Op 25 mei 2018 wordt de Algemene verordening gegevensbescherming van toepassing1 (hierna: AVG of verordening). Ter uitvoering hiervan is de Uitvoeringswet Algemene verordening gegevensbescherming (hierna: UAVG of Uitvoeringswet) opgesteld. Daarbij wordt onder meer de Wet bescherming persoonsgegevens (hierna: Wbp) ingetrokken. Als gevolg hiervan is het noodzakelijk enige wetten technisch aan te passen omdat hierin nog verwijzingen zijn opgenomen naar de Wbp, of nog gebruik wordt gemaakt van verouderde terminologie. Dat gebeurt in dit voorstel.
Hierbij zijn rijksbreed dezelfde uitgangspunten toegepast. Uiteraard kan het voorkomen dat van deze uitgangspunten wordt afgeweken om wetgevingtechnische redenen, bijvoorbeeld ter verduidelijking van een bepaalde bepaling. De verschillende wijzigingsopdrachten worden daarom niet telkens toegelicht. Waar wel een bepaalde afweging is gemaakt, wordt dit bij het betreffende artikel toegelicht.
De volgende uitgangspunten zijn toegepast bij het opstellen van het wetsvoorstel.
In beginsel wordt niet expliciet verwezen naar definities uit artikel 4 van de AVG, tenzij dat nodig is omdat anders onduidelijkheid kan ontstaan over de betekenis van een begrip. Ter illustratie: het begrip «verwerkingsverantwoordelijke» (artikel 4, aanhef en onder 7, van de AVG) behoeft in de meeste gevallen geen verdere verwijzing naar de AVG, omdat dit begrip uitsluitend wordt gehanteerd in het kader van de AVG. In het geval dat er omwille van de duidelijkheid wel wordt verwezen naar artikel 4 van de AVG, wordt tevens zoveel als mogelijk verwezen naar het onderdeel van dit artikel. In alle sectorale wetten die met dit wetsvoorstel worden gewijzigd, wordt consistent de term «gegevens over gezondheid» gehanteerd. Bij het definiëren van deze term wordt verwezen naar artikel 4, onderdeel 15, van de AVG.
In de Uitvoeringswet zijn definitiebepalingen opgenomen van «bijzondere categorieën van persoonsgegevens», van «persoonsgegevens van strafrechtelijke aard» en van de verordening zelf. Hierdoor hoeven departementen in hun wetgeving niet telkens te verwijzen naar de artikelen uit de verordening en hoeft niet telkens de volledige titel van de verordening te worden gebruikt. Bij de verwijzing naar bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijk aard wordt verwezen naar paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming.
In de verordening komen termen voor die op grond van de Algemene wet bestuursrecht een andere betekenis hebben dan in de verordening is bedoeld. In deze gevallen wordt bij de betreffende term een verwijzing naar de AVG opgenomen. Bijvoorbeeld: Bezwaar in de zin van artikel 21 van de Algemene verordening gegevensbescherming. Sommige termen in de verordening zijn taalkundig anders dan nu in nationale wetgeving staat. Bijvoorbeeld wissen/verwijderen, rectificeren/verbeteren. In beginsel hoeft dit niet aangepast te worden, omdat hetzelfde wordt bedoeld. Het staat departementen vrij om dit wel te doen.
Binnen het domein van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties wordt in een drietal wetten uitvoering gegeven aan de verordening. Het betreft hier de Kieswet, de Wet raadgevend referendum (Wrr) en de Wet basisregistratie personen (Wet BRP). Deze wetten zijn uitgezonderd van de werking van de Uitvoeringswet Algemene verordening gegevensbescherming. De Kieswet en de Wet BRP golden eerder ook als zelfstandige implementatiewetten van de Richtlijn 95/46 van het Europees Parlement en de Raad van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Hieronder wordt nader ingegaan op de uitvoering van de verordening in deze wetten.
Met dit wetsvoorstel wordt voorzien in een zelfstandige uitvoering van de verordening in de Kieswet. De Uitvoeringswet is niet van toepassing op verwerking van persoonsgegevens bij of krachtens de Kieswet. Dit is in lijn met de huidige situatie waarin de Kieswet is uitgezonderd van het toepassingsbereik van de Wbp, die de uitvoering betreft van Richtlijn 95/46.2 De Kieswet voorziet op dit moment in een eigen regime van rechten en verplichtingen ten aanzien van verwerking van persoonsgegevens. Met dit wetsvoorstel wordt dit regime, dat thans hoofdzakelijk bestaat uit regels omtrent de terinzagelegging, openbaarmaking en vernietiging van bepaalde bescheiden, afgestemd op de verordening.
De keuze voor een zelfstandige uitvoering in de Kieswet is gelegen in het gedetailleerde en bijzondere karakter van het verkiezingsproces, dat op enkele onderdelen vraagt om keuzes die specifiek op dit proces zijn afgestemd. Dit wetsvoorstel geeft hier invulling aan.
De wijzigingen waar dit wetsvoorstel in voorziet kunnen worden ingedeeld in vier categorieën. Ten eerste wordt op onderdelen gebruik gemaakt van de ruimte die de verordening biedt om, in geval van dwingende redenen, de rechten van betrokkenen die zijn neergelegd in de verordening te beperken. Ten tweede treft dit wetsvoorstel op onderdelen een regeling voor de vernietiging van bepaalde bescheiden. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk is voor de doeleinden waarvoor de gegevens verwerkt worden, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. Dit wetsvoorstel voorziet er ten derde in dat het toezicht op verwerking van persoonsgegevens op grond van de Kieswet belegd wordt bij de Autoriteit persoonsgegevens. Tot slot treft dit wetsvoorstel op een beperkt aantal onderdelen een regeling voor de samenloop van rechten die zowel in de Kieswet als in de verordening zijn opgenomen.
In het algemeen deel van deze toelichting worden de hoofdlijnen en de gehanteerde uitgangspunten van dit wetsvoorstel toegelicht. In het artikelsgewijze deel wordt op de afzonderlijke wijzigingen dieper ingegaan.
De intrede van de verordening heeft tot gevolg dat er voor betrokkenen diverse rechten gaan gelden waar de Kieswet op dit moment niet in voorziet. Deze rechten, die gepaard gaan met corresponderende verplichtingen voor verwerkers en verwerkingsverantwoordelijken, zijn neergelegd in hoofdstuk III van de verordening. Voor een nadere toelichting op de inhoud van deze rechten wordt verwezen naar de toelichting bij de Uitvoeringswet.
In artikel 23 van de verordening is ruimte gelaten aan de nationale wetgever om de rechten van betrokkenen te beperken. Dit wetsvoorstel beoogt op enkele onderdelen gebruik te maken van deze ruimte. Hierbij heeft de regering als uitgangspunt aangehouden dat de rechten uit de verordening zoveel als mogelijk behoren te gelden voor verwerking van persoonsgegevens bij of krachtens de Kieswet. Daar waar het bijzondere karakter van het verkiezingsproces echter noopt tot een beperking van die rechten, wordt met dit wetsvoorstel daarin voorzien.
Voor de toepassing van artikel 23 stelt de verordening als voorwaarde dat de beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van een van de belangen, genoemd in de onderdelen a tot en met j van het eerste lid van artikel 23. De beperkingen die met dit wetsvoorstel worden aangebracht zijn noodzakelijk vanwege een belangrijke doelstelling van algemeen belang van de lidstaat (onderdeel e). Dit algemeen belang is, in algemene termen, gelegen in een goed verloop van het verkiezingsproces, dat een essentieel element en voorwaarde vormt van onze democratische samenleving.
In de artikelsgewijze toelichting bij dit wetsvoorstel worden de diverse beperkingen afzonderlijk toegelicht en wordt voorts voor elke beperking afzonderlijk het voornoemde algemeen belang nader gespecificeerd.
Om in de praktijk te bepalen welke rechten in welke omstandigheden van toepassing zijn, is van belang dat voor een groot aantal van de rechten uit de verordening geldt dat de betreffende bepalingen in de verordening zelf reeds voorzien in een aantal uitzonderingen. Zo is het recht op gegevenswissing, bedoeld in artikel 17 van de verordening, niet van toepassing voor zover verwerking nodig is voor het nakomen van een in het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting (derde lid, onderdeel b). Dit betekent dat dit recht niet van toepassing is indien sprake is van een verwerking die noodzakelijk is voor de uitvoering van een wettelijke verplichting zoals opgenomen in de Kieswet. Hetzelfde geldt voor het recht van bezwaar, bedoeld in artikel 21 van de verordening. Dit recht is ingevolge het eerste lid van artikel 21 slechts van toepassing indien de verwerking berust op de verwerkingsgrondslag zoals neergelegd in artikel 6, eerste lid, onderdeel e (algemeen belang of openbaar gezag) of f (gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde), van de verordening. Dit is bij verwerkingen dit berusten op een grondslag in de Kieswet niet het geval.
Gelet op het voorgaande moet bij de beantwoording van de vraag of een bepaald recht uit de verordening van toepassing is ten aanzien van een verwerking die plaatsvindt op grond van de Kieswet, zowel gekeken worden naar de uitzonderingen die gelden uit hoofde van de verordening als naar de beperkingen waar het onderhavige wetsvoorstel in voorziet. Dit verschilt per verwerking en moet dan ook voor elke verwerking afzonderlijk beoordeeld worden.
Artikel 51, eerste lid, van de verordening vereist dat elke lidstaat bepaalt dat één of meer onafhankelijke overheidsinstanties verantwoordelijk zijn voor het toezicht op de verordening. In artikel 6, tweede lid, van de Uitvoeringswet is de Autoriteit persoonsgegevens aangewezen als de toezichthoudende autoriteit. Voor een nadere toelichting hierop wordt verwezen naar de memorie van toelichting bij die wet.
Omdat de Uitvoeringswet niet van toepassing is op verwerking van persoonsgegevens op grond van de Kieswet, regelt dit wetsvoorstel dat de Autoriteit persoonsgegevens zich uitstrekt tot verwerking van persoonsgegevens bij of krachtens de Kieswet. Voorts worden de bepalingen waarmee de bevoegdheden van de Autoriteit persoonsgegevens geregeld worden in de Uitvoeringswet, van overeenkomstige toepassing verklaard ten aanzien van de Kieswet.
De Kieswet is op dit moment niet onderworpen aan het toezicht door de Autoriteit persoonsgegevens, aangezien de Kieswet is uitgezonderd van de werking van de Wbp.
Naast de verplichtingen die voortvloeien uit de rechten van betrokkenen, zoals hiervoor toegelicht, zijn in hoofdstuk IV van de verordening verplichtingen opgenomen voor verwerkers en verwerkingsverantwoordelijken. Voor een nadere toelichting op de verplichtingen wordt verwezen naar de memorie van toelichting bij de Uitvoeringswet.
De verwerkingsverantwoordelijken in het kader van de Kieswet betreffen hoofdzakelijk centraal stembureaus, hoofdstembureaus, burgemeesters en colleges van burgemeester en wethouders, met dien verstande dat per verkiezing verschilt welk orgaan optreedt als centraal stembureau. In geval van Tweede Kamerverkiezingen, Eerste Kamerverkiezingen en Europees Parlementsverkiezingen is dit de Kiesraad.
Met dit wetsvoorstel wordt op enkele onderdelen van de Kieswet een verplichting opgenomen voor de voornoemde organen om bepaalde bescheiden te vernietigen. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de gegevens verwerkt worden, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. Voor zover met de bepalingen omtrent vernietiging bestuurlijke lasten worden gecreëerd, vloeien deze verplichtingen in beginsel dan ook voort uit de verordening. Dit wetsvoorstel beoogt slechts een specifiek moment te verbinden aan deze verplichtingen.
Het toepassingsbereik van de verordening strekt zich niet uit tot de openbare lichamen Bonaire, Sint Eustatius en Saba. De Kieswet is wel van toepassing op de openbare lichamen, met inachtneming van het bepaalde in paragraaf 1 van hoofdstuk Ya. Dit wetsvoorstel houdt er rekening mee dat bepalingen die vervallen als gevolg van een samenloop met de verordening, van toepassing blijven op de openbare lichamen.
Het voorliggende wetsvoorstel is voor advies voorgelegd aan de Autoriteit persoonsgegevens. De onderdelen van het voorstel die strekken tot wijziging van de Kieswet zijn daarnaast tevens voor advies voorgelegd aan de Kiesraad, de gemeente Den Haag, de Nederlandse Vereniging voor Burgerzaken (NVVB) en de Vereniging van Nederlandse Gemeenten (VNG). Het advies van de Kiesraad3, het gezamenlijke advies van de NVVB en de VNG4 alsmede de onderdelen van het advies van de Autoriteit persoonsgegevens5 die betrekking hebben op de Kieswet worden hierna toegelicht. De gemeente Den Haag heeft geen formeel advies uitgebracht.
Advies NVVB en VNG
De regering is verheugd vast te stellen dat de NVVB en de VNG de in het voorstel opgenomen uitzonderingen op de rechten van betrokkenen afdoende onderbouwd achten en dat zij in hun advies uitdrukkelijk aangeven zich te kunnen vinden in de bepalingen die zien op de verplichte vernietiging van stukken waarin persoonsgegevens zijn opgenomen. De NVVB en VNG geven in dat verband tevens aan in te kunnen stemmen met de voorgestelde regeling voor het bewaren van de instemmingsverklaringen en de kopieën van identiteitsbewijzen die bij het inleveren van de kandidatenlijsten worden overlegd. Naar aanleiding van het advies van de Kiesraad is de regeling ten aanzien van de kopieën van identiteitsbewijzen evenwel aangepast. Dit wordt hierna nader toegelicht. De VNG en NVVB spreken in hun advies voorts de verwachting uit dat er voorafgaand aan de inwerkingtreding van dit wetsvoorstel nog een overzicht verschijnt voor de praktijk, waarin de veranderingen voor het verkiezingsproces als gevolg van de verordening en dit wetsvoorstel worden beschreven. De regering beziet thans in hoeverre aan deze verwachting tegemoet kan worden gekomen en in welke vorm dit gestalte zou kunnen krijgen. De redactionele opmerking is niet overgenomen vanwege de aangepaste nummering in de Uitvoeringswet.
Advies Kiesraad
De regering stelt met genoegen vast dat de Kiesraad zich goeddeels kan vinden in het voorgelegde wetsvoorstel en dat hij de keuze voor een zelfstandige uitvoering van de verordening in de Kieswet onderschrijft. In zijn advies geeft de Kiesraad een aantal aanvullende uitzonderingen op de rechten van betrokkenen in overweging.
De Kiesraad geeft in overweging om een uitzondering te maken op de uit artikel 13 van de verordening voortvloeiende verplichting van het centraal stembureau om aan de inleveraar van de kandidatenlijst informatie over de verwerking van zijn persoonsgegevens te verstrekken. Volgens de Kiesraad kan de inleveraar geacht worden goed op de hoogte te zijn van de verwerking van zijn persoonsgegevens en is het voor derden mogelijk moeilijk te bevatten waarom de inleveraar wel wordt geïnformeerd over de verwerking van zijn persoonsgegevens, maar de overige personen wiens persoonsgegevens zijn opgenomen op de kandidatenlijst niet. In het laatste geval kan de verwerkingsverantwoordelijke immers een beroep doen op de uitzondering die is neergelegd in artikel 14, vijfde lid, van de verordening. De regering acht deze argumenten niet zwaarwegend genoeg om een uitzondering te rechtvaardigen en neemt dit advies daarom niet over. Het uitvoeren van de informatieplicht, die naar het oordeel van de regering in dit geval slechts een geringe belasting voor de verwerkingsverantwoordelijke met zich brengt, leidt niet tot enig risico voor een goed verloop van het verkiezingsproces en rechtvaardigt geen beroep op artikel 23 van de verordening.
De Kiesraad adviseert voorts om in het buitenland woonachtige Nederlanders die zich als kiezer wensen te registreren, via het registratieformulier te informeren over de verwerking van hun persoonsgegevens. De regering neemt deze suggestie ter harte. Ter uitvoering hiervan zal door de Minister van Binnenlandse Zaken en Koninkrijksrelaties een wijziging van de relevante modellen uit de Kies- en referendumregeling worden voorbereid.
Met het wetsvoorstel worden op diverse onderdelen uitzonderingen gemaakt op het recht van inzage, het recht op rectificatie en het recht op beperking van de verwerking. Op advies van de Kiesraad is het wetsvoorstel zodanig aangepast dat buiten twijfel staat dat deze uitzonderingen ook gelden jegens personen wiens bezwaren ter uitvoering van artikel J 35, derde lid, in het proces-verbaal van de zitting van het stembureau worden vermeld. Hiermee wordt zeker gesteld dat het document na ondertekening niet gewijzigd kan worden als gevolg van een beroep op de verordening. Op advies van de Kiesraad zijn de voornoemde rechten voorts buiten toepassing verklaard ten aanzien van verwerking van persoonsgegevens op grond van artikel J 9, waarin de verplichting is opgenomen voor de burgemeester om de kandidatenlijsten ter kennis van de kiezers te brengen. Op die manier wordt geborgd dat de lijst die «huis-aan-huis» verspreid wordt gelijk is aan de lijst die onherroepelijk is vastgesteld door het centraal stembureau.
De Kiesraad vraagt in zijn advies ook aandacht voor de handelingen van het stembureau die zien op het innemen van de stempassen van kiezers die tot de stemming worden toegelaten. Daarbij merkt de Kiesraad terecht op dat bij een eventuele herstemming aan de hand van de stempassen wordt vastgesteld wie aan de herstemming deel mag nemen, hetgeen tot gevolg heeft dat deze handelingen verwerkingen van persoonsgegevens betreffen. De persoonsgegevens zijn in dat geval immers bestemd om in een bestand te worden opgenomen (artikel 2, eerste lid, van de verordening). Het voorstel regelt daarom dat de artikelen 15, 16 en 18 van de verordening, waarin respectievelijk een recht van inzage, een recht op rectificatie en een recht op beperking van de verwerking zijn opgenomen, niet van toepassing zijn op de voornoemde handelingen voor zover besloten wordt tot een herstemming.
De Kiesraad adviseert tot slot om een regeling te treffen voor de vernietiging van de kopieën van identiteitsbewijzen die overgelegd worden bij de inlevering van de kandidatenlijst. De Kiesraad merkt hierbij op dat, anders dan de instemmingsverklaringen, de kopieën van identiteitsbewijzen niet gebruikt worden bij tussentijdse benoemingen. De regering neemt dit advies over en heeft het voorstel en de artikelsgewijze toelichting dienovereenkomstig aangepast.
Advies Autoriteit persoonsgegevens
De Autoriteit persoonsgegevens stelt in haar advies terecht dat bij iedere beperking op grond van artikel 23 van de verordening, bezien moet worden of aanleiding bestaat om te voorzien in specifieke bepalingen over, in voorkomend geval, de in artikel 23, tweede lid, van de verordening genoemde onderdelen. De Autoriteit persoonsgegevens adviseert om hier bij iedere beperking op basis van artikel 23, eerste lid, ten minste aandacht aan te besteden in de memorie van toelichting. Zij verwijst hierbij specifiek naar een aantal wijzigingen in de Kieswet. De artikelsgewijze toelichting bij deze wijzigingen is naar aanleiding hiervan aangevuld.
De Autoriteit persoonsgegevens verwijst in haar advies voorts naar de onderdelen van de Kieswet waarin een verplichting wordt opgenomen voor de verwerkingsverantwoordelijken om bepaalde bescheiden te vernietigen. Het advies van de Autoriteit persoonsgegevens om hierbij de grondslag uit de verordening te noemen, die gevonden kan worden in artikel 6, tweede lid, van de verordening, is overgenomen en verwerkt in de artikelsgewijze toelichting bij de betreffende onderdelen.
Met dit wetsvoorstel wordt voorzien in een zelfstandige uitvoering van de verordening in de Wrr. De Uitvoeringswet is niet van toepassing op verwerking van persoonsgegevens bij of krachtens de Wrr. De keuze voor een zelfstandige uitvoering in de Wrr is, evenals ten aanzien van de Kieswet, gelegen in het gedetailleerde en bijzondere karakter van de referendumprocedure, dat op enkele onderdelen vraagt om keuzes die specifiek op dit proces zijn afgestemd.
Dit wetsvoorstel regelt dat een aantal van de rechten uit de verordening niet van toepassing is ten aanzien van verwerkingen van persoonsgegevens die plaatsvinden op grond van de Wrr. Voorts wordt geregeld dat het toezicht op deze verwerkingen belegd blijft bij de Autoriteit persoonsgegevens.
De Wrr biedt aan kiezers de mogelijkheid om een verzoek in te dienen tot het houden van een raadgevend referendum. Dit geschiedt in twee fasen: de fase van het inleidend verzoek en de fase van het definitief verzoek. Gedurende beide fasen kunnen kiezers hun wens om een referendum over een wet of verdrag te houden uiten door middel van het plaatsen van een aantal in de Wrr gespecificeerde persoonsgegevens op een lijst.6 Een kiezer die zijn werkelijke woonplaats buiten Nederland heeft, legt bij zijn verzoek tevens een kopie over van zijn identiteitsbewijs.7 De lijsten worden ingediend bij de voorzitter van het centraal stembureau.8
De voorzitter is op grond van artikel 33 en 45 Wrr verantwoordelijk voor het beoordelen van de ingediende verzoeken op hun geldigheid (voor zover in deze toelichting gesproken wordt van verzoeken wordt zowel gedoeld op verzoeken ten behoeve van het inleidend verzoek als op ondersteuningsverklaringen ten behoeve van het definitief verzoek). Na de beoordeling van de verzoeken vindt op grond van bepalingen in de hoofdstukken 6 en 7 van de Wrr een aantal verwerkingen plaats. Hieronder zijn mede begrepen het ter inzage leggen van de lijsten waarop ongeldig verklaarde verzoeken zijn opgenomen en de vernietiging van de lijsten.
Ten aanzien van de verwerkingen die bij of krachtens de hoofdstukken 6 en 7 van de Wrr plaatsvinden is (de voorzitter van) het centraal stembureau de verwerkingsverantwoordelijke in de zin van artikel 4, aanhef en onderdeel 7, van de verordening. De verwerkingen zijn noodzakelijk om te voldoen aan wettelijke verplichtingen die op (de voorzitter van) het centraal stembureau rusten (artikel 6, eerste lid, onderdeel c, van de verordening).
De Wrr valt op dit moment onder de reikwijdte van de Wbp, die de uitwerking betreft van Richtlijn 95/46. Gelet op de overeenkomsten tussen de rechten die zijn opgenomen in de richtlijn en de rechten die zijn opgenomen in de verordening, is een groot deel van de rechten uit de verordening reeds van toepassing op persoonsgegevensverwerkingen die berusten op de Wrr. Dit is een verschil ten opzichte van de Kieswet, die thans niet onder de reikwijdte van de Wbp valt. De rechten zoals neergelegd in de artikelen 16 en 18 van de verordening, waarin respectievelijk een recht op rectificatie en een recht op beperking van de verwerking is neergelegd, worden met dit wetsvoorstel buiten toepassing verklaard ten aanzien van de persoonsgegevensverwerkingen die plaatsvinden op grond van de hoofdstukken 6 en 7 van de Wrr. De reden hiervoor is dat het systeem van de Wrr zich niet verhoudt met de toepassing van deze rechten. De beperkingen worden nader toegelicht in de artikelsgewijze toelichting.
Omdat de Uitvoeringswet niet van toepassing is op verwerking van persoonsgegevens bij of krachtens de Wrr, regelt dit wetsvoorstel dat het toezicht door de Autoriteit persoonsgegevens zich uitstrekt tot verwerking van persoonsgegevens bij of krachtens de Wrr. Voorts worden de bepalingen waarmee de bevoegdheden van de Autoriteit persoonsgegevens geregeld worden in de Uitvoeringswet, van overeenkomstige toepassing verklaard ten aanzien van de Wrr.
Het voorliggende wetsvoorstel is voor advies voorgelegd aan de Autoriteit persoonsgegevens. De onderdelen van het voorstel die strekken tot wijziging van de Wrr zijn daarnaast tevens voor advies voorgelegd aan de Kiesraad, de Nederlandse Vereniging voor Burgerzaken (NVVB) en de Vereniging van Nederlandse Gemeenten (VNG). De regering is verheugd vast te stellen dat de NVVB en de VNG de in het voorstel opgenomen uitzonderingen op de rechten van betrokkenen afdoende onderbouwd achten. De regering stelt daarnaast met genoegen vast dat de Kiesraad in zijn advies aangeeft zich goeddeels te kunnen vinden in de inhoud van het voorgelegde wetsvoorstel alsmede dat hij het voornemen om te voorzien in een zelfstandige uitvoering van de verordening in de Wrr onderschrijft. De Kiesraad heeft verder geen opmerkingen over de onderdelen van het wetsvoorstel die zien op de Wrr.
De Autoriteit persoonsgegevens verwijst in haar advies op twee onderdelen specifiek naar de onderdelen van dit wetsvoorstel die betrekking hebben op de Wrr. De Autoriteit persoonsgegevens adviseert de regering ten eerste om, daar waar gebruik wordt gemaakt van de ruimte die de verordening biedt om de rechten van betrokkenen te beperken, in de toelichting nader in te gaan op de waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte als bedoeld in artikel 23, tweede lid, onderdeel d, van de verordening. De artikelsgewijze toelichting is op dit onderdeel aangevuld. De Autoriteit persoonsgegevens merkt in haar advies ten tweede op dat de beperkingen van de rechten van betrokkenen die worden aangebracht ten aanzien van de Wrr, een materiële wijziging betreft ten opzichte van de huidige situatie. De regering bevestigt dat inderdaad opnieuw is bezien hoe de rechten uit de verordening zich verhouden tot de systematiek van de Wrr. Dit leidt tot de conclusie dat de referendumprocedure, evenals de verkiezingsprocedure, omwille van een goed verloop vraagt om een aantal beperkingen.
