Waarom is een IP-adres een persoonsgegeven en een kenteken niet?

Een lezer vroeg me:

Regelmatig lees ik dat IP-adressen als persoonsgegevens worden gezien, omdat ze tot een persoon (de gebruiker van de computer waar dat adres aan toegekend is) herleidbaar zijn. Dat klopt in theorie, maar je hebt daar de internetprovider voor nodig en die zal zonder gerechtelijk bevel niet meewerken, toch? Maar bij kentekens is de situatie hetzelfde en daarvan zegt de toezichthouder dat het géén persoonsgegevens zijn voor jou of mij, alleen voor de RDW. Waarom dat onderscheid?
Dit onderscheid is inderdaad lastig uit te leggen, maar gelukkig verdwijnt het met de AVG: beide gegevens zijn vanaf 25 mei gewoon keihard persoonsgegevens voor iedereen, punt.

Ik denk dat het onderscheid vooral om historische redenen zo gegroeid zijn. Bij invoering van de Wbp is gezegd dat kentekens alleen voor de RDW persoonsgegevens zijn. Dit was namelijk de klassieke opvatting: een gegeven is alleen persoonsgegeven voor wie de persoon kan identificeren, en gewone mensen kunnen dat niet. Omdat juristen graag de wet en dit soort parlementaire stukken overschrijven in leerboeken, is de opvatting “kenteken alleen voor RDW persoonsgegeven” gemeengoed geworden. (Zei hij cynisch.)

De discussie over IP-adressen is van recenter datum en veel meer een open vraag gebleven. Onze toezichthouder was er altijd stellig in: ja, in principe wel. Daar was de nodige kritiek op, met terechte vraagtekens overigens. Pas zeer recent (oktober 2016) is er een definitieve uitspraak gekomen: ja, in principe wel. Er is immers een mogelijkheid tot identificatie van de gebruiker, en dat daarvoor een gerechtelijk bevel nodig is, is een praktijkdetail maar theoretisch niet relevant. Voor iedereen die IP-adressen verwerkt, geldt dus dat ze persoonsgegevens zijn. En ook voor kentekens dus.

Maar zoals gezegd, eigenlijk is de discussie achterhaald want de AVG (of GDPR) kent een nieuwe definitie van het begrip ‘identificeerbaar’ bij persoonsgegevens:

als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon;
Die ‘online identificator’ kan natuurlijk prima het IP-adres van de persoon zijn. En het nieuwe is dan dat de AVG zegt dat je iemand geïdentificeerd hébt. Dus niet “deze persoon is te herkennen door NAW-gegevens op te vragen voor het IP-adres 192.168.1.1” maar “deze persoon héét 192.168.1.1”. Het doet er dan dus niet meer toe of je ook nog andere identificerende gegevens te pakken kunt krijgen en hoe moeilijk dat is. (Update 2 maart 2023: behalve natuurlijk de datum en tijd waarop het aan jou toegekend is, want morgen kan een IP-adres naar iemand andes wijzen.)

Arnoud

28 reacties

  1. Die ‘online identificator’ kan natuurlijk prima het IP-adres van de persoon zijn. En het nieuwe is dan dat de AVG zegt dat je iemand geïdentificeerd hébt. Dus niet “deze persoon is te herkennen door NAW-gegevens op te vragen voor het IP-adres 192.168.1.1” maar “deze persoon héét 192.168.1.1”. Het doet er dan dus niet meer toe of je ook nog andere identificerende gegevens te pakken kunt krijgen en hoe moeilijk dat is.

