Anoniem op internet? Afgifte van persoonsgegevens door hostingprovider

Van internet wordt soms wel eens gezegd dat personen zich daar anoniem kunnen bewegen en uiten, en dat ze daarom alles kunnen zeggen en doen wat ze willen. Ze worden immers toch niet gepakt. Of toch wel? De rechter heeft namelijk in een recente uitspraak bepaald dat een internethostingprovider de gegevens van een websitebeheerder moest afstaan, zodat tegen die websitebeheerder in rechte opgetreden kon worden.

Wat was er aan de hand?

Een man (X) en diens familie werden al enkele jaren bedreigd en ze werden ernstig beschuldigd van enkele strafbare feiten, zoals mishandeling en geweld, zonder dat daar bewijs voor was. Deze bedreigingen en beschuldigingen werden geuit via een blog op een website. In combinatie met bedreigingen leed X erg veel schade. De website-eigenaar die de blog ter beschikking stelde, had zijn website gehost bij een hostingprovider. Om zijn schade te verhalen op de websitebeheerder, wilde X graag weten wie de websitebeheerder was. Hij vordert daarom onder meer dat de hostingprovider enkele gegevens van die persoon verstrekt. Het gaat om NAW-gegevens, e-mailadres en telefoonnummer die gebruikt zijn bij de inschrijving bij de hostingprovider.

Welke regels gelden er?

In sommige situaties kan er een verplichting bestaan tot het afgeven van persoonsgegevens. In het Lycos/Pessers-arrest van de Hoge Raad is vastgelegd in welke situatie een hostingprovider gegevens moet afgeven van de websitehouder in verband met (beweerdelijk) schadelijke informatie. In die zaak werd Lycos, een internetprovider, veroordeeld tot het afstaan van persoonsgegevens van een abonnee aan Pessers, die Pessers had uitgemaakt voor oplichter. De Hoge Raad formuleerde de volgende criteria:

1. Het moet voldoende aannemelijk zijn dat de informatie schadelijk en onrechtmatig is;
2. Er moet een reëel belang zijn bij de verkrijging van de NAW-gegevens;
3. Er is geen andere, minder ingrijpende mogelijkheid om de gegevens te achterhalen;
4. Er moet een belangenafweging worden gemaakt: het belang van de verzoekende partij (meneer X) moet prevaleren boven het belang van de partij wiens persoonsgegevens worden vrijgegeven én van de verstrekkende partij (de provider).

Indien aan al deze criteria voldaan is, dient de hostingprovider de persoonsgegevens van de websitehouder te verstrekken. Als de hostingprovider dat niet doet, kan de hostingprovider zelf onrechtmatig handelen, aldus de Hoge Raad.

Wat werd bepaald in deze zaak?

In deze zaak werden de vier criteria van het Lycos/Pessers-arrest toegepast:

1. Allereerst oordeelde de rechter dat de informatie op het blog, de beschuldigingen en bedreigingen, onmiskenbaar onrechtmatig was jegens de man en zijn familie. Bovendien leed X schade, onder meer aan zijn bedrijf. Daarmee is aan het eerste vereiste voldaan.
2. Daarnaast had X een reëel belang bij de gegevens, omdat hij tegen de persoon achter de website civielrechtelijk wilde optreden. Ook aan dit vereiste is dus voldaan.
3. De gegevens waren ook niet op minder vergaande manier te verkrijgen. X had geprobeerd de gegevens te verkrijgen via een persoon die iets op het blog geplaatst had, maar dit had geen succes. Daarom is dit de enige optie nog om die gegevens te achterhalen.
4. Het belang van X prevaleert boven het belang van de bewuste persoon en de hostingprovider, aldus de rechter. Wel gold dat niet alle informatie die X opgevraagd had mocht worden verstrekt, om op die manier de inbreuk op de privacy van de bewuste persoon zo beperkt mogelijk te houden. X mocht daarom geen transactie- en factureringsinformatie verkrijgen.

Aan alle vereisten is voldaan en dus moet de hostingprovider de persoonsgegevens afstaan.

Het afstaan van persoonsgegevens is ook een verwerking in de zin van de AVG. De vraag is nog of dit zo maar is toegestaan op grond van de AVG. De hostingprovider zal namelijk persoonsgegevens verstrekken aan een andere partij (X) en heeft dus een grondslag nodig om die verwerking uit te voeren. Voor de uitvoering van gerechtelijke uitspraken geldt doorgaans het gerechtvaardigd belang als grondslag. De AVG staat in dit geval dus niet in de weg aan verstrekking.

Conclusie

Hostingproviders hebben een verplichting in sommige situaties persoonsgegevens af te staan. En dit gebeurt in sommige situaties ook. Zo is ooit Facebook al eens gedwongen om bepaalde gegevens af te staan en hetzelfde geldt voor Instagram. En ook in de bekende zaak tussen Dutch Filmworks en Ziggo, over illegale downloads van films, is deze toets aan de orde gekomen. Het kan dus zo maar voorkomen dat de anonimiteit van het internet doorbroken wordt. Let dus goed op met wat je op internet plaatst!

Interessante artikelen voor u

• Max Verstappen op pole position bij de Hoge Raad
• Een duur ID
• Waar ligt de grens tussen informatie en reclame?