Een oma moet de foto’s die ze van haar kleinkinderen op Facebook en Pinterest heeft geplaatst verwijderen, omdat dit zonder toestemming van de moeder gebeurde. Dat las ik bij Security.nl. Dit is weer zo’n vonnis dat tot vele misverstanden en broodjeaapverhalen gaat leiden. In de kern komt het (niet verrassend) erop neer dat als je iets publiceert op internet, je onder de AVG valt en dat als je geen goed verhaal hebt waarom je mag publiceren, je fout zit omdat je dan niet eens toestemming hebt gevraagd. Maar wie nu harde regels concludeert als “oma’s hebben toestemming nodig voor kleinkindfoto’s”, die zitten minstens zo fout.
De vrouw en haar dochter hebben vanwege een ruzie al ruim een jaar geen contact meer met elkaar. De dochter heeft drie minderjarige kinderen, waarvan de oma dus foto’s op Facebook en Pinterest publiceerde. De moeder maakte daar bezwaar tegen omdat zij nooit toestemming had gegeven. Ook de vader had aangegeven niet te willen dat de oma dit deed.
Toen zij desondanks daarmee door bleef gaan, stapte de dochter naar de rechter. Ze hanteerde daarbij de AVG als vordering, omdat een publicatie van een foto immers telt als een verwerking van persoonsgegevens onder die wet. En je kunt er veel sneller mee rondkomen dan de klassieke vordering op grond van schending portretrecht.
Voor juristen is het totaal niet vreemd dat een publicatie van informatie over iemand op internet telt als “verwerking van persoonsgegevens”. Dat weten we al sinds 2003, toen het Hof van Justitie bepaalde dat “Deze bijeenkomst gaat niet door omdat mevrouw Lindqvist haar been gebroken heeft” op je website zetten onder de Wbp valt. Maar omdat de Wbp geen tanden had, trok niemand zich daar wat van aan.
De AVG heeft wél tanden, ook privaatrechtelijk: een verbod met dwangsom of een schadeclaim zijn prima te eisen. En deze wet heeft een brede scope. Een belangrijke uitzondering is daarbij wel de zuiver huishoudelijke en persoonlijke verwerking, zeg maar je eigen adresboek of digitale fotomap. Die valt buiten de AVG. Alleen kun je je afvragen of een publicatie op internet nog wel “persoonlijk” is, als willekeurige anderen deze kunnen zien. Daar had de oma niets over gezegd, het was niet duidelijk hoe afgeschermd de foto’s waren. En dan ga je als rechter maar uit van “ze zijn publiek” en dan val je dus buiten de uitzondering.
Dan gaat het mis:
In de UAVG is bepaald dat voor het plaatsen van foto’s van minderjarigen, die de leeftijd van 16 jaren nog niet hebben bereikt, toestemming van hun wettelijke vertegenwoordiger(s) is vereist.
Dat is niet wat in de UAVG staat en het is een van de hardnekkigste misverstanden. Artikel 5 UAVG zegt dat als toestemming nodig is, je bij minderjarigen toestemming van de ouders moet hebben. En dat is nadrukkelijk wat anders dan dat toestemming nodig is voor een verwerking. De AVG kent immers zes grondslagen, niet alleen de grondslag toestemming. Als jij een rechtsgeldige overeenkomst met een minderjarige hebt en daarvoor is verwerking van zijn persoonsgegevens nodig, dan is ouderlijke toestemming voor die verwerking niet aan de orde. (Concreet: een kind van 12 bestelt bij jou een doos Lego en jij geeft zijn adresgegevens aan PostNL voor het vervoer. Ouderlijke toestemming niet nodig, niet voor de verwerking en niet voor de bestelling an sich.)
Het is natuurlijk wel een vraag welke grondslag de oma dan had kunnen aanvoeren. De enige optie zou het eigen gerechtvaardigd belang zijn, wat neerkomt op dat oma een journalistiek belang zou inroepen (“verspreiding van feiten, ideeën en opvattingen”, niet voorbehouden aan media-organisaties). Maar zelfs bij een hardnekkig pleitbevechter voor een ruimhartige journalistieke exceptie in de AVG als ik zie ik niet hoe publicatie van die foto belangrijker is dan de privacy van het kind. In ieder geval niet in deze situatie waarin er kennelijk ook een ouder-kind conflict is.
Arnoud