We kennen allemaal de verwijderingsverzoeken die Google krijgt omdat mensen niet blij zijn met wat er over ze op internet te vinden is. Het gaat inmiddels om miljoenen verzoeken. Bij elk van die verzoeken moeten het economisch belang van Google worden afgewogen tegen het privacy belang van degene die het ‘right to be forgotten’ verzoek (‘RBTF’) indient. De Hoge Raad heeft nu voor het eerst geoordeeld dat daarbij doorgaans het belang van de verzoeker zwaarder moet wegen.

Op 13 mei 2014 heeft het Hof van Justitie van de Europese Unie (“HvJ EU”) in het baanbrekende Costeja arrest[1] voor het eerst geoordeeld dat het weergeven van persoonsgegevens in zoekresultaten een verwerking van persoonsgegevens kan opleveren. De betrokkene kan onder omstandigheden op grond van de Dataprotectierichtlijn (“Richtlijn”)[2] deze persoonsgegevens laten verwijderen. Nu heeft ook de Hoge Raad voor de eerste maal geoordeeld over het ‘recht om vergeten te worden’.

 Wat is het recht om vergeten worden?

In de Costeja-zaak oordeelde het HvJ EU dat de activiteit van een zoekmachine die erin bestaat door derden op het internet gepubliceerde of opgeslagen informatie te vinden een verwerking van persoonsgegevens in de zin van de Richtlijn oplevert. Zoekmachine exploitanten, zoals bijvoorbeeld Google en Bing, zijn verantwoordelijke voor die verwerking van persoonsgegevens.

Het HvJ EU oordeelde verder dat een zoekmachine exploitant verplicht is om bij zoekresultaten die na een zoekopdracht op de naam van een persoon wordt weergegeven, de koppelingen te verwijderen naar webpagina’s van derden waarop informatie over deze persoon is te vinden. Zelfs indien deze naam of deze informatie niet vooraf of gelijktijdig van deze webpagina’s is gewist en, in voorkomend geval, zelfs wanneer de publicatie ervan op deze webpagina’s op zich rechtmatig is.[3] Hieruit volgt dat het recht van de betrokkenen om ‘vergeten’ te worden ook geëffectueerd kan worden als een aanvankelijk rechtmatige verwerking van exacte gegevens na verloop van tijd niet langer met de Richtlijn verenigbaar is omdat deze gegevens niet langer noodzakelijk zijn voor de doeleinden waarvoor zij zijn verzameld of verwerkt. Dit is met name het geval wanneer deze gegevens gelet op deze doeleinden en gelet op de verstreken tijd ontoereikend, niet of niet meer ter zake dienend of bovenmatig zijn.[4]

 Welke belangenafweging dient er gemaakt te worden?

Het HvJ EU oordeelde ook dat bij de belangenafweging artikel 7 (eerbiediging van het privé leven) en artikel 8 (bescherming persoonsgegevens) van het Europese Handvest[5] gewaarborgde grondrechten zijn die in beginsel voorop moeten worden gesteld. Dit zal niet het geval zijn indien de inmenging in de grondrechten van de betrokkene wegens bijzondere redenen zoals de rol die deze persoon in het openbare leven speelt, wordt gerechtvaardigd door het overwegende belang dat het publiek heeft om, door deze opneming, toegang tot de betrokken informatie te krijgen.[6]

Als gevolg van het Costeja-arrest is er een stroom aan met name lagere jurisprudentie[7] ontstaan over de vraag onder welke voorwaarden persoonsgegevens verwijderd dienen te worden door met name Google. Nu is er dus voor het eerst een arrest van de Hoge Raad.[8]

Wat zijn de feiten?

Eiser is in een aflevering van ‘Misdaadverslaggever’ van Peter R. de Vries verschenen. In de aflevering vertelt eiser, op heimelijke wijze via camera opgenomen, dat hij voornemens is om een concurrente in de escortbranche te laten liquideren. Eiser is mede op grond van de camerabeelden vervolgens veroordeeld tot zes jaar gevangenisstraf in eerste aanleg. Vervolgens is eiser in verschillende media genoemd waarbij steeds zijn volledige voornaam, tussenvoegsel en de eerste letter van zijn achternaam is gebruikt. Er is daarna ook een boek verschenen over deze zaak waarbij feiten en fictie door elkaar heen lopen. Eiser heeft vervolgens vastgesteld dat als zijn volledige voor- en achternaam bij Google Search worden ingetypt er zoekresultaten worden weergegeven van webpagina’s op amazon.com, books.google.nl en abebooks.com (“URL’s”) waarop informatie staat over het boek alsmede een verwijzing naar een artikel in het Algemeen Dagblad waarin wordt gesproken over veroordeling en de uitzending van ‘Misdaadverslaggever’.

