Verwerkingsverantwoordelijke moet andere verantwoordelijken informeren bij verzoek tot gegevenswissing

Eind oktober heeft het Hof van Justitie van de Europese Unie een belangrijke uitspraak gedaan over hoe een verwerkingsverantwoordelijke moet omgaan met een verzoek tot gegevenswissing (zaak C-129/21). Het ging in dit geval om de situatie waarbij persoonsgegevens met derde verwerkingsverantwoordelijken werden gedeeld en waarbij de betrokkene aan één van deze verantwoordelijken zijn verzoek tot gegevenswissing kenbaar heeft gemaakt. Deze uitspraak heeft ook gevolgen voor Nederlandse bedrijven die met een verzoek tot gegevenswissing te maken krijgen.

Meedelen van een verzoek tot gegevenswissing

De Belgische Gegevensbeschermingsautoriteit (GBA) ontving in 2019 een klacht. Een abonnee van Telenet had Proximus, dat verschillende telefoongidsen beheert, verzocht om zijn gegevens niet langer in de openbare telefonische inlichtingendiensten op te nemen. Proximus werd uitdrukkelijk gevraagd om dit ook aan de derde aanbieders van hun telefoongidsen door te geven. Proximus ging in op het verzoek, maar na het actualiseren van de abonnementsgegevens door Telenet werden de gegevens opnieuw zichtbaar. Daarop kreeg Proximus een sanctie opgelegd door de GBA.

Op basis van de Europese richtlijn is het zo dat een abonnee slechts een keer zijn toestemming hoeft te verlenen opdat ook andere aanbieders dezelfde gegevens voor hetzelfde doel kunnen verwerken. Er heerste echter onduidelijkheid over wat er moet gebeuren als een abonnee die toestemming opnieuw wil intrekken. Volstaat het dan om slechts één keer de beslissing tot intrekking mee te delen? Moet de betrokkene zich richten tot de operator of tot de aanbieder van de abonneelijst? En moet de ontvanger van het verzoek ook derden hiervan op de hoogte brengen, bijvoorbeeld een zoekmachine of een telefoongids? Daarover diende het Hof van de Europese Unie te beslissen.

Betrokkene hoeft slechts één verwerkingsverantwoordelijke aan te spreken

Het Hof oordeelt dat het voor de betrokkene volstaat om zich tot één van de verwerkingsverantwoordelijken te richten. Hij hoeft dus slechts één keer zijn beslissing tot gegevenswissing mee te delen. Daarop moet een verwerkingsverantwoordelijke in de eerste plaats zelf de gegevens verwijderen. Daarbovenop moet de verwerkingsverantwoordelijke de andere verwerkingsverantwoordelijken informeren over de intrekking van de toestemming. Zij moeten dan ook de gegevens wissen.

Het Hof geeft specifiek aan dat er van een aanbieder van een telefoongids kan worden verwacht dat hij zoekmachines in kennis stelt van het verzoek tot gegevenswissing. Uiteindelijk is het aan de andere verantwoordelijken om daarop actie te ondernemen. De eerder aangesproken verwerkingsverantwoordelijke heeft aan zijn verplichting voldaan als hij de anderen voldoende heeft geïnformeerd.

Juridische hulp bij privacyzaken

Deze zaak toont aan dat het privacyrecht allesbehalve eenvoudig is. En dat de rol van een verwerkingsverantwoordelijke heel groot is. Er mag van een verwerkingsverantwoordelijke worden verwacht dat hij passende organisatorische en technische maatregelen treft om andere verwerkingsverantwoordelijken te informeren over het uitoefenen van het recht op gegevenswissing.

Als je nog vragen hebt over het verwerken van persoonsgegevens, over de vrije en geïnformeerde toestemming of over het intrekken van deze toestemming, kan je steeds terecht bij MKBrecht.nl. Wij helpen je bij het treffen van de juiste organisatorische maatregelen en kunnen de huidige maatregelen voor jou juridisch analyseren. Zo ben je zeker dat je de dingen juist aanpakt.