Wie doet wat in de keten van verwerkings-verantwoordelijken?

Om persoonsgegevens rechtmatig te mogen verwerken moet de verwerkingsverantwoordelijke een geldige grondslag hebben. Een mogelijke grondslag is de gegeven toestemming door de betrokkenen. Deze toestemming kan echter te allen tijde weer worden ingetrokken. De verwerkingsverantwoordelijke moet dan zorgen dat het verwerken van de gegevens per direct stopt. Hoever deze verplichting reikt, is weleens onderwerp van discussie. Het Hof van Justitie van de Europese Unie (het Hof) heeft recent meer duidelijkheid geschept.

Betrokkene vraagt Proximus om persoonsgegevens niet in telefoongidsen te verwerken

Proximus is een Belgische aanbieder van telecommunicatiediensten. Zij biedt ook publiek toegankelijke telefoongidsen en telefooninlichtingendiensten (abonneelijsten) aan. In deze abonneelijsten zijn persoonsgegevens opgenomen. Proximus verkrijgt deze persoonsgegevens van telecomoperatoren, tenzij de abonnee expliciet heeft geweigerd. De verkregen persoonsgegevens stuurt Proximus ook door naar andere aanbieders van abonneelijsten.

Telenet, een Belgische telecomoperator, stuurt contactgegevens van zijn abonnees door naar abonneelijstaanbieders, waaronder Proximus. Eén van deze abonnees heeft zijn toestemming voor de verwerking van zijn persoonsgegevens ingetrokken. Hij wil niet langer dat zijn gegevens in abonneelijsten van Proximus of derden worden opgenomen. Proximus heeft voor deze abonnee de status van de persoonsgegevens gewijzigd, zodat ze niet meer in de openbare abonneelijsten worden opgenomen.

Bij de eerstvolgende maandelijkse actualisering heeft Telenet aan Proximus de abonneegegevens verstuurd. In deze actualisering zaten gegevens van de genoemde abonnee met de oude verkeerde status. Proximus verwekte deze gegevens automatisch, waardoor de oude onjuiste situatie is ontstaan. De abonnee ontdekte dit en verzocht opnieuw aan Proximus dat zijn gegevens niet worden vermeld. Proximus antwoordde dat zij de persoonsgegevens had verwijderd uit haar telefoongidsen. En dat zij zowel Google als de andere aanbieders van telefoongidsen op de hoogte heeft gebracht van zijn verzoek. De Belgische gegevensbeschermingsautoriteit heeft vanwege een klacht van de abonnee een boete opgelegd aan Proximus. Onder meer naar aanleiding van deze boete is een geschil ontstaan. Over het intrekken van toestemming bij abonneelijsten ontbreekt specifieke regelgeving. Vandaar dat de Belgische rechter prejudiciële vragen heeft gesteld aan het Hof.

Een prejudiciële vraag is een vraag van juridische aard die aan een hogere rechter, in dit geval het Hof wordt voorgelegd. Het Hof beantwoordt deze rechtsvragen, waarna de oorspronkelijke rechter de uitkomsten weer toepast op de specifieke casus. De rechter die verwijst naar het Hof doet dus op het eind alsnog zelf uitspraak.

Toestemming vereist voor publiceren persoonsgegevens in telefoongidsen

Het Hof beantwoordt in het arrest vragen over kort gezegd twee onderwerpen. Als eerste de vraag of toestemming vereist is voor het publiceren van persoonsgegevens in telefoongidsen. Als tweede hoever de verwijderingsplicht voor verwerkingsverantwoordelijken reikt. Voor publicatie in een telefoongids is voorafgaande toestemming conform de Algemene Verordening Gegevensbescherming (AVG) vereist. De toestemming geldt voor elke latere verwerking door derden uit dezelfde markt, indien het doel van de verwerking gelijk is. De AVG vereist dat de toestemming een vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting is. Voor een geldige toestemming is echter niet vereist dat de abonnee de identiteit van alle abonneelijstaanbieders kent.

Mede-verwerkingsverantwoordelijken moeten worden ingelicht over verzoek tot gegevenswissing van betrokkene

Het Hof bepaalt dat abonnees hun persoonsgegevens moeten kunnen laten verwijderen uit telefoongidsen. Een verzoek tot verwijdering van persoonsgegevens moet worden gezien als uitoefening van het recht op gegevenswissing. Het Hof oordeelt dat Proximus passende technische en organisatorische maatregelen moet nemen. Zij moet abonneelijstaanbieders inlichten over het verzoek tot gegevenswissing. Proximus moet niet alleen de aanbieders van telefoongidsen inlichten over het intrekken van de toestemming. Ook moet zij de telecomoperatoren inlichten zodat zij de aangepaste lijsten automatisch doorsturen naar abonneelijstaanbieders. Proximus is hiertoe gedwongen vanwege de verplichtingen die op haar rusten als verwerkingsverantwoordelijke vanuit de AVG.

De verwerkingsverantwoordelijke heeft de plicht om aan te tonen dat verwerkingen rechtmatig, behoorlijk en transparant zijn. De verwerking is niet meer rechtmatig als de enige grondslag, toestemming, is ingetrokken door de betrokkene. Ook moet de verwerkingsverantwoordelijke passende technische en organisatorische maatregelen nemen om te waarborgen dat de AVG wordt nageleefd. De verwerkingsverantwoordelijke moet dus zorgen dat de persoonsgegevens niet meer worden verwerkt. Baseert de keten van verwerkingsverantwoordelijken zich allemaal op dezelfde toestemming? Dan is het voldoende dat de betrokkene het verzoek tot verwijdering van de gegevens bij één van de verantwoordelijken meldt. Deze verwerkingsverantwoordelijke heeft dan de plicht om de andere verwerkingsverantwoordelijken in te lichten.

Zoekmachine-exploitanten moeten ook worden ingelicht over het verzoek

Als laatst bespreekt het Hof nog de passende maatregelen tegenover de exploitanten van zoekmachines. Een verwerkingsverantwoordelijke moet volgens het Hof ‘redelijke maatregelen’ nemen ‘om zoekmachines te informeren over’ het verzoek tot gegevenswissing. Het inlichten van Google is niet onredelijk bezwarend, gezien de beschikbare technologische mogelijkheden en lage uitvoeringskosten.

Let op bij situaties van gedeelde verwerkingsverantwoordelijkheid!

Bij het verwerken van persoonsgegevens kunnen situaties ontstaan waarbij meerdere partijen verwerkingsverantwoordelijk zijn. Het is verstandig om vooraf helder te hebben of dit bij uw organisatie speelt. Tijdens het verwerken van een verzoek van een betrokkene, kan dan meteen rekening worden gehouden met de gevolgen van dit arrest. Wij kunnen u helpen bij een gedegen voorbereiding op verzoeken van betrokkenen. Neem bij vragen vooral contact op voor advies.