Resultaat consultatie CBP Richtsnoeren Publicatie van persoonsgegevens op internet. Het College bescherming persoonsgegevens (CBP) heeft op 16 oktober 2007 een consultatiedocument gepubliceerd, CBP Richtsnoeren. Publicatie van persoonsgegevens op internet. Deze richtsnoeren behandelen de hoofdlijnen van de geldende privacywetgeving en jurisprudentie en bieden daarmee een handvat aan verantwoordelijken om zelf te kunnen beoordelen of, wanneer en in welke vorm een publicatie van persoonsgegevens op internet is toegestaan. GECONSULTEERDE PARTIJEN Het CBP heeft de volgende partijen om een reactie gevraagd op het consultatiedocument: Consumentenbond Consumentenautoriteit ECP (Electronic Commerce Platform Nederland) EPN (Platform voor de informatiesamenlev ing) ICT Office GOVCERT.nl ISOC (Internet Society Nederland) IVIR (Instituut voor Informatierecht, verbonden aan de Universiteit van Amsterdam) Ministerie van Economische Zaken Ministerie van Justitie OPTA (Onafhankelijke Post en Telecommunicatie Autoriteit) Ouders Online Raad voor de Journalistiek Rathenau Instituut TILT (Tilburg Institute for Law and Technology, verbonden aan de Universiteit van Tilburg ) VNO-NCW De richtsnoeren zijn op 15 oktober 2007 ter consultatie toegezonden aan de genoemde partijen met het verzoek te reageren vóór maandag 5 november 2007. VNO-NCW heeft geen officiële reactie willen geven. Het Ministerie van Justitie heeft niet gereageerd. Prof. mr. J.E.J. Prins, directeur van het TILT, heeft op persoonlijke titel gereageerd. CONSULTATIEVRAGEN Het CBP heeft in de consultatie vier vragen gesteld om te toetsen of het document compleet en werkbaar is. De vier vragen waren: 1. Via deze richtsnoeren wil het CBP in zijn algemeenheid toelichten welke stappen verantwoordelijken voor publicaties van persoonsgegevens op internet moeten zetten om te voldoen aan de Wet bescherming persoonsgegevens. Zijn er in algemene zin onderwerpen die raken aan deze eerderbedoelde stappen die u mist en waaraan volgens u in het kader van deze richtsnoeren aandacht besteed zou moeten worden? 2. De richtsnoeren bieden concrete normuitwerkingen van bepaalde artikelen uit de Wet bescherming persoonsgegevens (Wbp) in een internetomgeving. Acht u deze uitwerkingen voldoende werkbaar in de praktijk? Ziet u knelpunten, en zo ja waar en in welk opzicht? 3. Welke categorieën van publicaties van persoonsgegevens op internet komen naar uw mening het meest in aanmerking voor handhaving door het CBP en waarom?
4. Hebt u nog overige opmerkingen die u wenst te maken over deze richtsnoeren? De reacties van de verschillende partijen zijn door het CBP met belangstelling ontvangen. De belangrijkste aanbevelingen en kritiekpunten uit de reacties hebben in onderstaande samenvatting hun beslag gekregen. Naar aanleiding van de rea cties op de consultatie heeft het CBP het noodzakelijk geacht de richtsnoeren op vier punten te verbeteren. Het gaat om verduidelijkingen en de toevoeging van een aantal voorbeelden. SAMENVATTING REACTIES De richtsnoeren zijn door vrijwel alle geconsulteerde partijen positief ontvangen. Wel bevatten de reacties ten aanzien van verschillende onderwerpen aanbevelingen en kritiekpunten. Op de belangrijkste daarvan wordt hieronder verder ingegaan. Zes partijen hebben kritiek geuit op de formeel-juridische stijl van het document. Hierdoor zou het voor gewone mensen moeilijk te begrijpen en toe te passen zijn. Hierover wil het CBP het volgende opmerken. Het CBP heeft gekozen voor een grondige uitleg van de toepasselijkheid van de Wbp op publicaties van persoonsgegevens op internet. Enigszins abstracte normen zijn zoveel mogelijk verduidelijkt met behulp van concrete casussen die het CBP in het verleden heeft behandeld, of fictieve voorbeelden gebaseerd op veel voorkomende vragen van burgers die niet tot formele zaken hebben geleid. Om de verschillende soorten verantwoordelijken (burgers, overheidsorganen en bedrijven) nog beter