Sinds het Google Spain-arrest uit 2014 is het duidelijk: op grond van de Databeschermingsrichtlijn 1 hebben betrokkenen het recht om de verwerker van hun persoonsgegevens te verzoeken om deze verwerking te staken en hun gegevens te verwijderen.2 In de Google Spain-zaak ging het om Maria Costeja González, van wie artikelen uit een Spaans dagblad op het internet circuleerden in verband met een veiling van panden vanwege een schuld jaren nadat dit zich heeft afgespeeld. Gonzalez verzocht daarop bij de Spaanse privacywaakhond dat de pagina’s werden verwijderd, of zodanig gewijzigd zouden worden dat de persoonsgegevens niet langer werden getoond, hetzij door het dagblad, hetzij door Google. De toezichthouder wees dit toe ten aanzien van Google, waarop Google beroep heeft ingesteld en de Spaanse rechter prejudiciële vragen heeft gesteld aan het Hof van Justitie.

De uitkomsten en resultaten van Google Spain
Het Hof van Justitie gaf als antwoord op de prejudiciële vragen onder meer dat betrokkenen het recht hebben om de verwerker te verzoeken te stoppen met het verwerken van en het overgaan tot verwijderen van hun persoonsgegevens. Hierbij is van belang of “de betrokkene recht erop heeft dat de aan de orde zijnde informatie over hem thans niet meer met zijn naam wordt verbonden via een resultatenlijst die wordt weergegeven nadat op zijn naam is gezocht3. Hierbij is niet relevant de betrokkene schade wordt berokkent door opname van zijn informatie in de resultatenlijst. Dit recht zet zowel het economische belang van de verwerker opzij als het recht van het publiek op informatie over de betrokkene, tenzij het gaat om bijzondere omstandigheden zoals mensen met een bijzondere rol in het publieke leven. Een politicus kan dus niet zomaar hem onwelgevallige zoekresultaten laten verwijderen.
De vraag is echter of de gewone burger dat wel kan: volgens berichtgeving van de NOS wordt het grootste deel van de verzoeken om links te verwijderen afgewezen.4. Uit een rapport van Google, het Transparency Report genoemd, blijkt dat van de in totaal 134.433 bezwaarlijke links in 36 901 Nederlandse verzoeken tussen 28 mei 2014 en 27 februari 2018 er maar 46,8% zijn verwijderd. Google geeft zelf in haar rapport aan dat dit met name komt vanwege het bestaan van alternatieve oplossingen, technische redenen en dubbele URL’s.

The right to be forgotten en de AVG
Zoals u wellicht al wel verwachtte is in de Algemene Verordening Gegevensbescherming die vanaf 25 mei 2018 gehandhaafd zal worden het recht om vergeten te worden ook opgenomen. In artikel 17 van de AVG is het recht op gegevenswissing, of “recht op vergetelheid” opgenomen volgens de Nederlandse wetstekst. De grondslagen hiervoor zijn in lid 1 opgesomd, namelijk indien (sub a) de persoonsgegevens niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt, een voorwaarde waarin de doelbinding voor verwerking van persoonsgegevens goed te herkennen is, (sub b) indien de betrokkene de toestemming die hij oorspronkelijk heeft gegeven voor verwerking intrekt en er geen andere rechtsgrond is voor verwerking, (sub c) indien de betrokkene overeenkomstig artikel 21 lid 1 of 2 AVG bezwaar maakt tegen de verwerking, (sub d) de persoonsgegevens onrechtmatig zijn verwerkt, (sub e) de persoonsgegevens moeten worden gewist in verband met een wettelijke verplichting daartoe voor de verwerkingsverantwoordelijke, of ten slotte (sub f) wanneer de persoonsgegevens zijn verzameld in verband met een aanbod van diensten in de informatiemaatschappij ex artikel 8 lid 1 AVG.

Wat als je verzoek wordt afgewezen?
Het lijkt erop alsof mensen het recht om vergeten te worden tot nu toe niet altijd konden uitoefenen. Gelukkig bestaat er de mogelijkheid om hulp te vragen bij de Autoriteit Persoonsgegevens. Tot mei 2017 heeft de AP van 155 mensen verzoeken gekregen om hen te helpen zoekresultaten te laten verwijderen uit een zoekmachine.5 Dit leidde tot 37 geslaagde inmengingen door de Nederlandse privacy-toezichthouder. Kan ook de AP niet helpen, dan staat nog de optie open om ex (naar huidig recht) artikel 46 Wbp een verzoekschrift aan de rechtbank te richten om de verantwoordelijke te bevelen alsnog de persoonsgegevens niet meer te verwerken en te verwijderen, met de standaard bestuursrechtelijke termijn van 6 weken na ontvangst van in dit geval het antwoord van de verwerkingsverantwoordelijke.

Het is dus maar de vraag in hoeverre het recht om vergeten te worden effectief is als uitwerking van het grondrecht op “the right to be left alone”. Ik zeg dan ook: het recht om vergeten te worden? Vergeet het maar!

Namens de Redactiecommissie,

Auke-Frank Tadema

  1. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens
  2. HvJ EU 13 mei 2014, zaak C-131/12 Google Spain / Costeja Gonzales, te vinden op http://curia.europa.eu/juris/document/document.jsf?docid=152065&doclang=NL
  3. Vgl. rechtsoverweging 99 van Google Spain, reeds aangehaald
  4. https://nos.nl/artikel/2219741-digitale-sporen-uitwissen-bij-google-lukt-vaker-niet-dan-wel.html
  5. https://autoriteitpersoonsgegevens.nl/nl/nieuws/ap-bemiddelt-52-keer-bij-verwijdering-zoekresultaten-google-en-bing