Met dit wetsvoorstel wordt wat betreft de gegevensverwerking in de basisregistratie personen (BRP) een eigenstandige uitvoering gegeven aan de verordening in de Wet basisregistratie personen (Wet BRP). De Wet BRP is uitgezonderd van het toepassingsbereik van de Uitvoeringswet. Dit is in lijn met de huidige situatie waarin de Wet BRP is uitgezonderd van de toepassing van de Wbp.
Met de voorliggende wijzigingen wordt een beleidsneutrale implementatie van de verordening in de Wet BRP gerealiseerd. Hiermee wordt bedoeld dat de bestaande regels op het terrein van de privacy, zoals die in de Wet BRP zijn opgenomen, inhoudelijk waar mogelijk worden gehandhaafd. Het bestaande privacybeleid met betrekking tot de verwerking van persoonsgegevens in de basisregistratie personen is gebaseerd op Richtlijn 95/46. De richtlijn is in de BRP geïmplementeerd met de inwerkingtreding van de Wet BRP op 6 januari 2014. In grote lijnen gelden de algemene uitgangspunten die toentertijd golden met betrekking tot de basisregistratie personen en privacy ook na implementatie van de verordening. De belangrijkste beginselen en definities zijn in de verordening gelijk gebleven ten opzichte van de richtlijn. Daar waar de regels over privacy in grote lijnen hetzelfde zijn gebleven in de verordening ten opzichte van de richtlijn, wordt verwezen naar de memorie van toelichting bij het wetsvoorstel betreffende de Wet BRP voor een nadere uitleg omtrent een aantal beginselen (doelbinding, verenigbaarheid en toelaatbaarheid, transparantie, beveiliging, toezicht).9 Voor een toelichting op de inhoud van de verordening wordt verwezen naar de memorie van toelichting bij de Uitvoeringswet.
Een van de belangrijkste wijzigingen met betrekking tot het Europese privacyrecht ten opzichte van de richtlijn is gelegen in de keuze voor het wetgevingsinstrument van de verordening. De keuze voor een verordening heeft grote gevolgen voor de verhouding tussen Europees en nationaal recht. Anders dan bij een richtlijn wordt een verordening niet omgezet in een nationale regeling. De verordening werkt rechtstreeks. De nationale wetgeving dient te voorzien in de voor de uitvoering van de verordening noodzakelijke uitvoerings- en handhavingsstructuren.
Daarnaast biedt deze verordening ook een heel aantal grondslagen en verplichtingen om specifieke lidstatelijke regelingen vast te stellen op het gebied van persoonsgegevensbescherming. De Wet BRP wordt aangepast opdat zij in lijn gebracht wordt met de verordening.
Op een aantal punten leidt het vervangen van de richtlijn door de verordening tot aanpassingen in de Wet BRP. Deze aanpassingen kunnen ingedeeld worden in 3 categorieën:
1. aanpassingen die overlap en dubbele bepalingen in de Wet BRP en de verordening moeten tegengaan, omdat de verordening rechtstreeks van toepassing is in de Nederlandse rechtsorde;
2. aanpassingen die de hiervoor genoemde beleidsneutrale implementatie van de verordening in de Wet BRP mogelijk maken. Deze aanpassingen beperken, voor zover de verordening dit toestaat, de reikwijdte van bepaalde in de verordening opgenomen rechten van de burger vanwege de bijzondere positie van de basisregistratie personen. De BRP kent immers een verplichte verwerking van persoonsgegevens van burgers, die noodzakelijk is voor de taakuitvoering van de overheid;
3. aanpassingen die voortvloeien uit het wegvallen van de Wbp en de inwerkingtreding van de Uitvoeringswet.
In het artikelsgewijze deel van deze toelichting wordt op de afzonderlijke wijzigingen dieper ingegaan. In dit algemene deel wordt in globale zin aandacht besteed aan de tweede categorie aanpassingen die de rechten van burgers inperken vanwege de bijzondere positie van de basisadministratie personen. Daarnaast wordt een korte toelichting gegeven op enkele verplichtingen die direct gelden op grond van de verordening.
In deze paragraaf wordt kort ingegaan op de rechten van burgers op grond van de verordening, de werking van deze rechten met betrekking tot de persoonsgegevensverwerking in de basisregistratie personen en de grondslag en motivatie voor beperking van deze rechten in de context van de basisregistratie personen.
In Hoofdstuk III van de verordening zijn de rechten van de betrokkene ter waarborging van zijn privacy neergelegd. Voor het grootste deel waren die rechten al opgenomen in de richtlijn, maar zij zijn in de verordening ook op een aantal punten uitgebreid. Zo golden het recht van betrokkene op informatie over de verwerking van persoonsgegevens, het recht op inzage in de verwerking van de persoonsgegevens (waaronder de verstrekking van die gegevens) en het recht om bezwaar te maken tegen de verwerking van gegevens reeds onder de richtlijn. Nieuw ten opzichte van de richtlijn zijn onder andere het uitgebreidere recht op gegevenswissing (recht op vergetelheid) en het recht van betrokkene om hem betreffende gegevens op te vragen bij de ene verwerkingsverantwoordelijke en deze over te dragen aan een andere verwerkingsverantwoordelijke (gegevensoverdraagbaarheid). Dit laatste recht is in de context van de basisregistratie personen overigens niet aan de orde, aangezien daarbij geen sprake is van een persoonsgegevensverwerking op grond van toestemming of overeenkomst. Deels nieuw is voorts het recht om niet onderworpen te worden aan geautomatiseerde individuele besluitvorming, waaronder profilering.
In algemene zin biedt de verordening in artikel 23 de lidstaten de mogelijkheid om in nationaal recht de reikwijdte van de in de verordening opgenomen verplichtingen en rechten ter bescherming van de privacy van de burger te beperken. Daarbij geldt de voorwaarde dat de beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van belangrijke doelstellingen van algemeen belang van een lidstaat.
Een goede werking van de basisregistratie personen betreft een belangrijke doelstelling van algemeen belang als bedoeld in artikel 23, eerste lid, onder e, van de verordening. De basisadministratie bevat een aantal persoonsgegevens betreffende ingezetenen van het Europese deel van Nederland en niet-ingezetenen die onmisbaar zijn voor de goede vervulling van de taken van algemeen belang door de overheid. Deze centrale rol van de basisregistratie personen blijkt met name uit de wettelijke verplichting voor bestuursorganen om de daarin opgenomen gegevens te gebruiken, indien zij deze gegevens nodig hebben voor de uitvoering van hun wettelijke taken (zie artikel 1.7 van de Wet BRP). Daarnaast zijn burgers die zich in het Europese deel van Nederland vestigen verplicht om zich als ingezetene in te laten schrijven in de basisregistratie. Ook kunnen burgers die zich hier vestigen en nalaten daarvan aangifte te doen of die niet-ingezetene zijn maar wel een administratieve relatie hebben met bepaalde Nederlandse bestuursorganen, ambtshalve worden ingeschreven in de BRP.
Het voorgaande betekent dat in een aantal gevallen de in de verordening opgenomen bepalingen ter bescherming van de privacy van een burger, waar het gaat om de verwerking van hem betreffende gegevens in de basisregistratie personen, moeten worden beperkt. In verband met de rechtstreekse toepasselijkheid van de verordening in het Nederlandse recht leidt dit ertoe dat, voor zover dit aan de orde is, in de Wet BRP in bepaalde gevallen rechten in de verordening worden beperkt, zodanig dat een recht op grond van de verordening niet kan worden ingeroepen door de burger in de context van de basisregistratie personen.
In algemene zin kan in dit verband nog worden opgemerkt dat wat betreft de termijnen waarbinnen de verwerkingsverantwoordelijke (het college van burgemeester en wethouders of de Minister) moet handelen om de rechten van de burger te beschermen (al dan niet op diens verzoek), in de Wet BRP het recht van de burger ook wordt beperkt op grond van artikel 23, eerste lid, onderdeel e, van de verordening. Deze beperking heeft overigens voornamelijk betrekking op het feit dat in de verordening wordt gewerkt met ofwel een directe beantwoording van een verzoek (bij informatieverschaffing op grond van artikel 13 AVG) ofwel termijnen van een maand of een veelvoud daarvan, terwijl in de Wet BRP wordt gesproken over een termijn van vier weken of een veelvoud daarvan. Burgers beschikken op grond van de Wet BRP over een aantal rechten. Een deel van die rechten vloeit voort uit de verordening waarvoor met betrekking tot de verwerking van de verzoeken tot uitoefening van de rechten, indien van de verordening niet afgeweken zou worden, een maximale termijn van een maand geldt, of in bepaalde gevallen een veelvoud van maanden. Een ander deel van die rechten vloeit voort uit de Wet BRP zelf, waarbij een termijn van maximaal vier weken geldt. Aangezien het aanhouden van verschillende termijnen voor verzoeken in het kader van de uitoefening van de rechten op grond van de verordening en rechten op grond van de Wet BRP tot verwarring in de uitvoering zou kunnen leiden, is besloten om op dit punt de bestaande systematiek in de Wet BRP te handhaven en steeds termijnen van maximaal vier weken aan te houden, of een veelvoud daarvan. De grondslag voor deze afwijkende termijnen kan gevonden worden in artikel 23, eerste lid, onderdeel e, van de verordening waarin vastgelegd is dat een beperking van de reikwijdte van de verplichtingen op grond van de verordening zoals vastgelegd in de artikelen 12 tot en met 22 en 34 (hieronder valt ook een beperking in termijnen voor behandeling van verzoeken tot uitoefening van de rechten van burgers) is toegestaan indien die beperking de wezenlijke inhoud van de grondrechten en de fundamentele vrijheden van burgers onverlet laat en een noodzakelijke en evenredige maatregel is ter waarborging van een belangrijke doelstelling van algemeen belang. Een goede werking van de basisregistratie personen betreft een doelstelling van algemeen belang zoals hierboven is uiteengezet. Het is voor een goede werking van de basisregistratie noodzakelijk dat dezelfde termijnen worden aangehouden om verwarring in de uitvoering te voorkomen. Ter waarborging van de rechten van burgers wordt een maatregel in de zin van artikel 23, tweede lid, van de verordening opgenomen in de wet waarin is vastgelegd dat de burgers bij de inschrijving in de basisregistratie personen op de hoogte worden gesteld op welke wijze hun rechten op grond van de verordening worden beperkt waarbij aandacht geschonken zal worden aan de afwijkende termijnen.
Hierna zal voor de verschillende rechten die aan burgers in de verordening zijn toegekend worden uiteengezet in hoeverre daarop een beroep gedaan kan worden in de context van de persoonsgegevensverwerking in de basisregistratie personen.
Recht op informatie (artikelen 13 en 14 van de verordening)
De verwerkingsverantwoordelijke is verplicht om een burger over wie gegevens worden verwerkt te informeren over zaken als het doel van de verwerking, de categorieën van persoonsgegevens, de ontvangers van die gegevens en de rechten die de betrokkene heeft in verband met die gegevensverwerking. Die informatie dient te worden verstrekt op het moment dat de gegevens worden verzameld bij de betrokkene zelf (artikel 13) of, in het geval de gegevens van een ander zijn verkregen, binnen een redelijke termijn of een tijdstip dat in de verordening is voorgeschreven (artikel 14).
Het recht op informatie, zoals voorzien in de verordening, is nu al deels geïmplementeerd in de artikelen 2.54 en 2.81 van de Wet BRP vanwege de richtlijn. In de verordening zijn de informatieverplichtingen echter uitgebreid ten opzichte van de richtlijn. Straks zal in het kader van de uitvoering van de Wet BRP de informatie moeten worden verstrekt, die in de artikelen 13 en 14, van de verordening is opgenomen. Wat betreft het moment waarop de informatie aan de burger moet worden verstrekt wordt omwille van de uitvoerbaarheid van de wet echter de bestaande praktijk gehandhaafd, waarbij dit gebeurt binnen vier weken na de inschrijving van betrokkene in de basisregistratie, of op het moment dat deze van niet-ingezetene ingezetene wordt. In het kader van de bijhouding van de basisregistratie kan ook na de inschrijving informatie ontvangen worden, hetzij van de burger zelf vanwege gewijzigde persoonlijke omstandigheden die leiden tot wijzigingen in de gegevens op de persoonslijst, hetzij van anderen, zoals gebruikers van de basisregistratie die terugmeldingen doen van afwijkende gegevens of bestuursorganen die komen te beschikken over relevante (nieuwe) gegevens. Ook in deze gevallen zal het moment waarop die informatie aan de burger wordt verstrekt kunnen afwijken van de regeling zoals die in artikel 13 en 14 van de verordening is opgenomen. De verordening biedt hiertoe de mogelijkheid. De grondslag om de in artikel 13 van de verordening opgenomen verplichtingen met betrekking tot het moment van informatieverschaffing te beperken, is gelegen in het hiervoor genoemde artikel 23, eerste lid, onderdeel e, van de verordening. Een goede werking van de basisregistratie personen betreft een doelstelling van algemeen belang als bedoeld in artikel 23, eerste lid, onder e, van de verordening, zoals hierboven is uiteengezet. De mogelijkheid om van de in artikel 14, derde lid, van de verordening genoemde tijdstippen af te wijken is opgenomen in het vijfde lid van dat artikel. Op grond van die bepaling geldt dat de leden 1 tot en met 4 niet van toepassing zijn wanneer en voor zover het verkrijgen of verstrekken van gegevens uitdrukkelijk is voorgeschreven bij lidstatelijk recht en dat recht voorziet in passende maatregelen om de gerechtvaardigde belangen van de betrokkene te beschermen.
De motivering om de genoemde bepalingen te beperken is gelegen in het volgende. Ten eerste geldt dat bij de inschrijving van een persoon in de BRP zowel gegevens kunnen worden verkregen bij de betrokkene zelf (art 13 AVG) als bij andere overheidsorganen (art 14 AVG) en er dus twee informatieverplichtingen bestaan met verschillende termijnen voor de informatieverschaffing. Omwille van de eenduidigheid in de uitvoering worden deze termijnen gelijk getrokken. De termijn van maximaal vier weken is tot stand gekomen om na de inschrijving enerzijds een zo volledig mogelijk overzicht te kunnen geven van de gegevens die over betrokkene worden verwerkt, aangezien de benodigde gegevens op verschillende tijdstippen bij de verwerkingsverantwoordelijke voor de BRP binnen kunnen komen en anderzijds rekening te kunnen houden met logistieke omstandigheden die per gemeente kunnen verschillen. De termijn van vier weken betreft een maximumtermijn. In de praktijk zal waar mogelijk de desbetreffende informatie sneller kunnen worden verstrekt. Voorts geldt dat de gegevensverwerking in de BRP in de wet uitputtend is geregeld en de ingeschrevene derhalve in algemene zin uit de regelgeving al kan afleiden welke gegevens over hem bijgehouden kunnen worden, aan welke bronnen deze gegevens kunnen worden ontleend, hoe lang ze worden bewaard, aan wie en voor welk doel zij kunnen worden verstrekt en welke rechten hij heeft (zoals het recht op inzage en correctie van gegevens). Ook heeft de burger inzicht in mogelijke gegevensverstrekkingen door raadpleging van nadere regelgeving op grond van de Wet BRP en gemeentelijke verordeningen waarin lokale verstrekkingen zijn geregeld. Voor zover het gaat om systematische gegevensverstrekking uit de BRP aan overheidsorganen en derden zijn er de autorisatiebesluiten van de Minister van BZK die worden gepubliceerd in de Staatscourant en door de burger kunnen worden geraadpleegd. In een autorisatiebesluit zijn de motivering voor de verstrekking aan een specifieke afnemer en de categorieën gegevens die verstrekt kunnen worden aan de afnemer opgenomen.
Het telkens opnieuw verstrekken van de hier bedoelde informatie bij iedere opneming van een nieuw gegeven zou een onevenredig beslag leggen op de uitvoering van de werkzaamheden in verband met de basisregistratie dat niet opweegt tegen de te verwachten versterking van de informatiepositie die de burger al heeft. Gezien het vorenstaande zijn, ondanks de beperking van de in de verordening opgenomen regelingen omtrent de termijnen voor informatieverstrekking, de gerechtvaardigde belangen van de burger in voldoende mate gewaarborgd. Daaraan wordt nog bijgedragen doordat een specifieke bepaling in de wet is opgenomen waaruit volgt dat burgers op het moment van inschrijving in de BRP geïnformeerd worden over de rechten die zij hebben in het kader van de BRP, waaronder informatie over de rechten die zij hebben op grond van de verordening en de in algemene zin geldende beperkingen op deze rechten. In die zin wordt ook voldaan aan de voorwaarde zoals opgenomen in artikel 23, tweede lid, onderdeel h, van de verordening dat burgers van de beperking van hun rechten op de hoogte gesteld worden.
Recht op inzage (artikel 15 van de verordening)
Het recht van betrokkene om uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die gegevens en informatie over de verwerking (recht op inzage) was voorafgaande aan de inwerkingtreding van de verordening al geïmplementeerd in de artikelen 2.55, 2.81 en 3.22 van de Wet BRP vanwege de richtlijn. In verband met de rechtstreekse toepasselijkheid van de verordening zijn deze artikelen zodanig aangepast dat daarin nog enkel die onderdelen zijn opgenomen die niet al in de verordening zijn geregeld.
Recht op rectificatie (artikel 16 van de verordening)
Het recht van betrokkene op rectificatie van onjuiste persoonsgegevens was voorafgaande aan de inwerkingtreding van de verordening al geïmplementeerd in de artikelen 2.58 en 2.81 van de Wet BRP vanwege de richtlijn. De Wet BRP is, met inachtneming van de rechtstreekse toepasselijkheid van de bepaling in de verordening, daarop aangepast.
Recht op gegevenswissing (artikel 17 van de verordening)
Het recht op gegevenswissing was wat betreft het wissen van gegevens in verband met een onrechtmatige verwerking al geïmplementeerd in artikel 2.58 en 2.81 van de Wet BRP vanwege de richtlijn. Met inachtneming van de rechtstreekse toepasselijkheid van artikel 17, eerste lid, onder d, van de verordening is de Wet BRP daarop aangepast.
Wat betreft de overige gronden voor gegevenswissing zoals opgenomen in artikel 17 van de verordening geldt dat deze niet kunnen worden ingeroepen in de context van de persoonsgegevensverwerking in de basisregistratie personen. De grondslag voor deze beperking van dit recht van de burger is gelegen in artikel 17, derde lid, onderdeel b, van de verordening. Hierin is vastgelegd dat de eerste twee leden van artikel 17 niet van toepassing zijn voor zover de verwerking van de gegevens nodig is voor het nakomen van een in het lidstatelijke recht neergelegde wettelijke verwerkingsverplichting die op de verwerkingsverantwoordelijke rust. In artikel 2.7 van de Wet BRP is het beginsel neergelegd dat een eenmaal in de BRP opgenomen algemeen gegeven daarin opgenomen blijft. Op grond hiervan kan worden afgeweken van artikel 17, eerste en tweede lid, van de verordening.
Recht op beperking van de verwerking (artikel 18 van de verordening)
Dit recht kan niet worden ingeroepen met betrekking tot persoonsgegevensverwerkingen in de basisregistratie personen. De grondslag om in de Wet BRP het recht zoals opgenomen in artikel 18 van de verordening te beperken is gelegen in het hiervoor genoemde artikel 23, eerste lid, onderdeel e, van de verordening. De essentiële functie die de basisregistratie heeft als centrale en primaire informatiebron voor de overheid staat in de weg aan het kunnen inroepen van het recht zoals neergelegd in artikel 18, aangezien de informatiestroom binnen de overheid hierdoor ernstig gehinderd zou worden, terwijl deze gegevens juist noodzakelijk zijn voor de goede vervulling van de taken van de overheidsorganen. In het belang van de rechten van de betrokkene zijn wel specifieke maatregelen in de zin van artikel 23, tweede lid, van de verordening opgenomen in de wet. Ten eerste is het op grond van de Wet BRP mogelijk een aantekening bij een gegeven te plaatsen op de persoonslijst van een burger, indien een gegeven in onderzoek staat of onjuist is, zodat het voor de ontvangende partijen duidelijk wordt dat een gegeven ter discussie staat of onjuist is. Daarnaast kan een burger op grond van de verordening een verzoek doen tot rectificatie of wissing om een onjuist gegeven te verbeteren, aan te vullen of te verwijderen. Bovendien is er een terugmeldverplichting voor bestuursorganen in de Wet BRP opgenomen. Indien zij gegevens verstrekt krijgen uit de BRP waarbij zij twijfel hebben omtrent de juistheid van deze gegevens, dienen zij een terugmelding te doen aan het college van burgemeester en wethouders dat verantwoordelijk is voor de bijhouding van gegevens over de betrokken persoon in de BRP. Dit college kan naar aanleiding van de terugmelding een onderzoek instellen naar de juistheid van het betreffende gegeven en een aantekening plaatsen bij het gegeven, dan wel een wijziging doorvoeren. Tot slot wordt de burger op de hoogte gesteld van de beperkingen van zijn rechten op grond van de verordening bij de inschrijving in de basisregistratie personen.
Het beperken van het recht zoals neergelegd in artikel 18 van de verordening doet geen afbreuk aan het bestaande recht van de burger om de gegevensverstrekking uit de BRP aan derden in bepaalde gevallen te beperken, zoals neergelegd in artikel 2.59 van de wet. Deze wettelijke bepaling heeft immers geen betrekking op het recht, bedoeld in artikel 18 van de verordening, maar biedt een in het nationale recht geboden mogelijkheid aan de ingeschrevene om een deel van de verstrekking van hem betreffende gegevens aan derden uit de basisregistratie personen zelf te bepalen. In tegenstelling tot de situatie, bedoeld in artikel 18 van de verordening, hoeft het verzoek om de verstrekking van gegevens aan derden te beperken, bedoeld in artikel 2.59 van de wet, dan ook niet nader door de betrokkene te worden onderbouwd en geldt de beperking wanneer en zolang deze dit wenst.
Kennisgevingsplicht (artikel 19 van de verordening)
De kennisgevingsplicht in de huidige Wet BRP is beperkter van opzet dan de kennisgevingsplicht inzake rectificatie of wissing van persoonsgegevens of verwerkingsbeperking zoals neergelegd in artikel 19 van de verordening en zal alleen plaatsvinden op verzoek van de betrokkene in plaats van automatisch. De kennisgevingsplicht is in de wet aan een termijn gebonden en zal bovendien slechts worden gedaan aan overheidsorganen en derden aan wie gedurende twintig jaren voorafgaand aan het verzoek van de betrokkene de desbetreffende gegevens zijn verstrekt, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost. De bestaande wettelijke regeling op dit punt wordt gehandhaafd. Vanwege de complexiteit van de persoonsgegevensverwerkingen in de BRP en de grootschalige verstrekking van gegevens daaruit aan tal van overheidsorganen en derden kan niet iedere ontvanger aan wie persoonsgegevens uit de BRP zijn verstrekt automatisch in kennis worden gesteld van elke rectificatie of wissing van persoonsgegevens. De werklast die zou voortvloeien uit automatische kennisgeving van elke rectificatie of wissing van persoonsgegevens of van iedere beperking van de verwerking aan iedere ontvanger aan wie persoonsgegevens zijn verstrekt, leidt tot een onevenredige inspanning in het kader van de uitvoering van de Wet BRP. Artikel 19 van de verordening biedt echter ruimte voor een beperktere kennisgevingsplicht, aangezien daarin is opgenomen dat kennisgevingen achterwege kunnen blijven indien dit onmogelijk blijkt of onevenredig veel inspanning vergt. In de praktijk worden overigens de ontvangers die bij ministerieel besluit zijn geautoriseerd voor zogenaamde spontane mutatieverstrekkingen uit de BRP al op de hoogte gesteld van wijzigingen die hebben plaatsgevonden in de gegevens die zij gewoonlijk ontvangen.
Recht op overdraagbaarheid van gegevens (artikel 20 van de verordening)
Dit recht is met betrekking tot de verwerking van persoonsgegevens in de basisregistratie personen niet aan de orde aangezien de persoonsgegevensverwerking in de basisregistratie personen niet plaatsvindt op grond van toestemming van de betrokkene voor verwerking van hem betreffende persoonsgegevens en er evenmin sprake is van een gegevensverwerking die noodzakelijk is voor de uitvoering van een overeenkomst waarbij de betrokkene partij is.
Recht van bezwaar (artikel 21 van de verordening)
Volgens het eerste lid van artikel 21 van de verordening heeft de betrokkene te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens. Dit recht is met betrekking tot de verwerking van persoonsgegevens in de basisregistratie personen niet aan de orde aangezien de gegevens in de basisregistratie personen verwerkt worden door de betrokken partijen op grond van een wettelijke verplichting (artikel 6, eerste lid, onderdeel c, van de verordening). Dit neemt niet weg dat in de Wet BRP wel enkele bepalingen zijn opgenomen waarin rekening wordt gehouden met de specifieke situatie van de ingeschrevene. Het betreft dan de mogelijkheid om te verzoeken om verwijdering uit de basisregistratie personen van gegevens over een ingeschrevene die dateren van voor diens adoptie of geslachtswijziging (artikel 2.57) en de mogelijkheid om de verstrekking van gegevens aan bepaalde derden (niet-overheidsorganen) tegen te gaan (artikel 2.59).
Geautomatiseerde individuele besluitvorming (artikel 22 van de verordening)
De betrokkene heeft het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking, waaronder profilering, gebaseerd besluit waaraan voor hem rechtsgevolgen zijn verbonden of dat hem anderszins in aanmerkelijke mate treft. Hoewel in artikel 22, tweede lid, onder b, van de verordening de mogelijkheid is opgenomen om bij lidstatelijk recht hiervan af te wijken, is daarvan in de Wet BRP geen gebruik gemaakt. Dit betekent dat dit recht onverkort van toepassing is op de persoonsgegevensverwerking in de basisregistratie personen.