te helpen de Wbp in concrete zaken toe te passen, biedt het CBP vanaf januari 2008 via de website www.cbpweb.nl een lijst aan met concrete vragen en antwoorden voor verantwoordelijken. Deze lijst wordt min of meer een spiegelbeeld van de vragen en antwoorden voor betrokkenen die het CBP gepubliceerd heeft op www.mijnprivacy.nl. Tenslotte zal het CBP begin 2008 ook nog een informatieblad Publicatie van persoonsgegevens op internet ontwikkelen, zowel voor verantwoordelijken als voor betrokkenen. Informatiebladen bieden een beknopte en concreet toepasbare uitleg van de regels uit de Wbp. Vraag 1: Gemiste onderwerpen Reacties: Uit de reacties op de consultatie blijkt dat het CBP in de richtsnoeren geen grote onderwerpen over het hoofd gezien. Wel is er verzocht om meer aandacht te besteden aan verschillende typen verantwoordelijken en de bijzondere problematiek bij jongeren. De reacties ten aanzien van deze twee onderwerpen komen hieronder apart aan bod. Tenslotte is er behoefte aan nog meer voorbeelden die aansluiten bij problemen die in de praktijk worden ervaren. CBP: Het CBP heeft besloten een aantal voorbeelden toe te voegen aan de richtsnoeren. Ook is besloten een index van de voorbeelden op te nemen in de richtsnoeren. De voor de lezer relevante voorbeelden kunnen zo gemakkelijk gevonden worden. Persoonsgegevens van en door jongeren Reacties: Verschillende partijen vragen om extra aandacht voor alles wat met persoonsgegevens over en verwerking van persoonsgegevens door jongeren te maken heeft. Er is gevraagd om meer voorbeelden met betrekking tot kinderen in de richtsnoeren, zoals ouders die gegevens van hun kinderen online zetten, het online zetten van verzamelingen oude familiefoto s, en productiemaatschappijen die filmpjes van kinderen publiceren met toestemming van de ouders. Ook is geopperd dat het CBP speciaal onder jongeren een voorlichtingstraject zou kunnen entameren. Actie CBP: Gezien de breed gedeelde behoefte meer aandacht te besteden aan jongeren, persoonsgegevens en privacy op het Web en de kwetsbaardere positie van jongeren heeft het
CBP besloten hier in de richtsnoeren meer aandacht aan te besteden en deze aan te vullen met extra voorbeelden. Hierbij worden ook nieuwe Web 2.0 diensten besproken. Soorten verantwoordelijke(n) Reacties: Er zijn veel reacties die zich richten op de verschillende positie(s) van verantwoordelijken en onduidelijkheid over de reikwijdte van hun verantwoordelijkheid. Er is dus breed behoefte aan verdere verduidelijking van de reikwijdte van het begrip verantwoordelijke uit de W bp en hoe het CBP hier mee omgaat. Mede in het kader van Web 2.0, ook wel het participatieve Web genoemd, wordt gevraagd om een nuancering van het begrip verantwoordelijke met aandacht voor oude en nieuwe vormen van tussenpersonen op internet en de verantwoordelijkheid van gebruikers van deze diensten. Een van de geconsulteerden vraagt om een toelichting op de verschillende in de Wbp te onderscheiden juridische rollen, namelijk verantwoordelijke, gezamenlijke verantwoordelijke, en bewerker. Één partij vraagt ook speciale aandacht voor de bijzondere positie van de overheid als verantwoordelijke. Ook is het CBP gevraagd om een nadere uitwerking te geven van het verschil tussen de aansprakelijkheid van diensten voor de informatiemaatschappij, geregeld in de richtlijn elektronische handel en artikel 6:196c van het Burgerlijk Wetboek, en het begrip verantwoordelijke uit de Wbp. Actie CBP: Het CBP heeft de kritiekpunten over de uitwerking en het gebrek aan nuancering ten aanzien van verschillende tussenpersonen ter harte genomen en een extra toelichting toegevoegd aan paragraaf I.2 van de richtsnoeren. Vraag 2. Werkbaarheid Reacties: Ten aanzien van de werkbaarheid merken verschillende partijen op dat de omnibusbenadering van de richtsnoeren problematisch is. Hierdoor zou in sommige gevallen sprake zijn van overregulering. Verder is opgemerkt dat de