De (online-)privacyverklaring en de Wbp

Vorig jaar heeft het College Bescherming Persoonsgegevens (CBP) Richtsnoeren opgesteld, die midden december 2007 in werking zijn getreden. Deze Richtsnoeren geven uitleg over de uit de Wet bescherming persoonsgegevens (Wbp) voortvloeiende rechten en plichten betreffende verwerkingen van persoonsgegevens op het internet; de rechten van iemand van wie persoonsgegevens worden gebruikt (de Betrokkene) en de plichten van degene die persoonsgegevens verwerkt (de Verantwoordelijke). Vaak zijn het bedrijven die als Verantwoordelijke hebben te gelden.

De privacyregels uit de Wbp dienen er onder meer toe om natuurlijke personen te beschermen tegen ongeautoriseerd en/of onrechtmatig gebruik van diens persoonsgegevens. De Wbp bepaalt daarom dat persoonsgegevens enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden door de Verantwoordelijke mogen worden verzameld.

Niet zelden kiezen verwerkers van persoonsgegevens ervoor, om de doeleinden waarvoor zij verzamelde persoonsgegevens zullen gebruiken, op te nemen in een zogeheten privacyverklaring; om deze vervolgens op hun website te plaatsen. Naar de zin van de Wbp zullen de in een privacyverklaring opgenomen doeleinden echter maar zelden welbepaald en uitdrukkelijk genoeg zijn omschreven. Een (algemene) bepaling in een privacyverklaring dat de persoonsgegevens zullen worden gebruikt voor reclamedoeleinden, zal de Wbp-toets waarschijnlijk niet doorstaan.

Dat privacyverklaringen in veel gevallen te globaal worden opgesteld, is trouwens niet verwonderlijk. Een van de nadelen van een te gedetailleerde privacyverklaring is, dat de verklaring snel door de actualiteit zal zijn ingehaald. Vaak ontdekt een bedrijf gaandeweg immers weer nieuwe gebruiksmogelijkheden van verzamelde persoonsgegevens. In een dergelijk geval zal het noodzakelijk zijn om iedere afzonderlijke Betrokkene apart te benaderen om toestemming te verkrijgen voor dit nieuwe gebruik. Een belangrijke vraag is dan ook: hoe nauwkeurig dient een verantwoordelijke een doel (in zijn privacyverklaring) te omschrijven? Hoewel de CBP Richtsnoeren erg verhelderend zijn, geven zij helaas (nog) geen antwoord op deze vraag.