Hof van Justitie EU 19 oktober 2016, ECLI:EU:C:2016:779

Het Breyer-arrest van het Europees Hof van Justitie (ECLI:EU:C:2016:779) verduidelijkt dat dynamische IP-adressen als persoonsgegevens kunnen worden beschouwd wanneer ze kunnen worden gecombineerd met andere informatie om een individu te identificeren. Cruciaal hierbij is dat iemand met legitieme middelen toegang moet hebben tot die aanvullende informatie. Dit arrest benadrukt de noodzaak van een nauwkeurige afbakening van persoonsgegevens onder de GDPR. Het is van groot belang voor de bescherming van online anonimiteit en privacyrechten.

Een dynamische IP-adres is een vorm van gepseudonimiseerde informatie uitsluitend indien deze informatie op legitieme wijze kan worden gecombineerd met aanvullende informatie om een individu te identificeren, worden dit persoonsgegevens. Dit arrest benadrukt voor het eerst de duidelijke voorwaarde dat dit moet gaan om legitieme middelen. Met andere woorden er moet legitiem toegang zijn verkregen tot de sleutel voor de omzetting van deze gegevens, aldus niet door bijvoorbeeld hacking of diefstal resp. het overtreden van bevoegdheden maar met die rechtmatige middelen die een partij tot zijn beschikking heeft.

Voor mij is dit arrest van groot belang omdat de Nederlandse Privacy Autoriteit deze belangrijke uitspraak vaak negeert in haar dagelijkse praktijk door informatie al heel snel als persoonsgegevens te kwalificeren. Dit leidt tot een onjuiste toepassing van de GDPR, wat de bescherming van privacyrechten uiteindelijk juist ondermijnt.

“Wees assertief en creatief, accepteer niet zomaar een standpunt, de Toezichthouder heeft ook maar een mening!”