In artikel 8 van het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) (Trb. 1951, 154) en artikel 17 van het Internationaal Verdrag inzake burgerrechten en politieke rechten (IVBPR) (Trb. 1969, 99; Nederlandse tekst Trb. 1978, 177) is onder meer vastgelegd dat een ieder recht heeft op respect voor zijn privé-leven. Dit recht omvat mede het recht op bescherming van persoonsgegevens.
Artikel 10, eerste lid, van de Grondwet erkent eveneens het recht op eerbiediging van de persoonlijke levenssfeer. Ook dit recht omvat het recht op bescherming van persoonsgegevens. Tevens is vastgelegd dat beperkingen daarop bij wet in formele zin moeten worden gesteld. In artikel 10, tweede en derde lid, van de Grondwet wordt ook opdracht gegeven aan de wetgever om nadere regels te stellen over de wijze waarop met persoonsgegevens moet worden omgegaan. Zo is in de Grondwet vastgelegd dat er wettelijke regeling moet zijn van de aanspraken van personen op kennisneming van gegevens die over hen zijn vastgelegd, het gebruik en de verbetering daarvan. Uit de opdracht in de Grondwet zijn achtereenvolgens de inmiddels vervallen Wet persoonsregistraties en de huidige Wet bescherming persoonsgegevens (Wbp) voortgevloeid.
In het kader van de staatkundige hervormingen van de Nederlandse Antillen worden Bonaire, Sint Eustatius en Saba onderdeel van het Nederlandse staatsbestel. Bij de Slotverklaring van de conferentie van 10 en 11 oktober 2006 over de toekomstige staatkundige positie van Bonaire, Sint Eustatius en Saba1 is onder meer overeengekomen dat in beginsel de Nederlands-Antilliaanse regelgeving van kracht zal blijven en dat de Nederlandse wetgeving geleidelijk wordt ingevoerd. Bij de aanvang van de nieuwe staatkundige positie zullen niettemin een aantal bestaande en nieuwe Nederlandse wetten worden ingevoerd die om uiteenlopende redenen noodzakelijk worden geacht.
In de Nederlandse Antillen bestaat op dit moment geen algemene regeling voor de verwerking van persoonsgegevens. De Staatsregeling, die de constitutie vormt van de Nederlandse Antillen, kent geen opdracht tot regeling van de verwerking van persoonsgegevens. Er bestaat wel een Landsverordening op de justitiële documentatie en op de verklaringen omtrent gedrag maar deze heeft uitsluitend betrekking op de verwerking van gegevens van strafrechtelijke aard door de overheid. Deze landsverordening wordt overigens voor Bonaire, Sint Eustatius en Saba omgezet tot de Wet op de justitiële documentatie en op de verklaringen omtrent gedrag BES.
Op Bonaire, Sint Eustatius en Saba zal de Grondwet van toepassing zijn. Gegeven de opdracht in artikel 10 van de Grondwet is een wettelijke regeling inzake de bescherming van persoonsgegevens en de rechten van betrokkenen noodzakelijk. Het onderhavige wetsvoorstel strekt hiertoe.
Naast het EVRM en de Grondwet bestaan er nog andere internationale, in het bijzonder Europese, verplichtingen op het terrein van de verwerking van persoonsgegevens die in het Europese deel van Nederland van invloed zijn op de relevante wetgeving.
In het kader van de Raad van Europa bestaat sinds 1981 het Verdrag tot bescherming van personen met betrekking tot de geautomatiseerde verwerking van persoonsgegevens (zie voor de Nederlandse vertaling, Trb. 1988, 7). In dit verdrag zijn regels opgenomen over de geautomatiseerde en niet-geautomatiseerde verwerking van persoonsgegevens. Het Aanvullend Protocol bij dit verdrag van 8 november 2001 (Trb. 2003, 122; Nederlandse tekst Trb. 2003, 165) dat Nederland eveneens heeft bekrachtigd, verplicht de verdragspartijen tot de oprichting van een of meerdere onafhankelijke toezichthoudende autoriteiten, die naast onderzoeksbevoegdheden ook bevoegdheden hebben om in rechte op te treden of inbreuken onder de aandacht van de rechter te brengen. Bij die autoriteit kan een ieder ook klagen over eventuele inbreuken op zijn rechten. Dit verdrag en het desbetreffende protocol gaan ook gelden in de openbare lichamen. Een wetsvoorstel waarin het voornemen om de toepassing van onder andere het verdrag en het aanvullend protocol uit te breiden met de openbare lichamen ter goedkeuring wordt voorgelegd aan de Staten-Generaal, is bij koninklijke boodschap van 2 september 2009 aan de Staten-Generaal aangeboden (Kamerstukken II 2008/09, 30 247).
Binnen de Europese Unie is de Europese Gemeenschap richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (Pb EG L 281) (hierna: EG-richtlijn bescherming persoonsgegevens) tot stand gebracht. Wat de Europese verplichtingen betreft, moet worden aangetekend dat Bonaire, Sint Eustatius en Saba vooralsnog de zogeheten status van Landen en Gebieden Overzee (LGO) zullen behouden na de transitie. Dit betekent dat de Europese richtlijn bescherming persoonsgegevens geen gelding heeft op de eilanden.
Zoals eerder gezegd, zal de Nederlands-Antilliaanse regelgeving geleidelijk worden vervangen door Nederlandse regelgeving. In sommige gevallen is het echter nodig om voor de eilanden een afwijkende voorziening te treffen.
In de eerdergenoemde Slotverklaring over de toekomstige staatkundige positie van Bonaire, Sint Eustatius is ook onder meer vastgelegd: Gezien onder meer de bevolkingsomvang van de drie eilanden, de grote afstand met Nederland en het insulaire karakter zullen echter van de Nederlandse wetgeving afwijkende voorzieningen worden getroffen.
