HANDLEIDING V O O R V E R W E R K E R S V A N P E R S O O N S G E G E V E N S W E T B E S C H E R M I N G P E R S O O N S G E G E V E N S

HANDLEIDING V O O R V E R W E R K E R S VA N P E R S O O N S G E G E V E N S

WET BESCHERMING PERSOONSGEGEVENS

W

E

T

B

E

S

C

H

E

R

M

I

N

G

P

E

R

S

O

O

N

S

G

E

G

E

V

E

N

S

Handleiding voor verwerkers van persoonsgegevens

Wet bescherming persoonsgegevens

Mr. L.B. Sauerwein en Mr. J.J. Linnemann

Ministerie van Justitie

Den Haag, april 2002

De handleiding en toekomstige actualiseringen daarvan zijn beschikbaar op de website van het ministerie van Justitie: www.justitie.nl

W

E

T

B

E

S

C

H

E

R

M

I

N

G

P

E

R

S

O

O

N

S

G

E

G

E

V

E

N

S

2

H A N D L E I D I N G

W E T

B E S C H E R M I N G

P E R S O O N S

W E T


P E R S O O N S G E G E V E N S

Inhoud Hoofdstuk 1 Inleiding

5

Stroomdiagrammen

6

Hoofdstuk 2 Is de Wbp op mijn gegevensverwerking van toepassing?

12

2.1 Inleiding

12

2.2 Zijn de gegevens persoonsgegevens?

12

2.3 Verwerk ik persoonsgegevens?

14

2.4 Op welke verwerking van persoonsgegevens is de Wbp van toepassing? 14 2.5 Welke verwerkingen zijn uitgezonderd: op welke verwerkingen is de Wbp niet van toepassing?

16

2.6 Ben ik de verantwoordelijke?

16

2.7 Ben ik de bewerker?

17

Hoofdstuk 3 Aan welke eisen moet mijn gegevensverwerking voldoen? 3.1 Inleiding

19 19

3.2 Mijn gegevensverwerking moet behoorlijk en zorgvuldig en in overeenstemming met de wet zijn

19

3.3 Persoonsgegevens mag ik alleen verwerken voor een bepaald doel en op basis van een bepaalde grondslag: wat betekent dat? 3.4 Op welke grondslagen mag ik mijn gegevensverwerking baseren?

20 20

3.5 Mijn gegevensverwerking mag niet onverenigbaar zijn met het doel waarvoor ik de gegevens heb verzameld: wat betekent dat? 3.6 Aan welke kwaliteitseisen moet mijn gegevensverwerking voldoen?

25 27

Hoofdstuk 4 Wat zijn mijn plichten als verantwoordelijke?

29

4.1 Inleiding

29

4.2 De melding

29

4.3 Hoe en wanneer moet ik de betrokkene informeren over de gegevensverwerking?

33

4.4 Wanneer moet ik inzage geven?

36

4.5 Wanneer moet ik corrigeren?

36

4.6 Hoe moet ik mijn gegevensverwerking beveiligen?

38

4.7 De betrokkene heeft het recht van verzet: wat moet ik doen?

39

4.8 Hoe lang mag ik persoonsgegevens bewaren?

40

4.9 Uitzonderingen

40

Hoofdstuk 5 De bewerker

42

5.1 Inleiding

42

5.2 Hoe schakel ik een bewerker in en welke eisen stelt de wet aan de inschakeling van een bewerker?

42

5.3 Welke verplichtingen legt de Wbp op aan de bewerker?

G E G E V E N S

3

42

INHOUD

Hoofdstuk 6 Wat kan ik zelf regelen op grond van de Wbp?

44

6.1 Inleiding

44

6.2 De functionaris voor de gegevensbescherming

44

6.3 Is zelfregulering door mijn sector mogelijk?

46

Hoofdstuk 7 Mag ik bijzondere persoonsgegevens verwerken?

47

7.1 Inleiding

47

7.2 Wat zijn bijzondere persoonsgegevens?

47

7.3 Wanneer is het verboden bijzondere persoonsgegevens te verwerken en wanneer niet?

47

Hoofdstuk 8 Specifieke vormen van gegevensverwerking

51

8.1 Direct marketing

51

8.2 Gegevensverkeer met het buitenland

54

Hoofdstuk 9 Wat kan er gebeuren als ik niet aan alle eisen van de Wbp voldoe? 58 9.1 Inleiding

58

9.2 Welke acties kunnen burgers tegen mij ondernemen?

58

9.3 Welke overtredingen zijn strafbaar?

60

9.4 Welke acties kan het College bescherming persoonsgegevens ondernemen als ik de Wbp niet naleef?

60

Bijlage Van Wpr naar Wbp: wat is veranderd en hoe luidt de overgangsregeling?

62

Adressen

65

4


W E T


P E R S O O N S

HOOFDSTUK

1

W E T



Inleiding De snelle technologische ontwikkelingen bieden meer mogelijkheden om persoonsgegevens te verwerken. Ondernemingen, organisaties en de overheid krijgen daardoor ook meer mogelijkheden om nieuwe diensten te ontwikkelen waar de burger profijt van heeft. Die mogelijkheden kunnen aan de andere kant ook een bedreiging vormen voor de privacy van de betrokkenen. Er bestaat behoefte aan regulering van deze - en toekomstige - ontwikkelingen. Het Europees Parlement en de Raad van de Europese Unie hebben daarom een Europese richtlijn vastgesteld. Met de Wet bescherming persoonsgegevens (Wbp) wordt deze richtlijn in Nederland uitgevoerd. Deze nieuwe wet vervangt de Wet persoonsregistraties (Wpr). Om personen, organisaties, ondernemingen en overheidsinstellingen die persoonsgegevens verwerken of gaan verwerken, behulpzaam te zijn bij het nemen van maatregelen om aan de Wet bescherming persoonsgegevens te voldoen, geeft het ministerie van Justitie deze handleiding uit. Deze handleiding richt zich dus niet tot de burger wiens persoonsgegevens worden verwerkt, maar is bestemd voor de personen, organisaties, ondernemingen en overheidsinstellingen die persoonsgegevens verwerken. Niet ieder onderdeel van deze handleiding is voor alle lezers even relevant. Met behulp van stroomdiagrammen is gepoogd de lezer zo snel mogelijk te leiden naar die onderdelen die voor hem of haar van belang zijn. Deze handleiding is tot stand gekomen na overleg met de Registratiekamer, VNO-NCW, FNV, de Consumentenbond, de Vereniging van Nederlandse Gemeenten (VNG), de Nederlandse Associatie voor Direct Marketing, Distance Selling en Sales Promotion (DMSA), de Koninklijke Nederlandsche Maatschappij tot bevordering der Geneeskunst (KNMG), de Nederlandse Orde van Advocaten en de Nederlandse Vereniging van Banken. Naast de papieren editie van de handleiding is er ook een elektronische versie. Die versie wordt aangepast als daar aanleiding voor is, bijvoorbeeld bij wijzigingen in uitvoeringsbesluiten. U doet er dus goed aan periodiek de elektronische versie te raadplegen. U vindt die op de website van het ministerie van Justitie en via de website van de Registratiekamer c.q. het College bescherming persoonsgegevens. De adressen staan achterin deze handleiding vermeld. In deze handleiding wordt de Wet bescherming persoonsgegevens kortweg aangeduid als Wbp, en de Wet persoonsregistraties als Wpr.

G E G E V E N S

5

SCHEMA

1

Is de Wbp van toepassing? 1 Nee

Werk ik met gegevens?

2

Ja Nee

Zijn die gegevens persoonsgegevens?

3 Ja

Ja

Is de gegevensverwerking geheel of gedeeltelijk geautomatiseerd? Nee

§ 2.2

§ 2.4

4 Nee

Zijn de handmatig verwerkte gegevens opgenomen in een bestand of zijn ze bedoeld om daarin te worden opgenomen? § 2.4 Ja 5 Valt de gegevensverwerking onder één van de uitzonderingen? § 2.5 Nee 6 Vindt de verwerking plaats in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland? (zie voor de vraag of u de verantwoordelijke bent schema 2) § 2.4 Ja

De Wbp is niet van toepassing

Uw verwerking wordt beheerst door het recht van de desbetreffende lidstaat

Ja

Ja

7 Nee

Vindt de verwerking plaats in het kader van activiteiten van een vestiging van een verantwoordelijke in een andere lidstaat van de Europese Unie? § 2.4 Nee 8 Wordt bij de verwerking gebruik gemaakt van (al dan niet geautomatiseerde) middelen die zich in Nederland bevinden?

De Wbp is van toepassing

§ 2.4

Ja

9 Het is u verboden persoonsgegevens te verwerken

Worden deze middelen uitsluitend gebruikt voor de doorvoer van de gegevens? § 2.4 Nee 10 Nee

Ja

Heb ik in Nederland een persoon of instantie aangewezen die namens mij handelt overeenkomstig de Wbp? Ja

Voor de toepassing van de Wbp wordt de persoon of instantie die u hebt aangewezen aangemerkt als verantwoordelijke 6

Nee


W E T

§ 2.4


P E R S O O N S

SCHEMA

2

W E T



Verantwoordelijke of bewerker? 1 Ben ik formeel-juridisch gezien degene die het doel en de middelen van de verwerking vaststelt?

Ja

NB: U moet deze vraag beantwoorden voor de rechtspersoon of organisatie die de gegevens verwerkt

§ 2.6

Nee

2 Ben ik degene aan wie de verwerking naar de in het maatschappelijk verkeer geldende maatstaven moet worden toegerekend?

Ja

NB: U moet deze vraag beantwoorden voor de rechtspersoon of organisatie die de gegevens verwerkt

§ 2.6

Nee

3 Sta ik onder gezag van of in een hiërarchische verhouding tot degene onder wiens verantwoordelijkheid ik persoonsNee gegevens verwerk? § 2.7 Ja Nee

Er is sprake van intern beheer: degene onder wiens gezag u staat of waartoe u in een hiërarchische verhouding staat is de verantwoordelijke

G E G E V E N S

U bent verantwoordelijke

U bent bewerker

7

SCHEMA

3

Rechtmatige verwerking 1 Heb ik één of meer duidelijk bepaalde en gerechtvaardigde doeleinden voor het verzamelen van persoonsgegevens? § 3.3 Ja 2 Heb ik dat doel of die doeleinden uitdrukkelijk omschreven? § 3.3 Ja 3 Ja

Is de wijze waarop ik mij heb voorgenomen de gegevens vervolgens te verwerken verenigbaar met het doel of de doeleinden waarvoor ik ze heb verkregen? § 3.5 Nee 4 Mag ik op grond van één van de uitzonderingen gegevens verwerken op een wijze die onverenigbaar is met het doel of de doeleinden waarvoor ik ze heb verkregen? § 4.9 Ja 5 Kan ik mijn verwerking (inclusief het verzamelen) baseren op ten minste één van de grondslagen die de Wbp noemt? § 3.4 Ja 6

Nee

Nee

Nee

Nee

Nee Heb ik maatregelen genomen opdat de persoonsgegevens juist, nauwkeurig, toereikend, ter zake dienend en niet bovenmatig zijn, gelet op Ja mijn doel(einden)? § 3.6 7 Nee

Verwerk ik bijzondere persoonsgegevens? 8

de gegevensverwerking is onrechtmatig

§ 7.2

Ja

Valt mijn verwerking van bijzondere persoonsgegevens onder Nee één van de algemene of specifieke uitzonderingen op het verbod op de verwerking van dergelijke gegevens? § 7.3 Ja 9 Nee

Verwerk ik gegevens voor direct marketingdoeleinden? §8.1.1 Ja 10 Voldoe ik aan alle specifieke regels Nee m.b.t. de verwerking voor direct marketingdoeleinden? §8.1.2 t/m 8.1.4 Ja 11

Nee

Geef ik gegevens door naar een land buiten de Europese Unie? 12

14 Valt mijn verwerking onder ten minste één van de uitzonderingen op het verbod van doorgifte Nee naar een land buiten de Europese Unie zonder een passend beschermingsniveau? §8.2.3 Ja 15

Ja

Is doorgifte naar dat land verboden door de minister van Justitie? §8.2.3 Nee 13 Waarborgt dat land een passend beschermingsniveau? Ja

Ja

Heb ik voldaan aan alle overige op mij rustende Nee verplichtingen van de Wbp? (zie schema 6) Nee

Nee

§8.2.3

Ja

8


W E T

de gegevensverwerking is rechtmatig B E S C H E R M I N G

P E R S O O N S

SCHEMA

W E T

4



Melding 1 Ja

Verwerk ik geheel of gedeeltelijk geautomatiseerd persoonsgegevens? §4.2.2 Nee 2 Is mijn handmatige gegevensverwerking onderworpen aan voorafgaand onderzoek? §4.2.2 Ja

Nee

U moet uw gegevensverwerking melden bij het College bescherming persoonsgegevens

3 Is mijn gegevensverwerking van de meldingsplicht vrijgesteld? Nee

U hoeft uw gegevensverwerking niet te melden

Ja §4.2.3

U hoeft uw gegevensverwerking niet te melden

4 Heb ik of heeft mijn brancheorganisatie een functionaris voor de gegevensbescherming benoemd? §6.2

Nee

U moet uw gegevensverwerking melden bij het College bescherming persoonsgegevens (zie § 4.2.4 voor de inhoud van de melding)

Ja U moet uw gegevensverwerking melden bij de functionaris voor de gegevensbescherming (zie § 4.2.4 voor de inhoud van de melding)

G E G E V E N S

9

SCHEMA

5

Informatieverstrekking 1 Is de betrokkene op de hoogte van de informatie? (zie 4.3.3 over welke informatie u moet verschaffen)

2

Ja

U hebt geen informatieplicht

§4.3.2

Nee

Mag ik op grond van één van de uitzonderingen afzien van het verstrekken van informatie? §4.9 Nee

Ja


U hebt een informatieplicht 3 Verstrekt de betrokkene de gegevens bewust aan mij? §4.3.4 Nee

Ja

U verkrijgt de gegevens buiten de betrokkene om 4

Leg ik de gegevens vast op grond van een wettelijke plicht of verstrek ik de gegevens op grond van een wettelijke plicht? §3.4.4 Nee 5

Ja


Is het voor mij onmogelijk om alle betrokkenen te informeren of moet ik daarvoor een onevenredige inspanning leveren? §4.3.5 Nee 6

Ja


Gaat het om een beperkt aantal betrokkenen?

Nee

Ja U moet de betrokkene persoonlijk informeren §4.3.5 7

(u moet op verzoek wel de desbetreffende wettelijke bepaling noemen)

(u moet wel de herkomst van de gegevens vastleggen; zie § 4.3.5)

§4.3.5 U mag de betrokkene in een algemenere vorm informeren, mits de hele groep wordt bereikt §4.3.5

Zijn de gegevens bestemd om aan een derde te verstrekken? §4.3.4 Nee

Ja U moet de betrokkene uiterlijk op het moment van de eerste verstrekking informeren

U moet de betrokkene bij het verkrijgen van de gegevens informeren

§4.3.5

U moet de betrokkene voor het moment van verkrijging informeren

§4.3.5

§4.3.5

ZIE § 4.3.3: WELKE INFORMATIE MOET IK VERSTREKKEN?

10


W E T


P E R S O O N S

SCHEMA

6

W E T



Wat “moeten en mogen” de verantwoordelijke, de bewerker en de betrokkene? De verantwoordelijke moet: • Nagaan of de gegevensverwerking rechtmatig is

schema 3 rechtmatige verwerking

• Nagaan of de gegevensverwerking behoorlijk, zorgvuldig en in overeenstemming is met de Wbp en andere relevante wetten

§ 3.1 en § 3.2

• Nagaan of de gegevensverwerking moet worden gemeld

schema 4 melding

• De gegevensverwerking beveiligen

§4.6

• De persoonsgegevens niet langer bewaren dan noodzakelijk is

§ 4.8

• Informatie verstrekken aan de betrokkene

schema 5 informatieverstrekking

• Inzage geven (op verzoek van de betrokkene)

§ 4.4

• De gegevens corrigeren (op verzoek van de betrokkene)

§ 4.5

• De verwerking van gegevens beëindigen als de betrokkene zich verzet

§ 4.7 en 8.1.3

De verantwoordelijke kan: • Een bewerker inschakelen (de Wbp geeft een aantal regels)

§ 5.2

• Een functionaris voor de gegevensbescherming benoemen

§ 6.2

• Gebruik maken van de mogelijkheid tot zelfregulering

§ 6.3

De bewerker moet: • Uitsluitend in opdracht van de verantwoordelijke persoonsgegevens bewerken

§ 5.3

• De gegevensverwerking beveiligen

§ 5.3

• De voorwaarden accepteren die de verantwoordelijke op grond van de Wbp aan de bewerker moet opleggen.

§ 5.3

• Geheimhouding betrachten

§ 5.3

De betrokkene kan:

G E G E V E N S

• Inzage verzoeken

§ 4.4

• Correctie verzoeken

§ 4.5

• Verzet aantekenen

§ 4.7 en 8.1.3

• Schadevergoeding vorderen

§ 9.2.2

• Een verzoek om een rechterlijk gebod of verbod doen

§ 9.2.3

• Bezwaar maken tegen een aantal besluiten van de verantwoordelijke

§ 9.2.4

• Een verzoekschrift indienen in verband met een aantal besluiten van de verantwoordelijke

§ 9.2.5

11

HOOFDSTUK

2

Is de Wbp op mijn gegevensverwerking van toepassing? 2.1 Inleiding De Wbp geeft regels voor het verwerken van persoonsgegevens. Om te beoordelen of de Wbp op uw gegevensverwerking van toepassing is, zult u dus twee dingen moeten vaststellen: 1

Zijn de gegevens persoonsgegevens?

2

Verwerk ik persoonsgegevens?

Hebt u vastgesteld dat er sprake is van het verwerken van persoonsgegevens, dan moet u vervolgens bepalen: 3

Ben ik voor die verwerking verantwoordelijk? Oftewel: ben ik de verantwoordelijke?

De Wbp richt zich namelijk primair tot de verantwoordelijke. De verantwoordelijke kan het verwerken van persoonsgegevens geheel of gedeeltelijk uitbesteden aan een bewerker. Ook aan de bewerker kent de Wbp bepaalde rechten en plichten toe. Niet iedereen die voor een ander gegevens verwerkt, is echter bewerker in de zin van de Wbp. Als u gegevens verwerkt ten behoeve van een ander is het dus van belang om vast te stellen: 4

Ben ik bewerker?

Deze vragen worden in de volgende paragrafen behandeld.