Wat wil eiser bereiken?

Eiser is van mening dat de weergave van zijn persoonsgegevens in de bovengenoemde URL’s een inbreuk op zijn persoonlijke levenssfeer oplevert en vordert verwijdering van de zoekresultaten en doet daarbij zowel een beroep op art. 36 (verwijdering en afscherming van persoonsgegevens) als op art. 40 (verzet tegen verwerking persoonsgegevens wegens bijzondere omstandigheden) van de Wet bescherming persoonsgegevens (“Wbp”).

Wat hebben de rechtbank en het Hof geoordeeld?

Eiser wordt in zowel kort geding als in hoger beroep in het ongelijk gesteld en het gerechtshof stelt daarbij vast dat eiser in beginsel het recht heeft om vergeten te worden en kan verlangen dat de op hem betrekking hebbende informatie niet meer door opneming in een resultatenlijst van een zoekmachine ter beschikking wordt gesteld aan het grote publiek. Echter, verwijdering van de zoekresultaten is in het onderhavige geval niet gerechtvaardigd omdat eiser, kort gezegd, wordt vervolgd voor een recentelijk begaan ernstig misdrijf en daarvoor in eerste aanleg al is veroordeeld en dat hem niet het recht toekomt te worden gevrijwaard van zoekresultaten waardoor het publiek eiser mogelijk in verband kan brengen met dit misdrijf.

Wat oordeelt de Hoge Raad?

De Hoge Raad stelt in lijn met het Costeja arrest vast dat bij de beoordeling van een verzoek tot verwijdering het privacybelang van de betrokkene in de regel zwaarder weegt dan het economisch belang van de zoekmachine exploitant, en dat dit anders kan zijn in bijzondere gevallen, wanneer sprake is van bijzondere redenen die de inmenging in het recht op privacy rechtvaardigen.

Ten aanzien van de vraag of er in dit geval sprake is van bijzondere redenen stelt de Hoge Raad vast dat het Hof had behoren na te gaan of het publiek er belang bij heeft dat de desbetreffende zoekresultaten worden getoond als op de volledige naam van eiser wordt gezocht.. Het Hof heeft wel vastgesteld dat indien er sprake is van een ernstig delict, het publiek een groot belang heeft om geïnformeerd te worden over dit delict alsmede dat eiser de publicaties aan zichzelf heeft te wijten en dat die omstandigheden ertoe hebben geleid dat de publicatie omtrent de veroordeling van eiser rechtmatig is geweest. De Hoge Raad merkt in dat verband eerst op dat uit het Costeja arrest volgt dat ook bij een rechtmatige publicatie de betrokkene zijn recht om vergeten te worden met succes kan effectueren. De Hoge Raad maakt vervolgens korte metten met de voornoemde overwegingen van het Hof en stelt vast dat zij niet had mogen volstaan met deze constatering maar dat het Hof de elementen zoals het belang van het publiek om informatie te verkrijgen omtrent veroordeling van eiser, de rol die eiser in het openbare leven speelt alsmede de aard en omvang van het belang van eiser in een belangenafweging had moeten betrekken.

Ook het oordeel van het Hof dat het publiek dat zoekt op de volledige voornaam en achternaam van eiser niet met zekerheid kunnen vaststellen dat of de URL’s informatie bevatten over eiser omdat daar alleen zijn voorletter, tussenvoegsel en eerste letter van zijn achternaam is vermeld, getuigt van een onjuiste rechtsopvatting volgens de HR. De eiser heeft immers voldoende belang tegen de vermelding op te treden als een aanzienlijk deel van het publiek zal veronderstellen dat hij de persoon is die daarin wordt bedoeld, zo oordeelt de Hoge Raad.

 Is het oordeel van de Hoge Raad wenselijk?

