Hoofdstuk 1: Ontwikkeling privacyrecht
Ontwikkeling privacyrecht internationaal
1. Universele Verklaring van de Rechten van de Mens
De UVRM heeft geen bindende kracht, maar heeft door de tijd heen grote betekenis
gekregen als de belangrijkste internationale standaard voor mensenrechten.
Art. 12 UVRM gaat over de privacy van personen. Dit artikel stelt dat niemand zal
worden onderworpen ‘’aan willekeurige inmenging in zijn persoonlijke
aangelegenheden, in zijn gezin, zijn tehuis of zijn briefwisseling, noch aan enige
aantasting van zijn eer of goede naam.’’
2. Europees Verdrag voor de Rechten van de Mens
Het betreft een verdrag dat is opgesteld door de Raad van Europa (een internationaal
orgaan dat niet moet worden verward met de Europese Raad of de Raad van de
Europese Unie; twee organen van de EU). Het EVRM gaat net als de UVRM over
mensenrechten. In tegenstelling tot de UVRM hebben de bepalingen in het EVRM
echter wel bindende werking. Zo kunnen individuen, groepen, organisaties en landen
zich wenden tot het Europees Hof voor de Rechten van de Mens (EHRM) als zij
menen dat in strijd met het EVRM wordt gehandeld
Art. 8 EVRM gaat over het recht op eerbiediging van het privé-, familie- en
gezinsleven. Het eerste lid van dit artikel bepaalt in lijn met art. 17 UVRM dat
eenieder het recht heeft op respect voor zijn privé-, familie- en gezinsleven, zijn
woning en zijn correspondentie. Op grond van het tweede lid is inmenging op dit
recht door het openbare gezag alleen toegestaan indien dit bij wet is vastgelegd en
aan bepaalde criteria voldoet. Uit de jurisprudentie van het EHRM blijkt dat ‘bij wet’
ruim moet worden geïnterpreteerd: een wet in materiële zin, een beleidsregel of
zelfs een in de jurisprudentie gevormde regel kan aan dit criterium voldoen. Vereist is
wel dat de wet of regel voor de burger toegankelijk is en dermate precies is dat de
burger in staat is zijn gedrag daarop af te stemmen.
3. Internationaal Verdrag inzake burgerrechten en politieke rechten
Ook het IVBPR is geïnspireerd op de UVRM. Het verdrag is bindend; handhaving vindt
plaats door het VN-Comité voor de Rechten van de Mens.
Art. 17 IVBPR gaat over de privacybescherming van personen. Het eerste lid van dit
artikel stelt dat ‘’niemand mag worden onderworpen aan willekeurige of onwettige
inmenging in zijn privéleven, zijn gezinsleven, zijn huis en zijn briefwisseling, noch aan
onwettige aantasting van zijn eer en goede naam’’. Daarbij heeft iedereen op basis
van het tweede lid van dit artikel het recht om door de wet te worden beschermd
tegen dergelijke inmenging of aantasting.
4. Resoluties 73/22 & 74/29
In 1968 verzocht de Parlementaire Vergadering het Comité van Ministers van de
Raad van Europa om te onderzoeken of het EVRM voldoende bescherming bood voor
het privéleven van personen. Dit resulteerde in twee niet-bindende resoluties
hierover van het Comité van Ministers. Eén voor de private sector (Resolutie 73/22),
en één voor de publieke sector (Resolutie 74/29). Binnen de Raad van Europa werd
, echter geconcludeerd dat dit niet afdoende was en dat toe moest worden gewerkt
naar een dwingend uniform beschermingsniveau op het gebied van de bescherming
van persoonsgegevens. Hiertoe werd een Comité van Experts op het gebied van
informatieverwerking aangesteld.
5. OECD-Guidelines
Nu de OECD als doelstelling het stimuleren van sociaal en economisch beleid heeft,
was de motivatie voor het ontwikkelen van eenduidige regels hier vooral gelegen in
het voorkomen van belemmeringen van de handel wegens discrepanties op het
gebied van gegevensbescherming binnen de diverse landen.
In 1980 heeft de OECD de niet-bindende OECD-Guidelines on the Protection of
Privacy and Transborder Flows of Personal Data aangenomen.
6. Verdrag van Straatsburg
Binnen de Raad van Europa werd een dataprotectieverdrag opgesteld, dat op 28
januari 1981 werd geopend voor ondertekening: het Verdrag van Straatsburg, ook
wel Conventie 108 genoemd. Dit was het eerste juridisch bindende verdrag specifiek
op het gebied van persoonsgegevensbescherming.
