ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.

Vraag: in steeds meer buurten worden zogenaamde WABP-groepen opgericht. Dit zijn WhatsApp-groepen voor buurtbewoners zodat die elkaar via zo’n groep snel kunnen alarmeren als er iets verdachts in de buurt aan de hand is. Je deelt dan foto’s en beschrijvingen van verdachte personen, plus iedereen ziet natuurlijk elkaars telefoonnummer, en beheerders vragen vaak om nog meer gegevens (zoals namen en adressen). Valt zo’n groep ook onder de Wet bescherming persoonsgegevens (Wbp)?

Antwoord: De Wbp is van toepassing op iedere geautomatiseerde verwerking (en dat is ieder gebruik) van persoonsgegevens. Niet alleen als een bedrijf of stichting dat doet. Ook privépersonen hebben dus te maken met deze wet.

De enige echte uitzondering is die voor het strikt huishoudelijk gebruik, maar die uitzondering werd in 2014 ver uitgekleed, toen het Hof bepaalde dat zodra je “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt” je die uitzondering niet meer mag inroepen. Oftewel, het moet écht iets privé zijn en het mag niet met de openbare ruimte te maken hebben.

Een WhatsApp-bericht sturen met daarin een beschrijving (of foto) van een verdacht iemand is dus een verwerking van persoonsgegeven, waar de plaatser voor verantwoordelijk is. De gegevens van groepsleden worden beheerd door de beheerder, en die is daar dus verantwoordelijk voor. En die 06-nummers die iedereen kan zien, daar is WhatsApp dan weer verantwoordelijk voor.

In de praktijk gaat dit allemaal per ongeluk goed, omdat niemand er echt een probleem van maakt. En meestal komt de belangenafweging binnen de Wbp ook wel goed uit: er is een dringend belang bij het elkaar wijzen op verdachte figuren in de buurt, iedereen snapt wat een WhatsApp-Buurtpreventie is, eigenlijk ontbreken alleen de verplichte contactgegevens van de verantwoordelijke. Maar in theorie heb je echt een privacyverklaring nodig, beveiligingsregels en onderlinge afspraken over gebruik van die gegevens.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.