsmiddelen aanwenden\n                                             die de Wbp hem toekent.49\n\nWie op basis van toestemming persoonsgegevens op internet publiceert, hoeft de betrokkenen\n                                             (na het verkrijgen van de toestemming) niet afzonderlijk meer te informeren over zijn\n                                             identiteit en doeleinden van de verwerking. Een goede invulling van de beknopte informatieplicht\n                                             is dan het publiceren van een privacyverklaring. De verklaring moet in duidelijke\n                                             en begrijpelijke taal zijn opgesteld, goed vindbaar zijn en bij voorkeur op te roepen\n                                             vanuit elk onderdeel van de publicatie.\n\nIn navolging van de aanbeveling van de Artikel 29-werkgroep over het online verzamelen\n                                             van gegevens50, moet een privacyverklaring bij een publicatie op internet minimaal de volgende elementen\n                                             bevatten:\n\n1) de identiteit, het fysieke en het elektronische adres van de voor de verwerking verantwoordelijke;\n\n2) het doel (de doeleinden) van de verwerking waarvoor de verantwoordelijke gegevens\n                                                   verwerkt via een publicatie op internet;\n\n3) vermelding of het verstrekken van bepaalde informatie verplicht of facultatief is;\n\n4) de ontvangers of de categorie\u00ebn ontvangers van de verzamelde informatie;\n\n5) vermelding van het recht dat betrokkenen hebben om, afhankelijk van de situatie, toestemming\n                                                   te geven voor of zich te verzetten tegen de verwerking van persoonsgegevens en van\n                                                   de voorwaarden die daarvoor gelden; vermelding van het recht op toegang tot en rectificatie\n                                                   en verwijdering van gegevens. Daarbij moet duidelijk worden gemaakt tot welke persoon\n                                                   of dienst betrokkenen zich moeten wenden om deze rechten uit te oefenen;\n\n6) de naam en het adres (fysiek en elektronisch) van de dienst of persoon die verantwoordelijk\n                                                   is voor het beantwoorden van vragen betreffende de bescherming van persoonsgegevens;\n\n7) informatie over het gebruik van eventuele automatische procedures voor informatievergaring\n                                                   (bijvoorbeeld ten aanzien van het vastleggen van IP-adressen van bezoekers van een\n                                                   website of de inzet van cookies)\n\n8) informatie over het beveiligingsniveau van een publicatie gedurende alle verwerkingsstadia\n                                                   (belangrijk bij publicaties voor een beperkte doelgroep), inclusief verduidelijking\n                                                   of en zo ja, in welke mate, gegevens indexeerbaar zijn voor zoekmachines;\n\n9) vermelding van de bewaartermijn van persoonsgegevens, inclusief eventuele spelregels\n                                                   ten aanzien van uitsluiting/ blacklisting;\n\n10) indien van toepassing: het meldingsnummer waarmee de verwerking is aangemeld bij het\n                                                   CBP.\n\nIn de bijlage bij deze richtsnoeren is een model privacyverklaring opgenomen dat\n                                             aan deze voorwaarden voldoet. Het gaat daarbij om een model dat gebruikt kan worden\n                                             voor een discussieforum, waarbij deelnemers hun bijdragen al dan niet onder pseudoniem\n                                             publiceren en de rechtvaardigingsgrond voor een gerechtvaardigde gegevensverwerking\n                                             toestemming is.\n\nDe Wbp eist in het tweede lid van de artikelen 33 en 34 Wbp dat verantwoordelijken hun identiteit bekend moeten maken. Dat stelt betrokkenen\n                                             in staat om hun rechten effectief uit te oefenen en rechtstreeks met verantwoordelijken\n                                             in contact te treden. De aanbeveling van de Artikel 29-werkgroep uit 2001 over het\n                                             online verzamelen van gegevens benadrukt dat bij de identiteit zowel het elektronische\n                                             als het fysieke adres moet worden vermeld. Ook de e-commerce richtlijn (2000/31/EG)\n                                             kent een dergelijk absoluut identiteitsvereiste, omgezet in artikel 3:15d van het Burgerlijk Wetboek.51 Een dergelijk absoluut identiteitsvereiste brengt echter risico\u2019s mee voor de privacy\n                                             van individuele webloggers of critici. Een natuurlijk persoon kan goede redenen hebben\n                                             om zijn fysieke contactadres niet op internet te willen publiceren, uit angst voor\n                                             bedreigingen of andersoortige ongevraagde benaderingen.\n\nDe aanbeveling van de Artikel 29- werkgroep is vooral gericht op verantwoordelijken\n                                             die op professionele wijze gegevens verzamelen en verwerken, bijvoorbeeld ten behoeve\n                                             van direct marketing of andere commerci\u00eble dienstverlening. Dat individuen massaal\n                                             over zouden gaan tot het publiceren van persoonsgegevens op internet had de werkgroep\n                                             waarschijnlijk toentertijd niet voorzien. Ook de e-commerce richtlijn is niet gericht\n                                             op natuurlijke personen, maar op commerci\u00eble dienstverleners, die \u2018gewoonlijk tegen\n                                             vergoeding\u2019 hun diensten verrichten.52\n\nIn het geval van publicaties door natuurlijke personen is een nadere afweging noodzakelijk\n                                             om recht te doen aan de goede redenen die een verantwoordelijke kan hebben om zijn\n                                             fysieke contactadres niet te willen publiceren op internet. Het CBP acht het daarom\n                                             een redelijke wetstoepassing als een natuurlijke persoon die zonder commercieel oogmerk\n                                             op internet publiceert, volstaat met het bekendmaken van een elektronisch contactadres.\n                                             Daarbij gelden twee voorwaarden:\n\n\u2013 de verantwoordelijke is goed bereikbaar voor betrokkenen door middel van een elektronisch\n                                             e-mailadres\n\n\u2013 dit e-mailadres wordt uitgegeven door een in Nederland gevestigde aanbieder.\n\nEen dergelijke verantwoordelijke (die als priv\u00e9persoon, zonder commercieel oogmerk\n                                             publiceert) kan niet volstaan met het vermelden van een (veelal gratis) e-mailadres\n                                             van een internationaal opererende serviceprovider als Microsoft, Google of Yahoo.\n                                             Een dergelijk adres kan het voor een betrokkene onnodig ingewikkeld maken om zijn\n                                             recht te halen als een verantwoordelijke niet adequaat reageert. Het e-mailadres moet\n                                             uitgegeven zijn door een in Nederland gevestigde aanbieder, binnen het Nederlandse\n                                             .nl domein.\n\nVerantwoordelijken die over een eigen mailserver beschikken kunnen eveneens aan deze\n                                             verplichting voldoen, mits zij de e-mail verwerken onder een .nl domein.\n\nHet vereiste van een Nederlands elektronisch contactadres maakt het voor betrokkenen\n                                             mogelijk om nadere stappen te ondernemen om de identiteit te achterhalen van de verantwoordelijke.\n                                             Het Lycos-arrest van het Hof Amsterdam53 kan de betrokkene een aanknopingspunt bieden om de provider aan te spreken als de\n                                             verantwoordelijke voor een publicatie op internet zijn identiteit niet kenbaar maakt\n                                             en daarmee onmiskenbaar in strijd handelt met artikel 33 en 34, tweede lid Wbp.54\n\nVoor priv\u00e9personen die geen Nederlands e-mailadres willen gebruiken, geldt de volledige\n                                             informatieplicht om zowel een fysiek als een elektronisch contactadres bekend te maken.\n\nVerantwoordelijken zijn in beginsel verplicht om alle gegevensverwerkingen te melden\n                                          bij het CBP, tenzij ze onder het Vrijstellingsbesluit vallen of een eigen functionaris voor de gegevensbescherming (FG) aanstellen.55 Echter, de meldingsplicht uit de Wbp (en de onderliggende Europese privacyrichtlijn) dateert van voor de massale opkomst\n                                          van bijvoorbeeld weblogs en andere populaire internetpublicatievormen, zoals websites\n                                          van verenigingen en bedrijven. Het valt te betwijfelen of de wetgever de meldingsplicht\n                                          heeft bedoeld voor de praktijk van gegevensverwerking op internet in de huidige vorm\n                                          en omvang. Op dit moment gelden nog geen specifieke vrijstellingen voor internetpublicaties,\n                                          maar deze zijn wel in de maak (zie hieronder paragraaf 6.3). Gegeven deze omstandigheden legt het CBP thans, behoudens bijzondere omstandigheden,\n                                          alleen prioriteit bij het controleren van melding van publicaties die bijzondere persoonsgegevens\n                                          bevatten (zie hoofdstuk I, paragraaf 8) en van publicaties die vanuit beveiligingsoogpunt grote risico\u2019s voor betrokkenen\n                                          meebrengen, zoals het risico op identiteitsfraude.\n\nEen melding bij het CBP betreft een beschrijving van een of meerdere gegevensverwerkingen.\n                                             Artikel 27 eerste lid Wbp verplicht tot aanmelding van een voorgenomen verwerking, dat wil zeggen dat de melding\n                                             dient te geschieden alvorens tot de verwerking wordt overgegaan. Omdat \u2019verwerking\u2019\n                                             ook betrekking heeft op het verzamelen, houdt dit in dat de verantwoordelijke de verwerking\n                                             moet melden voordat hij de beschikking krijgt over persoonsgegevens.56\n\nDe meldingen worden opgenomen in een openbaar register, dat kosteloos toegankelijk\n                                             is via de website van het CBP, conform artikel 30 Wbp. Het feit dat een melding is opgenomen in het openbare register, betekent niet dat\n                                             het CBP de verwerking heeft goedgekeurd of rechtmatig acht. De melding biedt dan ook\n                                             geen garantie dat de verantwoordelijke in overeenstemming met de Wbp persoonsgegevens verwerkt.\n\nVia het Vrijstellingsbesluit57 worden allerlei bekende, veel voorkomende vormen van gegevensverwerking waarvan het\n                                             bestaan in het algemeen bekend mag worden verondersteld en die geen bijzondere risico\u2019s\n                                             meebrengen, vrijgesteld van de meldingsplicht. De vrijstellingen zijn in het algemeen\n                                             echter niet relevant voor de publicatie van persoonsgegevens op internet, zodat daarop\n                                             hier verder niet wordt ingegaan.\n\nHet ministerie van Justitie heeft in 2007 gewerkt aan een verruiming van het Vrijstellingsbesluit. Naar verwachting hoeven stichtingen en verenigingen die persoonsgegevens publiceren\n                                             op hun eigen website evenals particulieren die persoonlijke publicaties verzorgen,\n                                             in de toekomst hun verwerkingen onder bepaalde voorwaarden niet te melden. Onder \u2018persoonlijke\n                                             publicaties\u2019 worden verstaan: publicaties die persoonlijk van aard zijn, niet-commercieel\n                                             en voor priv\u00e9doeleinden opgezet. Als aanvullende voorwaarde voor de nieuwe meldingsvrijstellingen\n                                             geldt dat persoonsgegevens onmiddellijk verwijderd moeten worden als een betrokkene\n                                             bezwaar maakt tegen de vermelding van zijn of haar persoonsgegevens. Bovendien is\n                                             van belang dat de pagina\u2019s met persoonsgegevens afgeschermd zijn tegen verwerking\n                                             door zoekmachines, om onverenigbaar gebruik te voorkomen.\n\nOok onderwijsinstellingen en bedrijven die persoonsgegevens publiceren op een besloten\n                                             intranet vallen onder de voorgestelde nieuwe vrijstellingen. De vrijstelling omvat\n                                             eveneens publicatie op een besloten intranet van de zogenaamde \u2018smoelenboeken\u2019, foto\u2019s\n                                             van werknemers of studenten/docenten, mits de plaatsing geschiedt met instemming van\n                                             de Ondernemingsraad. Het CBP is in juni 2007 geconsulteerd over de aanpassingen van\n                                             het besluit. De verwachting is dat de wijzigingen in 2008 in werking zullen treden.58\n\nDe vrijstelling waaraan thans wordt gewerkt, betekent alleen vrijstelling van melding\n                                             bij het CBP, niet van de verplichting om te voldoen aan de vereisten ten aanzien van\n                                             een zorgvuldige omgang met persoonsgegevens. De informatieplicht (en daarmee de plicht\n                                             tot het bekendmaken van de identiteit van de verantwoordelijke en de doelstelling\n                                             van de verwerking) blijft onverkort van toepassing, evenals de overige bepalingen\n                                             uit de Wbp.\n\nDe Wbp stelt eisen aan de bewaartermijn en kwaliteit van persoonsgegevens. Gegevens mogen\n                                          niet langer verwijzen naar identificeerbare personen dan strikt noodzakelijk en de\n                                          gegevens moeten juist zijn en ter zake dienend.