1.4.3 De AVG-termen ‘ongeoorloofd’ en ‘onrechtmatig’

In zowel art. 5 lid 1 onder f AVG als art. 32 AVG staat een zinsnede die vanuit Nederlandsrechtelijk perspectief voor verwarring kan zorgen. De artikelen bepalen dat persoonsgegevens moeten zijn beschermd tegen “ongeoorloofde of onrechtmatige verwerking” (art. 5 lid 1 onder f AVG) en dat bij de beveiliging van de verwerkingen rekening moet worden gehouden met verschillende handelingen die “hetzij per ongeluk hetzij onrechtmatig” plaatsvinden (art. 32 lid 2 AVG).1 Wanneer men het begrip ‘onrechtmatig’ beziet vanuit ons nationale begrippenkader, dan komt men al snel uit bij art. 6:162 BW. Dat artikel bepaalt dat hij die jegens een ander een hem toerekenbare onrechtmatige daad pleegt, is verplicht de schade te vergoeden die de ander daardoor lijdt. Hoewel de EU-wetgever de termen ‘onrechtmatig’ en ‘ongeoorloofd’ binnen de context van de AVG niet uitdrukkelijk heeft gedefinieerd, leert een bestudering van deze verordening en de preambule dat hij met het gebruik van de term ‘onrechtmatig’ in art. 4, 5 en 32 AVG niet verwijst naar deze buitencontractuele aansprakelijk­heidsnorm.2 Het is, met andere woorden, van belang de term ‘onrechtmatig’ in de zin van de AVG autonoom uit te leggen.3 Hetzelfde geldt voor de term ‘ongeoorloofd’, die in bovengenoemde bepalingen wordt afgezet tegen onrechtmatig.

De term ‘ongeoorloofd’ komt in de context van de AVG alleen terug in relatie tot de beveiliging van persoonsgegevens. Het begrip is daarbij ongedefinieerd. Duidelijkheid over de betekenis ervan kan worden verkregen aan de hand van de Engelse tekstversie van de AVG, waarin het wordt geduid als “unauthorized”.4 Dit begrip is afgeleid van de term autorisatie, een zeer belangrijk aspect van beveiliging. Autorisatie verwijst naar de toekenning van een specifieke bevoegdheid aan een persoon of systeem.5 Of een partij al dan niet geautoriseerd is, hangt af van of zij feitelijk de bevoegdheid heeft gekregen om persoonsgegevens te verwerken. Daarbij is niet relevant of deze toekenning juridisch juist is. Vaak is een autorisatie zeer specifiek; een partij kan bijvoorbeeld wel zijn geautoriseerd tot het waarnemen van gegevens, maar niet tot het wijzigen ervan. Zo zijn verplegers vaak wel geautoriseerd tot het bekijken van het patiëntendossier van een patiënt die zij verplegen, maar niet tot het wijzigen van de medicatie.6 Ongeoorloofd betekent al met al ongeautoriseerd. Een ongeoorloofde verwerking is dus een verwerking die is verricht door een partij die hiertoe niet is geautoriseerd. De autorisatie ziet op een specifieke handeling: een medisch specialist kan bijvoorbeeld zijn geautoriseerd tot het inzien van medische gegevens, maar alleen op momenten dat hij of zij de patiënt behandelt. Een raadpleging op een ander moment is dan ongeautoriseerd.

Art. 32 AVG stelt overigens ook eisen aan de autorisatie zelf. Uit lid 4 van deze bepaling blijkt dat verwerkingsverantwoordelijken en verwerkers maatregelen moeten treffen “om ervoor te zorgen dat iedere natuurlijke persoon die handelt onder het gezag van de verwerkings­verant­woordelijke of van de verwerker en toegang heeft tot persoonsgegevens, deze slechts in opdracht van de verwerkingsverantwoordelijke verwerkt, tenzij hij daartoe Unierechtelijk of lidstaatrechtelijk is gehouden”.

De AVG-term ‘rechtmatigheid’ (in het Engels ‘lawfulness’) heeft een belangrijke rol binnen de AVG. Hij komt terug in een van de beginselen inzake de verwerking van persoonsgegevens: het beginsel van rechtmatigheid, behoorlijkheid en transparantie. Dit beginsel bepaalt dat “persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is”.7Art. 6 AVG gaat vervolgens nader in op de rechtmatigheid van de verwerking. Hieruit blijkt dat een verwerking alleen rechtmatig is indien en voor zover er een in de wet erkende verwerkingsgrondslag aan ten grondslag ligt.8 De tekst van de AVG maakt niet meteen duidelijk of er hiernaast nog meer eisen voor de rechtmatigheid van verwerkingen bestaan. De preambule impliceert dat dit niet zo is. Hierin is meermaals te lezen dat verwerkingen met een van deze grondslagen “rechtmatig dienen te zijn”.9 Vast staat echter wel dat, wanneer een verwerking bijzondere categorieën van persoonsgegevens (oftewel gevoelige gegevens10) betreft, ook art. 9 AVG de rechtmatigheid van deze verwerking beïnvloedt. Deze bepaling brengt mee dat deze persoonsgegevens slechts mogen worden verwerkt indien er sprake is van een in de art. 9 AVG genoemde omstandigheden.11 Om rechtmatig plaats te vinden, zal een verwerking van bijzondere persoonsgegevens moeten voldoen aan zowel art. 6 AVG, als aan art. 9 AVG.12 Bij strafrechtelijke data vervult art. 10 AVG eenzelfde rol.