Naast rechten voor de burger bevat de verordening tevens een aantal verplichtingen voor de verwerkingsverantwoordelijke die de transparantie van de gegevensverwerking en de rechten van de burger op bescherming van zijn persoonlijke levenssfeer mede moeten waarborgen. In dit kader kan onder andere worden gedacht aan verplichtingen in verband met het inschakelen van verwerkers (artikel 28), het bijhouden van een register van verwerkingsactiviteiten (artikel 30), de melding van een inbreuk in verband met persoonsgegevens (datalekken) (artikel 33 en 34) en de aanwijzing van een functionaris voor gegevensbescherming (artikel 37 en 38). Deze verplichtingen zijn niet als zodanig in de Wet BRP geïmplementeerd, maar gelden op grond van de verordening rechtstreeks voor het college van burgemeester en wethouders en voor de Minister van BZK als verwerkingsverantwoordelijken. Voor een nadere toelichting op de gevolgen van de uitvoering van de verordening van de betrokken overheidsorganen en andere instanties wordt verwezen naar hoofdstuk 6 van de memorie van toelichting bij de Uitvoeringswet.
Gebruikersoverleg BRP
Het gebruikersoverleg BRP is conform artikel 1.15 van de Wet BRP geconsulteerd omtrent de voorliggende wijziging. De consultatie heeft een vijftal reacties van gebruikers opgeleverd. De Nederlandse Zorgautoriteit, CZK en CZ hebben geen opmerkingen bij het wetsvoorstel. De Nederlandse Vereniging voor Burgerzaken (NVVB) en de Justitiële informatiedienst (Justid) hebben een beperkt aantal voornamelijk wetstechnische opmerkingen gemaakt. Deze opmerkingen zijn grotendeels verwerkt. Naast enkele formeel technische aanpassingen heeft dit in de wettekst geleid tot beperkte inhoudelijke aanpassingen in de onderdelen D en M van artikel 2.4 van het wetsvoorstel. In onderdeel D is toegevoegd dat onder de informatie die medegedeeld dient te worden na de eerste inschrijving van een persoon als ingezetene in de BRP ook de hoofdlijnen van de ter zake van de basisregistratie geldende regels die niet in de verordening zijn opgenomen vallen. Daarnaast is in onderdeel M een verwijzing naar artikel 2.81 van de Wet BRP opgenomen, opdat deze regeling ook de niet-ingezetenen includeert.
Advies Autoriteit persoonsgegevens
Het voorstel tot wijziging van de Wet BRP in de Aanpassingswet AVG is voorgelegd aan de Autoriteit persoonsgegevens ter advisering. In haar advies heeft de Autoriteit persoonsgegevens een aantal inhoudelijke opmerkingen gemaakt bij de voorgenomen wijzigingen in de wet. Ten eerste vraagt de Autoriteit persoonsgegevens zich af op welke uitzondering in de AVG de afwijking is gebaseerd dat een systematische verstrekking als bedoeld in artikel 3.3 van de Wet BRP, niet kan plaatsvinden op grond van artikel 49 van de AVG, zoals was neergelegd in artikel 2.4, onderdeel K, van het wetsvoorstel. Daarnaast stelt de Autoriteit persoonsgegevens dat met betrekking tot artikel 2.4, onderdelen E, G, H, N en P, van het wetsvoorstel, betreffende de artikelen 2.55, 2.58, 2.58a, 3.20a, en 3.22 van de Wet BRP, onvoldoende aandacht is besteed aan artikel 23, tweede lid, van de AVG. Over artikel 2.4, onderdeel D, van het wetsvoorstel, dat artikel 2.54 van de Wet BRP wijzigt, stelt de Autoriteit persoonsgegevens dat beter gemotiveerd dient te worden waarom het recht van de burger om op een bepaald tijdstip geïnformeerd te worden op grond van artikel 23 AVG beperkt dient te worden in het kader van de uitvoerbaarheid. Bovendien adviseert de Autoriteit persoonsgegevens om een specifieke bepaling op te nemen in dit artikel ten aanzien van het recht om geïnformeerd te worden over de beperking van de rechten van de burger op grond van artikel 23, tweede lid, onder h, van de AVG. Tenslotte acht de Autoriteit persoonsgegevens de motivering bij artikel 2.4, onderdeel Q, van het wetsvoorstel dat artikel 3.3 van de Wet BRP wijzigt, inhoudende dat in artikel 23, eerste lid, onderdeel e, de rechtvaardiging gevonden kan worden om de regeling zoals opgenomen in artikel 19 AVG te beperken wat betreft de automatische kennisgeving van rectificatie, niet overtuigend. Dit heeft op de volgende punten tot een aantal wijzigingen in het wetsvoorstel en de toelichting geleid:
1. De uitzondering zoals was opgenomen in artikel 2.4, onderdeel D, van het wetsvoorstel op grond waarvan geen systematische verstrekking als bedoeld in artikel 3.3 van de Wet BRP plaats kon vinden op grond van artikel 49 AVG is geschrapt, aangezien artikel 49 AVG voldoende mogelijkheden biedt om ongewenste verstrekkingen aan derde landen tegen te gaan.
2. De toelichting bij artikel 2.4, onderdelen E, G, H, N en P is aangevuld in relatie tot artikel 23, tweede lid, AVG.
3. De toelichting bij artikel 2.4, onderdeel D, is aangevuld op het punt van de motivering voor de noodzaak tot beperking van het recht op informatie van de burger zoals neergelegd in artikel 13 en 14 AVG op grond van artikel 23 AVG in verband met de uitvoerbaarheid. Ook is een bepaling opgenomen in het artikel op grond waarvan de burger bij de inschrijving in de BRP geïnformeerd wordt over de beperkingen van de rechten, genoemd in de AVG, die in overeenstemming met de AVG in de Wet BRP zijn opgenomen.
4. De toelichting bij artikel 2.4, onderdeel Q, van het wetsvoorstel is aangevuld op het punt van de motivering, waarbij de grondslag voor de afwijking op het automatisch doen van een kennisgevingen betreffende rectificatie of wissing van persoonsgegevens, bedoeld in artikel 19 van de verordening, wordt gevonden in het laatstbedoelde artikel zelf.
Op grond van artikel 51, tweede lid, Wbp heeft de Autoriteit persoonsgegevens op 19 oktober 2017 advies over het wetsvoorstel uitgebracht. In § 2, 3 en 4 van deze memorie van toelichting is al ingegaan op die onderdelen van het advies die betrekking hebben op de Kieswet, de Wrr, respectievelijk de Wet BRP.
Tenzij verderop in deze paragraaf of in de artikelsgewijze toelichting anders is vermeld heeft het kabinet het advies met betrekking tot de overige onderdelen overgenomen. Dit heeft geresulteerd in de volgende aanpassingen:
1. Waar de AVG geen ruimte laat voor nationaalrechtelijke bepalingen, er in het licht van de AVG en de Uitvoeringswet sprake is van overbodige bepalingen of bepalingen waren gehandhaafd in weerwil van het overschrijf-/omzettingsverbod, zijn sommige onderdelen van bepaalde artikelen alsnog geschrapt (n.a.v. § 4 van het advies).
2. Waar sommige bepalingen op een onjuiste grondslag in de AVG waren gebaseerd, is in de toelichting alsnog een verwijzing naar de juiste grondslag opgenomen (n.a.v. § 5, onder a van het advies).
3. De memorie van toelichting is aangevuld met passages die de verhouding van sommige bepalingen tot de AVG verduidelijken (n.a.v. § 5, onder b, van het advies).
4. Voor zover niet of onvoldoende werd voldaan aan voorwaarden uit de AVG voor uitzondering of aanvulling, zijn het wetsvoorstel en de toelichting aangevuld (n.a.v. § 5, onder c, van het advies).
5. Aan het wetsvoorstel is een aantal wijzigingen toegevoegd van artikelen die anders een te ruime aanvulling ten opzichte van de AVG zouden inhouden (n.a.v. § 5, onder d, van het advies).
6. In het wetsvoorstel is alsnog een onderscheid aangebracht tussen bijzondere persoonsgegevens als bedoeld in artikel 9 van de AVG en strafrechtelijke gegevens als bedoeld in artikel 10 van de AVG, in lijn met een dienovereenkomstige aanpassing van het voorstel voor de UAVG naar aanleiding van het advies van de Afdeling advisering van de Raad van State. Voorts zijn bepalingen waarin naar bepaalde categorieën van bijzondere persoonsgegevens uit de Wbp werd verwezen, zo aangepast dat geen onbedoelde verruiming van deze categorieën ontstaat (n.a.v. § 6, onder a, van het advies).
7. Waar in het wetsvoorstel wijzigingen van bepalingen waren opgenomen die niet beleidsneutraal waren, zijn deze zo aangepast dat zij alsnog aan het uitgangspunt van beleidsneutraliteit voldoen (n.a.v. § 6 van het advies).
8. Waar nodig is een verwijzing naar de AVG aangevuld met een verwijzing naar de UAVG (n.a.v. § 7, onder b, van het advies).
9. Bepalingen waarin naar het begrip «gezondheidsgegevens» in de zin van de AVG wordt verwezen, zijn zo aangepast dat zij rechtstreeks naar de definitiebepaling in de UAVG verwijzen (n.a.v. § 7, onder c, van het advies).
10. Bepalingen waarin nog naar verouderde begrippen uit de Wbp werd verwezen, zijn alsnog aangepast (n.a.v. § 7, onder d, van het advies).
11. Verwijzingen naar vervallen of reeds gewijzigde wetsartikelen zijn geschrapt. Verwijzing naar nog niet inwerking getreden bepalingen zijn aangepast (n.a.v. § 7, onder e, van het advies).
12. Redactionele opmerkingen zijn overgenomen (n.a.v. § 8 van het advies).
In § 3, onder a, van haar advies merkt de Autoriteit persoonsgegevens in algemene zin op dat in de toelichting bij het wetsvoorstel nog onvoldoende aandacht wordt besteed aan de keuze om op basis van de grondslagen, bedoeld in artikel 6, tweede en derde lid, gebruik te maken van de ruimte die de verordening biedt voor bestaande sectorale regelgeving, en de grond waarop en de voorwaarden waaronder dit kan. Wij menen dat het te ver zou voeren hieraan voor iedere sectorale regelgeving aandacht te geven. In gevallen waarin deze niet wordt gewijzigd, kan worden aangenomen dat deze regelgeving van genoemd grondslagen gebruik maakt, nu deze grondslagen niet wezenlijk afwijken van de grondslagen in artikel 8, eerste lid, Wbp, die op hun beurt gebaseerd zijn op Richtlijn 95/46/EG. Verder kan worden aangenomen dat het gebruik van deze grondslagen past binnen de voorwaarden die artikel 6, tweede en derde lid, AVG daarvoor aangeven. In gevallen waarin sectorale wetgeving wel wordt gewijzigd, wordt zo nodig toegelicht hoe deze wijziging zich verhoudt tot voornoemde bepalingen uit de AVG.
De Autoriteit persoonsgegevens heeft in §7, onder a, van haar advies bepleit in te gaan op de verhouding van het wetsvoorstel tot andere Europese richtlijnen en verordeningen. Anders dan de Autoriteit persoonsgegevens menen wij dat dit niet van belang is voor de vraag of bestaande sectorale bepalingen al dan niet een invulling vormen van de ruimte die artikel 6, tweede en/of derde lid, van de AVG daarvoor laat, en daarmee de bevoegdheid van de privacytoezichthouder. Reeds het enkele feit dat een bepaling daarvan een invulling vormt, is bepalend voor diens bevoegdheid.
De Autoriteit persoonsgegevens vraagt zich in datzelfde onderdeel van haar advies af of in gevallen waarin een wet verwerking van persoonsgegevens regelt ter uitvoering van zowel Europese verordeningen als nationale wetgeving, de grondslag voor deze verwerking voortvloeit uit het Unierecht of de nationaalrechtelijke bepaling. Wij menen dat de grondslag in dit geval een nationaalrechtelijke bepaling is. Zij regelt immers de verwerking van persoonsgegevens. Dat dit geschiedt met mede het oog op de uitvoering van een verordening doet daaraan niet af.
De Autoriteit persoonsgegevens heeft in dit onderdeel ook gevraagd naar de wijziging van Rijkswetten in dit verband. Het betreft hier alleen de Rijkswet Onderzoeksraad voor veiligheid. Een wetsvoorstel waarin deze wet wordt gewijzigd, zal binnenkort aan de Afdeling advisering van de Raad van State worden voorgelegd. Dat wetsvoorstel zal ook een aanpassing van deze wet aan de AVG bevatten.
Naar aanleiding van de opmerkingen van de Autoriteit persoonsgegevens in datzelfde onderdeel over de toepasselijkheid van de AVG in de openbare lichamen Bonaire, Sint Eustatius en Saba wordt opgemerkt dat deze openbare lichamen de status van LGO (landen en gebieden overzee) hebben, hetgeen betekent dat de AVG daar niet van toepassing is. In Caribisch Nederland blijft de Wet bescherming persoonsgegevens (Wbp-BES) gelden. Met betrekking tot de Rijksdienst Caribisch Nederland (RCN) is van belang dat de Wbp-BES ook op de verwerking van persoonsgegevens door deze dienst in het kader van zijn activiteiten in de openbare lichamen van toepassing is. De RCN kan immers worden beschouwd als de vestiging van de Nederlandse overheid in Caribisch Nederland (zie artikel 4, eerste lid, Wbp-BES).
De Autoriteit persoonsgegevens wijst in § 7, onder d, van haar advies erop, dat de Wet op de inlichtingen- en veiligheidsdiensten 2002 (Wiv 2002) in begripsmatig opzicht is afgestemd op de Wbp. Weliswaar valt de Wiv 2002 niet onder het toepassingsbereik van de privacyrichtlijn 95/46/EG en ook niet onder de AVG, maar de Autoriteit persoonsgegevens mist inzicht in de wijze waarop de wetgever in zo’n geval wil omgaan met de samenhang van begrippen behorend bij de gegevensbeschermingsregels. Indertijd is bij het opstellen van het voorstel voor de Wiv 2002 in begripsmatig opzicht aansluiting gezocht bij de privacyrichtlijn, te weten waar het gaat om het begrip persoonsgegevens en verwerking. Laatstgenoemd begrip heeft voorts in de Wiv 2002, maar ook in de Wiv 2017, een bredere strekking nu het ook ziet op de verwerking van andere gegevens. Materieel gezien hebben deze begrippen echter geen wijzigingen ondergaan en is er dan ook geenszins aanleiding om deze aan te passen. Een dergelijke aanpassing is ook formeel niet verplicht, nu de verwerking van gegevens door inlichtingen- en veiligheidsdiensten niet door het Unierecht wordt bestreken.
Artikel 1.1 Boek 7 van het Burgerlijk Wetboek
Artikel 38, derde lid, van de verordening bepaalt dat de functionaris voor gegevensbescherming niet mag worden ontslagen of gestraft voor de uitvoering van zijn taken. Het gaat hier om een zogenoemd «wegens-opzegverbod». Artikel 7: 670, lid 10, onderdeel d, voorziet in een opzegverbod ten aanzien van de werknemer die als functionaris voor de gegevensbescherming werkzaam is. Dit is een zogenoemd «tijdens-opzegverbod». In de artikelen 7:670a, lid 2 en 3, en 671b, lid 6, BW worden evenwel uitzonderingen gemaakt op dit opzegverbod. In die uitzonderingsgevallen, waarin de beëindiging geen verband houdt met de situatie waarop het opzegverbod betrekking heeft, is de beëindiging van de arbeidsovereenkomst met de functionaris gegevensbescherming (via opzegging of ontbinding) toegestaan. Deze uitzonderingen leiden ertoe dat het opzegverbod van artikel 7:670, lid 10, onderdeel d, BW feitelijk hetzelfde werkt als het in artikel 38, derde lid 3, van de Verordening voorziene «wegens-opzegverbod». Aangezien deze laatste bepaling rechtstreeks toepasselijk is, wordt artikel 7:670, lid 10, onderdeel d, BW geschrapt.
Artikel 1.8 Wet DNA-onderzoek bij veroordeelden
In § 7, onder a, van haar advies stelt de Autoriteit persoonsgegevens zich op het standpunt dat de voorgestelde wijzigingen van de Wet DNA-onderzoek bij veroordeelden onder de toepassing van de richtlijn gegevensbescherming opsporing en vervolging vallen. De verwerking van persoonsgegevens door het NFI valt thans onder de reikwijdte van de Wet bescherming persoonsgegevens. Op grond van het Besluit DNA-onderzoek in strafzaken is het NFI belast met het DNA-onderzoek. Bij de implementatie van deze richtlijn is er voor gekozen zoveel mogelijk aan te sluiten bij de bestaande wetgeving voor gegevensverwerking door de betrokken instanties. De richtlijn biedt daarvoor geen beletsel. Tegen deze achtergrond is ervoor gekozen de Wet DNA-onderzoek bij veroordeelden onder de reikwijdte van de verordening te houden.
De Afdeling advisering heeft opgemerkt dat de keuze om de Wet DNA-onderzoek bij veroordeelden onder de AVG te houden, inhoudelijk niet wordt gemotiveerd en geadviseerd nader toe te lichten dat deze keuze ook gelet op de formulering van de reikwijdte van de richtlijn kan worden gehandhaafd.
Naar aanleiding van dit advies wordt opgemerkt dat de richtlijn gegevensbescherming opsporing en vervolging van toepassing is op de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing of de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (artikel 1, eerste lid, van de richtlijn gegevensbescherming opsporing en vervolging). Bevoegde autoriteit is (a) iedere overheidsinstantie die bevoegd is voor de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid; of (b) ieder ander orgaan dat of iedere andere entiteit die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, met inbegrip van de bescherming tegen en de voorkoming van gevaren voor de openbare veiligheid (artikel 1, onderdeel 7, van de richtlijn gegevensbescherming opsporing en vervolging).
Het DNA-onderzoek bij veroordeelden wordt verricht door het Nederlands Forensisch Instituut (NFI). Het doel van de verwerking betreft de opsporing en vervolging van strafbare feiten. Dit betreft een doel dat onder de reikwijdte van de richtlijn valt. De vraag is echter aan de orde of het NFI kan worden aangemerkt als een bevoegde autoriteit in de zin van de richtlijn, die krachtens het lidstatelijke recht is gemachtigd openbaar gezag en openbare bevoegdheden uit te oefenen met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten. Voor het verrichten van het DNA-onderzoek kan worden verdedigd dat dit het geval is omdat het NFI op basis van het Wetboek van Strafvordering is belast met het verrichten van dit onderzoek. Voor de andere vormen van forensisch onderzoek dat door het NFI wordt verricht is dit echter doorgaans niet het geval. Het forensisch onderzoek door het NFI voor strafrechtelijke doeleinden zou dan deels onder de richtlijn en deels onder de AVG gaan vallen. Uitgangspunt voor de implementatie van de richtlijn is dat zoveel mogelijk moet worden voorkomen dat de instanties binnen de strafrechtsketen worden geconfronteerd met verschillende verwerkingsregimes, met het oog op de uitvoerbaarheid van de regels voor de verwerking van persoonsgegevens door de betreffende instanties. Hierbij is zoveel mogelijk aangesloten bij de bestaande privacywetgeving voor deze instanties. Dit klemt temeer daar de nationale wetgeving op het gebied van de bescherming van persoonsgegevens die worden verwerkt ten behoeve van de opsporing en vervolging van strafbare feiten, te weten de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens, specifiek zijn toegesneden op de verwerking van persoonsgegevens door respectievelijk opsporingsambtenaren en het openbaar ministerie. Toepassing van de richtlijn op een deel van de gegevensverwerking door het NFI vergt dan een afzonderlijk wettelijke regime voor die verwerking. Mede in het licht van het huidige regime dat van toepassing is op de verwerking van persoonsgegevens door het NFI, de Wet bescherming persoonsgegevens, is gekozen voor integrale toepassing van het regime van de AVG op de verwerking van persoonsgegevens door het NFI. Met de herziening van de privacywetgeving voor politie en justitie zal de verwerking van persoonsgegevens binnen de strafrechtsketen in één enkele wet worden geïntegreerd (Kamerstukken II 2013/14, 33 842, nr. 2). In dit kader zal ook het regime voor de gegevensverwerking door het NFI worden bezien.
Artikel 1.9 Wet op de kansspelen
De verwijzing in artikel 33g, eerste lid, van de Wet op de kansspelen naar strafrechtelijke persoonsgegevens als bedoeld in artikel 16 Wbp wordt vervangen door een verwijzing naar persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.2 van de Uitvoeringswet.
Voor zover het vierde lid van dit artikel bepaalt dat gegevens niet worden verwerkt voor een ander doel dan waarvoor zij zijn verstrekt tenzij bij wettelijk voorschrift anders is bepaald, vormt dat een overschrijving van de artikelen 5, eerste lid, en 6, vierde lid, van de verordening. Dat wordt geschrapt. De bepaling dat gegevens kunnen worden verwerkt voor een ander doel dan waarvoor zij zijn verstrekt mits de uitvoering van de taak met het oog waarop zij zijn verstrekt daartoe noodzaakt, is gehandhaafd. Zij vormt de nationale wettelijke grondslag voor de verdere verwerking voor onverenigbare doelen. Voor de leesbaarheid wordt het vierde lid opnieuw vastgesteld.
In het zesde lid van artikel 33g wordt de bepaling geschrapt die er toe strekt dat de raad van bestuur van de kansspelautoriteit regels stelt over de wijze waarop wordt gewaarborgd dat de verwerkte persoonsgegevens slechts worden verwerkt voor het doel waarvoor ze zijn verzameld of voor zover het verwerken met dat doel verenigbaar is. Voor een dergelijke nadere beoordeling van de verenigbaarheid van de verdere verwerking bestaat, gelet op artikel 6, vierde lid, van de verordening, geen ruimte meer, aangezien in het vierde lid al is geregeld voor welke taken en doeleinden gegevens verder mogen worden verwerkt.
De verwijzing in het negende lid van artikel 33g naar de verantwoordelijke in de zin van artikel 1 Wbp wordt vervangen door een verwijzing naar de verwerkingsverantwoordelijke.
Artikel 1.11 Wetboek van Strafvordering
A en B
In § 7, onder a, van haar advies stelt de Autoriteit persoonsgegevens zich op het standpunt dat de voorgestelde wijzigingen van het Wetboek van Strafvordering onder de toepassing van de Richtlijn gegevensbescherming opsporing en vervolging vallen. De onderdelen A en B van artikel 1.10 hebben evenwel betrekking op andere partijen dan politie en OM, zodat deze onderdelen onder de reikwijdte van de verordening vallen.
C en D
De verwerking van genetische gegevens is op grond artikel 9, eerste lid, AGV verboden. Dit verbod geldt niet indien sprake is van een van de gronden die in het tweede lid van dat artikel zijn opgesomd. De wetgever kan op grond van een zwaarwegend algemeen belang genetische gegevens verwerken indien de evenredigheid met het nagestreefde doel wordt gewaarborgd, de wezenlijke inhoud van het recht op bescherming van persoonsgegevens wordt geëerbiedigd en passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de betrokkene. Van deze grond wordt in de aangepaste artikelen 151da en 195g van het Wetboek van Strafvordering gebruikgemaakt teneinde de huidige situatie te bestendigen dat DNA-verwantschapsonderzoek met het oog op de opsporing van strafbare
feiten mogelijk blijft. Voor een uitgebreide toelichting van het belang en de proportionaliteit van dat type DNA-onderzoek en de waarborgen die ter bescherming van de persoonlijke levenssfeer van betrokkenen zijn getroffen, wordt verwezen naar de memorie van toelichting bij het wetsvoorstel op grond waarvan het DNA-verwantschapsonderzoek in het Wetboek van Strafvordering is geïntroduceerd (zie Kamerstukken II 2009/10, 32 168, nr. 3).
Artikel 1.12 Wet wapens en munitie
Het aan de Wet wapens en munitie toegevoegde artikel 44 geeft, conform artikel 9 van de AVG, een grondslag voor de verwerking van bijzondere categorieën van persoonsgegevens door de korpschef ter uitvoering van zijn taken op grond van de Wet wapens en munitie. De bijzondere categorieën van persoonsgegevens die hierbij moeten worden verwerkt zijn zeer uiteenlopend van aard, omdat verschillende factoren een rol kunnen spelen bij de vraag of het veilig is aan iemand het bezit van een wapen toe te staan. De korpschef put voor de beantwoording van de vraag of iemand een wapen blijvend kan worden toevertrouwd uit verschillende bronnen. Hij ontvangt informatie van de aanvrager zelf en van door de aanvrager opgegeven referenten, controleert de politiesystemen en justitiële en strafvorderlijke gegevens, en krijgt – na de volledige inwerkingtreding van de Wet van 29 mei 2017, houdende wijziging van de Wet wapens en munitie, de Flora- en faunawet en de Wet natuurbescherming in verband met de versterking van het stelsel ter beheersing van het legaal wapenbezit (Stb. 2017, 242) – de beschikking over de uitslag van een speciaal ontwikkelde test voor de weging van risicofactoren voor wapenbezit (e-screener) en meldingen van de officier van justitie van BOPZ-opnames. Risicofactoren voor wapenbezit zijn divers. Hierom moeten persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuiging kunnen blijken, alsmede gegevens betreffende gezondheid, strafrechtelijke veroordelingen of strafbare feiten die uit deze bronnen naar voren komen door de korpschef in het kader van zijn taakuitoefening kunnen worden verwerkt.
Artikel 2.2 Kadasterwet
In haar advies adviseert de Autoriteit persoonsgegevens om artikel 3d, vierde lid, van de Kadasterwet aan te passen. Het artikel heeft betrekking op de controle van de cyclus van onderzoek van eenmaal per jaar van het bestuur van de Dienst door een of meer deskundigen met betrekking tot de toereikendheid van de genomen en ten uitvoer gelegde beveiligingsmaatregelen, daaronder mede verstaan de toereikendheid van het toezicht op de naleving en effectuering van die maatregelen. De Autoriteit persoonsgegevens acht – rekening houdend met destand van de techniek, de uitvoeringskosten en dergelijke en mede gelet op de datum van inwerkingtreding van voornoemde voorschriften in 2007 en de verstreken tijd – een verplichting om eens per jaar onderzoek (te doen) niet voldoende representatief voor het benodigde beschermingsniveau dat voortvloeit uit artikel 32 van de AVG. Gelet op aanvullende richtlijnen die van toepassing zijn zoals de Baseline informatiebeveiliging Rijk (BIR), Voorschrift Informatiebeveiliging Rijk (VIR), Informatiebeveiligingsplan (IBP) en de jaarlijkse in-control-verklaring, is geconcludeerd dat aanpassing van artikel 3d, vierde lid, van de Kadasterwet niet noodzakelijk is, aangezien het beschermingsniveau dat voortvloeit uit artikel 32 AVG door deze maatregelen voldoende wordt gewaarborgd. Afgezien daarvan heeft dit artikel niet alleen betrekking op maatregelen ter beveiliging van persoonsgegevens, maar ook op maatregelen ter beveiliging van niet-persoonsgegevens.