\n\nVerantwoordelijken moeten voorafgaand aan de publicatie van persoonsgegevens op internet\n                                             vaststellen hoe lang zij de gegevens online laten staan of anderszins blijven bewaren.\n                                             Persoonsgegevens mogen volgens artikel 10 Wbp niet langer bewaard worden in een vorm die het mogelijk maakt betrokkenen te identificeren\n                                             dan noodzakelijk voor de gestelde (gerechtvaardigde) doeleinden.59 Volgens het tweede lid van artikel 11 Wbp moet de verantwoordelijke zich bovendien inspannen om ervoor te zorgen dat persoonsgegevens\n                                             juist en nauwkeurig zijn. Hoe ouder de gegevens zijn, hoe groter de kans dat ze onjuist\n                                             zijn en daardoor onnodige schade kunnen berokkenen aan betrokkenen. Verantwoordelijken\n                                             dienen daarom bij elke publicatie van persoonsgegevens af te wegen welke risico\u2019s\n                                             de gekozen beschikbaarheidstermijn met zich meebrengt. Het verdient aanbeveling, ook\n                                             volgens de Europese Commissie, om te voorzien in een methode om persoonsgegevens na\n                                             het verstrijken van de vastgestelde termijn automatisch te anonimiseren. 60\n\nDe verantwoordelijke mag volgens artikel 11 Wbp alleen gegevens verwerken die toereikend zijn, ter zake dienend zijn en niet bovenmatig\n                                             aan het gestelde doeleinde. In de memorie van toelichting bij de Wbp wordt het voorbeeld genoemd van een winkelier die een registratie opzet van personen\n                                             die hij heeft betrapt op winkeldiefstal. De winkelier zal in de regel niet behoeven te registreren welke goederen door de betrokkene uit\n                                                zijn winkel zijn ontvreemd, wel bijvoorbeeld de waarde daarvan. Verder mag hij in die registratie geen gegevens opslaan omtrent het (legale) koopgedrag\n                                             van de betrokken persoon, omdat dat bovenmatig is aan het gestelde doeleinde.61 Het voorbeeld heeft alleen betrekking op de eigen registratie door de winkelier.\n                                             Voor publicatie op internet van lijsten van (vermeende) winkeldieven zal niet snel\n                                             een rechtvaardigingsgrond in de Wbp gevonden kunnen worden, vanwege de risico\u2019s van verdere verwerking door derden.62 Het feit dat gegevens \u2018toereikend\u2019 moeten zijn, behelst een zorgplicht voor de verantwoordelijke\n                                             om een zo correct mogelijk beeld te schetsen van een betrokkene over wie hij persoonsgegevens\n                                             publiceert. Het weglaten van cruciale informatie kan net zo schadelijk zijn voor de\n                                             persoonlijke levenssfeer als het vermelden van bovenmatige priv\u00e9details. Als het bijvoorbeeld\n                                             gaat om een lijst van vermeende wanbetalers kan het weglaten van de vermelding dat\n                                             en op welke gronden een betrokkene een vordering betwist, die persoon schade berokkenen.\n\nToegang voor advocaten tot rolgegevens\n\nAdvocaten hebben belang bij toegang tot het rolregister van de rechtbank waar ze procederen.\n                                                Toegang tot de gegevens van een rechtbank in een andere stad loopt voor advocaten\n                                                via een vertegenwoordiging, een zogenaamde procureur. Het rolregister bevat informatie\n                                                over alle aanhangige civiele zaken, met een korte typering, de namen van de eiser\n                                                en de gedaagde, de namen van de procureurs en de status van de behandeling. In 2002\n                                                besloot de Raad voor de Rechtspraak tot invoering van een digitale rol, \u2018Mijn Zaken\u2019,\n                                                waarbij advocaten via internet toegang zouden krijgen tot alle rolgegevens uit het\n                                                hele land, in de aanloop naar afschaffing \u2013 naar thans wordt verwacht in maart 2008\n                                                \u2013 van het verplichte procuraat. Het CBP oordeelde dat deze toegang bovenmatig zou\n                                                zijn (niet in overeenstemming met artikel 11 Wbp) en dat advocaten alleen toegang\n                                                zouden mogen hebben tot hun eigen zaken.63 De Raad voor de Rechtspraak paste het beleid daarop aan. De toegang tot www.roljournaal.\n                                                nl is afgebakend met een wachtwoord en advocaten en hun procureurs krijgen alleen\n                                                toegang tot de rolgegevens van hun eigen zaken.64\n\nBij het bewaken van de kwaliteit van persoonsgegevens dienen verantwoordelijken ook\n                                             maatregelen te treffen om er zeker van te zijn dat de gegevens juist en nauwkeurig\n                                             zijn, in overeenstemming met de werkelijkheid, zonder dat er iets is verdwenen of\n                                             (ten onrechte) veranderd.65 Een verantwoordelijke die persoonsgegevens verzamelt en vervolgens publiceert, moet\n                                             er zeker van zijn dat de gegevens werkelijk door de betrokkene zelf zijn ingevoerd\n                                             of gewijzigd en niet door een (kwaadwillende) derde. Betrokkenen mogen niet in een\n                                             positie worden gebracht dat zij moeten ontkennen een bepaalde actie te hebben verricht.\n                                             Als de aard van de publicatie en de risico\u2019s die ermee gemoeid zijn daartoe noodzaken,\n                                             dienen verantwoordelijken daarom de identiteit van een aanvrager of gebruiker vast\n                                             te stellen. Daar bestaan meerdere middelen voor, zoals biometrische toepassingen,\n                                             PKI Overheid (de public key infrastructure waarbij de overheid certificaten uitgeeft\n                                             om de identiteit van een gebruiker te waarborgen), DigiD66 of Open ID (een initiatief om juist van onderop identiteit te waarborgen, door vertrouwen\n                                             van gebruikers in elkaar). Een ander systeem, dat bijvoorbeeld in Finland en Estland\n                                             veel gebruikt wordt, is authenticatie via de infrastructuur van internetbankieren.67 Welk systeem in Nederland het best ingezet kan worden om te voldoen aan de beveiligingsvereisten\n                                             van de Wbp, is mede afhankelijk van de betrouwbaarheid, de beschikbaarheid, de kosten voor de\n                                             verantwoordelijke en de gebruikersacceptatie.\n\nAls de aard van de dienstverlening en de risico\u2019s die ermee gemoeid zijn, noodzaken\n                                             tot het vaststellen van de identiteit, dient de verantwoordelijke zich als eerste\n                                             af te vragen of het volstaat om alleen elektronische middelen in te zetten, of dat\n                                             het noodzakelijk is uit het oogpunt van zorgvuldigheid bevestiging te vragen via een\n                                             separaat communicatiekanaal. Dat kan via een bevestiging van een betaling die plaatsvindt\n                                             op initiatief van de aanvrager, of via het aanbrengen van een offline identificatiestap,\n                                             zoals per brief of telefoon.\n\nVoor het vaststellen van de identiteit van een betrokkene mag een verantwoordelijke\n                                             niet zonder meer om een kopie van een identiteitsbewijs vragen. Op paspoort en identiteitskaart\n                                             staan twee bijzondere persoonsgegevens, waarvan de verwerking in principe verboden\n                                             is, tenzij een van de wettelijke uitzonderingen van toepassing is, namelijk de pasfoto\n                                             en het sofinummer (in de toekomst: burgerservicenummer) .\n\nTeveel identificerende gegevens\n\nOm in aanmerking te komen voor de status van \u2018Gecontroleerde verkoper\u2019 bij een bemiddelingswebsite\n                                                moest een aanvrager bovenmatig veel documenten overleggen. Volgens het CBP kon de\n                                                verantwoordelijke volstaan met het opvragen van een kopie van een recent bank- of\n                                                giroafschrift en een kopie van een identiteitsbewijs. Daarbij moest de website de\n                                                aspirant-verkopers nadrukkelijk wijzen op de mogelijkheid om op die kopie\u00ebn alle overbodige\n                                                gegevens onleesbaar te maken. Na verificatie van de identiteit zouden de kopie\u00ebn moeten\n                                                worden vernietigd of aan de potenti\u00eble Gecontroleerde verkoper worden teruggegeven.68\n\nVerantwoordelijken voor publicaties op internet dienen adequate beveiligingsmaatregelen\n                                          te treffen, zeker als het de publicatie van bijzondere persoonsgegevens betreft. Bij\n                                          publicaties op internet moet met name rekening worden gehouden met het risico van\n                                          verdere verwerking voor een ander doeleinde dan het doeleinde waarvoor de gegevens\n                                          oorspronkelijk zijn verzameld en gepubliceerd.\n\nArtikel 13 Wbp verplicht verantwoordelijken tot het treffen van passende technische en organisatorische\n                                             maatregelen om persoonsgegevens te beveiligen tegen verlies of tegen enige vorm van\n                                             onrechtmatige verwerking. De maatregelen dienen er mede op gericht te zijn onnodige\n                                             verzameling en verdere verwerking van persoonsgegevens te voorkomen.\n\nWat een passend beveiligingsniveau is, is afhankelijk van de stand van de techniek,\n                                             het soort persoonsgegevens, de soort verwerking, de kosten van de tenuitvoerlegging\n                                             voor de verantwoordelijke en de te verwachten risico\u2019s voor betrokkenen. De wetgever\n                                             heeft nadrukkelijk een open norm gehanteerd, zonder nadere details over de soorten\n                                             beveiliging.\n\nDergelijke details zouden sterk tijdgebonden zijn en daarmee afbreuk doen aan het\n                                                nagestreefde niveau van beveiliging. 69\n\nGegeven de huidige stand van de techniek en de normontwikkeling in eerdere uitspraken\n                                             van het CBP zijn er met betrekking tot publicaties op internet vijf aanbevelingen\n                                             te geven hoe verantwoordelijken invulling moeten geven aan de verplichtingen uit artikel 13 Wbp tot het treffen van passende beveiligingsmaatregelen.\n\nDe aanbevelingen zijn:\n\n1. Voorkom de onnodige publicatie van persoonsgegevens.\n\n2. Scherm specifieke pagina\u2019s met persoonsgegevens af voor zoekmachines.\n\n3. Gebruik wachtwoorden of een andere passende methode om de doelgroep af te bakenen.\n\n4. Beveilig het gegevenstransport door middel van het SSL-protocol.\n\n5. Beveilig machine(s) en achterliggende databases tegen onbevoegde toegang door derden.\n\nVerantwoordelijken hebben uit beveiligingsoogpunt de plicht om maatregelen te treffen\n                                             om \u2018onnodige verzameling en verdere verwerking van persoonsgegevens te voorkomen\u2019\n                                             (Artikel 13 Wbp, derde volzin). Soms heeft een verantwoordelijke wel een goede rechtvaardigingsgrond voor het verzamelen\n                                             en binnen de organisatie verwerken van bepaalde persoonsgegevens, maar leent dat doeleinde\n                                             zich niet voor integrale publicatie van de persoonsgegevens op internet. Per persoonsgegeven\n                                             moet daarom een afweging worden gemaakt van de noodzaak van publicatie op internet,\n                                             in het licht van de te verwachten risico\u2019s voor de betrokkene. De plicht tot dataminimalisatie\n                                             geldt in het bijzonder voor overheden en verantwoordelijken voor openbare registers,\n                                             omdat betrokkenen in die gevallen minder mogelijkheden hebben om zich te verzetten\n                                             tegen een specifieke publicatie.70\n\nGeen handtekening publiceren op internet\n\nOp 1 mei 2007 trad een nieuwe wet in werking over het Handelsregister, met bepalingen\n                                                over de elektronische ontsluiting van het register.71 In de wet wordt een onderscheid gemaakt tussen de verplichte opname van sommige persoonsgegevens\n                                                in het register en de publicatie ervan op internet. Het burgerservicenummer van natuurlijke\n                                                personen die een onderneming hebben bijvoorbeeld wordt verplicht in het register opgenomen,\n                                                maar mag niet aan derden worden verstrekt en dus niet op het internet worden gepubliceerd.