Een filiaal van de Albert Heijn in Den Haag kon overlastgevende scholieren in de gaten houden nadat een smoelenboek van het Maerlant-Lyceum in de supermarkt was beland. Dat meldde Omroep West onlangs. De conrector loste het datalek adequaat op door het boek op te gaan halen en te vragen of de Appie voortaan gewoon de politie wil bellen als ze strafbare feiten ziet. Het blijkt te zijn gegaan om een papieren smoelenboek, dus dat gaf wat vragen bij de AVG-deskundige lezers.
Hoe kon dit boek daar terechtkomen?
Een oud-medewerker van de school heeft het boek aan de supermarkt gegeven. Daarmee konden medewerkers de foto, voor- en achternaam en schoolnummer van de leerlingen zien. ‘In het verleden heeft het filiaal onze hulp gevraagd bij de ongeregeldheden in de supermarkt’, vertelt tijdelijke rector van de school, Peter Reenalda. ‘Naar aanleiding van die vraag is het smoelenboek daar terechtgekomen.’
Het gaat dus echt om een papieren ding met kaft, geen app of online toegang tot het leerlingvolgsysteem. Nog steeds handig natuurlijk als je een vervelende scholier te pakken hebt en je wilt weten hoe die heet, even bladeren en je bent er zo uit. Het boek is bedoeld voor intern gebruik:
Het smoelenboek van de Haagse school wordt alleen onder een zeer beperkt aantal medewerkers verspreid. ,,We hebben op school een aantal exemplaren liggen. Voor een conciërge is het bijvoorbeeld heel handig bij het registreren van te-laat-komers ‘s ochtends. Dan hoef je dat niet allemaal in een computer op te zoeken.”
Ik ga er maar even vanuit dat het een alfabetisch (en op klas) gesorteerd overzicht is van namen, foto’s en schoolnummer. Het is een papieren document, dus dan is de AVG alleen van toepassing als het gaat om een ‘bestand’. Dat is (art. 4 lid 6 AVG):
elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid;
De eerste vraag is dan: is een lijst met foto’s en namen een “gestructureerd geheel”. Ik ben geneigd te zeggen van wel. Maar is het volgens “bepaalde criteria” (meervoud) toegankelijk? Ik neig naar nee, omdat je eigenlijk alleen op naam er in kunt zoeken. In een zaak uit 2005 bepaalde de Hoge Raad dat het enkel chronologisch ordenen van stukken over een persoon niet aan dit criterium voldoet. Maar die stukken waren zelf niet bepaald geordend of makkelijk door te zoeken, terwijl dat bij een lijst met scholieren wél het geval is.
In 2018 oordeelde het Hof van Justitie dat lijsten met namen en adressen van mensen die je deur-aan-deur wilt bezoeken (of juist niet) eronder vallen:
[Onder] het in deze bepaling gebruikte begrip ‘bestand’ ook valt een geheel van in het kader van een van-huis-tot-huisverkondiging verzamelde persoonsgegevens, bestaande uit de naam en het adres van en andere informatie over de aan huis bezochte personen, wanneer deze gegevens zijn gestructureerd volgens specifieke criteria die het in de praktijk mogelijk maken deze gegevens gemakkelijk terug te vinden voor een later gebruik ervan. Om onder dit begrip te vallen hoeft een dergelijk geheel geen steekkaarten, specifieke lijsten of andere ordeningssystemen te omvatten.
Een smoelenboek lijkt me evenzo bedoeld om “in de praktijk gemakkelijk de gegevens terug te vinden”, het hele punt is immers dat je gegeven een smoel wilt bepalen om welke persoon het gaat. Dus dan is het inderdaad een bestand, en is het een datalek als het bij een onbevoegde instantie terecht komt.
Wat dat laatste betreft: ja, het is aan Albert Heijn gegeven door een kennelijk bevoegd persoon, namelijk een medewerker die dacht dat dit een goed idee was. Maar dat is niet relevant bij de vraag of iets een datalek is. Daarbij gaat het er alleen om of de persoonsgegevens bij een onbevoegde partij terecht zijn gekomen, en niet of dat door misdrijf, per ongeluk of door een andere reden is gebeurd.
Arnoud
