De Wet bescherming persoonsgevens (Wbp) definieert persoonsgegevens in artikel 1 sub a Wbp als volgt: “elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. Dat lijkt misschien een open deur. Namen zijn persoonsgegevens, net als een burgerservicenummer. Maar ook een vingerafdruk of een druppel bloed zijn persoonsgegevens. Toch is er in de praktijk nog wel eens onduidelijkheid over wanneer persoonsgegevens nu vallen binnen de definitie van de Wbp. En dat is wel belangrijk, want of een gegeven een persoonsgegeven is, is eigenlijk de eerste vraag die gesteld moet worden. Is het antwoord namelijk negatief, dan zijn de gegevens geen persoonsgegevens en is de Wbp niet van toepassing.
Kentekens Hoe zit dat nou met kentekens? Eerder schreef ik al over de definitie van persoonsgegevens en de elementen ervan. Er moet kort samengevat een verband bestaan tussen het gegeven en de persoon. Degene die de verantwoordelijke is voor de gegevens, moet zonder al teveel inspanning de persoon kunnen identificeren. Dat betekent dat als een bedrijf of overheidsinstelling alleen de informatie van het kenteken zelf bezit, nog geen natuurlijke personen kan identificeren. Daar is aanvullende informatie voor nodig, bijvoorbeeld toegang tot het Kentekenregister van de RdW. Niet ieder bedrijf en niet iedere overheidsinstelling heeft toegang tot dat register. Kentekens zijn dus niet altijd persoonsgegevens, alleen als deze gecombineerd worden met andere gegevens. De toezichthouder draait het om: kentekens zijn alleen persoonsgegevens voor diegenen die toegang hebben tot het register.
Raad van State De Raad van State heeft deze week uitspraak gedaan in een zaak waarbij deze vraag weer speelde. Wat was er aan de hand? X had een inzageverzoek gedaan bij de Belastingdienst op grond van artikel 35 Wbp. X vroeg om inzage in de gegevens die de Belastingdienst door middel van foto’s gemaakt op de snelweg (door middel van Automatic Number Plate Recognition, ANPR) van hem had verzameld in een periode vanaf 2010. Voor de Belastingdienst zijn deze gegevens relevant, omdat zij op basis van het kenteken en bijbehorende informatie kunnen achterhalen of iemand bijvoorbeeld teveel niet-zakelijke kilometers met zijn auto rijdt terwijl hij geen bijtelling betaalt. In dat kader bewaart de Belastingdienst de gegevens vijf jaar. X wilde vervolgens ook verwijdering van deze gegevens omdat er volgens hem helemaal geen wettelijke grondslag is voor de Belastingdienst om deze gegevens te bewaren.
De rechtbank oordeelde dat: “Gelet op artikel 1 van de Wbp kunnen deze gegevens, betreffende een kenteken dat in het Kentekenregister op naam van een niet-natuurlijke persoon staat geregistreerd, niet worden gekwalificeerd als persoonsgegevens in de zin van artikel 35 van de Wbp.”. De rechtbank bedoelt hiermee dat de Belastingdienst geen inzage hoeft te geven nu de Wbp niet van toepassing is omdat de Wbp alleen geldt voor persoonsgegevens van natuurlijke personen. Zakelijke gegevens zijn geen persoonsgegevens in de zin van de wet.
X was het hier echter niet mee eens en ging in hoger beroep. De naheffing die hij had ontvangen op basis van de door de Belastingdienst geraadpleegde gegevens, was een persoonlijke naheffing. De Raad van State gaat hierin mee. Kentekens zijn persoonsgegevens omdat de Belastingdienst alleen al door hun eigen database te raadplegen, personen kunnen identificeren.
De Raad van State sluit aan bij een arrest van de Hoge Raad van 24 februari 2017. De Raad van State benadrukt net als de Hoge Raad dat voor de verwerking van persoonsgegevens een wettelijke grondslag nodig is, nu het verwerken een inbreuk maakt op de persoonlijke levenssfeer. De eerbiediging van de persoonlijke levenssfeer is in Nederland een grondrecht. Daarnaast bepaalt artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) dat inmenging in iemands privéleven alleen mag als dit bij wet is voorzien.
De Raad benadrukt dat daarbij: “de burger met voldoende precisie kan opmaken welke op zijn privéleven betrekking hebbende gegevens met het oog op de vervulling van een bepaalde overheidstaak kunnen worden verzameld en vastgelegd, en onder welke voorwaarden die gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt.”
Volgens de Raad van State heeft de Belastingdienst geen specifieke wettelijke grondslag om de ANPR-gegevens van X te verzamelen. De Belastingdienst is in zijn algemeenheid belast met de heffing en invordering van rijksbelastingen, maar een specifieke grondslag ontbreekt. De Raad oordeelt daarom dat de persoonsgegevens van voor de bewaarplicht van vijf jaar moeten worden verwijderd.
Conclusie Deze uitspraak leert ons dat kentekens inderdaad persoonsgegevens kunnen zijn als ze herleidbaar zijn tot een individu. De Raad benadrukt ook dat er een wettelijke grondslag moet zijn voor de verwerking van persoonsgegevens. De wettelijke bevoegdheden van de Belastingdienst zijn volgens de Raad te algemeen geformuleerd, zodat het bewaren van de ANPR-gegevens niet is toegestaan. LET OP: Deze blog is geschreven voor de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG). Deze blog is daarom (deels) achterhaald. Neemt u voor actuele informatie contact met ons op.