\n                                                Tijdens de behandeling van het wetsvoorstel in de Tweede Kamer werd uitdrukkelijk\n                                                gewezen op het risico van de publicatie op internet van de handtekening van in het\n                                                handelsregister opgenomen natuurlijke personen. Uit de toelichting bij het amendement\n                                                van Kamerlid Van Dijk: De Kamers van Koophandel constateren in toenemende mate dat\n                                                handtekeningen worden gekopieerd met frauduleus oogmerk. Daarbij wordt onder meer\n                                                gebruik gemaakt van de handtekening in het handelsregister zoals deze via internet\n                                                kan worden ingezien. Om dergelijke fraude zo veel mogelijk te voorkomen is het gewenst\n                                                dat handtekeningen van natuurlijke personen niet langer via internet worden getoond.\n                                                Dat werpt een naar verwachting van de Kamers effectieve drempel op tegen het kopi\u00ebren\n                                                van handtekeningen.72 De staatssecretaris van Economische Zaken nam het amendement meteen over.\n\nEen publicatie die voldoet aan de Wbp kan er toch toe bijdragen dat een betrokkene in zijn persoonlijke levenssfeer wordt\n                                             geschaad, doordat via zoekmachines derden allerlei intieme details over deze betrokkene\n                                             kunnen koppelen. Afscherming van persoonsgegevens voor zoekmachines is een heel eenvoudige,\n                                             algemeen toepasbare en kosteloze stap om de kans op onrechtmatige verwerking door\n                                             derden te verkleinen. Alle grote zoekmachines bieden handleidingen aan verantwoordelijken\n                                             voor publicaties met behulp waarvan zij kunnen voorkomen dat een website of onderdelen\n                                             uit een publicatie ge\u00efndexeerd of gearchiveerd worden.73\n\nZonder een dergelijke maatregel ontstaan er grote risico\u2019s voor betrokkenen, waardoor\n                                             de publicatie onrechtmatig kan zijn. Verantwoordelijken die de risico\u2019s willen vermijden\n                                             van onrechtmatigheid, blokkeren daarom alle pagina\u2019s met persoonsgegevens voor zoekmachines.\n                                             Dat kan door middel van een algemene aanpak, door automatisch een anti-indexeringscode\n                                             op te nemen in de onderliggende html, of via een individuele oplossing, een constructie\n                                             waarbij de betrokkene expliciet toestemming geeft voor toegang voor zoekmachines.\n                                             Die tweede optie is bijvoorbeeld handig voor verantwoordelijken voor profiel-, foto/video-\n                                             of weblogcommunities, zodat elke betrokkene individueel kan beslissen over de beschikbaarheid\n                                             van zijn gegevens voor derden.\n\nBeschuldigingen uit Google cache verwijderen\n\nIn februari 2007 oordeelde de voorzieningenrechter van de Rechtbank Dordrecht74 dat een gedaagde zich tot het uiterste moest inspannen om een onterechte beschuldiging\n                                                verwijderd te krijgen uit de Google cache. De gedaagde meende dat zij was opgelicht\n                                                en publiceerde dit op haar website. Nadat de betaling was bijgeschreven, verwijderde\n                                                ze de beschuldigingen, maar via de cache van Google doken de beschuldigingen toch\n                                                nog op. Hoewel de gedaagde zich had ingespannen om de gegevens te verwijderen, was\n                                                ten tijde van de zitting nog steeds \u00e9\u00e9n kopie vindbaar via de zoekmachine. De rechter\n                                                beval de gedaagde om binnen twee dagen na betekening van het vonnis de uitlating in\n                                                de cache van de internetzoekmachine Google te doen verwijderen, op straffe van een\n                                                dwangsom van 250 euro voor iedere werkdag dat de gedaagde in gebreke zou blijven aan\n                                                dit vonnis te voldoen.\n\nVerantwoordelijken die persoonsgegevens met een specifiek doel op internet publiceren,\n                                             moeten zorgen voor een adequate bescherming tegen onrechtmatige kennisneming of verdere\n                                             verwerkingen ervan door derden. Dat is inherent aan het doelbindingsprincipe. Als\n                                             het gaat om een publicatie die voor een beperkte doelgroep is bedoeld, zoals leden\n                                             van een sportvereniging, dient de toegang ook daadwerkelijk tot die doelgroep beperkt\n                                             te zijn. Naast algemene afscherming van de persoonsgegevens voor zoekmachines dient\n                                             de verantwoordelijke de specifieke toegang alleen mogelijk te maken voor de doelgroep\n                                             die in het doeleinde is omschreven. Dat kan in veel gevallen door middel van een wachtwoord,\n                                             mits het gaat om publicaties zonder bijzondere persoonsgegevens of gegevens die op\n                                             een andere manier grote risico\u2019s meebrengen voor betrokkenen. Verantwoordelijken dienen\n                                             daarbij te werken met individuele wachtwoorden of toegangscodes, in plaats van met\n                                             generieke wachtwoorden. Om het risico op onbevoegde toegang verder te verkleinen,\n                                             moeten de wachtwoorden of toegangscodes een beperkte geldigheidsduur hebben, voldoende\n                                             \u2018sterk\u2019 zijn en versleuteld worden opgeslagen bij de verantwoordelijke.\n\nAls het echter om publicaties gaat met bijzondere persoonsgegevens, zoals medische\n                                             dossiers of strafrechtelijke gegevens, is de combinatie loginnaam- wachtwoord te zwak.\n                                             De verantwoordelijke moet in dat geval zoeken naar andere passende technische mogelijkheden\n                                             om te waarborgen dat alleen degenen die daartoe gerechtigd zijn, toegang krijgen tot\n                                             specifieke persoonsgegevens.\n\nWebsite met medische dossiers\n\nEind 2000 onderzocht de Registratiekamer de beveiliging van een bemiddelingswebsite\n                                                waarop pati\u00ebnten zelf hun medisch dossier op internet kunnen plaatsen.75 De website stelt pati\u00ebnten in staat hun medische gegevens online te controleren en\n                                                te laten bevestigen door hun arts of apotheker. Artsen, apothekers en andere zorgverleners\n                                                kunnen zelf ook gegevens aan het dossier toevoegen, met toestemming van de pati\u00ebnt.\n                                                Het bedrijf dat verantwoordelijk is voor de gegevensverwerking beheert de wachtwoorden\n                                                voor de inlogprocedure van de pati\u00ebnten en zorgverleners.\n\nDe Registratiekamer stelde voorop dat verwerking van medische gegevens van pati\u00ebnten\n                                                via het internet risico\u2019s meebrengt. De combinatie van beveiligingsmaatregelen die\n                                                het bedrijf had getroffen, was naar het oordeel van de Registratiekamer, gezien de\n                                                toenmalige stand van de techniek en hetgeen in redelijkheid van het bedrijf kon worden\n                                                gevergd, vooralsnog voldoende. Het bedrijf had ervoor gekozen om de naam-adreswoonplaatsgegevens\n                                                van pati\u00ebnten niet in het digitale dossier op te nemen. Daarnaast waren en zijn zowel\n                                                de communicatie via internet als de toegang tot de database versleuteld met een 128-bits\n                                                sleutel en wordt een dossier geblokkeerd na drie foutieve inlogpogingen.\n\nHet gebruik van een loginnaam en wachtwoord als toegangsbeveiliging voor het dossier\n                                                op de site vormde in de ogen van de Registratiekamer echter een zwakke schakel in\n                                                de beveiliging.\n\nDe Registratiekamer schreef: Toegangsbeveiliging door middel van een loginnaam en\n                                                wachtwoord wordt in het algemeen als een te laag niveau van beveiliging gezien.\n\nVoor de toekomst, afhankelijk van de ontwikkeling van de techniek en de acceptatie\n                                                ervan door burgers, zag de Registratiekamer twee alternatieven: gebruik van biometrische\n                                                toegangsbeveiliging of gebruik van een zogenaamde challenge-response tokencard, een\n                                                systematiek zoals die voor thuisbankieren wordt gebruikt. In afwachting van die ontwikkeling,\n                                                ried de Registratiekamer in ieder geval aan de loginprocedure aan te scherpen. Na\n                                                toekenning van een nieuw of gewijzigd wachtwoord zou de pati\u00ebnt bij de eerste inlogpoging\n                                                verplicht moeten worden zelf een wachtwoord te kiezen.\n\nDe reden dat de combinatie loginnaam- wachtwoord als zwak wordt gezien, ligt in de\n                                                mogelijkheid dat geautoriseerde gebruikers de combinatie zelf doorgeven aan derden\n                                                (soms ook onbewust, via spyware op de computer van de gebruiker), maar ook in zogenaamde\n                                                dictionary attacks. Wachtwoorden zijn over het algemeen versleuteld opgeslagen, maar\n                                                er bestaat gespecialiseerde software om eindeloos loginpogingen op servers af te vuren.\n                                                Sommige programma\u2019s kunnen tientallen tot honderden miljoenen wachtwoorden per seconde\n                                                uitproberen. Het werk van de aanvallers wordt vergemakkelijkt omdat het gemiddelde\n                                                wachtwoord in de praktijk te zwak is. Met slechts 100.000 combinaties (gebaseerd op\n                                                een basislijst van duizend woorden, met elk honderd veelvoorkomende achtervoegsels)\n                                                wordt bijna een kwart van alle wachtwoorden al geraden, aldus de gerenommeerde beveiligingsexpert\n                                                Bruce Schneier.76\n\nGegevenstransport over internet geschiedt in beginsel via openbare verbindingen. Verantwoordelijken\n                                             dienen ervoor te zorgen dat het verzamelen van persoonsgegevens via websites beveiligd\n                                             plaatsvindt, bijvoorbeeld met een https-verbinding. Met het gebruik van een via het\n                                             SSL-protocol77 beveiligde verbinding zijn nauwelijks kosten gemoeid en de inzet ervan beveiligt\n                                             het verkeer over netwerkknooppunten. Bij een onbeveiligde site bestaat het risico\n                                             dat derden, voor wie de ingevulde gegevens niet bestemd zijn, de gegevens onderscheppen,\n                                             bijvoorbeeld via het overnemen van sessies of door datadiefstal op internetknooppunten.\n\nDe inzet van een SSL-certificaat is ook van belang voor authenticatie van de website\n                                             zelf, om het risico op \u2018phishing\u2019 te verkleinen. Sites die onbeveiligd zijn, kunnen\n                                             makkelijker ge\u00efmiteerd worden door sites met vergelijkbare domeinnamen. Daarmee kunnen\n                                             derden op frauduleuze wijze in bezit komen van persoonsgegevens.\n\nDigidoor\n\nHet CBP deed in 2005 onderzoek naar Digidoor, een initiatief van basisscholen in de\n                                                gemeente Almere om gegevens over leerlingen op internet te publiceren.78 In Digidoor (een afkorting van Digitaal doorstromen) worden gegevens van basisschoolleerlingen\n                                                verzameld met het doel om de aanmelding bij het vervolgonderwijs makkelijker te maken.\n                                                De bestanden bevatten veel gevoelige informatie over leerlingen zoals opmerkingen\n                                                over het niveau van rekenen, taal en lezen, maar ook informatie over faalangst, concentratieproblemen,\n                                                gezondheidsproblemen en in uitzonderlijke gevallen, problemen met betrekking tot de\n                                                thuissituatie. De website was zonder nadere versleuteling te benaderen via internet.\n                                                Over het noodzakelijke beveiligingsniveau was van tevoren niet goed nagedacht. Na\n                                                negatieve publiciteit troffen de verantwoordelijke scholen snel een aantal concrete\n                                                maatregelen:\n\n\u2013 het installeren van een dedicated server en een versleutelde SSL-verbinding;\n\n\u2013 het invullen van de verschillende rollen voor toevoegen en inzien van de informatie\n                                                en het vaststellen van de bewaartermijn voor (herleidbare) gegevens;\n\n\u2013 het opstellen van een brochure met nadere uitleg over de techniek, inhoud en werking\n                                                van het systeem.\n\nDe problemen waren te voorkomen geweest als er van tevoren een goed beveiligingsplan\n                                                was opgesteld, waarbij ook een dreigingsanalyse was gemaakt.\n\nRegelmatig komen bekende en onbekende websites negatief in het nieuws omdat de beveiliging\n                                             onvoldoende is en persoonsgegevens toegankelijk worden die niet voor publicatie zijn\n                                             bedoeld. Dat kan bijvoorbeeld gebeuren als de URL\u2019s die gegenereerd worden na een\n                                             inlogprocedure een voorspelbaar patroon opleveren. Derden kunnen dan makkelijk andere\n                                             URL\u2019s \u2018raden\u2019 en daarmee toegang verwerven tot persoonlijke informatie van betrokkenen.