richtsnoeren herdoopt zouden moeten worden in publicatie van persoonsgegevens op het World Wide Web, omdat ze geen betrekking hebben op andere internetdiensten, zoals chat, e-mail, P2P en dergelijke. Tenslotte is gewezen op het verschil tussen internet en intranet en de onduidelijkheid di e dit onderscheid op zou leveren in de praktijk. Meer specifiek is er kritiek op de stelling dat een IP adres per definitie een persoonsgegeven is. Deze kwalificatie zou te absoluut zijn. CBP: Het CBP verduidelijkt in de inleiding dat de richtsnoeren zich inderdaad primair richten op publicatie van persoonsgegevens op het Web. Het CBP acht de consultatie over de richtsnoeren niet de juiste gelegenheid voor een discussie over het algemene karakter van de regels van de Wbp. De kritiek ten aanzien van het onderscheid tussen intranet en internet wordt door het CBP niet gedeeld. De Wbp is immers - inclusief de uitzonderingen - op allebei van toepassing. Ten aanzien van IP adressen, wil het CBP het volgende opmerken. Toepassing van de regels uit de Wbp (en de Privacyrichtlijn 95/46/EG ) leidt er in praktisch alle gevallen toe dat IP adressen door de betrokken partijen zullen moeten worden beschouwd als persoonsgegevens. Het CBP heeft de uitleg op dit punt uitgebreid. Excepties: Reacties: Verschillende partijen verwachten problemen door onduidelijkheid over de excepties uit de Wbp voor persoonlijk-huishoudelijk gebruik en voor uitsluitend journalistieke doeleinden. Er wordt in dit kader gewezen op het belang van de communicatievrijheid die aan deze excepties ten grondslag ligt. In het bijzonder wordt gevraagd om meer voorbeelden, bijvoorbeeld van een weblog, die duidelijk maken hoe de excepties zich vertalen naar de praktijk.
CBP: Het CBP is van mening dat de richtsnoeren voldoende handvatten bieden voor verantwoordelijken om te bepalen of zij binnen de wettelijke excepties vallen. In het bijzonder wil het CBP wijzen op de in hoofdstuk 4 van de richtsnoeren neergelegde criteria voor verantwoordelijken om te bepalen of zij onder de journalistieke exceptie vallen. Vraag 3. Handhavingsvoorkeur Reacties: Vrijwel alle partijen geven de voorkeur aan een focus op overtredingen door grote en/of professionele bedrijven en organisaties. Daarbij zou het CBP zich moeten richten op die gevallen waarbij de impact van niet-naleving van de Wbp het grootste is, namelijk in de gevallen waar ernstige privacy inbreuken plaatsvinden of te verwachten zijn en het inbreuken betreft die veel burgers raken. Hierboven is al gewezen op de reacties die vragen om extra aandacht in het algemeen voor de categorie jongeren. Meer in het bijzonder is gewezen op de noodzaak van het handelen ter voorkoming van identiteitsfraude, het belang van het bestrijden van privacyinbreuken door zwarte lijsten op het Web, en de praktijken op sommige zogenaamde naming & shaming sites. Ook zoekmachines, inclusief specifieke zoekmachines voor personen, zijn genoemd als aandachtspunt voor handhaving. CBP: Het CBP is erkentelijk voor de verschillende reacties van de geconsulteerde partijen. Het CBP acht het niet opportuun zich in dit kader verder uit te laten over handhaving. Vraag 4. Overige opmerkingen Reacties: Naast de bovenstaande punten is er aandacht gevraagd voor de termijnproblematiek van publicaties op het Web. Veel publicaties vinden plaats voor onbepaalde tijd. In dezelfde reactie wordt gewezen op de moeilijkheid eenmaal gepubliceerde informatie te verwijderen. Ook is gevraagd of het toestemmingsvereiste geldt voor verslagen van bijeenkomsten met vermelding van aanwezigen. Tenslotte is gewezen op het belang van aandacht voor Privacy Enhancing Technologies. CBP: Om tegemoet te komen aan deze vragen is een extra voorbeeld toegevoegd aan de richtsnoeren. DOOR HET CBP AANGEBRACHTE WIJZIGINGEN 1. Jongeren De vuistregels aan het einde van II.4.1.2 (pagina 21) zijn in een kader geplaatst onder het kopje Vuistregels publicaties jongeren Nieuwe