In overwegingen 80, 81, 88 en 97 van het Costeja-arrest wordt door het HvJ EU een duidelijk kader geschapen dat gehanteerd moet worden bij de belangenafweging. Het Hof heeft in haar arrest in het midden gelaten of zij bovengenoemde belangenafweging heeft toegepast almede hoe zij de overige relevante omstandigheden zoals het belang van het publiek om kennis te nemen van de veroordeling van eiser en bijvoorbeeld de aard en omvang van het belang van eiser heeft gewogen in die belangenafweging. Nu dergelijke elementen ontbreken, is het onduidelijk hoe die elementen in de belangenafweging onderling hebben uitgewerkt. Mijn inziens heeft de Hoge Raad het arrest van het Hof Amsterdam dan ook met een juiste motivering vernietigd.

Verder vind ik het wel opvallend dat de Hoge Raad niet van de gelegenheid gebruik heeft gemaakt om de verwerking van de bijzondere strafrechtelijke gegevens door exploitanten van zoekmachines nader te duiden. Deze zaak leende zich immers bij uitstek voor een nadere uitleg van de Hoge Raad hoe om te gaan met de verwerking van strafrechtelijke persoonsgegevens door exploitanten van zoekmachines.

In de conclusie van Advocaat-Generaal Jääskinen voorafgaand aan het Costeja arrest is expliciet door hem overwogen dat; “voor de verwerking van de persoonsgegevens op bronpagina’s van derden die ergens “bijzondere” gegevens in de zin van artikel 8 van de richtlijn (..) zouden bevatten automatisch illegaal worden zodra niet is voldaan aan de strenge voorwaarden die dat artikel stelt aan de verwerking van zulke gegevens.” [9]

 Hoewel in lagere jurisprudentie[10] al wel eens is geoordeeld dat de verwerking van strafrechtelijke persoonsgegevens door middel van zoekmachines in strijd is met de Wbp, was het desondanks wenselijk geweest als de Hoge Raad de verwerking van bijzondere persoonsgegevens en art. 16 Wbp in dit verband had uitgelegd. In art. 16 Wbp wordt immers bepaald dat de verwerking van persoonsgegevens van strafrechtelijke aard in beginsel verboden is, behoudens de uitzonderingsgronden van art. 22 jo. art 23 Wbp. Op grond van de huidige uitzonderingen in de Wbp kan Google Search de verwerking van bijzondere strafrechtelijke persoonsgegevens niet rechtvaardigen, zodat de verwerking van persoonsgegevens in beginsel in strijd zou zijn met de Richtlijn en de Wbp en een illegaal karakter verkrijgen. Tegenover het illegale karakter van de verwerking van bijzondere persoonsgegevens van de exploitant van de zoekmachine, staat natuurlijk het algemene belang dat de Google middels haar zoekmachine dient. Google Search speelt in mijn ogen een essentiële rol bij het beschikbaar maken en houden van relevante informatie, waaronder ook strafgegevens kunnen vallen. Het zou mijns inziens onder voorwaarden mogelijk moeten zijn om informatie over strafrechtelijke persoonsgegevens te laten verwerken door exploitanten van zoekmachines.[11] Het lijkt niet wenselijk als Google Search in het geheel geen bijzondere persoonsgegevens zou mogen verwerken aangezien het recht op toegang tot informatie dan onevenredig zou worden geschaad.

Het is dat belang dat in deze onbelicht is gebleven. Gezien de veelheid aan RTBF verzoeken lijkt het echter een kwestie van tijd voordat deze vraag specifiek door de Hoge Raad beantwoord zal moeten worden.

Lex Keukens

[1] HvJ EU, 13 mei 2014, C-131/12, (Google Spain/AEPD en Mario Costeja González).

[2] Pbl EU, Richtlijn 95/46/EG van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens’, L 336/1.

[3] HvJ EU, 13 mei 2014, C-131/12, r.o 88.

[4] HvJ EU, 13 mei 2014, C-131/12, r.o. 93 en 94.

[5] Pbl EU, Handvest van de Europese Unie, 26 oktober 2012, C 326/02.

[6] HvJ EU, 13 mei 2014, C-131/12, r.o. 97 e.v.

[7] Zie recentelijk bijvoorbeeld Rb. Midden-Nederland, 20 februari 2017, ECLI:NL:RBMNE:2017:805; Rb. 25 januari 2017, ECLI:NL:RBOVE:2017:278.

[8] HR 24 februari 2017, ECLI:NL:HR:2017:316.

