4.2 De opkomst van het persoonsgegevensbeschermingsrecht

Het persoonsgegevensbeschermingsrecht dient ertoe natuurlijke personen te beschermen tegen de risico’s die gepaard gaan met persoonsgegevensverwerkingen.1 De sterke stijging van deze risico’s is de belangrijkste aanleiding voor de totstandkoming van dit rechtsgebied geweest. De rond 1960 ontstane mogelijkheid tot het digitaal verwerken van grote hoeveelheden gegevens was daarbij cruciaal. Omdat publieke en private partijen hierdoor nauwkeurige profielen van individuen konden samenstellen, werden de potentiële inbreuken op het recht op privacy reëler en omvangrijker. De wens (en plicht) van de nationale wetgevers om het privéleven van natuurlijke personen te eerbiedigen heeft (hebben) rond 1970 geleid tot de eerste regelingen op het gebied van de bescherming van persoons­gegevens.2 Hoewel nationale wetgevers zich bij het construeren van hun persoons­gegevens­beschermings­recht konden baseren op intergouvernementele richtlijnen, bleek dit veelal lastig. In de meeste lidstaten (waaronder Nederland) is dan ook pas tussen pakweg 1980 en 1990 een wet over de bescherming (en beveiliging) van persoonsgegevens aangenomen.3

Los van het eventuele van toepassing zijnde nationale recht, geniet vrijwel iedere natuurlijke persoon in (West-)Europa vanaf de jaren ’70 enige bescherming ten aanzien van zijn of haar persoonlijke informatie.4 Deze bescherming vloeit voort uit het recht op ‘de eerbiediging van het privé-, familie- en gezinsleven’ uit art. 8 van het Europees Verdrag tot de bescherming van de Rechten van de Mens den de Fundamentele Vrijheden (EVRM).5 Dit recht ziet niet expliciet op de bescherming van persoonsgegevens, maar verleent burgers als gevolg van jurisprudentie van het Europees Hof voor de Rechten van de Mens (EHRM) toch enige (in Nederland horizontaal werkende) rechten op dit punt.6 De grondslag van deze bescherming brengt met zich dat zij een andere aard en omvang heeft dan de bescherming die het hedendaagse persoonsgegevens­beschermings­recht verleent. Daar waar dit laatste ervan uitgaat dat van alle persoons­gegevens misbruik kan worden gemaakt,7 ziet de op basis van art. 8 EVRM verleende bescherming enkel op gegevens die in het concrete geval ‘het privéleven raken’.8 In het EVRM kan dan ook geen algemeen recht op de bescherming van persoonsgegevens worden gelezen. Dit verdrag biedt slechts contextafhankelijke bescherming.9

Het EHRM heeft art. 8 EVRM voor zover mij bekend tot op heden niet aangewend om eisen aan de beveiliging van persoons­gegevens­­verwerkingen te stellen.10 Het HvJ EU brengt deze bepaling wel nadrukkelijk in verband met de beveiliging van persoons­gegevensverwerkingen. In §5.2.1 en 5.2.4 kijk ik nog naar de betekenis van het EVRM voor de invulling van art. 5 lid 1 onder f en 32 AVG.