    Deze snap ik niet, hoe zit dat dan met netwerk adres translation? (NAT) want daar kan 1 of meer personen achter zitten, in China een heel land, en als je kijkt naar akamai, een compleet, ‘openbaar’ netwerk. En dat zijn dan nog maar enkel technieken…

  2. Laat 192.168.1.1 nou net het verkeerde voorbeeld zijn… Maar het maakt wel duidelijk waarom er discussie kan zijn over deze uitleg. Want meerdere personen maken gebruik van eenzelfde IP adres. Ook als deze niet tot de private IPv4 address space behoren. Alleen met gerechtelijk bevel zou je als alles meezit, de persoon erachter kunnen identificeren. Bij 192.168.x.x lukt dat dan weer niet 😉

          1. En dan vergeet je nog Class E reserved for research 240.0.0.0 en de reserved voor 0.0.0.0 die niet verzonden mag worden. En dan ook nog Class D voor multicasting. Ook allemaal RFC’tjes

            Maar weet je ook waar RFC voor staat? Mag misschien niet maar kan wel, met alle problemen die daar bij horen natuurlijk. Leuker is een eigen DNS op te zetten voor een alternatief internet…Wat overigens al jaren bestaat, met eigen zelf bedachte extenties. En nog leuker met het ‘oude’ novel protocol ipx/spx.

            Want wie gaat mij tegen houden? Icann, iana wie? ik kan geen gebruik maken van de rootservers maar kan het gewoon zelf hosten. Dus wat kan en mag niet? Er is geen internet-waakhond die mij tegenhoud, internet is nog gewoon anarchie, en zal zo blijven, want dat is juist de zwakte en de kracht tegelijk:-)

  3. Betekent dit dat sites zoals http://www.autoverleden.nl nu in problemen komen omdat ze gegevens over auto’s verzamelen en aanbieden op basis van het kentekennummer? Kan ik hen nu opdracht geven om de gegevens over mijn auto te verwijderen van hun sites omdat ik hen geen toestemming geef voor het verwerken van mijn persoonsgegevens? Moeten ze mij informeren dat ze mijn kentekennummer hebben geregistreerd?

    Dit gaat nog leuk worden… 😀

    1. Voertuigidentificatie is best handig en belangrijk, in geval van ongelukken. Op zoek gaan naar een auto van merk X, type Y en kleur Z wordt ‘m niet… Dat dat kenteken voor iedereen zichtbaar is, is niet erg omdat de herleiding naar een natuurlijk persoon niet evident is. Idem dito met IP-adressen: online strooi je jouw IP-adres overal rond, maar (bijna) niemand kan er iets mee qua persoonsidentificatie…

      1. Ja, en iedereen vragen zijn BSN zichbaar op zijn kleding te dragen zou ook helpen bij het opsporen van criminelen en andere lastpakken. En willekeurig op straat mensen vragen om hun legitimatie zal ook wel helpen. Toch vinden we dat niet acceptabel. Waarom een kenteken dan wel?

        Is het ook geen algemeen principe dat niemand aan zijn eigen opsporing en veroordeling hoeft mee te werken? Dit principe is, in het geval van kentekens, opzij gezet. Daar zal wel een goede reden voor zijn geweest.

        Dat het ‘handig’ is…. Dat lijkt me niet voldoende.

        1. Als een auto betrokken is bij een overtreding (door rood licht rijden bijvoorbeeld), dan is het kenteken de enige mogelijkheid om de identiteit van de (mogelijke) bestuurder te achterhalen. Zonder kenteken op de foto kom je daar nooit meer achter. Bij personen zijn er in geval van een overtreding/misdrijf vaak voldoende andere aanknopingspunten om alsnog achter de identiteit van de betrokkene te komen, ook al hebben ze niet hun BSN nummer op hun rug staan. Nog afgezien van het feit dat je met kennis over een kenteken niet zoveel kan, qua mogelijke misbruik, maar dat je met een gelekt BSN nummer iemands leven volledig op stelten kan zetten. Naar mijn mening gaat je vergelijking daar dan ook volledig mank.

          Is het ook geen algemeen principe dat niemand aan zijn eigen opsporing en veroordeling hoeft mee te werken? Dit principe is, in het geval van kentekens, opzij gezet.

          Ik ben geen jurist, maar dit gaat volgens mij over bewijslast terwijl het onderwerp in deze draad over identificatie gaat. Als jij door rood licht een zebrapad oversteekt, een agent houdt je staande en jij weigert om je te identificeren, dan heb je gewoon een probleem en kom je daar echt niet onderuit met als reden ‘ik hoef niet aan mijn veroordeling mee te werken’.