De Raad van State heeft in zijn voorlichting van 18 september 20061 al gewezen op de noodzaak van afwijkende voorzieningen.
In het voorstel van Rijkswet tot wijziging van het Statuut in verband met de opheffing van de Nederlandse Antillen is een bepaling opgenomen die omschrijft om welke redenen regelingen die gelden in de openbare lichamen, kunnen afwijken van regelingen die gelden in het Europese deel van Nederland. De redenen zijn de economische en sociale omstandigheden, de grote afstand tot het Europese deel van Nederland, de kleine oppervlakte en bevolkingsomvang, de overige geografische omstandigheden en andere factoren waardoor de openbare lichamen wezenlijk verschillen het Europese deel van Nederland.
In het wetsvoorstel is uit het oogpunt van uniformiteit en eenduidige wetsuitleg ervoor gekozen om de Wet bescherming persoonsgegevens (Wbp) zoveel mogelijk over te nemen. Een groot aantal bepalingen is dan ook identiek. Dit wetsvoorstel verschilt op enkele punten van de Wbp. Deze verschillen zijn ingegeven door de verschillen met de situatie in het Europese deel van Nederland. Bovenal zal voor het eerst een wettelijke regeling inzake de bescherming van persoonsgegevens gelden in de openbare lichamen.
Om de bestuursorganen en het bedrijfsleven van de eilanden met name in de periode van transitie niet onevenredig te belasten, waarbij onder meer rekening moet worden gehouden met het eigen karakter van de eilanden, in het bijzonder de kleinschaligheid, wordt een aantal onderwerpen – in ieder geval voorlopig – anders geregeld dan in de Wbp c.q. in het Europese deel van Nederland.
Zo wordt het toezicht op een enigszins andere wijze ingericht dan in de Wbp. Verder zijn de plicht om verwerking van persoonsgegevens te melden bij de toezichthoudende autoriteit (de zogeheten meldplicht) en de daarbij behorende sanctie niet overgenomen.
De administratieve lasten en de financiële gevolgen
Over de kosten voor burger en bedrijfsleven om te voldoen aan de informatieverplichtingen die de overheid oplegt, de zogeheten administratieve lasten die aan dit wetsvoorstel zijn verbonden, valt het volgende op te merken.
Er zijn verschillende onderzoeken gedaan naar de administratieve lasten en de nalevingskosten die voortvloeien uit de Nederlandse Wbp. Aan de hand daarvan is een schatting gemaakt van de kosten die uit het onderhavige wetsvoorstel zouden kunnen voortvloeien. Zoals gezegd, zijn in het onderhavige wetsvoorstel niet alle elementen uit de Nederlandse Wbp overgenomen. Voor het wetsvoorstel zijn alleen de kosten voor het bewaren, inclusief het beveiligen, en voor het verzoek om ontheffing voor de verwerking van bijzondere persoonsgegevens relevant. Uit de Nulmeting administratieve lasten bedrijven 20072 is gebleken dat in het Europese deel van Nederland de handelingen ter bewaring van persoonsgegevens, waaronder ook de beveiliging begrepen, en het voorkomen van het onrechtmatig verwerken van gegevens (artikel 14, vijfde lid, van het wetsvoorstel) gemiddeld een administratieve lastenpost per bedrijf van ongeveer 80 euro vormen. Gemeten over de 31 400 Nederlandse bedrijven die persoonsgegevens verwerken, komt dat neer op in totaal ongeveer 2,5 miljoen euro in het meetjaar 2007. Momenteel kan nog geen inschatting worden gemaakt van het aantal bedrijven dat in Bonaire, Sint Eustatius en Saba persoonsgegevens gaat verwerken. Het totale aantal ondernemingen in de openbare lichamen is niet bekend waardoor er geen realistische inschatting kan worden gemaakt. Hoewel de eerdergenoemde bedragen slechts indicatief zijn voor de eilanden omdat deze betrekking hebben op het Europese deel van Nederland, kan op basis daarvan worden wel geconcludeerd dat de administratieve lasten hoe dan ook gering zijn.
Wat betreft het verzoeken om ontheffing voor de verwerking van bijzondere persoonsgegevens (artikel 23, eerste lid, onderdeel e, van het wetsvoorstel), is in het meetjaar 2007 slechts 1 verzoek gemeten en de kosten daarvan bedroegen 87 euro. Wat het effect voor het bedrijfsleven op de BES van dit artikel betreft, kan niet worden geschat hoe vaak een dergelijk verzoek zal worden gedaan, maar gezien de Nulmeting 2007 is de verwachting dat dit sporadisch zal gebeuren. In een voorkomend geval zijn de administratieve lasten zeer beperkt.
Het onderhavige wetsvoorstel is ter consultatie voorgelegd aan de bestuurscolleges van Bonaire, Sint Eustatius en Saba, alsmede aan het College bescherming persoonsgegevens (Cbp). De bestuurscolleges hebben ingestemd met het wetsvoorstel.
Het Cbp heeft opmerkingen gemaakt over de verdragsrechtelijke aspecten, de mate en wijze waarop de Wbp is overgenomen in het wetsvoorstel en de belangrijkste afwijkingen ten opzichte van de Wbp, in het bijzonder de meldplicht, het extern toezicht, de rechtsbescherming en de ontheffingsbevoegdheid1.
Mede naar aanleiding van deze opmerkingen is een aantal aanpassingen aangebracht in deze memorie van toelichting.
