Brein tegen ING: Een verdieping in het privacyrechtelijke doelbindingsbeginsel

Een redactionele bijdrage van Sil Kingma, SOLV Samen.

Onlangs heeft Stichting Brein de rechter gevraagd om ING te gebieden om de NAW-gegevens van gevolmachtigden op een bepaalde bij ING aangehouden rekeningnummer te verstrekken [red. IEF 12670]. Brein is bekend geraakt met het rekeningnummer omdat hiernaar op een website van FTD World, de vermeende inbreukmakende partij, wordt verwezen. Voor een volledige uiteenzetting van het feitencomplex verwijs ik graag naar een eerdere bijdrage van mijn collega Caroline de Vries.

Volgens de rechter kan de vordering van Brein worden toegewezen indien voldoende aannemelijk is dat ING onrechtmatig handelt ten opzichte van Brein. Bij beantwoording van deze vraag komt het volgens de rechter neer op een afweging van de wederzijdse belangen. ING dient zich de privacybelangen van haar klanten aan te trekken. Het belang van Brein is erin gelegen dat zij dient op te treden tegen auteursrechtinbreuken ten behoeve van bij haar aangesloten rechthebbenden, aldus de rechter.

Geen wettelijke verstrekkingsplicht
In mijn bijdrage “De botsing tussen IE- en privacyrechten. Het einde van het Lycos/Pessers-tijdperk” in het tijdschrift Privacy & Informatie, heb ik al eens betoogd dat een rechter in een geval als het onderhavige - waarbij NAW-gegevens bij een derde worden gevorderd door een auteursrechthebbende – helemaal niet behoort toe te komen aan een belangenafweging. Op grond van Europese privacyregelgeving is voor honorering van een verzoek als in het onderhavige geval een specifieke wettelijke regeling vereist, die momenteel in de Nederlandse wetgeving ontbreekt. Alleen al om die reden had de rechter de vordering van Brein moeten afwijzen.

Doelbindingsbeginsel uit de Wbp
Daar komt bij dat de rechter, evenals de betrokken partijen, bij het afwegen van de wederzijdse belangen de relevante privacywetgeving – met name de Wet bescherming persoonsgegevens (hierna: "Wpb") - onjuist lijkt te hebben toegepast. Ter toelichting op dit standpunt het volgende.

De Wbp waarborgt het recht op eerbiediging van het recht op bescherming van de persoonlijke levenssfeer, met name met betrekking tot de geautomatiseerde verwerking van persoonsgegevens. Artikel 7 van de Wbp regelt dat persoonsgegevens van individuen alleen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden mogen worden verzameld. Deze doeleinden moeten bepalen welke persoonsgegevens worden verzameld, hoe ze mogen worden gebruikt en aan wie ze mogen worden verstrekt. Voor een rechtmatige verwerking van persoonsgegevens dienen ze bovendien vooraf aan de betrokken personen te zijn gecommuniceerd.

Het doelbindingsbeginsel (artikel 9 Wbp) schrijft voor dat een Verantwoordelijke, in dit geval ING, persoonsgegevens niet verder mag verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen. Persoonsgegevens worden doorgaans door particulieren aan bank verstrekt met het doel een rekening te openen en/of andere financiële diensten af te nemen en niet met het doel om een bank in staat te stellen deze persoonsgegevens aan (derden) auteursrechthebbenden te verstrekken.

Een ander doel waarvoor ING blijkens het door haar gehanteerde privacystatement persoonsgegevens verzamelt, is om aan wettelijke verplichtingen te voldoen. Onder een wettelijke verplichting valt ieder wettelijk voorschrift. Zowel een wet in formele als een wet in materiële zin valt hieronder. Maar ook rechtstreeks werkende verdragsbepalingen.

Een bepaling op basis waarvan een bank gehouden kan worden om aan een auteursrechthebbende NAW-gegevens van mogelijk inbreukmakend handelende klanten te verstrekken, ontbreekt hier ter lande. Brein zou derhalve niet succesvol kunnen betogen dat het ING op basis van dit doel vrijstaat om de persoonsgegevens van de inbreukmakers aan haar te verstrekken. Ook de overige in het door ING gehanteerde privacystatement opgenomen doeleinden bieden geen rechtvaardigingsgrond voor inwilliging van de door Brein ingestelde vordering.

Het behoeft dan ook geen nader betoog dat honorering van het verzoek van Brein door ING, onvermijdelijk tot gevolg zal hebben dat ING persoonsgegevens zal verwerken op een wijze die onverenigbaar is met de doeleinden waarvoor ING ze heeft verzameld. In dat geval zou ING onvermijdelijk in strijd handelen met het doelbindingsbeginsel.

Nuance tussen artikel 8 en 43 Wbp
Het voorgaande neemt niet weg dat de rechter - met partijen - er vanuit gaat dat het doelbindingsbeginsel met een beroep op artikel 8 (f) van de Wbp aan de kant kan worden geschoven. Dit ten onrechte.

Artikel 8 Wbp versterkt uitsluitend en limitatief de rechtvaardigingsgronden op basis waarvan een Verantwoordelijke persoonsgegevens voor door hem vooraf welbepaalde doeleinden mag verzamelen en verder mag verwerken. Als gezegd is het verstrekken van persoonsgegevens aan een derde auteursrechthebbende niet een dergelijk vooraf vastgesteld en aan de rekeninghouder gecommuniceerd doel. Een inbreuk op het doelbindingsbeginsel van artikel 9 van de Wbp is daarom niet te rechtvaardigen met een beroep op artikel 8 (f) van de Wbp.

Volgens mij is een schending van artikel 9 Wbp door een Verantwoordelijke enkel toegestaan op basis van een beperkt aantal in artikel 43 van de Wbp opgenomen zwaarwegende belangen. De bescherming van degene waarvan persoonsgegevens worden verwerkt en van de rechten en vrijheden van anderen, is daar een van. Een ander belang is bijvoorbeeld de staatsveiligheid.

Brein had zich derhalve met een beroep op artikel 43 Wbp op het standpunt kunnen stellen dat het ING is toegestaan om het doelbindingsbeginsel te doorbreken. Als zwaarwegend belang had Brein de bescherming van de rechten van anderen, te weten de auteursrechten van de rechthebbenden die zij vertegenwoordigt, kunnen opvoeren.

Conclusie
Concluderend staat wat mij betreft vast dat niet artikel 8 (f) Wbp, maar enkel artikel 43 Wbp een grondslag voor een geoorloofde schending van het in artikel 9 Wbp neergelegde doelbindingsbeginsel kan bieden. Of het bewandelen van de route via artikel 43 Wbp in het onderhavige geval tot een andere uitspraak zou moeten leiden, is maar de vraag.. Zoals eerder aangegeven, lijkt de afwezigheid van een specifieke wettelijke bepaling die een auteursrechthebbende het recht verleent om NAW-gegevens bij derden op te vragen, hieraan in de weg te staan.

Sil Kingma
SOLV Samen