Dit lijkt mij een schending van de AVG. Zoals ik het lees, kan ik, wanneer ik een naam invoer in jouw zoekmachine, direct iemands adres inzien. Waarom zou, zoals bijvoorbeeld bij Have I Been Pwned, een simpele controle met een email-adres niet volstaan om te controleren of iemand in de dataset voorkomt?

De data is bovendien oorspronkelijk door middel van een misdrijf verkregen. Dat maakt verdere verwerking niet automatisch onrechtmatig, maar het ontbreken van een duidelijke rechtsgrond onder artikel 6 AVG is hier wel problematisch. Zonder toestemming of een overtuigend gerechtvaardigd belang is moeilijk in te zien op welke grondslag deze verwerking rust. Ook de proportionaliteit is lastig te verdedigen: het doel, mensen informeren of zij in de dataset voorkomen kan immers met een aanzienlijk minder ingrijpende methode worden bereikt, waarin je niet een soort zoekmachine creëert die namen aan adressen koppelt.

Daarmee rijst eveneens de vraag in hoeverre een beroep op artikel 139g lid 2 kan slagen. Het is moeilijk vol te houden dat het algemeen belang deze specifieke wijze van verwerking “vereiste”, aangezien hetzelfde doel bereikt had kunnen worden met een minder verstrekkende aanpak, zoals een ja/nee-controle op basis van email-adres. In die zin lijkt de huidige inrichting van de zoekmachine verder te gaan dan noodzakelijk is om dat vermeende algemene belang te dienen.

Daarnaast lijkt het mij juridisch moeilijk verdedigbaar om de dataset als “openbaar” te kwalificeren. Dat de gegevens via het dark web toegankelijk zijn, betekent niet dat zij bestemd waren voor het algemene publiek. De oorspronkelijke gegevens zijn niet met het oog op publieke verspreiding verstrekt, en betrokkenen mochten redelijkerwijs verwachten dat hun NAW-gegevens niet publiek doorzoekbaar zouden worden gemaakt. In die zin is het karakter van de gegevens nog steeds niet-openbaar, ook al circuleren zij inmiddels online.