Filtering for copyright enforcement in Europe after the Sabam cases

Stefan Kulk | Frederik Zuiderveen Borgesius - Published in: European Intellectual Property Review 2012-11, p. 791-795

Inleiding

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing.1 De Verordening stelt strengere regels omtrent het gebruik van persoonsgegevens en verscherpt het toezicht daarop. De beginselen en regels in de AVG zijn in principe van toepassing als er persoonsgegevens worden verwerkt. De naam van een student, een studentnummer en een tentamenuitslag zijn allemaal persoonsgegevens. Maar dient het begrip zo ruim uitgelegd te worden dat het ook ziet op de antwoorden die een student geeft tijdens een examen of tentamen? In Nowak maakt het Hof van Justitie duidelijk dat antwoorden op vragen in een beroepsexamen in ieder geval als persoonsgegevens hebben te gelden.2 Deze bijdrage plaatst de uitspraak van het Hof van Justitie in de zaak Nowak in de bredere context van het gegevensbeschermingsrecht en gaat in op de consequenties ervan, specifiek ook voor het hoger onderwijs. Daartoe wordt eerst stilgestaan bij de feiten die aanleiding gaven tot de uitspraak. Vervolgens wordt ingegaan op de beginselen van het gegevensbeschermingsrecht in de AVG. De analyse van het Hof van Justitie in Nowak omtrent het begrip persoonsgegevens vormt de kern van deze bijdrage. Tot slot worden de consequenties van de kwalificatie van examenantwoorden als persoonsgegevens besproken.

Aanleiding

De hoofdrolspeler in het arrest is Peter Nowak, een accountant in opleiding, die het maar niet lukte om het examen 'Strategic Finance and Management Accounting' te halen. Dat examen werd georganiseerd door de Ierse beroepsorganisatie van accountants en belastingadviseurs. Nowak verzocht de beroepsorganisatie op grond van het gegevensbeschermingsrecht hem inzage te geven in de antwoorden die hij had gegeven tijdens het examen en de verbeteringen van de examinator. Kennelijk wilde Nowak ook gebruikmaken van het recht om zijn persoonsgegevens -- de antwoorden die hij had gegeven tijdens het examen -- te rectificeren om zo alsnog een voldoende te halen.3

De beroepsorganisatie weigerde Nowak's inzageverzoek. Nowak besloot daarop een klacht in te dienen bij de Ierse toezichthouder voor de gegevensbescherming. Volgens de toezichthouder was het gegevensbeschermingsrecht niet van toepassing omdat de examenantwoorden van Nowak geen persoonsgegevens zouden zijn. Nowak vocht de beslissing aan maar werd in eerste aanleg en in hoger beroep door de rechter in het ongelijk gesteld. Het Ierse Supreme Court besloot prejudiciële vragen te stellen aan het Hof van Justitie over de reikwijdte van het begrip 'persoonsgegevens'.

Gegevensbeschermingsrecht

Op grond van artikelen 7 en 8 van het Handvest van de Grondrechten van de Europese Unie heeft eenieder het recht op privacy en de bescherming van persoonsgegevens. De bescherming van persoonsgegevens is nader uitgewerkt in de Algemene Verordening Gegevensbescherming (AVG). De AVG heeft per 25 mei 2018 de Richtlijn gegevensbescherming (1995) vervangen om het gegevensbeschermingsrecht te versterken en aan te passen op technologische ontwikkelingen.4 De AVG verbiedt niet in algemene zin het gebruik van persoonsgegevens, maar stelt wel eisen aan de verwerking van persoonsgegevens.5

De zaak Nowak is beslist onder de inmiddels ingetrokken Richtlijn bescherming persoonsgegevens. De uitspraak van het Hof van Justitie is evenwel van belang omdat de AVG, net zoals voorheen de richtlijn, van toepassing is op de 'verwerking' van 'persoonsgegevens'.6 Met het verwerken van persoonsgegevens wordt in de AVG bedoeld iedere bewerking met betrekking tot persoonsgegevens, zoals het verzamelen, opslaan, ordenen, combineren, ter beschikking stellen, en wissen van persoonsgegevens.7 Dat was ook al zo onder de Richtlijn.8

De AVG bevat ook ten aanzien van de definitie van het begrip 'persoonsgegevens' geen substantiële veranderingen. De richtlijn bevatte reeds een ruime en flexibele definitie van het begrip 'persoonsgegevens' die zag op 'iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon'.9 Het begrip persoonsgegeven in de AVG ziet ook op informatie die indirect is te herleiden tot een persoon, bijvoorbeeld door gebruik van een identificatienummer of door 'met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt'.10 Daarbij dient rekening gehouden te worden met factoren zoals de kosten van en de tijd benodigd voor identificatie, beschikbare technologie en technologische ontwikkelingen.11 In dat verband onderstreept de AVG dat locatiegegevens en een online identifier, zoals een IP-adres of een cookie, ook gebruikt kunnen worden om informatie te relateren aan een persoon.12

Het Hof van Justitie heeft in diverse zaken moeten beslissen of een bepaald gegeven als een persoonsgegeven heeft te gelden. Zo heeft het Hof van Justitie zonder uitgebreide toelichting bepaald dat de namen van mensen die aanwezig zijn bij een vergadering,13 de werksituaties en hobby's van mensen,14 iemands salaris,15 en de door camera's vastgestelde beelden van een persoon, persoonsgegevens zijn.16 Nowak behoort echter tot een kleine groep van uitspraken waarin het Hof van Justitie daadwerkelijk ingaat op het begrip persoonsgegeven.17

Als persoonsgegevens worden verwerkt dan dient dat in principe te gebeuren volgens de regels in de AVG.18 Artikel 5 AVG beschrijft de beginselen waaraan voldaan moet worden en die verderop in de AVG in concretere regels worden uitgewerkt. Het voert te ver om de beginselen en de uitwerking ervan in de AVG uitvoerig te bespreken in deze bijdrage. Ze worden hier kernachtig beschreven omdat het helpt te begrijpen wat de AVG vereist ten aanzien van de verwerking van persoonsgegevens.19 De beginselen houden het volgende in. De verwerking van persoonsgegevens dient gebaseerd te zijn op een van de in de AVG genoemde verwerkingsgrondslagen, zoals de toestemming van de persoon op wie de gegevens slaan, of een wettelijke grondslag.20 Verwerking moet bovendien 'behoorlijk' en 'transparant zijn'.21 Daarnaast mogen persoonsgegevens alleen 'voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden' worden verzameld en mogen zij niet verder op een met die doeleinden onverenigbare wijze worden verwerkt.22 De gegevens moeten toereikend zijn en ter zake dienend. Bovendien moet de verwerking beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.23 De gegevens moeten juist zijn en waar nodig moeten zij worden geactualiseerd.24 Persoonsgegevens mogen ook niet langer opgeslagen worden dan nodig en dienen te worden geanonimiseerd als identificatie van de gegevens niet langer noodzakelijk is.25 Tot slot dienen de gegevens ook op een passende wijze beveiligd te worden.26

Het Hof van Justitie in Nowak over persoonsgegevens

In Nowak stond de vraag centraal of zowel de geschreven antwoorden op een beroepsexamen als de opmerkingen van de examinator moeten worden aangemerkt als persoonsgegevens. Het Hof van Justitie beantwoordt die vraag bevestigend en geeft een kader om te bepalen of er sprake is van een persoonsgegeven.

