August 9, 2025
2 min read
De toepasbaarheid van de General Data Protection Regulation (GDPR) op individuen hangt af van de aard van hun gegevensverwerkende activiteiten. Artikel 2 van de GDPR stelt expliciet de verwerking van persoonsgegevens door een natuurlijke persoon voor “een zuiver persoonlijke of huishoudelijke activiteit” vrij. Deze vrijstelling bakent de grens af tussen persoonlijk gebruik en activiteiten die onderworpen zijn aan regelgevend toezicht.
De interpretatie van een “persoonlijke of huishoudelijke” activiteit blijft een twistpunt. Het European Court of Justice (ECJ) verduidelijkt in zaak C-101/01, paragraaf 47, dat:
“Die uitzondering moet dus zo worden uitgelegd dat zij alleen betrekking heeft op activiteiten die plaatsvinden in het kader van het privéleven of het gezinsleven van particulieren, wat duidelijk niet het geval is bij de verwerking van persoonsgegevens die bestaat uit de publicatie ervan op internet, waardoor die gegevens voor een onbepaald aantal personen toegankelijk worden gemaakt.”
Deze uitspraak stelt een belangrijk criterium vast: wanneer de gegevensverwerkende activiteit van een individu verder reikt dan de privé- of gezinscontext—in het bijzonder wanneer het gaat om publieke verspreiding die toegankelijk is voor een onbepaald publiek—is de GDPR van toepassing.
Kernpunten uit deze juridische interpretatie zijn:
Dit onderscheid is cruciaal, aangezien individuen die online activiteiten ondernemen zoals bloggen, delen op sociale media of andere vormen van openbare gegevensverwerking, onderworpen kunnen zijn aan GDPR-verplichtingen. Het doel van de verordening is om betrokkenen te beschermen tegen misbruik, ongeacht of de verwerkingsverantwoordelijke een natuurlijke persoon of een rechtspersoon is, zodra de activiteit het privégebruik overstijgt.
Voor meer informatie, raadpleeg de analyse van Kloza et al. (2016), die de implicaties van de GDPR voor individuele verwerkingsverantwoordelijken bespreekt en de uitdagingen bij het definiëren van persoonlijke versus openbare gegevensverwerking:
Kloza, D., et al. (2016). Understanding GDPR: implications for individual data controllers. International Data Privacy Law, 6(3), 169–182. https://doi.org/10.1093/idpl/ipw017
Deze discussie benadrukt dat het bereik van de GDPR niet beperkt is tot organisaties, maar zich onder specifieke voorwaarden kan uitstrekken tot individuen, wat de regelgevende intentie onderstreept om persoonsgegevens in zowel de private als de publieke sfeer te beschermen.