Over de wijziging in artikel 2.2, onderdeel E, van het wetsvoorstel wordt opgemerkt dat sprake is van een beleidsneutrale omzetting van de uitzondering op het recht op inzage, door vervanging van de huidige verwijzing in artikel 107a, eerste lid, van de Kadasterwet naar artikel 35 van de Wbp door een verwijzing naar artikel 15 van de AVG. Hoofdstuk 7 van de Kadasterwet is te beschouwen is als een nadere, specifieke uitwerking van het recht op inzage. De bepalingen in de Kadasterwet zijn uitputtend, waardoor het inzagerecht kan worden uitgesloten (zie ook artikel 47 UAVG en de toelichting daarbij).
Artikel 2.3 Kieswet
A en B (artikelen D 6 en D 7)
Op grond van het huidige artikel D 6, eerste lid, onderdeel a, van de Kieswet kan de registratie van de kiesgerechtigdheid van een ingezetene op aanvraag worden gewijzigd indien de betrokkene niet of niet op de juiste wijze als kiezer is geregistreerd. Deze bepaling overlapt gedeeltelijk met het recht op rectificatie, zoals neergelegd in artikel 16 van de verordening. Op grond van artikel 16 van de verordening hebben betrokkenen het recht om van de verwerkingsverantwoordelijke rectificatie van onjuiste of onvolledige persoonsgegevens te verkrijgen. Gelet op deze overlap en de rechtstreekse toepasselijkheid van de verordening, regelt dit wetsvoorstel dat de zinsnede in artikel D 6, eerste lid, onderdeel a, van de Kieswet, die ertoe strekt dat de registratie kan worden gewijzigd indien de persoon niet op de juiste wijze als kiezer is geregistreerd, vervalt.
Op grond van artikel D 6, eerste lid, onderdeel b, kunnen ook niet-ingezetenen een verzoek indienen tot wijziging van een onjuiste of onvolledige registratie. De formulering van die bepaling behoeft evenwel geen wijziging. Wel leidt de inwerkingtreding van de verordening ertoe dat een wijzigingsverzoek van een niet-ingezetene dat ertoe strekt onjuiste of onvolledige persoonsgegevens in zijn registratie te wijzigen voortaan gebaseerd is op artikel 16 van de verordening, en in dat geval dus de relevante bepalingen uit de verordening van toepassing zijn.
De beslistermijn voor de voornoemde wijzigingsverzoeken is opgenomen in het Kiesbesluit en bedraagt thans zeven dagen. Deze termijn is strikter voor het bestuursorgaan dan de termijn die voortvloeit uit de verordening, op grond waarvan de verwerkingsverantwoordelijke aan de betrokkene onverwijld maar in elk geval binnen één maand na ontvangst van een verzoek tot rectificatie moet informeren over het gevolg dat aan het verzoek is gegeven. Opdat een kiezer zo spoedig mogelijk duidelijk heeft over zijn wijzigingsverzoek is het van belang dat de thans geldende beslistermijn wordt gehandhaafd. Concreet regelt dit wetsvoorstel door middel van een aanpassing van artikel D 7 van de Kieswet dat op een verzoek tot uitoefening van het recht op rectificatie als bedoeld in artikel 16 van de verordening, ten aanzien van een registratie als bedoeld in artikel D 1 of D 2, uiterlijk op een bij algemene maatregel van bestuur te bepalen moment wordt beslist. Dit leidt ertoe dat de in het Kiesbesluit opgenomen termijn van zeven dagen wordt gehandhaafd.
Het bestaande voorschrift uit artikel D 3, derde lid, van de Kieswet dat een aanvraag om een registratie te wijzigen uiterlijk negen weken voor de dag van de stemming dient te zijn ontvangen om registratie ten behoeve van die stemming mogelijk te maken, geldt overigens onverkort voor een verzoek tot rectificatie op grond van artikel 16 van de verordening. De Kieswet vergt op dit punt geen aanpassing.
C en K (artikelen D 10 en J 7)
Het college van burgemeester en wethouders is ingevolge artikel D 1 verplicht om de kiesgerechtigdheid van zijn ingezetenen te registreren. Het college ontleent de hiervoor benodigde persoonsgegevens aan de basisregistratie personen. De burgemeester verwerkt deze gegevens vervolgens voor de oproeping voor de stemming. Op grond van artikel J 7 van de Kieswet verstrekt de burgemeester aan elke kiezer die bevoegd is om aan de betreffende stemming deel te nemen een stempas. Op deze manier wordt elke kiezer in staat gesteld om deel te nemen aan de stemming.
De voornoemde verplichtingen voor respectievelijk het college van burgemeester en wethouders en de burgemeester, verhouden zich niet met het recht op beperking van de verwerking, zoals neergelegd in artikel 18 van de verordening. Indien een ingezetene de juistheid van zijn in het register opgenomen gegevens betwist, zou hij op grond van artikel 18, eerste lid, onderdeel a, van de verordening kunnen eisen dat zijn persoonsgegevens niet verwerkt worden gedurende de periode die de verwerkingsverantwoordelijke in staat stelt om de juistheid van zijn gegevens te controleren. De uitoefening van dit recht zou er toe kunnen leiden dat een kiezer, al dan niet onbedoeld door betrokkene, geen stempas ontvangt.
Het stelsel van de Kieswet is er op ingericht dat iedere kiesgerechtigde ingezetene door ontvangst van een stempas in staat wordt gesteld om aan de stemming deel te nemen, met dien verstande dat het een kiezer vanzelfsprekend vrij staat om daar vervolgens geen gebruik van te maken. Gelet op het belang hiervan regelt dit wetsvoorstel dat artikel 18 niet van toepassing is ten aanzien van verwerking van persoonsgegevens die plaatsvindt op grond van artikel D 1 of J 7 van de Kieswet.
De bevoegdheid voor lidstaten om in hun regelgeving de reikwijdte van de rechten en verplichtingen, bedoeld in de artikelen 12 tot en met 22 van de verordening te beperken, is neergelegd in artikel 23 van de verordening. Voor een nadere toelichting hieromtrent wordt verwezen naar het algemeen deel. De beperking is in dit geval noodzakelijk vanwege een belangrijke doelstelling van algemeen belang van de lidstaat (artikel 23, eerste lid, onderdeel e), die gelegen is in hetgeen hiervoor is toegelicht.
Indien gebruik wordt gemaakt van de grondslag in artikel 23, eerste lid, om (de reikwijdte van) de rechten van betrokkenen te beperken, volgt uit het tweede lid van dat artikel dat de wettelijke maatregelen waarbij een dergelijke beperking wordt geregeld, met name specifieke bepalingen moeten bevatten met betrekking tot, in voorkomend geval, ten minste de in het tweede lid vermelde onderdelen (a) tot en met (h). Zoals de Autoriteit persoonsgegevens ook opmerkt in haar advies moet bij iedere beperking worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, deze onderdelen. In onderhavig geval zijn de doeleinden van verwerking (a) gelegen in het registreren welke ingezetenen kiesgerechtigd zijn, opdat aan hen een stempas toegezonden kan worden. De categorieën van persoonsgegevens (b) betreffen de gegevens die nodig zijn voor de vaststelling van de kiesgerechtigdheid van ingezetenen (die thans zijn neergelegd in artikel D 1 van het Kiesbesluit) alsmede voor verzending van de stempassen. Het toepassingsgebied van de beperkingen (c) strekt zich uit tot de verwerkingen die plaatsvinden op grond van artikel D 1 en J 7 van de Kieswet. Het treffen van (aanvullende) waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte (d) acht de regering in dit geval niet aangewezen, aangezien dergelijke risico’s niet groter zijn als gevolg van de onderhavige beperking en de verwerkingen bovendien geen specifieke risico’s van misbruik of onrechtmatige toegang of doorgifte met zich meebrengen. De verwerkingsverantwoordelijke (e) is reeds wettelijk vastgelegd in de Kieswet en betreft het college van burgemeester en wethouders ten aanzien van de verwerkingen in het kader van de registratie en de burgemeester ten aanzien van de verwerkingen in het kader van het verzenden van de stempassen. Voor wat betreft de opslagperiodes (f) is de verwerkingsverantwoordelijke er verantwoordelijk voor de gegevens niet langer op te slaan dan noodzakelijk voor het doel van de verwerking. De risico’s voor de rechten en vrijheden van betrokkenen (g) als gevolg van de beperking acht de regering gering. De kans dat iemand een stempas van een derde ontvangt als gevolg van foutieve gegevens, zoals de Autoriteit Persoonsgegevens als voorbeeld geeft in haar advies, is onwaarschijnlijk. De gegevens worden ontleend aan de basisregistratie personen en betrokkenen hebben voorts een recht op inzage alsmede een recht op rectificatie in geval van onjuiste of onvolledige gegevens. Door onderhavig voorstel van wet is de beperking die met het onderhavige wijzigingsonderdeel wordt aangebracht tot slot voorzienbaar voor betrokkenen (h).
D tot en met G (artikelen G 1, G 2, G 2a en G 3)
Met deze wijzigingsonderdelen wordt een regeling getroffen voor de vernietiging van de stukken die een politieke groepering aan het centraal stembureau overlegt ten behoeve van het registreren van een aanduiding waarmee zij voor een verkiezing op de kandidatenlijst wenst te worden vermeld. Dit betreffen het afschrift van de notariële akte waarin de statuten van de vereniging zijn opgenomen, het bewijs van inschrijving in het Handelsregister, het betalingsbewijs van de waarborgsom voor de registratie en tot slot de verklaring waarin de politieke groepering een gemachtigde en plaatsvervangend gemachtigde aanwijst. De aanleiding voor deze vernietigingsregeling is gelegen in het feit dat het uittreksel, het betalingsbewijs en de verklaring, stukken betreffen waarin persoonsgegevens zijn opgenomen van diverse betrokkenen. Met dit wetsvoorstel wordt ten aanzien van deze stukken dan ook een nadere en gespecificeerde uitvoering gegeven aan het in de verordening neergelegde beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk (artikel 5, eerste lid, onderdeel e, van de verordening). De grondslag voor deze nadere invulling bij nationale regelgeving is neergelegd in artikel 6, tweede lid, van de verordening. Deze bepaling biedt lidstaten de ruimte om, indien een verwerking plaatsvindt op basis van een wettelijke verplichting als bedoeld in artikel 6, eerste lid, onderdeel c, van de verordening, zoals hier het geval is, bij nationale regelgeving nadere, specifiekere bepalingen in te voeren ten aanzien van de in de verordening gestelde voorschriften.
Omdat er geen aanleiding is om de statuten te bewaren, regelt dit wijzigingsonderdeel dat ook dit document vernietigd wordt.
Geregeld wordt dat de diverse stukken vernietigd worden op het moment dat de schrapping van een aanduiding van een politieke groepering onherroepelijk is, aangezien de stukken en de daarin opgenomen persoonsgegevens nadien niet meer verwerkt hoeven te worden. De verklaring waarin een gemachtigde en plaatsvervangend gemachtigde worden aangewezen wordt tevens vernietigd wanneer zij wordt vervangen door een nieuwe verklaring.
H, J, V en X (artikelen H 16, I 20, R 11 en S 16)
Met deze bepalingen worden de artikelen 15, 16 en 18 van de verordening niet van toepassing verklaard ten aanzien van verwerking van persoonsgegevens door het centraal stembureau in het kader van de kandidaatstellingsprocedure. In deze artikelen uit de verordening zijn respectievelijk een recht van inzage, een recht op rectificatie en een recht op beperking van de verwerking neergelegd. Het buiten toepassing verklaren van deze rechten is noodzakelijk vanwege het specifieke karakter van de kandidaatstellingsprocedure, die gekenmerkt wordt door strikte termijnen en een specifiek regime ten aanzien van de terinzagelegging van de stukken en de mogelijkheid tot het herstellen van verzuimen. De beperkingen hebben tot gevolg dat er vanaf het moment van inlevering van de kandidatenlijst en de daarbij horende stukken bij het centraal stembureau, geen beroep kan worden gedaan op de rechten die zijn neergelegd in de artikelen 15, 16 en 18 van de verordening.
Beperking artikel 15 (recht van inzage)
In de Kieswet is reeds een regeling getroffen voor de terinzagelegging van de ingeleverde kandidatenlijsten en ondersteuningsverklaringen. Op grond van artikel I 3, eerste lid, van de Kieswet worden de lijsten en ondersteuningsverklaringen onmiddellijk nadat deze stukken door het centraal stembureau zijn onderzocht, ter inzage gelegd bij het centraal stembureau. De regering is van mening dat deze regeling voldoende mogelijkheden biedt tot inzage in de stukken en acht het onwenselijk om dit regime uit te breiden met het recht op inzage zoals neergelegd in artikel 15 van de verordening. Toepassing van dit recht zou afdoen aan de eenduidigheid van de huidige regeling en het centraal stembureau onnodig belasten. Deze beperking is evenredig, gelet op de mogelijkheden tot inzage die reeds bestaan ten aanzien van de ingeleverde lijsten en ondersteuningsverklaringen, alsmede vanwege het feit dat de diverse betrokkenen ervan op de hoogte zijn dat hun persoonsgegevens worden verwerkt. Zij hebben immers zelf een instemmingsverklaring of ondersteuningsverklaring afgelegd, een machtiging als bedoeld in artikel H 3, tweede of derde lid, ondertekend, of de waarborgsom betaald en daartoe hun gegevens overgelegd.
Beperking artikelen 16 (recht op rectificatie) en 18 (recht op beperking van de verwerking)
De Kieswet bevat een strikte regeling ten aanzien van het herstellen van verzuimen die blijken tijdens het onderzoek van de kandidatenlijsten. Indien de gegevens van een kandidaat onjuist of onvolledig blijken, geeft het centraal stembureau hier ingevolge artikel I 2, eerste lid, onderdeel c, van de Kieswet, onverwijld kennis van aan de inleveraar van de lijst. De inleveraar van de lijst, of in voorkomende gevallen zijn vervanger, bedoeld in artikel H 5, heeft vervolgens de mogelijkheid dit te herstellen. Op grond van artikel I 2, tweede lid, geldt hiervoor een strikte en dwingende termijn. Na afloop van deze termijn zijn de ingeleverde lijsten en de daarbij overgelegde bescheiden definitief en is wijziging niet meer mogelijk. Dit is inherent aan een goede werking van het verkiezingsproces. Kandidaten waarvan de naam onvolledig of onjuist is vermeld worden ingevolge artikel I 6, eerste lid, aanhef en onderdeel a, van de lijst geschrapt. Uitoefening van het recht op rectificatie, bedoeld in artikel 16 van de verordening, mag hier geen verandering in brengen. De regering hecht er bovendien aan om elke mogelijke verwarring over de mogelijkheden tot rectificatie van ingeleverde stukken te voorkomen. Om die reden regelt dit wetsvoorstel dat artikel 16 van de verordening niet van toepassing is op verwerking van persoonsgegevens door het centraal stembureau die plaatsvindt in het kader van de kandidaatstellingsprocedure.
De systematiek van de kandidaatstellingsprocedure laat daarnaast niet toe dat een betrokkene na inlevering van de lijst en de daarbij horende stukken, vereist dat de verwerking van zijn persoonsgegevens beperkt worden. Een eenmaal ingeleverde lijst, met de daarbij horende stukken, wordt zoals ontvangen beoordeeld door het centraal stembureau. Hoewel gedurende de verzuimtermijn onder voorwaarden wijzigingen kunnen worden aangebracht, is wijziging of intrekking daarna niet meer mogelijk. Dit wetsvoorstel regelt dan ook dat artikel 18 van de verordening niet van toepassing is op verwerking van persoonsgegevens door het centraal stembureau die plaatsvindt in het kader van de kandidaatstellingsprocedure.
De grondslag voor de voornoemde beperkingen is gelegen in artikel 23, eerste lid, van de verordening. De beperkingen zijn noodzakelijk vanwege een belangrijke doelstelling van algemeen belang van de lidstaat (onderdeel e), die gelegen is in het borgen van een goed verloop van de kandidaatstellingsprocedure, zoals hiervoor toegelicht. De beperkingen zijn voorts evenredig, aangezien de Kieswet zelf al voorziet in mogelijkheden tot inzage en het herstellen van onjuiste of onvolledige persoonsgegevens.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). De doeleinden van verwerking (a) zijn in dit geval gelegen in een goed verloop van de kandidaatstellingsprocedure, zoals hiervoor toegelicht. De categorieën van persoonsgegevens (b) zijn wettelijk voorgeschreven in de Kieswet, het Kiesbesluit en de toepasselijke modellen in de Kies- en referendumregeling. Dit betreffen de modellen H 1, H 3–1, H 4, H 9 en H 12. Het toepassingsgebied van de beperkingen (c) betreft de kandidaatstellingsprocedure. Het treffen van specifieke wettelijke waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte (d) acht de regering niet nodig, aangezien dergelijke risico’s niet groter zijn als gevolg van de voorgestelde beperkingen en er bovendien geen signaal is dat er specifieke risico’s verbonden zijn aan de betreffende verwerkingen. De verwerkingsverantwoordelijke (e) betreft in dit geval het centraal stembureau. De opslagperiodes (f) van de kandidatenlijst en de daarbij horende stukken zijn expliciet geregeld in de Kieswet (zie ook de wijzigingsonderdelen I en W van onderhavig wetsvoorstel). De beperkingen leveren geen aanmerkelijke risico’s op voor de rechten en vrijheden van betrokkenen (g). Door onderhavig voorstel van wet is de beperking tot slot voorzienbaar voor betrokkenen (h).
I (artikel I 19)
Artikel I 19 van de Kieswet schrijft thans voor dat het centraal stembureau de ingeleverde kandidatenlijsten en ondersteuningsverklaringen vernietigt nadat onherroepelijk is beslist over de geldigheid van de ingeleverde lijsten. Dit wetsvoorstel regelt dat ook de overgelegde machtigingen om een (samengevoegde) aanduiding boven de kandidatenlijst te plaatsen, de kopieën van identiteitsbewijzen en het betalingsbewijs van de waarborgsom vernietigd worden. In deze stukken zijn diverse persoonsgegevens opgenomen van diverse betrokkenen (zie de modellen H 3–1, H 3–2 en H 12 in de Kies- en referendumregeling). Met deze regeling wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G2a en G 3 van de Kieswet).
Het betalingsbewijs van de waarborgsom, waarop onder meer de naam en het rekeningnummer van de betaler van de waarborgsom zijn vermeld, kan pas vernietigd worden nadat de waarborgsom, voor zover van toepassing, is teruggestort. Dit gebeurt na de vaststelling van de uitslag van de verkiezing. Om te voorkomen dat het centraal stembureau de diverse bescheiden op verschillende momenten moet vernietigen, hetgeen tot hogere uitvoeringslasten leidt, regelt dit wetsvoorstel dat de vernietiging van zowel de lijsten, ondersteuningsverklaringen, machtigingen, kopieën van identiteitsbewijzen als betalingsbewijzen plaatsvindt na de vaststelling van de uitslag.
In tegenstelling tot de voornoemde bescheiden worden de instemmingsverklaringen langer bewaard. Deze stukken zijn noodzakelijk in het kader van het benoemingsproces en komen derhalve niet op het voornoemde moment in aanmerking voor vernietiging. Het is aan de verwerkingsverantwoordelijke om er zorg voor te dragen dat deze stukken niet langer bewaard worden dan noodzakelijk.
L (artikel J 7a)
Artikel J 7a, vierde lid
Op grond van artikel J 7a is er een register van ongeldige stempassen en stelt de burgemeester de dag voor de stemming uit het register een uittreksel van ongeldige stempassen vast. Met deze bepaling wordt een regeling getroffen voor de vernietiging van het register van ongeldige stempassen, bedoeld in artikel J 7a, eerste lid. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de gegevens verwerkt worden. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G2a en G 3 van de Kieswet). Voor wat betreft het moment van vernietiging is aansluiting gezocht bij de regeling voor de vernietiging van de pakken, bedoeld in artikel N 2, van de Kieswet.
Voor wat betreft de regeling voor de vernietiging van het uittreksel van ongeldige stempassen wordt verwezen naar de toelichting bij de wijziging van artikel N 2, eerste lid (wijzigingsonderdeel Q).
Artikel J 7a, vijfde lid
Met onderhavig wijzigingsonderdeel wordt geregeld dat de artikelen 16 en 18 van de verordening niet van toepassing zijn op verwerking van persoonsgegevens met betrekking tot het register en uittreksel van ongeldige stempassen. In deze artikelen uit de verordening zijn een recht op rectificatie en een recht op beperking van de verwerking neergelegd.
Het belang van het register en het uittreksel is erin gelegen dat gecontroleerd kan worden of personen mogen worden toegelaten tot de stemming. Hiertoe vergelijken stembureauleden de gegevens zoals opgenomen op de stempas die de kiezer aan het stembureau overhandigt, met de gegevens uit het uittreksel. De persoonsgegevens die gebruikt zijn voor het drukken van de stempassen en de gegevens in het register en uittreksel zijn gelijk aan elkaar. Een rectificatie in het register zou de controle bemoeilijken of zelfs onmogelijk maken. Om die reden wordt het recht op rectificatie uitgesloten. Hierbij dient opgemerkt te worden dat dergelijke verzoeken overigens onwaarschijnlijk zijn. Uitoefening van het recht op beperking van de verwerking, bedoeld in artikel 18 van de verordening, zou er daarnaast toe kunnen leiden dat de persoonsgegevens van een betrokkene gedurende een periode niet verwerkt mogen worden in het register en uittreksel. Ook dit staat de voornoemde controle op de dag van stemming in de weg.
De voornoemde beperkingen vinden hun grondslag in artikel 23, eerste lid, van de verordening en zijn noodzakelijk vanwege een belangrijke doelstelling van algemeen belang (onderdeel e), die in onderhavig geval gelegen in de noodzakelijke controle of personen mogen worden toegelaten tot de stemming.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). Met dit wetsvoorstel wordt uitdrukkelijk geregeld dat zowel het register als het uittreksel drie maanden nadat over de toelating van de gekozenen is beslist wordt vernietigd. Hiermee is een extra waarborg opgenomen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte van de persoonsgegevens (d) en is tevens voorzien in een wettelijk geregelde opslagperiode (f). In onderhavig geval is het doel van de verwerking (a) gelegen in het controleren welke personen mogen worden toegelaten tot de stemming. De categorieën van persoonsgegevens (b) betreffen de gegevens die hiertoe noodzakelijk zijn en zijn reeds gespecificeerd in het Kiesbesluit (artikel J 2, eerste lid, onderdeel b). Het toepassingsgebied van de beperkingen (c) strekt zich op grond van onderhavig wijzigingsonderdeel uit tot de verwerkingen die plaatsvinden op grond van artikel J 7a van de Kieswet. De risico’s voor de rechten en vrijheden van betrokkenen (g) als gevolg van de beperking zijn verwaarloosbaar en behoeven geen nadere regeling. Door onderhavig voorstel van wet is de beperking tot slot voorzienbaar voor betrokkenen (h).
M (J 9)
Op grond van artikel J 9 brengt de burgemeester de kandidatenlijsten ter kennis van de kiezers op bij algemene maatregel van bestuur vast te stellen wijze. In het Kiesbesluit is bepaald dat de burgemeester de lijsten bezorgt aan het adres van de kiezers. Op de lijsten zijn persoonsgegevens van de kandidaten opgenomen. Er is dan ook sprake van verwerking van persoonsgegevens. Het onderhavige wijzigingsonderdeel regelt dat het recht van inzage, het recht op rectificatie en het recht op beperking van de verwerking, zoals respectievelijk opgenomen in artikel 15, 16 en 18 van de verordening, niet van toepassing zijn op verwerking van persoonsgegevens op grond van artikel J 9. Deze rechten worden beperkt omdat de Kieswet in een eerder stadium van het verkiezingsproces reeds voorziet in een regeling voor de terinzagelegging van de ingeleverde kandidatenlijsten. Daarnaast laat de systematiek van het verkiezingsproces niet toelaat dat persoonsgegevens van kandidaten op dit punt in het proces gerectificeerd worden of dat deze gegevens gedurende een periode niet verwerkt mogen worden. De grondslag voor de beperking van de genoemde uitzonderingen is gelegen in artikel 23, eerste lid, van de verordening, en is noodzakelijk vanwege een belangrijke doelstelling van algemeen belang (onderdeel e), die in dit geval gelegen is in de borging dat de lijst die aan de kiezers verspreid wordt gelijk is aan de lijst die door het centraal stembureau onherroepelijk is vastgesteld.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). In onderhavig geval is het doel van de verwerking (a) gelegen in het ter kennis geven van de kiezers op welke personen zij een stem kunnen uitbrengen. De categorieën van persoonsgegevens (b) betreffen de persoonsgegevens van kandidaten zoals ze op de kandidatenlijst vermeld zijn, met weglating van de geboortedatum (artikel J 1, tweede lid, van het Kiesbesluit). Het toepassingsgebied van de beperkingen (c) strekt zich op grond van onderhavig wijzigingsonderdeel uit tot verwerkingen die plaatsvinden op grond van artikel J 9 van de Kieswet. Het treffen van specifieke wettelijke waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte (d) of ten aanzien van de risico’s voor de rechten en vrijheden van betrokkenen (g) acht de regering niet nodig, aangezien dergelijke risico’s niet groter zijn als gevolg van de voorgestelde beperkingen. De verwerkingsverantwoordelijke (e) betreft de burgemeester. Door onderhavig voorstel van wet is de beperking tot slot voorzienbaar voor betrokkenen (h).