[9] Conclusie van advocaat-generaal N. Jääskinen van 25 juni 2013 bij HvJ EU 13 mei 2014, nr. C-131/12, (Google Spain/AEPD en Mario Costeja González), r.o 90.

[10] Rb. Rotterdam, 14 april 2016 r.o. 4.10.4; “Nu het verzoek strafrechtelijke persoonsgegevens betreft, geldt in beginsel het verbod van verwerking van deze gegevens zoals is bepaald in artikel 16 Wbp. Voorts is niet gebleken van een van de uitzonderinggronden die limitatief en exclusief zijn opgesomd in artikel 22 Wbp op de toepassing van het verbod tot verwerking van de strafrechtelijke persoonsgegevens. Hoewel de rechtbank zich bewust is van het vergaande praktische gevolg voor de verwerking van strafrechtelijke persoonsgegevens door de exploitant van een zoekmachine, acht de rechtbank de conclusie onvermijdelijk dat er in dit geval sprake is van een toepasselijk verbod op de verwerking van strafrechtelijke persoonsgegevens. De rechtbank acht derhalve het verzoek om Google te bevelen de verwijzing naar de weblinks die voortkomen uit de zoekopdracht naar de naam van verzoeker uit de zoekresultaten te verwijderen dan wel af te schermen, reeds hierom toewijsbaar.”

[11] Zie in dit verband; Mr. F.C. van der Jagt, Computerrecht 2015/126.

Vorige week zondag tijdens Zwolle-Ajax werden de naar Zwolle meegereisde Ajax supporters begeleid door stewards die uitgerust waren met bodycams. Het zou om een pilot gaan, vertelde Ajax haar supporters. Nadere analyse leerde toen dat de inzet van bodycams een verwerking van bijzondere persoonsgegevens oplevert en inbreuk maakt op de privacy van de toeschouwers. Ajax berichtte haar supporters vervolgens dat de pilot gestaakt zou worden en een nader gesprek met supporters zou plaatsvinden. Afgelopen zondag speelde Ajax de (altijd lastige) uitwedstrijd tegen Utrecht in de Galgenwaard. De meegereisde toeschouwers van Ajax mochten juichen vanwege de drie punten die werden behaald, maar werden direct bij de ingang in de Galgenwaard geconfronteerd met stewards met honden[1] waarop camera’s bevestigd waren. Dit keer waren de camera’s dus niet op de stewards zelf maar op de honden bevestigd. Uit de manier waarop de “cam dogs” werden ingezet werd ook wel duidelijk dat de honden daar niet waren om de wedstrijd te filmen maar de supporters. Nu is de vraag gerezen of de inzet van honden met camera wel in lijn is met de bescherming van de persoonlijke levenssfeer van de toeschouwer?

Verwerking van bijzondere persoonsgegevens

Ook hier is duidelijk dat het vastleggen van toeschouwers door middel van een camera bevestigd op een hond een verwerking van persoonsgegevens oplevert en daarmee binnen de reikwijdte van de Wet bescherming persoonsgegevens (hierna: “Wbp”) valt.

Het was afgelopen zondag niet duidelijk of de honden onder de verantwoordelijkheid van stewards van Ajax of Utrecht vielen, maar duidelijk is wel dat één van beide clubs degene is die het doel (dadergerichte aanpak verbeteren) en de middelen (camera op hond) voor de verwerking van de persoonsgegevens bepaalt en daarmee verantwoordelijk voor de gegevensverwerking is. Ook nu geldt dat camerabeelden bijzondere persoonsgegevens bevatten en dat er geen grondslag in de Wbp. is om zonder uitdrukkelijke toestemming de bijzondere persoonsgegevens te verwerken.

Het standpunt van de voetbalclub (Ajax en/of Utrecht) ten aanzien van de inzet van honden met camera is niet bekend maar waarschijnlijk zullen zij zich, net zoals Ajax dat eerder al deed met betrekking tot de inzet van bodycams, beroepen op de KNVB standaardvoorwaarden en de huisregels van de exploitant van het stadion. Net zoals dat bij de inzet van de bodycams gold, zonder uitdrukkelijke toestemming van de toeschouwers en zonder overige rechtsbasis in de Wbp levert de inzet van honden met camera een onrechte verwerking van bijzondere persoonsgegevens op.