Antwoorden op beroepsexamen

Het Hof van Justitie gaat in zijn analyse eerst in op de vraag of er sprake is van personen die geïdentificeerd kunnen worden. Het Hof van Justitie stelt vast dat beroepsexamenkandidaten personen zijn die geïdentificeerd kunnen worden door hun naam of een identificatienummer.27 Dat een examinator niet weet wie hij voor zich heeft, doet daaraan niets af, de persoon op wie de antwoorden betrekking hebben is immers identificeerbaar.

Het Hof van Justitie bouwt ten aanzien van die identificeerbaarheid voort op zijn beslissing in de zaak Breyer, waaruit volgt dat ook gegevens die in handen zijn van een andere partij kunnen bijdragen aan de identificeerbaarheid van de persoon in kwestie.28 In Breyer stond de vraag centraal stond of een dynamisch IP-adres een persoonsgegeven kan zijn.29 De persoon achter een dynamisch IP-adres kan doorgaans alleen worden geïdentificeerd met hulp van de internetaanbieder die de IP-adressen uitgeeft. Volgens het Hof van Justitie deed dat echter niets af aan de identificeerbaarheid van persoon achter een IP-adres.30 In Nowak trekt het Hof van Justitie die lijn door. Hoewel de examinator de identiteit van de kandidaat niet kent, is het wel zo dat

'de instantie die het examen organiseert (...) over de nodige informatie beschikt die deze instantie toelaat om de kandidaat zonder problemen of twijfels te identificeren aan de hand van het identificatienummer dat op zijn examenwerk of op de omslag ervan is aangebracht, en om zijn antwoorden aan hem toe te schrijven.'31

Het Hof van Justitie gaat vervolgens na of de informatie in kwestie dient te worden aangemerkt als informatie in de zin van het gegevensbeschermingsrecht. In dat verband wijst het Hof van Justitie eerst op de bedoeling van de Uniewetgever om een ruime betekenis toe te kennen aan het begrip persoonsgegevens.32 Het omvat niet alleen objectieve informatie, zoals iemands naam, maar ook subjectieve informatie zoals meningen of beoordelingen over een persoon.

De informatie in kwestie dient ook een persoon te betreffen om een persoonsgegeven te zijn. Daartoe beschouwt het Hof van Justitie achtereenvolgens (1) de inhoud van de informatie, (2) het doel van de informatie en (3) de gevolgen van de informatie. Het Hof van Justitie bevestigt daarmee in wezen een opinie van de Artikel 29 Werkgroep -- de groep van samenwerkende Europese privacytoezichthouders -- over het begrip persoonsgegevens waarin diezelfde drieslag is te vinden.33 Volgens de Werkgroep is aanwezigheid van een van deze drie elementen voldoende om te spreken van een gegeven betreffende een persoon.34 Het Hof van Justitie bevestigt dat.35

Met betrekking tot de inhoud van de informatie stelt het Hof van Justitie vast dat de antwoorden 'het niveau van de kennis en de vaardigheden van de kandidaat op een welbepaald gebied, en eventueel ook zijn gedachtegang, oordeel en kritische geest' weergeven.36 Het Hof van Justitie wijst ook in een enkele zin op het feit dat antwoorden informatie over het handschrift van de kandidaat bevatten.37 Wat het Hof van Justitie daarmee bedoelt, wordt niet meteen duidelijk -- is een handschrift in potentie ook een persoonsgegeven? In haar conclusie schrijft advocaat-generaal Kokott dat een handschrift 'potentieel' kan worden gebruikt bij het identificeren van ander werk en dat het daarmee uitsluitsel kan geven over de identiteit van de auteur.38 Het is inderdaad reeds mogelijk om op basis van handschriften en met behulp van zelflerende algoritmen met redelijk grote zekerheid vast te stellen of schrijfsels van dezelfde auteur zijn.39 Het is daarom aannemelijk dat handschriften ook als persoonsgegeven kunnen worden aangemerkt.40

Het doel van het verzamelen van de examenantwoorden is om 'een evaluatie te maken van de beroepsbekwaamheden van de kandidaat en diens geschiktheid om het betrokken beroep uit te oefenen'.41 En ten aanzien van de gevolgen geldt volgens het Hof van Justitie dat gebruik van de informatie

'dat met name leidt tot het al dan niet slagen van de kandidaat voor het betrokken examen, gevolgen [kan] hebben voor zijn rechten en belangen, aangezien het bijvoorbeeld zijn kansen om in aanmerking te komen voor het gewenste beroep of de gewenste functie kan bepalen of beïnvloeden.'42

De Ierse toezichthouder en regering hadden betoogd dat voor de kwalificatie als persoonsgegevens ook rekening gehouden moet worden met het gegeven dat de kandidaat daarmee in beginsel een recht op toegang en rectificatie verkrijgt.43 Dat argument lijkt te zijn ingegeven door het feit dat Ierland een eigen regime kent met betrekking tot de inzage in examengegevens en toepassing van het correctierecht (praktische) bezwaren met zich zou meebrengen.44 Het Hof van Justitie maakt echter korte metten met dat argument, want daarmee zouden de gegevens buiten het toepassingsbereik van het gegevensbeschermingsrecht komen te vallen en zou de kandidaat zich bijvoorbeeld niet kunnen verzetten tegen oneigenlijk gebruik van de examens.45 Het zou inderdaad het fundamentele recht op bescherming van persoonsgegevens ondermijnen als het materiële toepassingsgebied van het gegevensbeschermingsrecht zou afhangen van de rechten die daaraan ontleend kunnen worden.46

Opmerkingen van examinator

Hoewel de prejudiciële vragen aan het Hof van Justitie alleen zagen op de examenantwoorden van de kandidaat, gaat het Hof van Justitie in Nowak ook in op het commentaar van de examinator.47 Volgens het Hof van Justitie zijn die opmerkingen ook persoonsgegevens van de kandidaat. Het Hof van Justitie is daarover bondig:

'De strekking van de opmerkingen van de examinator geeft immers zijn mening of beoordeling weer betreffende de individuele prestaties van de kandidaat tijdens het examen, en meer bepaald betreffende diens kennis en vaardigheden op het betrokken gebied. Die opmerkingen hebben overigens juist tot doel om de evaluatie door de examinator van de prestaties van de kandidaat vast te leggen, en kunnen voor deze laatste effecten sorteren.'48

Overigens kunnen de opmerkingen van de examinator ook persoonsgegevens zijn die betrekking hebben op de examinator. Het gevolg daarvan is dat eventuele inzage in de opmerkingen ook een verwerking is van gegevens betreffende de examinator en dat inzage in de opmerkingen ook aan zijn rechten raakt.49

Toepasselijkheid in hoger onderwijs

Een interessante vraag is wellicht of hogeronderwijsinstellingen, zoals hogescholen en universiteiten, ook gehouden zijn aan de regels in de AVG als het gaat om de verwerking van antwoorden van studenten op examens en tentamens,50 zeker in het licht van onderwijsvernieuwing waarin in toenemende mate digitaal getoetst wordt en antwoorden in databases worden opgeslagen, toegankelijk worden gemaakt, en onderworpen aan nadere analyse.51

Op basis van de argumenten die het Hof van Justitie aandraagt met betrekking tot beroepsexamens is bijna geen andere conclusie mogelijk dan dat ook de antwoorden van studenten op tentamens en examens van hogeronderwijsinstellingen persoonsgegevens zijn.