De structuur van het Verdrag van Straatsburg is vergelijkbaar met die van de OECD-
Guidelines. Een belangrijk verschil ten opzichte van de OECD-Guidelines is dat het
Verdrag van Straatsburg ook bepalingen bevat die van de deelnemende landen
vereist dat zij in hun nationale wetgeving aanpassingen doorvoeren ter waarborging
van de beginselen. Daarbij ziet het Verdrag van Straatsburg uitsluitend op
geautomatiseerde verwerking, terwijl dit niet geldt voor de OECD-Guidelines.
De regels zoals neergelegd in de OECD-Guidelines en het Verdrag van Straatsburg
vormen de basis voor het hedendaagse privacyrecht. Zo vinden diverse beginselen –
waaronder het vereiste van beveiliging van persoonsgegevens en diverse rechten van
betrokkenen – hun oorsprong in deze stukken, en bevatten zij bijvoorbeeld ook al
een afwijkend regime voor bijzondere persoonsgegevens.
Ontwikkeling privacyrecht EU
7. Privacyrichtlijn
In Europa ontstond de wens om binnen de interne markt het vrije gegevensverkeer
te garanderen, waarvoor verdere harmonisatie van het gegevensbeschermingsbeleid
was vereist. Met het oog hierop, evenals het doel om de persoonlijke levenssfeer van
natuurlijke personen beter te beschermen, werd Richtlijn 95/46/EG (de
Privacyrichtlijn) ontwikkeld.
De Privacyrichtlijn vormde een nadere uitwerking van de regels zoals neergelegd in
het Verdrag van Straatsburg. Daarbij was het materiële toepassingsgebied uitgebreid.
In tegenstelling tot het Verdrag van Straatsburg, gold de Privacyrichtlijn als aan het
zogeheten ‘bestandscriterium’ was voldaan ook voor niet-geautomatiseerde
persoonsgegevensverwerking. Dit criterium hield in dat de Privacyrichtlijn ook van
toepassing was op niet-geautomatiseerde verwerking van persoonsgegevens die in
een bestand waren opgenomen of die bestemd waren om daarin te worden
opgenomen. Bestand was daarbij gedefinieerd als: ‘’elk gestructureerd geheel van
persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit
, geheel gecentraliseerd dan wel gedecentraliseerd is of verspreid of een functioneel
of geografisch bepaalde wijze’’. Dit bestandscriterium kennen wij onder de AVG en
UAVG nog steeds.
8. EU-Handvest
In het EU-Handvest is naast een artikel over de eerbiediging van het privéleven en
van het familie- en gezinsleven (art. 7) ook een apart artikel toegevoegd specifiek
over de bescherming van persoonsgegevens (art. 8). Het eerste lid van dit artikel stelt
dat eenieder het recht heeft op bescherming van de hem betreffende
persoonsgegevens. Verder wordt in het tweede lid vereist dat deze gegevens eerlijk
en voor welbepaalde doeleinden worden verwerkt, en op basis van de toestemming
van de betrokkene of een andere gerechtvaardigde wettelijke grondslag. Tot slot
wordt er in het derde lid vereist dat er een onafhankelijke autoriteit is die toeziet op
naleving van deze regels.
Art. 52 van het EU-Handvest bevat waarborgen omtrent de mogelijke beperkingen bij
wet.
9. Verdrag van Lissabon
Verdrag betreffende de Europese Unie
Door het Verdrag van Lissabon heeft het EU-Handvest rechtskracht gekregen. Art.
6 lid 3 van het aangepaste Verdrag betreffende de Europese Unie bevat nu een
expliciete verwijzing naar het Handvest
Verdrag betreffende de werking van de Europese Unie
In art. 16 VWEU is een algemene rechtsbasis voor de bescherming van
persoonsgegevens opgenomen. In het eerste lid staat – evenals in het EU-
Handvest – dat eenieder het recht heeft op bescherming van zijn
persoonsgegevens. Verder wordt in het tweede lid bepaald dat op Europees
niveau volgens de normale wetgevingsprocedure voorschriften worden
vastgesteld voor (1) de bescherming van natuurlijke personen ten aanzien van de
verwerking van persoonsgegevens door alle EU-instellingen, -organen en -
lidstaten; en (2) voor het vrij verkeer van die gegevens. Ook hier wordt verder
bepaald dat onafhankelijke autoriteiten dienen toe te zien op de naleving van
deze regels.