Zoals eerder opgemerkt, zal er voor eerst een wettelijk stelsel van bescherming van persoonsgegevens bestaan op de eilanden. Wij zullen daarom de invoering zoveel mogelijk begeleiden, waarbij vooral gedacht moet worden aan voorlichting. Daarnaast zal in overleg met het Cbp en het toezichthoudend orgaan worden bezien welke rol zij kunnen spelen bij de invoering, zoals ook het geval was bij Registratiekamer bij de invoering van de Wet persoonsregistraties onderscheidenlijk de Wbp in het Europese deel van Nederland.
Verder is in het onderhavige wetsvoorstel voorzien in een geleidelijke overgang naar het nieuwe stelsel voor bestaande verwerkingen van persoonsgegevens. De termijnen zijn afgeleid van artikel 79 van de Wbp. Men heeft een jaar de tijd om bestaande verwerkingen in overeenstemming te brengen met de wettelijke vereisten. Voor de verwerking van bijzondere gegevens is er een periode van drie jaar. Wij menen dat deze overgangstermijnen toereikend zullen zijn. De kenmerkende kleinschaligheid van de eilanden zal namelijk in dit geval een voordeel zijn bij de invoering van de Wbp BES.
De afstemming met Curaçao en Sint Maarten
Hoewel het land Nederlandse Antillen ophoudt te bestaan, zullen tussen de BES-eilanden en de nieuwe landen Curaçao en Sint Maarten banden blijven bestaan op diverse terreinen. Zo blijft het Gemeenschappelijk Hof belast met de rechtspraak voor de nieuwe landen en de eilanden. Ook op andere terreinen zal er worden samengewerkt. Door de nabijheid van en verwevenheid met Curaçao en Sint Maarten zal gegevensuitwisseling tussen de BES en de genoemde landen onvermijdelijk zijn.
Momenteel worden voor de nieuwe landen Curaçao en Sint Maarten algemene regelingen voor de bescherming van persoonsgegevens ontworpen. Voor zover bekend, wijken deze regelingen af van elkaar en van het onderhavige wetsvoorstel. Dit hoeft echter geen belemmering te vormen voor de gegevensuitwisseling. Ook in het Europese deel van Nederland vindt gegevensuitwisseling plaats met landen die regelingen hebben die niet identiek zijn aan de Wbp. Van doorslaggevend belang is dat er een passend beschermingsniveau als bedoeld in artikel 42 bestaat. Curacao en Sint Maarten zullen in dit opzicht moeten worden beschouwd als derde landen als bedoeld in de eerdergenoemde bepaling. Indien de regelingen van de nieuwe landen voldoen aan het passend beschermingsniveau kan gegevensuitwisseling plaatsvinden. Om te waarborgen dat gegevensuitwisseling kan plaatsvinden, zijn wij via overleg betrokken bij de totstandkoming van de nieuwe regelingen.
Zoals gezegd is het merendeel van de bepalingen letterlijk overgenomen van de Wbp. Om die reden zal er ook geen uitgebreide toelichting volgen van de identieke of nagenoeg identieke bepalingen.
Het Cbp heeft opgemerkt dat de memorie van toelichting bij de Nederlandse Wbp zoveel mogelijk zou moeten worden overgenomen en dat er zou moeten worden afgezien van nieuwe, eigen samenvattingen.
Het is inderdaad zo dat de memorie van toelichting leidend is bij de uitleg van de Nederlandse Wbp. In de loop van de parlementaire behandeling zijn er echter, bij amendement of nota van wijziging, al nuanceringen of aanpassingen aangebracht in bepaalde artikelen. Hoewel deze nuanceringen of aanpassingen relatief beperkt zijn, is het enkel overnemen van de artikelsgewijze toelichting uit de memorie van toelichting dan niet volledig. Ook de andere parlementaire stukken zouden dan moeten worden weergegeven. Er moet worden opgemerkt dat de memorie van toelichting en de andere relevante parlementaire stukken van zodanige omvang zijn dat letterlijke weergave daarvan niet in de rede ligt. Verwijzing is in dat geval doelmatiger.
Bovenal is de memorie van toelichting bij de Nederlandse Wbp sterk gestoeld op de situatie in het Europese deel van Nederland. Gelet op het eigen karakter van de openbare lichamen, met name de kleinschaligheid, kan er aanleiding zijn om een andere wijze invulling te gegeven aan de bepalingen uit de wet. De uitleg die in de memorie van toelichting van Nederlandse Wbp is gegeven, kan daardoor onbedoeld een vertekend beeld schetsen.
De hiernavolgende artikelsgewijze toelichting beoogt niet een samenvatting van de parlementaire geschiedenis van de Nederlandse Wbp te zijn. In een dergelijke samenvatting schuilt namelijk het gevaar dat bepaalde nuances uit de parlementaire behandeling niet juist of niet compleet worden weergegeven. Er wordt in de artikelsgewijze toelichting verwezen naar de memorie van toelichting van de Wbp indien dit mogelijk is en niet tot misverstanden kan leiden.
Artikelen 1 tot en met 5 Algemene begripsbepalingen
Met het onderhavige wetsvoorstel worden regels gegeven voor de verwerking van persoonsgegevens, zowel door de publieke als door de particuliere sector, in Bonaire, Sint Eustatius en Saba.
Centrale begrippen zijn persoonsgegevens, de verantwoordelijke en de verwerking. De Wbp BES geeft regels voor het verwerken van persoonsgegevens en die regels richten zich in eerste instantie tot de verantwoordelijke.
Onder persoonsgegevens wordt volgens artikel 1 kort gezegd verstaan informatie over geïdentificeerde of identificeerbare natuurlijke personen. Daarbij gaat het in eerste instantie om gegevens zoals naam, geboortedatum en geslacht. Als gegevens medebepalend zijn voor de wijze waarop men in het maatschappelijk verkeer wordt beoordeeld of behandeld, moeten de desbetreffende gegevens worden aangemerkt als persoonsgegevens1.