Hoewel de overwegingen en het dictum van de beslissing van het Hof van Justitie zich toespitsen op de geschreven antwoorden die worden gegeven in het kader van een beroepsexamen, 52 zijn de argumenten die het Hof van Justitie aandraagt ook toepasbaar op andersoortige examens en tentamens. Advocaat-generaal Kokott liet zich in haar Conclusie reeds in meer algemene bewoordingen uit over examens, zonder zich daarbij te beperken tot beroepsexamens. Ze stelt bijvoorbeeld dat

'een examen echter -- in tegenstelling tot bijvoorbeeld een representatieve enquête -- niet tot doel [heeft] gegevens te verzamelen die losstaan van de persoon. Een examen strekt veeleer ertoe de prestatie van een specifieke persoon, namelijk de examenkandidaat, vast te stellen en te documenteren. Ieder examen is erop gericht een beeld te verkrijgen van de hoogstpersoonlijke en individuele prestatie van de examenkandidaat.'53

De antwoorden van studenten op tentamens en examens zijn evengoed een indicatie van hun kennis en vaardigheden op een deelgebied of het geheel van hun studie.54 Het doel van tentaminering is om de kennis en vaardigheden van de student te waarderen en de student daarmee te kwalificeren. Niet voor niets wordt studenten soms gevraagd een cijferlijst over te leggen als zij ergens solliciteren. Ten aanzien van de gevolgen van het niet-halen van een tentamen is de analyse van het Hof van Justitie lastiger door te trekken. De antwoorden die studenten geven en de vieren, zessen of achten die daarop zijn gebaseerd kunnen nadelige effecten hebben voor studenten en hun carrière. Maar door het halen van een onvoldoende wordt niet meteen de toegang tot een bepaald beroep afgesloten. Met beroepsexamens en andere examens is dat mogelijk wel het geval. Op grond van Nowak zijn de antwoorden van studenten op een tentamen of examen daarom ten aanzien van hun inhoud en doel, en mogelijk ook hun effect, als persoonsgegevens aan te merken.

Consequenties van de uitspraak

In Nowak beslist het Hof van Justitie in feite dat de antwoorden die worden gegeven op schriftelijke beroepsexamens -- en naar mijn mening ook andere examens en tentamens -- als persoonsgegevens dienen te worden aangemerkt. Het logische gevolg is dat het proces van inzage in examens en tentamens en de beoordeling daarvan niet alleen wordt beheerst door de regels in examenreglementen van onderwijsinstellingen en eventuele wettelijke regimes,55 maar ook door de AVG. Tot op zekere hoogte zullen die reglementen en wetten reeds verplichtingen en rechten bevatten die ook in de AVG voorkomen. Te denken valt aan de mogelijkheid inzage te krijgen in tentamens. In die zin doet Nowak weinig stof opwaaien. Maar ten aanzien van andere rechten en verplichtingen in de AVG kan Nowak wel degelijk nopen tot een heroverweging van het beleid en herinrichting van systemen omtrent het opslaan, toegang geven tot en anderszins verwerken van examens en tentamens. Te denken valt aan de verplichting de toegang tot de antwoorden te beperken tot bevoegde docenten, de antwoorden niet verder te verwerken dan nodig, de identificeerbaarheid te beperken, en de antwoorden te beveiligen.

Rectificatie

Het recht op rectificatie komt specifiek aan de orde in Nowak.56 Zoals gezegd bestond er in Ierland de angst dat Peter Nowak 'rectificatie' van zijn foute antwoorden zou eisen op grond van het gegevensbeschermingsrecht.57 Het Hof van Justitie zegt daarover klip-en-klaar dat het rectificatierecht 'een kandidaat vanzelfsprekend niet toe[staat] om "foute" antwoorden achteraf te "rectificeren".'58 De combinatie van goede en foute antwoorden stellen uiteraard in staat om het juiste niveau van kennis en vaardigheden te bepalen. Met andere woorden, foute antwoorden zijn geenszins onnauwkeurige persoonsgegevens waarop het rectificatierecht ziet.59 Met deze conclusie lijkt het Hof van Justitie een open deur in te trappen, maar kennelijk was dat nodig om elke onduidelijkheid daarover (ook bij de partijen) weg te nemen.

Het rectificatierecht kan wel van toepassing zijn als een examen per ongeluk is verwisseld en de antwoorden aan de verkeerde kandidaat zijn toegerekend, of als een deel van de antwoorden is zoekgeraakt, waardoor de antwoorden onvolledig zijn.60 Het Hof van Justitie noemt ook de mogelijkheid dat de 'eventuele opmerkingen van de examinator diens evaluatie van de antwoorden van de betrokken kandidaat niet correct weergeven'.61 Waarschijnlijk doelt het Hof van Justitie hier op situaties waarbij een examinator een fout heeft gemaakt in de beoordeling van het gegeven antwoord. Het is dan uiteraard in het belang van de kandidaat dat het resultaat daarop wordt aangepast. Regels omtrent het afnemen van examens en tentamens zullen daarin reeds voorzien. Maar ook op grond van de AVG zal de examinator dan in staat moeten worden gesteld eventuele opmerkingen aan te passen -- juist ook omdat de opmerkingen persoonsgegevens zijn betreffende de examinator.62

Recht op wissing

Het Hof van Justitie merkt obiter op dat het niet uitsluit dat een kandidaat het recht heeft om een instelling te verzoeken de examenantwoorden en opmerkingen van de examinator naar verloop van een zekere periode te wissen.63 Volgens het Hof van Justitie

'lijkt de bewaring [van examenantwoorden en opmerkingen van een examinator] in een vorm die het mogelijk maakt de kandidaat te identificeren a priori niet langer nodig zodra de examenprocedure definitief is afgesloten en er in deze procedure geen betwisting meer mogelijk is zodat die antwoorden en opmerkingen hun bewijskracht dan hebben verloren.'64

Daar staat tegenover dat onderwijsinstellingen er juist ook belang bij kunnen hebben de gegevens langer te bewaren, bijvoorbeeld ten behoeve van de accreditatie van het onderwijs. Onderwijsinstellingen dienen de examenantwoorden dan te anonimiseren of te pseudonimiseren.65 Daardoor kunnen de antwoorden wel worden gebruikt voor andere doeleinden, zoals evaluatie en beoordeling van tentamens en het onderwijs waarvoor identificatie van de kandidaat geen vereiste is. In het geval van anonimisering worden de antwoorden losgekoppeld van de identiteit van een kandidaat door het wissen van namen en andere identificerende gegevens zoals examennummers. De antwoorden zijn dan geen persoonsgegevens meer.66 Het is dan wel zaak dat de gegevens niet op een andere manier zijn te herleiden tot een persoon.67 In geval van pseudonimisering worden identificerende gegevens vervangen door een pseudoniem waardoor de gegevens niet meer zijn te herleiden tot een persoon, maar waardevolle data-analyse mogelijk blijft.68

Conclusie

Het Hof van Justitie oordeelt in Nowak dat de antwoorden van kandidaten die deelnemen aan een beroepsexamen persoonsgegevens zijn. De uitspraak biedt een kader om te bepalen of informatie binnen de reikwijdte van het begrip persoonsgegeven in de AVG valt. Duidelijk wordt dat informatie al snel een persoon kan betreffen en daarmee een persoonsgegeven kan zijn. Verwerking van dergelijke gegevens dient dan in beginsel te gebeuren volgens de regels in de AVG. Specifiek ten aanzien van hogeronderwijsinstellingen kan Nowak nopen tot een heroverweging van het beleid en aanpassing van systemen met betrekking tot het opslaan van examens en tentamens in databases, het verlenen van toegang daartoe, en de analyse van antwoorden.

