I.5 Terminologie

Persoonsgegevens zijn ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’)’.1 Het begrip persoonsgegevens is van essentieel belang. Als het gaat om persoonsgegevens zijn de bepalingen van de AVG van toepassing.2 Er is sprake van persoonsgegevens als deze een persoon identificeren of herleidbaar naar hem zijn. De gegevens hoeven dus niet direct naar een betrokkene te wijzen. Zij kunnen ook indirect, bijvoorbeeld door combinatie met andere gegevens, naar hem leiden. Ook de context van de gegevensverwerking en de hoedanigheid van de verwerkingsverantwoordelijke kunnen een doorslaggevende rol spelen bij het antwoord op de vraag of er sprake is van persoonsgegevens. Het eerste voorbeeld is een huisnummer of een postcode. Deze zijn als zodanig geen persoonsgegevens, maar in combinatie zijn zij dat wel.3 Het tweede voorbeeld is een ‘dynamisch’ IP-adres.4 De ‘gemiddelde’ internetgebruiker kan van een dynamisch IP-adres niet afleiden van wie dat afkomstig is.5 Voor een internetserviceprovider die dat IP-adres aan de betrokkene heeft toebedeeld,6 of een websitehouder die beschikt over ‘wettige middelen’ waarmee hij uiteindelijk de natuurlijke persoon kan identificeren,7 is dit wel een persoonsgegeven. Niet beslissend voor de kwalificatie persoonsgegevens is het feit dat er ‘extra informatie’ nodig is om die persoon te kunnen identificeren. Wel beslissend is het feit dat identificatie door het achterhalen van die extra informatie ‘bij de wet verboden’ is of ‘in de praktijk ondoenlijk is’, bijvoorbeeld omdat de identificatie ‘gelet op de vereiste tijd, kosten en mankracht een excessieve inspanning vergt’.8 In dit geval gaat het niet om persoonsgegevens. In de meeste gevallen betreft het echter wel persoonsgegevens. Het gebruik van de woorden ‘iedere informatie’ in het begrip persoonsgegevens9 geeft immers aan dat het de bedoeling van de Uniewetgever was om aan het begrip persoonsgegevens ‘een ruime betekenis’ te geven.10

De AVG is van toepassing op zowel ‘de geautomatiseerde verwerking van persoonsgegevens’ als op ‘de handmatige verwerking daarvan indien de persoonsgegevens zijn opgeslagen of bedoeld zijn om te worden opgeslagen in een bestand.’11 Een verwerking van die persoonsgegevens betreft vrijwel elke handeling12 die men kan plegen ten aanzien van die persoonsgegevens, in elk geval de verzameling, raadpleging, verspreiding of de vernietiging van persoonsgegevens.13

De Uniewetgever stelt in de AVG allerlei waarborgen voor een rechtmatige en behoorlijke verwerking van persoonsgegevens. Met de onrechtmatige verwerking van persoonsgegevens bedoel ik elke mogelijke inbreuk op of schending van die bepalingen in de AVG. De onrechtmatigheid van de verwerking heeft dus niet uitsluitend betrekking op het schenden van artikel 6 AVG.14 Ik hanteer de (on)rechtmatige verwerking in bredere zin. In mijn visie heeft rechtmatigheid ook betrekking op het naleven van andere beginselen en verplichtingen die de bescherming van persoonsgegevens waarborgen, die bijvoorbeeld ‘transparantie’, ‘minimale gegevensverwerking’, ‘juistheid’, ‘opslagbeperking’, ‘integriteit en vertrouwelijkheid’ aangaan.15 In dit proefschrift zijn de termen ‘inbreuk op/schending van de AVG’ en ‘de onrechtmatige verwerking van persoonsgegevens’ onderling inwisselbaar.

De betrokkene is de identificeerbare of geïdentificeerde natuurlijke persoon van wie persoonsgegevens worden verwerkt. Deze persoon kan elke hoedanigheid bekleden. Hij kan bijvoorbeeld een consument, burger, werknemer of een gebruiker van een dienst zijn. Hij kan ook een bestuurder of werkgever zijn. De AVG beschermt primair de betrokkene, en dicteert ten behoeve van hem verplichtingen ten aanzien van het gebruik van zijn persoonsgegevens. De betrokkene heeft een scala aan rechten die hij kan inroepen, zoals het recht op inzage,16 het recht op vergetelheid17 en het recht op dataportabiliteit.18

Op een verwerkingsverantwoordelijke rusten de verplichtingen van de AVG.19 De verwerkingsverantwoordelijke is ‘een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.’20 Hij verwerkt de persoonsgegevens van de betrokkene. Hij kan een werkgever zijn, een bestuursorgaan of de leverancier van een dienst of product. Van doorslaggevend belang voor het antwoord op de vraag of een partij verwerkingsverantwoordelijke is, is of hij (i) het doel van en (ii) de middelen voor de gegevensverwerking vaststelt. Het begrip verwerkingsverantwoordelijke moet volgens het Hof van Justitie ruim worden uitgelegd. Dit is om een hoog niveau van bescherming aan de betrokkene te waarborgen.21