2.2 Zijn de gegevens persoonsgegevens? Alle gegevens die informatie kunnen verschaffen over een identificeerbare natuurlijke persoon zijn persoonsgegevens in de zin van de Wbp. De Wbp noemt de persoon wiens persoonsgegevens worden verwerkt de betrokkene. persoonsgegevens

Gegevens zijn persoonsgegevens als: • de gegevens informatie bevatten over een natuurlijke persoon; en • die persoon identificeerbaar is. Gegevens moeten informatie bevatten over een natuurlijke persoon. Of gegevens informatie bevatten over een natuurlijke persoon blijkt meestal uit de aard van de gegevens.

feitelijke informatie

• Gegevens die naar hun aard feitelijke informatie over een persoon geven. Sommige gegevens verschaffen duidelijk feitelijke informatie over een persoon. De meest sprekende voorbeelden zijn iemands naam, geboortedatum of geslacht. Ook gegevens die een waardering over een natuurlijke persoon geven, bevatten informatie over die persoon. U kunt daarbij denken aan iemands intelligentiequotiënt (IQ).

12


W E T


P E R S O O N S

W E T



Sommige gegevens hebben naar hun aard geen betrekking op een persoon. Toch kunnen die gegevens persoonsgegevens zijn, mits de betrokkene identificeerbaar is. Gegevens die naar hun aard geen betrekking hebben op een persoon zijn bijvoorbeeld: ondernemingen of

• Gegevens over ondernemingen of organisaties.

organisaties Gegevens over ondernemingen of organisaties zijn in de regel geen persoonsgegevens. Een onderneming of organisatie is immers geen natuurlijke persoon. Komen in uw klantenbestand alleen ondernemingen voor, dan zijn de desbetreffende gegevens dus geen persoonsgegevens. Legt u echter ook gegevens vast over uw contactpersonen bij die ondernemingen, dan zijn die gegevens wel persoonsgegevens. Gegevens over ondernemingen of organisaties kunnen wel persoonsgegevens zijn als zij mede bepalend zijn voor de wijze waarop iemand in het maatschappelijk verkeer wordt beoordeeld of behandeld. Informatie over de winst van een eenmanszaak zegt bijvoorbeeld in het maatschappelijk verkeer iets over het inkomen van de eigenaar van de onderneming. Dat gegeven is dan een persoonsgegeven. voorwerpen of objecten

• Gegevens over voorwerpen of objecten. Ook gegevens over voorwerpen of objecten hebben naar hun aard geen betrekking op een persoon, maar kunnen toch persoonsgegevens zijn. De betrokkene moet uiteraard wel identificeerbaar zijn. Of een gegeven over een voorwerp of een object een persoonsgegeven is, hangt af van de context waarin het gegeven wordt verwerkt. Ook hier gaat het om de vraag of het gegeven mede bepalend is voor de wijze waarop iemand in het maatschappelijk verkeer wordt beoordeeld of behandeld. De waarde van een auto is bijvoorbeeld wel een persoonsgegeven wanneer dat gegeven wordt verwerkt in de administratie van een autoverzekeringsmaatschappij. Die waarde zegt immers in het maatschappelijk verkeer in de regel iets over het inkomen van de eigenaar van die auto. In de prijslijst van een autodealer daarentegen is de waarde geen persoonsgegeven. De persoon waar de gegevens betrekking op hebben, moet vervolgens wel identificeerbaar zijn. Is de betrokkene niet identificeerbaar, dan is het gegeven geen persoonsgegeven. Een persoon is identificeerbaar als u de identiteit van de persoon redelijkerwijs, zonder onevenredige inspanning kunt vaststellen. U moet dus op de een of andere manier een verband kunnen leggen tussen het gegeven en de persoon. Soms is de identiteit eenvoudig vast te stellen: met behulp van bijvoorbeeld naam, adres en geboortedatum is dat snel gebeurd. Dit worden direct identificerende gegevens genoemd.

G E G E V E N S

13

identificeerbaar

HOOFDSTUK

2

Gegevens die van de naam zijn ontdaan, kunnen in combinatie met andere gegevens of door spontane herkenning toch weer tot een bepaald persoon leiden. Ook in dat geval is de persoon - indirect - identificeerbaar. Dat hangt wel af van de mogelijkheden die de verantwoordelijke heeft. Als door versleuteling van de gegevens en/of afspraken over de toegang tot die gegevens, daadwerkelijke identificatie redelijkerwijs is uitgesloten, is de persoon niet identificeerbaar. Steeds is de feitelijke situatie bepalend. Kortom: om een persoonsgegeven te zijn moet het gegeven informatie verschaffen over een persoon, direct of indirect. En de persoon moet identificeerbaar zijn, direct of indirect. Dit laatste wordt mede bepaald door de vraag of de verantwoordelijke feitelijk redelijkerwijs in staat is de identiteit van een persoon vast te stellen.

2.3 Verwerk ik persoonsgegevens? Als u hebt vastgesteld dat uw gegevens persoonsgegevens zijn, is de volgende vraag of u persoonsgegevens verwerkt in de zin van de Wbp. verwerken

De verwerking van persoonsgegevens is elke handeling of elk geheel van handelingen met persoonsgegevens. Het gaat er om of u enige feitelijke macht of invloed, al dan niet via een computersysteem, over de gegevens kunt uitoefenen: u moet een handeling met de gegevens kunnen verrichten. Als u geen macht of invloed kunt uitoefenen op de persoonsgegevens, hoeft u niet aan de Wbp te voldoen. De Wbp noemt een aantal handelingen die als verwerking worden aangeduid: • verzamelen, vastleggen en ordenen; • bewaren, bijwerken en wijzigen; • opvragen, raadplegen, gebruiken; • verstrekken door middel van doorzending; • verspreiding of enige andere vorm van terbeschikkingstelling; • samenbrengen, met elkaar in verband brengen; en • afschermen, uitwissen of vernietigen van gegevens. Dit zijn slechts voorbeelden. Elke handeling met betrekking tot persoonsgegevens is een verwerking van persoonsgegevens. Kortom: u verwerkt persoonsgegevens als u een of meer handelingen verricht met betrekking tot persoonsgegevens: u moet feitelijke macht kunnen uitoefenen over de persoonsgegevens.

2.4 Op welke verwerking van persoonsgegevens is de W b p van toepassing? De Wbp is niet op elke verwerking van persoonsgegevens van toepassing. De Wbp geldt voor de geautomatiseerde verwerking van persoonsgegevens, en voor sommige handmatige verwerkingen.

14


W E T


P E R S O O N S

W E T



De Wbp is van toepassing op de geheel of gedeeltelijk geautomatiseerde

geautomatiseerde verwerking

verwerking van persoonsgegevens. Dus als u met behulp van een computer persoonsgegevens opslaat, bijwerkt, etc., dan moet u aan de Wbp voldoen. Dit is ook zo als u uw gegevens in een kast bewaart, maar uw weg in die kast vindt met behulp van een computerprogramma. De Wbp is ook van toepassing als u handmatig persoonsgegevens

handmatige verwerking

verwerkt die zijn opgenomen in een bestand of bestemd zijn om daarin te worden opgenomen. Met een bestand wordt bedoeld een gestructureerd geheel van gegevens dat betrekking heeft op verschillende personen. Dat wil zeggen dat • de gegevens onderlinge samenhang moeten vertonen; en • het systeem systematisch toegankelijk moet zijn. Een ongestructureerd handmatig dossier valt dus niet onder de Wbp, een op enige wijze gesystematiseerde dossierkast wel. Verder is relevant waar de activiteiten waarvoor persoonsgegevens worden verwerkt, plaatsvinden. De Wbp is van toepassing op de verwerking van persoonsgegevens in

vestiging in Nederland

het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland. Het gaat er om dat er door één of meer vestigingen van een verantwoordelijke een economische activiteit in Nederland wordt uitgeoefend in het kader waarvan persoonsgegevens worden verwerkt. De rechtsvorm van de vestiging van de verantwoordelijke (bijvoorbeeld een B.V. of een eenmanszaak) is niet relevant. Ook bijkantoren zijn vestigingen in de zin van de Wbp. Als u (als verantwoordelijke) in een andere lidstaat van de Europese Unie (niet

vestiging in EU

in Nederland) bent gevestigd, wordt uw verwerking beheerst door het recht van die lidstaat. Dit is ook het geval als u voor die verwerking middelen (zoals telefoonlijnen) gebruikt die zich in Nederland bevinden. De Wbp is ook van toepassing als u gegevens verwerkt met behulp van middelen die zich in Nederland bevinden, terwijl u niet in Nederland én ook niet in een andere lidstaat van de Europese Unie gevestigd bent. In dat geval mag u deze persoonsgegevens alleen verwerken als u in Nederland een persoon of instantie aanwijst die namens u handelt. Een uitzondering op deze regel geldt wanneer persoonsgegevens met behulp van de genoemde middelen alleen worden doorgevoerd. U kunt hierbij denken aan telefoonlijnen en telecommunicatieapparatuur.

G E G E V E N S

15

vestiging buiten EU

HOOFDSTUK

2

2.5 Welke verwerkingen zijn uitgezonderd: op welke verwerkingen is de Wbp niet van toepassing? Een aantal verwerkingen is expliciet uitgezonderd van de Wbp. persoonlijk of huiselijk gebruik

De Wbp is niet van toepassing als u uitsluitend voor persoonlijk of huiselijk gebruik persoonsgegevens verwerkt. U kunt hierbij denken aan persoonlijke werkaantekeningen of het bakje met visitekaartjes van personen waarmee regelmatig contact wordt opgenomen, dat een medewerker van een bedrijf als geheugensteuntje voor zichzelf bijhoudt. Dat een secretaresse van de medewerker hier in bijzondere gevallen kennis van neemt, maakt daarbij niet uit.

uitgezonderde verwerkingen

De Wbp is verder niet van toepassing als uw gegevensverwerking onder één van de aangewezen, uitgezonderde, verwerkingen valt. De uitgezonderde gegevensverwerkingen zijn verwerkingen: • door of ten behoeve van inlichtingen- en veiligheidsdiensten; • ten behoeve van de uitvoering van de politietaak; • door gemeenten in de gemeentelijke basisadministratie; • ten behoeve van de uitvoering van de Wet op de justitiële documentatie en de verklaringen omtrent het gedrag; en • ten behoeve van de uitvoering van de Kieswet. Als u persoonsgegevens verwerkt voor uitsluitend journalistieke, artistieke of literaire doeleinden, is slechts een beperkt aantal bepalingen van de Wbp op u van toepassing. Dit is een wijziging ten opzichte van de Wpr. Pers, televisie en radio moeten nu wel aan een aantal wettelijke verplichtingen in de Wbp voldoen. Als u uitsluitend voor journalistieke, artistieke of literaire doeleinden persoonsgegevens verwerkt, moet u er voor zorgen dat uw gegevensverwerking behoorlijk en zorgvuldig is. Is de verwerking dat niet, dan kunt u aansprakelijk worden gesteld. Anderzijds is het u, in tegenstelling tot veel andere verantwoordelijken, wel toegestaan bijzondere gegevens, zoals strafrechtelijke gegevens, te verwerken.

2.6 Ben ik de verantwoordelijke? Als u hebt vastgesteld dat de Wbp van toepassing is op uw gegevensverwerking, is het van belang na te gaan of u de verantwoordelijke bent. Veel van de verplichtingen van de Wbp zijn immers opgelegd aan de verantwoordelijke. verantwoordelijke

De verantwoordelijke is degene die het doel en de middelen van verwerking vaststelt. Bent u degene die beslist of, en zo ja, welke gegevens worden verwerkt, met welk doel dat gebeurt en op welke wijze, dan bent u de verantwoordelijke. Het gaat primair om:

16


W E T


P E R S O O N S

W E T



• Degene die formeel-juridisch de bevoegdheid heeft om doel en middelen

formeel juridische zeggenschap

te bepalen. Het gaat dan dus niet om degene die feitelijk de beslissingen neemt, niet om u als manager, maar om de rechtspersoon, de natuurlijke persoon, het bestuursorgaan of ieder ander die formeel bevoegd is deze beslissingen te nemen. Die is de verantwoordelijke. Als dit meerdere (rechts)personen zijn, is er sprake van gezamenlijke verantwoordelijkheid. U kunt daarbij bijvoorbeeld denken aan een aantal B.V.’s in een concern, die gezamenlijk één geïntegreerd klantenbestand gebruiken voor verschillende doeleinden. Die vennootschappen zijn gezamenlijk verantwoordelijk. Die vennootschappen kunnen in een dergelijk geval overigens ook de formeel-juridische bevoegdheid (verantwoordelijkheid) bij één vennootschap binnen het concern leggen: bijvoorbeeld de holding. Als het niet duidelijk is wie formeel-juridisch de bevoegdheid of zeggenschap heeft, moet u naar het tweede criterium kijken: • Degene aan wie de verwerking naar de maatstaven die in het maatschappelijk verkeer gelden, moet worden toegerekend.

maatstaven in maatschappelijk verkeer

Wat de in het maatschappelijk verkeer geldende maatstaven zijn, is moeilijk te zeggen: het zal van de feitelijke situatie afhangen. Dit criterium is opgenomen omdat het voor burgers soms moeilijk te bepalen is wie formeel-juridisch de bevoegdheid heeft. Als verantwoordelijke hoeft u niet feitelijk zelf de gegevens te verwerken. Van belang is of u bepaalt welke gegevens worden verwerkt, hoe lang, met welke middelen en voor welk doel. Verwerkt u gegevens ten behoeve van een ander, dan bent u wellicht de bewerker. Daarover gaat paragraaf 2.7. Kortom: u bent verantwoordelijke als u, formeel-juridisch gezien, degene bent die het doel en de middelen van verwerking vaststelt. Is niet duidelijk wie formeel- juridisch de bevoegdheid heeft, dan is de verantwoordelijke degene aan wie de verwerking naar de in het maatschappelijk verkeer geldende maatstaven moet worden toegerekend. In hoofdstuk 4 worden de verplichtingen van de verantwoordelijke beschreven.

2.7 Ben ik de bewerker?

bewerker

U bent bewerker als u degene bent die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt zonder dat u onder diens rechtstreeks gezag staat. Dus:

G E G E V E N S

17

HOOFDSTUK

2

U verwerkt persoonsgegevens ten behoeve van een ander. Uw dienstverlening moet gericht zijn op het uitvoeren van een bepaalde verwerking van persoonsgegevens ten behoeve van de opdrachtgever. U voert bijvoorbeeld in opdracht van een bedrijf de salarisadministratie van dat bedrijf uit: u bent bewerker. Is uw dienstverlening op iets anders gericht en verwerkt u daarbinnen zelfstandig persoonsgegevens van uw opdrachtgever, dan bent u geen bewerker, maar verantwoordelijke. Als u bijvoorbeeld als pensioenverzekeraar een flexibele collectieve pensioenregeling aan een bedrijf hebt aangeboden en dat bedrijf verstrekt u ter uitvoering van die regeling de gegevens van de deelnemende werknemers, dan bent u zelf verantwoordelijk voor het vervolgens verwerken van die gegevens. Als bewerker hebt u geen zeggenschap over de gegevensverwerking, maar handelt u naar de instructies en onder verantwoordelijkheid van de verantwoordelijke. Bepalend is dus uw positie ten opzichte van de verantwoordelijke en de mate van zeggenschap die u over de gegevensverwerking heeft. U staat niet onder rechtstreeks gezag van de verantwoordelijke. Bent u ondergeschikte of staat u anderszins in een hiërarchische verhouding tot of onder rechtstreeks gezag van de verantwoordelijke, dan bent u geen bewerker, maar is er sprake van intern beheer. Ter verduidelijking enkele voorbeelden. U bent in dienst van een bedrijf en bewerkt voor uw bedrijf persoonsgegevens: er is sprake van intern beheer. Uw bedrijf is verantwoordelijke. Ook als een gedetacheerde salarisadministrateur bij een ondernemer op kantoor de salarisadministratie doet, is sprake van intern beheer. De administrateur werkt immers onder rechtstreeks gezag van de verantwoordelijke. Besteedt de onderneming daarentegen de salarisadministratie volledig uit aan een extern servicebureau, dan is dat bureau bewerker. Kortom: u bent bewerker in de zin van de Wbp als u bij het verwerken van persoonsgegevens handelt overeenkomstig de instructies en onder verantwoordelijkheid van een persoon tot wie u niet in een hiërarchische verhouding staat. In hoofdstuk 5 worden de verplichtingen van de bewerker beschreven.

18


W E T


P E R S O O N S

HOOFDSTUK

3

W E T



Aan welke eisen moet mijn gegevensverwerking voldoen? 3.1 Inleiding Nadat u hebt vastgesteld dat de Wbp op uw gegevensverwerking van toepassing is en u de verantwoordelijke bent, moet u nagaan of de door u voorgenomen gegevensverwerking ook in overeenstemming is met de Wbp. De Wbp stelt eisen aan het verwerken van persoonsgegevens. Die eisen worden in de volgende paragrafen besproken. Let u echter op: de Wbp is niet de enige wet waar u naar moet kijken. Soms hebben andere wetten geheel of gedeeltelijk voorrang op de Wbp. Sommige wetten bevatten een aantal specifieke bepalingen over gegevensverwerking. U moet voldoen aan de bepalingen van de specifieke wet voor wat betreft de daar geregelde onderwerpen en voor het overige aan de Wbp. In afdeling 7.5 van boek 7 van het Burgerlijk Wetboek (de overeenkomst inzake geneeskundige behandeling) is bijvoorbeeld een speciale regeling opgenomen over (onder meer) inzage in medische dossiers. Een arts moet zich bij het geven van inzage aan deze regeling houden. Voor het overige zijn de regels van de Wbp van toepassing: een arts mag bijvoorbeeld niet meer gegevens verzamelen dan noodzakelijk is voor zijn doel. De Wbp richt zich zowel tot de publieke sector als tot de private sector. De normen van de Wbp zijn gelijkelijk van toepassing in de publieke en in de private sector. De Wpr kende een verschillend regime voor deze sectoren. De normen van de Wbp kunnen in de praktijk in de verschillende sectoren wel anders worden ingekleurd. Dat hangt samen met de verschillende posities die de overheid en private ondernemingen innemen in de maatschappij.