\n                                             De beveiliging en inrichting van de server(s) waarop de gegevens staan, vormen daarom\n                                             een apart punt van zorg. De verantwoordelijke dient ervoor te zorgen dat de machines\n                                             beveiligd zijn tegen onrechtmatige toegang door derden, door consequent beveiligingsadviezen\n                                             op te volgen. Dat geldt zowel voor het besturingssysteem als voor de software die\n                                             op een server draait. Zeker bij de verwerking van bijzondere persoonsgegevens verdient\n                                             het aanbeveling om een strikte scheiding aan te brengen tussen de database waarin\n                                             de gegevens worden verwerkt en de server waarmee gegevens op internet worden gepubliceerd.\n                                             De risico\u2019s die de publicatie van bijzondere persoonsgegevens meebrengt, rechtvaardigen\n                                             dat gegevens uit de database alleen versleuteld naar de server mogen worden geleid\n                                             en pas op cli\u00ebntniveau ontsleuteld worden.\n\nToegang tot digitale jaaropgaven In maart 2007 werd bekend dat de digitale jaaropgaven\n                                                van het Uitvoeringsinstituut Werknemersverzekeringen (UWV) per ongeluk opvraagbaar\n                                                bleken door andere klanten, als twee mensen tegelijkertijd inlogden. In de Tweede\n                                                Kamer werden vragen gesteld over het incident.79 Het UWV liet de minister van Justitie en het CBP weten dat de digitale beschikbaarstelling\n                                                werd be\u00ebindigd binnen een uur nadat de fout werd ontdekt. Iedereen die per ongeluk\n                                                andermans jaaropgave had ingezien, werd telefonisch benaderd.\n\nNA PUBLICATIE\n\nOok nadat de publicatie op internet is verschenen, moeten verantwoordelijken zich\n                                          inspannen om aan de Wbp te blijven voldoen. Een publicatie die rechtmatig was doordat een betrokkene daarmee\n                                          had ingestemd, wordt onrechtmatig op het moment dat de betrokkene zijn toestemming\n                                          intrekt (zie Hoofdstuk II, par. 4.1.) Persoonsgegevens die bij publicatie juist en nauwkeurig waren, kunnen na verloop\n                                          van tijd niet meer kloppen en een onvolledig beeld schetsen (zoals: X is woedend op\n                                          Y, terwijl X het al lang heeft bijgelegd met Y).\n\nHouders van websites of forums zijn onder de Wbp ook verantwoordelijk voor onjuiste of onnodige vermeldingen van persoonsgegevens\n                                          door de bezoekers van hun publicatie. De verantwoordelijke moet daarom actief modereren\n                                          om aperte onrechtmatigheden te voorkomen, zeker als het gaat om bijzondere gegevens,\n                                          zoals strafrechtelijke of gezondheidsgegevens (zie hoofdstuk I paragraaf 8). Om onrechtmatigheid van de publicatie te voorkomen, dienen verantwoordelijken ervoor\n                                          te zorgen dat bijdragen alleen gepubliceerd kunnen worden op tijdstippen dat er moderatie\n                                          aanwezig is.\n\nOp sommige discussieforums worden aparte discussieonderwerpen (\u2018threads\u2019 of \u2018topics\u2019)\n                                             geopend over meldingen die bij nader inzien onjuist zijn gebleken, bijvoorbeeld bij\n                                             beschuldigingen van spam, oplichterij of andere strafbare feiten. De oorspronkelijke\n                                             mededelingen met onjuiste persoonsgegevens blijven dan via internet beschikbaar. Het\n                                             kunnen toevoegen van een andere zienswijze (in plaats van het verwijderen of corrigeren\n                                             van persoonsgegevens) is een praktijk die in sommige gevallen van toepassing is bij\n                                             archieven die onder de Archiefwet vallen. Het doeleinde van behoud van (een deel van) het Nederlandse culturele erfgoed\n                                             maakt het mogelijk om archiefbescheiden met zelfs aantoonbaar onjuiste gegevens voor\n                                             onbepaalde tijd te bewaren in archiefbewaarplaatsen. Artikel 36 vierde lid Wbp maakt een vergelijkbare werkwijze mogelijk voor gegevensdragers waarin geen wijzigingen\n                                             kunnen worden aangebracht, zoals CD-roms of microfiches.80 Voor (niet-journalistieke) publicaties op internet gelden deze uitzonderingen echter\n                                             niet. De Wbp biedt geen ruimte aan verantwoordelijken voor publicaties op internet om te volstaan\n                                             met het bijhouden van een apart lijstje van gegevens die kennelijk incorrect zijn.\n                                             Als de genoemde persoonsgegevens in een bijdrage feitelijk onjuist of bovenmatig zijn\n                                             aan het gestelde doel, is de publicatie onrechtmatig en moet de bijdrage worden verwijderd.\n\nBeschuldiging van oplichterij\n\nIn een discussieforum over oplichterij wordt mevrouw X beschuldigd door meneer Y van\n                                                het toesturen van een baksteen in plaats van de beloofde digitale camera. Mevrouw\n                                                X wordt met naam en toenaam beschreven, inclusief haar vermeende adres, bankrekeningnummer,\n                                                IP-adres en verwijzingen naar andere beschuldigingen. Mevrouw X blijkt echter verwisseld\n                                                te zijn met een andere persoon met dezelfde achternaam en voorletter. Ze wil dat alle\n                                                postings over haar onmiddellijk verwijderd worden van het forum. Is meneer Y dan verantwoordelijk\n                                                voor die uitlating en moet mevrouw X zich dus tot meneer Y wenden voor correctie of\n                                                verwijdering? Nee, in termen van de Wbp is de houder van het forum verantwoordelijk\n                                                voor de persoonsgegevens op het forum. Mevrouw X kan zich in dit geval tot de forumbeheerder\n                                                wenden om haar persoonsgegevens gecorrigeerd of verwijderd te krijgen. De beheerder\n                                                van het forum kan een dergelijk verzoek alleen weigeren als hij kan aantonen dat met\n                                                de publicatie een belang wordt gediend dat groter is dan het recht op bescherming\n                                                van de persoonlijke levenssfeer van mevrouw X, bijvoorbeeld omdat hij kan aantonen\n                                                dat er g\u00e9\u00e9n sprake is van persoonsverwisseling. De forumbeheerder mag het verzoek\n                                                niet weigeren met een verwijzing naar een bepaling in de algemene voorwaarden dat\n                                                bijdragen nooit verwijderd worden. Een dergelijke algemene bepaling is in strijd met\n                                                de Wbp, omdat er geen individuele belangenafweging aan ten grondslag ligt. De beheerder\n                                                mag evenmin volstaan met het toevoegen van het weerwoord van mevrouw X aan de lopende\n                                                discussie.\n\nBetrokkenen, de natuurlijke personen over wie persoonsgegevens worden gepubliceerd,\n                                          kunnen ingrijpend benadeeld worden door de onjuiste, onvolledige of onnodige publicatie\n                                          van persoonsgegevens. Op grond van een enkel gegeven kunnen gemakkelijk foute conclusies\n                                          worden getrokken. Oppervlakkige beeldvorming kan mensen schade berokkenen in hun maatschappelijk\n                                          en persoonlijk functioneren. Bovendien kan de publicatie van persoonsgegevens op internet\n                                          ertoe bijdragen dat betrokkenen slachtoffer worden van criminele activiteiten, zoals\n                                          oplichting en identiteitsfraude. Verantwoordelijken hebben de plicht om te voldoen\n                                          aan verzoeken van betrokkenen tot inzage en aan verzoeken tot verwijdering, verbetering,\n                                          aanvulling of afscherming van persoonsgegevens als die feitelijk onjuist zijn, voor\n                                          het doeleinde onvolledig of niet ter zake dienend, dan wel anderszins in strijd met\n                                          een wettelijk voorschrift worden verwerkt. 81\n\nBij publicaties op internet geldt dat de meeste verwerkingen openbaar en kosteloos\n                                          toegankelijk zijn. De betrokkene hoeft zich daarom meestal niet eerst met een formeel\n                                          inzageverzoek tot de verantwoordelijke te wenden alvorens een gericht verwijderings-\n                                          of verbeteringsverzoek te kunnen sturen. Het inzagerecht is vooral van belang bij\n                                          publicaties waarbij de toegang is afgeschermd. Een betrokkene kan in een dergelijk\n                                          geval gebruik maken van het inzagerecht om erachter te komen of en zo ja welke gegevens\n                                          er over hem in een afgeschermde publicatie zijn opgenomen.\n\nOp grond van de informatieplicht uit de artikelen 33 en 34 Wbp dienen verantwoordelijken de betrokkenen voorafgaand aan de publicatie mee te delen\n                                          welke soorten persoonsgegevens er over hen op welke wijze worden gepubliceerd en met\n                                          welk doel. Het recht op inzage is onder meer van belang voor verantwoordelijken die\n                                          zwarte lijsten hanteren. Veel populaire publicaties met reactiemogelijkheden of discussiefora\n                                          bevatten gebruiksregels over toegestaan gedrag. Wie de regels herhaaldelijk of op\n                                          ernstige wijze overtreedt, kan op een zwarte lijst komen van geblokkeerde IP-adressen\n                                          en/of gebruikersnamen. De betrokkene heeft dan geen inzicht meer in de gegevens die\n                                          van of over hem of haar worden gepubliceerd.\n\nDe betrokkene heeft het recht zich \u2018vrijelijk\u2019 (dus zonder nadere motivering) en\n                                          \u2018met redelijke tussenpozen\u2019 tot de verantwoordelijke te wenden met een inzageverzoek.82 Het verzoek om kennisneming mag echter niet ongericht zijn.83 De verantwoordelijke moet binnen vier weken schriftelijk reageren. Dat mag ook elektronisch.84 Het CBP oordeelde in 200385 dat een ieder zonder voorbehoud het recht heeft kennis te nemen van de verwerking\n                                          van zijn persoonsgegevens. Een bericht op grond van art. 35 Wbp moet een volledig en begrijpelijk overzicht zijn van de gegevens die over een betrokkene\n                                          worden verwerkt. Het gaat daarbij niet om een beschrijving of samenvatting van de\n                                          gegevens, maar om een volledige weergave. Als de gegevens onvolledig zijn, is de betrokkene\n                                          immers onvoldoende in staat zijn rechten op grond van de Wbp te effectueren.86 De verantwoordelijke mag bij zeer algemene verzoeken om inzage wel om precisering\n                                          vragen, om een onevenredige administratieve inspanning te vermijden. De verantwoordelijke\n                                          moet bovendien zorgen voor een \u2018deugdelijke vaststelling van de identiteit van de\n                                          verzoeker\u2019 (artikel 37 Wbp), bijvoorbeeld door een kopie te vragen van een identiteitsbewijs, om te voorkomen\n                                          dat persoonsgegevens in verkeerde handen belanden. De verantwoordelijke mag voor een\n                                          inzageverzoek maximaal 0,23 eurocent per pagina vragen, met een maximum van 4,50 euro.87 Deze vergoeding moet worden terugbetaald als de verantwoordelijke na de inzage een\n                                          verbeterings-, verwijderings, aanvullings- of afschermingsverzoek moet honoreren.\n\nBetrokkenen hebben een breed recht op correctie. Ze mogen verantwoordelijken op grond\n                                          van artikel 36 Wbp verzoeken om verbetering, aanvulling, verwijdering of afscherming van gegevens indien\n                                          ze feitelijk onjuist zijn of voor het doeleinde onvolledig of niet ter zake dienend,\n                                          dan wel anderszins in strijd met een wettelijk voorschrift worden gepubliceerd.\n\nVerantwoordelijken moeten een eventuele weigering tot het corrigeren van gegevens\n                                          met redenen omkleden.\n\nBij het omgaan met correctieverzoeken maakt het verschil op welke rechtvaardigingsgrond\n                                          de publicatie is gebaseerd. De betrokkene die toestemming heeft gegeven voor de publicatie\n                                          (artikel 8 onder a Wbp) kan deze toestemming altijd intrekken (Zie hoofdstuk II, paragraaf 4.1.1). Sites moeten in een dergelijk geval altijd gehoor geven aan een verzoek tot verwijdering\n                                          en bij de technische inrichting van hun systemen op voorhand rekening houden met deze\n                                          mogelijkheid.