6
Aug
2014

Afd. bestuursrechtspraak Raad van State: bestandsbegrip toch niet relevant bij digitale verwerking

De Wet bescherming persoonsgegevens (Wbp) regelt hoe er met persoonsgegevens moet worden omgegaan. De Wbp is echter niet op alle soorten verwerkingen van persoonsgegevens van toepassing. Denk bijvoorbeeld aan de uitzondering voor verwerking in het kader van persoonlijke of huishoudelijke doeleinden (artikel 2 lid 2 Wbp). Ook is de wet niet van toepassing op de verwerking van analoog vastgelegde persoonsgegevens, als deze niet zijn vastgelegd in een bestand.

De Afdeling bestuursrechtspraak van de Raad van State moet zo nu en dan een oordeel geven over de toepasselijkheid van de Wbp. In de uitspraak van 30 januari 2013, overwoog de Afdeling onder meer:

“De rechtbank heeft de onder 16 vermelde digitale mappen terecht niet aangemerkt als een gestructureerd geheel van persoonsgegevens. Die digitale mappen zijn aangemaakt, gevuld en van informatie voorzien door individuele ambtenaren op de server van de gemeente Zevenaar in het kader van hun dagelijkse werkzaamheden. [appellante] heeft niet aannemelijk gemaakt dat in die mappen opgenomen persoonsgegevens een gestructureerd geheel van persoonsgegevens vormen dat volgens bepaalde criteria toegankelijk is. Gelet hierop wordt [appellante] niet gevolgd in haar standpunt dat de rechtbank voor het geven van haar oordeel gehouden was kennis te nemen van de inhoud en toegankelijkheid van die mappen.”

In bovenstaande overweging lijkt de Afdeling het voor de toepasselijkheid van de Wbp relevant te vinden dat persoonsgegevens een gestructureerd geheel vormen en volgens bepaalde criteria toegankelijk zijn. Als persoonsgegevens digitaal worden verwerkt, moet er ook sprake zijn van een bestand, lijkt de Afdeling te zeggen.

In de literatuur is hier veel kritiek op gegeven, omdat artikel 2 lid 1 Wbp duidelijk aangeeft dat het bestandsbegrip er niet toe doet als het gaat om digitale persoonsgegevens. De Afdeling is in de uitspraak van 16 juli 2014 daarom teruggekomen op haar oordeel van 30 januari 2013:

“Gezien het vorenstaande volgt uit de bewoordingen van artikel 2, eerste lid, van de Wbp en artikel 3, eerste lid, van de Privacyrichtlijn, gelezen in samenhang met de overwegingen uit de preambule bij die richtlijn, dat het in geval van geautomatiseerde verwerking van persoonsgegevens niet van belang is of deze gegevens een bestand als bedoeld in artikel 1, aanhef en onder c, van de Wbp, vormen.”