3.2 Mijn gegevensverwerking moet behoorlijk en zorgvuldig en in overeenstemming met de wet zijn De Wbp vereist dat u gegevens verwerkt: • op behoorlijke en zorgvuldige wijze; en • in overeenstemming met de wet. Als u gegevens niet behoorlijk en zorgvuldig verwerkt, handelt u onrechtmatig.

behoorlijk en zorgvuldig

Doet u dat in het kader van een overheidstaak (de publieke sector), dan handelt u in strijd met de algemene beginselen van behoorlijk bestuur. Wat zorgvuldig is voor een private onderneming, hoeft dat voor een overheid niet te zijn. Dat gegevens in overeenstemming met de wet moeten worden verwerkt, betekent niet alleen dat u zich aan de Wbp moet houden. U moet zich, als gezegd, ook houden aan relevante andere regelgeving waarin bijzondere regels voor gegevensverwerking zijn opgenomen. Voorbeelden zijn afdeling 7.5

G E G E V E N S

19

in overeenstemming met de wet

HOOFDSTUK

3

van boek 7 van het Burgerlijk Wetboek, maar ook de Organisatiewet sociale verzekeringen 1997 en de Telecommunicatiewet.

3.3 Persoonsgegevens mag ik alleen verwerken voor een bepaald doel en op basis van een bepaalde grondslag: wat betekent dat? verzamelen voor doel

U mag op grond van de Wbp persoonsgegevens alleen verzamelen als u daarvoor een doel hebt. Dit doel moet: • welbepaald; • uitdrukkelijk omschreven; en • gerechtvaardigd zijn.

duidelijk bepaald

U mag geen gegevens verzamelen zonder dat u het doel waarvoor u dat doet, duidelijk hebt bepaald. U mag gegevens uiteraard ook voor meerdere doeleinden verzamelen. Die doeleinden hoeven niet noodzakelijkerwijs verband te houden met elkaar.

omschrijven

Het doel of de doeleinden moet u omschrijven vóórdat u begint met het verzamelen. Het is dus van belang dat u goed inventariseert en omschrijft voor welke gerechtvaardigde doeleinden u bijvoorbeeld uw klantgegevens gaat verzamelen en verwerken. Doet u dat niet, dan beperkt u uw mogelijkheden. U mag de doeleinden tijdens het verwerkingsproces namelijk niet zonder meer veranderen of uitbreiden. Wel mag u onder omstandigheden gegevens die u voor een bepaald doel hebt verzameld, ook voor andere doeleinden verder verwerken. Daarover gaat paragraaf 3.5.

noodzakelijk?

Bij het inrichten van uw gegevensverwerking moet u verder steeds nagaan of het verwerken van persoonsgegevens noodzakelijk is voor het doel. Dat betekent dat u zich moet afvragen of u niet met minder gegevens hetzelfde doel kunt bereiken. U moet ook onderzoeken of u niet langs een andere weg hetzelfde resultaat kunt bereiken, bijvoorbeeld door met behulp van technische hulpmiddelen te bewerkstelligen dat u geen of zo min mogelijk persoonsgegevens verwerkt. Wat noodzakelijk is voor het doel, kan in de publieke sector anders uitpakken dan in de private sector. Dit hangt samen met de verschillende rollen die de overheid en een private partij hebben in de maatschappij.

3.4 Op welke grondslagen mag ik mijn gegevensverwerking baseren? 3.4.1 Inleiding grondslagen

U moet uw gegevensverwerking steeds kunnen baseren op één van de zes in de Wbp genoemde grondslagen. Kunt u dat niet, dan is het verwerken van persoonsgegevens niet toegestaan. Niet alle grondslagen zijn voor iedere

20


W E T


P E R S O O N S

W E T



verantwoordelijke even relevant. Alleen als u behoort tot de overheid komt de in subparagraaf 3.4.6 behandelde grondslag in aanmerking. De overige grondslagen kunnen voor alle verantwoordelijken van belang zijn. Het kan zijn dat u uw gegevensverwerking op meerdere grondslagen kunt baseren.

3.4.2 Ondubbelzinnige toestemming De eerste grondslag voor verwerking is de verwerking op grond van ondubbelzinnige toestemming van de betrokkene. In afwijking van de Wpr hoeft die toestemming niet langer schriftelijk te zijn. Een schriftelijk bewijs van de toestemming kan uiteraard wel handig zijn. De toestemming moet wel aan een aantal criteria voldoen. De betrokkene moet zijn wil in vrijheid hebben geuit. Als de betrokkene onder druk van de omstandigheden heeft ingestemd met verwerking, is van vrije wil geen sprake. Van vrije wil is ook geen sprake als de betrokkene in een afhankelijke positie staat ten opzichte van u en onder druk van die afhankelijkheid met de verwerking heeft ingestemd. Als een werkgever bijvoorbeeld bij een sollicitatie naar strafrechtelijke gegevens van de sollicitant vraagt, kan de werkgever niet zeggen dat hij deze gegevens met toestemming van de betrokkene verwerkt. De toestemming van de betrokkene moet gericht zijn op bepaalde gegevensverwerking(en). Als u van de betrokkene een onbepaalde machtiging hebt gekregen om persoonsgegevens te verwerken, niet gericht op bepaalde gegevens en op bepaalde vormen van verwerking, dan is er geen sprake van rechtsgeldige toestemming. De toestemming moet dus gericht zijn op de door u beoogde verwerking of groep van verwerkingen. U moet de betrokkene vóór het geven van de toestemming zo informeren dat hij begrijpt waarvoor hij toestemming geeft. U mag er dus niet vanuit gaan dat de betrokkene wel weet wat u met de gegevens gaat doen. De toestemming moet ondubbelzinnig zijn. U mag geen twijfel hebben over de toestemming van de betrokkene. Die twijfel kunt u voorkomen door uw verzoek om toestemming zo in te richten dat de toestemming ondubbelzinnig blijkt. Hierbij kunt u denken aan het apart bevestigen van de toestemming door het aankruisen van een vakje op een papieren of elektronisch formulier. Twijfelt u of een verkregen toestemming ook van toepassing is op het door u beoogde gebruik van de gegevens, dan moet u nagaan of de betrokkene ook voor dát gebruik toestemming heeft gegeven. De toestemming kan ook blijken uit de gedragingen van de betrokkene. Als de betrokkene bij u als restauranthouder zijn visitekaartje in een daartoe bestemd bakje achterlaat om mailings over nieuwe menu’s te ontvangen, dan

G E G E V E N S

21

ondubbelzinnige toestemming

HOOFDSTUK

3

blijkt uit die gedraging ondubbelzinnige toestemming voor de verwerking van persoonsgegevens voor dat doel. U moet er rekening mee houden dat de bewijslast voor het verkrijgen van de ondubbelzinnige toestemming bij u ligt: u moet kunnen bewijzen dat u toestemming hebt verkregen en waarvoor u die hebt verkregen. U zult ook moeten kunnen bewijzen dat die toestemming uit vrije wil is gegeven en dat u de betrokkene voldoende hebt geïnformeerd. Ten slotte moet u er rekening mee houden dat een toestemming altijd kan worden ingetrokken. Die intrekking heeft dan wel alleen betrekking op het verwerken van gegevens ná de intrekking. Kortom: u mag gegevens op grond van de ondubbelzinnige toestemming van de betrokkene verwerken, mits u toestemming hebt gekregen voor een bepaalde verwerking van bepaalde gegevens, de toestemming uit vrije wil is geuit, u de betrokkene hebt geïnformeerd over de gang van zaken rond de verwerking en u geen twijfel hebt over de inhoud en reikwijdte van de toestemming.

3.4.3 Noodzakelijk voor de uitvoering van een overeenkomst uitvoering van een overeenkomst

De tweede grondslag voor verwerking is de verwerking die noodzakelijk is voor de uitvoering van een overeenkomst. Als u met iemand een overeenkomst hebt gesloten, mag u de persoonsgegevens van diegene verwerken voor zover dat noodzakelijk is om de overeenkomst uit te kunnen voeren. Zo mag de uitgever van een krant de persoonsgegevens van abonnees verwerken omdat dat noodzakelijk is om de krant te kunnen bezorgen. De overeenkomst hoeft niet gericht te zijn op het verwerken van persoonsgegevens, maar die verwerking moet wel een noodzakelijk uitvloeisel daarvan zijn. U kunt uw verwerking op deze grondslag baseren wanneer u de overeenkomst niet goed kunt uitvoeren zonder de persoonsgegevens. Ook als u geen partij bent bij de overeenkomst, maar het voor de uitvoering van een overeenkomst tussen twee andere partijen wel noodzakelijk is dat ú persoonsgegevens verwerkt, is die verwerking toegestaan. De betrokkene zelf moet wel partij zijn bij de overeenkomst. Voorbeeld: in het vorige voorbeeld mag de bank van de uitgever van de krant de persoonsgegevens van een abonnee verwerken voor het afwikkelen van de betaling.

sluiten van een overeenkomst

U mag op basis van deze grondslag ook gegevens verwerken in de fase vóór het sluiten van de overeenkomst. Ook in de zogenoemde precontractuele fase kan het verwerken van persoonsgegevens noodzakelijk zijn. U kunt uw gegevensverwerking in de precontractuele fase op deze grondslag baseren als:

22


W E T


P E R S O O N S

W E T



• De betrokkene verzoekt om de handelingen (waarbij persoonsgegevens worden verwerkt); en • De handelingen noodzakelijk zijn om de overeenkomst te kunnen sluiten. Een voorbeeld hiervan is de betrokkene die aan een bank een offerte vraagt voor het aangaan van een hypothecaire lening. De verwerking van persoonsgegevens is noodzakelijk om de overeenkomst te kunnen sluiten en de betrokkene heeft daarom verzocht.

3.4.4 De verwerking is noodzakelijk ter uitvoering van een wettelijke plicht van de verantwoordelijke Om uw gegevensverwerking op de derde grondslag van de Wbp te kunnen

uitvoering van een

baseren moet de verwerking noodzakelijk zijn voor de uitvoering van een

wettelijke plicht

wettelijke plicht. Het moet redelijkerwijs niet goed mogelijk zijn de wettelijke plicht uit te voeren zonder het verwerken van persoonsgegevens. Er moet een evident verband bestaan tussen het verwerken van persoonsgegevens en de wettelijke plicht. De plicht hoeft niet te gelden op grond van een “echte” wet, maar kan ook gelden op grond van bijvoorbeeld een gemeentelijke verordening. Deze grondslag kan alleen van toepassing zijn, als u als verantwoordelijke zelf onderworpen bent aan deze plicht. Een voorbeeld van een gegevensverwerking op deze grondslag is de wettelijk verplichte persoonsregistratie van werknemers op grond van de Wet stimulering arbeidsdeelname minderheden. Een ander voorbeeld is de informatieplicht op grond van de Organisatiewet sociale verzekeringen 1997.

3.4.5 Het verwerken van persoonsgegevens is noodzakelijk ter vrijwaring van een vitaal belang van de betrokkene Als het voor een vitaal belang van de betrokkene noodzakelijk is zijn of haar

vitaal belang van betrokkene

persoonsgegevens te verwerken, is die verwerking op de vierde grondslag van de Wbp toegestaan. U moet hierbij met name denken aan een dringende medische noodzaak. Het verdient overigens altijd de voorkeur om toestemming van de betrokkene te vragen. Alleen als dat niet meer mogelijk is, bijvoorbeeld omdat de betrokkene buiten bewustzijn is, mag u op deze vierde grondslag persoonsgegevens verwerken.

3.4.6 Het verwerken van gegevens is noodzakelijk voor de goede vervulling van een publiekrechtelijke taak U mag persoonsgegevens verwerken op basis van de vijfde grondslag als het verwerken van gegevens noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door uzelf als bestuursorgaan of door een bestuursorgaan waaraan de gegevens worden verstrekt.

G E G E V E N S

23

publiekrechtelijke taak

HOOFDSTUK

3

U kunt op deze grondslag dus persoonsgegevens verwerken als u zelf bestuursorgaan bent en de verwerking noodzakelijk is voor de goede vervulling van uw eigen publiekrechtelijke taak. Maar ook als niet-bestuursorgaan kunt u persoonsgegevens op deze grondslag verwerken, mits dat noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het bestuursorgaan waaraan u de gegevens verstrekt. Met een publiekrechtelijke taak wordt bedoeld een taak die bij of krachtens de wet is opgedragen. Het gaat dus om taken die specifiek bij een bestuursorgaan zijn neergelegd. U kunt hierbij denken aan de taak van bestuursorganen om bezwaarschriften te behandelen. Voor een goede vervulling van die taak zal het bestuursorgaan veelal persoonsgegevens moeten verwerken. De betrokkene kan tegen een verwerking op basis van deze grondslag verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. Zie hierover verder paragraaf 4.7.

3.4.7 Het verwerken van persoonsgegevens is noodzakelijk voor de behartiging van een gerechtvaardigd belang gerechtvaardigd belang

U mag op basis van de zesde grondslag persoonsgegevens verwerken als dat noodzakelijk is voor een gerechtvaardigd belang van u (de verantwoordelijke) of een derde, tenzij de belangen of de fundamentele rechten van de betrokkene prevaleren. U moet een gerechtvaardigd belang hebben. Als u uw activiteiten niet goed kunt uitoefenen zonder het verwerken van persoonsgegevens, dan hebt u een gerechtvaardigd belang in de zin van de Wbp. U hebt geen gerechtvaardigd belang als u alvast vooruitlopend op een nog onbekend belang in de toekomst gegevens gaat verwerken, omdat die gegevens misschien ooit van pas zullen komen. Een gerechtvaardigd belang om persoonsgegevens te verwerken, is bijvoorbeeld een goede bedrijfsvoering. Het gaat daarbij niet alleen om externe activiteiten, maar ook om uw interne organisatie. Het gerechtvaardigd belang is ook niet beperkt tot uw kernactiviteiten, zoals bijvoorbeeld het verkopen van producten. Het kan ook betrekking hebben op activiteiten die daarmee nauw verweven zijn, zoals het sturen van reclame over nieuwe producten. Ook dan hebt u een gerechtvaardigd belang. U moet het verwerken van persoonsgegevens wel kunnen rechtvaardigen ten aanzien van een individuele persoon. U mag dus niet al uw werknemers afluisteren om te achterhalen of bedrijfsgeheimen aan derden worden verstrekt, wanneer slechts bepaalde werknemers een risico vormen.

noodzakelijk

De gegevensverwerking moet verder noodzakelijk zijn voor uw gerechtvaardigd belang.

24


W E T


P E R S O O N S

W E T



Dat betekent dat u zich moet afvragen of u (i) met minder gegevens of (ii) via een minder ingrijpende weg hetzelfde resultaat kunt bereiken. Zo moet u in het hiervoor genoemde voorbeeld nagaan of u kunt volstaan met het steekproefsgewijs afluisteren van de desbetreffende werknemers. De belangen of de fundamentele rechten van de betrokkene mogen in het

belangen van betrokkene

concrete geval niet prevaleren. Bij iedere verwerking zult u uitdrukkelijk een afweging moeten maken tussen uw gerechtvaardigde belang en het belang van de betrokkene om gevrijwaard te blijven van inbreuken op (onder meer) zijn privacy. In die afweging spelen de gevoeligheid van de door u verwerkte gegevens en de maatregelen die u hebt genomen ter bescherming van de privacy van de betrokkene een rol. Hoe minder gevoelig de gegevens voor de betrokkene zijn en hoe meer beveiligingsmaatregelen u bijvoorbeeld neemt, hoe eerder het verwerken van persoonsgegevens is toegestaan. Wanneer een onderneming bijvoorbeeld haar klantenbestand gebruikt om die klanten informatie toe te sturen over een nieuw product, kan die verwerking worden gebaseerd op deze grondslag. Het “vermarkten” van nieuwe producten is een gerechtvaardigd belang van de onderneming dat in de regel opweegt tegen de geringe inbreuk op de persoonlijke levenssfeer van de klanten. Tegen een verwerking op basis van deze zesde grondslag kan de betrokkene verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. Dit recht van verzet wordt besproken in paragraaf 4.7.

3.5 Mijn gegevensverwerking mag niet onverenigbaar zijn met het doel waarvoor ik de gegevens heb verzameld: wat betekent dat? U verzamelt gegevens voor een bepaald doel of bepaalde doeleinden. Uiteraard mag u de gegevens dan voor dat doel of die doeleinden gebruiken. U mag nadat u de gegevens hebt verzameld, deze gegevens later ook gebruiken voor een ander doel dan waarvoor u ze hebt verzameld. U mag dat alleen niet doen op een wijze die onverenigbaar is met het doel waarvoor u de gegevens hebt verzameld. De verdere verwerking mag niet onverenigbaar zijn. Wat betekent niet onverenigbaar? Dat hangt af van de omstandigheden van uw specifieke geval. De Wbp noemt een aantal, hierna beschreven factoren die een rol spelen bij de vaststelling of een wijze van verwerking verenigbaar is met het oorspronkelijke doel. Ook andere factoren kunnen echter een rol spelen, zoals de verwachting die een betrokkene heeft ten aanzien van het gebruik van zijn persoonsgegevens. U moet steeds alle mogelijke factoren in ogenschouw nemen en een totaalbeoordeling maken. Het is niet zo dat één factor per definitie zwaarder weegt dan een andere.

G E G E V E N S

25

niet onverenigbaar

HOOFDSTUK

3

factoren

De Wbp noemt de volgende factoren waar u in elk geval rekening mee moet houden als u onderzoekt of uw wijze van verdere verwerking verenigbaar is met het doel waarvoor u de gegevens hebt verkregen.

verwantschap

• De mate van verwantschap tussen het oorspronkelijke doel en het doel van de verdere verwerking. Hoe dichter de twee doeleinden bij elkaar liggen (oftewel hoe meer verwant ze zijn), hoe eerder de verdere verwerking verenigbaar is met het doel waarvoor de gegevens zijn verzameld. De gegevens die zijn opgenomen in een leerlingenbestand van een school mogen bijvoorbeeld wel worden gebruikt om het aantal afgestudeerden in kaart te brengen. De desbetreffende persoonsgegevens mogen echter niet aan een bedrijf worden verkocht in zodanige vorm dat het bedrijf er een profiel van de leerling mee kan maken op basis waarvan het de leerling persoonlijk benadert. Het doel waarvoor de gegevens zijn verkregen, is in dat geval onverenigbaar met de wijze waarop ze verder worden verwerkt.

aard van de gegevens

• De aard van de gegevens. Hoe gevoeliger de gegevens voor de betrokkene zijn, hoe minder snel u mag aannemen dat deze gegevens ook voor andere doeleinden mogen worden gebruikt. Met gevoelige gegevens worden niet specifiek de bijzondere gegevens bedoeld (zie hoofdstuk 7), maar (ook) gegevens die de betrokkene als gevoelig ervaart: bijvoorbeeld gegevens over de ondertoezichtstelling van een minderjarige.

gevolgen

• De gevolgen van de beoogde (verdere) verwerking voor de betrokkene. Met name als de verdere verwerking tot gevolg heeft dat een bepaalde beslissing over de betrokkene wordt genomen, is die verwerking al snel onverenigbaar. U kunt daarbij denken aan de situatie waarin het gebruik ertoe leidt dat de betrokken wordt beperkt in zijn mogelijkheden om zich maatschappelijk te ontwikkelen. Hebt u bijvoorbeeld in uw hoedanigheid van ziektekostenverzekeraar medische gegevens over de betrokkene verkregen, dan mag u deze gegevens niet gebruiken om daarop uw beslissing te baseren om al dan niet een verzekering aan te gaan op het leven van de betrokkene.

wijze van verkrijgen en passende waarborgen

• De wijze waarop de gegevens zijn verkregen en de mate waarin passende waarborgen voor de betrokkene zijn genomen. Kunt u als werkgever aantonen dat het voor de bestrijding van fraude noodzakelijk is om zonder vooraankondiging telefoongesprekken van werknemers op te nemen, dan mag u deze vervolgens niet zomaar achteraf gebruiken voor de beoordeling van uw personeel. Deze wijze van verwerken is in de regel onverenigbaar met het doel waarvoor u de gegevens hebt verkregen.

