In een recente uitspraak van het Hof van Justitie zet de Europese rechter op een rijtje wanneer we spreken van identificeerbaarheid bij een persoonsgegeven. Het gaat in deze zaak specifiek om een persbericht van OLAF, het Europees Bureau voor fraudebestrijding. Het persbericht onthulde de fraude bij een Grieks onderzoeksproject gefinancierd door de EU. Het artikel beschrijft onder andere de betrokkenheid van een Griekse onderzoekster. Belangrijk detail: haar naam werd niet genoemd in het persbericht.
De onderzoekster vorderde een vergoeding van OLAF voor de immateriële schade die zij naar aanleiding van het persbericht zou hebben geleden. In beroep splitst de discussie zich onder andere toe op de vraag of de gegevens in het persbericht als persoonsgegevens moeten worden aangemerkt.
Onder persoonsgegevens wordt verstaan “iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon”. De vraag is dus of de gegevens in het persbericht leiden tot identificeerbaarheid van de onderzoekster.
Het Hof herhaalt eerst het bestaande beoordelingskader:
- Bij het bepalen van identificeerbaarheid moet rekening worden gehouden met “alle middelen waarvan redelijkerwijs te verwachten valt” dat zij door de verwerkingsverantwoordelijke óf door “een ander persoon” zullen worden gebruikt om een natuurlijk persoon “direct of indirect” te identificeren.
- Het feit dat extra informatie nodig is om de betrokkene te identificeren sluit niet uit dat het om persoonsgegevens gaat.
- Er moet rekening worden gehouden met alle objectieve factoren, zoals de kosten en tijd die nodig zijn voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van de verwerking en de technologische ontwikkelingen.
- Als identificatie een excessieve inspanning vergt, is geen sprake van persoonsgegevens.
In aanvulling daarop verduidelijkt het Hof dat:
- de extra informatie die gebruikt kan worden om een persoon te identificeren ook externe informatie kan zijn;
- identificeerbaarheid niet beperkt is tot de verwerkingsverantwoordelijke, maar ook ziet op elke andere persoon die de betrokkene kan identificeren; en
- er niet aangetoond hoeft te worden dat een persoon daadwerkelijk geïdentificeerd is om ‘identificeerbaarheid’ aan te nemen en te concluderen dat het om persoonsgegevens gaat.
Ook oordeelt het Hof dat het feit dat iemand daadwerkelijk geïdentificeerd is, niet per definitie zegt dat het om (een) persoonsgegeven(s) gaat. Er moet in dat geval nog altijd onderzocht worden of er redelijkerwijs te verwachten valt dat de persoon identificeerbaar is zonder excessieve inspanning.
Het Hof constateert uiteindelijk dat het persbericht op zichzelf dusdanig veel gegevens bevat dat die gezamenlijk door een bepaalde groep, met name door personen die op hetzelfde wetenschappelijke gebied werkzaam zijn en die de beroepsloopbaan van de onderzoekster kennen, redelijkerwijs tot haar identificatie kunnen leiden. Daarnaast bevat het bericht enkele sleutelelementen die in combinatie met publiek beschikbare informatie, die zonder excessieve inspanning verkrijgbaar is, ook kan leiden tot identificatie voor andere lezers. Conclusie: de gegevens uit het bericht zijn persoonsgegevens. Het doet er niet toe dat de naam van de onderzoekster niet genoemd is. Gevolg is dat de AVG van toepassing is en het Gerecht de vordering van de onderzoekster opnieuw moet beoordelen.