\n\nAls de publicatie is gebaseerd op een van de andere rechtvaardigingsgronden uit artikel 8 Wbp, kan een betrokkene om verwijdering of correctie vragen indien de persoonsgegevens\n                                          feitelijk onjuist zijn, voor het doeleinde onvolledig of niet ter zake dienend, dan\n                                          wel anderszins in strijd met een wettelijk voorschrift worden gepubliceerd. Als het\n                                          verzoek terecht is, dient de verantwoordelijke hieraan gehoor te geven.\n\nUser generated content\n\nBijna iedereen met een mobiele telefoon kan tegenwoordig foto\u2019s en filmpjes maken.\n                                             Het maken van dit soort filmpjes van elkaar en het plaatsen hiervan op internet is\n                                             bijzonder populair. Profielsites en speciale user generated content diensten maken\n                                             het daarna mogelijk deze informatie voor iedereen toegankelijk te maken, zonder dat\n                                             degene die de informatie heeft geplaatst makkelijk te achterhalen is.\n\nDe aanbieders van diensten met user generated content zijn in beginsel aan te merken\n                                             als medeverantwoordelijke voor de verwerking van persoonsgegevens op hun dienst op\n                                             het Web. Het zonder rechtvaardigingsgrond openbaar maken van beeldmateriaal van natuurlijke\n                                             personen dat raakt aan de persoonlijke levenssfeer kan bijzonder ingrijpend zijn voor\n                                             de betrokkene(n) en is in elk geval in strijd met de Wbp. Als iemand de informatie\n                                             verwijderd wil hebben, dient in eerste instantie degene aangesproken te worden die\n                                             de informatie heeft geplaatst. Indien dit onmogelijk is of geen resultaat oplevert\n                                             kan de persoon de aanbieder van de dienst er op wijzen dat het betreffende materiaal\n                                             onrechtmatig is. De informatie dient verwijderd te worden indien sprake is van een\n                                             op grond van de Wbp evident onrechtmatige publicatie .(Zie ook de uitleg in paragraaf\n                                             I.2.)\n\nNaast het recht op correctie en verwijdering kent de Wbp betrokkenen ook een recht van verzet toe. Dit recht is alleen van toepassing als\n                                          de publicatie gerechtvaardigd wordt door een rechtvaardigingsgrond onder artikel 8 onder e of f Wbp (de goede vervulling van een publiekrechtelijke taak of de uitkomst van een individuele\n                                          belangenafweging). Bovenop de bepalingen uit artikel 36 Wbp mag een betrokkene in die gevallen conform artikel 40 Wbp verzet aantekenen tegen de publicatie, met een beroep op bijzondere persoonlijke\n                                          omstandigheden. Dit \u2018recht van verzet\u2019 heeft betrekking op publicaties die op zich\n                                          rechtmatig zijn, maar die, door de bijzondere omstandigheden van de betrokkene, onrechtmatig\n                                          kunnen zijn jegens de betrokkene. Als een betrokkene verzet aantekent, dient de verantwoordelijke\n                                          een nieuwe, specifieke afweging te maken tussen zijn eigen (gerechtvaardigde) belangen\n                                          en de belangen van de betrokkene. Indien de betrokkene het niet eens is met het resultaat\n                                          van die hernieuwde afweging, kan hij de rechter om een beslissing vragen.\n\nModelverklaring inzage- en correctierecht88\n\nEen verantwoordelijke voor een besloten website met gegevens over wanbetaling in een\n                                             bepaalde sector brengt betrokkenen via een privacyverklaring op de hoogte van hun\n                                             rechten op inzage en correctie. Voorop staat dat de betrokkenen moeten zijn ge\u00efnformeerd\n                                             over het doeleinde van de zwarte lijst, de identiteit van de verantwoordelijke en\n                                             de duur en consequenties van plaatsing v\u00f3\u00f3rdat hun gegevens op de website worden geplaatst,\n                                             conform de informatieplicht uit artikel 33 en 34 Wbp. De publicatie heeft een rechtvaardigingsgrond\n                                             in artikel 8 onder f Wbp, om het gerechtvaardigde belang te dienen van een specifieke\n                                             categorie bedrijven om enige informatie te hebben over het betalingsgedrag van een\n                                             potenti\u00eble klant, alvorens zij overgaan tot het verstrekken van krediet. Betrokkenen\n                                             kunnen kiezen of zij onjuiste gegevens willen laten verbeteren met een beroep op artikel\n                                             36 Wbp, of gebruik willen maken van het recht van verzet van artikel 40 Wbp. Dat laatste\n                                             kan het geval zijn als de betrokkene bijzondere persoonlijke omstandigheden heeft\n                                             waardoor hij onevenredig wordt geschaad door opname in de zwarte lijst, ook als de\n                                             gegevens op zich juist zijn.\n\nEen verklaring over het recht op inzage en correctie kan er als volgt uitzien:\n\n\u2022 Inzage in besloten deel website\n\nIndien u uw gegevens wilt inzien in het besloten deel van de website kunt u daartoe\n                                             een verzoek indienen via privacy@< naamwebsite>.nl. Binnen 7 werkdagen ontvangt u\n                                             kosteloos bericht of er (nog) gegevens over u verwerkt worden, met welk doeleinde\n                                             en over welke periode. U kunt ook een gedetailleerde opgave vragen van alle gegevens\n                                             die op u betrekking hebben. Hieraan wordt binnen vier weken gehoor gegeven. De kosten\n                                             hiervan bedragen maximaal 4,50 euro, afhankelijk van de hoeveelheid gegevens.\n\n\u2022 Recht op verzet\n\nAls u van mening bent dat de verwerking van uw persoonsgegevens in strijd is met de\n                                             bescherming van uw persoonlijke levenssfeer in verband met uw bijzondere persoonlijke\n                                             omstandigheden, kunt u dit aangeven via privacy@<naamwebsite>.nl. Als uw verzet gerechtvaardigd\n                                             is, worden uw gegevens verwijderd. Aan dit verzoek zijn geen kosten verbonden.89\n\nBij wet ingestelde openbare registers vormen een belangrijke uitzondering op de regel\n                                          dat betrokkenen zeggenschap hebben over de publicatie van hun persoonsgegevens. De\n                                          ratio achter openbare registers zoals het Handelsregister of het Kadaster is dat ze\n                                          bij wet zijn ingesteld om een bepaald publiek belang te dienen. Betrokkenen hebben\n                                          bij openbare registers geen mogelijkheid om met een beroep op de Wbp verzet aan te tekenen of verwijdering te vragen, ook niet als de registers op internet\n                                          worden gepubliceerd. De rechten van betrokkenen zijn in het geval van openbare registers\n                                          afhankelijk van de rechten die de specifieke wet hen toekent. 90 Juist vanwege het ontbreken van een algemene mogelijkheid om bovenmatige gegevens\n                                          te laten verwijderen is het van groot belang dat de overheid bij het ontsluiten van\n                                          openbare registers op internet nadrukkelijk onderscheid blijft maken tussen de gegevens\n                                          die noodzakelijk zijn om een dienst van de overheid te krijgen (zoals een vergunning)\n                                          en gegevens die op internet worden gepubliceerd. In het advies van 15 mei 2007 over\n                                          de Wet algemene bepalingen omgevingsrecht (Wabo)91 schreef het CBP:\n\nBezinning is nodig op de vraag waarom openbaarheid zonder meer openbaar op internet\n                                             zou inhouden. Persoonsgegevens die via internet worden gepubliceerd, kunnen door een\n                                             onbekend aantal internetgebruikers uit de hele wereld voor eigen doeleinden worden\n                                             verzameld en verwerkt, ook jaren nadat de oorspronkelijke publicatie van internet\n                                             is verdwenen. Het voordeel van digitaliseren mag niet omslaan in het nadeel dat persoonsgegevens\n                                             vogelvrij zijn op internet.\n\nDe Wbp is slechts gedeeltelijk van toepassing op de verwerking van persoonsgegevens voor\n                                          uitsluitend journalistieke, artistieke of literaire doeleinden. In deze richtsnoeren\n                                          wordt alleen de journalistieke exceptie uitgewerkt, aangezien een beroep op artistieke\n                                          of literaire doeleinden zelden voorkomt.\n\nNiet van toepassing zijn:\n\n\u2022 de informatieplicht (artikel 33 en 34 Wbp);\n\n\u2022 het verbod op het verwerken van bijzondere persoonsgegevens (artikelen 17 tot en met 23 Wbp);\n\n\u2022 de meldingsplicht (artikelen 27 tot en met 30 Wbp);\n\n\u2022 de rechten van betrokkenen (artikelen 35 tot en met 42 Wbp);\n\n\u2022 het toezicht door het CBP (artikelen 51 tot en met 75 Wbp);\n\n\u2022 de beperkingen ten aanzien van doorgifte (artikelen 76 tot en met 78 Wbp).\n\nWel van toepassing zijn:\n\n\u2022 de definities en reikwijdte van de Wbp, inclusief de bepaling over minderjarigheid (artikelen 1 t/m 5 Wbp);\n\n\u2022 de plicht om gegevens op behoorlijke en zorgvuldige wijze te verwerken (artikel 6 Wbp);\n\n\u2022 de plicht om persoonsgegevens voor welbepaalde en gerechtvaardigde doeleinden te\n                                          verzamelen (artikel 7 Wbp);\n\n\u2022 de plicht tot het hebben van een grond om de gegevensverwerking te rechtvaardigen\n                                          (artikel 8 Wbp);\n\n\u2022 het verbod op onverenigbaar gebruik (artikel 9 Wbp);\n\n\u2022 het verbod om gegevens langer te bewaren in een identificeerbare vorm dan noodzakelijk\n                                          (artikel 10 Wbp);\n\n\u2022 het verbod op het verwerken van bovenmatige, niet ter zake dienende persoonsgegevens\n                                          (artikel 11 Wbp); \u2022 de plicht om passende beveiligingsmaatregelen te treffen (artikel 13 Wbp);\n\n\u2022 de bepalingen over de relatie tussen verantwoordelijke en bewerker (artikel 14 Wbp), over toetsing door het CBP van gedragscodes (artikel 25 Wbp) en schadevergoeding (artikel 49 Wbp). Artikel 3 Wbp is gebaseerd op artikel 9 van de algemene Europese privacyrichtlijn. De richtlijn\n                                          stelt uitzonderingen voor de media verplicht, maar \u2018uitsluitend voor zover deze nodig\n                                          blijken\u2019. Dat betekent dat lidstaten uitsluitend in uitzonderingen moeten voorzien\n                                          voor zover ze nodig blijken om een balans te vinden tussen bescherming van de persoonlijke\n                                          levenssfeer en bescherming van de vrijheid van meningsuiting. Daarom zijn journalistieke\n                                          publicaties niet vrijgesteld van de algemene zorgvuldigheidsvereisten uit de Wbp, evenals de plicht om maatregelen te treffen om de beveiliging van de verwerking\n                                          te garanderen.\n\nWanneer valt een publicatie op internet onder de journalistieke exceptie en in welke\n                                          gevallen is daar geen sprake van? Vaststelling van de grens tussen journalistieke\n                                          en niet-journalistieke uitingen is van groot belang om te bepalen wanneer het CBP\n                                          handhavend kan optreden en wanneer andere fora bevoegd zijn, zoals de rechter of de\n                                          Raad voor de Journalistiek.\n\nDe publicatie van persoonsgegevens op internet valt onder de journalistieke exceptie\n                                          als zij een uiting is van algemeen maatschappelijk belang die in journalistieke hoedanigheid\n                                          wordt gedaan (dus niet perse als journalist). Of een uiting met recht en reden een\n                                          uitsluitend journalistiek doeleinde beweert te dienen, dient te worden beoordeeld\n                                          door de uiting in zijn context te bekijken en daarna tot een afweging van belangen\n                                          te komen. Bij die beoordeling hanteert het CBP de volgende criteria:\n\na. is de activiteit gericht op (objectieve) informatieverzameling en verstrekking?\n\nb. gaat het om een regelmatige bezigheid?\n\nc. gaat het erom iets van maatschappelijke strekking aan de orde te stellen?\n\nd. kent de publicatie een recht van repliek of rectificatie achteraf?\n\nAlleen als een publicatie aan alle vier criteria voldoet, is de journalistieke exceptie\n                                          in ieder geval van toepassing.\n\nIs de publicatie gericht op min of meer objectieve informatieverzameling en verstrekking?\n                                             Bij dit criterium telt niet alleen de publicatie zelf, maar ook de aard van de reacties\n                                             als het om een interactieve publicatie gaat. Om in aanmerking te komen voor de journalistieke\n                                             exceptie is van belang of er onderscheid wordt gemaakt tussen feiten, beweringen en\n                                             meningen, zoals de Raad voor de Journalistiek ook vaststelt in zijn Leidraad.92 Of een publicatie met reactiemogelijkheid of discussieforum zich kan beroepen op\n                                             de journalistieke exceptie, hangt mede af van de kwaliteit van de moderatie van reacties\n                                             van bezoekers. Kan iedere bezoeker van de website vrijuit bijdragen toevoegen die\n                                             evident schadelijk zijn voor derden, of vindt er controle plaats op de reacties?