@Passant: de Nederlandse privacyregels vormen een implementatie van richtlijnen 95/46/EG en 2002/58/EG en zullen dus grotendeels overeenstemmen met de Belgische implementatie daarvan.

De toelichting bij de Wbp (Wet bescherming persoonsgegevens) geeft aan dat sprake is van een persoonsgegeven als het gegeven invloed heeft of kan hebben op hoe iemand in het maatschappelijk verkeer wordt beoordeeld. Uitgangspunt is dat een persoon identificeerbaar is indien zijn identiteit redelijkerwijs, zonder onevenredige inspanning, vastgesteld kan worden. Twee factoren spelen hierbij een rol: de aard van de gegevens en de mogelijkheden van de verantwoordelijke om de identificatie tot stand te brengen.

Dus als de verantwoordelijke (in dit geval Arnoud) mij kan identificeren, geldt dit bericht voor hem als persoonsgegeven. Als hij het wil verstrekken aan een ander, zal hij zich daarbij af moeten vragen of het voor die ander ook als (al dan niet bijzonder) persoonsgegeven heeft te gelden. Daarbij geldt dat hoe meer mogelijkheden een verstrekker heeft om de risico’s van identificatie door de ontvanger te voorzien of te beperken,
hoe meer zorgvuldigheid van hem mag worden verwacht.

Bij het voortschrijden van informatietechnologie moet ook rekening worden gehouden met het feit dat waar voorheen wellicht nog sprake is was van een onevenredige inspanning (en dus niet van een persoonsgegeven), deze inspanning geringer wordt met het beschikbaar komen van nieuwe technieken.

Nu even concreet: Arnoud kan mij als beheerder van het persoonsgegeven identificeren en kan in ruime mate inschatten (hij is tenslotte jurist met expertise op dit gebied) wat de risico’s zijn van identificatie door de ontvanger. Als hij dit bericht dus wil doorgeven, zal hij dat (behoudens toestemming of andere rechtvaardigignsgrond) alleen mogen, als hij (als deskundig en zorgvuldig persoon) redelijkerwijs kan menen dat anderen mij aan de hand van dit bericht niet kunnen identificeren.