          1. Een agent mag pas als hij een reden heeft om een identificatie vragen. Zonder reden is dat gewoon machtsmisbruik, en strafbaar voor die agent.

            Desalniettemin moet je je kenteken wel zichtbaar op je auto hebben. En ik begrijp best de praktische kant van de zaak, maar het gaat hier over het fundamentele aspect.

            Oftewel je kenteken is een persoonsgegeven en dan is het belachelijk dat je het open en bloot aan de hele wereld moet tonen, oftewel het is geen persoonsgegeven.

            Met een kenteken kun je in de praktijk niet zoveel, daar ben ik mee akkoord, maar daar geeft de AVG niets om. Die kwalificeert het als persoonsgegeven. Wel, als je dan consequent bent als wetgever zorg je ook dat de rest van de wetgeving aangepast wordt aan die bijzondere status van een kenteken.

            Ik snap ook wel dat dat in de praktijk moeilijk wordt.

            Maar denk dan als wetgever na voordat je zo’n domme definitie van persoonsgegeven aanneemt.

            1. Ik ben dat denk ik wel met je eens. Praktisch vind ik het best werkbaar en vooral ook verdedigbaar dat je als persoon niet overal je identiteit hoeft rond te strooien (BSN nummer op je jas) maar dat je wel een kenteken op je auto hebt. Maar in het licht van de AVG gaat dat laatste inderdaad wat knellen.

    2. Als je de politiek de laatste jaren gevolgd hebt, dan zie je een trend van privacy schendingen die alleen maar verder gaan, steeds meer en hardere pogingen van het OM om o.a. de politie vrij te spreken van misdaden, zie Mitch e.a. terwijl het OM er juist voor het volk zou moeten zijn. Met de laatste kabinetten, heb je geen vijanden meer nodig. Als je gaat kijken wat de overheid daadwerkelijk allemaal uitspookt, is het zelfs misdadig om te gaan stemmen, want daarmee geef je de overheid mandaad om te doen wat ze maar willen.

      Kijk maar wat ze graag willen met die nieuwe donorwet, prima dat ze willen dat er meer donors komen. Maar onder dwang? zou niet misstaan in een fascistische regering.

      Vraag mij ook af of het wel mag onder de universele rechten van de mens, die ook de EU naleeft. Stel dat het doorgaat en er worden mensen gedwongen, omdat ze het niet wisten, en de EU heeft de wet inmiddels weer illegaal verklaard, zouden we dan de minister voor moord kunnen berechten?

        1. O nee? stel die vraag eens aan mensen die het meegemaakt hebben. En daarbij wat is dood? De term hersendood is bedacht om rechtszaken te voorkomen. letterlijk alleen om die reden bedacht. Denk daar eens over na.

          Maar laat ik wel duidelijk zijn ik ben voor meer donoren. Van de week nog een moeder die haar dochter kwijt was, en heel duidelijk ook voor doneren was, maar helemaal tegen die nieuwe dwang-wet, die alleen maar thuishoort in een fascistische omgeving.

        2. Van een lijk kun je geen organen oogsten, want aan dode organen heb je niets. De vraag is dan hoe objectief de arts is die besloten heeft dat je zo goed als dood bent als diezelfde arts gebaat is bij een voldoende toestroom van donororganen.

  4. Beste Arnoud, Ik zie ruimte voor een subjectieve uitleg van ‘identificeerbaarheid van informatie’. Dataset X is voor de ene partij soms pseudonieme data omdat de partij in kwestie wettig gezien middelen heeft om (in bepaalde omstandigheden van sommige) personen de identiteit te achterhalen. Dezelfde dataset X kan voor een andere partij (bijvoorbeeld een dienstverlener) echter anonieme data zijn, omdat die partij geen wettige middelen heeft om enige persoon te identiceren. Dezelfde dataset bevat dan dus juridisch gezien geen persoonsgegevens.