26


W E T


P E R S O O N S

W E T



Een bijzondere regeling geldt voor de verdere verwerking voor historische, statistische of wetenschappelijke doeleinden. Ook als de gegevens niet voor deze doeleinden zijn verzameld, is de verdere verwerking daarvoor toegestaan. U moet er dan wel voor zorgen dat de gegevens ook alleen voor deze doeleinden worden verwerkt. U kunt hierbij denken aan juridische maatregelen, zoals een contract waarin de desbetreffende wetenschapper zich verbindt de gegevens alleen voor dat doel te verwerken. Maar ook organisatorische of technische maatregelen zijn denkbaar. Als het resultaat van de verwerking voor statistische doeleinden is dat de gegevens geen persoonsgegevens (meer) zijn, dan mag dat resultaat voor allerlei doeleinden, bijvoorbeeld ook marktonderzoek, worden gebruikt. De Wbp bepaalt uitdrukkelijk dat u geen gegevens mag verwerken in strijd met een geheimhoudingsplicht uit hoofde van ambt, beroep of een wettelijk voorschrift. De Wbp noemt ten slotte een aantal gevallen waarin u gegevens wel mag verwerken op een wijze die mogelijk onverenigbaar is met het doel waarvoor u de gegevens hebt verzameld. Bijvoorbeeld als de verwerking van persoonsgegevens noodzakelijk is in het belang van de veiligheid van de staat of de bescherming van de betrokkene of van de rechten en vrijheden van anderen.

3.6 Aan welke kwaliteitseisen moet mijn gegevensverwerking voldoen? De Wbp bevat een algemene norm over de kwaliteit van uw gegevensverwer-

kwaliteit

king. Uw gegevens moeten gelet op het doel waarvoor ze worden verwerkt: • niet bovenmatig; • toereikend; en • ter zake dienend zijn. U moet ervoor zorgen dat u voldoende en adequate gegevens verwerkt voor

niet bovenmatig

uw doel. U mag niet te gedetailleerde gegevens verwerken als dat voor uw doel niet noodzakelijk is (niet bovenmatig). Als bijvoorbeeld een incassobureau gegevens verwerkt om debiteuren te kunnen aanmanen en gelden te incasseren, dan is het voor dit doel niet noodzakelijk om gedetailleerde gegevens te verwerken over de producten of diensten die de desbetreffende debiteur heeft afgenomen. Zou het incassobureau dit wel doen, dan is sprake van een bovenmatige verwerking. U mag ook niet te weinig gegevens verwerken. Dat wil zeggen dat u alle gegevens moet verwerken die voor uw doel noodzakelijk zijn (toereikend). Als u te weinig gegevens verzamelt, kan namelijk ten onrechte een onvolledig beeld van de betrokkene ontstaan. Als het incassobureau uit het vorige voorbeeld nalaat vast te leggen dat aan een debiteur een creditnota is verstuurd, ontstaat

G E G E V E N S

27

toereikend

HOOFDSTUK

3

een onvolledig beeld. De gegevens die het incassobureau heeft verwerkt, zijn dan niet toereikend voor het doel. terzake dienend

Ten slotte mag u alleen díe gegevens verwerken die noodzakelijk zijn voor het doel (ter zake dienend). U mag dus geen overbodige gegevens verwerken. Weer in hetzelfde voorbeeld mag het incassobureau niet van alle debiteuren altijd ook de nationaliteit vastleggen. Die doet immers voor het betalen van een factuur meestal niet ter zake. Dit kan anders zijn als er voor de inning van de gelden beslag moet worden gelegd op goederen van een gehuwde debiteur. De nationaliteit kan in dat geval van belang zijn om te bepalen welk huwelijksvermogensrecht van toepassing is.

juist en nauwkeurig

De verwerkte gegevens moeten verder: • Juist en nauwkeurig zijn. Die verplichting is niet absoluut: u hoeft niet altijd na te gaan of de door u verwerkte gegevens juist zijn. U hoeft bijvoorbeeld niet voortdurend na te gaan of alle (adres)gegevens in uw klantenbestand nog juist zijn. Het is wel verstandig om periodiek de gegevens te controleren. U moet uzelf bij iedere wijziging van uw gegevensverwerking afvragen of die verwerking nog aan de in deze paragraaf beschreven eisen voldoet. In de loop van de tijd kan bijvoorbeeld de interpretatie van uw doel iets wijzigen. U moet dan nagaan of de gegevens die u voor dat doel verzamelt nog toereikend zijn. Is dat niet het geval, dan moet u meer of wellicht juist minder gegevens gaan verwerken.

28


W E T


P E R S O O N S

HOOFDSTUK

4

W E T



Wat zijn mijn plichten als verantwoordelijke? 4.1 Inleiding De Wbp legt verplichtingen op aan degenen die persoonsgegevens verwerken. Deze verplichtingen rusten primair op de verantwoordelijke. Weliswaar hebben ook anderen plichten, zoals de in hoofdstuk 5 te bespreken bewerker, maar die verplichtingen zijn steeds afgeleid van de plichten van de verantwoordelijke. In dit hoofdstuk worden de plichten van de verantwoordelijke beschreven. De plichten worden beschreven in de volgorde van de stappen die u op grond van de Wbp moet volgen als u nu start met het verzamelen van gegevens. Verwerkt u nu al gegevens, dan hoeft u de plichten niet per se in deze volgorde te lezen. Iedereen die onder gezag van de verantwoordelijke persoonsgegevens verwerkt (dus ook uw werknemer), is verplicht tot geheimhouding van die persoonsgegevens, tenzij een wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit.

4.2 De melding

melden

4.2.1 Inleiding U moet als verantwoordelijke uw gegevensverwerking melden bij • het College bescherming persoonsgegevens, (de voormalige Registratiekamer); óf • als door u of uw brancheorganisatie een functionaris voor de gegevensbescherming is benoemd, bij deze functionaris (zie paragraaf 6.2 voor een bespreking van deze functionaris). Indien u samen met anderen doel en middelen van de verwerking bepaalt, en er dus meerdere verantwoordelijken zijn, kan die verwerking door één van de verantwoordelijken worden gemeld. Uiteraard moet bij de melding wel een opgave worden gedaan van alle verantwoordelijken. De melding moet u doen vóórdat u met verwerken begint en dus ook voordat u gegevens gaat verzamelen. Het College neemt uw melding op in een openbaar register (met uitzondering van de informatie die u over de beveiliging van uw gegevensverwerking moet verschaffen). Let op! U moet uw gegevensverwerking ook melden als u onder de Wpr voor uw persoonsregistratie een reglement hebt gemaakt of uw persoonsregistratie al bij de Registratiekamer hebt aangemeld. In dat geval moet u al uw handelingen met persoonsgegevens opnieuw bekijken: onder de Wbp moet u immers het verwerken van persoonsgegevens melden.

G E G E V E N S

29

bij wie moet ik melden?

HOOFDSTUK

4

4.2.2 Welke gegevensverwerking moet ik melden? wat moet ik melden?

U moet het volgende melden: • uw geheel of gedeeltelijk geautomatiseerde gegevensverwerking; en/of • uw handmatige gegevensverwerking mits deze aan een voorafgaand onderzoek is onderworpen. Let op! Een belangrijke groep gegevensverwerkingen is uitgezonderd van de meldingsplicht. Zie daarover paragraaf 4.2.3.

gegevensverwerking

U moet uw (geautomatiseerde of soms uw handmatige) gegevensverwerking melden. U moet hierbij bedenken dat verwerkingshandelingen die in het maatschappelijk verkeer als een eenheid worden beschouwd, worden gezien als één gegevensverwerking. De Kamer van Koophandel verzamelt en bewaart bijvoorbeeld persoonsgegevens in het handelsregister, en verstrekt deze aan derden. In het maatschappelijk verkeer worden al die verwerkingshandelingen als een eenheid gezien. Een dergelijk geheel aan verwerkingshandelingen neemt u in één melding op. Zie verder voor het begrip gegevensverwerking paragraaf 2.3. De gegevensverwerking die één doel of meerdere samenhangende doeleinden dient, kunt u in één melding opnemen. Verzamelt u bijvoorbeeld gegevens van klanten voor de uitvoering van opdrachten, maar verstrekt u de desbetreffende persoonsgegevens ook aan derden voor direct marketingdoeleinden, dan kunt u deze verwerkingen in één melding opnemen. Voorafgaand onderzoek.

handmatige gegevensverwerking

Een handmatige gegevensverwerking hoeft u in beginsel niet te melden. Dit is alleen anders als uw handmatige gegevensverwerking is onderworpen aan een voorafgaand onderzoek. De wetgever heeft een aantal gegevensverwerkingen benoemd, die aan een voorafgaand onderzoek zijn onderworpen. Het gaat om verwerkingen die naar het oordeel van de wetgever een grote inbreuk op de persoonlijke levenssfeer van de betrokkenen betekenen: bijvoorbeeld de verwerking van strafrechtelijke persoonsgegevens ten behoeve van derden, zonder dat de verantwoordelijke in het bezit is van een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus. Voordat met deze aangewezen gegevensverwerkingen wordt begonnen, moet het College bescherming persoonsgegevens een voorafgaand onderzoek kunnen uitvoeren. U moet een dergelijke gegevensverwerking daarom voordat u met de verwerking begint bij het College melden (óók als u of uw brancheorganisatie een functionaris voor de gegevensbescherming heeft benoemd). In deze handleiding wordt op deze gegevensverwerkingen en meldingsplichten niet verder ingegaan.

30


W E T


P E R S O O N S

W E T



4.2.3 Welke gegevensverwerking hoef ik niet te melden? De vrijstellingen Van veel gegevensverwerkingen is algemeen bekend dat zij plaatsvinden en is het onwaarschijnlijk dat de persoonlijke levenssfeer van de betrokkenen door die verwerking wordt geschaad. Denk bijvoorbeeld aan een personeels- of ledenadministratie. De wetgever acht het niet nodig dat ook al die standaardgegevensverwerkingen worden gemeld. Net als onder de WPR het geval was, is daarom onder de WBP een groot aantal verwerkingen van de meldingsplicht vrijgesteld. De vrijgestelde gegevensverwerkingen worden opgesomd in het Vrijstellingsbesluit. In het Vrijstellingsbesluit wordt per type gegevensverwerking een aantal elementen van de gegevensverwerking omschreven: • de doeleinden van de vrijgestelde verwerkingen; • de verwerkte gegevens of categorieën van gegevens; • de categorieën van betrokkenen; en • de ontvangers of categorieën van ontvangers aan wie gegevens worden verstrekt. In het Vrijstellingsbesluit is ook de maximale bewaarperiode van gegevens opgenomen. Wilt u profiteren van de vrijstelling, dan moet uw gegevensverwerking op alle bovengenoemde elementen overeenkomen met de in het Vrijstellingsbesluit omschreven gegevensverwerking. U moet er wel op bedacht zijn dat iedereen u mag verzoeken informatie te verstrekken over vrijgestelde gegevensverwerkingen. Het gaat dan bijvoorbeeld om de doeleinden van de verwerkingen en de aard van de gegevens. Onder meer de volgende verwerkingen zijn, onder de in het Vrijstellingsbesluit genoemde voorwaarden, van melding vrijgesteld: • verwerkingen door verenigingen, stichtingen en publiekrechtelijke beroepsorganisaties met betrekking tot hun leden of begunstigers; • verwerkingen door kerkgenootschappen of andere genootschappen op geestelijke grondslag met betrekking tot de daartoe behorende personen en hun gezinsleden of begunstigers; • verwerkingen met betrekking tot sollicitanten; • verwerkingen door werkgevers in het kader van de personeelsadministratie en de salarisadministratie; • verwerkingen met betrekking tot debiteuren en crediteuren en verwerkingen met betrekking tot afnemers en leveranciers; • verwerkingen van notarissen, advocaten of andere rechtshulpverleners, registeraccountants en Accountants-Administratieconsulenten met het oog op de dienstverlening aan cliënten; • verwerkingen door beroepsbeoefenaren in de gezondheidszorg, door

G E G E V E N S

31

vrijstellingsbesluit

HOOFDSTUK

4

verzorgingshuizen en verpleeghuizen, en van instellingen voor kinderopvang; • verwerkingen door onderwijsinstellingen met betrekking tot leerlingen, deelnemers en studenten; en • verwerkingen ten dienste van het interne beheer van de organisatie van de verantwoordelijke, zoals verwerkingen met betrekking tot netwerk- en computersystemen, communicatieapparatuur en toegangscontrole. Ook een aantal combinaties van vrijgestelde verwerkingen is van melding vrijgesteld.

4.2.4 Wat moet ik doen bij een melding? welke informatie moet ik geven?

Bij uw melding moet u onder meer de volgende informatie opgeven: • naam van de verantwoordelijke (uw organisatie); • adres van de verantwoordelijke; • doel of doeleinden van de gegevensverwerking; • (categorieën van) betrokkenen; • (categorieën van) gegevens van deze betrokkenen; • (categorieën van) ontvangers; • de voorgenomen doorgiften van persoonsgegevens aan landen buiten de Europese Unie; en • een omschrijving van de door u te nemen beveiligingsmaatregelen. Het College bescherming persoonsgegevens heeft voor de melding een standaardformulier ontwikkeld, dat zowel in papieren als elektronische vorm beschikbaar is. U kunt dit formulier van de Internetsite van het College downloaden. Het adres vindt u in de bijlage bij deze handleiding.

4.2.5 Wat moet ik doen als ik mijn gegevensverwerking wijzig? wijzigingen

Indien één van de volgende wijzigingen zich voordoet, moet u die binnen één jaar na uw eerdere melding doorgeven. Het gaat om wijzigingen in • het doel of de doeleinden van de gegevensverwerking; • de (categorieën van) betrokkenen en ontvangers; • de beveiligingsmaatregelen; en/of • de voorgenomen doorgiften aan landen buiten de Europese Unie. Dit is echter alleen nodig als de wijzigingen van meer dan incidentele aard blijken te zijn. In de praktijk moet u dus eenmaal per jaar nagaan of er wijzigingen zijn van meer dan incidentele aard. Daarnaast bent u verplicht alle afwijkingen in uw gegevensverwerking ten opzichte van uw melding, ook die van incidentele aard, gedurende ten minste drie jaren bij te houden. Dit om de betrokkene zo nodig van de verwerkingen op de hoogte te kunnen stellen.

32


W E T


P E R S O O N S

W E T



Een wijziging in uw naam of adres moet u binnen één week melden aan het College. Let op! Als u gegevens verkrijgt buiten de betrokkene om, dan valt de verwerking van die gegevens, inclusief de vastlegging, onder de Wbp. Dit betekent onder meer dat u voor de verkrijging een duidelijk bepaald en gerechtvaardigd doel moet hebben en dat u de verwerking moet kunnen stoelen op één of meer van de in de Wbp genoemde grondslagen.

4.2.6 Moet ik geen reglement vaststellen? geen reglement?

De Wpr maakte onderscheid tussen • persoonsregistraties op het gebied van de overheid en het onderwijs, de gezondheidszorg en de maatschappelijke dienstverlening; en • persoonsregistraties op het gebied van bedrijf en beroep en op overige gebieden. Voor de eerste categorie van registraties kende de Wpr de verplichting om een reglement vast te stellen. Registraties in de tweede categorie moesten worden aangemeld bij de Registratiekamer. De Wbp kent alleen de meldingsplicht voor de verantwoordelijke. De melding is wel een uitgebreide melding. Hoewel er onder de Wbp dus niet langer een wettelijke plicht bestaat om een reglement vast te stellen, kan een reglement natuurlijk wel nuttig zijn.

4.3 Hoe en wanneer moet ik de betrokkene informeren over de gegevensverwerking? 4.3.1 Inleiding Een persoon wiens gegevens worden verwerkt, moet kunnen nagaan wat er

informatieverstrekking aan

met die gegevens gebeurt. De Wbp bevat daarom een regeling over informatie-

betrokkene

verstrekking aan de betrokkene. Deze regeling maakt op een aantal punten onderscheid tussen de situatie dat u de gegevens bij de betrokkene zelf verkrijgt en de situatie dat u de gegevens op een andere manier verkrijgt.

4.3.2 Wanneer hoef ik niet te informeren? U hoeft de betrokkene niet te informeren als deze al op de hoogte is van de in paragraaf 4.3.3 beschreven informatie. De Wbp is op dit punt strenger dan de Wpr. Het is niet genoeg dat u vermoedt dat de betrokkene op de hoogte is. U moet weten dat dat het geval is. Maar wanneer weet u of de betrokkene op de hoogte is? U hoeft niet te controleren of de betrokkene de door u toegezonden of uitgereikte informatie ook daadwerkelijk heeft gelezen. U mag er na toezending of uitreiking vanuit gaan dat de betrokkene op de hoogte is. U mag er ook op vertrouwen dat de betrokkene op de hoogte is als uit een gedraging of een verklaring van de betrokkene naar objectieve maatstaven kan worden afgeleid dat dat het geval is.“Naar objectieve maatstaven” betekent dat

G E G E V E N S

33

betrokkene is op de hoogte

HOOFDSTUK

4

iedereen, en niet alleen u als subjectief persoon, uit de gedragingen zou afleiden dat de betrokkene op de hoogte is. U mag er niet vanuit gaan dat de betrokkene op de hoogte is, als hij of zij (redelijkerwijs) op de hoogte had kunnen zijn. Onder de Wpr was dit wel zo, maar zoals gezegd is de Wbp op dit punt strenger. Ook als de betrokkene bijvoorbeeld door onderzoek zou kunnen achterhalen wie de verantwoordelijke is en voor welke doeleinden de gegevens worden verwerkt, moet u hem of haar informeren.