De persoonsgegevens moeten betrekking hebben op natuurlijke personen. Onder omstandigheden kunnen gegevens van rechtspersonen, zoals ondernemingen of organisaties, echter ook als persoonsgegevens worden aangemerkt. Men kan daarbij denken aan winstgegevens over een eenmansbedrijf. Deze gegevens zeggen namelijk iets over het inkomen van de eigenaar van het eenmansbedrijf. Ook gegevens over voorwerpen of objecten kunnen onder omstandigheden eveneens als persoonsgegevens worden aangemerkt. De waarde van een auto kan bijvoorbeeld als persoonsgegeven worden aangemerkt wanneer het is verwerkt in de administratie van een verzekeringsmaatschappij. Die waarde zegt in beginsel in het maatschappelijk verkeer iets over het inkomen of het vermogen van de eigenaar van de auto. In de prijslijst van een autodealer daarentegen is de waarde geen persoonsgegevens.
Zoals gezegd, betreft het geïdentificeerde of identificeerbare personen. De identiteit van de betrokkene moet redelijkerwijs, zonder onevenredige inspanning, kunnen worden vastgesteld of worden achterhaald.
Verwerking van persoonsgegevens en de reikwijdte van deze wet
Wat de verwerking van persoonsgegevens als zodanig betreft, is in artikel 1 vastgelegd welke handelingen onder verwerking worden verstaan. Het gaat daarbij niet alleen om het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen maar ook om het opvragen, raadplegen, gebruiken, de verstrekking door doorzending van verkregen persoonsgegevens, de verspreiding of andere wijze van terbeschikkingstelling, samenbrengen, het met elkaar in verband brengen, het afschermen, uitwissen of vernietigen van de persoonsgegevens2.
Niet iedere wijze van gegevensverwerking valt echter onder het regime van de Wbp. In verband daarmee is ook artikel 2 van de Wbp overgenomen. De regels zijn van toepassing op:
a. geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens; en
b. niet-geautomatiseerde, dus handmatige, verwerking van persoonsgegevens die in een bestand zijn opgenomen of daarvoor zijn bestemd.
Bij het begrip bestand3 moet worden gedacht aan een gestructureerd geheel van gegevens dat betrekking heeft op verschillende personen. Dit geheel van gegevens moet onderling samenhang hebben en het systeem moet toegankelijk zijn. Onder het laatste kan men denken aan de wijze van opslag. Als de gegevens op zodanige wijze zijn opgeslagen dat zij op eenvoudige wijze raadpleegbaar zijn, is er sprake van systematische toegankelijkheid.
In artikel 2, tweede lid, van het wetsvoorstel zijn verwerkingen met bepaalde doeleinden opgenomen die niet onder het regime van de wet vallen. Het gaat daarbij om de verwerking van gegevens zoals de verwerking van gegevens voor uitsluitend persoonlijke of huishoudelijke doeleinden (men kan daarbij denken aan een persoonlijk adresboekje, of een verjaardagskalender)1. Verder betreft het verwerkingen door of ten behoeve van de inlichtingen- en veiligheidsdiensten, ten behoeve van de politietaak, de bevolkingsadministratie, de uitvoering van de justitiële documentatie en de verklaringen omtrent gedrag, en de uitvoering van de Kieswet. De Wbp BES is dus niet van toepassing op deze verwerkingen.
In artikel 3 zijn verwerkingen ten behoeve van bepaalde doeleinden opgenomen die gedeeltelijk onder het wettelijke regime vallen. Het betreft de verwerking van persoonsgegevens voor uitsluitend journalistieke, artistieke of literaire doeleinden. Op deze verwerking is slechts een deel van het wettelijk regime van toepassing. In ieder geval geldt de algemene regel dat de gegevens behoorlijk en zorgvuldig moeten worden verwerkt voor een uitdrukkelijk omschreven en gerechtvaardigd doel, en dat de verwerking moet voldoen aan een aantal in de wet gestelde voorwaarden.
Voor de verwerking is verder bepalend waar de activiteit plaatsvindt. Deze wet is alleen van toepassing op de verwerking van persoonsgegevens in het kader van activiteiten van een verantwoordelijke op Bonaire, Sint Eustatius of Saba.
Is eenmaal vastgesteld dat er sprake is van een verwerking die, al dan niet gedeeltelijk, onder het wettelijke regime valt, dan is het van belang om te weten wie de verantwoordelijke is. Immers, de wettelijke verplichtingen rusten op de verantwoordelijke2. Op grond van artikel 1 is de verantwoordelijke degene die de het doel en de middelen van de verwerking vaststelt. Er moet daarbij worden gedacht aan degene die formeel-juridisch gezien de zeggenschap heeft over de verwerking. Deze hoeft niet per se een natuurlijk persoon te zijn. Ook bestuursorganen of ondernemingen kunnen als verantwoordelijke worden aangemerkt.
De Wbp kent ook nog de figuur van bewerker: degene die niet in een directe gezagsrelatie tot de verantwoordelijke staat, dus geen ondergeschikte van de verantwoordelijke is, maar ten behoeve van de verantwoordelijke gegevens verwerkt3. De bewerker moet echter wel in overeenstemming met instructies van de verantwoordelijke handelen. Er kan bij de bewerker bijvoorbeeld worden gedacht aan een gespecialiseerd bureau dat wordt ingeschakeld voor bepaalde handelingen, zoals een salarisadministratiebureau.