N (artikel J 21)
Op grond van artikel J 21 draagt de burgemeester er zorg voor dat voor aanvang van de stemming voldoende stembiljetten en formulieren voor de processen-verbaal aanwezig zijn bij elk stembureau in zijn gemeente. Zowel op de stembiljetten als op de processen-verbaal worden persoonsgegevens van de kandidaten gedrukt. Er is dan ook sprake van verwerking van persoonsgegevens. Dit wijzigingsonderdeel regelt dat de rechten van betrokkenen als bedoeld in artikel 15, 16 en 18 van de verordening niet van toepassing zijn ten aanzien van deze verwerkingen. Hierin zijn respectievelijk een recht van inzage, recht op rectificatie en een recht op beperking van de verwerking neergelegd. Het recht van inzage wordt beperkt omdat dit tot een onevenredige last voor de burgemeester zou kunnen leiden. Vermelding verdient hierbij dat de betrokkenen, de kandidaten, ervan op de hoogte zijn dat hun persoonsgegevens verwerkt worden. Het recht op rectificatie en het recht op beperking worden beperkt omdat de systematiek van het verkiezingsproces niet toelaat dat persoonsgegevens van kandidaten op dit punt in het proces gerectificeerd worden of dat deze gegevens gedurende een periode niet verwerkt mogen worden.
De grondslag voor de voornoemde beperkingen is gelegen in artikel 23, eerste lid, van de verordening, en is noodzakelijk vanwege een belangrijke doelstelling van algemeen belang (onderdeel e), die gelegen is in een goed verloop van het verkiezingsproces, zoals hiervoor nader toegelicht.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). In onderhavig geval is het doel van de verwerking (a) gelegen in het faciliteren van de stemming en de telling. De categorieën van persoonsgegevens (b) betreffen de persoonsgegevens van kandidaten zoals ze op de kandidatenlijst vermeld zijn (artikel H 2 van de Kieswet). Het toepassingsgebied van de beperkingen (c) strekt zich op grond van onderhavig wijzigingsonderdeel uit tot de verwerkingen die plaatsvinden op grond van artikel J 21 van de Kieswet. Het treffen van specifieke wettelijke waarborgen ter voorkoming van misbruik of onrechtmatige toegang of doorgifte (d) of ten aanzien van de risico’s voor de rechten en vrijheden van betrokkenen (g) acht de regering in dit geval niet nodig, aangezien dergelijke risico’s niet groter zijn als gevolg van de voorgestelde beperkingen. Bovendien bevat de Kieswet en onderliggende regelgeving reeds gedetailleerde bepalingen omtrent de wijze waarop de persoonsgegevens van de kandidaten verwerkt worden. De Kieswet voorziet er onder andere in dat de stembiljetten en processen-verbaal uiteindelijk vernietigd worden (f). De verwerkingsverantwoordelijke (e) betreft in dit geval verschillende organen (zie ook de toelichting bij de wijzigingsonderdelen P, R, S, T en Y). Door onderhavig voorstel van wet is de beperking tot slot voorzienbaar voor betrokkenen (h).
O en Z (artikel J 25 en V 7)
Op grond van artikel J 25, zevende lid, neemt het stembureau de stempas in van de kiezer indien de kiezer wordt toegelaten tot de stemming. Bij een eventuele herstemming op grond van artikel V 6, tweede lid, van de Kieswet, wordt aan de hand van deze ingenomen stempassen, waarop diverse persoonsgegevens van de kiezer zijn opgenomen, vastgesteld wie aan de herstemming deel mag nemen (artikel V 7, eerste lid). Dit heeft tot gevolg dat de handeling tot inname van de stempassen een verwerking van persoonsgegevens betreft in geval (later) besloten wordt tot een herstemming (verwezen wordt ook naar het algemeen deel van deze toelichting). De persoonsgegevens zijn in dat geval namelijk bestemd om in een bestand te worden opgenomen (artikel 2, eerste lid, van de verordening). Het voorstel regelt dat de artikelen 15, 16 en 18 van de verordening, waarin respectievelijk het recht van inzage, recht op rectificatie en recht op beperking van de verwerking zijn opgenomen, in geval van een herstemming niet van toepassing zijn op de verwerking. De systematiek van een herstemming laat niet toe dat de betreffende gegevens nog aangepast worden of niet verwerkt mogen worden. De stempassen worden na de stemming daarnaast verzegeld, waardoor in de systematiek ook geen ruimte is voor een recht van inzage. De grondslag voor deze beperking is gelegen in artikel 23, eerste lid, van de verordening, en is noodzakelijk vanwege een belangrijke doelstelling van algemeen belang (onderdeel e), die in dit geval gelegen is in een goed verloop van de (oproeping voor) de herstemming.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). In dit geval is het niet nodig aanvullende maatregelen te treffen, aangezien er als gevolg van de beperkingen die met dit wetsvoorstel worden aangebracht geen aanvullende risico’s zijn voor betrokkenen. De Kieswet en onderliggende regelgeving bevatten daarnaast gedetailleerde bepalingen omtrent de wijze waarop de stempassen, en aldus de daarin opgenomen persoonsgegevens, verwerkt worden, waardoor voorzienbaar is voor betrokkenen op welke wijze hun persoonsgegevens verwerkt worden.
P, R, S, T en Y (artikel J 35, N 22, O 7, P 27 en U 19)
De Kieswet regelt dat na afloop van de stemming, op voorgeschreven momenten proces-verbaal wordt opgemaakt van de stemming en de stemopneming. In deze processen-verbaal, waarvoor in de Kies- en referendumregeling de modellen N 10–1, N 10–2a, N 10–2b, O 3, P 22–1, P 22–2, T 11, U 16 en V 9 zijn vastgesteld, worden diverse persoonsgegevens opgenomen. (Dit geldt tevens voor het formulier N 11 waarin de burgemeester de uitslag van zijn gemeente vaststelt. Voor zover hierna in algemene zin melding wordt gemaakt van processen-verbaal, wordt tevens gedoeld op het formulier N 11.) Het betreft hier persoonsgegevens van kandidaten alsmede van de leden van stembureaus, hoofdstembureaus en het centraal stembureau, die op grond van de Kieswet de betreffende processen-verbaal ondertekenen. Voorts kunnen er persoonsgegevens in zijn opgenomen van personen die mondelinge bezwaren hebben ingebracht. De verwerkingen die in grote lijnen onderscheiden kunnen worden betreffen het verzamelen, ter inzage leggen, openbaar maken en vernietigen van persoonsgegevens. Aangezien deze processen in de meeste gevallen gedeeltelijk geautomatiseerd plaatsvinden, vallen de diverse verwerkingen onder de reikwijdte van de verordening.
Bij de verwerking van persoonsgegevens ten aanzien van de diverse processen-verbaal is sprake van een keten van verwerkingen waarvoor, afhankelijk van de stap in het proces, verschillende organen verwerkingsverantwoordelijk zijn. Zo stelt in geval van Tweede Kamerverkiezingen elk stembureau een proces-verbaal op, waarna dit stuk wordt overgebracht naar de burgemeester, die zelf op basis van de ontvangen processen-verbaal uit zijn gemeente een formulier opmaakt waarin hij de uitslag van zijn gemeente vaststelt. Ten aanzien van laatstgenoemde verwerking is de burgemeester de verwerkingsverantwoordelijke. Vervolgens draagt de burgemeester de ontvangen processen-verbaal alsmede het door hemzelf opgestelde formulier over aan het hoofdstembureau, dat zelf een nieuw proces-verbaal vaststelt. Op dat punt in het proces is het hoofdstembureau verwerkingsverantwoordelijk voor het verwerken van de persoonsgegevens uit de processen-verbaal van de stembureaus en het formulier van de burgemeester.
De bevoegdheid voor lidstaten om in hun regelgeving de reikwijdte van de voornoemde rechten en verplichtingen te beperken is neergelegd in artikel 23, eerste lid, van de verordening. De beperking is noodzakelijk vanwege een belangrijke doelstelling van algemeen belang van de lidstaat (onderdeel e), die gelegen is in een goed verloop van het verkiezingsproces. In onderhavig geval kan dit belang als volgt geconcretiseerd kan worden.
Beperking artikel 15 (recht van inzage)
De Kieswet bevat reeds een regeling voor de terinzagelegging en, ten aanzien van het hoofdstembureau en het centraal stembureau, openbaarmaking van de processen-verbaal. Op grond van het huidige artikel N 12, eerste lid, van de Kieswet legt de burgemeester onverwijld een afschrift van de processen-verbaal van de stembureaus alsmede van het formulier waarin hij de uitslag van zijn gemeente vaststelt, ter inzage totdat over de toelating van de gekozenen is beslist. De processen-verbaal van het hoofdstembureau en het centraal stembureau worden op grond van artikel O 4, eerste lid, respectievelijk artikel P 23 van de Kieswet, onverwijld op een algemeen toegankelijke vindplaats openbaar gemaakt. De regering is van mening dat de rechten van betrokkenen hiermee afdoende worden beschermd. In dit verband kan tevens opgemerkt worden dat de kandidaten er reeds van op de hoogte zijn dat hun persoonsgegevens verwerkt worden, daar zij door middel van het aanleveren van een instemmingsverklaring bij de kandidaatstelling uitdrukkelijk hebben ingestemd met hun deelname aan de verkiezing. De leden van de diverse stembureaus leveren daarnaast hun eigen persoonsgegevens aan en kunnen uit de Kieswet en onderliggende regelgeving gedetailleerd afleiden wat er met de processen-verbaal gebeurt. Om de werklast van de verwerkingsverantwoordelijken niet verder te verzwaren wordt het recht op inzage daarom uitgesloten.
Beperking artikel 16 (recht op rectificatie) en artikel 18 (recht op beperking van de verwerking)
Na de vaststelling van een proces-verbaal kan de inhoud daarvan niet meer gewijzigd worden. De Kieswet biedt daar geen voorzieningen voor en de aard van het document laat dat ook niet toe. Dit wetsvoorstel regelt daarom dat het recht op rectificatie niet van toepassing is ten aanzien van de verwerking van persoonsgegevens ten aanzien van de processen-verbaal die plaatsvinden op grond van de Kieswet. Om dezelfde reden wordt ook het recht op beperking van de verwerking niet van toepassing verklaard. De aard van de stukken laat niet toe dat een betrokkene kan vereisen dat zijn persoonsgegevens gedurende een bepaalde periode niet verwerkt mogen worden.
Bij iedere beperking op grond van artikel 23, eerste lid, van de verordening moet worden bezien of aanleiding bestaat om te voorzien in specifieke bepalingen over met name, in voorkomend geval, de in artikel 23, tweede lid, genoemde onderdelen (a tot en met h). In dit geval is het niet nodig aanvullende maatregelen te treffen, aangezien er als gevolg van de beperkingen die met dit wetsvoorstel worden aangebracht geen aanvullende risico’s zijn voor betrokkenen. Zo zijn betrokkenen in beginsel op de hoogte van de verwerking van hun persoonsgegevens, worden de documenten openbaar gemaakt, en is ten aanzien van de kandidaten in een eerder stadium mogelijkheid geboden tot herstel van foutieve persoonsgegevens. Ten overvloede wordt opgemerkt dat de Kieswet en onderliggende regelgeving gedetailleerde bepalingen bevat omtrent de wijze waarop de processen-verbaal, en aldus de daarin opgenomen persoonsgegevens, verwerkt worden, waardoor voorzienbaar is voor betrokkenen op welke wijze hun persoonsgegevens verwerkt worden.
Q (artikel N 2)
De Kieswet regelt op dit moment niet wat er moet gebeuren met het uittreksel van ongeldige stempassen, waar elk stembureau op grond van artikel J 17, eerste lid, over beschikt. Omdat het uittreksel diverse persoonsgegevens bevat is van belang dat duidelijk is wat de bestemming hiervan is en dat het niet langer bewaard wordt dan noodzakelijk. Met de wijziging van artikel N 2, eerste lid, wordt voor wat betreft de handelwijze ten aanzien van het uittreksel aangesloten bij de regeling die geldt voor de geldige en onbruikbaar gemaakte stempassen, kiezerspassen en volmachtbewijzen alsmede de onbruikbaar gemaakte en niet gebruikte stembiljetten. Dit betekent dat de stembureaus na afloop van de stemming het uittreksel in een pak doen, verzegelen en vervolgens op grond van artikel N 11, eerste lid, overbrengen naar de burgemeester. Ingevolge artikel N 12, derde lid, vernietigt de burgemeester de pakken drie maanden nadat over de toelating van de gekozenen is beslist, behoudens het bepaalde in artikel N 12, derde lid, onderdelen a en b. Aldus wordt met het onderhavige wijzigingsonderdeel een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G2a en G 3 van de Kieswet).
U (artikel Q 6)
Met dit wetsvoorstel (wijzigingsonderdeel D) is een negende lid toegevoegd aan artikel G 1, waarin voorzien wordt in een vernietigingsregeling voor de stukken die een politieke groepering aan het centraal stembureau overlegt indien zij een aanduiding wenst in te schrijven in het register. Met de onderhavige wijziging wordt deze vernietigingsregeling van overeenkomstige toepassing verklaard ten aanzien van Eerste Kamerverkiezingen. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G2a en G 3 van de Kieswet).
W (artikel S 15)
Op grond van het huidige artikel S 15 van de Kieswet vernietigt het centraal stembureau voor de verkiezing van de leden van de Eerste Kamer de ingeleverde kandidatenlijsten en de verklaringen van ondersteuning nadat over de toelating van de gekozenen is beslist. Dit wetsvoorstel regelt dat op dat moment voortaan ook de overgelegde machtigingen om een (samengevoegde) aanduiding boven de kandidatenlijst te plaatsen alsmede de kopieën van identiteitsbewijzen vernietigd worden. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G2a en G 3 van de Kieswet).
AA (artikel Y 17a)
Met de wijziging van artikel I 19 door dit wetsvoorstel is een regeling getroffen voor de vernietiging van de bij de kandidatenlijst behorende bescheiden. Bij de kandidaatstelling voor Europees Parlementsverkiezingen dient op grond van artikel Y 13, eerste lid, tevens van iedere kandidaat een schriftelijke verklaring overgelegd te worden waarin de kandidaat verklaart dat hij zich niet ook in een andere lidstaat kandidaat stelt. Met dit wijzigingsonderdeel wordt geregeld dat ook deze stukken vernietigd worden door het centraal stembureau. Hiermee wordt een nadere en gespecificeerde uitwerking gegeven aan het beginsel dat persoonsgegevens niet langer bewaard worden dan noodzakelijk, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de verordening. De grondslag voor deze nadere invulling bij nationale regelgeving is gelegen in artikel 6, tweede lid, van de verordening (zie ook de toelichting bij de wijziging van de artikelen G 1, G 2, G 2a en G 3 van de Kieswet).
AB (artikel Ya 3a)
Dit wetsvoorstel regelt dat de zinsnede in het huidige artikel D 6, eerste lid, onderdeel a, die ertoe strekt dat een registratie van een ingezetene in het register gewijzigd kan worden indien de persoon niet op de juiste wijze is geregistreerd, komt te vervallen. De reden hiervoor is de overlap met het recht op rectificatie, bedoeld in artikel 16 van de verordening. Omdat de reikwijdte van de verordening zich niet uitstrekt tot de openbare lichamen Bonaire, Sint Eustatius en Saba, is van belang dat deze bepaling behouden blijft ten aanzien van ingezetenen van de openbare lichamen. Dit wijzigingsonderdeel strekt daartoe. Met de laatste volzin wordt bewerkstelligd dat de beslistermijn ongewijzigd blijft ten opzichte van het thans geldende recht.
AC en AD (opschrift hoofdstuk Z en paragraaf § 1a)
Artikel Z 11a
Met het nieuwe artikel Z 11a, eerste lid, wordt geregeld dat de Autoriteit persoonsgegevens toezicht houdt op de verwerking van persoonsgegevens bij of krachtens de Kieswet. Voor een nadere toelichting wordt verwezen naar het algemeen deel van deze memorie van toelichting.
Zonder nadere voorziening dreigt een samenloop van het toezicht door de Autoriteit persoonsgegevens en het interbestuurlijk toezicht op het college van burgemeester en wethouders en de burgemeester. Aangezien een dergelijke stapeling van het toezicht onwenselijk is, regelt artikel Z 11a, tweede lid, dat de bevoegdheden van de provincie en de Kroon tot respectievelijk indeplaatsstelling en schorsing en vernietiging, buiten toepassing blijven inzake verwerking van persoonsgegevens in het kader van de Kieswet.
Artikel Z 11b
Met dit artikel wordt artikel 34 uit de Uitvoeringswet Algemene verordening gegevensbescherming van overeenkomstige toepassing verklaard ten aanzien van de uitoefening van de rechten van betrokkenen, bedoeld in de verordening, in het kader van persoonsgegevensverwerkingen op grond van de Kieswet. De bepaling strekt ertoe beslissingen die door bestuursorganen genomen zijn inzake de rechten van betrokkenen gelijk te stellen aan een besluit in de zin van de Awb. Hiermee wordt onduidelijkheid inzake het rechtskarakter van deze beslissingen voorkomen en wordt daarenboven gegarandeerd dat er een met passende waarborgen omklede rechtsgang openstaat voor de betrokkene om tegen een eventueel afwijzend besluit op te komen in rechte.
Artikel 2.4 Wet algemene bepalingen burgerservicenummer
De plicht van de verwerkingsverantwoordelijke (in dit geval de Minister van BZK) om een gegevensfunctionaris aan te stellen vloeit direct voort uit artikel 37 van de Algemene verordening gegevensbescherming. Hiermee kan artikel 19 komen te vervallen.
Advies Autoriteit persoonsgegevens
In haar advies adviseert de Autoriteit Persoonsgegevens om artikel 21 van de Wet algemene bepalingen burgerservicenummer (Wabb) aan te passen. Het artikel heeft betrekking op de cyclus van onderzoek van eenmaal per drie jaar van de beheervoorziening burgerservicenummer. De Autoriteit Persoonsgegevens acht – rekening houdend met de stand van de techniek, de uitvoeringskosten en dergelijke en mede gelet op de datum van inwerkingtreding van voornoemde voorschriften in 2007 en de verstreken tijd – een verplichting om eens per drie jaar onderzoek (te doen) niet voldoende representatief voor het benodigde beschermingsniveau dat voortvloeit uit artikel 32 van de AVG. Gelet op aanvullende richtlijnen die van toepassing zijn zoals de Baseline informatiebeveiliging Rijk (BIR), Voorschrift Informatiebeveiliging Rijk (VIR), Informatiebeveiligingsplan (IBP) en de jaarlijkse in–control-verklaring is geconcludeerd dat aanpassing van artikel 21 Wabb niet noodzakelijk is aangezien het beschermingsniveau dat voortvloeit uit Artikel 32 AVG door deze maatregelen voldoende wordt gewaarborgd.
Artikel 2.6 Wet basisregistratie adressen en gebouwen
Wat betreft het advies van de Autoriteit persoonsgegevens met betrekking tot artikel 4, tweede lid, van de Wet basisregistratie adressen en gebouwen, dat bepaalt dat artikel 35 van de Wbp niet van toepassing is en deze wijziging kan (moeten) worden bezien in het licht van het voorgestelde artikel 43 van de Uitvoeringswet (nu artikel 47 van de Uitvoeringswet), maar dat een toelichting daarop ontbreekt, is dit verhelderd in het wetsvoorstel. Dit geldt niet alleen voor dit artikel, maar ook voor andere wetten, zoals de Wet kenbaarheid publiekrechtelijke beperkingen onroerende zaken. Het recht op inzage was reeds uitgezonderd voor de basisregistraties adressen en gebouwen. Die uitzondering blijft in stand, omdat de basisregistraties naar hun aard openbaar zijn. Zo er al persoonsgegevens zijn opgenomen in de basisregistraties adressen en gebouwen, is het niet nodig en voor burgemeester en wethouders onredelijk bezwarend om een apart informatierecht op te nemen (Kamerstukken II 2006/07, 30 968, nr. 3, p. 29). Er is in hoofdstuk 5 van de Wet basisregistraties adressen en gebouwen (artt. 32–36) ook sprake van een bijzondere procedure van inzage in de zin van artikel 47 UAVG, op basis waarvan artikel 15 AVG niet van toepassing is op de desbetreffende basisregistraties.
De wijziging in het derde lid van artikel 4 is bedoeld als beleidsneutrale wijziging. Het gaat erom dat gegevens slechts voor bepaalde doeleinden en voor verwerking op bepaalde gronden verstrekt mogen worden. Er is voor een toegankelijkere tekst en aansluiting op de AVG gekozen voor een negatieve formulering (wanneer geen verstrekking plaatsvindt) in plaats van een positieve formulering (wanneer alleen verstrekking kan plaatsvinden). Uiteraard is het doel van de verwerking onverminderd van belang, op basis van de AVG.
Artikel 2.7 Wet basisregistratie ondergrond
De wijziging in het tweede lid van artikel 26 is bedoeld als beleidsneutrale wijziging. Het gaat erom dat gegevens slechts voor bepaalde doeleinden en voor verwerking op bepaalde gronden verstrekt mogen worden. Er is voor een toegankelijkere tekst en aansluiting op de AVG gekozen voor een negatieve formulering (wanneer geen verstrekking plaatsvindt) in plaats van een positieve formulering (wanneer alleen verstrekking kan plaatsvinden). Uiteraard is het doel van de verwerking onverminderd van belang, op basis van de AVG.
Artikel 2.8 Wet basisregistratie personen
Onderdeel A (artikel 1.1)
Met dit wetsvoorstel wordt wat betreft de gegevensverwerking in de basisregistratie personen (BRP) een eigenstandige uitvoering gegeven aan de verordening in de Wet basisregistratie personen (Wet BRP). De Wet BRP is namelijk uitgezonderd van het toepassingsbereik van de Uitvoeringswet. Dit is in lijn met de voorafgaande aan de inwerkingtreding van de verordening bestaande situatie onder de Wbp. Met het oog daarop is in artikel 1.1, onderdeel y, van de wet een definitiebepaling met betrekking tot de verordening opgenomen.
Onderdeel B (artikel 1.10)
In artikel 1.10, eerste lid, van de Wet BRP is bepaald dat bij of krachtens algemene maatregel van bestuur regels worden gesteld omtrent de technische en administratieve inrichting en werking en de beveiliging van de basisregistratie, alsmede de uitwisseling van berichten tussen de centrale voorzieningen en de gemeentelijke voorzieningen en tussen de centrale voorzieningen en de overheidsorganen waaraan en derden aan wie systematisch gegevens worden verstrekt. Het huidige tweede lid van dit artikel schrijft voor dat de in het eerste lid bedoelde regels ook eisen omvatten omtrent de deugdelijke uitvoering van werkzaamheden, de beveiliging van gegevens en de bescherming van de persoonlijke levenssfeer, die een bewerker in acht moet nemen als hij in opdracht van het college van burgemeester en wethouders technische of administratieve werkzaamheden verricht. De verordening spreekt overigens niet over «bewerker», maar over «verwerker».
De regels die gelden voor een verwerker die door een verwerkingsverantwoordelijke wordt ingeschakeld zijn hoofdzakelijk te vinden in de artikelen 28 en 29 van de verordening. De betekenis van deze bepalingen voor de uitvoeringspraktijk is in algemene zin toegelicht in de memorie van toelichting bij de Uitvoeringswet. De verwerker zal bij de verwerking van gegevens in beginsel dezelfde regels in acht moeten nemen die op grond van de verordening ook gelden voor de verwerkingsverantwoordelijke zelf, waaronder het treffen van passende technische en organisatorische maatregelen, om een op het risico afgestemd beveiligingsniveau te waarborgen. De verwerker zal tevens de verwerkingsverantwoordelijke bijstand moeten verlenen bij het doen nakomen van de verplichtingen uit hoofde van de artikelen 32 tot en met 36 van de verordening. Dit betreft, naast verplichtingen op het terrein van de beveiliging van de gegevensverwerking, ook andere (nieuwe) verplichtingen, zoals het melden van een inbreuk in verband met persoonsgegevens (datalek) aan de Autoriteit persoonsgegevens en de mededeling van een dergelijke inbreuk aan de betrokkene indien het hem betreffende persoonsgegevens betreft en de inhoud waarschijnlijk een hoog risico inhoudt voor diens rechten en vrijheden. De bepalingen ten aanzien van verwerkers in de verordening zijn dermate gedetailleerd dat zij geen nadere uitwerking behoeven in de regelgeving met betrekking tot de basisregistratie personen. Dit leidt ertoe dat artikel 1.10, tweede lid, van de wet en de daarop gebaseerde nadere regelgeving kan vervallen.
Onderdeel C (artikel 1.13)
In artikel 1.13 wordt geregeld dat de artikelen 49 en 50 van de Wbp van overeenkomstige toepassing zijn. De regeling die is opgenomen in het huidige artikel 49 van de Wbp volgt straks direct uit de rechtstreeks van toepassing zijnde artikelen 79 en 82 van de verordening. De inhoud van het huidige artikel 50 van de Wbp is overgenomen in het nieuwe artikel 37 van de Uitvoeringswet. In artikel 1.13 kan derhalve worden volstaan met een verwijzing naar het genoemde artikel 37 van de Uitvoeringswet.
Onderdeel D (artikel 2.54)
Artikel 2.54 van de Wet BRP schrijft voor dat het college van burgemeester en wethouders binnen vier weken na de eerste inschrijving van een persoon als ingezetene in de BRP, alsmede binnen vier weken nadat een ingeschrevene die geen ingezetene was ingezetene is geworden, aan de betrokken persoon in begrijpelijke vorm een volledig overzicht van zijn persoonslijst stuurt. Uit de persoonslijst blijkt welke gegevens over een ingeschrevene in de basisregistratie zijn opgenomen. In het huidige artikel 2.54, derde lid, is bepaald, dat bij de toezending van dit overzicht tevens schriftelijk mededeling wordt gedaan van de hoofdlijnen van de ter zake van de basisregistratie geldende regels, waaronder ten minste de hoofdlijnen van de regels betreffende de identiteit van de voor de verwerking verantwoordelijke, de doeleinden van de basisregistratie, de opgenomen gegevenscategorieën, de categorieën van ontvangers van gegevens en de rechten van de ingeschrevene. Het vorenstaande geldt ook ten aanzien van personen die door de Minister van BZK als niet-ingezetene in de BRP worden ingeschreven. Het bepaalde in artikel 2.54, derde lid, van de wet is in artikel 2.81, derde lid, van de wet immers van overeenkomstige toepassing verklaard op deze categorie personen.