4.3.3 Welke informatie moet ik verstrekken? welke informatie moet ik geven?

De informatieverstrekking aan de betrokkene moet in ieder geval omvatten: • wie u bent (dus wie de verantwoordelijke is); en • voor welk doel of doeleinden u de gegevens verzamelt en verwerkt. Daarmee kunt u echter niet altijd volstaan. U moet nadere informatie verschaffen als dat tegenover de betrokkene nodig is om een behoorlijke en zorgvuldige verwerking te waarborgen. U zult zich dus moeten afvragen of u uit oogpunt van zorgvuldigheid meer of meer gedetailleerde informatie over de verwerking aan de betrokkene moet verstrekken. U moet daarbij rekening houden met (i) de aard van de gegevens, (ii) de omstandigheden waaronder u deze hebt verkregen en (iii) het gebruik dat u ervan gaat maken. Hoe gevoeliger de gegevens die u verwerkt voor de betrokkene liggen, hoe meer reden er is om de betrokkene gedetailleerd te informeren over uw gegevensverwerking.

4.3.4 Op welk moment moet ik informeren? wanneer moet ik informeren?

Als u de gegevens bij de betrokkene zelf verkrijgt, moet u de betrokkene vóór de verkrijging informeren. Van verkrijging bij de betrokkene zelf is bijvoorbeeld sprake wanneer hij of zij op een formulier persoonsgegevens invult en dit formulier aan u toezendt. U kunt de informatie dan bijvoorbeeld op het formulier opnemen. De betrokkene heeft de informatie dan immers voordat hij het formulier terugzendt (en dus voordat hij de gegevens verstrekt). Dit is anders als u de gegevens via een andere weg verkrijgt, dus buiten de betrokkene om. Daarvan is sprake wanneer u de gegevens van een derde verkrijgt, maar bijvoorbeeld ook wanneer u zelf de betrokkene observeert bij zijn of haar gebruik van uw computernetwerk of website. In het laatste geval verstrekt de betrokkene u de gegevens immers niet bewust. Bij verkrijging buiten de betrokkene om moet u hem of haar informeren: • op het moment dat u de gegevens vastlegt; of

34


W E T


P E R S O O N S

W E T



• als u de gegevens uitsluitend verzamelt om deze aan een derde te verstrekken, uiterlijk op het moment van eerste verstrekking aan die derde. Dus alleen als u de gegevens uitsluitend verzamelt om deze aan een derde te verstrekken, mag u het moment van informeren opschuiven naar het moment van eerste verstrekking. Die derde kan ook een andere vennootschap binnen uw concern zijn. De derde hoeft in dat geval bij verkrijging van de gegevens de betrokkene niet nog eens te informeren over het feit dat hij de gegevens heeft verkregen.

4.3.5 Hoe moet ik informeren? U moet de informatie op zodanige wijze verstrekken dat de betrokkene er

betrokkene moet over

daadwerkelijk de beschikking over krijgt.

informatie beschikken

Een algemene verwijzing naar elders verkrijgbare informatie is dus niet voldoende. Ook hier wordt onderscheid gemaakt tussen de situatie dat u de gegevens bij de betrokkene verkrijgt of buiten hem of haar om. • U verkrijgt de gegevens bij de betrokkene zelf. Dan kunt u de informatie bijvoorbeeld opnemen op het formulier waarop de betrokkene de gegevens verstrekt (zie ook de vorige paragraaf ). U kunt ook een folder of brochure aan de betrokkene uitreiken of toesturen. Dat moet dan wel gebeuren voordat de betrokkene de gegevens verstrekt. • U verkrijgt de gegevens via een andere weg, dus niet van de betrokkene zelf. Dan is het lastiger: gaat het om een beperkt aantal betrokkenen, dan moet u deze persoonlijk informeren. Gaat het om een hele groep, dan mag u volstaan met een algemenere vorm van informatieverstrekking. U kunt daarbij denken aan een blad of tijdschrift (van bijvoorbeeld een vereniging), maar dan moet wel vaststaan dat daarmee de hele groep van betrokkenen wordt bereikt. Een advertentie in een landelijk dagblad of een huis-aan-huisblad is niet voldoende. • Niet in alle gevallen waarin u gegevens via een andere weg verkrijgt, hoeft u de betrokkene te informeren. Dat hoeft niet als informatieverstrekking onmogelijk is, of alleen met een onevenredige inspanning kan plaatsvinden. Van een onevenredige inspanning is sprake als u alleen door een zeer tijdrovende inspanning het adres van de betrokkene kunt achterhalen. In dat geval moet u wel de herkomst van de gegevens vastleggen, zodat de betrokkene in ieder geval achteraf kan nagaan welke weg zijn gegevens hebben afgelegd. U hoeft de betrokkene ook niet te informeren als u de gegevens vastlegt of verstrekt op grond van een wettelijke plicht.

G E G E V E N S

35

HOOFDSTUK

4

Zie paragraaf 4.9 voor andere gevallen waarin u niet aan de informatieverplichtingen hoeft te voldoen.

4.4 Wanneer moet ik inzage geven? recht op inzage

Iedereen mag u met redelijke tussenpozen vragen of, en zo ja welke persoonsgegevens u ten aanzien van hem verwerkt. Als de betrokkene u buitensporig vaak met een dergelijk verzoek benadert, hoeft u daaraan geen gehoor te geven. U moet op een verzoek om inzage binnen vier weken antwoorden. Het antwoord moet schriftelijk zijn, tenzij een gewichtig belang van de betrokkene vergt dat u een andere vorm kiest, bijvoorbeeld mondeling. Een per elektronische post verzonden antwoord is ook schriftelijk. Uw antwoord moet in een begrijpelijke vorm bevatten: • Een volledig overzicht van de door u verwerkte gegevens van de betrokkene. • Een omschrijving van • het doel of de doeleinden van de gegevensverwerking; • de categorieën van gegevens waarop uw verwerking betrekking heeft; • de ontvangers of categorieën van ontvangers. • Alle beschikbare informatie over de herkomst van de gegevens. Desgevraagd moet u ook informatie verschaffen over de systematiek van uw geautomatiseerde gegevensverwerking. U hoeft daarbij uiteraard niet zo ver te gaan dat u bedrijfsgeheimen prijsgeeft. U moet zich ervan vergewissen dat degene die om informatie vraagt, ook degene is over wie informatie wordt gevraagd. Is de betrokkene jonger dan 16 jaar of onder curatele gesteld, dan moet het verzoek om inzage door de wettelijk vertegenwoordiger (bijvoorbeeld een ouder) worden gedaan. Uw antwoord richt u ook aan die vertegenwoordiger. Voor uw antwoord mag u ten hoogste een door de regering vast te stellen vergoeding in rekening brengen. De regering kan die vergoeding op niet hoger stellen dan ƒ 10,- (e 4,50). Alleen voor bijzondere gevallen kan de regering een ander bedrag vaststellen. Hebt u naar aanleiding van het verzoek van de betrokkene gegevens gecorrigeerd, dan moet u de vergoeding teruggeven. Let op! Soms bevatten specifieke wetten eigen regels over de vergoeding. Dergelijke wetten gaan op dit punt dan voor op de Wbp. In sommige gevallen hoeft u geen inzage te geven. Zie daarvoor paragraaf 4.9.

4.5 Wanneer moet ik corrigeren? recht op correctie

De betrokkene mag u verzoeken zijn gegevens te corrigeren. Daarbij moet hij of zij de gewenste wijzigingen aangeven. Correctie houdt in:

36


W E T


P E R S O O N S

W E T



• verbeteren; • aanvullen; • verwijderen; • afschermen; of • op een andere manier er voor zorgen dat u de onjuiste gegevens niet langer gebruikt. Dit laatste kan het geval zijn als het technisch niet mogelijk is de gegevens te verbeteren, bijvoorbeeld doordat deze zijn opgeslagen op een Cd-rom. In dat geval moet u andere maatregelen nemen: bijvoorbeeld een bestand met aanvullingen en verbeteringen opnemen. U bent alleen verplicht te corrigeren als de gegevens:

wanneer moet ik corrigeren?

• feitelijk onjuist zijn; • onvolledig of niet ter zake dienend zijn voor het doel waarvoor u ze verwerkt; of • op andere wijze in strijd met een voorschrift van de Wbp of een andere wet zijn verwerkt. Voor de duidelijkheid: het hoeft helemaal niet verwijtbaar te zijn dat u de gegevens onjuist hebt verwerkt. U moet binnen vier weken schriftelijk aangeven of, en in hoeverre u aan het correctieverzoek zult voldoen. Als een gewichtig belang van de verzoeker dat eist, moet u een andere vorm dan schriftelijk kiezen: bijvoorbeeld mondeling. Weigert u correctie, dan moet u die weigering motiveren. Besluit u de gegevens te corrigeren, dan moet u dit zo snel mogelijk doen. In geval van correctie van de gegevens moet u derden aan wie u de

derden op de hoogte stellen

(onjuiste) gegevens van de betrokkene eerder hebt verstrekt, van de wijzigingen op de hoogte stellen. Dit is een wijziging ten opzichte van de Wpr. U moet dus onderzoeken aan welke derden u de (onjuiste) gegevens eerder hebt verstrekt. Die onderzoeksplicht strekt verder naarmate de aangebrachte correctie ingrijpender is of de aard van de gegevens daartoe aanleiding geeft. Hebt u bijvoorbeeld ten onrechte niet in uw systeem opgenomen dat de betrokkene is vrijgesproken van een bepaald ten laste gelegd strafbaar feit, dan is er eerder aanleiding om ook derden op te sporen aan wie in een ver verleden onjuiste gegevens zijn verstrekt. U hoeft de mededeling aan derden niet te doen als het voor u: • onmogelijk is om die derden op te sporen, bijvoorbeeld als u niet meer beschikt over de daarvoor benodigde informatie; of • u daartoe een onevenredige inspanning zou moeten leveren. Of de inspanning onevenredig is, moet worden vastgesteld door een afweging van uw belangen tegen die van de betrokkene. U kunt hierbij denken aan een

G E G E V E N S

37

onmogelijk of een onevenredige inspanning

HOOFDSTUK

4

verkeerd gespelde naam in een landelijk verspreid telefoonboek. In een dergelijke situatie kan van u als uitgever van dat telefoonboek moeilijk worden gevraagd om iedereen die het telefoonboek heeft ontvangen van de wijziging op de hoogte te stellen. Desgevraagd moet u de betrokkene berichten aan welke derden u de wijziging hebt meegedeeld.

4.6 Hoe moet ik mijn gegevensverwerking beveiligen? De Wbp verplicht u om uw gegevensverwerking te beveiligen. technische en organisatorische maatregelen

U moet passende technische en organisatorische maatregelen nemen om het verlies van gegevens of onrechtmatige verwerking tegen te gaan. Organisatorische maatregelen kunnen bijvoorbeeld inhouden dat maar een beperkt aantal personen toegang heeft tot uw computersysteem.

passend beveiligingsniveau

De (technische en organisatorische) maatregelen die u neemt, moeten een passend beveiligingsniveau garanderen. Passende beveiliging betekent dat u in uw keuze voor de methode van beveiliging de volgende elementen moet meewegen: • De risico’s van de verwerking en de aard van de te beschermen gegevens. Hoe gevoeliger de gegevens, hoe zwaarder de toegepaste beveiliging moet zijn. Zijn de gegevens minder gevoelig, dan hoeft u niet steeds de zwaarst mogelijke beveiligingsmaatregelen nemen. • U moet rekening houden met de stand van de techniek en de kosten van de maatregelen. Als de kosten van extra maatregelen uitzonderlijk hoog zijn ten opzichte van de toename in beveiligingsniveau, dan zijn die maatregelen niet passend en hoeft u ze dus niet te nemen. Kunt u echter tegen geringe kosten komen tot een beduidend veiliger systeem, dan moet u deze maatregelen zeker nemen.

onnodige verwerking voorkomen

De (technische en organisatorische) maatregelen moeten er mede op gericht zijn onnodige verzameling of verdere verwerking te voorkomen. Bij dit laatste kunt u denken aan het gebruik van bijvoorbeeld versleuteling van persoonsgegevens.

steeds adequaat

De beveiliging moet steeds adequaat zijn. Dat betekent ook dat u periodiek moet nagaan of uw systeem aanpassing behoeft, bijvoorbeeld door technologische ontwikkelingen. De Wbp bevat geen concrete normen voor de beveiliging. In de praktijk zijn standaarden voor beveiligingen ontwikkeld. U kunt deze bijvoorbeeld vinden

38


W E T


P E R S O O N S

W E T



via brancheorganisaties. De adressen van een aantal brancheorganisaties vindt u in de bijlage bij deze handleiding. U moet bij uw keuze in beveiliging wel steeds nagaan of uw beveiliging voldoet aan de algemene normen van de Wbp en dus of deze passend en adequaat is. Het College bescherming persoonsgegevens houdt toezicht op de naleving van de Wbp en dus ook op de vraag of u uw gegevensverwerking adequaat hebt beveiligd. Wanneer u een bewerker inschakelt, moet u ervoor zorgen dat deze eveneens passende beveiligingsmaatregelen neemt. Zie daarvoor hoofdstuk 5.

4.7 De betrokkene heeft het recht van verzet: wat moet ik doen? De betrokkene kan in een aantal gevallen bezwaar maken tegen een gegevensverwerking. De Wbp noemt dit het recht van verzet. De betrokkene heeft het recht van verzet als het verwerken van zijn persoonsgegevens plaatsvindt op de grondslag dat de verwerking: • noodzakelijk is voor de goede vervulling van een door u of door een ander bestuursorgaan verrichte publiekrechtelijke taak; of • noodzakelijk is voor een gerechtvaardigd belang van u (de verantwoordelijke) of een derde. De betrokkene kan tegen een verwerking op basis van deze grondslagen verzet aantekenen in verband met zijn bijzondere persoonlijke omstandigheden. U moet als verantwoordelijke (of bestuursorgaan) binnen vier weken na ontvangst van het verzet beoordelen of het verzet terecht is. Is dat het geval, dan moet u de verwerking onmiddellijk beëindigen. De betrokkene heeft ook een recht van verzet als het verwerken van zijn persoonsgegevens geschiedt voor: • Direct marketingdoeleinden. In dit geval moet u de desbetreffende verwerking altijd onmiddellijk beëindigen. Zie verder paragraaf 8.1.3. U kunt voor het in behandeling nemen van het verzet een vergoeding vragen die niet hoger mag zijn dan een door de regering vast te stellen bedrag. U moet de vergoeding teruggeven als het verzet gegrond is. De betrokkene kan zich niet verzetten tegen de verwerking van zijn gegevens in een openbaar register dat bij de wet is ingesteld, zoals het kadaster. In sommige specifieke wetten is een aparte vergoedingsregeling opgenomen, die mogelijk voorrang heeft op de regeling in de Wbp.

G E G E V E N S

39

recht van verzet

HOOFDSTUK

4

4.8 Hoe lang mag ik persoonsgegevens bewaren? bewaren nog noodzakelijk?

U mag persoonsgegevens niet langer bewaren dan noodzakelijk is voor het doel waarvoor u de gegevens verzamelt of (verder) verwerkt. Hoelang u uw gegevens feitelijk mag bewaren, hangt af van het doel waarvoor u de gegevens hebt verzameld en verder verwerkt. Dit kan per situatie verschillen: er is niet een vaste bewaartermijn. U moet zich steeds afvragen of het voor uw doel nog noodzakelijk is de gegevens te bewaren. Soms kan het echter juist noodzakelijk zijn om iemands naam te bewaren, om er voor te zorgen dat aan diegene bijvoorbeeld géén mailings meer worden verstuurd. Wat noodzakelijk is, kan in de publieke sector anders liggen dan in de private sector. Soms verplicht een wet u gegevens gedurende een bepaalde periode te bewaren. Als het voor uw doel niet meer noodzakelijk is de gegevens te bewaren, moet u de persoonsgegevens: • verwijderen; of bijvoorbeeld • alle identificerende kenmerken verwijderen. U mag persoonsgegevens langer bewaren als dat gebeurt voor historische, statistische of wetenschappelijke doeleinden. Het maakt daarbij niet uit of de gegevens oorspronkelijk zijn verzameld voor dat historische, wetenschappelijke of statistische doel. U kunt hierbij denken aan de situatie dat u de gegevens voor een heel ander doel hebt verzameld, maar ze daarna voor wetenschappelijk onderzoek aan een universiteit verstrekt. Die universiteit mag de persoonsgegevens dan langer bewaren, mits zij maatregelen neemt om ervoor te zorgen dat de gegevens ook uitsluitend voor het wetenschappelijke doel worden gebruikt. Voor specifieke, van de meldingsplicht vrijgestelde gegevensverwerkingen kan een maximale bewaartermijn in het Vrijstellingsbesluit zijn opgenomen. Ook in specifieke wetten kunnen maximale bewaartermijnen zijn opgenomen, zoals bijvoorbeeld voor medische dossiers.

4.9 Uitzonderingen In een aantal gevallen hoeft u niet aan sommige van de hiervoor beschreven verplichtingen te voldoen. Het gaat om: • de verplichting om gegevens niet verder te verwerken op een wijze die onverenigbaar is met het doel waarvoor u ze hebt verkregen (paragraaf 3.5); • uw informatie- en inzageverplichtingen (zie paragraaf 4.3 en 4.4; zie paragraaf 4.3 ook voor andere situaties waarin u niet hoeft te informeren); en • de verplichting om inlichtingen te verstrekken over vrijgestelde gegevensverwerkingen.

40


W E T


P E R S O O N S

W E T



U hoeft aan deze verplichtingen niet te voldoen als dat noodzakelijk is: • in het belang van de veiligheid van de staat; • ter voorkoming, opsporing en vervolging van strafbare feiten; • voor gewichtige economische en financiële belangen van de staat en andere openbare lichamen; • ter bescherming van de betrokkene of van de rechten en vrijheden van anderen; • voor het toezicht op de naleving van wettelijke voorschriften die zijn gesteld ten behoeve van opsporing en vervolging van strafbare feiten of ten behoeve van gewichtige economische en financiële belangen van de staat en andere openbare lichamen. Het moet voor de bescherming van deze belangen noodzakelijk zijn dat u bijvoorbeeld uw informatie- of inzageplichten niet nakomt. Als een verzoek om inzage bijvoorbeeld disproportionele administratieve lasten voor u mee zou brengen, mag u dat verzoek om weigeren ter bescherming van uw belang bij een goede bedrijfsvoering. Het enkele feit dat een verzoek om inzage administratieve lasten meebrengt, is echter op zichzelf niet voldoende grond om het verzoek te weigeren. Bij uw afweging of u deze plichten niet na kunt komen, moet u het belang van de betrokkene uitdrukkelijk meewegen. Ten slotte hoeft u als instelling of dienst voor wetenschappelijk onderzoek of statistiek niet aan de informatieverplichtingen te voldoen wanneer u de gegevens niet van de betrokkene hebt verkregen, mits u de nodige voorzieningen hebt getroffen om te verzekeren dat de persoonsgegevens uitsluitend voor statistische en wetenschappelijke doeleinden kunnen worden gebruikt. In die situatie mag u ook inzage in de gegevens weigeren.

