AVG en Journalistiek

De AVG verplicht lidstaten ertoe uitzonderingen of afwijkingen van de AVG vast te stellen voor de verwerking van persoonsgegevens voor journalistieke doeleinden. De Nederlandse wetgever heeft dat gedaan in artikel 43 van de Uitvoeringswet AVG.  Daarin is geen maximale persexceptie opgenomen, in de Eerste Kamer is daar kritiek op. 

Op de verwerking van persoonsgegevens voor uitsluitend journalistieke doeleinden zijn onder andere de volgende hoofdstukken en artikelen van de AVG niet van toepassing:

  • Artikel 7, derde lid (intrekken toestemming)
  • Artikel 10 (verwerken persoonsgegevens betreffende strafrechtelijke veroordelingen/feiten)
  • Hoofdstuk III (rechten van betrokkenen)
  • Artikel 30 (register van verwerkingsactiviteiten)
  • Artikel 33 t/m 43 (o.a. meldingsplicht datalek, gegevensbeschermingsbeoordeling (PIA)
  • Hoofdstuk V (doorgiften aan andere landen)
  • Hoofdstuk VI (toezichthoudende autoriteit)
  • Hoofdstuk VII (samenwerking tussen toezichthouders)

Deze uitzonderingen gelden overigens niet alleen voor de verwerking voor journalistieke doeleinden, maar ook voor academische, artistieke of literaire uitdrukkingsvormen.

De rechten die personen hebben op grond van de AVG zijn dus voor een groot deel niet van toepassing. Als in een journalistiek artikel persoonsgegevens staan vermeld zoals bijvoorbeeld een voor- en achternaam dan heeft die persoon:

  • geen recht op vergetelheid: er kan dus niet gevraagd worden de naam te verwijderen
  • geen recht op intrekking: ingeval van toestemming voor publicatie kan die toestemming niet worden ingetrokken
  • geen recht op rectificatie
  • geen recht van inzage in de verwerking van persoonsgegevens door het betreffende medium
  • geen recht op bezwaar tegen de verwerking 
  • geen recht op dataportabiliteit om van het medium de persoonsgegevens te ontvangen die zij hebben

De bepalingen over de toezichthoudende autoriteit zijn eveneens uitgezonderd. Dit betekent dat de Autoriteit Persoonsgegevens niet bevoegd is toezicht te houden en evenmin boetes kan opleggen bij eventuele overtredingen.

Bijzondere persoonsgegevens

Voor de verwerking van bijzondere persoonsgegevens geldt dat deze alleen verwerkt mogen worden als dat noodzakelijk is voor het journalistieke doel. Voor deze gegevens geldt dus een noodzakelijkheidstoets. Bijzondere gegevens zijn gegevens over iemands ras, godsdienst, gezondheid, politieke voorkeur, seksuele leven, lidmaatschap vakbond en strafrechtelijk verleden. 

De overige bepalingen van de AVG zijn wel van toepassing op de journalistiek. Dat zijn onder andere de bepalingen die zien op:

  • beveiliging (artikel 32)
  • verwerkers (artikel 28)
  • archivering (opslagbeperking artikel 5 lid 1 sub e)
  • gegevensbescherming door standaardinstellingen (artikel 25)

Beveiliging

Een journalist die persoonsgegevens verwerkt is verplicht die goed te beveiligen. De AVG schrijft voor dat je passende technische en organisatorische maatregelen moet treffen om een op het risico afgestemd beveiligingsniveau te waarborgen, die, waar passend, onder meer omvat de pseudonimisering en versleuteling van persoonsgegevens.

Meer over beveiliging van persoonsgegevens lees je hier

Verwerkers

Ook moet een journalist de regels van de verordening naleven die betrekking hebben op het inschakelen van derden voor de verwerking van persoonsgegevens. Denk bijvoorbeeld aan alle ict-diensten (o.a. e-mail, cloudopslag) die je als journalist gebruikt. Die diensten verwerken persoonsgegevens waar jij voor verantwoordelijk bent.

Op grond van de AVG is de journalist verwerkingsverantwoordelijke en gehouden met derden partijen verwerkersovereenkomsten te sluiten waarin een passend beveiligingsniveau gegarandeerd wordt.

Archief

De AVG bevat, kort gezegd, een verbod om persoonsgegevens langer te bewaren in een identificeerbare vorm dan noodzakelijk is. Deze bepaling is van toepassing op verwerking van persoonsgegevens voor journalistieke doeleinden.

In artikel 5 lid 1 sub e AVG is bepaald dat persoonsgegevens worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is. Persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang worden verwerkt, mits de door de AVG vereiste passende technische en organisatorische maatregelen worden getroffen om de vrijheden van betrokkene te beschermen.

Deze verplichting tot opslagbeperking roept de nodige vragen op voor het journalistieke archief. Kan een online archief nog ongewijzigd in stand blijven? De Autoriteit Persoonsgegevens heeft in 2007 een Richtsnoer ‘Publicatie van persoonsgegevens op internet’ gepubliceerd. 

Dit Richtsnoer bevat een uitzondering voor journalistieke publicaties. Die uitzondering is echter maar heel beperkt en laat de journalistiek veel minder ruimte dan dat door de Nederlandse en Europese rechter wordt gegeven op grond van de vrijheid van meningsuiting en informatie. Een oordeel op grond van de AVG en Richtsnoer kan veel nadeliger uitpakken voor de journalistiek dan op grond van de afweging tussen de grondrechten privacy (8 EVRM) en vrije meningsuiting (10 EVRM).

Standaardinstellingen

De bepaling in de AVG over gegevensbescherming door ontwerp- en standaardinstellingen (artikel 25) is eveneens van toepassing op de journalistiek. In dit artikel is onder andere bepaald dat er maatregelen moeten worden getroffen om ervoor te zorgen dat persoonsgegevens in beginsel niet zonder menselijke tussenkomst voor een onbeperkt aantal personen toegankelijk wordt gemaakt. Bij online journalistiek is dat wel het geval, denk aan de reactiemogelijkheid onder een artikel. Dat verschijnt automatisch, zonder menselijke tussenkomst, online. Gelet op de formulering van artikel 25 AVG, namelijk dat persoonsgegevens ‘in beginsel’ niet op deze manier toegankelijk mogen worden gemaakt,  is er volgens de Nederlandse wetgever voldoende ruimte voor uitzonderingen binnen de journalistieke context.