\n\nOf een publicist betaald wordt voor zijn publicatie, is niet wezenlijk voor het bepalen\n                                             van de reikwijdte van de journalistieke exceptie. Het is slechts aan weinigen gegeven\n                                             om geld te verdienen met een (zelfstandige) publicatie op internet, terwijl met de\n                                             publicatie wel een groot maatschappelijk belang gediend kan zijn. Beoordeeld wordt\n                                             of het een regelmatige activiteit betreft. Een weblog met een paar verouderde bijdragen\n                                             kan zich minder snel beroepen op de journalistieke exceptie dan een publicatie waarop\n                                             regelmatig nieuwe bijdrages verschijnen.\n\nVrij debat over maatschappelijke onderwerpen is van algemeen belang. Uitingen van\n                                             activisten of belangenorganisaties waarin persoonsgegevens worden verwerkt, kunnen\n                                             van grote waarde zijn om ernstige misdrijven en misdragingen aan het licht te brengen,\n                                             om de openbare veiligheid en gezondheid te beschermen en misleiding te voorkomen van\n                                             het publiek door handelingen en uitspraken van personen of organisaties. Daaruit vloeit\n                                             evenwel niet voort dat elke dergelijke publicatie van persoonsgegevens op internet\n                                             een louter journalistiek doeleinde dient.\n\nOf het bij een publicatie van persoonsgegevens gaat om een verwerking voor uitsluitend\n                                             journalistieke doeleinden, hangt mede af van de overige drie beoordelingscriteria\n                                             en de hoedanigheid van personen over wie persoonsgegevens worden gepubliceerd. Als\n                                             een publicatie bijvoorbeeld misdragingen bekendmaakt van een volksvertegenwoordiger\n                                             of directeur van een bekend of groot bedrijf en de publicatie gebaseerd is op voldoende\n                                             documentatie om aannemelijk te zijn, dient de publicatie allicht een algemeen maatschappelijk\n                                             belang. Als een publicatie daarentegen gedetailleerd het priv\u00e9leven blootlegt van\n                                             een onbekende persoon, wiens gedragingen niet van invloed zijn op het functioneren\n                                             van de maatschappij, valt een algemeen belang niet snel te construeren.\n\nOm in aanmerking te komen voor de journalistieke exceptie dient er tenslotte een recht\n                                             van repliek te zijn.93 Dat recht houdt in dat betrokkenen een recht van antwoord of rectificatie achteraf\n                                             hebben van onjuiste informatie, juist omdat de rechten op inzage of correctie niet\n                                             van toepassing zijn op uitingen met een uitsluitend journalistiek, artistiek of literair\n                                             doeleinde.\n\nVolgens de aanbeveling van de Raad van Europa heeft iedere betrokkene het recht om\n                                             (kosteloos) te reageren op onjuiste feiten over hem of haar in de media, voor zover\n                                             die feiten zijn of haar persoonlijke rechten aantasten.94 De reactie moet een vergelijkbaar prominente plaats krijgen in de publicatie als\n                                             de oorspronkelijke uiting. De aanbeveling kent een aantal uitzonderingen op de verplichting\n                                             om de repliek te publiceren; als de repliek veel langer is dan nodig of inhoudelijk\n                                             niet beperkt tot verbetering van de betwiste feiten. Het recht is ook niet van toepassing\n                                             als de betrokkene geen geldig belang heeft bij de repliek of als de repliek in een\n                                             andere taal is gesteld dan de oorspronkelijke publicatie.\n\nBij de beoordeling of een publicatie onder de journalistieke exceptie valt, dient\n                                             zwaar mee te wegen of er een recht van repliek is, dan wel anderszins wordt voorzien\n                                             in een adequaat mechanisme om onjuiste, onvolledige of overbodige persoonsgegevens\n                                             achteraf te verbeteren of te verwijderen. Het recht van repliek is een laagdrempelige\n                                             invulling van de journalistieke rectificatienorm95, die recht doet aan het belang om de journalistieke vrijheid niet op voorhand te\n                                             beknotten door alle regels uit de Wbp van toepassing te verklaren.\n\nAls betrokkenen echter geen mogelijkheid hebben om achteraf, na publicatie op internet,\n                                             commentaar te leveren op persoonsgegevens over hen die evident onjuist zijn, kan niet\n                                             worden aangenomen dat de publicatie een uitsluitend journalistiek doeleinde dient.\n                                             In dat geval zijn dus alle verplichtingen uit de Wbp van toepassing. De verantwoordelijke voor een niet-journalistieke publicatie kan\n                                             niet volstaan met het toevoegen van een opmerking van een betrokkene dat gegevens\n                                             onjuist zijn; hij moet de betreffende persoonsgegevens verwijderen of verbeteren (Zie\n                                             hoofdstuk II, paragraaf 9.1).\n\nAls de publicatie onder de journalistieke exceptie valt, mag de publicatie ook op\n                                          internet worden gearchiveerd, inclusief bijzondere persoonsgegevens. De journalistieke\n                                          exceptie werkt \u2018door\u2019 in verdere verwerkingen die plaatsvinden bij bibliotheken en\n                                          archieven, mits de exploitatie een journalistiek, artistiek of literair doeleinde\n                                          dient.96 Als een archief met journalistieke publicaties voor andere doeleinden wordt ge\u00ebxploiteerd,\n                                          vervalt de exceptie.97 Bij publicatie op internet van journalistieke archieven met persoonsgegevens is het\n                                          van belang onderscheid te maken tussen het eerste journalistieke belang van openbaarmaking\n                                          en het tweede belang van het archiveringsdoeleinde. De verantwoordelijke dient af\n                                          te wegen voor welke doelgroep hij het archief openstelt en gedurende welke termijn.\n                                          Ongeacht de toepasselijkheid van de journalistieke exceptie blijven immers de vereisten\n                                          uit de Wbp van kracht om geen onjuiste of bovenmatige gegevens te publiceren en om behoorlijk\n                                          en zorgvuldig te werk te gaan.\n\nAls een publicatie onder de journalistieke exceptie van de Wbp valt, kan een klacht door de rechter en in sommige gevallen door de Raad voor de\n                                          Journalistiek worden beoordeeld. De rechter toetst of de publicatie voldoet aan de\n                                          algemene zorgvuldigheidsvereisten uit de Wbp en aan het Burgerlijk Wetboek. De algemene beginselen van zorgvuldigheid van de Wbp hangen nauw samen met de algemene\n                                          beginselen van maatschappelijke zorgvuldigheid, zoals vastgelegd in het leerstuk van\n                                          de onrechtmatige daad in het Burgerlijk Wetboek98 en jurisprudentie.99 De Raad voor de Journalistiek hanteert een eigen maatstaf voor de beoordeling of\n                                          iets een journalistieke publicatie is. Hij acht zich bevoegd om te oordelen over publicaties\n                                          van professionele journalisten, dat wil zeggen, mensen die hetzij in dienstverband\n                                          of als zelfstandige er hun hoofdberoep van maken mede te werken aan de redactionele\n                                          leiding of redactionele samenstelling van publiciteitsmedia. 100\n\nUit de opsomming van soorten media waarover de Raad voor de Journalistiek kan oordelen,\n                                          blijkt dat ook internetpublicaties eronder kunnen vallen, voor zover de inhoud daarvan bestaat uit nieuws, reportages, beschouwing of rubrieken\n                                             van informatieve aard.\n\nVerder neemt de Raad voor de Journalistiek klachten in behandeling over uitingen\n                                          van niet-journalisten onder de voorwaarden dat zij voor de publicatie worden betaald\n                                          en het om regelmatige medewerking gaat, zoals bijvoorbeeld denkbaar in het geval van\n                                          bijdragen van een medisch specialist aan een vakblad.\n\nHet doorgeven van persoonsgegevens naar landen buiten de EU is verboden, tenzij een\n                                          van de wettelijke uitzonderingen van toepassing is. Hoewel niet-afgeschermde internetpublicaties\n                                          in principe ook toegankelijk zijn in landen buiten de EU, wordt deze toegankelijkheid\n                                          niet als doorgifte beschouwd. Om de extra risico\u2019s van toegankelijkheid in landen\n                                          buiten de EU te ondervangen, hebben verantwoordelijken voor publicaties op internet\n                                          meer nog dan andere verantwoordelijken de plicht om behoorlijk en zorgvuldig te werk\n                                          te gaan en betrokkenen goed te informeren over de specifieke risico\u2019s van beschikbaarheid\n                                          van de gegevens buiten de EU.\n\nAlleen verantwoordelijken die expliciet de bedoeling hebben om gegevens door te voeren\n                                          naar een land buiten de EU, zoals het geval kan zijn bij een intranet met persoonsgegevens\n                                          van een multinational, dienen zich aan de voorschriften omtrent doorgifte te houden.\n\nDe norm is dat een verantwoordelijke alleen persoonsgegevens mag doorgeven naar landen\n                                          buiten de EU als de ontvanger voorschriften naleeft die een passend beschermingsniveau\n                                          bieden. Of een land aan dat niveau voldoet, wordt bepaald door de Europese Commissie\n                                          of de Europese Raad. Voorbeelden van landen met een passend beschermingsniveau zijn\n                                          Argentini\u00eb, Canada en Zwitserland. Met de Verenigde Staten zijn specifieke afspraken\n                                          gemaakt over de doorgifte van informatie van vliegtuigpassagiers en over de doorgifte\n                                          van persoonsgegevens aan bedrijven die zich hebben verplicht om de Safe Harbour regels\n                                          toe te passen.101\n\nEr zijn een paar uitzonderingen op de algemene verbodsregel. Doorgifte is bijvoorbeeld\n                                          toegestaan als de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven\n                                          of als de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst. De minister\n                                          van Justitie kan ook \u2013 onder bepaling van nadere voorschriften \u2013 een specifieke vergunning\n                                          verlenen voor een doorgifte of categorie doorgiften naar een derde land dat geen passend\n                                          beschermingsniveau biedt.\n\nDe Wbp en de Richtlijn kennen geen aparte uitzondering voor de doorgifte van persoonsgegevens\n                                          via openbaar toegankelijke internetpagina\u2019s. Naar de letter van de wet kunnen de meeste\n                                          verantwoordelijken zich daarom niet op \u00e9\u00e9n van de uitzonderingsgronden beroepen en\n                                          is de doorgifte van persoonsgegevens naar inwoners van de meeste landen buiten de\n                                          EU onrechtmatig. Dit zou in de praktijk tot onwerkbare situaties leiden.\n\nHet CBP volgt daarom de lijn van het Lindqvist arrest van het Europese Hof van Justitie102 (HvJEG) die ertoe leidt dat de bepalingen over de doorgifte naar landen zonder passend\n                                          beschermingsniveau niet van toepassing zijn, als het tenminste niet expliciet de bedoeling\n                                          is van de verantwoordelijke om de gegevens uit te voeren naar dergelijke landen.\n\nEind 1998 maakte de Zweedse mevrouw Lindqvist een aantal internetpagina\u2019s met informatie\n                                          over haarzelf en collega\u2019s in haar kerkgemeente, waaronder soms hun volledige namen,\n                                          telefoonnummers, werkzaamheden en liefhebberijen. Verder meldde zij dat een van haar\n                                          collega\u2019s haar voet had bezeerd en met gedeeltelijk ziekteverlof was.\n\nLindqvist had haar collega\u2019s niet van het bestaan van de pagina\u2019s op de hoogte gesteld\n                                          noch hun toestemming gekregen en had de verwerking evenmin gemeld bij de Zweedse toezichthouder.\n                                          Toen zij vernam dat sommige collega\u2019s de bedoelde pagina\u2019s niet op prijs stelden,\n                                          verwijderde zij de gegevens over hen. Toch stelde het openbaar ministerie een strafvervolging\n                                          in, op grond van het gebruik van bijzondere persoonsgegevens zonder rechtvaardigingsgrond,\n                                          het ontbreken van een melding en de doorgifte naar derde landen.\n\nOp de vraag naar de betekenis van de normen voor doorgifte formuleerde het HvJEG een\n                                          praktisch antwoord.\n\nHet HvJEG stelde dat de ontwikkeling van internet een nieuwe interpretatie van de\n                                          normen rechtvaardigt, omdat het niet de bedoeling is van verantwoordelijken van websites\n                                          om gegevens door te geven naar landen buiten de EU.