uitleg toegevoegd aan het einde van inleiding paragraaf II.5: Extra informatie en aandacht voor privacy en jongeren Jongeren zijn een extra kwetsbare groep als het gaat om persoonsgegevens en het Web. Diensten op het Web die gegevens over jongeren en door jongeren geplaatste persoonsgegevens verwerken dienen er daarom extra goed voor te zorgen dat zorgvuldig met persoonsgegevens wordt omgegaan. Aan de ene kant zijn het juist jongeren die de mogelijkheden van nieuwe communicatietechnieken en diensten ontdekken en benutten. Aan de andere kant hebben de meeste jongeren nog geen goed besef van de consequenties die de publicatie en het afstaan van persoonsgegevens kunnen hebben. Dat geldt voor henzelf en voor gegevens over andere jongeren die zij publiceren. Ook voor jongeren geldt de verplichting om zorgvuldig met persoonsgegevens om te gaan. De verantwoordelijken dienen daarom
extra veel aandacht te besteden aan informatie over de verwerkingen van persoonsgegevens en gebruikers goed voor te lichten. Voorbeeld ingevoegd aan het einde van paragraaf I.2, als illustratie bij de nieuwe tekst Verantwoordelijkheid en aansprakelijkheid van tussenpersonen. Profielsites Profielsites zijn bijzonder populair bij jongeren. Met een profiel laten ze zien wie ze zijn, welke vrienden ze hebben en hoeveel het er zijn. Ze schrijven over wat ze doen en leuk vinden en laten persoonlijke berichten achter bij anderen. Hoe meer informatie iemand van zichzelf laat zien, hoe beter diegene kan laten zien dat hij of zij de moeite waard is. Er zijn veel jongeren die erg ver gaan met het delen van informatie op publiek toegankelijke profielen, bijvoorbeeld met verhalen over feestjes, drugsgebruik en seks. De aanbieders van profielsites zijn samen met de gebruikers medeverantwoordelijk voor de verwerking van persoonsgegevens op de betreffende website. De aanbieders van deze diensten moeten zich daarom houden aan de regels uit de Wbp. Zo dienen ze gebruikers vooraf volledig te informeren over de beschikbaarheid van de profielen voor andere bezoekers van de site. Ze dienen geschikte beveiligingsmaatregelen te treffen, zoals het standaard afschermen van de profielen voor zoekmachines en alleen toegang te bieden aan vrienden van de gebruiker. Ook dienen ze de mogelijkheid te bieden de profielen en elders op de site geplaatste informatie te verwijderen. Voorbeeld ingevoegd na paragraaf III.3: User generated content Bijna iedereen met een mobiele telefoon kan tegenwoordig foto s en filmpjes maken. Het maken van dit soort filmpjes van elkaar en het plaatsen hiervan op internet is bijzonder populair. Profielsites en speciale user generated content diensten maken het daarna mogelijk deze informatie voor iedereen toegankelijk te maken, zonder dat degene die de informatie heeft geplaatst makkelijk te achterhalen is. De aanbieders van diensten met user generated content zijn in beginsel aan te merken als medeverantwoordelijke voor de verwerking van persoonsgegevens op hun dienst op het Web. Het zonder rechtvaardigingsgrond openbaar maken van beeldmateriaal van natuurlijke personen dat raakt aan de persoonlijke levenssfeer kan bijzonder ingrijpend zijn voor de betrokkene(n) en is in elk geval in strijd met de Wbp. Als iemand de informatie verwijderd wil hebben, dient in eerste instantie degene aangesproken te worden die de informatie heeft geplaatst. Indien dit onmogelijk is of geen resultaat oplevert kan de persoon de aanbieder van de dienst er op wijzen dat het betreffende materiaal onrechtmatig is. De informatie dient verwijderd te worden indien sprake is van een op grond van de Wbp evident onrechtmatige publicatie. (Zie ook de uitleg in paragraaf I.2.) 2. Verantwoordelijkheid en aansprakelijkheid van tussenpersonen Nieuwe uitleg en nieuw kader toegevoegd aan het einde van paragraaf I.2, pagina 8, in plaats van de zin: De aanbieder van internettoegangsdiensten is meestal geen verantwoordelijke (...) nieuwsbrief.