Inleiding

Sinds 25 mei 2018 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing.1 De Verordening stelt strengere regels omtrent het gebruik van persoonsgegevens en verscherpt het toezicht daarop. De beginselen en regels in de AVG zijn in principe van toepassing als er persoonsgegevens worden verwerkt. De naam van een student, een studentnummer en een tentamenuitslag zijn allemaal persoonsgegevens. Maar dient het begrip zo ruim uitgelegd te worden dat het ook ziet op de antwoorden die een student geeft tijdens een examen of tentamen? In Nowak maakt het Hof van Justitie duidelijk dat antwoorden op vragen in een beroepsexamen in ieder geval als persoonsgegevens hebben te gelden.2Deze bijdrage plaatst de uitspraak van het Hof van Justitie in de zaak Nowak in de bredere context van het gegevensbeschermingsrecht en gaat in op de consequenties ervan, specifiek ook voor het hoger onderwijs. Daartoe wordt eerst stilgestaan bij de feiten die aanleiding gaven tot de uitspraak. Vervolgens wordt ingegaan op de beginselen van het gegevensbeschermingsrecht in de AVG. De analyse van het Hof van Justitie in Nowak omtrent het begrip persoonsgegevens vormt de kern van deze bijdrage. Tot slot worden de consequenties van de kwalificatie van examenantwoorden als persoonsgegevens besproken.

Aanleiding

De hoofdrolspeler in het arrest is Peter Nowak, een accountant in opleiding, die het maar niet lukte om het examen 'Strategic Finance and Management Accounting' te halen. Dat examen werd georganiseerd door de Ierse beroepsorganisatie van accountants en belastingadviseurs. Nowak verzocht de beroepsorganisatie op grond van het gegevensbeschermingsrecht hem inzage te geven in de antwoorden die hij had gegeven tijdens het examen en de verbeteringen van de examinator. Kennelijk wilde Nowak ook gebruikmaken van het recht om zijn persoonsgegevens -- de antwoorden die hij had gegeven tijdens het examen -- te rectificeren om zo alsnog een voldoende te halen.3

De beroepsorganisatie weigerde Nowak's inzageverzoek. Nowak besloot daarop een klacht in te dienen bij de Ierse toezichthouder voor de gegevensbescherming. Volgens de toezichthouder was het gegevensbeschermingsrecht niet van toepassing omdat de examenantwoorden van Nowak geen persoonsgegevens zouden zijn. Nowak vocht de beslissing aan maar werd in eerste aanleg en in hoger beroep door de rechter in het ongelijk gesteld. Het Ierse Supreme Court besloot prejudiciële vragen te stellen aan het Hof van Justitie over de reikwijdte van het begrip 'persoonsgegevens'.

Gegevensbeschermingsrecht

Op grond van artikelen 7 en 8 van het Handvest van de Grondrechten van de Europese Unie heeft eenieder het recht op privacy en de bescherming van persoonsgegevens. De bescherming van persoonsgegevens is nader uitgewerkt in de Algemene Verordening Gegevensbescherming (AVG). De AVG heeft per 25 mei 2018 de Richtlijn gegevensbescherming (1995) vervangen om het gegevensbeschermingsrecht te versterken en aan te passen op technologische ontwikkelingen.4 De AVG verbiedt niet in algemene zin het gebruik van persoonsgegevens, maar stelt wel eisen aan de verwerking van persoonsgegevens.5

De zaak Nowak is beslist onder de inmiddels ingetrokken Richtlijn bescherming persoonsgegevens. De uitspraak van het Hof van Justitie is evenwel van belang omdat de AVG, net zoals voorheen de richtlijn, van toepassing is op de 'verwerking' van 'persoonsgegevens'.6 Met het verwerken van persoonsgegevens wordt in de AVG bedoeld iedere bewerking met betrekking tot persoonsgegevens, zoals het verzamelen, opslaan, ordenen, combineren, ter beschikking stellen, en wissen van persoonsgegevens.7 Dat was ook al zo onder de Richtlijn.8

De AVG bevat ook ten aanzien van de definitie van het begrip 'persoonsgegevens' geen substantiële veranderingen. De richtlijn bevatte reeds een ruime en flexibele definitie van het begrip 'persoonsgegevens' die zag op 'iedere informatie betreffende een geïdentificeerde of identificeerbare natuurlijke persoon'.9 Het begrip persoonsgegeven in de AVG ziet ook op informatie die indirect is te herleiden tot een persoon, bijvoorbeeld door gebruik van een identificatienummer of door 'met alle middelen waarvan redelijkerwijs valt te verwachten dat zij worden gebruikt'.10 Daarbij dient rekening gehouden te worden met factoren zoals de kosten van en de tijd benodigd voor identificatie, beschikbare technologie en technologische ontwikkelingen.11 In dat verband onderstreept de AVG dat locatiegegevens en een online identifier, zoals een IP-adres of een cookie, ook gebruikt kunnen worden om informatie te relateren aan een persoon.12

Het Hof van Justitie heeft in diverse zaken moeten beslissen of een bepaald gegeven als een persoonsgegeven heeft te gelden. Zo heeft het Hof van Justitie zonder uitgebreide toelichting bepaald dat de namen van mensen die aanwezig zijn bij een vergadering,13 de werksituaties en hobby's van mensen,14 iemands salaris,15 en de door camera's vastgestelde beelden van een persoon, persoonsgegevens zijn.16 Nowak behoort echter tot een kleine groep van uitspraken waarin het Hof van Justitie daadwerkelijk ingaat op het begrip persoonsgegeven.17

Als persoonsgegevens worden verwerkt dan dient dat in principe te gebeuren volgens de regels in de AVG.18 Artikel 5 AVG beschrijft de beginselen waaraan voldaan moet worden en die verderop in de AVG in concretere regels worden uitgewerkt. Het voert te ver om de beginselen en de uitwerking ervan in de AVG uitvoerig te bespreken in deze bijdrage. Ze worden hier kernachtig beschreven omdat het helpt te begrijpen wat de AVG vereist ten aanzien van de verwerking van persoonsgegevens.19 De beginselen houden het volgende in. De verwerking van persoonsgegevens dient gebaseerd te zijn op een van de in de AVG genoemde verwerkingsgrondslagen, zoals de toestemming van de persoon op wie de gegevens slaan, of een wettelijke grondslag.20 Verwerking moet bovendien 'behoorlijk' en 'transparant zijn'.21 Daarnaast mogen persoonsgegevens alleen 'voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden' worden verzameld en mogen zij niet verder op een met die doeleinden onverenigbare wijze worden verwerkt.22 De gegevens moeten toereikend zijn en ter zake dienend. Bovendien moet de verwerking beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.23 De gegevens moeten juist zijn en waar nodig moeten zij worden geactualiseerd.24 Persoonsgegevens mogen ook niet langer opgeslagen worden dan nodig en dienen te worden geanonimiseerd als identificatie van de gegevens niet langer noodzakelijk is.25 Tot slot dienen de gegevens ook op een passende wijze beveiligd te worden.26

Het Hof van Justitie in Nowak over persoonsgegevens

In Nowak stond de vraag centraal of zowel de geschreven antwoorden op een beroepsexamen als de opmerkingen van de examinator moeten worden aangemerkt als persoonsgegevens. Het Hof van Justitie beantwoordt die vraag bevestigend en geeft een kader om te bepalen of er sprake is van een persoonsgegeven.