De verplichting om de in artikel 2.54, derde lid van de wet bedoelde informatie aan de ingeschrevene te verstrekken is, in het geval de persoonsgegevens bij de betrokkene zelf worden verzameld, neergelegd in artikel 13 van de verordening en, in het geval de persoonsgegevens niet van de betrokkene zelf zijn verkregen, in artikel 14 van de verordening. De regeling met betrekking tot de termijnen zoals neergelegd in artikel 13, eerste, tweede en derde lid, en artikel 14, derde en vierde lid, van de verordening wordt zodanig beperkt dat de bovenbedoelde informatie niet verstrekt wordt op de in die bepalingen genoemde momenten, maar binnen vier weken nadat de betrokkene is ingeschreven in de basisregistratie personen of nadat deze, als niet-ingezetene ingeschreven zijnde, ingezetene is geworden. Op de grondslag en de motivering om de regeling zoals neergelegd in deze artikelen van de verordening te beperken, is in het algemeen deel van deze toelichting al ingegaan. De verstrekking van de informatie vindt plaats, ongeacht of de betrokkene reeds over de informatie beschikt. De uitvoering van de informatieplicht gaat in dit opzicht verder dan de verordening voorschrijft (zie artikel 13, vierde lid en artikel 14, vijfde lid, onder a, van de verordening).
Op grond van artikel 12, eerste lid, van de verordening zal de in artikel 2.54 van de wet bedoelde communicatie in verband met de verwerking van de persoonsgegevens in de basisregistratie aan de betrokkene in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal moeten plaatsvinden. Dat geldt zowel voor het toegezonden overzicht van de persoonslijst, bedoeld in artikel 2.54, eerste lid, als voor de mededeling, bedoeld in artikel 2.54, derde lid, die gelijktijdig dienen te geschieden. Artikel 12, eerste lid, van de verordening in samenhang gelezen met artikel 2.54 van de wet regelt dat zowel het overzicht van de persoonslijst als de mededeling betreffende de gegevensverwerking in de basisregistratie schriftelijk wordt verstrekt. Schriftelijk dient hier zodanig opgevat te worden dat de mededeling ook elektronisch plaats kan vinden indien deze weg met inachtneming van de bepalingen in de Algemene wet bestuursrecht is opengesteld. Indien de betrokkene daarom verzoekt, kan de informatie op grond van artikel 12, eerste lid, van de verordening ook mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is en er tegelijkertijd schriftelijk mededeling gedaan wordt.
Onderdeel E (artikel 2.55)
Artikel 2.55 van de Wet BRP kan in zijn huidige vorm grotendeels vervallen, omdat de daarin geregelde materie vrijwel volledig wordt bestreken door de rechtstreeks van toepassing zijnde bepalingen van artikel 12 en 15 van de verordening. Waar er redenen zijn om een beperking op de regeling zoals neergelegd in die bepalingen aan te brengen of daaraan een andere invulling te geven, worden deze hierna vermeld.
In het huidige artikel is bepaald dat het college van burgemeester en wethouders een ieder op diens verzoek schriftelijk binnen vier weken kosteloos mededeelt of hem betreffende persoonsgegevens in de basisregistratie worden verwerkt in het kader van de bijhouding (artikel 2.55, eerste lid) en dat het college een ieder op diens verzoek binnen vier weken kosteloos inzage verleent in deze gegevens (artikel 2.55, tweede lid).
Het hier aan de orde zijnde recht van inzage is geregeld in artikel 15 van de verordening, dat betrokkene het recht geeft om uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens.
Op grond van artikel 12, derde lid, van de verordening dient de verwerkingsverantwoordelijke de betrokkene onverwijld en in ieder geval binnen een maand na ontvangst van het verzoek informatie te verstrekken over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging. De verordening biedt hiermee meer tijd om aan de verzoeken te voldoen dan de huidige wettelijke termijn van vier weken.
Gezien het uitgangspunt van een beleidsneutrale implementatie van de verordening met betrekking tot de gegevensverwerking in de basisregistratie personen wordt, anders dan is opgenomen in artikel 12, derde lid van de verordening, de bestaande termijn van vier weken in artikel 2.55, eerste lid, van de wet gehandhaafd. In het algemeen deel van deze toelichting is al ingegaan op de achtergrond van het aanhouden van de al geldende termijnen in de Wet BRP, de grondslag in de verordening voor deze regeling en de wijze waarop de rechten van burgers gewaarborgd blijven. De informatie die verstrekt dient te worden bij een verzoek tot inzage op grond van artikel 15 van de verordening is opgesomd in dat artikel. Om die reden wordt de tweede volzin van het huidige artikel 2.55, eerste lid, van de wet geschrapt. De informatie die verschaft dient te worden komt grotendeels overeen met de huidige mededeling.
Het voorschrift dat aan de verzoeken om inzage kosteloos moet worden voldaan, vloeit voort uit artikel 12, vijfde lid, van de verordening en is om die reden geschrapt. Dat geldt ook voor de regels die de verstrekking op verzoek van de betrokkene voorschrijven van informatie over de gegevensverwerking in de basisregistratie personen en van de beschikbare informatie over de oorsprong van die gegevens voor zover die niet van de verzoeker zelf afkomstig zijn, zoals neergelegd in artikel 2.55, eerste en derde lid. De inhoud van deze bepalingen komt in zoverre overeen met de regeling omtrent de gegevensverstrekking in artikel 15, eerste en tweede lid, van de verordening en kan derhalve komen te vervallen.
Ook het voorschrift in artikel 2.55, derde lid, dat het college een ieder op diens verzoek binnen vier weken een afschrift in begrijpelijke vorm dient te verstrekken van de hem betreffende gegevens die in de basisregistratie worden verwerkt, kan vervallen. Artikel 15, derde lid, van de verordening bepaalt immers dat de verwerkingsverantwoordelijke de betrokkene een kopie verstrekt van de persoonsgegevens die worden verwerkt. De verordening voegt hier echter nog aan toe dat, indien de betrokkene om bijkomende kopieën verzoekt, daarvoor op basis van de administratieve kosten een redelijke vergoeding in rekening kan worden gebracht. Dit betekent dat de eerste kopie in ieder geval gratis moet worden verstrekt. In de huidige wet is dit nu niet geregeld. Dat het afschrift in begrijpelijke vorm dient te worden verstrekt vloeit voort uit artikel 12, eerste lid, van de verordening, dat in onderdeel D nader is toegelicht. In aanvulling op de verordening wordt in de wet de bestaande mogelijkheid om de kopie van de persoonsgegevens desgevraagd te waarmerken overigens gehandhaafd (artikel 2.55, derde lid, nieuw). Voor deze waarmerking kunnen eventueel wel kosten worden berekend. Het recht om een kopie te verkrijgen mag overigens geen afbreuk doen aan de rechten en vrijheden van anderen (artikel 15, vierde lid, van de verordening).
In het huidige artikel 2.55, vierde lid, van de wet is bepaald dat het college van burgemeester en wethouders zorg draagt voor een deugdelijke vaststelling van de identiteit van de verzoeker. Deze bepaling blijft behouden omdat de verordening hier weliswaar impliciet van uit lijkt te gaan, maar niet een overeenkomstige bepaling bevat met dezelfde inhoud als artikel 2.55, vierde lid, van de wet.
De bestaande regeling voor het doen van verzoeken om inzage van persoonsgegevens namens minderjarigen jonger dan 16 jaar en onder curatele gestelden (artikel 2.55, vijfde lid) is gehandhaafd en ondergebracht in artikel 2.55, tweede lid (nieuw). In de verordening is voor deze situatie geen voorziening getroffen.
In het huidige artikel 2.55, zesde lid, ten slotte, is bepaald dat aan het verzoek om inzage geen gevolg wordt gegeven indien dat niet met een redelijke tussenpoos is gedaan ten opzichte van een eerder verzoek. Deze bepaling vervalt en wordt vervangen door de rechtstreeks van toepassing zijnde regeling in artikel 12, vijfde lid, van de verordening met betrekking tot verzoeken van een betrokkene die kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter. Indien sprake is van dergelijke verzoeken heeft de verwerkingsverantwoordelijke twee opties. Hij kan ofwel een redelijke vergoeding vragen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan, ofwel weigeren gevolg te geven aan het verzoek. Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.
Onderdeel F (artikel 2.57)
De wijziging van het artikel betreft de opname van een nieuwe verwijzing in verband met het gewijzigde artikel 2.55 van de Wet BRP.
Onderdeel G (artikel 2.58)
In artikel 2.58 van de Wet BRP is het recht op correctie van gegevens in de basisregistratie personen neergelegd voor burgers. Dit recht is in de verordening opgenomen in de artikelen 16 (het recht op rectificatie) en 17, eerste lid, onderdeel d (het recht op wissing in verband met onrechtmatige verwerking). In dit onderdeel wordt artikel 2.58 daarom zodanig gewijzigd dat datgene wat al geregeld wordt in de verordening uit het artikel geschrapt wordt. In het gewijzigde wetsartikel worden enkel nog die elementen opgenomen die niet direct voortvloeien uit de artikelen 12, 16 en 17 van de verordening met betrekking tot het recht op rectificatie en wissing van persoonsgegevens in verband met de onrechtmatige verwerking daarvan in de basisregistratie personen.
Daarnaast wordt door middel van deze wijziging van artikel 2.58 de regeling zoals opgenomen in artikel 12, derde lid, van de verordening met betrekking tot de opgenomen termijnen voor de afhandeling van verzoeken van betrokkenen beperkt. In het algemeen deel van deze toelichting is al ingegaan op de achtergrond van het aanhouden van de bestaande termijnen in de Wet BRP, de grondslag in de verordening voor deze regeling en de wijze waarop de rechten van burgers gewaarborgd blijven door het nemen van maatregelen in de zin van artikel 23, tweede lid, onderdeel h, van de verordening. Zo wordt ingevolge artikel 2.58, eerste lid, van de wet de bestaande termijn van vier weken aangehouden, waarbinnen het college van burgemeester en wethouders dient te voldoen aan het verzoek van betrokkene. Hierop is in het algemeen deel van de toelichting al ingegaan. De regeling zoals opgenomen in artikel 12, derde lid van de verordening, wordt eveneens beperkt waar het gaat om de termijn waarbinnen aan het verzoek moet zijn voldaan, indien dit betrekking heeft op gegevens omtrent de burgerlijke staat of de nationaliteit van de betrokkene. Op grond van artikel 2.58, derde lid, van de Wet BRP kan in dat geval de termijn van vier weken, voor zover noodzakelijk, met telkens acht weken worden verlengd. In artikel 12, derde lid, van de verordening is daarentegen bepaald dat de daarin genoemde termijn van een maand om aan verzoeken tot rectificatie of wissing van gegevens te voldoen, afhankelijk van de complexiteit van de verzoeken en het aantal verzoeken indien nodig met nog eens met twee maanden kan worden verlengd. Artikel 2.58, derde lid, van de wet bevat derhalve een in beginsel onbeperkte mogelijkheid om de termijn te verlengen. De reden hiervan is gelegen in de werking van de basisregistratie wat betreft de bijhouding van de daarin opgenomen gegevens. De overheidsorganen en daartoe geautoriseerde derden die gebruik maken van de gegevens die in de basisregistratie zijn opgenomen, dienen te kunnen vertrouwen op de juistheid van die gegevens. Dat geldt in het bijzonder voor de gegevens omtrent de burgerlijke staat of de nationaliteit, die in hoge mate bepalend zijn voor de identiteit van de ingeschrevene. Deze gegevens worden in de wet aangeduid als authentieke gegevens die in beginsel verplicht door bestuursorganen moeten worden gebruikt. Rectificatie of wissing van deze gegevens heeft derhalve vergaande gevolgen en kan, mede ter voorkoming van fraude en misbruik, slechts na uitgebreid onderzoek plaats te vinden. In verband met dit onderzoek is verlenging van de termijn mogelijk gemaakt, mede omdat het daarbij nodig kan zijn buitenlandse bronnen te raadplegen, wat langere tijd kan vergen. In het licht van het voorgaande en het uitgangspunt van een beleidsneutrale implementatie van de verordening in de Wet BRP wordt de bestaande regeling in artikel 2.58, derde lid, van de wet gehandhaafd. De grondslag voor de beperking van artikel 12, derde lid, van de verordening ligt in artikel 23, eerste lid, onderdeel e, van de verordening (zie voor een nadere toelichting hierop het algemeen deel van de toelichting).
Tenslotte wordt nog opgemerkt dat op grond van artikel 17, derde lid, onderdeel b, van de verordening artikel 17, eerste lid, onderdelen a, b, c, e en f, van de verordening niet van toepassing zijn bij de uitvoering van de wet, aangezien op grond van artikel 2.7, derde en vierde lid, van de wet een aparte regeling is opgenomen met betrekking tot de verwijdering van gegevens uit de BRP.
Onderdeel H (artikel 2.58a)
Met dit onderdeel wordt artikel 18 van de verordening aangaande het recht van de burger op beperking van de verwerking van persoonsgegevens wat betreft de bijhouding van zijn gegevens in de basisregistratie personen buiten toepassing verklaard. De essentiële functie die de basisregistratie heeft als primaire informatiebron voor de overheid staat in de weg aan het kunnen inroepen van het recht zoals neergelegd in artikel 18, aangezien de informatiestroom binnen de overheid hierdoor ernstig gehinderd zou worden. Op grond van artikel 23 van de verordening bestaat de mogelijkheid om dit recht van de burger in het algemeen belang te beperken. Voor een verdere motivering van deze beperking en haar rechtmatigheid wordt verwezen naar het algemeen deel van de toelichting.
Onderdeel I (artikel 2.59)
Dit onderdeel regelt de wijziging van de verwijzing in artikel 2.59 naar artikel 2.55 van de Wet BRP, in verband met de wijziging van artikel 2.55 van de wet.
Onderdeel J (artikel 2.81)
In artikel 2.81 van de Wet BRP wordt het nieuwe artikel 258a van overeenkomstige toepassing verklaard. Daarmee wordt geregeld dat het recht op beperking van de verwerking zoals opgenomen in artikel 18 van de verordening, net als bij ingezetenen, ook niet kan worden ingeroepen door niet-ingezetenen waar het gaat om de bijhouding van hen betreffende gegevens in de basisregistratie personen.
Onderdeel K (artikel 3.15)
In dit onderdeel wordt geregeld dat ook een verwijzing wordt opgenomen naar artikel 15 van de verordening. Dit omdat het recht op grond waarvan het, ingevolge artikel 2.55, derde lid, van de Wet BRP desgewenst te waarmerken, afschrift verkregen kan worden is neergelegd in artikel 15 van de verordening.
Onderdeel L (artikel 3.20)
In dit onderdeel wordt geregeld dat ook een verwijzing wordt opgenomen naar artikel 15 van de verordening, vanwege het feit dat het recht op inzage op grond waarvan de betrokkene hem betreffende gegevens verstrekt kan krijgen primair is neergelegd in artikel 15 van de verordening. Dit recht zoals neergelegd in de verordening kan zowel worden ingeroepen door ingezetenen als niet-ingezetenen.
Onderdeel M (artikel 3.20a)
In het nieuwe artikel 3.20a van de Wet BRP wordt neergelegd dat artikel 18 van de verordening inzake het recht op beperking van de verwerking van persoonsgegevens niet kan worden ingeroepen door burgers met betrekking tot de verstrekking van gegevens uit de basisregistratie personen. Dit geldt zowel voor ingezetenen als niet-ingezetenen. De grondslag voor deze regeling wordt gevonden in artikel 23 van de verordening. Het buiten toepassing verklaren van artikel 18 van de verordening doet geen afbreuk aan het bestaande recht van de burger om de gegevensverstrekking aan derden in bepaalde gevallen te beperken, zoals neergelegd in artikel 2.59 van de wet, aangezien dit een ander recht betreft (zie de toelichting bij onderdeel H). Een verdere toelichting op de motivering voor de beperking van het recht op grond van artikel 18 van de verordening wordt gegeven in het algemeen deel van de toelichting.
Onderdeel N (artikel 3.21)
Dit onderdeel regelt de wijziging van de verwijzing in artikel 3.21 naar artikel 2.55 van de wet, in verband met de wijziging van artikel 2.55 van de wet.
Onderdeel O (artikel 3.22)
Het recht van de betrokkene op inzage in de verstrekkingen die hebben plaatsgevonden uit de basisregistratie personen is met de inwerkingtreding van de verordening neergelegd in artikel 15 van de verordening. Artikel 3.22 wordt zodanig aangepast dat dit tot uitdrukking komt. De regeling wat betreft de termijnen waarbinnen het college van burgemeester en wethouders aan de betrokkene moet mededelen of hem betreffende gegevens uit de basisregistratie zijn verstrekt en zo ja, welke verstrekkingen hebben plaatsgevonden, zoals neergelegd in artikel 3.22, eerste en tweede lid, van de wet betreft een beperking van de regeling zoals neergelegd in artikel 12 van de verordening. De grondslag daarvoor is gelegen in artikel 23, eerste lid, onderdeel e, van de verordening. In het algemeen deel van deze toelichting is al ingegaan op de achtergrond van het aanhouden van de al geldende termijnen in de Wet BRP, de grondslag in de verordening voor deze regeling en de wijze waarop de rechten van burgers gewaarborgd blijven door het nemen van maatregelen in de zin van artikel 23, tweede lid, onderdeel h, van de verordening. Artikel 3.22 van de Wet BRP regelt dat het college van burgemeester en wethouders aan de betrokkene op diens verzoek mededeelt of hem betreffende gegevens gedurende twintig jaren voorafgaande aan het verzoek uit de basisregistratie zijn verstrekt aan een overheidsorgaan of een derde. De termijn van twintig jaren volgt uit het arrest Rijkeboer/Nederland.10 In artikel 3.22, tweede lid, wordt verder de bepaling dat het college van burgemeester en wethouders kan volstaan met een in algemene termen gestelde mededeling omtrent de verstrekking, tenzij het belang van de verzoeker daardoor onevenredig wordt geschaad, geschrapt. Deze bepaling dateert uit de begintijd van de gemeentelijke basisadministratie persoonsgegevens (GBA) en weerspiegelt de destijds heersende opvattingen en mogelijkheden met betrekking tot de verstrekking van de hier bedoelde informatie uit de basisregistratie. Bij de aanpassing van de Wet GBA aan de Europese privacyrichtlijn is abusievelijk nagelaten om het onderhavige artikel op dit punt te wijzigen. Dat wordt met dit wetsvoorstel alsnog rechtgezet.
Onderdeel P (artikel 3.23)
In artikel 3.23 wordt een afwijkende regeling neergelegd ten opzichte van artikel 19 van de verordening met betrekking tot de verplichting van de verwerkingsverantwoordelijke om de overheidsorganen en derden die uit de basisregistratie personen gegevens verstrekt hebben gekregen in kennis te stellen van rectificatie of wissing van persoonsgegevens. Vanwege de grote hoeveelheden persoonsgegevensverwerkingen die plaatsvinden in de BRP en de essentiële functie van de basisregistratie personen voor het functioneren van de overheid zal enkel sprake zijn van een kennisgeving in de zin van artikel 19 van de verordening op verzoek van de betrokkene en niet automatisch. Ook zal enkel mededeling worden gedaan aan overheidsorganen en derden aan wie gedurende twintig jaren voorafgaand aan het verzoek de desbetreffende gegevens zijn verstrekt, tenzij dit onmogelijk blijkt of een onevenredige inspanning kost. In het algemeen deel van deze toelichting is al ingegaan op de achtergrond, grondslag en motivering voor deze regeling.
Onderdeel Q (artikel 4.1)
In het huidige artikel 4.1 van de wet is de regeling met betrekking tot het toezicht op de bescherming van de persoonlijke levenssfeer neergelegd. Het toezicht is op grond van de verordening in samenhang gelezen met de Uitvoeringswet belegd bij de Autoriteit persoonsgegevens, de opvolger van het College bescherming persoonsgegevens. In dit onderdeel wordt geregeld dat de Autoriteit met betrekking tot het toezicht op deze wet de bevoegdheden kan uitoefenen zoals neergelegd in de artikelen 14 tot en met 21 en 38 van de Uitvoeringswet. Voor een toelichting op de bevoegdheden van de Autoriteit persoonsgegevens op grond van deze artikelen wordt verwezen naar de memorie van toelichting bij de Uitvoeringswet. In lijn met de Uitvoeringswet wordt de boetebevoegdheid van de Autoriteit persoonsgegevens hier van overeenkomstige toepassing verklaard. Daarbij geldt overigens de in artikel 38 van de Uitvoeringswet opgenomen regeling, waarin de werking van de beschikking tot oplegging van de bestuurlijke boete wordt opgeschort totdat de bezwaar- of beroepstermijn is verstreken of, indien bezwaar is gemaakt respectievelijk beroep is ingesteld, op het bezwaar respectievelijk het beroep, is beslist.
Onderdeel R (artikel 4.3)
In dit onderdeel wordt geregeld dat artikel 4.3 van de wet zodanig wordt gewijzigd dat de in de Uitvoeringswet aan de toezichthoudende autoriteit toebedeelde naam, namelijk de Autoriteit persoonsgegevens, ook in de Wet BRP gebezigd wordt.
Artikel 2.9 Wet kenbaarheid publiekrechtelijke beperkingen onroerende zaken
Artikel 11, derde lid, van de Wet kenbaarheid publiekrechtelijke beperkingen wordt aangepast aan de regeling in de AVG en de Uitvoeringswet AVG met betrekking tot verzoeken om rectificatie.
Het vijfde lid van artikel 11 kan vervallen omdat artikel 19 AVG hierin voorziet. Daarbij wordt opgemerkt dat het beperkingenregister en de beperkingenregistratie openbaar zijn en naar verwachting veelvuldig zullen worden geraadpleegd. Voorts, dat de gemeentelijke beperkingenregistratie tevens door middel van een permanente aansluiting bij het Kadaster kan worden geraadpleegd. Het is derhalve te verwachten dat het voor burgemeester en wethouders in een aantal gevallen niet mogelijk zal zijn dan wel een onevenredige inspanning zal kosten om degenen aan wie daaraan voorafgaand de desbetreffende persoonsgegevens zijn verstrekt, te identificeren en hen van een wijziging op de hoogte te stellen (Kamerstukken II 2001/02, 28 218, nr. 3, p. 38–39). In een dergelijk geval vervalt de notificatieplicht.
Artikel 2.10 Wet op de parlementaire enquête 2008
De enquêtecommissie verzamelt persoonsgegevens van getuigen, hun bijstandverleners, en deskundigen in een bestand; de AVG is daarom van toepassing. Dit bestand dient een praktisch doeleinde: een enquêtecommissie moet immers in het kader van haar werkzaamheden vorderingen, uitnodigingen voor besloten voorgesprekken en oproepen voor de openbare verhoren versturen.
De enquêtecommissie verwerkt deze gegevens ter uitvoering van een parlementaire enquête waartoe de Kamer heeft besloten en waartoe de commissie is ingesteld. Het gaat dus om verwerking van persoonsgegevens die noodzakelijk is voor de vervulling van een taak van algemeen belang (artikel 6, eerste lid, onder e van de AVG).
De commissie is een orgaan van de (Tweede of Eerste) Kamer (of van de verenigde vergadering). De verwerkingsverantwoordelijke is de Kamer, of, in het geval van de verenigde vergadering, de Staten-Generaal. De commissie dient de rechten van betrokken personen te eerbiedigen, zoals het recht op inzage, correctie, op wissen van bepaalde persoonsgegevens, maar kan in de AVG en de Uitvoeringswet gronden vinden voor het niet honoreren van alle verzoeken daartoe. Het is aan de Kamer een functionaris voor de gegevensverwerking aan te wijzen (bij intern organisatiebesluit). De Kamer is ook verantwoordelijk voor het melden van datalekken (meldplicht), het bijhouden van een register en voor het nakomen door verwerkers van uit de AVG voortvloeiende verplichtingen. Deze verantwoordelijkheden leiden niet tot wijziging van de Wet op de parlementaire enquête (WPE) 2008.
Het oude artikel 40, tweede lid, onderdeel d, WPE 2008 verwees naar persoonsgegevens als bedoeld in paragraaf 2 van Hoofdstuk 2 van de Wbp, met andere woorden de bijzondere persoonsgegevens. Deze worden in de AVG genoemd in de artikelen 9 (persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid), 10 (persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen) en 87 (nationaal identificatienummer).
Artikel 2.11 Wet openbaarheid van bestuur
Ingevolge artikel 10, eerste lid, onderdeel d, van de Wet openbaarheid van bestuur (Wob) blijft informatieverstrekking op grond van die wet in beginsel achterwege, voor zover het bijzondere persoonsgegevens betreft. In de AVG worden deze persoonsgegevens genoemd in de artikelen 9 (persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid), 10 (persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen) en 87 (nationaal identificatienummer). De wijziging van artikel 10, eerste lid, onderdeel d, regelt de verwijzing naar die artikelen van de AVG. De strekking van de bepaling blijft overigens ongewijzigd. Informatie betreffende bijzondere persoonsgegevens wordt niet verstrekt, tenzij die verstrekking op grond van voormelde artikelen van de AVG is toegestaan of de verstrekking kennelijk niet leidt tot een inbreuk op de persoonlijke levenssfeer. Het betreft een absolute weigeringsgrond.
De AVG noopt overigens niet tot een nieuw regime voor het verstrekken van gewone persoonsgegevens. Dergelijke gegevens worden ingevolge artikel 10, tweede lid, onderdeel e, van de Wob niet verstrekt in het geval het belang van openbaarheid niet opweegt tegen de eerbiediging van de persoonlijke levenssfeer. Het betreft een relatieve weigeringsgrond. In het geval de eerbiediging van de persoonlijke levenssfeer niet in de weg staat aan de informatieverstrekking, is die verstrekking een verwerking van persoonsgegevens die op grond van artikel 6, eerste lid, onderdeel c, van de AVG is toegestaan (vergelijk artikel 8, onderdeel c, van de Wbp). Het betreft een verwerking die noodzakelijk is om te voldoen aan de Wob en de verplichtingen voor het bestuursorgaan die daaruit voortvloeien.
