In het eerste deel van deze blogreeks hebben wij de vraag beantwoord in hoeverre er een eigendomsrecht op data bestaat. Het korte antwoord hierop is dat in goederenrechtelijke zin er geen eigendomsrecht kan rusten op data. Dat betekent echter niet dat de gevolgen van een eigendomsrecht, zoals een vordering tot afgifte of vernietiging, compleet ontbreken.
In de vorige blog is ingegaan op welke contractuele mogelijkheden er zijn om een ‘semi-eigendomsrecht’ uit te oefenen op data. In deze blog behandelen wij de mogelijkheden die de Europese Algemene verordening gegevensbescherming (AVG) biedt voor handelingen die samenhangen met het eigendomsrecht.
Allereerst is van belang om op te merken dat data uiteraard kan bestaan uit allerlei verschillende soorten gegevens (in digitale vorm). De regelgeving van de AVG is beperkt tot data, bestaande uit persoonsgegevens. Kortweg wordt data als persoonsgegeven beschouwd indien het informatie is over een ‘geïdentificeerde of identificeerbare natuurlijk persoon’. Denk hierbij aan een naam, locatiegegevens of een combinatie van persoonskenmerken.
De met eigendomsrechten vergelijkbare rechten uit de AVG zijn dus enkel van toepassing op persoonsgegevens.
De AVG biedt de mogelijkheid om de organisatie die zijn persoonsgegevens verwerkt te vragen deze gegevens te verwijderen, te beperken, te wijzigen, inzage of een kopie te geven en over te dragen.
Voorbehouden aan natuurlijk persoon
Op basis van de AVG kun je dus enige zeggenschap uitoefenen over jouw persoonsgegevens en hoe deze gebruikt worden. Overigens zijn deze rechten voorbehouden aan de persoon wiens gegevens het betreft. Oftewel; bedrijven en publieke instellingen kunnen in beginsel geen beroep doen op deze rechten uit de AVG.
Het is wel mogelijk dat bedrijven of organisaties in naam van (een groep van) natuurlijke personen een vordering instellen op basis van de AVG. Denk bijvoorbeeld aan een collectief verzoek tot verwijdering van gegevens.
Verwerkingsverantwoordelijke – verwerker
Wees ervan bewust dat dit een andere situatie is dan de omstandigheid waarin een bedrijf of organisatie als verwerkingsverantwoordelijke om (bijvoorbeeld) vernietiging van persoonsgegevens verzoekt bij de verwerker. Uit de rechtsverhouding tussen de verwerkingsverantwoordelijke en de verwerker vloeit voort dat de verwerker enkel persoonsgegevens ‘in naam van’ de verwerkingsverantwoordelijke verwerkt. De verwerker is om die reden gebonden aan de instructies van de verwerkingsverantwoordelijke (die ook vaak contractueel zijn vastgelegd). De verwerkingsverantwoordelijke kan de verwerker dan bijvoorbeeld om vernietiging of overdracht verzoeken. Overigens kan dit recht van de verwerkingsverantwoordelijke wel beperkt worden door wettelijke bewaarplichten in andere regelgeving. Denk bijvoorbeeld aan fiscale bewaarplichten.
Nu de AVG personen een vorm van zeggenschap geeft over hun gegevens, kan je je afvragen of persoonsgegevens niet ‘gewoon’ onder het privaatrechtelijk eigendomsregime zouden moeten vallen. De ‘expertbijeenkomst Zeggenschap, eigenaarschap en persoonsgegevens’ heeft zich in 2021 over deze vraag gebogen. De getrokken conclusies zijn in 2022 door de staatsecretaris gedeeld met de Tweede Kamer. De conclusies van deze expertgroep komen samengevat op het volgende neer:
Het juridisch concept van eigendom is niet geschikt om toe te passen op persoonsgegevens. Een voorbeeld hiervan is dat een eigendomsrecht en daaruit voortvloeiende beschikkingsmacht overgedragen kan worden. De expertgroep stelt dat:
“Het ondenkbaar [is] en onwenselijk dat een betrokkene de zeggenschap over zijn persoonsgegevens aan een ander kan overdragen en vervolgens dus niets meer te zeggen zou hebben over zijn of haar gegevens.”
Als tweede reden geeft de expertgroep aan dat bepaalde gegevens – afhankelijk van de context en betekenis – in sommige gevallen een persoonsgegeven kunnen zijn, maar in sommige gevallen ook niet. Dit kan – volgens de expertgroep – afhankelijk zijn van veranderingen in technologie of verwerkingsdoeleinden. “Persoonsgegevens als voorwerp van rechten zijn niet stabiel genoeg om een voorwerp van eigendomsrechten te zijn.”
Een concreet voorbeeld van zo’n ‘fluctuerend (persoons)gegeven’ geeft de expertgroep niet, maar je zou hier kunnen denken aan een kentekennummer of klantnummer. Dit zijn gegevens die leiden tot een ‘geïdentificeerde of identificeerbare natuurlijk persoon’ indien aanvullende gegevens voorhanden zijn (ook wel een ‘indirect persoonsgegeven’). Echter zullen deze gegevens niet voor iedereen als (direct) persoonsgegeven gelden.
De AVG biedt voor natuurlijke personen wiens gegeven het betreft een aantal rechten die inhoudelijk gezien vallen onder het eigendomsrecht. Deze rechten kunnen niet uitgeoefend worden door bedrijven of organisaties, tenzij deze in naam van de natuurlijke persoon een vordering instellen.
Wettelijk gezien zijn persoonsgegevens (evenals andere digitale gegevens) echter geen goederenrechtelijke eigendomsrechten. Als verwerkingsverantwoordelijke van bepaalde persoonsgegevens heb je tegenover de verwerker van die persoonsgegevens wel mogelijkheden deze bijvoorbeeld te vorderen of te (laten) vernietigen. Deze rechten komen echter voort uit de rechtsverhouding tussen partijen, niet uit het eigendomsrecht.
Onze specialisten van Team Commercial Contracting helpen u uiteraard graag bij vraagstukken over persoonsgegevens en privacyregelgeving.