10. Algemene verordening gegevensbescherming (AVG)
De Europese Commissie kwam met een voorstel voor een Algemene verordening
gegevensbescherming (AVG), ter vervanging van de Privacyrichtlijn. De keuze voor
een verordening in plaats van een richtlijn was gebaseerd op de wens tot verdere
harmonisatie. Waar een richtlijn in het nationale recht dient te worden
geïmplementeerd, heeft een verordening rechtstreekse werking, wat in principe zal
leiden tot minder verschillen op nationaal niveau.
De uiteindelijke tekst van de AVG bevat veel compromissen en vertoont trekjes van
een richtlijn doordat ze de EU-lidstaten op diverse punten ruimte biedt voor nadere
invulling op nationaal niveau.
De materiële normen waaraan de verwerking van persoonsgegevens onder het
regime van de AVG moet voldoen, zijn in grote lijnen gelijk gebleven in vergelijking
, tot de Privacyrichtlijn. Met name zijn de regels op enkele punten aangescherpt en
verduidelijkt.
11. De AVG in relatie tot Liechtenstein, Noorwegen, IJsland en Zwitserland
De AVG geldt in de eerste plaats voor de EU-landen.
Op basis van een besluit van het Gemengd Comité van de EER van 6 juli 2018 wordt
de verwijzing in Bijlage XI van de EER-overeenkomst naar de Privacyrichtlijn
vervangen door een verwijzing naar de AVG. Hierdoor geldt de AVG, onder enkele
aanpassingen met name op het gebied van doorgifte, ook voor Liechtenstein,
Noorwegen en IJsland.
Het besluit van 6 juli 2018 regelt verder dat de privacytoezichthouders van de
Europese Vrijhandelsassociatie deelnemen aan het samenwerkingsverband van
Europese privacytoezichthouders. Dit betreft naast Liechtenstein, Noorwegen en
IJsland ook Zwitserland. Deze toezichthouders hebben in principe dezelfde rechten
en plichten als de Europese privacytoezichthouders, en nemen deel aan het één-
loketmechansime en het coherentiemechanisme. Zij mogen echter niet stemmen in
de EDPB en mogen zich ook niet verkiesbaar stellen als voorzitter of vicevoorzitter.
Ontwikkeling privacyrecht Nederland
12. Grondwet
In Nederland is het recht op privéleven als fundamenteel recht terug te vinden in art.
10 van de Grondwet. Sinds 1983 is daarin vastgelegd dat eenieder het recht heeft op
eerbiediging van zijn persoonlijke levenssfeer, behoudens bij of krachtens de formele
wet te stellen beperkingen (art. 10 lid 1 Gw). De in de Grondwet gebruikte term van
‘persoonlijke levenssfeer’ heeft daarbij dezelfde betekenis als de in de verdragen
gebezigde term van ‘privéleven’. Ook bevat het artikel een instructie aan de wetgever
om ter bescherming van de persoonlijke levenssfeer nadere regels op te stellen over
de verwerking van persoonsgegevens (art. 10 lid 2 Gw). Verder wordt expliciet
gewezen op de mogelijkheid voor personen om inzage te kunnen krijgen in hun
persoonsgegevens en deze te corrigeren (art. 10 lid 3 Gw).
13. Wet persoonsregistraties
Art. 10 Gw vormde de basis voor de Wet persoonsregistraties (Wpr). Naast
‘persoonsgegevens’ was met name ‘persoonsregistratie’ een kernbegrip in deze wet.
Dit werd gedefinieerd als: ‘’een samenhangende verzameling van op verschillende
personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg
wordt gevoerd of met het oog op een doeltreffende raadpleging van die gegevens
systematisch is aangelegd’’.
14. Wet bescherming persoonsgegevens
De Wpr werd vervangen door de Wet bescherming persoonsgegevens (Wbp). De
Wbp vormde de implementatie van de Privacyrichtlijn voor Nederland.
15. Uitvoeringswet Algemene verordening gegevensbescherming
De Wbp werd vervangen door de Uitvoeringswet Algemene verordening
gegevensbescherming (UAVG) in aansluiting op de AVG die vanaf dat moment van
toepassing was, in plaats van de Privacyrichtlijn.