G E G E V E N S

41

HOOFDSTUK

5

De bewerker 5.1 Inleiding U zult soms niet zelf uw persoonsgegevens verwerken, maar de feitelijke handelingen laten verrichten door een daarin gespecialiseerde organisatie: bijvoorbeeld een salarisadministratiebureau. De Wbp noemt degene die ten behoeve van de verantwoordelijke gegevens verwerkt de bewerker. Zie voor een bespreking van dat begrip paragraaf 2.7. De Wbp stelt eisen aan vorm en inhoud van de afspraken die u met de bewerker maakt. Ook legt de wet een aantal zelfstandige verplichtingen en beperkingen op aan de bewerker. In dit hoofdstuk wordt behandeld: • waar u rekening mee moet houden bij het inschakelen van een bewerker; en • aan welke regels u zich moet houden wanneer u zelf bewerker bent.

5.2 Hoe schakel ik een bewerker in en welke eisen stelt de wet aan de inschakeling van een bewerker? eisen aan keuze bewerker

Als u besluit om de feitelijke handelingen met betrekking tot een gegevensverwerking door een bewerker te laten verrichten, zult u daartoe met die bewerker een relatie aangaan. De Wbp stelt eisen aan uw keuze van een bewerker en aan de manier waarop u de relatie met die bewerker vastlegt: • u moet zich ervan vergewissen dat de bewerker die u kiest voldoende waarborgen biedt met betrekking tot de technische en organisatorische beveiliging; • u moet een overeenkomst met de bewerker sluiten of een andere regeling treffen waardoor afdwingbare verbintenissen ontstaan tussen u en de bewerker; • in de overeenkomst (of andere regeling) moet u als verantwoordelijke bedingen dat de bewerker de persoonsgegevens uitsluitend verwerkt in uw opdracht; • u moet ook bedingen dat de bewerker de beveiligingsverplichtingen nakomt die op u rusten op grond van de Wbp (zie over de inhoud van die beveiligingsverplichtingen paragraaf 4.6); en ten slotte • u moet als verantwoordelijke daadwerkelijk toezien op naleving van deze beveiligingsverplichtingen. Ook het recht daartoe zult u in de overeenkomst (of andere regeling) moeten bedingen. De Wbp eist dat u de onderdelen die betrekking hebben op de bescherming van persoonsgegevens en op de beveiligingsmaatregelen, schriftelijk vastlegt. Voor zover u onder de Wpr al één of meer overeenkomsten had met een bewerker, zult u moeten onderzoeken of die overeenkomsten moeten worden aangepast op grond van de bepalingen van de Wbp.

5.3 Welke verplichtingen legt de Wbp op aan de bewerker? verplichtingen van bewerker

Als u als bewerker gegevens verwerkt, hebt u, naast de in de vorige paragraaf omschreven eisen, ook te maken met verplichtingen en beperkingen die de

42


W E T


P E R S O O N S

W E T



Wbp direct aan de bewerker oplegt. Het gaat om de volgende verplichtingen en beperkingen. U mag persoonsgegevens alleen bewerken in opdracht van de verantwoordelijke. U kunt dus niet zelfstandig besluiten om over te gaan tot een bepaalde verwerking van de aan u toevertrouwde persoonsgegevens, tenzij u dat doet om aan een wettelijke plicht te voldoen. U bent, naast de verantwoordelijke, zelfstandig aansprakelijk voor de schade die iemand lijdt of het nadeel dat iemand ondervindt. U bent alleen aansprakelijk voor zover de schade het gevolg is van uw bewerkingshandelingen. Als u kunt bewijzen dat de schade niet aan u kan worden toegerekend, dan bent u niet aansprakelijk. U en degenen die onder uw gezag handelen, zijn (net als de verantwoordelijke) verplicht om persoonsgegevens waarvan zij kennisnemen, geheim te houden.

G E G E V E N S

43

HOOFDSTUK

6

Wat kan ik zelf regelen op grond van de Wbp? 6.1 Inleiding De Wbp geeft u als verantwoordelijke een aantal (extra) mogelijkheden om alleen of samen met anderen nadere invulling te geven aan uw gegevensverwerking en aan de regelgeving die daarop van toepassing is. Zo kunt u: • intern toezicht organiseren door een functionaris voor de gegevensverwerking te benoemen; en/of • zelfstandig of op brancheniveau een gedragscode tot stand brengen, waarin de wettelijke normen voor uw branche of sector nader worden geconcretiseerd.

6.2 De functionaris voor de gegevensbescherming 6.2.1 Wie is de functionaris voor de gegevensbescherming? De functionaris voor de gegevensbescherming is een interne toezichthouder. interne toezichthouder

De functionaris kan worden benoemd door: • u als verantwoordelijke; of • uw brancheorganisatie voor uw branche; of • een andere organisatie waarbij meerdere verantwoordelijken zijn aangesloten. Alleen een natuurlijk persoon kan functionaris zijn. Functioneert binnen uw organisatie een privacycommissie, dan kan slechts één van de leden (of iemand anders die aan de hierna te bespreken vereisten voldoet) de wettelijke taken en bevoegdheden van de functionaris op zich nemen. Een gevolg van het benoemen van een functionaris voor de gegevensbescherming is dat de verplichte melding van een gegevensverwerking kan plaatsvinden bij de functionaris in plaats van bij het College bescherming persoonsgegevens. Het benoemen van een functionaris voor de gegevensbescherming doet echter niets af aan de bevoegdheden van het College.

6.2.2 Hoe benoem ik een functionaris voor de gegevensbescherming? eisen aan functionaris

U mag alleen een persoon benoemen die: • over voldoende kennis beschikt; en • voldoende betrouwbaar is. Het gaat hier om kennis van de privacyregelgeving van uw organisatie of branche, en van de gegevensverwerkingen binnen die organisatie of branche. Hebt u een functionaris benoemd, dan kunt u hem wat betreft zijn taken als functionaris voor de gegevensbescherming geen aanwijzingen meer geven: hij moet zijn taken onafhankelijk en naar behoren kunnen uitoefenen.

44


W E T


P E R S O O N S

W E T



U moet hem daartoe in staat stellen door hem de benodigde bevoegdheden te

bevoegdheden

geven. Die (interne) bevoegdheden moeten gelijkwaardig zijn aan de bevoegdheden waarover de toezichthouders van onder andere het College bescherming persoonsgegevens beschikken. Het gaat dan bijvoorbeeld om de bevoegdheid: • ruimtes te betreden; • inlichtingen te vragen; en • inzage te vorderen in gegevens en stukken. De functionaris mag van de uitoefening van zijn taak geen nadeel ondervinden. U mag het “gewone” werk van de functionaris bijvoorbeeld niet slechter beoordelen dan het is, om zo invloed uit te oefenen op zijn functioneren als functionaris voor de gegevensbescherming. Naar het zich laat aanzien, krijgt de functionaris voor de gegevensbescherming ontslagbescherming die vergelijkbaar is met die van bijvoorbeeld een ondernemingsraadslid. Het desbetreffende wetsvoorstel was bij het ter perse gaan deze handleiding nog in behandeling in het parlement. U moet ten slotte het benoemen van een functionaris voor de gegevensbescherming aanmelden bij het College bescherming persoonsgegevens. Het College houdt een lijst bij van aangemelde functionarissen. Betrokkenen kunnen aan de hand daarvan nagaan of op een bepaalde gegevensverwerking toezicht wordt gehouden door een functionaris.

6.2.3 Wat zijn de taken en bevoegdheden van de functionaris voor de gegevensbescherming? De functionaris heeft een aantal taken en bevoegdheden. De functionaris moet er op toezien dat u persoonsgegevens verwerkt in

toezien op naleving

overeenstemming met de wettelijke regels. Zijn toezicht beperkt zich uiteraard tot uw verwerking van persoonsgegevens. Is hij aangesteld door een organisatie van verantwoordelijken, dan beperkt het toezicht zich tot de verwerkingen van de aangesloten verantwoordelijken. Het ligt voor de hand dat betrokkenen zich tot de functionaris zullen wenden met klachten of verzoeken. De functionaris is verplicht tot geheimhouding van alles wat hem in dat verband bekend wordt, tenzij de betrokkene instemt met bekendmaking. De functionaris moet uw melding in ontvangst nemen en een register bijhouden van de gegevensverwerkingen die bij hem zijn gemeld. Is een gegevensverwerking van melding vrijgesteld, dan hoeft u die verwerking uiteraard ook niet bij de functionaris te melden.

G E G E V E N S

45

melding

HOOFDSTUK

6

verslag

De functionaris moet ten slotte ieder jaar een verslag opstellen van zijn werkzaamheden en bevindingen. In dat verslag, maar ook daarbuiten, kan hij aanbevelingen doen om te komen tot een betere bescherming van de gegevens die worden verwerkt. Uiteraard kan de functionaris desgewenst overleggen met het College bescherming persoonsgegevens.

6.3 Is zelfregulering door mijn sector mogelijk? gedragscode

Een organisatie of groep van organisaties, bijvoorbeeld uw brancheorganisatie, kan ook een gedragscode vaststellen. De gedragscode kan betrekking hebben op één of meerdere sectoren. In een gedragscode kunnen de bepalingen van de Wbp voor een sector worden geconcretiseerd en nader uitgewerkt. Ook kan in de code een regeling voor de beslechting van geschillen worden opgenomen.

verklaring CBP

Voordat u een gedragscode vaststelt, kunt u het College bescherming persoonsgegevens verzoeken de (concept)code te bekijken en daar een verklaring over af te geven. Dit verzoek kunt u ook doen als u een reeds bestaande gedragscode wijzigt of verlengt. Het College neemt het verzoek alleen in behandeling als het de verzoeker of verzoekers voldoende representatief acht én de betrokken sector of sectoren in de code voldoende nauwkeurig zijn omschreven. Het College bekijkt of de (concept)code gelet op de bijzondere kenmerken van uw sector een juiste uitwerking vormt van de Wbp of van andere wettelijke bepalingen over het verwerken van persoonsgegevens. Als in de code een regeling voor de beslechting van geschillen is opgenomen, keurt het College de code alleen goed als die regeling voldoende waarborgen bevat voor de onafhankelijkheid van de geschillenbeslechter. Het College geeft een verklaring af over de gedragscode en publiceert die mét de desbetreffende gedragscode in de Staatscourant. De regering kan eventueel nadere regels voor een sector vaststellen.

46


W E T


P E R S O O N S

HOOFDSTUK

7

W E T



Mag ik bijzondere persoonsgegevens verwerken? 7.1 Inleiding De aard van sommige persoonsgegevens brengt mee dat de verwerking ervan een grote inbreuk kan vormen op de persoonlijke levenssfeer van de betrokkene, omdat die gegevens gevoelige informatie over iemand verschaffen. De Wbp noemt deze gegevens bijzondere persoonsgegevens. Voor de verwerking van bijzondere persoonsgegevens geldt een strenger regime dan voor gewone persoonsgegevens. In paragraaf 7.2 wordt uitgelegd welke gegevens bijzondere persoonsgegevens zijn. In paragraaf 7.3 worden de regels voor de verwerking van die gegevens toegelicht.

7.2 Wat zijn bijzondere persoonsgegevens? Bijzondere persoonsgegevens zijn alle persoonsgegevens die informatie

bijzondere persoonsgegevens

verschaffen over iemands: • godsdienst of levensovertuiging; • ras; • politieke gezindheid; • gezondheid; • seksuele leven; en • lidmaatschap van een vakvereniging. Verder zijn bijzondere persoonsgegevens: • strafrechtelijke persoonsgegevens; en • persoonsgegevens over onrechtmatig of hinderlijk handelen waarvoor een verbod is opgelegd (bijvoorbeeld een straatverbod). Een voorbeeld van strafrechtelijke gegevens zijn gegevens over veroordelingen, maar ook gegevens over een verdenking door Justitie van een strafbaar feit. Gegevens over iemands gezondheid omvatten uiteraard medische gegevens, maar meer in het algemeen gaat het om alle gegevens over de geestelijke of lichamelijke gezondheid van een persoon.

7.3 Wanneer is het verboden bijzondere persoonsgegevens te verwerken en wanneer niet? Het uitgangspunt van de Wbp is dat u bijzondere persoonsgegevens niet mag verwerken. De Wbp kent een aantal algemene en een aantal specifieke uitzonderingen op dit verbod. Ook als het verbod op de verwerking van bijzondere gegevens op uw verwerking niet van toepassing is, moet u voor het overige wel voldoen aan de regels van de Wbp en aan andere toepasselijke regelgeving. Dat betekent bijvoorbeeld dat u ook voor het verzamelen van bijzondere gegevens een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel moet hebben en dat u deze gegevens moet beveiligen. Als u het verbod op het verwerken

G E G E V E N S

47

verbod op verwerken, tenzij

HOOFDSTUK

7

van bijzonder persoonsgegevens niet met behulp van één van de specifieke uitzonderingen kunt opheffen, is wellicht één van de algemene uitzonderingen van toepassing. De algemene uitzonderingen in de Wbp zijn dus eigenlijk een soort restbepalingen. Daarom worden in de navolgende subparagrafen eerst de specifieke uitzonderingen besproken en daarna de algemene. In deze handleiding wordt niet ingegaan op persoonsgegevens over iemands politieke gezindheid of over iemands lidmaatschap van een vakbond, noch op strafrechtelijke persoonsgegevens.

7.3.1 Persoonsgegevens over iemands godsdienst of levensovertuiging godsdienst of levensovertuiging

Het verbod op het verwerken van gegevens over iemands godsdienst of levensovertuiging geldt, kort gezegd, niet voor: • kerkgenootschappen of genootschappen op geestelijke grondslag; of • andere instellingen op godsdienstige of levensbeschouwelijke grondslag. Voorbeelden van dergelijke andere instellingen zijn een verzorgingstehuis op islamitische grondslag en een katholieke universiteit. De genootschappen en instellingen mogen gegevens verwerken over bijvoorbeeld de godsdienst van hun medewerkers of patiënten, mits uiteraard aan de algemene eisen voor gegevensverwerking van de Wbp is voldaan. Zo mag het verzorgingstehuis gegevens over de godsdienst van zijn patiënten verzamelen om hen adequate geestelijke verzorging te kunnen geven. Kerkelijke of andere geestelijke genootschappen mogen ook gegevens verwerken over de godsdienst of levensovertuiging van gezinsleden van hun eigen leden, mits het genootschap regelmatig, bijvoorbeeld eens per jaar, contact heeft met het gezinslid. U mag de gegevens over iemands godsdienst of levensovertuiging nooit aan derden verstrekken zonder de toestemming van de betrokkene.

7.3.2 Persoonsgegevens over iemands ras ras

Alleen in heel uitzonderlijke gevallen mag u gegevens over iemands ras verwerken. Dat is eigenlijk alleen toegestaan als u dat doet voor: • identificatiedoeleinden; of • in het kader van een voorkeursbeleid. In dat laatste geval moet aan aanvullende voorwaarden zijn voldaan, bijvoorbeeld dat de betrokkene daar geen schriftelijk bezwaar tegen heeft gemaakt. Een voorbeeld van het verwerken van gegevens voor identificatiedoeleinden is een systeem van toegangspasjes met foto’s van uw werknemers. Uit de foto kan onder omstandigheden het ras van de desbetreffende werknemer worden afgeleid. Deze verwerking is toegestaan als pasjes met foto voor de identificatie

48


W E T


P E R S O O N S

W E T



van uw werknemers onvermijdelijk is, bijvoorbeeld omdat de omvang of de openbare toegankelijkheid van uw bedrijf meebrengt dat identificatie met behulp van een foto nodig is. Dit betekent echter niet dat u nooit foto’s van uw werknemers in bijvoorbeeld een zogenoemd “smoelenboek” mag verwerken. Als u uitdrukkelijk de toestemming van uw werknemers hebt verkregen mag u deze gegevens wel verwerken (zie paragraaf 7.3.4).

7.3.3 Persoonsgegevens over iemands gezondheid Gegevens over iemands gezondheid omvatten, als vermeld, alle gegevens die de geestelijke of lichamelijke gezondheid van een persoon betreffen. Daar valt bijvoorbeeld ook het gegeven onder dat één van uw werknemers een hartkwaal heeft. U mag deze gegevens in ieder geval verwerken als u tot de in de Wbp omschreven groepen behoort. U mag deze gegevens ook verwerken als u bijvoorbeeld uitdrukkelijke toestemming van de betrokkene hebt. Deze mogelijkheid is met name relevant voor werkgevers die maatregelen willen nemen voor hun “zieke” werknemers. Zie ook de hierna omschreven algemene uitzonderingen. Als vermeld, noemt de Wbp een aantal groepen van verantwoordelijken die, onder bepaalde voorwaarden, in ieder geval gegevens over iemands gezondheid mogen verwerken. De Wbp beperkt wel de doeleinden waarvoor die groepen gezondheidsgegevens mogen verwerken. Het betreft onder meer: • ziekenhuizen; • instellingen voor maatschappelijke dienstverlening; • verzekeraars; • speciale scholen; • reclasseringsinstellingen; • de raad voor de kinderbescherming; • (gezins-)voogdij instellingen; en • bestuursorganen en uitvoeringsinstellingen die bepaalde sociale zekerheidswetten uitvoeren. In de Wbp is een aparte bepaling opgenomen over het verwerken van gegevens over erfelijke eigenschappen. Deze gegevens mogen alleen worden verwerkt ten aanzien van de persoon bij wie deze zijn verkregen. Als een persoon erfelijkheidsgegevens over zichzelf verstrekt aan een verzekeraar voor het afsluiten van een levensverzekering, mogen deze erfelijkheidsgegevens alleen met betrekking tot hemzelf worden gebruikt en niet met betrekking tot familieleden op wie die gegevens noodzakelijkerwijs ook betrekking hebben. De Wbp vereist dat op degene die de persoonsgegevens verwerkt, een geheimhoudingsplicht rust. Voor zover die geheimhoudingsplicht niet reeds geldt uit hoofde van ambt, beroep of wettelijk voorschrift, legt de Wbp deze plicht op. Houdt u er rekening mee dat voor de vraag of u gegevens over iemands gezondheid mag verwerken, niet alleen de Wbp van belang is. Ook andere regelgeving kan van toepassing zijn, zoals bijvoorbeeld afdeling 7.5 van

G E G E V E N S

49

gezondheidsgegevens

HOOFDSTUK

7

boek 7 van het Burgerlijk Wetboek (de overeenkomst inzake geneeskundige behandeling) en de Wet op de medische keuringen.