    Voorbeeld: Bedrijf B heeft 20 medewerkers met elk een persoonlijke unieke kleurcode. Leverancier L krijgt van Bedrijf B alleen een lijst met de kleurcodes doorgegeven (dus geen namen of andere tot personen herleidbare info). Leverancier L heeft de opdracht om 20 unieke pagina’s op een website te maken, waarop de personeelsleden van Bedrijf B (ieder onder de eigen kleur) anoniem een zelf geschreven gedicht kunnen uploaden. Leverancier Z is een kunstkenner die van Leverancier L alle gedichten opgestuurd krijgt met bijbehorende kleurcodes van het personeel. Leverancier Z selecteert een winnaar en deelt de kleurcode van de winnaar mee aan Bedrijf B. Bedrijf B kijkt op de lijst en geeft een prijs aan de winnaar.

    In dit voorbeeld beschikt Leverancier L naar mijn mening niet over persoonsgegevens omdat Leverancier L geen enkel wettig middel heeft om te achterhalen welke persoon met welke kleurcode bedoeld wordt. Het criterium ‘wettig middel dat beschikbaar is voor degene die over de informatie beschikt’ (de subjectieve toets) zit wellicht impliciet besloten in het criterium van indirecte identificeerbaarheid van artikel 4 sub 1 AVG?

    1. Je standpunt lijkt mij zeer redelijk, maar is volgens mij achterhaald door dat Breyer-arrest dat ik in de blog aanhaal. Ze zeggen daar dat het genoeg is als er in enige situatie theoretisch een mogelijkheid is om die gegevens op te eisen, bijvoorbeeld door bij een IP-adres de provider aan te klagen. Dat is in vrijwel elke situatie ooit denkbaar, dus dan kom je al heel snel aan persoonsgegevens.

      1. Dank voor je snelle reactie Arnoud! Maar in het Breyer-arrest is de crux toch juist dat bepaalde gegevens pas persoonsgegeven in de zin van de wet vormen, wanneer degene die betreffende gegevens heeft beschikt over wettige middelen waarmee hij de betrokken persoon kan identificeren? Iemand die geen wettige middelen heeft, heeft dan toch slechts wat redelijk willekeurig lijkende data in handen? (‘kleuren die bij onbekende personen horen’ in mijn voorbeeld. Maar dit zou ook om andere unieke identifiers – zoals personeelsnummers, respondentnummers bij een onderzoek etc. – kunnen gaan die een leverancier zelf normaliter nooit kan herleiden tot personen die het betreft).

      2. Hm, dat maakt de definitie van persoonsgegeven dus feitelijk een informatietheoretische: ieder setje informatie dat maar op 1 persoon van toepassing is is een persoonsgegeven. De wiskundige in mij is blij.

        Interessant gevolg is wel dat het mogelijk is om persoonsgegevens samen te stellen uit niet-persoonsgegevens. (Is het eerste octet in een IP-adres een persoonsgegeven? En het tweede, en derde, en vierde?)

  5. Volgens mij is het ook nog steeds verboden om je gezicht onherkenbaar te maken als je deelneemt aan het verkeer in de openbare ruimte. Of op zijn minst moet je op verzoek je gezicht tonen. Maar dat gezicht is ook een persoonsgegeven, en met de huidige stand van de techniek is het, tenzij je heeeel erg streng op je privacy hebt gelet, bijna triviaal om de naam bij een gezicht te zoeken. Maar hoe zit het in dit kader met het BTW nummer? Dat moet ik als ondernemer ook op allerlei plaatsen bekend maken en dat is gewoon mijn BSN met iets er voor en er achter geplakt. Dat ljkt me zeker een persoonsgegeven.

  6. Ik kreeg laatst een reclamebericht van een garage (niet mijn eigen garage!) dat mijn auto APK gekeurd moet worden voor datum X en zij dat prima voor mij konden doen tegen een schappelijk prijsje. Dus die informatie is niet alleen voor de RDW beschikbaar, maar blijkbaar ook voor garages. Persoonsgegevens dus als je het mij vraagt. Vanaf mei is dat ook zo.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.