De houder van een webforum is een tussenpersoon op internet. Bij elke handeling op internet zijn tussenpersonen betrokken. Andere tussenpersonen zijn bijvoorbeeld aanbieders van toegang tot internet, partijen die hosting aanbieden van websites of zoekmachines. Het begrip verantwoordelijke uit de Wbp is een breed begrip en is daarom ook van toepassing op sommige tussenpersonen. Voor toegangsdiensten geldt dat zij geen controle hebben over het al dan niet doorgeven van persoonsgegevens. Zij kunnen daarom niet gelden als verantwoordelijke, tenzij het om informatie gaat die ze op eigen initiatief en onder eigen redactie aanbieden, zoals bijvoorbeeld via een nieuwsbrief. Anders is dat voor de beheerder van een discussieforum. Deze heeft de juridische en feitelijke zeggenschap over de gegevens op het forum, bepaalt in eerste en laatste instantie de doelen van het forum en zorgt dat het forum functioneert. In het geval van hosting van materiaal, het plaatsen van een hyperlink naar persoonsgegevens en het gebruik dat zoekmachines maken van materiaal op internet moet gekeken worden welke zeggenschap deze diensten hebben over de verwerking van persoonsgegevens. Van bijzonder belang is de vraag of een tussenpersoon zeggenschap heeft over de verwijdering van de gegevens. Deze vraag moet bevestigend worden beantwoord indi en een tussenpersoon de mogelijkheid heeft informatie te verwijderen en gewend is dit ook te doen in bepaalde gevallen waarin derden hem op onrechtmatige publicaties wijzen. Een dergelijke tussenpersoon is verantwoordelijke ten aanzien van de verwerking van door derden gepubliceerde persoonsgegevens (in het bijzonder het ter beschikking houden en de verwijdering of blokkering) en is op grond daarvan medeverantwoordelijke voor deze verwerking. Het begrip bewerker uit de Wbp is niet van toepassing op de aanbieder van een dienst als een geleverde dienst aan de verantwoordelijke niet expliciet betrekking heeft op de verwerking van persoonsgegevens. De genoemde tussenpersonen zullen dus in beginsel niet beschouwd kunnen worden als bewerker. Verschil verantwoordelijkheid en aansprakelijkheid Verantwoordelijkheid op grond van de Wbp is iets anders dan aansprakelijkheid. Sommige tussenpersonen zijn onder voorwaarden vrijgesteld van aansprakelijkheid voor onrechtmatig handelen van derden. Het gaat om diensten van de informatiemaatschappij die bestaan uit het verlenen van toegang, de tijdelijke opslag en de hosting van materiaal. Deze regels komen voort uit de richtlijn elektronische handel en zijn te vinden in artikel 6:196c van het Burgerlijk Wetboek. De scheidslijn tussen verantwoordelijke en niet-verantwoordelijke in de Wbp is niet afgestemd met de vrijstelling van aansprakelijkheid van sommige tussenpersonen. Het kan dus zo zijn dat een dienst, die op grond van artikel 6:196c BW beschouwd moet worden als een hostingdienst (lid 4), op grond van de Wbp geldt als verantwoordelijke. Deze aanbieder is in dat geval niet aansprakelijk voor onrechtmatige verwerkingen van persoonsgegevens door derden. Wel moet de aanbieder de informatie verwijderen of de toegang daartoe onmogelijk maken zodra hij weet of redelijkerwijs behoort te weten dat er sprake is van onrechtmatigheid. Gezien de aard van de normen in de Wbp en de beperkte mogelijkheid van tussenpersonen zich te vergewissen van de rechtmatigheid van de publicatie van per soonsgegevens zal deze verplichting tot blokkeren of verwijderen alleen bij evidente overtredingen van de Wbp ontstaan.
