AVG: Recht om vergeten te worden

Onder de Algemene verordening gegevensbescherming (AVG) houdt het recht om vergeten te worden (ofwel het ‘recht op vergetelheid’) in dat, als een consument hierom vraagt, een webshop in een beperkt aantal gevallen zijn persoonsgegevens moet verwijderen. Hierbij heeft de webshop soms ook de plicht om derde partijen ervan op de hoogte te stellen dat een betrokkene wenst dat diens gegevens verwijderd worden.

Dit recht wordt ook wel het recht op gegevenswissing genoemd. De achterliggende gedachte bij het recht om vergeten te worden is dat een betrokkene het recht op verwijdering van zijn gegevens kan vorderen als er geen geldige reden meer is om zijn gegevens nog langer te bewaren/verwerken of als de gegevens onrechtmatig zijn verwerkt.

Het recht is in de AVG opgenomen naar aanleiding van de uitspraak in de Costéja-zaak (Google/Spain-arrest) van het Europees Hof. In deze zaak werd voor het eerst aan het recht op privéleven meer gewicht toegekend dan aan andere fundamentele rechten zoals de vrijheid van meningsuiting. Hiermee bevestigde het Hof het bestaan van een 'recht om te worden vergeten'. Deze uitspraak zou in veel gevallen de vrijheid van meningsuiting ondergeschikt maken aan andere grondrechten. Daarom heeft de Europese wetgever ervoor gekozen om een recht om vergeten te worden in de AVG op te nemen. Op deze manier is duidelijk vastgelegd in welke specifieke gevallen men hiervan gebruik kan maken (en dus persoonsgegevens kan laten wissen) en in welke andere gevallen er een belangenafweging tussen de vrijheid van meningsuiting en andere rechten plaats moet vinden. Zo heeft de wetgever getracht duidelijkheid te creëren over wat dit recht inhoudt.

Wanneer moeten webshops de gegevens van de consument verwijderen?

Wanneer een consument het recht op gegevenswissing uit de AVG wil gebruiken, is de webshop verplicht hier aan te voldoen als:

• de persoonsgegevens van de consument niet langer nodig zijn voor het doel waarvoor ze verzameld of verwerkt zijn;
• de consument de toestemming voor de verwerking van zijn gegevens intrekt en er geen andere juridische basis voor de verwerking meer is;
• de consument bezwaar maakt tegen de verwerking en er geen andere juridische basis is om de gegevens te verwerken;
• de persoonsgegevens onrechtmatig zijn verwerkt;
• het wissen van de gegevens nodig is om te voldoen aan wettelijke verplichtingen binnen de Europese Unie of de lidstaat.

De gegevenswissing moet ‘zonder onredelijke vertraging’, oftewel zo snel mogelijk, plaatsvinden. Dit dient uiterlijk een maand na het verzoek te zijn. Iedere koppeling naar of kopie of reproductie van de persoonsgegevens van de consument moeten gewist worden. Ook derde partijen moeten hierover worden ingelicht. Hierbij dient wel rekening te worden gehouden met de beschikbare techniek, de uitvoeringskosten en redelijkheid van de maatregelen

Zoals hierboven wordt weergegeven hoeft een consument niet expliciet bezwaar te maken tegen een verwerking als er toestemming gegeven is voor deze verwerking. In plaats daarvan kan hij dan zijn toestemming intrekken, waardoor er geen grond meer is voor de webshop om de gegevens te bewaren. Alleen als de webshop een gerechtvaardigd belang heeft of er een wettelijke plicht bestaat om de gegevens te bewaren, hoeven de persoonsgegevens hierna niet te worden verwijderd. Bij de verwerking van persoonsgegevens voor ‘direct-marketingdoeleinden’ moeten overigens de gegevens altijd worden verwijderd als de consument hier bezwaar tegen maakt.

Het recht om vergeten te worden geldt niet als de verwerking van de gegevens nodig is:

• voor het uitoefenen van het recht op vrijheid van meningsuiting en informatie;
• voor het nakomen van een wettelijke verwerkingsverplichting binnen de EU of een lidstaat;
• om redenen van algemeen belang op het gebied van volksgezondheid;
• met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden;
• voor het instellen, uitoefenen of onderbouwen van een rechtsvordering.

Hier is dus expliciet een belangenafweging opgenomen tussen de vrijheid van meningsuiting/informatie enerzijds en het recht op gegevenswissing anderzijds (het recht om vergeten te worden) waar belanghebbenden (bijvoorbeeld consumenten) zich op kunnen beroepen. Het recht om vergeten te worden betreft dus geen absoluut recht.