Zowel de inzet van de bodycam als de inzet van honden met camera zonder grondslag in de Wbp. levert een onrechtmatige gegevensverwerking op. Zoals ik eerder al aangaf hebben toeschouwers verschillende mogelijkheden om op te treden tegen deze onrechtmatige verwerking van bijzondere persoonsgegevens.

Advies

En ik waarschuw de clubs vast, dit geldt ook als er volgende week drones met camera’s boven het supportersvak hangen.

[1] Facebookpagina F side; <https://www.facebook.com/Fsidenl/>

Afgelopen zondag tijdens Zwolle – Ajax werden de naar Zwolle meegereisde Ajax supporters begeleid door stewards die uitgerust waren met bodycams. Navraag heeft inmiddels uitgewezen dat Ajax een pilot is gestart om middels bodycams haar dadergerichte aanpak te verbeteren. De vraag is of de inzet van bodycams wel in lijn is met de bescherming van de persoonlijke levenssfeer van de toeschouwer?

Wat is een bodycam?

Bodycam is een camera die op het lichaam wordt geplaatst ter beveiliging van politie, of opsporing en / of vastlegging van strafbare feiten. De inzet van bodycams valt onder het bredere begrip cameratoezicht.

Verwerking van bijzondere persoonsgegevens

Het vastleggen van toeschouwers op video door middel van bodycams kwalificeert als een z.g. verwerking van persoonsgegevens en valt daarmee binnen de reikwijdte van de Wet bescherming persoonsgegevens (hierna: “Wbp”).

Ajax is degene die het doel (dadergerichte aanpak verbeteren) en de middelen (bodycam op stewards) voor de verwerking van de persoonsgegevens bepaalt en is daarmee verantwoordelijk voor de gegevensverwerking.

Hoogstwaarschijnlijk levert het vastleggen van toeschouwers op video zelfs een verwerking van bijzondere persoonsgegevens op. Immers het vastleggen van toeschouwers op video kan informatie geven over de godsdienst of het ras[1] van de toeschouwer. [2] Verder kan aan de hand van de videobeelden worden achterhaald of de beelden bijvoorbeeld informatie bevatten over de gezondheid van een toeschouwer. Voor verwerking van bijzondere persoonsgegevens geldt het verzwaarde regime uit de Wbp.

Nou is het niet zo dat iedere verwerking van persoonsgegevens door middel van camera’s direct een verwerking van bijzondere persoonsgegevens[3] oplevert, echter als de verwerking van persoonsgegevens door inzet van camera’s identificatie tot doel heeft, dan worden deze beelden wel aangemerkt als verwerking van bijzondere persoonsgegevens.[4] De inzet van de bodycams door Ajax teneinde toeschouwers te identificeren levert de verwerking van bijzondere persoonsgegevens op waarvoor het verzwaarde regime uit de Wbp geldt.

Wanneer is de verwerking van bijzondere persoonsgegevens toegestaan?

Wil de verwerking van bijzondere persoonsgegevens in lijn met de Wbp zijn, dan is het noodzakelijk dat Ajax de inzet van bodycams kan baseren op één van de specifieke uitzonderingsgronden van art. 17 tot en met art. 2 Wbp of één van de algemene uitzonderingsgronden van art. 23 Wbp. De specifieke uitzonderingsgronden zijn niet van toepassing in het onderhavige geval en van de zeven algemene uitzonderingen zou mogelijk alleen de uitzondering van art. 23 lid sub f Wbp in aanmerking kunnen komen. In dat artikel wordt bepaald dat de gegevensverwerking noodzakelijk is met het oog op een zwaarwegend algemeen belang, er passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer en dit bij wet wordt bepaald dan wel de Autoriteit Persoonsgegevens ontheffing heeft verleend.

Standpunt Ajax

Ajax meent dat het opsporen van daders van strafbare gedragingen alsmede het voorkomen van nieuwe strafbare feiten is toegestaan op grond van de bepalingen van de KNVB standaardvoorwaarden alsmede de huisregels van de stadions, zo stelt zij zelf. Daarmee zegt Ajax eigenlijk dat zij via de KNVB standaardvoorwaarden de uitdrukkelijk toestemming van de toeschouwer heeft verkregen voor de verwerking van zijn (bijzondere) persoonsgegevens.