7.3.4 Algemene uitzonderingen: restbepalingen algemene uitzonderingen

Ook als het verbod op het verwerken van bijzondere gegevens niet via één van de specifieke uitzonderingen kan worden opgeheven (bijvoorbeeld omdat u niet tot de verantwoordelijken behoort die gegevens over de gezondheid mogen verwerken), is het mogelijk dat u deze gegevens toch mag verwerken. Dit zijn de algemene uitzonderingen. U mag bijzondere persoonsgegevens wel verwerken als bijvoorbeeld:

uitdrukkelijke toestemming

• De betrokkene uitdrukkelijk toestemming heeft gegeven. Uitdrukkelijke toestemming betekent dat de betrokkene expliciet zijn wil moet hebben geuit. Dat is dus (nog) sterker dan de ondubbelzinnige toestemming als omschreven in paragraaf 3.4.2.

zelf openbaar

• De betrokkene de gegevens zelf al duidelijk openbaar heeft gemaakt. In dat geval zal de intentie van de betrokkene om openbaar te maken, duidelijk moeten zijn. Wanneer iemand zich bijvoorbeeld verkiesbaar stelt voor een politieke functie, zal hij met politieke opvattingen naar buiten treden. Dit zijn bijzondere persoonsgegevens, namelijk over iemand politieke gezindheid, maar onder deze omstandigheden mag u die gegevens wel verwerken.

gerechtelijke procedure

• Als de verwerking noodzakelijk is voor het vaststellen, het uitoefenen of het verdedigen van een recht in een gerechtelijke procedure. Zo kan het zijn dat u in een gerechtelijke procedure bepaalde gegevens over uw wederpartij moet verwerken om uw eigen positie te kunnen verdedigen. Het verbod op het verwerken van bijzondere persoonsgegevens is evenmin van toepassing als het verwerken geschiedt voor wetenschappelijk onderzoek of statistiek, mits u en uw onderzoek aan een aantal vereisten van de Wbp voldoen.

50


W E T


P E R S O O N S

HOOFDSTUK

8

W E T



Specifieke vormen van gegevensverwerking 8.1 Direct marketing 8.1.1 Wat is direct marketing? Het is voor aanbieders van producten en diensten van belang om een directe relatie te kunnen onderhouden met bestaande klanten en om nieuwe klanten te kunnen verwerven. Hetzelfde geldt voor liefdadigheidsinstellingen ten opzichte van bestaande en nieuwe donateurs. Het onderhouden van een directe relatie met de betrokkene voor

direct marketing

commerciële of charitatieve doelen wordt direct marketing genoemd. Het gaat dan niet alleen om mailings aan de betrokkenen, maar ook om het maken van profielen om bijvoorbeeld de betrokkene direct te benaderen voor commerciële doeleinden. U kunt direct marketing op verschillende manieren bedrijven: • u kunt uw klanten of donateurs benaderen door gebruik te maken van gegevens in uw eigen klantenbestand; • u kunt gebruik maken van persoonsgegevens die een andere onderneming aan u verstrekt, om zelf een boodschap toe te zenden aan de personen die in dit bestand voorkomen; en • u kunt aan een andere onderneming die over een adressenbestand beschikt verzoeken om namens u een boodschap te zenden aan de in dat bestand opgenomen personen. In dit hoofdstuk komt aan de orde in hoeverre u persoonsgegevens mag verwerken voor direct marketingdoeleinden en welke bijzondere eisen de Wbp op dit punt stelt.

8.1.2 Mag ik direct marketing bedrijven? Of het is toegestaan om persoonsgegevens voor direct marketingdoeleinden te verwerken moet worden beoordeeld aan de hand van de algemene regels over rechtmatige verwerking van persoonsgegevens. Dit betekent onder meer dat de wijze van verwerking voor direct marketingdoeleinden niet onverenigbaar mag zijn met het doel waarvoor u de gegevens hebt verkregen (zie paragraaf 3.5). U moet steeds kijken naar de specifieke omstandigheden van het geval. Met name de mate van verwantschap tussen het doel waarvoor u de gegevens hebt verkregen en uw concrete direct marketingdoel zijn van belang. • Als u de gegevens voor een bepaald direct marketingdoel hebt verkregen, dan is verdere verwerking voor dat doel uiteraard niet onverenigbaar.

G E G E V E N S

51

algemene regels van toepassing

HOOFDSTUK

8

• Minder eenvoudig ligt het als u de persoonsgegevens voor een ander doel hebt verkregen. Het verwerken van gegevens voor de direct marketing van producten of diensten die verband houden met eerder geleverde producten of diensten, zal vaak niet onverenigbaar zijn. Dat kan anders worden als het gaat om heel andere producten of diensten dan in uw bedrijf of branche gebruikelijk zijn. • Ook is minder snel van verenigbaar gebruik sprake als de verdere verwerking bestaat uit de verstrekking van persoonsgegevens voor direct marketingdoeleinden aan een derde. Ook speelt een belangrijke rol of een selectie wordt gemaakt van de te verwerken gegevens en zo ja, op basis waarvan dat gebeurt. Wanneer een bank aan alle klanten met een betaalrekening informatie toezendt over spaarrekeningen is de desbetreffende verwerking niet onverenigbaar. Verstrekt een ziektekostenverzekeraar aan een leverancier van protheses persoonsgegevens die zijn geselecteerd op basis van gegevens in door de verzekerde ter vergoeding ingediende declaraties, dan is die wijze van verwerking onverenigbaar. Hebt u vastgesteld dat de voorgenomen wijze van verwerking voor direct marketingdoeleinden verenigbaar is met het doel waarvoor u de gegevens hebt verkregen, dan moet u de verwerking uiteraard wel kunnen baseren op één van de in paragraaf 3.4 beschreven grondslagen. Dikwijls is direct marketing noodzakelijk voor uw gerechtvaardigde belang bij een gezonde bedrijfsvoering en zal een afweging van dat belang tegen het privacybelang van de betrokkene in uw voordeel uitvallen. Indien u daarover echter twijfelt, kunt u beter ondubbelzinnige toestemming aan de betrokkene vragen voor de voorgenomen verwerking.

8.1.3 Wat is verzet en wat moet ik doen in geval van verzet? recht van verzet

De Wbp bepaalt dat betrokkenen bezwaar kunnen maken tegen gebruik van hun gegevens voor direct marketingdoeleinden. De wet noemt dat bezwaar verzet. Dit recht van verzet wijkt iets af van het eerder in paragraaf 4.7 omschreven recht van verzet.

betrokkene wijzen op

U moet de betrokkene wijzen op het recht van verzet:

recht van verzet • Als u zelf gegevens verwerkt voor direct marketing en direct marketingboodschappen verstuurt: in iedere boodschap (bijvoorbeeld door een adres, telefoonnummer of e-mail adres te vermelden waar men bezwaar kan maken).

52


W E T


P E R S O O N S

W E T



• Als u persoonsgegevens die u zelf hebt verkregen aan een derde verstrekt

algemene bekendmaking

voor direct marketingdoeleinden of als u persoonsgegevens gebruikt voor rekening van derden voor direct marketingdoeleinden: door middel van een algemene bekendmaking. Een algemene bekendmaking is bijvoorbeeld de plaatsing van een advertentie in dag-, nieuws-, of huis-aan-huisbladen. Verstrekt u regelmatig persoonsgegevens aan een derde of gebruikt u regelmatig persoonsgegevens ten behoeve en voor rekening van derden, dan moet u eens per jaar een algemene bekendmaking publiceren. Die bekendmaking kan ook gebeuren in de vorm van een advertentie van een brancheorganisatie, waarin de individuele verantwoordelijken in een lijst zijn opgesomd. Zodra iemand bij u verzet aantekent tegen gebruik van zijn of haar gegevens

onmiddellijk beeïndigen

voor direct marketingdoeleinden, moet u dat gebruik onmiddellijk beëindigen. Verzet betekent echter niet altijd dat u de gegevens van de betrokkene helemaal niet meer mag gebruiken: alleen het gebruik voor direct marketingdoeleinden mag dan niet meer. Als bijvoorbeeld een weekbladabonnee verzet aantekent, kan de uitgever de gegevens van de betrokkene uiteraard blijven gebruiken om het blad toe te sturen en om het abonnementsgeld in rekening te brengen. Reclame toezenden voor andere publicaties is echter niet meer toegestaan. De betrokkene hoeft geen reden op te geven voor het bezwaar. Het verzet is kosteloos: dit betekent dat u voor de beëindiging van de verwerking voor direct marketingdoeleinden geen vergoeding mag vragen.

8.1.4 Gelden de direct marketingbepalingen van de Wbp voor elk direct contact? Het komt veel voor dat communicatie tussen leverancier en afnemer

direct marketingbepalingen

weliswaar een commerciële boodschap bevat, maar daar niet primair op is

niet van toepassing

gericht. De direct marketingbepalingen zijn niet van toepassing op die gevallen. U kunt daarbij denken aan bankafschriften waarop niet alleen saldo en bij- en afboekingen staan vermeld, maar waarop tevens wordt gewezen op een nieuwe spaarvorm. In dit voorbeeld is de communicatie niet primair gericht op de commerciële boodschap, maar is die boodschap meer secundair. Een ander voorbeeld is het voegen van een folder bij een krant door de uitgever van de krant. In dergelijke gevallen zijn de specifieke bepalingen met betrekking tot direct marketing niet van toepassing. Concreet betekent dit dat als een klant zich heeft verzet tegen verwerking van zijn persoonsgegevens voor direct marketingdoeleinden, u de mededeling op het bankafschrift of het bijvoegen van de folder niet achterwege hoeft te laten. Ook hoeft u daarbij niet te wijzen op de mogelijkheid van verzet.

G E G E V E N S

53

HOOFDSTUK

8

Deze uitzondering geldt niet als niet iedereen de boodschap krijgt, of niet iedereen dezelfde boodschap. Maakt u een bepaalde selectie om te bepalen wie welke boodschap krijgt, dan moet u weer wel rekening houden met eventueel verzet van betrokkenen. Zendt u een boodschap toe op basis van een selectie, dan zult u in die boodschap ook moeten wijzen op de mogelijkheid van verzet. telefoongesprekken

Een bijzonder geval is verder het onderhouden van een directe relatie door middel van telefoongesprekken. Indien een betrokkene zich heeft verzet tegen verwerking van zijn persoonsgegevens voor direct marketingdoeleinden, mag u diegene voor die doeleinden ook niet bellen. U hoeft echter niet in ieder commercieel gesprek dat u met een (potentiële) klant of donateur voert, te wijzen op de mogelijkheid van verzet. De betrokkene kan zich in het telefoongesprek uiteraard wel op eigen initiatief verzetten tegen het gebruik van zijn gegevens voor direct marketingdoeleinden. De branchevereniging van direct marketeers (DMSA) heeft een algemeen telefoonnummer waar betrokkenen kunnen aangeven dat zij telefonisch niet willen worden benaderd voor direct marketingdoeleinden.

8.2 Gegevensverkeer met het buitenland 8.2.1 Inleiding Door de globalisering van de economie en door de toegenomen technische mogelijkheden vindt steeds meer grensoverschrijdend verkeer van gegevens plaats. Dat geeft allerlei nieuwe mogelijkheden, maar kan ook nadelig zijn voor de persoonlijke levenssfeer van betrokkenen. De Wbp bevat enkele bepalingen over de doorgifte van persoonsgegevens naar het buitenland. In deze paragraaf komt aan de orde wat die bepalingen voor u betekenen.

8.2.2 Mag ik gegevens doorgeven naar andere landen binnen de Europese Unie? gegevensverkeer binnen de EU

De Wbp kent geen aparte bepalingen over gegevensverkeer binnen de Europese Unie. Dat is niet vreemd. De Wbp is namelijk totstandgekomen naar aanleiding van een Europese richtlijn. Die richtlijn had tot doel vrij verkeer van persoonsgegevens binnen de Europese Unie mogelijk te maken. Om dat doel te kunnen verwezenlijken, moest in alle lidstaten een goed en hoog niveau van bescherming van persoonsgegevens tot stand worden gebracht. Als alle lidstaten hun wetgeving hebben aangepast aan de richtlijn, is de Europese Unie voor wat de bescherming van persoonsgegevens betreft één rechtsgebied. Concreet betekent dit dat u persoonsgegevens naar een andere lidstaat mag doorgeven zonder dat u aan speciale vereisten hoeft te voldoen. Uiteraard moet uw verwerking, net als een niet-grensoverschrijdende verwerking, wel voldoen aan de algemene vereisten van de Wbp. Zie daarvoor de voorgaande hoofdstukken. Voldoet u aan die eisen, dan staat niets aan doorgifte in de weg.

54


W E T


P E R S O O N S

W E T



Als de doorgegeven gegevens vervolgens door een plaatselijke vestiging van uw bedrijf in dat andere land, bijvoorbeeld Frankrijk, verder worden verwerkt, moet die verdere verwerking in Frankrijk wel voldoen aan de Franse privacyregels.

8.2.3 Mag ik gegevens doorgeven naar landen buiten de Europese Unie? De Wbp kent wel enkele specifieke bepalingen over gegevensverkeer met

gegevensverkeer buiten de EU

landen buiten de Europese Unie. U mag gegevens naar een dergelijk land in beginsel alleen doorgeven als dat land een passend niveau van privacybescherming waarborgt. U moet als verantwoordelijke zelf beoordelen of het desbetreffende land

passend beschermingsniveau

buiten de Europese Unie een passend beschermingsniveau biedt. U moet daarvoor eerst nagaan of de minister van Justitie bijvoorbeeld heeft bepaald dat een bepaald land buiten de Europese Unie een passend beschermingsniveau heeft. Dan is doorgifte immers toegestaan. Als de minister (nog) niets heeft bepaald, kunt u afgaan op een eventueel oordeel van de Europese Commissie over het beschermingsniveau in een bepaald land. Bij het ter perse gaan van deze handleiding had de Europese Commissie bepaald dat Canada, Zwitserland en Hongarije een passend beschermingsniveau waarborgen. Hetzelfde geldt voor de Verenigde Staten, maar alleen voorzover de ontvanger van de gegevens zich heeft verplicht tot het naleven van de zogenoemde Safe Harbor Principles. Meer informatie over de Safe Harbor Principles en een up-to-date lijst van landen die volgens de minister of de Europese Commissie een passend beschermingsniveau waarborgen, kunt u vinden via de website van het College bescherming persoonsgegevens. Heeft noch de minister, noch de Europese Commissie een oordeel gegeven, dan moet u nagaan of het land waarnaar u gegevens wilt doorgeven een passend beschermingsniveau biedt aan de hand van (onder meer) de volgende elementen: • de aard van de gegevens; • het doel of de doeleinden van de voorgenomen verwerking; • de duur van de voorgenomen verwerking; • de algemene en sectorale rechtsregels die in het betrokken land gelden; en • de veiligheidsmaatregelen die in dat land worden nageleefd. Komt u tot de conclusie dat een land geen passend niveau van privacybescherming waarborgt, dan kunt u in bepaalde gevallen toch persoonsgegevens doorgeven.

G E G E V E N S

55

uitzonderingen

HOOFDSTUK

8

Dat kan: • Als de betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven. Die toestemming moet wel van toepassing zijn op op doorgifte naar het betrokken land. Krijgt u van de betrokkene bijvoorbeeld ondubbelzinnige toestemming voor verwerking van zijn persoonsgegevens voor direct marketingdoeleinden, dan houdt dat nog geen toestemming in voor doorgifte van die gegevens naar een land dat geen passend beschermingsniveau waarborgt. •

Als de doorgifte noodzakelijk is in het kader van een overeenkomst tussen u en de betrokkene.

Als iemand bijvoorbeeld bij een bedrijf in een ander land een product bestelt, zullen de persoonsgegevens van de betrokkene naar het desbetreffende land moeten worden doorgegeven om die bestelling te kunnen uitvoeren. Daarvoor is dan geen afzonderlijke, ondubbelzinnige toestemming nodig. • Wanneer de doorgifte geschiedt vanuit een openbaar register dat bij wettelijk voorschrift is ingesteld. Daarbij kan bijvoorbeeld worden gedacht aan het handelsregister. De Wbp kent nog enkele andere uitzonderingen op het verbod van doorgifte naar een land dat geen passend niveau van privacybescherming waarborgt. Juist omdat het hier uitzonderingen op een verbod betreft, moet u steeds zorgvuldig nagaan of uw voorgenomen verwerking onder een of meer van de uitzonderingen valt. vergunning

Waarborgt het land waarnaar u persoonsgegevens wilt doorgeven geen passend beschermingsniveau én kunt of wilt u geen gebruik maken van de hiervoor genoemde uitzonderingen, dan kunt u een vergunning voor de doorgifte aanvragen. Een dergelijke vergunning wordt verleend door de minister van Justitie, na advies van het College bescherming persoonsgegevens. De minister zal de vergunning verlenen als hij van mening is dat de verantwoordelijke voldoende waarborgen biedt voor de bescherming van de persoonlijke levenssfeer van betrokkenen. Aan de vergunning kunnen op dat punt ook nadere voorschriften worden verbonden. De bedoelde waarborgen kunnen onder meer worden geboden door middel van specifieke bepalingen in het contract tussen en de ontvanger van de gegevens. De Europese Commissie heeft daarvoor modelbepalingen vastgesteld. Deze bepalingen zijn te vinden via de website van het College bescherming persoonsgegevens. Als u deze bepalingen gebruikt, staat daarmee vast dat u voldoende waarborgen biedt voor de bescherming van de persoonlijke levenssfeer van betrokkenen. Niettemin zult u een vergunning moeten aanvragen. Die zal in dat geval wel relatief spoedig worden verleend.

56


W E T


P E R S O O N S

W E T



Het aanvraagformulier voor een vergunning is te vinden op de website van het College bescherming persoonsgegevens. Ten slotte nog een algemene opmerking: ook al geeft u gegevens door naar het buitenland, die doorgifte is steeds een verwerking die valt onder de Wbp. De doorgifte moet dus steeds voldoen aan de vereisten van de Wbp. Dit betekent onder meer dat de doorgifte niet onverenigbaar mag zijn met de doeleinden waarvoor u de gegevens hebt verzameld, en dat u de doorgifte moet kunnen baseren op één of meer van de in de Wbp genoemde grondslagen.