Artikel 2.12 Wet raadgevend referendum
A en B (artikelen 39a en 54a)
Met de onderhavige wijzigingsonderdelen wordt geregeld dat de artikelen 16 en 18 van de verordening, waarin respectievelijk een recht op rectificatie en een recht op beperking van de verwerking is neergelegd, niet van toepassing zijn ten aanzien van persoonsgegevensverwerkingen die plaatsvinden op grond van de hoofdstukken 6 en 7 van de Wrr.
Beperking artikel 16 (recht op rectificatie)
Op grond van artikel 16 van de verordening heeft betrokkene het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. De toepassing van dit recht verhoudt zich niet met het systeem van de Wrr, dat ertoe strekt dat een verzoek of ondersteuningsverklaring ten behoeve van respectievelijk het inleidend of definitief verzoek, niet meer gewijzigd kan worden na indiening bij de voorzitter van het centraal stembureau. De gegevens zoals ingediend zijn bepalend voor de beoordeling door de voorzitter van de geldigheid van het verzoek of de verklaring. Verzoeken en verklaringen die op het moment van toetsing onvolledige of onjuiste gegevens bevatten, worden door de voorzitter ongeldig verklaard (artikel 33, derde lid, onderdeel d en f, en artikel 45, derde lid, onderdelen d en f, van de Wrr). Ten overvloede wordt opgemerkt dat rectificatie na het moment van toetsing om die reden ook geen nut zou hebben voor de verzoeker.
Omdat het systeem van de Wrr het niet toelaat dat onjuiste of onvolledige persoonsgegevens in een verzoek of verklaring na indiening bij de voorzitter gecorrigeerd dan wel aangevuld worden, regelt dit wetsvoorstel dat artikel 16 van de verordening niet van toepassing is op verwerkingen van persoonsgegevens die plaatsvinden bij of krachtens de hoofdstukken 6 en 7 van de Wrr.
Beperking artikel 18 (recht op beperking van de verwerking)
Op grond van artikel 18 van de verordening heeft betrokkene het recht op beperking van de verwerking van zijn persoonsgegevens indien een van de situaties, bedoeld in artikel 18, eerste lid, onderdelen a tot en met d, zich voordoet. In onderdeel a is de situatie opgenomen dat de juistheid van de persoonsgegevens door betrokkene wordt betwist. Toepassing van deze bepaling zou betekenen dat een persoon wiens gegevens zijn opgenomen op een ingediende lijst, kan eisen dat zijn persoonsgegevens niet verwerkt mogen worden gedurende de periode die de verwerkingsverantwoordelijke in staat stelt om de juistheid van de gegevens te controleren. De in dit wetsvoorstel geregelde beperking van artikel 16 van de verordening laat de inroeping van dit recht onverlet.
Toepassing van het recht op beperking verhoudt zich niet met het systeem van de Wrr, dat ertoe strekt dat alle ingediende verzoeken en ondersteuningsverklaringen door de voorzitter worden beoordeeld op hun geldigheid, en vervolgens verder verwerkt worden conform de bepalingen in de hoofdstukken 6 en 7 van de wet. De wet bepaalt dan ook expliciet dat een ingediend verzoek of een ingediende verklaring niet kan worden ingetrokken (artikel 30, tweede lid, en 42, tweede lid, van de Wrr). Gelet op deze systematiek regelt dit wetsvoorstel dat artikel 18 van de verordening niet van toepassing is op verwerkingen van persoonsgegevens die plaatsvinden bij of krachtens de hoofdstukken 6 en 7 van de Wrr.
De bevoegdheid voor lidstaten om in hun regelgeving de reikwijdte van de rechten en verplichtingen, bedoeld in de artikelen 12 tot en met 22 van de verordening te beperken, is neergelegd in artikel 23 van de verordening. In onderhavig geval zijn de beperkingen noodzakelijk ter waarborging van een belangrijke doelstelling van algemeen belang van de lidstaat (artikel 23, eerste lid, onderdeel e, van de verordening). De verordening vereist dat de beperking de wezenlijke inhoud van de grondrechten en fundamentele vrijheden onverlet laat en in een democratische samenleving een noodzakelijke en evenredige maatregel is ter waarborging van de belangrijke doelstelling van algemeen belang van de lidstaat. In dit geval is het algemeen belang gelegen in een doelmatige uitvoering van de beoordeling van inleidende en definitieve verzoeken door de voorzitter van het centraal stembureau, alsmede de daaraan verbonden processen, ter uitvoering van de Wrr. De maatregel is noodzakelijk gelet op de voornoemde systematiek van het proces en evenredig daar er geen individuele gevolgen verbonden zijn aan het niet kunnen rectificeren van onjuiste of onvolledige lijsten.
Op grond van artikel 23, tweede lid, van de verordening dienen de wettelijke maatregelen specifieke bepalingen te bevatten met betrekking tot, daar waar relevant, de in artikel 23, tweede lid, onderdelen (a) tot en met (h) vermelde onderwerpen. In onderhavig geval zijn de doeleinden van verwerking (a) gelegen in een doelmatige uitvoering van de beoordeling van inleidende en definitieve verzoeken door de voorzitter van het centraal stembureau, alsmede de daaraan verbonden processen. De categorieën van persoonsgegevens (b) zijn gespecificeerd in de artikelen 29, derde lid, en artikel 41, derde lid, van de Wrr. Het toepassingsgebied van de beperkingen (c) strekt zich uit tot de verwerkingen die plaatsvinden op grond van hoofdstuk 6 en 7 van de Wrr. In de Wrr zijn thans tevens waarborgen ingeruimd ter voorkoming van misbruik of onrechtmatige toegang of doorgifte (d) van de betreffende persoonsgegevens. Deze waarborgen zijn primair gelegen in de bepalingen uit de Wrr die erin voorzien dat de lijsten met ingediende verzoeken en afgelegde ondersteuningsverklaringen in verzegelde pakken worden gedaan en uiteindelijk vernietigd worden. De verwerkingsverantwoordelijke (e) is gespecificeerd in de Wrr en betreft de voorzitter van het centraal stembureau. De opslagperiodes (f) zijn geregeld in de artikelen 39 en 54 van de Wrr. De risico’s voor de rechten en vrijheden van betrokkenen (g), zoals bedoeld in de verordening, worden door de beperkingen niet in aanzienlijke mate vergroot. Door onderhavig voorstel van wet is de beperking tot slot voorzienbaar voor betrokkenen (h).
C (artikel 121a)
Het toepassingsbereik van de verordening strekt zich niet uit tot de openbare lichamen Bonaire, Sint Eustatius en Saba. Om die reden regelt dit artikel dat de voorgestelde artikelen 122a en 122b, die betrekking hebben op de uitvoering van de verordening, niet van toepassing is ten aanzien van de openbare lichamen.
D en E (opschrift hoofdstuk 14 en de artikelen 122a en 122b)
Artikel 122a
Ingevolge de Wet bescherming persoonsgegevens vallen verwerkingen van persoonsgegevens die bij of krachtens de Wrr plaatsvinden op dit moment onder het toezicht van het College bescherming persoonsgegevens. Met het voorgestelde artikel 122a wordt geregeld dat het toezicht belegd wordt bij de Autoriteit persoonsgegevens, die ter uitvoering van de verordening in de Uitvoeringswet is aangewezen als de nationale toezichthoudende autoriteit. Het artikel regelt dat de Autoriteit met betrekking tot het toezicht op de Wrr de bevoegdheden kan uitoefenen zoals neergelegd in de artikelen 14 tot en met 21 van de Uitvoeringswet. Deze bepaling is noodzakelijk omdat de Uitvoeringswet niet van toepassing is op verwerking van persoonsgegevens bij of krachtens de Wrr.
Artikel 122b
Met dit artikel wordt artikel 34 uit de Uitvoeringswet van overeenkomstige toepassing verklaard ten aanzien van de uitoefening van de rechten van betrokkenen, bedoeld in de verordening, in het kader van persoonsgegevensverwerkingen op grond van de Wrr. De bepaling strekt ertoe beslissingen die door bestuursorganen genomen zijn inzake de rechten van betrokkenen gelijk te stellen aan een besluit in de zin van de Awb. Hiermee wordt onduidelijkheid inzake het rechtskarakter van deze beslissingen voorkomen en wordt daarenboven gegarandeerd dat er een met passende waarborgen omklede rechtsgang openstaat voor de betrokkene om tegen een eventueel afwijzend besluit op te komen in rechte.
Artikel 3.2 Archiefwet 1995
In artikel 2a van de Archiefwet 1995 is het verbod om bijzondere persoonsgegevens te verwerken buiten toepassing gesteld voor een aantal specifieke verwerkingen die essentieel zijn voor het behoud van archiefbescheiden. In overeenstemming met het uitgangspunt van beleidsneutrale implementatie blijft deze regeling gehandhaafd. Voorgesteld wordt de bepaling technisch te actualiseren, conform de regeling omtrent bijzondere categorieën van persoonsgegevens (paragraaf 3.1) en gegevens betreffende strafrechtelijke veroordelingen en strafbare feiten (paragraaf 3.2) in de Uitvoeringswet. Het ter raadpleging of gebruik beschikbaar stellen van archiefbescheiden blijft expliciet uitgezonderd van de archiefwettelijke grondslag, neergelegd in artikel 2a, vierde lid, om bijzondere persoonsgegevens te verwerken ten behoeve van het beheer van archiefbescheiden in een archiefbewaarplaats. Deze uitzondering wordt overigens gerelativeerd door verschillende bepalingen van de Uitvoeringswet. Met name artikel 24, waarin een grondslag is opgenomen voor de verwerking van bijzondere persoonsgegevens in het kader van wetenschappelijk of historisch onderzoek of statistische doeleinden, is van groot belang voor de onderzoeker die kennis wil nemen van de documenten die zich in de archiefbewaarplaatsen bevinden. In artikel 23 van de Wbp is een vergelijkbare bepaling opgenomen. In de verordening zelf en in de Uitvoeringswet is voorts voorzien in een aantal uitzonderingen ten aanzien van de verwerking van persoonsgegevens met het oog op archivering in het algemeen belang. De uitzonderingen hebben onder meer betrekking op de rechten van betrokkene. Voor een nadere toelichting hierop wordt verwezen naar de memorie van toelichting bij de Uitvoeringswet.
Artikelen 3.4, onderdelen A, B, E en F, Wet educatie en beroepsonderwijs, 3.5, onderdelen C, D en G, Wet op de expertisecentra, 3.6, onderdeel B, Wet op het hoger onderwijs en wetenschappelijk onderzoek, 3.7, onderdelen G en L, Wet op het onderwijstoezicht, 3.8, onderdelen D, E en G, Wet op het primair onderwijs, 3.9, onderdelen E, F en H, Wet op het voortgezet onderwijs
Dankzij de toegenomen technologische mogelijkheden en beschikbaarheid van gegevens, blijken gegevens die bij de totstandkoming van deze bepalingen nog niet als tot een individu herleidbaar werden beschouwd, mogelijk wel tot een individu herleidbaar. De verordening benadrukt in overweging 26 dat om te bepalen of een natuurlijke persoon identificeerbaar is, rekening moet worden gehouden met alle middelen waarvan redelijkerwijs valt te verwachten dat zij gebruikt worden om de natuurlijke persoon direct of indirect te identificeren: «Om uit te maken of van middelen redelijkerwijs valt te verwachten dat zij zullen worden gebruikt om de natuurlijke persoon te identificeren, moet rekening worden gehouden met alle objectieve factoren, zoals de kosten van en de tijd benodigd voor identificatie, met inachtneming van de beschikbare technologie op het tijdstip van verwerking en de technologische ontwikkelingen.» Ook wordt overwogen dat gepseudonimiseerde persoonsgegevens die door het gebruik van aanvullende gegevens aan een natuurlijke persoon kunnen worden gekoppeld, als gegevens over een identificeerbaar individu moeten worden beschouwd.
Dat heeft tot gevolg dat bij het noodzakelijk gebruik van gegevens uit de verschillende onderwijsregisters door de Minister en de inspectie in het kader van de bekostiging van scholen, de begrotings- en beleidsvoorbereiding, het toezicht en de uitvoering van overige wettelijke taken, mogelijkerwijs persoonsgegevens worden verwerkt. Het gaat daarbij om gegevens die niet direct tot een individu herleidbaar zijn, maar waarmee door de huidige stand van de techniek en de mogelijke koppeling met andere gegevens, indirect wel een individu identificeerbaar zou kunnen zijn. Voorgesteld wordt dit te expliciteren in de wet. Een en ander doet vanzelfsprekend niet af aan de toepasselijkheid van de beginselen van gegevensverwerking, zoals het beginsel van dataminimalisatie, en de verplichtingen van de verwerkingsverantwoordelijke, zoals de verplichting om passende technische en organisatorische maatregelen te treffen bij de verwerking van persoonsgegevens. Dergelijke maatregelen zijn thans getroffen. Zo is in de Regeling gebruik gegevens bron11, die een nadere uitwerking betreft van de precieze gegevensverstrekking aan de Minister en de inspectie uit het basisregister onderwijs, geregeld dat het persoonsgebonden nummer voor de Minister en voor de inspectie elk afzonderlijk vervangen wordt door een ander nummer of een code.
Met de voorgestelde wijziging wordt niet beoogd om de huidige gegevensverwerkingen uit te breiden, maar om de bepalingen te moderniseren en de bestaande informatiestructuur van een deugdelijke grondslag te voorzien.
Artikelen 3.4, onderdelen D, E, F en G, Wet educatie en beroepsonderwijs, 3.5, onderdelen B, C, D en E, Wet op de expertisecentra, 3.7, onderdelen D, F, G, I, L en M, Wet op het onderwijstoezicht, 3.8, onderdelen C, D, E en F, Wet op het primair onderwijs, 3.9, onderdelen D, E, F en G, Wet op het voortgezet onderwijs
In verband met de rechtstreekse toepasselijkheid van de verordening in de nationale rechtsorde is het in beginsel niet toegestaan de daarin gewaarborgde rechten en verplichtingen in de nationale regelgeving over te nemen.12 Met het oog op dit zogenoemde overschrijfverbod wordt voorgesteld de bepalingen in de Wet educatie en beroepsonderwijs, de Wet op de expertisecentra, de Wet op het onderwijstoezicht (hierna: de WOT), de Wet op het primair onderwijs en de Wet op het voortgezet onderwijs die zien op het aanstellen van een FG respectievelijk het recht op inzage, te schrappen. Deze normen vloeien immers al voort uit artikel 37 respectievelijk artikel 15 van de verordening.
Artikelen 3.7, onderdeel A, Wet op het onderwijstoezicht, 3.8, onderdeel A, Wet op het primair onderwijs, 3.9, onderdeel A, Wet op het voortgezet onderwijs
In artikel 6, vijfde lid, van de WOT is geregeld dat vertrouwensinspecteurs onder omstandigheden bijzondere persoonsgegevens mogen verwerken zonder toestemming van de betrokkene. Voorts is in artikel 18a, dertiende lid, van de Wet op het primair onderwijs en artikel 17a, veertiende lid, van de Wet op het voortgezet onderwijs geregeld dat verwerking van gegevens over iemands gezondheid door samenwerkingsverbanden plaats kan vinden zonder toestemming van de betrokkene. In voornoemde artikelen is echter door de wetgever reeds de bevoegdheid gecreëerd voor vertrouwensinspecteurs respectievelijk samenwerkingsverbanden om deze bijzondere persoonsgegevens te verwerken. Dat betekent dat niet ter zake doet of de betrokkene al dan niet toestemming geeft voor de betreffende gegevensverwerking. Om verwarring te voorkomen, wordt voorgesteld de overbodige bepaling in voornoemde artikelen te schrappen.
Artikel 3.10, onderdelen B en C, Wet studiefinanciering 2000
Hoofdstuk V van de verordening ziet op de doorgifte van persoonsgegevens naar landen buiten de Unie en internationale organisaties. De bepalingen uit dit hoofdstuk werken rechtstreeks in de nationale rechtsorde, en behoeven zodoende geen omzetting in nationaal recht. Derhalve wordt voorgesteld artikel 9.6b van de Wet studiefinanciering 2000 aan te passen en artikel 9.6c van die wet te schrappen. Er wordt met deze voorgestelde wijzigingen geen beleidswijziging beoogd. Met artikel 9.6b wordt voorzien in een rechtsgrondslag voor gegevensuitwisseling met andere landen in het kader van de uitvoering van de Wsf 2000. DUO kan voor de uitvoering van de Wsf 2000 persoonsgegevens, bijvoorbeeld gegevens over de opleiding die de student gaat volgen of de inkomenssituatie van de student of de ouders, opvragen bij de bevoegde autoriteiten van andere landen. Het kan ook voorkomen dat bevoegde autoriteiten van andere landen gegevens ter uitvoering van hun tegemoetkomingenstelsel nodig hebben. Een voorgenomen uitwisseling van persoonsgegevens met een andere staat buiten de EU moet worden getoetst aan de vereisten van Hoofdstuk V van de verordening. In Hoofdstuk V zijn de mogelijkheden voor een rechtmatige doorgifte van persoonsgegevens limitatief geregeld. Zo is een doorgifte van persoonsgegevens, onverminderd de overige bepalingen van de verordening, rechtmatig, indien de Commissie besluit dat een derde land een passend niveau van gegevensbescherming biedt (een zogenoemd «adequaatheidsbesluit»). Ook is het bijvoorbeeld mogelijk dat Nederland een verdrag sluit met een andere staat over de uitwisseling van persoonsgegevens, op voorwaarde dat een dergelijk verdrag de verordening of andere bepalingen van Unierecht onverlet laat en een adequaat beschermingsniveau biedt voor de grondrechten van de betrokkenen.
Artikel 6.1 Binnenvaartwet
De onderdelen b en c van artikel 35a, derde lid, van de Binnenvaartwet kunnen vervallen omdat deze materie al in de AVG geregeld is. De overige aanpassingen betreffen terminologische aanpassingen, waarbij de terminologie in overeenstemming met de AVG en UAVG wordt gebracht.
Artikelen 6.2 Loodsenwet, 6.3 Scheepvaartverkeerswet, 6.4 Spoorwegwet, 6.5 Vaarplichtwet
De aanpassingen in deze artikelen betreffen terminologische aanpassingen waarbij de in deze wetten gehanteerde terminologie in overeenstemming wordt gebracht met de door de AVG en de UAVG.
Artikel 6.6 Wegenverkeerswet 1994
Inleiding
Met het oog op een goede uitvoering van de AVG zijn de bestaande bepalingen van de Wegenverkeerswet 1994 (hierna: WVW 1994) nog eens goed tegen het licht gehouden. Dit heeft ertoe geleid dat de reeds bestaande bepalingen inhoudelijk zijn gehandhaafd voor zover de AVG niet tot aanpassing dwong, maar dat bepalingen naar andere artikelen zijn overgeheveld en ter verduidelijking soms bepalingen zijn toegevoegd. Het betreft hier geen nieuw beleid, maar verduidelijking van bestaand beleid en de uitvoering.
In Hoofdstuk VI, Afdeling 8a, van de WVW 1994 zijn nu nog bepalingen opgenomen betreffende het alcoholslotregister. Deze bepalingen worden inmiddels niet meer toegepast. Er is voor gekozen deze bepalingen niet aan te passen aan de AVG. Er is inmiddels regelgeving in voorbereiding waarin deze afdeling, komt te vervallen.
In navolging van de AVG wordt onderscheid gemaakt tussen persoonsgegevens, bijzondere categorieën van persoonsgegeven als bedoeld in paragraaf 3.1 van de Uitvoeringswet AVG en persoonsgegevens van strafrechtelijke aard als bedoeld in de paragraaf 3.2 van de Uitvoeringswet.
Omdat in het kentekenregister geen gegevens als bedoeld in paragraaf 3.1 van de Uitvoeringswet worden verwerkt, maar wel gegevens als bedoeld in paragraaf 3.2 van de Uitvoeringswet, is in de betreffende artikelen steeds opgenomen: persoonsgegevens, waaronder mede begrepen persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.2 van de Uitvoeringswet. In het rijbewijzenregister worden zowel persoonsgegevens als bedoeld in paragraaf 3.1 van de Uitvoeringswet, m.n. over gezondheid, als persoonsgegevens als bedoeld in paragraaf 3.2 van de Uitvoeringswet verwerkt. Daarom is in de betreffende artikelen steeds opgenomen: persoonsgegevens, bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in de paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet.
Onderdeel C
Overheidsorganen ontvangen alle soorten persoonsgegevens, dus ook de persoonsgegevens als bedoeld in paragraaf 3.2 van de Uitvoeringswet (gegevens betreffende strafrechtelijke veroordelingen of strafbare feiten), voor zover zij die gegevens nodig hebben voor hun publieke taakuitoefening. Ander gebruik, waaronder commercieel gebruik, is niet toegestaan. Dit volgt uit de beperking dat de gegevens worden verstrekt voor zover zij die nodig hebben voor hun publieke taak.
Allereerst vallen onder het begrip «overheidsorgaan» de bestuursorganen, bedoeld in artikel 1.1, eerste lid, onderdeel a, van de Algemene wet bestuursrecht (hierna: Awb). In dat artikel wordt onder bestuursorgaan verstaan: een orgaan van een rechtspersoon die krachtens publiekrecht is ingesteld. Belangrijkste voorbeelden hiervan zijn politie, openbaar ministerie, gemeenten, Centraal Bureau Rijvaardigheidsbewijzen (hierna: CBR) en Dienst Wegverkeer (hierna: RDW).
Daarnaast is het gewenst om ook andere, al dan privaatrechtelijke, natuurlijke personen of rechtspersonen die met openbaar gezag zijn belast onder het begrip «overheidsorgaan» te kunnen brengen. Dit zijn dan personen of instanties die een publieke taak uitoefenen die vallen onder artikel 1.1, eerste lid, onderdeel b, van de Awb. Vanwege het veelal privaatrechtelijke karakter van deze organen die geheel of gedeeltelijk met openbaar gezag zijn bekleed is het echter gewenst om deze alleen onder het begrip overheidsorgaan te brengen, als dit naar het oordeel van de Minister van Infrastructuur en Waterstaat nodig is voor de uitvoering van hun publieke taak. Zij zullen dan bij ministeriële regeling worden aangewezen.
Onderdeel E
artikel 43
Omdat de AVG uitputtende bepalingen bevat over de rechten van de betrokkene zelf en deze bepalingen rechtstreeks toepasselijk zijn, zijn er geen bepalingen meer in de WVW 1994 opgenomen die de gegevensverstrekking aan betrokkene zelf betreffen.
In het derde lid is de gegevensverstrekking opgenomen aan autoriteiten buiten Nederland, anders dan in andere lidstaten van de Europese Unie of de staten die partij zijn bij de Overeenkomst betreffende de Europese Economische Ruimte. Ook ten aanzien van deze autoriteiten geldt dat in bij algemene maatregel van bestuur aangegeven gevallen zowel gegevens, als persoonsgegevens, waaronder begrepen persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.2 van de Uitvoeringswet kunnen worden verstrekt. Doorgifte aan derde landen of internationale organisaties is onderhevig aan de beperkingen van hoofdstuk V van de AVG. Aan de verplichting om gegevens door te geven, kan en mag de RDW geen uitvoering geven als dat strijd zou opleveren met die verordening. Anderzijds geldt dat het niet aan de RDW is om te bepalen of de vragende instanties de gegevens nodig hebben; voor zover de verstrekking overeenkomstig hoofdstuk V van de AVG gebeurt en volgens de bij amvb gegeven regels, is de RDW gehouden de gevraagde gegevens te verstrekken.
In het vierde lid is de gegevensverstrekking geregeld, in bij algemene maatregel van bestuur aangegeven gevallen, aan andere derden dan de in het eerste, tweede en derde lid bedoelde instanties. Ook deze gegevensverstrekking zal alleen plaatsvinden onder de voorwaarde dat de ontvangende autoriteit naar het oordeel van de RDW voldoet aan de bij de AVG gestelde eisen betreffende een passend beschermingsniveau.
artikel 43a
Het tweede lid bepaalt dat de ontvangers, bedoeld in artikel 43, vierde en vijfde lid, een door de RDW vastgesteld bedrag verschuldigd zijn. Wel wordt, in lijn met artikel 15, derde lid van de AVG, bepaald dat geen kosten in rekening worden gebracht aan betrokkene zelf, tenzij het gaat om de kosten van bijkomende kopieën, alsmede om kosten van niet-persoonsgegevens.
Aan het advies van de Autoriteit Persoonsgegevens om deze tekst uit het artikel te schrappen is geen gehoor gegeven. Redenen daarvoor zijn, dat een verordening geen grondslag kan bieden voor een tariefvaststelling, daarvoor een wettelijke basis noodzakelijk is en een verordening geen aanknopingspunt biedt voor het toezicht (o.g.v. de Kaderwet zelfstandige bestuursorganen) van de Minister van IenW op die tariefvaststelling. De mogelijkheid voor het in rekening brengen van een aansluittarief wordt geregeld in het derde lid. Met een dergelijk tarief kunnen in voorkomende gevallen de reële kosten van (de ontwikkeling van) een aansluiting op het kentekenregister worden gedekt.
Onderdeel F
Als verwerkingsverantwoordelijke is de RDW op grond van artikel 5, tweede lid, van de AVG, er voor verantwoordelijk dat de registratievoorschriften, die zijn opgenomen in artikel 5, eerste lid, van de AVG, goed worden nageleefd en dat die juiste naleving ook kan worden aangetoond. Tegen deze achtergrond wordt voorgesteld om de wettelijke verplichting (artikel 45 WVW 1994) om een privacyreglement op te stellen te schrappen. Dat laat onverlet dat zo'n privacyreglement een nuttig instrument is om te voldoen aan de verantwoordelijkheid voortvloeiend uit artikel 5, tweede lid, van de AVG.