Antwoorden op beroepsexamen

Het Hof van Justitie gaat in zijn analyse eerst in op de vraag of er sprake is van personen die geïdentificeerd kunnen worden. Het Hof van Justitie stelt vast dat beroepsexamenkandidaten personen zijn die geïdentificeerd kunnen worden door hun naam of een identificatienummer.27 Dat een examinator niet weet wie hij voor zich heeft, doet daaraan niets af, de persoon op wie de antwoorden betrekking hebben is immers identificeerbaar.

Het Hof van Justitie bouwt ten aanzien van die identificeerbaarheid voort op zijn beslissing in de zaak Breyer, waaruit volgt dat ook gegevens die in handen zijn van een andere partij kunnen bijdragen aan de identificeerbaarheid van de persoon in kwestie.28 In Breyer stond de vraag centraal stond of een dynamisch IP-adres een persoonsgegeven kan zijn.29 De persoon achter een dynamisch IP-adres kan doorgaans alleen worden geïdentificeerd met hulp van de internetaanbieder die de IP-adressen uitgeeft. Volgens het Hof van Justitie deed dat echter niets af aan de identificeerbaarheid van persoon achter een IP-adres.30 In Nowak trekt het Hof van Justitie die lijn door. Hoewel de examinator de identiteit van de kandidaat niet kent, is het wel zo dat

'de instantie die het examen organiseert (...) over de nodige informatie beschikt die deze instantie toelaat om de kandidaat zonder problemen of twijfels te identificeren aan de hand van het identificatienummer dat op zijn examenwerk of op de omslag ervan is aangebracht, en om zijn antwoorden aan hem toe te schrijven.'31

Het Hof van Justitie gaat vervolgens na of de informatie in kwestie dient te worden aangemerkt als informatie in de zin van het gegevensbeschermingsrecht. In dat verband wijst het Hof van Justitie eerst op de bedoeling van de Uniewetgever om een ruime betekenis toe te kennen aan het begrip persoonsgegevens.32 Het omvat niet alleen objectieve informatie, zoals iemands naam, maar ook subjectieve informatie zoals meningen of beoordelingen over een persoon.

De informatie in kwestie dient ook een persoon te betreffen om een persoonsgegeven te zijn. Daartoe beschouwt het Hof van Justitie achtereenvolgens (1) de inhoud van de informatie, (2) het doel van de informatie en (3) de gevolgen van de informatie. Het Hof van Justitie bevestigt daarmee in wezen een opinie van de Artikel 29 Werkgroep -- de groep van samenwerkende Europese privacytoezichthouders -- over het begrip persoonsgegevens waarin diezelfde drieslag is te vinden.33 Volgens de Werkgroep is aanwezigheid van een van deze drie elementen voldoende om te spreken van een gegeven betreffende een persoon.34 Het Hof van Justitie bevestigt dat.35

Met betrekking tot de inhoud van de informatie stelt het Hof van Justitie vast dat de antwoorden 'het niveau van de kennis en de vaardigheden van de kandidaat op een welbepaald gebied, en eventueel ook zijn gedachtegang, oordeel en kritische geest' weergeven.36 Het Hof van Justitie wijst ook in een enkele zin op het feit dat antwoorden informatie over het handschrift van de kandidaat bevatten.37 Wat het Hof van Justitie daarmee bedoelt, wordt niet meteen duidelijk -- is een handschrift in potentie ook een persoonsgegeven? In haar conclusie schrijft advocaat-generaal Kokott dat een handschrift 'potentieel' kan worden gebruikt bij het identificeren van ander werk en dat het daarmee uitsluitsel kan geven over de identiteit van de auteur.38 Het is inderdaad reeds mogelijk om op basis van handschriften en met behulp van zelflerende algoritmen met redelijk grote zekerheid vast te stellen of schrijfsels van dezelfde auteur zijn.39 Het is daarom aannemelijk dat handschriften ook als persoonsgegeven kunnen worden aangemerkt.40

Het doel van het verzamelen van de examenantwoorden is om 'een evaluatie te maken van de beroepsbekwaamheden van de kandidaat en diens geschiktheid om het betrokken beroep uit te oefenen'.41 En ten aanzien van de gevolgen geldt volgens het Hof van Justitie dat gebruik van de informatie

'dat met name leidt tot het al dan niet slagen van de kandidaat voor het betrokken examen, gevolgen [kan] hebben voor zijn rechten en belangen, aangezien het bijvoorbeeld zijn kansen om in aanmerking te komen voor het gewenste beroep of de gewenste functie kan bepalen of beïnvloeden.'42

De Ierse toezichthouder en regering hadden betoogd dat voor de kwalificatie als persoonsgegevens ook rekening gehouden moet worden met het gegeven dat de kandidaat daarmee in beginsel een recht op toegang en rectificatie verkrijgt.43 Dat argument lijkt te zijn ingegeven door het feit dat Ierland een eigen regime kent met betrekking tot de inzage in examengegevens en toepassing van het correctierecht (praktische) bezwaren met zich zou meebrengen.44 Het Hof van Justitie maakt echter korte metten met dat argument, want daarmee zouden de gegevens buiten het toepassingsbereik van het gegevensbeschermingsrecht komen te vallen en zou de kandidaat zich bijvoorbeeld niet kunnen verzetten tegen oneigenlijk gebruik van de examens.45 Het zou inderdaad het fundamentele recht op bescherming van persoonsgegevens ondermijnen als het materiële toepassingsgebied van het gegevensbeschermingsrecht zou afhangen van de rechten die daaraan ontleend kunnen worden.46

Opmerkingen van examinator

Hoewel de prejudiciële vragen aan het Hof van Justitie alleen zagen op de examenantwoorden van de kandidaat, gaat het Hof van Justitie in Nowak ook in op het commentaar van de examinator.47 Volgens het Hof van Justitie zijn die opmerkingen ook persoonsgegevens van de kandidaat. Het Hof van Justitie is daarover bondig:

'De strekking van de opmerkingen van de examinator geeft immers zijn mening of beoordeling weer betreffende de individuele prestaties van de kandidaat tijdens het examen, en meer bepaald betreffende diens kennis en vaardigheden op het betrokken gebied. Die opmerkingen hebben overigens juist tot doel om de evaluatie door de examinator van de prestaties van de kandidaat vast te leggen, en kunnen voor deze laatste effecten sorteren.'48

Overigens kunnen de opmerkingen van de examinator ook persoonsgegevens zijn die betrekking hebben op de examinator. Het gevolg daarvan is dat eventuele inzage in de opmerkingen ook een verwerking is van gegevens betreffende de examinator en dat inzage in de opmerkingen ook aan zijn rechten raakt.49

Toepasselijkheid in hoger onderwijs

Een interessante vraag is wellicht of hogeronderwijsinstellingen, zoals hogescholen en universiteiten, ook gehouden zijn aan de regels in de AVG als het gaat om de verwerking van antwoorden van studenten op examens en tentamens,50 zeker in het licht van onderwijsvernieuwing waarin in toenemende mate digitaal getoetst wordt en antwoorden in databases worden opgeslagen, toegankelijk worden gemaakt, en onderworpen aan nadere analyse.51

Op basis van de argumenten die het Hof van Justitie aandraagt met betrekking tot beroepsexamens is bijna geen andere conclusie mogelijk dan dat ook de antwoorden van studenten op tentamens en examens van hogeronderwijsinstellingen persoonsgegevens zijn.