Voor de bewerker gelden bepaalde voorschriften. Zo mag de bewerker persoonsgegevens alleen bewerken in opdracht van de verantwoordelijke. Ook is de bewerker, naast de verantwoordelijke, aansprakelijk voor schade of nadeel die iemand lijdt als gevolg van bewerkingshandelingen. Daarnaast geldt voor de bewerker dezelfde geheimhoudingsplichten als voor de verantwoordelijke.
Artikelen 6 tot en met 15 De verwerking van persoonsgegevens in het algemeen
Er is al opgemerkt dat de verwerking aan bepaalde eisen en voorwaarden moet voldoen, ongeacht of het regime volledig of gedeeltelijk van toepassing is.
Een eerste eis is dat de gegevens in overeenstemming met de wet moeten worden verwerkt (artikel 6). Het gaat hierbij niet alleen om deze wet zelf, maar er zijn ook nog andere wetten die bijzondere regels kunnen bevatten over de gegevensverwerking.
De tweede eis is dat de gegevensverwerking behoorlijk en zorgvuldig moet zijn (artikel 6). Als de gegevens niet behoorlijk en zorgvuldig worden verwerkt, dan kan er sprake zijn van strijd met de algemene beginselen van behoorlijk bestuur (ingeval van bestuursorganen), of onrechtmatig handelen (private personen, bedrijven of andere organisaties).
Verder mogen persoonsgegevens alleen worden verwerkt onder bepaalde voorwaarden.
Een cruciaal voorschrift in het kader van de bescherming van persoonsgegevens is de doelbinding. Dat wil zeggen dat persoonsgegevens moeten worden verzameld voor een welbepaald, uitdrukkelijk omschreven en gerechtvaardigd doel (artikel 7). Voordat men begint met het verzamelen van gegevens, moet het doel duidelijk zijn bepaald c.q. vastgelegd. Tijdens het verwerkingsproces mag het doel niet zomaar worden veranderd. Bij het inrichten van de gegevensverwerking zal moeten worden nagegaan of het verwerken van gegevens noodzakelijk is voor het doel. Er moet telkens de vraag worden gesteld of er niet met minder gegevens hetzelfde doel kan worden bereikt (proportionaliteitseis). Voor een verzendlijst bijvoorbeeld heeft men in beginsel genoeg aan naam- en adresgegevens. Ook moet er worden bezien of er niet langs andere weg hetzelfde resultaat kan worden bereikt (subsidiariteitseis).
Gegevens mogen niet verder verwerkt worden op een wijze die onverenigbaar is met de doeleinden waarvoor ze verkregen zijn. Artikel 9 geeft een aantal aanknopingspunten om te beoordelen of er sprake is van onverenigbaarheid. Zo kan de aard van de gegevens doorslag geven. Bij zogeheten bijzondere gegevens, zoals medische of strafrechtelijke persoonsgegevens, zal sneller moeten orden aangenomen dat deze niet voor andere doeleinden dan waarvoor ze zijn verzameld, mogen worden gebruikt.
Artikel 8 geeft een limitatieve opsomming van de gronden die gegevensverwerking kunnen rechtvaardigen. De gegevensverwerking moet steeds kunnen worden gebaseerd op een of meer van de in artikel 8 genoemde gronden. Is dat niet het geval, dan mogen de gegevens niet worden verwerkt.
Zo mogen gegevens worden verwerkt omdat de verwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is of wordt, om een wettelijke verplichting na te komen die op de betrokkene rust, of – dit geldt voor de publieke sector – omdat het noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak. Gegevens mogen ook worden verwerkt als de betrokkene ondubbelzinnige toestemming heeft gegeven voor de verwerking.
Persoonsgegevens mogen niet langer worden bewaard dan strikt noodzakelijk is voor het doel van de verwerking, althans niet in de vorm dat zij tot personen herleidbaar zijn (artikel 10, eerste lid). Voor de verwerking voor historische, statistische of wetenschappelijke doeleinden geldt een bijzondere regeling (artikel 10, tweede lid).
De verwerking voor een bepaald doel brengt ook mee dat er geen overbodige gegevens moeten worden verwerkt. In artikel 11 is daaraan nadere uitwerking gegeven. De gegevens die worden verwerkt, moeten toereikend en ter zake dienend zijn. Er mag geen sprake van zijn van bovenmatige verwerking. Het woord toereikend brengt met zich dat alle relevante gegevens moeten worden verwerkt. Er moeten dus ook niet te weinig gegevens worden verwerkt, waardoor ten onrechte een verkeerd beeld van de betrokkene kan ontstaan.
De verantwoordelijke heeft daarbij de plicht om ervoor te zorgen dat de gegevens juist en nauwkeurig worden verwerkt. Op degene die onder gezag van de verantwoordelijke of de bewerker handelt, of de bewerker zelf, rust een geheimhoudingsplicht, zo hij deze al niet op grond van andere wettelijke bepalingen heeft (artikel 12).
Verder heeft de verantwoordelijke de plicht om ervoor te zorgen dat passende technische en organisatorische maatregelen worden genomen om gegevens te beveiligen tegen verlies of enigerlei wijze van onrechtmatige verwerking (de artikelen 13 en 14)1.
Artikelen 16 tot en met 24 De verwerking van bijzondere persoonsgegevens
De verwerking van persoonsgevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, en persoonsgegevens over het lidmaatschap van een vakvereniging, is in beginsel verboden. Dit geldt ook ten aanzien van iemands strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag (artikel 16).
Er geldt echter wel een aantal uitzonderingen (artikel 17 e.v.).
Zo mogen gegevens over iemands godsdienst of levensovertuiging door kerkgenootschappen of genootschappen op een geestelijke grondslag of andere instellingen op godsdienstige of levensbeschouwelijke grondslag worden verwerkt (artikel 17).