Het bovenstaande betekent voor de praktijk dat tussenpersonen die zich kunnen beroepen op een wettelijke vrijwaring van aansprakelijkheid zich kunnen richten op de regeling met bijbehorende voorwaarden in artikel 6:196c van het Burgerlijk Wetboek. 3. Richtsnoeren richten zich primair op het Web In de zesde alinea van de algemene inleiding op pagina 3 is de volgende zin ingevoegd na de e erste zin: De richtsnoeren richten zich primair op het World Wide Web. 4. De hoofdregel: IP-adres is persoonsgegeven Na de tweede zin in het kader IP-ADRES op pagina 9, eindigend met internetabonnement, is de volgende uitleg toegevoegd: Dit geldt ook voor dynamische IP adressen die worden verwerkt in combinatie met datum en tijd. Het maakt geen verschil dat een verantwoordelijke het IP adres niet zal gebruiken om een persoon mee te identificeren. Het feit dat de mogelijkheid bestaat bij de verantwoordelijke of bij een derde om dit te doen, is voldoende. 5. Twee extra voorbeelden: Voorbeeld toegevoegd aan de uitleg over beeldmateriaal in paragraaf I.8.2 op pagina 14: Foto s van leerlingen Een lagere school besluit de foto s van een schoolreisje op d e website van de school te zetten. De school moet zich daarbij houden aan de regels van de Wbp. In het bijzonder moet de school uitdrukkelijke toestemming hebben van de ouders van de kinderen. Deze toestemming kan nadien altijd worden ingetrokken. In dat geval moet de school het beeldmateriaal van de betrokkene in beginsel verwijderen. Voorbeeld toegevoegd aan de uitleg over de termijn van publicatie, in paragraaf I.6: Het publiceren van verslagen van vergaderingen Een organisatie besluit de verslagen van vergaderingen op internet te zetten. Zo kan iedereen in en buiten de organisatie zien hoe de organisatie functioneert. Als er persoonsgegevens in de verslagen staan moet de verantwoordelijke zich houden aan de regels van de Wbp. Als de openbaarheid van de verslagen niet gelegitimeerd wordt door de taken van de organisatie of de arbeidsverhouding zal de verantwoordelijke in beginsel toestemming moeten hebben van de betrokkene(n). In het bijzonder moet de verantwoordelijke een termijn vaststellen hoe lang de stukken op internet blijven staan. Om te laten zien hoe een organisatie functioneert lijkt een termijn van 2 jaar genoeg. Het gebruik van een systeem voor webpublicatie dat het mogelijk maakt deze termijn automatisch in te stellen, is een eenvoudig voorbeeld van het gebruik van Privacy Enhancing Technologies. OVERIGE WIJZIGINGEN Het College heeft tenslotte besloten op eigen initiatief een verandering aan te brengen in de paragraaf over de verwerking van beeldmateriaal. Hierdoor wordt de legitieme uitwisseling
van beeldmateriaal gewaarborgd, terwijl tegelijkertijd de noodzaak van zorgvuldige verwerking wordt benadrukt gezien de mogelijkheid van discriminatie op grond van ras. In paragraaf I.8.2 Beeldmateriaal op pagina 14 en 15, zijn de laatste twee alinea s verwijderd en vervangen door: Als een persoon beeldmateriaal over zichzelf publiceert, geeft hij toestemming voor publicatie in die context. Daarmee is een rechtvaardigingsgrond aanwezig, ook voor de houder van de website waarop het materiaal wordt gepubliceerd. Als iemand beeldmateriaal van andere natuurlijke personen op internet wil publiceren, moet hij daarvoor toestemming van de betrokkenen hebben of een aantoonbare noodzaak voor de publicatie kunnen aantonen (zie II.4). Alleen als een verantwoordelijke foto's of ander beeldmateriaal publiceert met het uitdrukkelijke doel om onderscheid te maken naar ras, is bijzondere oplettendheid geboden. In dat geval acht het CBP het een redelijke wetstoepassing om het beeldmateriaal aan te merken als een bijzonder persoonsgegeven. Verwerking daarvan is verboden, tenzij een van de hierboven beschreven uitzonderingen van toepassing is. Ten aanzien van publicaties met uitsluitend journalistieke, artistieke of literaire doeleinden (zie hoofdstuk 4 van deze richtsnoeren) gelden ruimere verwerkingsmogelijkheden van beeld- en geluidsmateriaal. Daarnaast is de Wbp niet van toepassing op publicatie van beeldmateriaal op internet voor uitsluitend persoonlijke of huishoudelijke doeleinden. Privépersonen kunnen op grond van die exceptie dus bijvoorbeeld vrijelijk familiefoto s op internet publiceren, mits de toegang adequaat is afgebakend tot een duidelijk bepaalbare groep van personen. Dit geldt ook voor foto s op profielsites. Als het profiel is afgeschermd voor zoekmachines en de toegang is beperkt tot vrienden of kennissen, valt de publicatie onder de persoonlijk/huishoudelijke exceptie. De Wbp is dan in het geheel niet van toepassing. Ten slotte is het voorbeeld over omgekeerd zoeken geschrapt, mede naar aanleiding van het vooronderzoek dat CBP en OPTA gezamenlijk hebben gedaan naar een aantal aanbieders van omgekeerd zoeken op internet.