Via de KNVB standaardvoorwaarden is het niet mogelijk om de uitdrukkelijke toestemming van de toeschouwer voor de verwerking van bijzondere persoonsgegevens te verkrijgen. Uitdrukkelijke toestemming betekent dat de toeschouwers het gebruik van gegevens daadwerkelijk zelf heeft gewild en voldoende geïnformeerd is geweest om de reikwijdte van zijn toestemming te overzien. Daarvan is geen sprake.

Voorzover Ajax door middel van de inzet van bodycams bijzondere persoonsgegevens van toeschouwers verwerkt, dat lijkt zij daarbij niet te voldaan aan de zware criteria van art. 23 lid 1 sub f Wbp. Immers, het lijkt zeer twijfelachtig of in het onderhavige geval sprake is van een zwaarwegend algemeen belang en passende waarborgen zijn geboden ter bescherming van persoonlijke levenssfeer van de toeschouwer. In de KNVB standaardvoorwaarden wordt nergens melding gemaakt van de inzet van bodycams, noch wordt er informatie gegeven over de doeleinden van de verwerking, de bewaartermijn van de video’s, alsmede de wijze waarop de inbreuk op de persoonlijke levenssfeer van de betrokkene wordt geminimaliseerd. Daarmee lijkt de gegevensverwerking niet te voldoen aan de eisen van subsidiariteit en proportionaliteit. Verder lijkt er ook geen wettelijke grondslag te zijn noch sprake te zijn van een ontheffing door de Autoriteit Persoonsgegevens. Er lijkt hier dan ook sprake te zijn van een onrechtmatige gegevensverwerking.

Juridische mogelijkheden voor toeschouwers

De AFCA Supportersclub en de F-Side hebben zich inmiddels tegen de pilot uitgesproken en achten de pilot inbreuk maken op de persoonlijke levenssfeer van toeschouwers. De toeschouwers die menen dat hun persoonsgegevens onrechtmatig worden verwerkt hebben een aantal mogelijkheden om actie te ondernemen.

De eerste optie is het indienen van een klacht bij Ajax omtrent de verwerking van de persoonsgegevens. Het lijkt erop dat de AFCA Supportersclub dit inmiddels bij de clubleiding van Ajax heeft gedaan.

De tweede optie is dat de toeschouwer kan verzoeken om inzage in zijn persoonsgegevens bij Ajax. In beginsel zal Ajax binnen vier weken moeten mededelen of er persoonsgegevens worden verwerkt, en zo ja, welke persoonsgegevens worden verwerkt alsmede voor welke doeleinden die gegevens worden verwerkt. In aanvulling op het recht op inzage kan de toeschouwer vervolgens verzoeken om persoonsgegevens te verwijderen of af te schermen indien deze persoonsgegevens voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn dan wel anderszins in strijd zijn met een wettelijk voorschrift worden verwerkt.

De derde optie is dat de toeschouwer de mogelijkheid heeft om verzet aan te tekenen tegen de verwerking van zijn persoonsgegevens, echter daarvoor zal de toeschouwer wel persoonlijke omstandigheden moeten aanvoeren. Er zal dan een belangenafweging per individuele toeschouwer moeten plaatsvinden.

De vierde optie is het initiëren van een gerechtelijke procedure en de rechter verzoeken om Ajax een verbod op te leggen op verdere verwerking van zijn persoonsgegevens en daarbij verzoeken om schadevergoeding.

Conclusie

De inzet van bodycams door Ajax zonder grondslag in de Wbp. levert een onrechtmatige gegevensverwerking op. De toeschouwers hebben verschillende opties om de gegevensverwerking een halt toe te roepen. Het laatste woord is hier dus nog niet over gesproken.

[1] Kamerstukken II 1997/98, 25 892, nr. 3 p. 105; zie ook HR 23 maart 2010 ECLI:NL:HR:2010:BK6331, r.o. 2.6.

[2] Autoriteit persoonsgegevens, ‘Beleidsregels voor toepassing van bepalingen uit de Wet bescherming persoonsgegevens en de Wet politiegegevens’, 28 januari 2016, p. 25.

[3] Verordening (EU) 2016/679 van het Europees parlement en de raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), L 119/1,; “The processing of photographs will not systematically be a sensitive processing..”

[4] Autoriteit persoonsgegevens, ‘Beleidsregels voor toepassing van bepalingen uit de Wet bescherming persoonsgegevens en de Wet politiegegevens’, 28 januari 2016, p. 26.