Persoonsgegevens over iemands ras mogen alleen worden verwerkt voor identificatiedoeleinden of – onder voorwaarden – in het kader van voorkeursbeleid (artikel 18).
Wat persoonsgegevens over iemands gezondheid betreft, moet worden opgemerkt dat onder deze gegevens zowel de fysieke als de geestelijke gezondheid worden verstaan. In artikel 21 is vastgelegd dat de desbetreffende persoonsgegevens alleen mogen worden verwerkt door bepaalde groepen van verantwoordelijken zoals:
– ziekenhuizen;
– instellingen van maatschappelijke dienstverlening;
– verzekeraars;
– speciale scholen;
– reclasseringsinstellingen;
– de voogdijraad;
– bestuursorganen en uitvoeringsinstellingen die bepaalde sociale zekerheidswetten uitvoeren.
Strafrechtelijke persoonsgegevens mogen ook alleen door een beperkte kring van verantwoordelijken en onder bepaalde voorwaarden worden vastgelegd (artikel 22).
Het vorenstaande betekent niet dat buiten de genoemde gevallen de bijzondere persoonsgegevens nimmer kunnen worden verwerkt (artikel 23)1.
Ingeval de betrokkene uitdrukkelijke toestemming daarvoor heeft gegeven, of wanneer hij de gegevens zelf openbaar heeft gemaakt, of als dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in een gerechtelijke procedure, of om te voldoen aan een volkenrechtelijke verplichting, dan wel noodzakelijk is met het oog op een zwaarwegend algemeen belang, waarbij passende waarborgen worden geboden, of als er ontheffing is verleend, kunnen de gegevens worden verwerkt.
Bij de ontheffingen zal eenzelfde beleidslijn als die ten aanzien van de Wbp in het Europese deel van Nederland wordt gevolgd, ook voor deze wet gelden. Dit betekent dat bij een ontheffing voor verwerkingen met een meer structureel karakter in de regel de voorkeur zal worden gegeven aan een wettelijke regeling. De Minister van Justitie zal dan een wettelijke regeling entameren, zoals thans ook in het Europese deel van Nederland het geval is. Indien er al een wettelijke regeling op het betrokken gebied is geëntameerd of binnen afzienbare termijn in werking treedt, dan kan er ontheffing worden verleend voor de periode tot aan de inwerkingtreding van de wettelijke regeling. Voor het overige kan ontheffing worden verleend voor incidentele verwerkingen, na een positieve inhoudelijke beoordeling van het verzoek daartoe.
Ook kunnen de persoonsgegevens worden verwerkt wanneer het ten behoeve is van wetenschappelijk onderzoek of statistiek wanneer het onderzoek een algemeen belang dient, de verwerking voor het onderzoek of de statistiek noodzakelijk is, en het onmogelijk is om de betrokkene om toestemming te vragen of dit onevenredige inspanning kost.
Artikelen 25 en 26 De informatieverstrekking aan de betrokkene
Zoals in het algemeen deel van deze memorie van toelichting al is opgemerkt, heeft de betrokkene recht op kennisneming. Een persoon van wie persoonsgegevens worden verzameld, moet kunnen nagaan wat er met die gegevens gebeurt. Om deze reden zijn in de artikelen 25 en 26 voorschriften vastgelegd over de informatieverstrekking aan de betrokkene. Deze artikelen bepalen dat de verantwoordelijke verplicht is zijn identiteit bekend te maken aan de betrokkene en deze te informeren over de doeleinden van de verwerking, tenzij de betrokkene daarvan «reeds op de hoogte is»2. Deze informatieplicht is een van de belangrijkste instrumenten uit deze wet, temeer omdat in het onderhavige geval de meldplicht aan de toezichthoudende instantie nog niet wordt ingevoerd waardoor ook geen voorafgaand onderzoek als bedoeld in artikel 31 en 32 van de Nederlandse Wbp zal plaatsvinden. De toezichthoudende instantie zal in de opzet van dit wetvoorstel vooralsnog vooral repressief optreden.
De informatieverstrekking aan de betrokkene moet in ieder geval bevatten wie de verantwoordelijke is, en voor welk doel de gegevens worden verzameld en verwerkt. In voorkomende gevallen moet nadere informatie aan de betrokkene worden verstrekt als dat nodig is om een behoorlijke en zorgvuldige verwerking te waarborgen. Er moet dus telkens worden afgewogen of uit oogpunt van zorgvuldigheid meer gedetailleerde informatie over de verwerking van gegevens moet worden verstrekt aan de betrokkene. De aard van de gegevens, de wijze waarop deze gegevens zijn verkregen en het gebruik dat daarvan wordt gemaakt, spelen daarbij een belangrijke rol. Hoe gevoeliger de gegevens voor de betrokkene liggen, des te meer voor de hand het zal liggen om de betrokkene uitgebreider te informeren over de gegevensverwerking.
De informatieverstrekking moet geschieden voordat de gegevens worden verkregen, of indien de persoonsgegevens van anderen dan de betrokkene zijn verkregen, voordat deze worden vastgelegd door de verantwoordelijke.
Van verkrijging bij de betrokkene zelf is sprake wanneer deze op een formulier persoonsgegevens invult en deze toezendt aan de verantwoordelijke. In dit geval zou dan op het formulier of een bijsluiter kunnen worden opgenomen wie de verantwoordelijke is en wat de doeleinden zijn van de verwerking.
Ook in gevallen waarin de persoonsgegevens buiten de betrokkene om worden verkregen, moet informatieverstrekking plaatsvinden. Dit kan bijvoorbeeld door de betrokkene persoonlijk te informeren maar ook door, wanneer het een grotere groep betrokkenen betreft, door algemenere vormen van informatie waarbij de zekerheid bestaat dat deze de betrokkenen bereiken. Een advertentie in een huis-aan-huis blad wordt in beginsel niet als voldoende aangemerkt.