G E G E V E N S

57

voldoen aan Wbp

HOOFDSTUK

9

Wat kan er gebeuren als ik niet aan alle eisen van de Wbp voldoe? 9.1 Inleiding Op het moment dat u de Wbp of de daarop gebaseerde regelingen niet naleeft, kunt u met een aantal acties worden geconfronteerd: • Een burger kan stappen ondernemen. • Het openbaar ministerie kan u eventueel vervolgen. • Het College bescherming persoonsgegevens kan actie ondernemen. Iedereen die schade lijdt doordat u in strijd handelt met de Wbp of de daarop gebaseerde regelingen, kan deze schade op u verhalen. Ook kan de rechter u een verbod of gebod opleggen. Belanghebbenden kunnen daarnaast opkomen tegen een aantal specifieke, door u genomen beslissingen. Daarbij maakt de Wbp onderscheid tussen de situatie dat u, als verantwoordelijke, een bestuursorgaan bent en de situatie dat dat niet het geval is. Overtreding van sommige normen van de Wbp is strafbaar gesteld. Het openbaar ministerie kan u vervolgen voor de overtreding van die normen. Ten slotte kan het College bescherming persoonsgegevens actie ondernemen. Het College kan onder meer bestuursdwang toepassen of een dwangsom opleggen, en kan een bestuurlijke boete opleggen. Deze acties worden hierna besproken. Op andere mogelijke acties van het College, bijvoorbeeld het doen van onderzoek naar de naleving van de Wbp in een bepaalde sector, wordt in deze handleiding niet ingegaan.

9.2 Welke acties kunnen burgers tegen mij ondernemen? 9.2.1 Algemeen Als u of uw branche een gedragscode heeft vastgesteld en daarin is een regeling voor het beslechten van geschillen opgenomen, kan de burger uiteraard op grond daarvan actie ondernemen. In de praktijk zijn allerlei regelingen voor de beslechting van geschillen vastgesteld. Hieronder worden alleen de mogelijkheden uitgewerkt die de burger heeft op grond van de Wbp.

9.2.2 Vergoeding van schade verantwoordelijke aansprakelijk

De verantwoordelijkheid voor naleving van de Wbp én de aansprakelijkheid voor schade die het gevolg is van niet-naleving, ligt primair bij u, de verantwoordelijke. U bent als verantwoordelijke aansprakelijk voor de schade die iemand lijdt als gevolg van uw overtreding van de Wbp. Ook immateriële schade zult u eventueel moeten vergoeden. U bent ook aansprakelijk als een ander, bijvoorbeeld de door u ingeschakelde bewerker, die overtreding begaat. U kunt de door u betaalde schadevergoeding dan mogelijk wel verhalen op die bewerker, maar tegenover degene die schade lijdt, bent u aansprakelijk. Dat is alleen anders als u kunt bewijzen dat de schade niet aan u kan worden toegerekend.

58


W E T


P E R S O O N S

W E T



Onder omstandigheden rust op de bewerker een zelfstandige aansprakelijkheid. Zie daarover paragraaf 5.3

9.2.3 Rechterlijk verbod of gebod Iemand die schade lijdt of dreigt te lijden als gevolg van uw overtreding van de

verbod of gebod

Wbp, kan ook aan de rechter vragen u een verbod of gebod op te leggen. De rechter kan u bijvoorbeeld verbieden bepaalde gegevens aan een derde te verstrekken of u gebieden bepaalde gegevens uit uw systeem te verwijderen.

9.2.4 Ik ben een bestuursorgaan: de belanghebbende kan bezwaar maken Als u een bestuursorgaan bent, wordt een aantal van uw beslissingen

besluit in de zin van

aangemerkt als een besluit in de zin van de Algemene wet bestuursrecht.

Algemene wet bestuursrecht

Belanghebbenden kunnen op grond van de regels van die wet bezwaar maken tegen deze besluiten. Het gaat steeds om besluiten die u neemt op verzoek van de betrokkene (of diens wettelijk vertegenwoordiger). De volgende besluiten zijn aangewezen: • het besluit op een verzoek om inlichtingen over de van aanmelding vrijgestelde gegevensverwerkingen (zie paragraaf 4.2.3); • het besluit op een verzoek om inzage in de gegevens (zie paragraaf 4.4); • het besluit op een verzoek om correctie van de gegevens (zie paragraaf 4.5); • het besluit op een verzoek om opgave van de derden die u hebt ingelicht over een correctie (zie paragraaf 4.5); • het besluit op een verzet aangetekend op grond van artikel 41 van de Wbp (zie subparagrafen 3.4.6 en 3.4.7); • het besluit op een verzet aangetekend op grond van artikel 40 van de Wbp (zie subparagraaf 8.1.3). U moet zich realiseren dat de Algemene wet bestuursrecht ook op de totstandkoming van deze besluiten van toepassing is.

9.2.5 Ik ben geen bestuursorgaan: de belanghebbende kan een verzoekschrift indienen Ook als u geen bestuursorgaan bent, kan een belanghebbende actie ondernemen tegen de in de vorige subparagraaf genoemde beslissingen. De belanghebbende moet dan een verzoekschrift indienen bij de rechtbank. Belanghebbende is niet alleen de betrokkene, maar bijvoorbeeld ook de derde van wie u de gegevens hebt verkregen. De belanghebbende moet het verzoekschrift indienen: • Binnen zes weken na ontvangst van uw beslissing. • Hebt u niet binnen de wettelijke termijn (in de meeste gevallen vier weken) geantwoord, dan moet de belanghebbende het verzoekschrift indienen binnen zes weken na afloop van die termijn.

G E G E V E N S

59

verzoekschrift

HOOFDSTUK

9

De gewone verzoekschriftprocedure van het Wetboek van Burgerlijke Rechtsvordering is van toepassing. In aanvulling op die procedure bepaalt de Wbp dat de rechtbank zo nodig belanghebbenden in de gelegenheid kan stellen hun zienswijze naar voren te brengen.

9.3 Welke overtredingen zijn strafbaar? strafbaar

Op een aantal overtredingen van de Wbp is straf gesteld. U kunt gestraft worden met een geldboete van ƒ 5.000,- (e 2.250,-) als u als verantwoordelijke: • uw gegevensverwerking niet hebt gemeld; • uw gegevensverwerking onjuist of onvolledig hebt gemeld; • wijzigingen in uw verwerking niet (tijdig) doorgeeft; • van uw melding afwijkende verwerkingen niet bewaart; • in strijd met een verbod van de minister van Justitie persoonsgegevens doorgeeft naar een land buiten de Europese Unie; • u geen persoon of instantie hebt aangewezen die namens u handelt wanneer u niet in Nederland of in een andere lidstaat van de Europese Unie gevestigd bent en u toch in Nederland gegevens verwerkt met (al dan niet) geautomatiseerde middelen. Als u bij deze overtredingen opzettelijk handelt, kunt u gestraft worden met een gevangenisstraf van maximaal zes maanden of een geldboete van ten hoogste ƒ 10.000,- (e 4.500,-). Het openbaar ministerie mag u niet vervolgen als het College bescherming persoonsgegevens u voor dezelfde overtreding al een bestuurlijke boete heeft opgelegd.

9.4 Welke acties kan het College bescherming persoonsgegevens ondernemen als ik de Wbp niet naleef? 9.4.1 Bestuursdwang of dwangsom bestuursdwang

Als u één of meerdere bepalingen van de Wbp of de daarop gebaseerde regelingen overtreedt, kan het College bescherming persoonsgegevens bestuursdwang toepassen. Bestuursdwang houdt in dat u een termijn krijgt om de overtreding ongedaan te maken. Laat u dat na, dan kan het College zelf op uw kosten de overtreding ongedaan maken.

dwangsom

Het College kan er ook voor kiezen u een last op straffe van een dwangsom op te leggen. Het College zal dit doen als zij de overtreding niet gemakkelijk zelf ongedaan kan maken. Het College kan u bijvoorbeeld gelasten binnen één week bepaalde gegevens te verwijderen of uw gegevensverwerking binnen één maand aan te melden, op straffe van een dwangsom per dag dat u niet aan deze last voldoet.

60


W E T


P E R S O O N S

W E T



Het College is onderworpen aan de regels van de Algemene wet bestuursrecht. Dat betekent onder meer dat het College u altijd een termijn moet gunnen om de overtreding ongedaan te maken, de zogenoemde begunstigingstermijn. Het betekent ook dat u bezwaar kunt maken tegen een besluit van het College om bestuursdwang toe te passen of een dwangsom op te leggen. Het ministerie van Justitie heeft een aantal folders uitgegeven over het maken van bezwaar.

9.4.2 Bestuurlijke boete Het College kan in een aantal gevallen een bestuurlijke boete opleggen. Voordat het College u een boete oplegt, moet het een rapport opmaken. Dat rapport wordt u toegezonden. U bent niet verplicht een voor uzelf belastende verklaring af te leggen: u hebt dus het recht om te zwijgen. Dat recht ontstaat op het moment dat u redelijkerwijs kunt vermoeden dat het College aan u een boete gaat opleggen, bijvoorbeeld op het moment dat u een afschrift van het rapport ontvangt. Het College moet u voordat het een boete oplegt, in de gelegenheid stellen uw zienswijze naar voren te brengen. Besluit het College vervolgens toch om u een boete op te leggen, dan kunt u tegen dat besluit bezwaar maken. Het ministerie van Justitie heeft een aantal folders uitgegeven over het maken van bezwaar. Als u aannemelijk kunt maken dat u geen verwijt kan worden gemaakt van de overtreding, mag het College u geen boete opleggen. Het College mag u ook geen boete opleggen als er meer dan vijf jaar is verstreken tussen het moment van overtreding en het opleggen van de boete. Legt het College u toch een boete op, dan moet u eerst bezwaar maken, waarna u tegen de beslissing op bezwaar eventueel in beroep kunt bij de rechtbank. De boete kan ten hoogste ƒ 10.000,- (e 4.500,-) bedragen. Het College mag die boete opleggen als u als verantwoordelijke: • Uw gegevensverwerking niet hebt gemeld; • Uw gegevensverwerking onjuist of onvolledig hebt gemeld; • Wijzigingen in uw verwerking niet (tijdig) doorgeeft; of • Van uw melding afwijkende verwerkingen niet bewaart. U moet de boete betalen binnen zes weken nadat het besluit in werking is getreden. Het besluit tot oplegging van een boete treedt pas in werking als: • De bezwaartermijn is verstreken; of, • Als u bezwaar hebt gemaakt, op het moment dat op bezwaar is beslist. Betaalt u niet op tijd, dan kan het College de boete innen via een dwangbevel van de rechter.

G E G E V E N S

61

bestuurlijke boete

BIJLAGE

Van Wpr naar Wbp: wat is veranderd en hoe luidt de overgangsregeling? In deze bijlage worden de belangrijkste verschillen aangestipt tussen de oude Wet persoonsregistraties en de nieuwe Wet bescherming persoonsgegevens. Het overzicht is niet uitputtend. Ook wordt de overgangsregeling beschreven. • “Verwerking van persoonsgegevens” in plaats van “persoonsregistratie”. De Wbp regelt de verwerking van persoonsgegevens. Dit begrip omvat ook het verzamelen, en dus het verkrijgen, van persoonsgegevens. Dit was anders onder de Wpr. De regels van de Wbp zijn dus ook van toepassing op het verzamelen en verkrijgen van gegevens. • “Verantwoordelijke” in plaats van “houder”. De Wbp richt zich primair tot de verantwoordelijke in plaats van tot de houder. Om te bepalen wie de verantwoordelijke is, moet ten eerste worden gekeken wie formeel-juridisch de bevoegdheid heeft om het doel en de middelen van de gegevensverwerking te bepalen. Pas als onduidelijk is wie die bevoegdheid heeft, moet worden gekeken aan wie die bevoegdheid moet worden toegerekend naar de maatstaven die in het maatschappelijk verkeer gelden. Dit was anders onder de Wpr. • Onderscheid publieke en private sector is vervallen. De Wbp is zonder onderscheid van toepassing op de verwerking van persoonsgegevens. De reglementplicht voor de publieke sector is vervallen. Ook overheden moeten hun gegevensverwerking melden bij het College bescherming persoonsgegevens. Bij die melding moet wel veel informatie over de gegevensverwerking worden verstrekt. De normen van de Wbp kunnen in de private sector anders worden ingevuld dan in de publieke sector. Dat hangt samen met de verschillende posities die private partijen en overheden in de maatschappij innemen. • De informatieverplichtingen zijn uitgebreid. De verantwoordelijke moet degene wiens persoonsgegevens worden verwerkt (de betrokkene), informeren over de gegevensverwerking, tenzij de betrokkene op de hoogte is. Dit was anders onder de Wpr, waar de houder de betrokkene niet hoefde te informeren als de betrokkene redelijkerwijs op de hoogte kon zijn. Er is onder de Wbp een aantal andere uitzonderingen op deze informatieverplichting.

62


W E T


P E R S O O N S

W E T



• Betrokkene heeft het recht van verzet. De betrokkene heeft in een aantal gevallen het recht van verzet in verband met zijn bijzondere persoonlijke omstandigheden. De verantwoordelijke moet de verwerking beëindigen als het verzet naar zijn oordeel gerechtvaardigd is. Als persoonsgegevens worden verzameld en verder verwerkt voor direct marketingdoeleinden, heeft de betrokkene het recht van kosteloos verzet. In geval van dergelijk verzet moet de verantwoordelijke de verwerking voor die doeleinden altijd beëindigen. • Risicoaansprakelijkheid voor onrechtmatige gegevensverwerking afgezwakt. De verantwoordelijke is niet aansprakelijk voor schade die ontstaat door een onrechtmatige gegevensverwerking als hij of zij kan aantonen dat hem of haar geen verwijt treft. Dat is een soepelere regeling dan onder de Wpr gold. • Varia. De Wbp is ook deels van toepassing op pers, radio en televisie. Als persoonsgegevens worden verwerkt voor journalistieke, artistieke of literaire doeleinden moet aan een aantal verplichtingen van de Wbp worden voldaan. Het regime voor gevoelige gegevens (onder de Wbp: bijzondere gegevens) is iets aangescherpt. Bijzondere gegevens mogen alleen voor een concreet omschreven belang of een (nader omschreven) zwaarwegend algemeen belang worden verwerkt. De Wbp introduceert de functionaris voor de gegevensbescherming. De verantwoordelijke of een brancheorganisatie kan een functionaris benoemen. De bevoegdheden van het College bescherming persoonsgegevens (vroeger de Registratiekamer) zijn uitgebreid. Het College kan bijvoorbeeld een bestuurlijke boete opleggen als u uw gegevensverwerking niet meldt.

Overgangsrecht Gegevensverwerkingen die reeds plaatsvonden op het moment dat de Wbp in werking trad, moet u binnen één jaar na dat moment: • in overeenstemming brengen met de Wbp; en • melden bij • het College bescherming persoonsgegevens (vroeger de Registratiekamer); of • (als die is benoemd) bij de functionaris voor de gegevensbescherming. Let op! U moet uw gegevensverwerking onder de Wbp dus opnieuw melden, óók als u uw persoonsregistratie onder de Wpr al hebt aangemeld. Dit moet

G E G E V E N S

63

BIJLAGE

binnen één jaar nadat de Wbp in werking is getreden. De regering kan deze termijn eventueel verlengen tot maximaal drie jaar. Als u na het in werking treden van de Wbp gegevens gaat verwerken, moet die verwerking meteen aan de Wbp voldoen. Als u bijzondere gegevens verwerkt moet u uw verwerking van bijzondere gegevens binnen drie jaar na de inwerkingtreding van de Wbp in overeenstemming brengen met de regels van de Wbp die speciaal over bijzondere gegevens gaan. Voor het overige gelden de gewone, hiervoor beschreven overgangsregels. Verwerkt u op het tijdstip van de inwerkingtreding van de Wbp bijzondere gegevens op grond van een overeenkomst die tot stand is gekomen vóór inwerkingtreding van de Wbp en is die verwerking noodzakelijk voor de uitvoering van die overeenkomst, dan hoeft u niet opnieuw toestemming te vragen aan de betrokkene. Als u op het moment van inwerkingtreding van de Wbp gegevens verwerkt die op grond van de Wbp zijn onderworpen aan een voorafgaand onderzoek, moet u deze verwerking bij het College bescherming persoonsgegevens melden voor een voorafgaand onderzoek. U hoeft de verwerking echter gedurende het onderzoek niet op te schorten. Dit is wel zo als u een zodanige verwerking na inwerkingtreding van de Wbp (gaat) uitvoeren.

64


W E T


P E R S O O N S

ADRESSEN

W E T



College bescherming persoonsgegevens Postbus 93374 2509 AJ Den Haag fax:

070 381 13 01

e-mail:

[email protected]

website: www.cbpweb.nl Adviseurs van het College bescherming persoonsgegevens zijn dagelijks (m.u.v. woensdag) telefonisch bereikbaar van 9.00 tot 12.00 uur op 070 381 13 00.

Ministerie van Justitie Postbus 20301 2500 EH Den Haag tel:

070 370 68 50

e-mail:

[email protected]

website: www.justitie.nl VNO-NCW Postbus 93002 2509 AA Den Haag tel:

070 349 03 49

fax:

070 349 03 00

e-mail:

[email protected]

website: www.vno-ncw.nl/privacy FNV Postbus 8456 1005 AL Amsterdam tel:

0900 330 03 00

website: www.fnv.nl (zoeken op “privacy”) DMSA

Colofon Uitgave: Ministerie van Justitie Den Haag, april 2002 2e gewijzigde druk www.justitie.nl Samenstelling: mr. L.B. Sauerwein en mr. J.J. Linnemann Kennedy Van der Laan Amsterdam

G E G E V E N S

Postbus 75959 1070 AZ Amsterdam tel:

020 517 12 12

e-mail:

[email protected]

website: www.dmsa.nl Vereniging van Nederlandse Gemeenten (VNG) Postbus 30435 2500 GK Den Haag tel:

070 373 83 93

website: www.vng.nl

65

66


W E T


P E R S O O N S

W E T

G E G E V E N S


67


68

W

E

T

B

E

S

C

H

E

R

M

I

N

G

P

E

R

S

O

O

N

S

G

E

G

E

V

E

N

S

HANDLEIDING V O O R V E R W E R K E R S V A N P E R S O O N S G E G E V E N S W E T B E S C H E R M I N G P E R S O O N S G E G E V E N S

Recommend Documents