Hoewel de overwegingen en het dictum van de beslissing van het Hof van Justitie zich toespitsen op de geschreven antwoorden die worden gegeven in het kader van een beroepsexamen, 52 zijn de argumenten die het Hof van Justitie aandraagt ook toepasbaar op andersoortige examens en tentamens. Advocaat-generaal Kokott liet zich in haar Conclusie reeds in meer algemene bewoordingen uit over examens, zonder zich daarbij te beperken tot beroepsexamens. Ze stelt bijvoorbeeld dat

'een examen echter -- in tegenstelling tot bijvoorbeeld een representatieve enquête -- niet tot doel [heeft] gegevens te verzamelen die losstaan van de persoon. Een examen strekt veeleer ertoe de prestatie van een specifieke persoon, namelijk de examenkandidaat, vast te stellen en te documenteren. Ieder examen is erop gericht een beeld te verkrijgen van de hoogstpersoonlijke en individuele prestatie van de examenkandidaat.'53

De antwoorden van studenten op tentamens en examens zijn evengoed een indicatie van hun kennis en vaardigheden op een deelgebied of het geheel van hun studie.54 Het doel van tentaminering is om de kennis en vaardigheden van de student te waarderen en de student daarmee te kwalificeren. Niet voor niets wordt studenten soms gevraagd een cijferlijst over te leggen als zij ergens solliciteren. Ten aanzien van de gevolgen van het niet-halen van een tentamen is de analyse van het Hof van Justitie lastiger door te trekken. De antwoorden die studenten geven en de vieren, zessen of achten die daarop zijn gebaseerd kunnen nadelige effecten hebben voor studenten en hun carrière. Maar door het halen van een onvoldoende wordt niet meteen de toegang tot een bepaald beroep afgesloten. Met beroepsexamens en andere examens is dat mogelijk wel het geval. Op grond van Nowak zijn de antwoorden van studenten op een tentamen of examen daarom ten aanzien van hun inhoud en doel, en mogelijk ook hun effect, als persoonsgegevens aan te merken.

Consequenties van de uitspraak

In Nowak beslist het Hof van Justitie in feite dat de antwoorden die worden gegeven op schriftelijke beroepsexamens -- en naar mijn mening ook andere examens en tentamens -- als persoonsgegevens dienen te worden aangemerkt. Het logische gevolg is dat het proces van inzage in examens en tentamens en de beoordeling daarvan niet alleen wordt beheerst door de regels in examenreglementen van onderwijsinstellingen en eventuele wettelijke regimes,55 maar ook door de AVG. Tot op zekere hoogte zullen die reglementen en wetten reeds verplichtingen en rechten bevatten die ook in de AVG voorkomen. Te denken valt aan de mogelijkheid inzage te krijgen in tentamens. In die zin doet Nowak weinig stof opwaaien. Maar ten aanzien van andere rechten en verplichtingen in de AVG kan Nowak wel degelijk nopen tot een heroverweging van het beleid en herinrichting van systemen omtrent het opslaan, toegang geven tot en anderszins verwerken van examens en tentamens. Te denken valt aan de verplichting de toegang tot de antwoorden te beperken tot bevoegde docenten, de antwoorden niet verder te verwerken dan nodig, de identificeerbaarheid te beperken, en de antwoorden te beveiligen.

Rectificatie

Het recht op rectificatie komt specifiek aan de orde in Nowak.56 Zoals gezegd bestond er in Ierland de angst dat Peter Nowak 'rectificatie' van zijn foute antwoorden zou eisen op grond van het gegevensbeschermingsrecht.57 Het Hof van Justitie zegt daarover klip-en-klaar dat het rectificatierecht 'een kandidaat vanzelfsprekend niet toe[staat] om "foute" antwoorden achteraf te "rectificeren".'58 De combinatie van goede en foute antwoorden stellen uiteraard in staat om het juiste niveau van kennis en vaardigheden te bepalen. Met andere woorden, foute antwoorden zijn geenszins onnauwkeurige persoonsgegevens waarop het rectificatierecht ziet.59 Met deze conclusie lijkt het Hof van Justitie een open deur in te trappen, maar kennelijk was dat nodig om elke onduidelijkheid daarover (ook bij de partijen) weg te nemen.

Het rectificatierecht kan wel van toepassing zijn als een examen per ongeluk is verwisseld en de antwoorden aan de verkeerde kandidaat zijn toegerekend, of als een deel van de antwoorden is zoekgeraakt, waardoor de antwoorden onvolledig zijn.60 Het Hof van Justitie noemt ook de mogelijkheid dat de 'eventuele opmerkingen van de examinator diens evaluatie van de antwoorden van de betrokken kandidaat niet correct weergeven'.61 Waarschijnlijk doelt het Hof van Justitie hier op situaties waarbij een examinator een fout heeft gemaakt in de beoordeling van het gegeven antwoord. Het is dan uiteraard in het belang van de kandidaat dat het resultaat daarop wordt aangepast. Regels omtrent het afnemen van examens en tentamens zullen daarin reeds voorzien. Maar ook op grond van de AVG zal de examinator dan in staat moeten worden gesteld eventuele opmerkingen aan te passen -- juist ook omdat de opmerkingen persoonsgegevens zijn betreffende de examinator.62

Recht op wissing

Het Hof van Justitie merkt obiter op dat het niet uitsluit dat een kandidaat het recht heeft om een instelling te verzoeken de examenantwoorden en opmerkingen van de examinator naar verloop van een zekere periode te wissen.63 Volgens het Hof van Justitie

'lijkt de bewaring [van examenantwoorden en opmerkingen van een examinator] in een vorm die het mogelijk maakt de kandidaat te identificeren a priori niet langer nodig zodra de examenprocedure definitief is afgesloten en er in deze procedure geen betwisting meer mogelijk is zodat die antwoorden en opmerkingen hun bewijskracht dan hebben verloren.'64

Daar staat tegenover dat onderwijsinstellingen er juist ook belang bij kunnen hebben de gegevens langer te bewaren, bijvoorbeeld ten behoeve van de accreditatie van het onderwijs. Onderwijsinstellingen dienen de examenantwoorden dan te anonimiseren of te pseudonimiseren.65 Daardoor kunnen de antwoorden wel worden gebruikt voor andere doeleinden, zoals evaluatie en beoordeling van tentamens en het onderwijs waarvoor identificatie van de kandidaat geen vereiste is. In het geval van anonimisering worden de antwoorden losgekoppeld van de identiteit van een kandidaat door het wissen van namen en andere identificerende gegevens zoals examennummers. De antwoorden zijn dan geen persoonsgegevens meer.66 Het is dan wel zaak dat de gegevens niet op een andere manier zijn te herleiden tot een persoon.67 In geval van pseudonimisering worden identificerende gegevens vervangen door een pseudoniem waardoor de gegevens niet meer zijn te herleiden tot een persoon, maar waardevolle data-analyse mogelijk blijft.68

Conclusie

Het Hof van Justitie oordeelt in Nowak dat de antwoorden van kandidaten die deelnemen aan een beroepsexamen persoonsgegevens zijn. De uitspraak biedt een kader om te bepalen of informatie binnen de reikwijdte van het begrip persoonsgegeven in de AVG valt. Duidelijk wordt dat informatie al snel een persoon kan betreffen en daarmee een persoonsgegeven kan zijn. Verwerking van dergelijke gegevens dient dan in beginsel te gebeuren volgens de regels in de AVG. Specifiek ten aanzien van hogeronderwijsinstellingen kan Nowak nopen tot een heroverweging van het beleid en aanpassing van systemen met betrekking tot het opslaan van examens en tentamens in databases, het verlenen van toegang daartoe, en de analyse van antwoorden.


  1. Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming), PbEU 2016, L 119. 

