De bron is een openbaar register. De handelaar verkoopt de kopie.

Vrijwel alles wat over een Nederlandse bestuurder wordt verhandeld, komt uit een register dat om een andere reden bestaat. Het Handelsregister bestaat zodat het handelsverkeer weet met wie het zaken doet. Het Kadaster bestaat voor rechtszekerheid over eigendom. Het insolventieregister bestaat voor schuldeisers.

Geen van die registers bestaat om een profiel te voeden. Dat een gegeven daar rechtmatig openbaar is, zegt dus niets over de rechtmatigheid van de kopie die een derde ervan verkoopt.

De Nederlandse bronnen op een rij

Daarnaast is er materiaal dat niet uit een register komt maar wordt ingekocht: klantgegevens van bedrijven waar iemand gewoon klant was. In de Experian-zaak noemde de toezichthouder telecom- en energiebedrijven met zoveel woorden.

Waarom een bron geen grondslag is

Dit is het punt waarop de discussie meestal spaak loopt, en het is eenvoudiger dan het lijkt.

Een register is openbaar voor een doel. Het Handelsregister is openbaar zodat u kunt nagaan wie tekent voor een bedrijf waarmee u een contract sluit. Wie diezelfde gegevens kopieert, verrijkt met een woonadres uit een andere bron, en het resultaat verkoopt als marketingbestand, gebruikt ze voor een ander doel dan waarvoor zij openbaar zijn.

Dat andere doel heeft een eigen grondslag nodig. “Het stond openbaar” is die grondslag niet, en er is geen bepaling in de verordening die dat wel maakt.

De Kamer van Koophandel zegt dat trouwens zelf ook: bij hergebruik van haar gegevensset is het niet toegestaan die zo te verrijken dat zij herleidbaar wordt tot een individuele persoon, en voor hergebruik van persoonsgegevens is een afzonderlijk verzoek nodig.

Wat dat betekent voor een verzoek

Twee dingen, en ze zijn allebei praktisch.

De bron zelf is geen doelwit. Een verzoek aan de Kamer van Koophandel om uw naam als bestuurder te wissen, gaat nergens heen: publicatie daar is een wettelijke plicht, er is geen artikel 17-verzoek dat daar tegenin gaat, en er is dus ook geen termijn om op te escaleren.

De kopie is dat wel. De partij die het register heeft overgeschreven en het resultaat verkoopt, verwerkt op een eigen grondslag en is daar zelf verantwoordelijk voor. Dat is de partij aan wie een verzoek betekenis heeft.

Afschermen bij de bron haalt de kopieën die er al zijn dus niet weg. Het voorkomt wel dat de volgende verversing het gegeven opnieuw meeneemt.

Waar dit ophoudt

Wij kunnen niet vaststellen uit welke bron een specifieke partij een specifiek gegeven heeft. Dat staat zelden in een privacyverklaring, en waar het er staat is het een opsomming van categorieën en geen herleidbaar spoor.

Wat u wél kunt afdwingen, is dat een partij die vraag beantwoordt. Het inzagerecht verplicht haar te vertellen welke gegevens zij verwerkt, aan wie zij die verstrekt, en waar zij vandaan komen als zij niet bij u zijn opgehaald.

Welke soorten partijen deze gegevens verhandelen→

Waar dit vandaan komt