Ingeval informatieverstrekking onmogelijk is of onevenredige inspanning vergt, kan deze achterwege blijven. Bij onevenredige inspanning kan gedacht worden in gevallen waarin het bijzonder tijdrovend is om het adres van de betrokkene te achterhalen. In die gevallen moet de herkomst van de gegevens worden vastgelegd, zodat een betrokkene eventueel achteraf kan controleren wat met zijn gegevens is gebeurd.
Artikelen 27 tot en met 34 De rechten van betrokkene
Naast de informatieplicht van de verantwoordelijke bestaat het recht op kennisneming van de betrokkene. Deze mag met redelijke tussenpozen vragen of, en zo ja welke persoonsgegevens over hem zijn verwerkt. Binnen vier weken moet er op dergelijk verzoek schriftelijk worden geantwoord. De eis van schriftelijkheid sluit elektronisch berichtverkeer niet uit.
Het antwoord moet bevatten:
– een volledig overzicht van de verwerkte gegevens;
– een omschrijving van het doel van de gegevensverwerking, de categorieën gegevens waarop de verwerking betrekking heeft, de ontvangers of categorieën van ontvangers;
– alle beschikbare informatie over de herkomst van de gegevens.
Als de betrokkene daarnaar vraagt, moet er ook informatie worden verstrekt over het systeem van de geautomatiseerde gegevensverwerking, tenzij daarmee bedrijfsgeheimen worden prijsgegeven.
De betrokkene heeft recht op verbetering, aanvulling, verwijdering of afscherming van die gegevens, wanneer deze feitelijk onjuist blijken te zijn. Er moet wederom binnen vier weken op een dergelijk verzoek worden geantwoord in hoeverre aan het verzoek wordt tegemoetgekomen. Een weigering moet worden gemotiveerd.
De verzochte en gehonoreerde verbetering, aanvulling, verwijdering of afscherming moet zo spoedig mogelijk worden uitgevoerd. De verantwoordelijke is daarbij ook verplicht om derden aan wie de gegevens voorafgaande aan het verzoek zijn verstrekt, te informeren over de correcties. Als de betrokkene daarom heeft verzocht, doet hij tevens opgave van de derden aan wie hij mededeling heeft gedaan.
De betrokkene kan zich in een aantal gevallen verzetten tegen de verwerking van zijn persoonsgegevens. Het betreft de gevallen waarin zijn persoonsgegevens zijn verwerkt omdat de verwerking noodzakelijk is voor een goede vervulling van de publiekrechtelijke taak van een bestuursorgaan, of noodzakelijk is voor een gerechtvaardigd belang van de verantwoordelijke of van een derde (artikel 32).
Ook bij zogeheten direct-marketing kan een betrokkene zich verzetten tegen de verwerking (artikel 33)1. In die gevallen moet hij worden gewezen op de mogelijkheid van verzet (artikel 33, derde lid).
Artikelen 35 en 36 Uitzonderingen en beperkingen
Onder omstandigheden kan het geregelde over de onverenigbare verdere verwerking van persoonsgegevens (artikel 9, eerste lid) en de informatieverstrekking, zowel actief als passief, (artikelen 25 tot en met 27) buiten toepassing blijven. Die omstandigheden zijn onder meer wanneer het in het belang van de veiligheid van de staat is, wanneer strafbare feiten moeten worden voorkomen, opgespoord of vervolgd, wanneer de gewichtige economische en financiële belangen van de staat en andere openbare lichamen of de bescherming van de betrokkene of de rechten en vrijheden van anderen in het geding zijn.
Ook kan de mededeling aan de betrokkene achterwege blijven indien verwerking plaatsvindt door instellingen of diensten voor wetenschappelijk onderzoek of statistiek, waarbij de nodige voorzieningen zijn getroffen dat de gegevens ook uitsluitend voor dat doel wordt gebruikt. Daarnaast hoeft evenmin mededeling plaats te vinden bij de verwerking van persoonsgegevens die deel uit maken van archiefbescheiden die overgebracht zijn naar een archiefbewaarplaats.
Artikelen 37 tot en met 41 Rechtsbescherming
In de artikelen 37 tot en met 41 zijn bepalingen opgenomen over de rechtsgangen die een betrokkene kan bewandelen. Er bestaat een gedifferentieerd systeem voor het rechterlijk toezicht.
Bij beslissingen van bestuursorganen over het recht op kennisname en het recht op verbetering, aanvulling, enz. kan de betrokkene zich op basis van de Wet administratieve rechtspraak BES wenden tot het Gemeenschappelijk Hof van Justitie van Aruba, Curaçao, Sint Maarten en van Bonaire, Sint Eustatius en Saba.
Is de beslissing genomen door een ander dan een bestuursorgaan, bijvoorbeeld een bedrijf, dan kan de betrokkene zich op grond van artikel 38 met een verzoekschrift wenden tot het Gerecht in eerste aanleg van Bonaire, Sint Eustatius en Saba. Het betreft dan een civielrechtelijke procedure.
Een verantwoordelijke die in strijd handelt met het verbod om persoonsgegevens te verwerken, bedoeld in artikel 4, derde lid, is strafbaar.
Artikelen 42 en 43 Het gegevensverkeer met landen buiten de Europese Unie
De hiervoor genoemde EG-richtlijn bescherming persoonsgegevens, die de aanleiding was voor de totstandbrenging van de Nederlandse Wbp, had tot doel vrij verkeer van persoonsgegevens binnen de Europese Unie mogelijk te maken. Om dat doel te realiseren, moest in alle lidstaten een goed en hoog niveau van bescherming van persoonsgegevens tot stand worden gebracht opdat de Europese Unie voor zover het de bescherming van persoonsgegevens betreft, een rechtsgebied zou vormen.
