s aan de hand, of toch wel?
THEMA
2019-3 I Geo-Info
13
zodoende identificatie tot stand zou kunnen
brengen, zijn de data te beschouwen als
persoonsgegevens. Terecht kan dan de vraag
gesteld worden of het beschikbaar stellen van
open datasets en een middel waarmee die
datasets gekoppeld kunnen worden, geraakt
gaat worden door de AVG.
Algemene analyse
Alvorens toe te komen aan het linken van data
en de mogelijke gevolgen daarvan, dienen
we eerst te kijken naar de AVG consequenties
bij het beschikbaar stellen van datasets.
Om onder de AVG te vallen, dient er sprake te
zijn van mogelijke persoonsgegevens die in
een bestand zijn opgenomen. Daarbij is het
niet noodzakelijk dat er sprake is van geau
tomatiseerde verwerking. Bij het openstellen
van een dataset is het al goed gebruik om
te toetsen of het belang van de openbaar
heid zwaarder weegt dan het belang van
de bescherming van de persoonlijke levens
sfeer. Het uitgangspunt is hier dat, wanneer
er gegevens in de dataset staan over een
geïdentificeerde persoon, zo'n dataset -
wettelijke uitzonderingen daargelaten - niet
openbaar wordt gemaakt door de houder van
de dataset. Datzelfde is van toepassing indien
er gegevens instaan die direct of indirect
identificatie van de betrokkene door de hou
der tot stand kunnen brengen. Bijvoorbeeld
door aanvullende gegevens bij derden op
te vragen. Omdat de houder hierbij dus van
tevoren moet afwegen of zij over de hiertoe
benodigde (wettelijke) middelen kan beschik
ken, is dit een lastige afweging.
Nu kan het natuurlijk zo zijn dat er een dataset
na bovenstaande toetsing openbaar wordt
gemaakt en een derde partij deze dataset
weet te koppelen met andere open data
sets. In de ideale wereld zijn ook die andere
datasets van tevoren door de desbetreffende
houders getoetst op bovengenoemde
uitgangspunten en verandert het aan elkaar
linken van die verschillende open datasets
- die immers ieder afzonderlijk geen persoons
gegevens bevatten - niets. De AVG was en is
daarop niet van toepassing en je komt daarom
ook niet toe aan vraagstukken rondom een
voor verwerking van persoonsgegevens
benodigde grondslag, dataminimalisatie of
doelbinding.
Die vlieger gaat echter niet op indien die
derde partij zelf ook houder is van een dataset
waarin wel persoonsgegevens zijn opgeno
men en zij die bewuste dataset intern weet te
koppelen aan gegevens uit een open dataset.
Dat is een situatie die weliswaar in de dage
lijkse praktijk zal kunnen voorkomen, maar die
desondanks ten tijde van de beschikbaarstel
ling voor de houder van de open dataset niet
te voorzien was. Het is daarom ook niet die
houder die voor een dergelijke verwerking
verantwoordelijk kan worden gesteld, maar
juist de derde partij die voor de interne kop
peling en het gebruik van de aldus verkregen
extra informatie een grondslag dient te heb
ben zoals genoemd in de AVG.
Specifieke situaties
Voorgaande laat zien dat de basis in principe
goed is. Ook bij vaak gebruikte hypothetische
voorbeelden als een pedofiel die met behulp
van meerdere open datasets kan uitzoeken
welk zwembad in welke wijk ligt met de
meeste jonge kinderen, of een inbreker die
op basis van meerdere datasets een wijk kan
bepalen met de hoogste woningwaarde
en de hoogste gemiddelde leeftijd van de
bewoners is de basis goed. De discussie of
het vrij beschikbaar zijn van deze datasets
heeft bijgedragen aan het plegen van het
misdrijf, staat dus volledig los van de vraag
of het beschikbaar stellen en het gebruik van
de dataset in strijd is met de AVG. Ook als
persoonsgegevens bijvoorbeeld in het online
telefoonboek zijn opgenomen (op basis van
toestemming van de betreffende persoon),
dan is de gebruiker van die informatie (en niet
de aanbieder van het online telefoonboek)
fout bezig als hij deze persoonsinformatie kop
pelt aan andere data als daar geen grondslag
Hoe zit het dan met eventuele tussenperso
nen, zoals partijen die het doorzoeken van ver
schillende datasets faciliteren? De AVG is daar
helder over: op voorhand ben je als dataprovi-
der (tussenpersoon) niet direct verantwoorde
lijk (6:196c BW) om alle data en toepassingen
te controleren. Jurisprudentie rond bekende