  2. HvJ 20 december 2017, zaak C-434/16, Peter Nowak/Data Protection Commissioner, ECLI:EU:C:2017:994

  3. Conclusie A-G Kokott van 20 juli 2017 in zaak C-434/16, Peter Nowak/Data Protection Commissioner, ECLI:EU:C:2017:582, par. 13, waaruit blijkt dat Nowak zijn recht op rectificatie wilde uitoefenen. 

  4. Richtlijn 95/46/EG van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens, PbEG 1995, L 281. Zie over de intrekking daarvan: art. 94 lid 1 AVG. Zie over die ontwikkelingen die aanleiding gaven tot de AVG onder meer overwegingen 5, 6 en 7 van de AVG. 

  5. De AVG bevat wel een verbod op verwerking van 'bijzondere categorieën van persoonsgegevens', zoals gegevens waaruit de religie of politieke voorkeuren van iemand blijken. Zie daarover art. 9 AVG dat in lid 2 ook een lijst geeft met uitzonderingen op dat verbod. 

  6. Art. 2 lid 1 AVG: 'Deze verordening is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.' Vgl. art. 3 lid 1 van de ingetrokken Richtlijn gegevensbescherming. 

  7. Art. 4 lid 2 AVG. 

  8. Art. 2 sub b van de ingetrokken Richtlijn gegevensbescherming. 

  9. Art. 2 sub a van de ingetrokken Richtlijn gegevensbescherming. Zie voor een kritische beschouwing: N. Purtova, 'The Law of Everything. Broad Concept of Personal Data and Future of EU Data Protection Law', Law, Innovation & Technology 2018-1, p. 40. 

  10. Overweging 26 AVG. 

  11. Overweging 26 AVG. 

  12. Art. 4 lid 1 AVG. Zie ook: F.J. Zuiderveen Borgesius, 'Singling Out People Without Knowing Their Names -- Behavioural Targeting, Pseudonymous Data, and the New Data Protection Regulation', Computer Law & Security Review 32-2, p. 256. 

  13. HvJ 29 juni 2010, zaak C-28/08 P, Europese Commissie/The Bavarian Lager Co. Ltd., ECLI:EU:C:2010:378, r.o. 68. 

  14. HvJ 6 november 2003, zaak C-101/01, Bodil Lindqvist, ECLI:EU:C:2003:596, r.o. 24. 

  15. HvJ 20 mei 2003, zaak C-465/00, Rechnungshof/Österreichischer Rundfunk e.a., ECLI:EU:C:2003:294, r.o. 64. 

  16. HvJ 11 december 2014, zaak C-212/13, František Ryneš/Úřad pro ochranu osobních údajů, ECLI:EU:C:2014:2428, r.o. 21 en 22. 

  17. Andere uitspraken zijn: HvJ 19 oktober 2016, zaak C-582/14, Patrick Breyer/Bundesrepublik Deutschland, ECLI:EU:C:2016:779 en HvJ 17 juli 2014, zaak C-141/12, Y.S./Minister voor Immigratie, Integratie en Asiel, ECLI:EU:C:2014:2081. In Nowak lijkt het Hof van Justitie overigens actief afstand te nemen van zijn bevindingen met betrekking tot het inzagerecht, zie daarvoor r.o. 56. 

  18. Het materiële en territoriale toepassingsbereik van de AVG worden beschreven in art. 2 en 3 AVG. De AVG is bijvoorbeeld niet van toepassing op verwerking van persoonsgegevens in de huishoudelijke sfeer (art. 2 lid 1 sub c AVG) en de verwerking van persoonsgegevens in het kader van strafrechtelijke opsporing (art. 2 lid 1 sub d AVG). 

  19. De AVG maakt onderscheid tussen de 'gegevensverantwoordelijke' -- degene die het doel van en de middelen voor de verwerking van gegevens vaststelt -- en de 'verwerker' -- degene die voor de gegevensverantwoordelijke de gegevens verwerkt (zie art. 4 leden 7 en 8 AVG). Aan welke regels een persoon of organisatie zich moet houden is afhankelijk van de vraag of men een verwerker of een gegevensverantwoordelijke is. Zie daarover ook hoofdstuk 4 van de AVG. Dit onderscheid blijft in deze bijdrage verder buiten beschouwing. 

  20. Art. 5 lid 1 sub a en 6 AVG. Zie art. 7 AVG over de voorwaarden waaraan de toestemming moet voldoen. Ten aanzien van de toestemming door kinderen bevat de AVG in art. 8 een aparte bepaling. 

  21. Art. 5 lid 1 sub a AVG. Zie afdeling 1 van de AVG over transparantie en afdeling 2 van de AVG over de informatie die verstrekt moet worden over de verwerking van persoonsgegevens. Art. 15 AVG beschrijft het recht op inzage. 

  22. Art. 5 lid 1 sub b AVG. 

  23. Art. 5 lid 1 sub c AVG. 

  24. Art. 5 lid 1 sub d AVG. Zie ook afdeling 3 AVG over het recht op rectificatie en wissing van persoonsgegevens. 

  25. Art. 5 lid 1 sub e AVG. 

  26. Art. 5 lid 1 sub f AVG. 

  27. Nowak, r.o. 29. 

  28. HvJ 19 oktober 2016, zaak C-582/14, Patrick Breyer/Bundesrepublik Deutschland, ECLI:EU:C:2016:779

  29. Als internetaanbieders een dynamisch IP-adres uitgeven dan wordt de gebruiker in feite steeds een ander IP-adres toegekend. Het is daardoor lastiger om de persoon (of eigenlijk het verbonden apparaat) achter het IP-adres te identificeren. Zie over Breyer ook: F.J. Zuiderveen Borgesius, 'The Breyer Case of the Court of Justice of the European Union: IP Addresses and the Personal Data Definition', European Data Protection Law Review 2017-1, p. 130. 

  30. Breyer, r.o. 44. 

  31. Nowak, r.o. 31. 

  32. Nowak, r.o. 34. 

  33. Article 29 Data Protection Working Party, Opinion 4/2007 on the concept of personal data, p. 11. De Werkgroep is met de komst van de AVG vervangen door het Europees Comité voor gegevensbescherming (art. 68 AVG). 

  34. Article 29 Data Protection Working Party, Opinion 4/2007 on the concept of personal data, p. 11. 

  35. Nowak, r.o. 35. 

  36. Nowak, r.o. 37. 

  37. Nowak, r.o. 37. 

  38. Conclusie A-G Kokott in Nowak, par. 29, waaruit blijkt dat Nowak zijn recht op rectificatie wilde uitoefenen. 

  39. Zie bijvoorbeeld: S.N. Srihari e.a., 'Individuality of Handwriting', Journal of Forensic Sciences 2002-4, p. 1. 

  40. A-G Kokott laat overigens in het midden of een handschrift een biometrisch gegeven is dat in beginsel niet verwerkt mag worden (A-G in Nowak, par. 30). Verwerking van dergelijke gegevens is in beginsel verboden op grond van art. 9 lid 1 AVG. Zie art. 4 lid 14 AVG voor de definitie van 'biometrische gegevens'. 

  41. Nowak, r.o. 38. 

  42. Nowak, r.o. 39. 

  43. Nowak, r.o. 46 en A-G in Conclusie inzake Nowak, par. 31 waaruit blijkt dat Ierland vreesde dat de examenkandidaat zich zou beroepen op het correctierecht in art. 12 sub b van de Richtlijn. 

