IE, media- en privacyrecht zijn constant in beweging. De grenzen worden dagelijks getart. Wat mag net wel, wat mag net niet. Hierin ligt de kern van ons werk. Werk wat ons blijft uitdagen en inspireren.
filter op categorie:
Privacygevoelig procederen
Voor Nederlandsmedianieuws.nl schreef Remco Klöters een column over privacygevoelig procederen.
Dus wij zijn Verwerkingsverantwoordelijke en vallen onder de AVG?", "Zijn dat allemaal persoonsgegevens?", en: "Dus we hebben een privacyreglement nodig en moeten met al onze verwerkende dienstverleners Verwerkersovereenkomsten sluiten?"
Het bovenstaande is zo maar een greep van kreten die rond mei 2018 bij talloze bedrijven te horen zullen zijn geweest. Ja, persoonsgegevens zijn overal. Ja, ook uw organisatie verwerkt ze en ja, u zult dan ook iets met de AVG moeten.
Naar onlangs gebleken is heeft een dergelijke ruwe 'AVG-ontwaking' zich ook bij de rechter voorgedaan. Uit een uitspraak van de Rechtbank Noord-Nederland blijkt dat de rechter van dienst zich bekreund heeft over de gevolgen van de inwerkingtreding van de AVG op het verwerken van persoonsgegevens tijdens een procedure.
21 losse procedures
Het doorzenden van processtukken aan de 21 partijen bij een procedure valt volgens deze rechtbank onder de AVG en die eist dat persoonsgegevens minimaal verwerkt worden. Dat wil zeggen: toereikend, ter zake dienend en beperkt tot datgene wat noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt.
Resultaat: de procedure wordt gesplitst in 21 afzonderlijke procedures, zodat de betrokken partijen niet elkaars stukken met de daarin van elkaar opgenomen persoonsgegevens hoeven te ontvangen. Om dit verder te rechtvaardigen wijst de rechter op de vertrouwelijke gegevens of bedrijfsgevoelige informatie die daarin staan. Dat is echter iets anders dan persoonsgegevens, maar dat dergelijke gegevens er ook in zullen staan, lijkt mij evident.
Privacystress
Het wekt verbazing dat er ook rechters in de privacystress zijn geraakt. De meeste commentaren klinken afwijzend. Maar waarom precies?
In de inleidende overwegingen van de AVG (nr. 20) staat immers dat de verordening gewoon van toepassing is op de activiteiten van gerechten en andere rechterlijke autoriteiten. Het verschil is alleen dat de toezichthouder – de Autoriteit Persoonsgegevens – zich niet met de verwerking door de gerechten mag bemoeien, gelet op de onafhankelijkheid van de rechterlijke macht. Dat wordt verderop in de AVG onder artikel 55 lid 3 ook bepaald. Het toezicht zou moeten worden toevertrouwd aan specifieke instanties binnen de rechterlijke organisatie. Maar de vraag of sprake is van toezicht en door wie staat los van de vraag of de rechter de AVG moet naleven: daar lijkt het wel op.
In artikel 4 lid 8 van de AVG wordt onder 'Verwerker' gesproken van 'overheidsinstanties, een dienst of een ander orgaan'. Ook deze definitie lijkt de rechterlijke macht dus niet uit te sluiten.
Wel of geen verwerker?
Toch blijft het slecht verteerbaar dat de rechter zich in genoemde uitspraak als verwerker van persoonsgegevens bestempelt.
Dit impliceert immers dat zij daarmee geen 'Verwerkingsverantwoordelijke' is en dus ook niet het doel en de middelen voor de verwerking vaststelt, wat de vraag oproept: wie dan wel? Wie bepaalt het doel waarvoor en de middelen waarmee de rechterlijke macht de gegevens van partijen in de procedure verwerkt en in die lijn: door welke overeenkomst of rechtshandeling is de rechter als verwerker ten aanzien van de verwerkingsverantwoordelijke gebonden?
Mijn inschatting is dat dit een eenmalig geval zal blijven en dat de rechtspraak binnenkort intern meer aandacht zal schenken aan privacy in de rechtspraak. Of dat ook gaat betekenen dat partijen in een procedure geen kennis meer kunnen nemen van elkaars stukken, zoals hier het geval was betwijfel ik echter zeer.