Ten aanzien van landen buiten de Europese Unie gelden echter andere regels. In de Nederlandse Wbp is opgenomen dat gegevensverkeer met die landen slechts mogelijk is, wanneer er een zogenaamd passend beschermingsniveau wordt geboden.
Die bepalingen zijn ook overgenomen in dit wetsvoorstel. Dit brengt mee dat persoonsgegevens alleen mogen worden doorgegeven aan de landen buiten de Europese Unie als het desbetreffende land passende waarborgen biedt voor de bescherming van de persoonsgegevens c.q. de persoonlijke levenssfeer (artikel 42). Of daarvan sprake is, dient aan de hand van de omstandigheden te worden beoordeeld. In eerste instantie zal dit door de verantwoordelijke moeten gebeuren, hoewel er ook door de Minister van Justitie en de Europese Commissie beoordelingen kunnen worden gemaakt op dit vlak.
De beoordeling kan geschieden aan de hand van het volgende:
– de aard van de gegevens;
– het doel of de doeleinden van de voorgenomen verwerking;
– de duur van de voorgenomen verwerking;
– de algemene en sectorale regels die in het desbetreffende land gelden;
– de naleving van veiligheidsmaatregelen die in het land worden nageleefd.
Voor het toezicht op de naleving wordt een Commissie toezicht bescherming persoonsgegevens BES ingesteld. Deze commissie is onafhankelijk.
De drie commissieleden worden door de Minister van Justitie benoemd.
De taken en bevoegdheden van de commissie komen in hoge mate overeen met die van het Cbp. De commissie heeft als voornaamste taak om toe te zien om naleving van deze wet. Daartoe heeft de commissie de bevoegdheid om ambtshalve of op verzoek van een belanghebbende, onderzoek te verrichten naar de toepassing van deze wet. Indien de bevindingen betrekking hebben op de uitvoering van de wet, zullen die ter kennis van de Minister van Justitie worden gebracht. Ook zal de commissie een algemeen verkrijgbaar jaarverslag uitbrengen.
Om het toezicht op de naleving te kunnen realiseren, wordt de commissie toegerust met de bevoegdheid om binnen te treden, om inlichtingen en inzage te vorderen en om medewerking afdwingen, al dan niet onder oplegging van een last onder bestuursdwang of dwangsom. Titel 5.2 van de Algemene wet bestuursrecht (Awb) is bij het toezicht op de naleving van overeenkomstige toepassing, alsook de bepalingen over het binnentreden zoals vastgelegd in de artikelen 155 tot en met 163 van het Wetboek van Strafvordering BES. In verband met de last onder bestuursdwang en dwangsom zijn ook de afdelingen 5.3.1 en 5.3.2 van de Awb van overeenkomstige toepassing verklaard. De bevoegdheid tot het opleggen van een last onder bestuursdwang dan wel dwangsom is ook aan het Cbp toegekend. Wij menen dat deze bevoegdheden effectieve hulpmiddelen kunnen zijn om de naleving van de wet te bevorderen.
Het feit dat de commissie de bovengenoemde bevoegdheden heeft, brengt met zich dat de Wet administratieve rechtspraak BES (War BES) van toepassing is op besluiten van de commissie voor zover deze besluiten als beschikking in de zin van de War BES kunnen worden aangemerkt. Onder het begrip «beschikking» verstaat de War BES: een schriftelijk besluit van een bestuursorgaan inhoudende een publiekrechtelijke handeling die niet van algemene strekking is (artikel 3, eerste lid, van de War BES). Een weigering om een beschikking te geven wordt gelijkgesteld met een beschikking (artikel 3, tweede lid, van de War BES).
Gelet op de bevoegdheid om klachten te behandelen zijn wij van mening dat in ieder geval de voorzitter moet voldoen aan de vereisten voor benoembaarheid tot rechter in het Gemeenschappelijk Hof van Justitie van Aruba, Curaçao, Sint Maarten en van Bonaire, Sint Eustatius en Saba. Wat de bezetting van de commissie betreft, menen wij dat er in de commissie kennis moet bestaan van zowel de publieke en private sector van de eilanden als van de bescherming van persoonsgegevens. Bij de werving van de leden voor de commissie zal dan ook het bezit van die kennis een belangrijk criterium zijn.
De commissie wordt ondersteund door een secretariaat dat de door de Minister van Binnenlandse Zaken en Koninkrijksrelaties in overeenstemming met de Minister van Justitie, gehoord de voorzitter van de commissie, wordt benoemd. Deze wijze van benoeming houdt verband met het feit dat het secretariaat wordt ondergebracht bij het Regionaal Service Centrum. De Minister van Binnenlandse Zaken en Koninkrijksrelaties is rechtspositioneel gezien het bevoegd gezag van het personeel werkzaam bij het Regionaal Service Centrum.
Binnen een jaar na de inwerkingtreding van deze wet, moeten bestaande gegevensverwerkingen in overeenstemming worden gebracht met de wet. Voor nieuwe verwerkingen geldt de wet onmiddellijk. Voor de bijzondere gegevens geldt een langere termijn. Deze bepaling is identiek aan artikel 79 van de Wbp. Wij menen dat de genoemde termijnen voor de invoering ook voor de eilanden toereikend zijn, vooral gelet op de kleinschaligheid op de eilanden.
Nulmeting administratieve lasten bedrijven 2007, ministerie van Justitie (CapGemini, EIM, Deloitte en RambOll, 31 juli 2008).