  44. Vgl. Nowak, r.o. 14 e.v. en A-G in Conclusie inzake Nowak, par. 34. 

  45. Nowak, r.o. 48-51. 

  46. Dat betekent niet dat het fundamentele recht op gegevensbescherming absoluut is. In zowel de ingetrokken richtlijn als de AVG is er ruimte om in de toepassing van een concrete regel een proportionaliteitstoets aan te leggen en rekening te houden met de belangen van de verwerker of verwerkingsverantwoordelijke. Art. 32 AVG is daarvan een goed voorbeeld. Het vereist passende technische organisatorische maatregelen om de persoonsgegevens te beschermen. Daarbij dient rekening gehouden te worden met de 'stand van de techniek, de uitvoeringskosten, alsook met de aard, de omvang, de context en de verwerkingsdoeleinden en de qua waarschijnlijkheid en ernst uiteenlopende risico\'s voor de rechten en vrijheden van personen.' Daarnaast biedt art. 23 AVG ruimte aan lidstaten om bepaalde rechten en verplichtingen die voortvloeien uit de AVG te beperken. 

  47. A-G in Conclusie inzake Nowak, par. 53. De aanvankelijke eerste prejudiciële vraag was: 'Kunnen gegevens die in of als antwoorden door een kandidaat tijdens een beroepsexamen worden opgeschreven persoonsgegevens zijn in de zin van richtlijn 95/46?' Echter, volgens het Hof van Justitie 'wenst de verwijzende rechter in wezen te vernemen of artikel 2, onder a), van richtlijn 95/46 aldus moet worden uitgelegd dat, in omstandigheden als die in het hoofdgeding, de door een kandidaat geformuleerde schriftelijke antwoorden op een beroepsexamen en de eventuele opmerkingen van de examinator bij deze antwoorden persoonsgegevens zijn in de zin van deze richtlijn.' 

  48. Nowak, r.o. 43. In de Nederlandse taalversie verwijst het Hof van Justitie ter ondersteuning van zijn argumentatie met betrekking tot de effecten hier overigens naar r.o. 40 van zijn beslissing. Dat moet r.o. 39 zijn. Zie daarvoor r.o. 43 in de Engelse (authentieke) versie van de uitspraak. 

  49. Het Hof van Justitie wijst in dat verband ook op de mogelijkheden die de AVG biedt om het inzagerecht in te perken (Nowak, r.o. 61). 

  50. Met een tentamen wordt hier bedoeld de toetsing van een onderwijseenheid binnen een opleiding. Met examen wordt hier bedoeld de toetsing die plaatsheeft in het kader van de gehele opleiding. 

  51. Zie bijvoorbeeld: www.surf.nl/themas/onderwijsinnovatie-met-ict/digitaal-toetsen. 

  52. Nowak, r.o. 41 waarin het Hof van Justitie aangeeft dat elk examen ertoe strekt 'de individuele prestaties van een specifieke persoon, te weten de kandidaat, vast te stellen en te documenteren'. Dat doet het Hof van Justitie ter onderbouwing van het argument dat ook de schriftelijke antwoorden op een beroepsexamen met openboekvragen persoonsgegevens zijn. A-G Kokott betrekt in haar conclusie overigens ook de antwoorden op multiplechoicevragen. Hoewel antwoorden op open vragen meer inzicht geven in het denkproces van de examenkandidaat en hoe hij te werk gaat, dienen antwoorden op multiplechoicevragen volgens Kokott ook als persoonsgegevens te worden aangemerkt omdat ze de prestaties van kandidaat weergeven (A-G in Conclusie inzake Nowak, par. 22). 

  53. A-G in Conclusie inzake Nowak, par. 24. 

  54. Zie in dat verband ook art. 7.10 van de Wet op het hoger onderwijs en wetenschappelijk onderzoek: 'Elk tentamen omvat een onderzoek naar de kennis, het inzicht en de vaardigheden van de examinandus, alsmede de beoordeling van de uitkomsten van dat onderzoek.' 

  55. De Wet op het hoger onderwijs en wetenschappelijk onderzoek verplicht in art. 7.3 lid 5 bijvoorbeeld dat examens die zijn verbonden aan een opleiding en de in dat kader vervaardigde werkstukken -- denk aan afstudeerwerk en scripties -- ten minste zeven jaar worden bewaard. In zo'n geval is er sprake van een wettelijke verplichting tot verwerking in de zin van art. 6 lid 1 sub c AVG. Deze verplichting ontslaat de onderwijsinstellingen uiteraard niet van de verplichting zich te houden aan de eisen die de AVG stelt aan de verwerking van persoonsgegevens. 

  56. Zie art. 16 AVG. 

  57. Zie hierboven. 

  58. Nowak, r.o. 52. 

  59. Nowak, r.o. 52. 

  60. Nowak, r.o. 53. De AVG geeft in art. 16, tweede volzin, ook een recht op 'vervollediging van onvolledige persoonsgegevens'. Daarbij moeten ook de doeleinden van de verwerking in acht worden genomen. Het opnieuw inleveren van de antwoorden op de vragen lijkt daarmee niet tot de mogelijkheden behoren, dat zou immers het doel van de examinering kunnen ondermijnen. Een nieuwe set vragen om het niveau van de kandidaat vast te stellen lijkt wel passend. 

  61. Nowak, r.o. 54. 

  62. Zie daarvoor 4.2. 

  63. Nowak, r.o. 55. Dat recht was neergelegd in art. 12 sub b van de ingetrokken Richtlijn. In de AVG is dat recht omgedoopt tot het recht op gegevenswissing, ook wel het 'recht op vergetelheid'. Art. 17 lid 1 sub a AVG verplicht tot wissing van persoonsgegevens indien de 'persoonsgegevens [...] niet langer nodig [zijn] voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt.' 

  64. Nowak, r.o. 55. 

  65. Overweging 26 van de AVG: 'De gegevensbeschermingsbeginselen dienen derhalve niet van toepassing te zijn op anonieme gegevens, namelijk gegevens die geen betrekking hebben op een geïdentificeerde of identificeerbare natuurlijke persoon of op persoonsgegevens die zodanig anoniem zijn gemaakt dat de betrokkene niet of niet meer identificeerbaar is. Deze verordening heeft derhalve geen betrekking op de verwerking van dergelijke anonieme gegevens, onder meer voor statistische of onderzoeksdoeleinden.' 

  66. Overweging 26 AVG. 

  67. De Artikel 29 Werkgroep stelt dat dat ook vereist dat instellingen de risico's op heridentificatie in de gaten blijven houden. Zie daarvoor Opinion 05/2014 on Anonymisation Techniques, p. 4. Daarin speelt mogelijk nog een rol dat een persoon door middel van handschriftvergelijking identificeerbaar is. Ook schrijfstijlherkenning zou kunnen bijdragen aan de identificeerbaarheid, zie daarover bijvoorbeeld: P. Galán-Garcia, J. Gaviria de la Puerta en C. Laorden Gómez, 'Supervised machine learning for the detection of troll profiles in twitter social network: application to a real case of cyberbullying', Logic Journal of the IGPL 2016-1, p. 42. 

  68. De AVG voorziet specifiek in de mogelijkheid om gegevens te pseudonimiseren. Zie daarover overwegingen 28 en 29 in de AVG, art. 4 lid 5 AVG dat een definitie geeft van pseudonimiseren, en art. 25 en 26 lid 1 sub a AVG dat daartoe in bepaalde omstandigheden verplicht. Zie ook over de mogelijkheden om gegevens te pseudonimiseren: V. Mayer-Schönberger en Y. Padova, 'Regime change? Enabling Big Data through Europe's new Data Protection Regulation', Columbia Science and Technology Law Review 2016-2, p. 246.