\n\nGezien de ontwikkeling van internet ten tijde van de opstelling van richtlijn 95/46\n                                             en het ontbreken van criteria voor het gebruik van internet in hoofdstuk IV, kan niet\n                                             worden aangenomen dat het de bedoeling was van de gemeenschapswetgever, vooruitlopend\n                                             op latere ontwikkelingen, het begrip doorgifte van gegevens naar een derde land ook\n                                             te laten gelden voor de handeling van een persoon in de situatie van Lindqvist die\n                                             gegevens op een internetpagina plaatst, ook wanneer die gegevens daarmee toegankelijk\n                                             worden gemaakt voor personen uit derde landen die de technische middelen hebben om\n                                             zich toegang daartoe te verschaffen.103\n\nHet Hof overwoog daarbij dat publicatie op internet betekent dat de gegevens beschikbaar\n                                          zijn in alle derde landen, terwijl de regeling voor doorgifte bedoeld is als een bijzondere\n                                          regeling voor doorgifte naar een specifiek land. Omdat handelingen \u2018zoals die van\n                                          Lindqvist\u2019 geen doorgifte vormen, behoeft niet te worden onderzocht of iemand uit\n                                          een derde land toegang tot de betrokken internetpagina heeft gehad dan wel of de server\n                                          van die provider zich fysiek in een derde land bevindt.104\n\nHet Lindqvist-arrest is nadrukkelijk beperkt tot de voorgelegde zaak, waarbij de specifieke\n                                          omstandigheden in aanmerking worden genomen. Het EHvJ spreekt van \u2018handeling van een\n                                          persoon in de situatie van Lindqvist\u2019 en \u2018handelingen als die van Lindqvist\u2019.\n\nAls het wel de bedoeling is om persoonsgegevens ter beschikking te stellen aan een\n                                          bepaalde groep personen in een derde land, zijn de normen voor doorgifte wel van toepassing.\n                                          Dat is bijvoorbeeld het geval bij een werkgever met meerdere vestigingen over de hele\n                                          wereld, die via een intranet persoonsgegevens ter beschikking stelt aan werknemers\n                                          in alle vestigingen.\n\nOok de Franse en de Britse toezichthouder105 op de bescherming van de persoonlijke levenssfeer hebben de praktische lijn van het\n                                          Lindqvistarrest gevolgd, maar benadrukken dat de extra risico\u2019s van brede openbaarmaking\n                                          op internet het extra belangrijk maken dat verantwoordelijken alle andere waarborgen\n                                          uit de privacywetgeving respecteren. De Britse information commissioner benadrukt\n                                          de plicht om behoorlijk en zorgvuldig te werk te gaan. De Franse CNIL benadrukt het\n                                          belang van de informatieplicht, dat verantwoordelijken voor publicaties waarschuwen\n                                          dat de kans bestaat dat gegevens opgevraagd kunnen worden in landen buiten de EU zonder\n                                          passend beschermingsniveau.\n\nIn Nederland geldt een vergelijkbare (extra) zorgvuldigheidsverplichting als het\n                                          gaat om doorgifte naar derde landen. Persoonsgegevens moeten ingevolge artikel 6 Wbp altijd in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze worden\n                                          verwerkt.106 De formulering sluit aan bij het leerstuk van de onrechtmatige daad in het Burgerlijk Wetboek.107 Het gaat om maatschappelijke zorgvuldigheidseisen om een onrechtmatige daad te voorkomen.\n                                          Een verantwoordelijke voor een publicatie op internet die behoorlijk en zorgvuldig\n                                          te werk wil gaan, moet uitdrukkelijk rekening houden met de risico\u2019s van verdere verwerking\n                                          in derde landen en betrokkenen adequaat informeren dat er een kans bestaat dat gegevens\n                                          opgevraagd kunnen worden in landen buiten de EU zonder passend beschermingsniveau.\n                                          Dit geldt in het bijzonder als het gaat om risicovolle gegevens over bijvoorbeeld\n                                          godsdienst of seksuele voorkeur.\n\nVerantwoordelijken die in strijd handelen met het bepaalde in de Wbp kunnen op verschillende manieren in rechte worden aangesproken, zowel civielrechtelijk,\n                                          bestuursrechtelijk als strafrechtelijk. Betrokkenen hebben een aantal mogelijkheden\n                                          om zelf hun recht te halen, zowel op grond van de Wbp, als op grond van het algemene\n                                          bestuursrecht en op grond van het civiel recht. Daarnaast heeft het CBP als toezichthouder\n                                          een aantal bestuursrechtelijke mogelijkheden om te handhaven op het bepaalde in de\n                                          Wbp.\n\nEen betrokkene die meent dat zijn persoonsgegevens onrechtmatig worden gepubliceerd\n                                          op internet, kan actie ondernemen door het recht uit te oefenen op inzage, correctie,\n                                          verwijdering en verzet (zie hoofdstuk 3 van deze richtsnoeren). Het CBP publiceert\n                                          gelijktijdig met deze richtsnoeren op www.mijnprivacy.nl concrete hulpmiddelen voor\n                                          betrokkenen, in de vorm van voorbeeldbrieven aan verantwoordelijken en gerichte vragen\n                                          en antwoorden over verschillende soorten internetpublicaties.\n\nAls de verantwoordelijke niet reageert of weigert om aan een verzoek te voldoen,\n                                          kan een betrokkene naar de rechter gaan met een beroep op de rechtsbescherming die\n                                          de Wbp biedt. Een betrokkene kan daarnaast op basis van het gewone recht een vordering indienen,\n                                          bijvoorbeeld op grond van een onrechtmatige daad, of aangifte doen van bijvoorbeeld\n                                          smaad.\n\nAls een verantwoordelijke zich niet houdt aan het bepaalde in de Wbp, kan een betrokkene de rechter vragen om hem een schadevergoeding toe te kennen (artikel 49 Wbp) of om een verbod op te leggen op het verder verwerken van bepaalde persoonsgegevens\n                                             (artikel 50 Wbp).\n\nDe Wbp biedt betrokkenen daarnaast in een aantal specifieke gevallen (onder andere bij weigering\n                                             van inzage in persoonsgegevens en bij weigering van een verzoek tot verbetering, aanvulling\n                                             of verwijdering van gegevens) de laagdrempelige mogelijkheid een verzoekschrift in\n                                             te dienen bij de rechtbank, mits de verantwoordelijke een bedrijf of een burger is.\n                                             Als de verantwoordelijke echter een bestuursorgaan is, zijn de bezwaar- en beroepsregels\n                                             uit de Algemene wet bestuursrecht van toepassing.\n\nPublicaties die in strijd zijn met een of meer bepalingen uit de Wbp zijn mogelijk\n                                             ook onrechtmatig op andere gronden. Een betrokkene heeft in dergelijke gevallen, naast\n                                             de mogelijkheden van de Wbp, nog een aantal andere mogelijkheden om zijn recht te halen. Een betrokkene kan een\n                                             verantwoordelijke bijvoorbeeld voor de rechter dagen op grond van een onrechtmatige\n                                             daad (artikel 6:162 Burgerlijk Wetboek). Via een dergelijke civiele procedure kan een betrokkene staking van de publicatie\n                                             vorderen, evenals verwijdering van gegevens, vergoeding van materi\u00eble en immateri\u00eble\n                                             schade en vergoeding van proceskosten. De betrokkene kan de rechter vragen om aan\n                                             de veroordeling een dwangsom te verbinden. Ook kan sprake zijn van overtredingen van\n                                             andere specifieke wetgeving, zoals auteursrecht, portretrecht en databankenrecht.\n                                             Een ander risico voor een verantwoordelijke die onzorgvuldig omgaat met persoonsgegevens\n                                             is dat een betrokkene aangifte doet wegens smaad, laster of andere strafbare uitingen\n                                             zoals racistische uitingen, opruiing en uitingen die in strijd zijn met de openbare\n                                             orde of de goede zeden.\n\nHet CBP heeft de wettelijke taak om toe te zien op de naleving van de Wbp (artikel 51 Wbp). Daartoe heeft het CBP een aantal middelen, vari\u00ebrend van bemiddeling tot het opleggen\n                                          van een last onder dwangsom.\n\nHet CBP kan bemiddelen bij geschillen over onder andere het verkrijgen van inzage\n                                             in persoonsgegevens en het verbeteren, aanvullen, verwijderen of afschermen van persoonsgegevens\n                                             (artikel 47 Wbp). Ook kan het CBP op grond van een klacht van een belanghebbende of op eigen initiatief\n                                             een onderzoek instellen naar de naleving van de Wbp (artikel 60 Wbp).\n\nDaarbij kan het CBP zijn toezichthoudende bevoegdheden inzetten108, waarbij een verantwoordelijke verplicht is alle gevraagde medewerking te verlenen.\n                                             Het CBP kan inlichtingen vorderen, inzage vorderen in zakelijke gegevens, zaken en\n                                             middelen onderzoeken (waaronder computerapparatuur) en mag ruimtes betreden, waaronder\n                                             ook woningen109.\n\nHet aantal aangedragen zaken en de complexiteit daarvan neemt echter voortdurend\n                                             toe, terwijl de middelen die het CBP ter beschikking staan begrensd zijn. Het CBP\n                                             kan derhalve niet alle zaken die worden aangebracht in behandeling nemen en moet keuzes\n                                             maken. Bij klachten gebeurt dit aan de hand van criteria zoals de ernst van de overtreding,\n                                             de mate van concreetheid van de aanwijzingen, een inschatting van de juridische haalbaarheid\n                                             en de door het CBP te investeren capaciteit en menskracht, maar vooral ook de verwachting\n                                             over de potenti\u00eble preventieve werking die van handhaving in een specifiek geval zal\n                                             uitgaan.110\n\nIndien de Wbp niet wordt nageleefd kan het CBP bestuursdwang toepassen. Onder bestuursdwang wordt\n                                             verstaan het met feitelijk handelen optreden door een bestuursorgaan tegen een illegale\n                                             situatie, doorgaans op kosten van de overtreder. Ook kan het CBP een last onder dwangsom\n                                             opleggen. Een last onder dwangsom kan bijvoorbeeld inhouden dat een verantwoordelijke\n                                             een gegevensverwerking moet aanpassen of staken op straffe van een dwangsom van een\n                                             bepaald bedrag per dag. Als de verantwoordelijke niet voldoet aan de last, kan het\n                                             te betalen geldbedrag fors oplopen, tot een vooraf vastgesteld maximumbedrag.\n\nEen verantwoordelijke riskeert ten slotte ook nog strafrechtelijke sancties, onder\n                                             meer voor overtreding van de meldingsplicht (artikel 27 en 28 jo. 75 Wbp).\n\nHet CBP werkt bij onderzoek naar overtredingen van de Wbp op internet samen met collega-toezichthouders uit andere landen binnen en buiten\n                                             de EU. De toezichthouders binnen de Europese Unie zijn wettelijk verplicht om elkaar\n                                             desgevraagd bijstand en medewerking te verlenen, voor zover dat noodzakelijk is voor\n                                             de uitvoering van onderzoeken naar publicaties op internet die door hen worden behandeld.\n\nManagementsamenvatting\n\nOp internet worden op heel veel manieren persoonsgegevens gepubliceerd, door overheidsinstellingen,\n                                       door bedrijven, door journalisten of door particulieren. Publicaties op internet zijn\n                                       over het algemeen wereldwijd, 24 uur per dag, toegankelijk voor een potentieel zeer\n                                       omvangrijk en divers publiek. Het voordeel van deze grote toegankelijkheid heeft als\n                                       keerzijde dat mensen van wie persoonsgegevens op internet staan, de betrokkenen, grote\n                                       nadelen kunnen ondervinden van onjuiste, onvolledige of onnodige publicatie van hun\n                                       persoonsgegevens.\n\nOp internet moeten persoonsgegevens op dezelfde zorgvuldige wijze worden verwerkt\n                                       als in de offlinewereld. Deze publicatie van het College bescherming persoonsgegevens\n                                       verschaft duidelijkheid over het toepassen van de Wet bescherming persoonsgegevens (Wbp) in een internetomgeving.\n\nREGELS\n\nIn het kort dienen degenen die persoonsgegevens op internet (willen) publiceren, de\n                                       verantwoordelijken, zich te houden aan de volgende regels.\n\nVoorafgaand aan publicatie:\n\n1. Stel vast of de publicatie een legitiem doeleinde dient en of dat doel verenigbaar\n                                             is met het doel waarvoor de gegevens oorspronkelijk zijn verkregen.\n\n2. Beschik over een rechtvaardigingsgrond voor publicatie.\n\nDe belangrijkste rechtvaardiging voor publicatie is toestemming van de betrokkenen.