Het valt op dat in de literatuur soms zonder onderbouwing wordt aangenomen dat een verwerking slechts rechtmatig is in de zin van de AVG, indien zij niet strijdig is met wat voor wettelijke verplichting dan ook.13 De EU-wetgever en het HvJ EU hebben zich hier nooit over uitgelaten. Ik interpreteer ‘onrechtmatige verwerking’ als ‘een verwerking zonder geldige rechtsgrondslag’. Deze uitleg past (zo bleek hierboven) het beste bij de AVG-term ‘rechtmatig’.14 Ook past dit beter bij het gebruik van de AVG-term ‘onrechtmatig’. Terwijl meerdere AVG-bepalingen zijn gericht op de naleving van de AVG in het algemeen,15 spreekt de AVG namelijk alleen over onrechtmatige verwerkingen in het kader van de beveiliging van persoonsgegevens. Wanneer ‘onrechtmatig’ verwijst naar iedere strijdigheid met de AVG, zou dit begrip echter juist meer op zijn plaats zijn in de context van deze meer algemene bepalingen, zoals art. 24 AVG, dan in die van art. 32 AVG.16 In context van beveiliging ligt het bovendien niet voor de hand ‘onrechtmatig’ breed uit te leggen. Anders zou dit bijvoorbeeld meebrengen dat verwerkingsverantwoordelijken en verwerkers beveiligings­maatregelen moeten treffen tegen verwerkingen waarbij niet is voldaan aan de informatieplicht jegens de betrokkene.17 Een dergelijke relatie tussen de AVG-beveiligings­verplichtingen en andere AVG-bepalingen ligt niet voor de hand. Beveiliging is hier niet aan gerelateerd.18

Hoewel in art. 5 lid 1 onder f AVG onderscheid lijkt te worden gemaakt tussen ongeoorloofde en onrechtmatige verwerkingen, kunnen deze begrippen overlappen. Dit komt doordat het ene meer feitelijk en het andere meer juridisch van aard is. Zo kan een verwerking waarvoor geen verwerkingsgrondslag bestaat, worden verricht door iemand die niet is geautoriseerd tot het verrichten van deze handeling – maar ook door iemand die dat wel is. In het eerste geval is er sprake van een verwerking die én ongeoorloofd, én onrechtmatig is, in het tweede geval alleen van een onrechtmatig verwerking.

De AVG-beveiligingsbepalingen onderscheiden, naast ongeoorloofde en onrechtmatige verwerkingen, ook onopzettelijke handelingen. Ook dit onderscheid is niet zuiver. Allereerst kunnen onopzettelijke handelingen ook onrechtmatig zijn. Een verwerking die per ongeluk wordt verricht, hoeft immers geen geldige verwerkings­grondslag te hebben. Verder kunnen onopzettelijke verwerkingen ook ongeoorloofd zijn. Een onopzettelijke handeling kan worden verricht door iemand die in het geheel niet is geautoriseerd tot het verrichten van deze handeling. In AVG-handhavingsbesluiten die ik heb geraadpleegd,19 gaan toezichthouders niet in op de vraag of de handeling onopzettelijk, onrechtmatig of ongeoorloofd was.

Overigens zegt de term ‘ongeoorloofd’ niets over juridische juistheid van een autorisatie. De AVG stelt wel op een andere manier eisen aan de autorisatie van partijen. Zij verzet zich bijvoorbeeld tegen inzage van gegevens door partijen die hiertoe geen geldige reden hebben.20 Het is dan ook mogelijk dat autorisatiebeleid juridisch gezien te ruim is of dat ‘verkeerde’ mensen bevoegdheden zijn toegekend. Er ontstaat dan het risico op onrechtmatige verwerkingen. Beveiligings­maatregelen moeten hiertegen beveiligen. Een goed autorisatiebeleid valt dan ook onder de beveiligingsmaatregelen die verwerkingsverantwoordelijken en verwerkers moeten treffen. Bij een te ruim of onjuist beleid ontstaat het risico dat de beveiliging niet passend is.21