\n                                             Als het verkrijgen van die toestemming niet mogelijk is, dienen verantwoordelijken\n                                             te kunnen onderbouwen dat publicatie is toegestaan op grond van een van de vijf andere\n                                             rechtvaardigingsgronden. Dit zijn: de uitvoering van een overeenkomst, het nakomen\n                                             van een wettelijke verplichting, het vrijwaren van een vitaal belang van de betrokkene,\n                                             het goed kunnen vervullen van een publiekrechtelijke taak, of het behartigen van het\n                                             gerechtvaardigd belang van de verantwoordelijke. Bij deze vijf rechtvaardigingsgronden\n                                             moet telkens de noodzaak worden vastgesteld om de gekozen persoonsgegevens op internet\n                                             te publiceren.\n\n3. Publiceer geen bijzondere persoonsgegevens.\n\nBijzondere persoonsgegevens zijn gegevens betreffende iemands godsdienst of levensovertuiging,\n                                             ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging,\n                                             strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk\n                                             gedrag. Publicatie van bijzondere persoonsgegevens op internet is alleen toegestaan\n                                             als de betrokkene er uitdrukkelijk toestemming voor heeft gegeven of de gegevens bewust\n                                             zelf openbaar heeft gemaakt.\n\nTijdens publicatie:\n\n4. Leef de informatieplicht na.\n\nVerantwoordelijken dienen betrokkenen actief te informeren over het doel en de opzet\n                                             van de publicatie.\n\n5. Vermeld duidelijk uw eigen identiteit, toegankelijk voor iedere bezoeker van de publicatie.\n\n6. Zorg ervoor dat u persoonsgegevens niet langer bewaart en ter beschikking stelt dan\n                                             strikt noodzakelijk.\n\n7. Waarborg actief de kwaliteit en juistheid van de gepubliceerde persoonsgegevens.\n\n8. Tref beveiligingsmaatregelen tegen onbevoegd gebruik.\n\nOnder die maatregelen vallen onder meer dataminimalisatie, het afschermen van persoonsgegevens\n                                             voor zoekmachines, doelgroepafbakening en het beveiligen van het gegevenstransport.\n\nVolgend op publicatie:\n\n9. Verwijder gegevens als de betrokkene zijn toestemming voor publicatie intrekt. Voldoe\n                                             tevens aan verzoeken van betrokkenen tot inzage en aan verzoeken tot verwijdering,\n                                             verbetering, aanvulling of afscherming van persoonsgegevens als die feitelijk onjuist\n                                             zijn, voor het doeleinde onvolledig of niet ter zake dienend, dan wel anderszins in\n                                             strijd met een wettelijk voorschrift worden verwerkt.\n\n10. Verwijder onrechtmatig gepubliceerde persoonsgegevens. Dit speelt vooral bij publicaties\n                                             met een reactiemogelijkheid voor bezoekers.\n\nUITZONDERINGEN\n\nOp deze regels voor verantwoordelijken zijn enkele uitzonderingen.\n\n1. De eerste betreft het gebruik van persoonsgegevens voor uitsluitend persoonlijke of\n                                             huishoudelijke doeleinden. De Wbp is daarop niet van toepassing. Wie van deze uitzondering gebruik wil maken, dient\n                                             wel zodanige beveiligingsmaatregelen te treffen dat de persoonsgegevens alleen toegankelijk\n                                             zijn voor een kenbare groep familieleden, huisgenoten of vrienden.\n\n2. De Wbp kent specifieke regels voor publicaties met een historisch, statistisch of wetenschappelijk\n                                             doeleinde. Wie op deze grond persoonsgegevens op internet wil publiceren, dient de\n                                             toegang eveneens strikt af te bakenen. Er gelden bovendien nog striktere eisen ten\n                                             aanzien van bijzondere persoonsgegevens.\n\n3. Op de publicatie van persoonsgegevens voor uitsluitend journalistieke doeleinden is\n                                             de Wbp slechts beperkt van toepassing.\n\n4. De Wbp kent een verbod op doorgifte van persoonsgegevens naar landen buiten de EU\n                                             waarvoor geen passend beschermingsniveau is vastgesteld. Conform het Lindqvistarrest\n                                             van het Europees Hof van Justitie is dit verbod niet van toepassing op publicaties\n                                             op internet. Het feit dat publicaties op internet toegankelijk zijn in allerlei derde\n                                             landen, wordt niet als \u2018doorgifte\u2019 beschouwd. De regels zijn alleen van toepassing\n                                             op verantwoordelijken die doelbewust persoonsgegevens doorgeven naar een of meerdere\n                                             derde landen, bijvoorbeeld door middel van een internationaal intranet.\n\nSANCTIES\n\nVerantwoordelijken die zich niet houden aan de Wbp, kunnen door betrokkenen in rechte worden aangesproken, zowel op grond van de Wbp als op grond van het bestuursrecht en het civiele recht. Daarnaast kunnen zij in\n                                       aanraking komen met de toezichthoudende bevoegdheden van het College bescherming persoonsgegevens,\n                                       vari\u00ebrend van bemiddeling tot het instellen van een ambtshalve onderzoek en het opleggen\n                                       van een dwangsom.\n\nVoorbeeld privacyverklaring van een discussieforum\n\nEen goede privacyverklaring van een fictieve website met een openbaar discussieforum\n                                    over een ziekte kan er als volgt uitzien:111\n\n1) \nIdentiteit\n\nDe verantwoordelijke voor deze website is de stichting <naam>, Voorbeeldstraat 1,\n                                          1000 AB te Haarlem. De stichting is bereikbaar via info@<naamwebsite>.nl\n\n2) \nDoeleinde\n\nVia deze website en in het bijzonder het discussieforum wil de stichting kennisuitwisseling\n                                          in de breedste zin bevorderen over de ziekte X, zowel door experts als door ge\u00efnteresseerden.\n\n3) \nGevraagde informatie\n\nVoor het leveren van bijdragen aan het discussieforum is registratie verplicht. Deelnemers\n                                          zijn verplicht om hun vooren achternaam op te geven, e-mailadres, het gewenste wachtwoord\n                                          en het gewenste pseudoniem waaronder de bijdragen worden gepubliceerd. Bij de registratie\n                                          wordt tevens het IP-adres vastgelegd en het tijdstip van registratie. Bij elke afzonderlijke\n                                          bijdrage wordt eveneens het IP-adres en het tijdstip vastgelegd. De aldus verkregen\n                                          gegevens worden niet op internet gepubliceerd, met uitzondering van het gekozen pseudoniem\n                                          en de inhoud van de bijdrage. De stichting gebruikt de niet-openbare gegevens om inzicht\n                                          te krijgen in de soorten gebruikers van de site; om deelnemers in staat te stellen\n                                          eventuele bijdragen te corrigeren of te laten verwijderen en om eventueel misbruik\n                                          zoals spamming te bestrijden of om deelnemers uit te sluiten die de gebruiksregels\n                                          van het forum hebben overtreden. De gebruiksregels zijn te vinden op http://www.<naamwebsite>.\n                                          nl/gebruiksregels.\n\nHet e-mailadres wordt verder specifiek gebruikt om het gekozen pseudoniem en wachtwoord\n                                          te bevestigen en eventueel een nieuw wachtwoord toe te sturen. De stichting kan het\n                                          e-mailadres ook gebruiken om een bericht door te sturen van een andere deelnemer,\n                                          mits de deelnemer daar toestemming voor heeft gegeven bij de registratie. De niet-openbare\n                                          gegevens worden door de stichting niet aan derden verstrekt of voor enig ander doel\n                                          gebruikt, met uitzondering van wettelijke verplichtingen om desgevraagd gegevens te\n                                          verstrekken aan bevoegde instanties. Bij het pseudoniem kan desgewenst een openbaar\n                                          profiel worden aangemaakt, met nadere informatie over degene die de bijdrage levert,\n                                          zoals bijvoorbeeld geslacht en leeftijd. Het aanmaken van een profiel is niet verplicht.\n\n4) \nOntvangers\n\nDe informatie op de website en in het discussieforum is openbaar en wereldwijd toegankelijk.\n                                          Wie een bijdrage levert, gaat ermee akkoord dat zijn bijdrage door een onbekende groep\n                                          lezers op onbekende wijze verder verwerkt kan worden. Om eventuele nadelige gevolgen\n                                          van publicatie te voorkomen, zeker nu het gaat om bijzondere persoonsgegevens met\n                                          betrekking tot ziekte, verwijdert de stichting bijdragen waarin identificeerbare informatie\n                                          wordt gepubliceerd over derden. De stichting ontraadt deelnemers ten zeerste om identificeerbare\n                                          informatie over zichzelf te publiceren.\n\n5) \nRechten deelnemers\n\nDeelnemers aan het forum geven door registratie ondubbelzinnige toestemming voor het\n                                          registreren van hun persoonsgegevens door de stichting en het publiceren op internet\n                                          van hun bijdrage, inclusief bijzondere persoonsgegevens. Minderjarigen, dat wil zeggen\n                                          personen onder de zestien jaar, mogen zich alleen registreren met toestemming van\n                                          hun ouders of voogd. Iedereen kan zijn toestemming te allen tijde intrekken en verzoeken\n                                          om verwijdering van zijn gegevens. Desgevraagd verwijdert de stichting de gegevens\n                                          die benodigd waren voor registratie en anonimiseert de stichting bijdragen aan het\n                                          forum. Dat wil zeggen dat het gekozen pseudoniem wordt vervangen door de generieke\n                                          term \u2018verwijderd\u2019 en het eventuele bijbehorende profiel wordt gewist. De bijdragen\n                                          zelf blijven in het forum staan, om de logica van de discussie niet te verstoren,\n                                          tenzij een deelnemer een bijzondere omstandigheid aanvoert om een specifieke bijdrage\n                                          te verwijderen, bijvoorbeeld omdat de bijdrage de deelnemer identificeerbaar maakt.\n\nOm een verwijder- of correctieverzoek te kunnen uitoefenen, is het noodzakelijk dat\n                                          de deelnemer de gegevens meldt waarmee hij zich heeft geregistreerd. De stichting\n                                          neemt contact op met het e-mailadres dat bij registratie is opgegeven.\n\nHet adres voor verwijder- en correctieverzoeken is: privacy@<naamwebsite>. nl\n\n6) \nPrivacy-vragen\n\nVragen over het privacy-beleid van de website en het forum kunnen per post aan de\n                                          stichting worden gesteld, t.a.v. de voorzitter van het bestuur, of per email via privacy@<naamwebsite>.nl\n\n7) \nOverige gegevensverwerking\n\nDe website legt de IP-adressen vast van bezoekers van de website, door middel van\n                                          een extern statistiekenprogramma. Dat betekent dat alle bezoekers van de website en\n                                          het forum eerst langs een externe server worden geleid, voor zij op de website van\n                                          de stichting terechtkomen. De statistieken worden gebruikt om de vindbaarheid en het\n                                          gebruik van (onderdelen van) de site te meten door bezoekers en de benodigde servercapaciteit\n                                          in te kunnen schatten. De website gebruikt geen cookies of andere methodes om op geautomatiseerde\n                                          wijze gegevens te verzamelen.\n\n8) \nBeveiliging\n\nVoor de registratie van deelnemers aan het forum gebruikt de stichting een beveiligd\n                                          protocol, https. De aldus verkregen gegevens worden door de stichting opgeslagen in\n                                          een adequaat beveiligde database, die niet aan internet is verbonden. De gegevens\n                                          op de website en het discussieforum zijn opgeslagen in een database die met internet\n                                          is verbonden en adequaat is beveiligd tegen ongeoorloofd gebruik door derden, zoals\n                                          wijziging van gegevens. Alle gegevens op de website en in het discussieforum zijn\n                                          openbaar toegankelijk en kunnen dus door elke derde naar zijn eigen systeem worden\n                                          gekopieerd. De afzonderlijke pagina\u2019s met bijdragen zijn niet indexeerbaar voor zoekmachines.\n\n9) \nBewaartermijn\n\nAlle gegevens op de website en in het discussieforum blijven beschikbaar op internet\n                                          zolang de stichting daartoe de middelen en mogelijkheden heeft. Voor een eventuele\n                                          uitsluiting van het forum geldt een termijn van 1 jaar, gebaseerd op het IP-adres\n                                          of de IP-adressen van een deelnemer die de gebruiksregels heeft overtreden. Na het\n                                          verstrijken van 12 maanden wordt het IP-adres of worden de IP-adressen verwijderd\n                                          uit de blokkadelijst.\n\n10) \nMelding bij het CBP\n\nDe stichting heeft het discussieforum gemeld bij het CBP als een verwerking van bijzondere\n                                          persoonsgegevens, onder nummer m0000000."}