Onderdeel G
De toezichtstaak van de RDW op het gebruik van de uit het kentekenregister verstrekte gegevens is beperkt tot de naleving van het bepaalde bij of krachtens de WVW 1994 omtrent die gegevens. De toezichtstaak strekt zich dus niet uit tot het naleven van de AVG.
Onderdeel H
In dit onderdeel is een aanpassing opgenomen van de verwijzing in artikel 121, tweede lid, van de WVW 1994. Doordat de artikelen over het rijbewijzenregister zijn aangepast, moet ook de in dit artikellid opgenomen verwijzing worden aangepast.
Onderdeel I
Voorgesteld wordt om de formulering van artikel 125a van de WVW 1994 zoveel mogelijk gelijk te laten zijn aan artikel 41a van de WVW1994. Verwezen wordt naar de toelichting bij onderdeel C.
Onderdeel J
Voor de formulering van het voorgestelde artikel 126 van de WVW1994 is zoveel mogelijk aansluiting gezocht bij de formulering van artikel 42 van die wet.
In het voorgestelde tweede lid van artikel 126 zijn nu de doeleinden van het rijbewijzenregister vastgelegd, die nu nog in het derde lid zijn opgenomen. Het is echter logischer om te beginnen met de doeleinden van de registratie en pas daarna aan te geven welke gegevens, persoonsgegevens, waaronder begrepen bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming, mogen worden geregistreerd.
Met het oog op een goede uitvoering van de AVG zijn de doeleinden van de registratie nog eens goed tegen het licht gehouden. Dit heeft ertoe geleid dat de reeds bestaande doelen (een goede uitvoering van de WVW 1994 en de handhaving van de bij of krachtens de WVW 1994 gestelde voorschriften) zijn gehandhaafd, maar dat ter verduidelijking enkele doeleinden specifiek zijn toegevoegd (onderdelen c en d). Het betreft hier geen nieuwe doeleinden, maar doeleinden waarvoor thans reeds registratie van de gegevens plaatsvindt. Onder de onder a opgenomen doelstelling (een goede uitvoering van de WVW 1994 en de handhaving van de bij of krachtens de WVW 1994 gestelde voorschriften) valt tevens het mogen verwerken van gegevens, waaronder mede begrepen persoonsgegevens, bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming in verband met het voorkomen en bestrijden van fraude rond de aanvraag en afgifte van rijbewijzen, de authenticatie van het rijbewijs en de verificatie van de geldigheid van het rijbewijs, alsmede de bevestiging van de identiteit van de houder. Dit alles is van belang voor het voorkomen en het bestrijden van fraude en dat is een van de doelstellingen van de Wegenverkeerswet 1994. Met de formulering wordt uitvoering gegeven aan een opmerking van de Afdeling advisering van de Raad van State ter zake. Voor verdere aanpassingen is geen aanleiding omdat dat verder zou gaan dan strikt nodig is voor de implementatie van de AVG.
In het voorgestelde derde lid is, op hoofdlijnen, vastgelegd welke persoonsgegevens mogen worden verwerkt in het rijbewijzenregister (voorheen opgenomen in het tweede lid). De opsomming is nagenoeg dezelfde als nu is opgenomen in artikel 126, tweede lid, WVW 1994. Om misverstanden te voorkomen, is in het derde lid expliciet mede de basis opgenomen voor het verwerken van persoonsgegevens als bedoeld in de paragrafen 3.1 en 3.2 van de Uitvoeringswet. In de praktijk gaat het hier om persoonsgegevens over gezondheid (verklaringen van geschiktheid kunnen immers ook informatie bevatten, ook al is dat in de vorm van coderingen, die de gezondheid van (toekomstige) rijbewijshouders betreffen) en biometrische gegevens (van belang voor het verstrekken van informatie over de identiteit van de rijbewijshouder) of bijvoorbeeld om strafrechtelijke gegevens die van invloed zijn op de geldigheid van het rijbewijs.
Er is voor gekozen om de in het huidige artikel 126, tweede lid, van de WVW 1994 opgenomen vermelding van een opgelegd alcoholslotprogramma (het oude onderdeel g) bij de herformulering van het derde lid niet meer op te nemen (zie ook het begin van de toelichting bij artikel 6.6).
In artikel 145 van het Reglement rijbewijzen is uitgewerkt welke gegevens precies worden verwerkt. De basis hiervoor wordt het nieuw geformuleerde vijfde lid van artikel 126. In dit lid is verder verduidelijkt dat onder het begrip «inrichting en beheer» mede wordt verstaan de nadere uitwerking van bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.1 onderscheidenlijk paragraaf 3.2 van de Uitvoeringswet Algemene verordening gegevensbescherming die in het rijbewijzenregister mogen worden verwerkt
In het voorgestelde zesde lid is de basis opgenomen om bij algemene maatregel van bestuur de bewaartermijn van de gegevens in het rijbewijzenregister vast te leggen. Met de keuze voor regeling bij algemene maatregel van bestuur wordt uitvoering gegeven aan een opmerking van de Afdeling advisering van de Raad van State ter zake. Gegevens worden nu bewaard totdat de rijbewijshouder is overleden, dan wel 110 jaar na de geboortedatum van de rijbewijshouder, indien het overlijden niet is of kan worden geregistreerd.
Het betreft hier de uitwerking van het beginsel dat persoonsgegevens in beginsel niet langer worden bewaard dan noodzakelijk is voor de doeleinden waarvoor de gegevens worden verwerkt, zoals neergelegd in artikel 5, eerste lid, onderdeel e, van de AVG. Het bewaren van rijbewijsgegevens is ten eerste van belang voor de goede uitvoering en handhaving van hetgeen bij of krachtens de WVW 1994 is geregeld. Hiermee is de openbare veiligheid gediend. Daarnaast kunnen ook oude gegevens van belang zijn van bijvoorbeeld de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten zoals bijvoorbeeld fraude met rijbewijzen.
Onderdeel K
In dit onderdeel worden de artikelen 127, 128 en 129 opnieuw geformuleerd.
Artikel 127
Bij het eerste lid is qua formulering aangesloten bij artikel 43, eerste lid, van de WVW 1994. Het onderscheid tussen overheidsinstanties, belast met de uitvoering of handhaving van de WVW 1994 of belast met de uitvoering of handhaving van andere wetten, komt hiermee te vervallen.
Omdat de AVG uitputtende bepalingen bevat over de rechten van de betrokkene zelf en deze bepalingen rechtstreeks toepasselijk zijn, zijn er geen bepalingen meer in de WVW 1994 opgenomen die de gegevensverstrekking aan betrokkene zelf betreffen, met uitzondering van de bepaling dat de betrokkene wel kosten verschuldigd is voor de verstrekking van bijkomende kopieën.
Met betrekking tot het voorgestelde tweede tot en met vierde lid wordt verwezen naar de toelichting op onderdeel E van dit artikel (artikel 43, tweede tot en met vierde lid, van de WVW 1994). Het gaat met betrekking tot het tweede lid bijvoorbeeld om autoriteiten die belast zijn met de afgifte van rijbewijzen of met de beoordeling van de geldigheid van rijbewijzen van houders die inmiddels in die andere staat wonen, een en ander in het kader van een omwisselingsaanvraag. Het betreft dan gegevens die op grond van artikel 15 van de richtlijn 2006/126/EU van het Europees Parlement en de Raad van 20 december 2006 betreffende het rijbewijs (PbEU L 403; de derde rijbewijsrichtlijn) moeten worden verstrekt.
Op grond van het vijfde lid worden personen of instanties aangewezen die recht hebben op (persoons)gegevens die strekken tot bevestiging of ontkenning van de afgifte en geldigheid van rijbewijzen, waaronder begrepen de afzonderlijke rijbewijscategorieën, of die strekken tot bevestiging van de identiteit van de houder («hit no hit»-gegevens). Hierbij moet bijvoorbeeld worden gedacht aan personen en instanties aan wie de desbetreffende rijbewijzen worden getoond op grond van een wettelijke identificatieplicht of aan personen en instanties ten behoeve van de verificatie van een in het kader van de uitoefening van een beroep op bedrijf als identiteitsdocument overgelegd rijbewijs. Het gaat in deze gevallen om bijvoorbeeld het antwoord op de vraag of een rijbewijs nog geldig is en zo ja voor welke categorieën, of om de bevestiging van de identiteit van de houder. Vanwege de aard van de gegevensverstrekking (uitsluitend niet tot personen herleidbare gegevens of de zogenoemde «hit no hit»-gegevens) is in deze gevallen gekozen voor regeling bij ministeriële regeling.
Het zesde en zevende lid zijn vergelijkbaar met artikel 43, vijfde en zesde lid (onderdeel E van dit artikel). Er zijn echter niet tot personen herleidbare gegevens waarvan het niet wenselijk is dat die aan een ieder kunnen worden verstrekt. Het betreft hier fraudegevoelige gegevens, zoals bepaalde versleutelde codes. In het zesde lid is daarom bepaald dat deze fraudegevoelige gegevens zijn uitgezonderd van verstrekking.
Artikel 128
Dit artikel is op gelijke wijze geformuleerd als het voorgestelde artikel 43a, van de WVW 1994. Verwezen wordt daarom naar de toelichting op dat artikel (onderdeel E).
Het aansluittarief kan aan alle ontvangers in rekening worden gebracht die verzoeken om geautomatiseerde verstrekking uit het rijbewijzenregister.
Artikel 129
In de artikelsgewijze toelichting op onderdeel G (de voorgestelde aanpassing van artikel 45 WVW 1994) is reeds aangegeven waarom het niet nodig wordt geacht bij wet te regelen dat er een privacyreglement moet zijn. Dat geldt ook voor het rijbewijzenregister.
In het voorgestelde artikel 129 van de WVW 1994 wordt nu geregeld dat bij algemene maatregel van bestuur aangewezen overheidsinstanties, voor zover dit in die algemene maatregel van bestuur is bepaald, als verwerker, gegevens in het rijbewijzenregister kunnen invoeren, rectificeren of wissen. Het gaat hierbij om instanties als het CBR, de politie, het openbaar ministerie, het Centraal Justitieel Incassobureau of de RDW zelf. Dit is geen nieuwe bevoegdheid, maar de bevoegdheid die thans reeds in artikel 127, vijfde lid, van de WVW 1994 is opgenomen. Er is nu voor gekozen deze bevoegdheid in een apart artikel op te nemen, om zo beter recht te doen aan de verantwoordelijkheid die verwerkers hebben op grond van de AVG. Wel zijn de termen aangepast aan de termen uit de AVG.
Artikelen 6.7 Wet luchtvaart, 6.8 Wet milieubeheer, 6.9 Wet personenvervoer 2000, 6.10 Wet rijonderricht motorrijtuigen 1993, 6.11 Wet tijdelijke tolheffing Blankenburgverbinding en ViA15, 6.12 Wet wegvervoer goederen, 6.13 Wet zeevarenden
De aanpassingen in deze artikelen betreffen terminologische aanpassingen waarbij de in deze wetten gehanteerde terminologie in overeenstemming wordt gebracht met de door de AVG en de UAVG.
Artikel 7.1 Wet op het Centraal bureau voor de statistiek
A
Artikel 35 van de Wet op het Centraal bureau voor de statistiek voorziet in een wettelijke grondslag om voor statistische doeleinden bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard te verwerken. De artikelen 37 en 38 van deze wet stellen eisen aan het gebruik van deze gegevens. Met deze artikelen wordt uitvoering van artikel 9, tweede lid, onderdeel j, van de AVG. Onderdeel A past de verwijzing naar de huidige wetgeving aan aan de nieuwe uitvoeringswetgeving voor de AVG.
B
Met de voorgestelde wijziging van artikel 42a van de Wet op het Centraal bureau voor de statistiek wordt de bepaling geschrapt dat het College bescherming persoonsgegevens moet worden gehoord over het opstellen van nadere regels over het verstrekken van doodsoorzaken ten behoeve van wetenschappelijk onderzoek. De bepaling is overbodig geworden, omdat uit artikel 36, vierde lid, van de AVG de verplichting volgt dat de Autoriteit persoonsgegevens over regelgevingsmaatregelen moet worden gehoord.
Artikel 7.3 Handelsregisterwet 2007
A
Artikel 3 van de Handelsregisterwet 2007 bepaalt dat het handelsregister wordt gehouden door de Kamer van Koophandel. Deze wordt als verwerkingsverantwoordelijke aangewezen. In artikel 3, derde lid, wordt bepaald dat de Kamer van Koophandel alleen een verwerker mag inschakelen na machtiging van de Minister van Economische Zaken en Klimaat. Deze machtiging is nodig vanwege de ministeriële verantwoordelijkheid.
In het derde lid wordt voorgesteld de aangegeven zinsnede te laten vervallen, omdat de eisen die aan een verwerker worden gesteld, rechtstreeks voortvloeien uit artikel 28 van de AVG.
C
De voorgestelde wijziging van artikel 41, derde lid, betreft een aanpassing van de verwijzing naar de Autoriteit persoonsgegevens. Op grond van dit artikellid is de Kamer van Koophandel verplicht om verkregen resultaten van een accountantscontrole op de juistheid van gegevens op te sturen aan de Autoriteit persoonsgegevens. De voorgestelde wijziging betreft een wijziging vanwege de naamsverandering van de Autoriteit persoonsgegevens en staat los van de AVG.
Artikelen 7.4 Gaswet en 7.5 Elektriciteitswet 1998
De genoemde artikelen van de Gaswet en de Elektriciteitswet 1998 bevatten een grondslag om verkregen persoonsgegevens verder te verwerken en regels waaronder dit is toegestaan. Het betreft meetgegevens van de afnemer die door de netbeheerder aan de leverancier van gas of elektriciteit mogen worden verstrekt, als de afnemer daar toestemming voor heeft gegeven. Voorgesteld wordt om de verwijzing naar de Wbp te vervangen door een verwijzing naar de AVG.
Artikel 7.6 Aanbestedingswet 2012
De te wijzigen artikelen van de Aanbestedingswet 2012 betreffen de zogeheten gedragsverklaring aanbesteden. Een gedragsverklaring aanbesteden is een verklaring van de Minister van Justitie en Veiligheid waarmee een bij een aanbestedingsprocedure betrokken natuurlijke persoon of rechtspersoon kan aantonen dat de door een aanbestedende dienst gestelde uitsluitingsgronden die betrekking hebben op onherroepelijke veroordelingen, of beschikkingen wegens overtreding van de mededingingsregels, niet van toepassing zijn.
Het te wijzigen artikel 4.11 bepaalt dat, indien het voornemen bestaat om de gedragsverklaring niet af te geven, de partij om wie het gaat mag aangeven of de gegevens aangepast moeten worden. Voor deze procedure wordt de procedure tot het recht op rectificatie of op gegevenswissing van de artikelen 16 en 17 van de AVG toegepast.
Artikel 7.9 Telecommunicatiewet
E
In artikel 11.2 van de Telecommunicatiewet staat een algemene zorgplicht voor de aanbieder van een openbaar elektronisch communicatienetwerk en de aanbieder van een openbare elektronische communicatiedienst dat zij zorg moeten dragen voor de bescherming van persoonsgegevens en de bescherming van de persoonlijke levenssfeer van abonnees en gebruikers van zijn netwerk, onderscheidenlijk zijn dienst. Deze zorgplicht geldt onverlet de plichten die deze aanbieders ook hebben op grond van de AVG. De voorgestelde wijziging van artikel 11.2 dient om de verwijzing naar de Wbp te vervangen door een verwijzing naar de AVG.
F
Ter implementatie van de zogenoemde ePrivacyrichtlijn13 is in de Telecommunicatiewet het College bescherming persoonsgegevens aangewezen als instantie waar een zogenoemd datalek moet worden gemeld. De voorgestelde wijziging dient ter aanpassing van de naam van het College naar de Autoriteit persoonsgegevens. Deze taak voert de Autoriteit Persoonsgegevens uit naast de toezichtstaken zoals die voortvloeien uit de AVG.
G
Ter implementatie van de zogenoemde eidas-verordening14 is het College bescherming persoonsgegevens aangewezen als gegevensbeschermingsautoriteit. De voorgestelde wijziging dient ter aanpassing van de naam van het College naar de Autoriteit persoonsgegevens. Deze taak voert de Autoriteit Persoonsgegevens uit naast de toezichtstaken zoals die voortvloeien uit de AVG.
H
De voorgestelde wijziging van artikel 11.7, derde en twaalfde lid, van de Telecommunicatiewet behelst een aanpassing van een verwijzing naar de AVG in plaats van de Wbp. De artikelleden hebben betrekking op de situatie dat iemand aangeeft dat zijn elektronische contactgegevens niet langer mogen worden gebruikt. De termijn waarop op dat verzoek moet worden gereageerd, wordt met de voorgestelde wijziging in overeenstemming gebracht met de termijnen uit de AVG.
M
Artikel 19.10 van de Telecommunicatiewet bevat overgangsrecht ten behoeve van Wet implementatie Europees regelgevingskader voor de elektronische communicatiesector 2002. In onderdeel b van het artikel wordt verwezen naar artikel 41, tweede lid, van de Wet bescherming persoonsgegevens. Omdat het niet langer noodzakelijk is om artikel 19.10 van de Telecommunicatiewet te handhaven wordt, in plaats van het enkel wijzigen van de verwijzing, voorgesteld om het hele artikel te schrappen.
Artikel 8.10 Wet structuur uitvoeringsorganisatie werk en inkomen
E
Op grond van de artikelen 15, 16, 17, 18, 20 en 21 van de verordening heeft de betrokkene bepaalde rechten ten opzichte van de verwerkingsverantwoordelijke. In artikel 33c van de Wet structuur uitvoeringsorganisatie werk en inkomen (Wet SUWI) gaat het om het recht van de betrokken werknemer om het Uitvoeringsinstituut werknemersverzekeringen (UWV) te verzoeken tot opname, rectificatie respectievelijk vervollediging van zijn gegevens. In het vijfde lid van dit artikel is een bijzondere termijn van zes weken voor UWV opgenomen om te beslissen op dergelijke verzoeken. Er is echter geen aanleiding om af te wijken van de termijn, die is opgenomen in artikel 12, derde lid, van de Algemene verordening gegevensbescherming. Deze termijn is op grond van artikel 34 van de Uitvoeringswet Algemene verordening gegevensbescherming van toepassing. Die beslistermijn is binnen een maand na ontvangst van het verzoek met de mogelijkheid tot verlenging van twee maanden. Daarom kan het vijfde lid van artikel 33c van de Wet SUWI vervallen.
G en H
Artikel 26 van de verordening treft een regeling over gezamenlijke verwerkingsverantwoordelijken. Er is sprake van gezamenlijke verwerkingsverantwoordelijken wanneer twee of meer verwerkingsverantwoordelijkheden de doeleinden en middelen van de verwerking van gegevens bepalen. Daarvan is sprake bij de verwerking, bedoeld in artikel 62, derde lid, Wet SUWI (door het Uitvoeringsinstituut werknemersverzekeringen, de colleges van burgemeester en wethouders en de Sociale verzekeringsbank; de partijen die op grond van de Wet SUWI samenwerken) en bij de samenwerking, bedoeld in artikel 64 van de Wet SUWI. Dit brengt met zich mee dat de gezamenlijke verwerkingsverantwoordelijken, genoemd in de artikelen 62 en 64 van de Wet SUWI, op grond van die verordening een regeling dienen vast te stellen waarin onder meer wordt bepaald wat hun respectieve verantwoordelijkheden zijn voor de nakoming van de verplichtingen uit hoofde van de verordening, en waaruit duidelijk blijkt welke rol zij respectievelijk vervullen en wat hun respectieve verhouding met de betrokkenen is. Dit voor zover daarin niet is voorzien in nationale wetgeving. Op bepaalde onderdelen is dat wel het geval in het Besluit SUWI.
I
Artikel 65, vijfde lid, van de Wet SUWI gaat over de bewaartermijn voor risicomeldingen. Daarbij is het beginsel, opgenomen in artikel 5 van de Algemene verordening gegevensbescherming, van toepassing, dat gegevens niet langer worden bewaard dan noodzakelijk voor het doel van de verwerking. Met het artikellid wordt tot uitdrukking gebracht dat het gegeven dat een risicomelding heeft plaats gevonden echter nooit langer dan twee jaar wordt bewaard. In het artikellid is verduidelijkt dat er sprake is van een maximumtermijn, die past bij de gekozen procedures van het doen van risicomeldingen.
In artikel 4, aanhef en onder 5, van de verordening wordt «pseudonimisering» gedefinieerd als: het verwerken van persoonsgegevens op zodanige wijze dat de persoonsgegevens niet meer aan een specifieke betrokkene kunnen worden gekoppeld zonder dat er aanvullende gegevens worden gebruikt, mits deze aanvullende gegevens apart worden bewaard en technische en organisatorische maatregelen worden genomen om ervoor te zorgen dat de persoonsgegevens niet aan een geïdentificeerde of identificeerbare natuurlijke persoon worden gekoppeld. Aangezien met het versleutelen in de zin van de onderhavige bepaling wordt bedoeld hetgeen is omschreven in artikel 4, aanhef en onder 5, van de Algemene verordening gegevensbescherming, wordt uit oogpunt van uniformiteit het begrip «pseudonimisering» gebruikt in het achtste lid, onderdeel e van artikel 65 van de Wet SUWI. Daarnaast kan de toevoeging «zodanig dat de gegevens niet meer identificeerbaar zijn tot een natuurlijke persoon» vervallen, omdat dit element besloten ligt in de begripsbepaling van pseudonimisering.
Advies Autoriteit persoonsgegevens
De Autoriteit persoonsgegevens heeft een aantal opmerkingen gemaakt over de verhouding van wetgeving van SZW tot de bepalingen in de verordening, die overigens niet gewijzigd worden. Zo merkt de Autoriteit persoonsgegevens ten aanzien van de wijziging van artikel 38d van de Wet financiering sociale verzekeringen (Wfsv) (Artikel 8.5) op dat het achtste lid – dat niet wordt gewijzigd – van artikel 38d, dat gaat over de registratie van arbeidsbeperkten waarbij het Uitvoeringsinstituut werknemersverzekeringen (UWV) de verwerkingsverantwoordelijke is onvoldoende duidelijk is over de mogelijke verhouding tot de artikelen 12 tot en met 14 van de verordening (transparantie en informatie). Een toelichting ontbreekt. Daardoor is bijvoorbeeld op voorhand onzeker of hiermee een nationale rechtsbasis is beoogd voor een aanvulling op grond van artikel 6, tweede en/of derde lid, dan wel een afwijking van de verordening op grond van artikel 23 van de verordening, evenals of zulks is toegestaan.
De bepalingen in artikel 38d zijn een invulling op wettelijk niveau zoals in artikel 6, tweede en derde lid, van de verordening wordt bedoeld.
Het college van burgemeester en wethouders verstrekt de gegevens aan het UWV (voor het zelfde doel, namelijk bevordering re-integratie) als waarvoor de gegevens in de registratie zijn verzameld (zie artikel 38d, tweede lid). Het achtste lid bepaalt dat betrokkene wordt geïnformeerd door het college. Dat is een uitwerking van artikel 13 van de verordening en dan hoeft het UWV dat niet te doen (op grond van artikel 14, vijfde lid). De verordening verzet zich er niet tegen deze transparantie bij wet te geven. Daarom behoeft het achtste lid van artikel 38d Wfsv geen aanpassing.
Voorts merkt de Autoriteit persoonsgegevens op dat wellicht sprake is van een te ruime aanvulling ten opzichte van de verordening bij verschillende wetten op het SZW-terrein die bepalingen bevatten die te maken hebben met onderwerpen als het inschakelen van verwerkers en/of beveiliging. Bijvoorbeeld dat bij of krachtens AMvB of ministeriële regeling regels (kunnen) worden gesteld met betrekking tot de beveiliging van persoonsgegevens, al dan niet opgenomen in een register in de Wet Inburgering of dergelijke delegatiebepalingen in de Wet kinderopvang en de delegatiebepalingen in artikel 62 van de Wet SUWI.
Wat betreft het gebruik van dergelijke delegatiebepalingen, meent de Autoriteit persoonsgegevens dat met name waar thans geen gebruik wordt gemaakt van de bestaande mogelijkheid om regels te stellen waar weliswaar de verordening ruimte laat voor aanvullende bepalingen, die niet mogen gaan door de ondergrens van het beschermingsniveau dat artikel 32 van de verordening biedt. Dit artikel vereist een op het risico afgestemd beveiligingsniveau en noemt daarbij maatregelen en elementen die veelvoorkomende risico’s al (moeten) mitigeren. De Autoriteit persoonsgegevens adviseert dan ook rekening te houden met het voorgaande en de noodzaak voor lagere regels met betrekking tot de beveiliging van persoonsgegevens dragend te motiveren of het voorstel aan te passen.
Wat betreft de genoemde wetten op SZW-terrein is aanpassing niet noodzakelijk. In de nadere regelgeving wordt nu verwezen naar de geldende eisen van Wbp en nu de verordening. Dat wordt niet anders. De noodzaak van nadere regelgeving in de Wet SUWI betreft nadere taakverdeling bij gedeelde verwerkingsverantwoordelijkheid of nadere invulling van de verhouding verwerkingsverantwoordelijken tot de verwerker (kinderopvang). De delegatiebepalingen vormen daarmee geen probleem, omdat de invulling van AVG-normen wordt toegespitst op de te regelen relatie.
Artikel 9.1 Boek 7 van het Burgerlijk Wetboek
De AVG is van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerkingen, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen (artikel 2, eerste lid, AVG). Van een bestand in de zin van de AVG is sprake bij elk gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn, ongeacht of dit geheel gecentraliseerd of gedecentraliseerd is dan wel op functionele of geografische gronden is verspreid (artikel 6, zesde onderdeel, AVG).
Het dossier in de zin van de Afdeling 5 van Titel 7 van Boek 7 van het Burgerlijk Wetboek (hierna: BW) inzake de geneeskundige behandelingsovereenkomst is een verzamelbegrip, waaronder alle door hulpverleners gehanteerde vormen van registratie van patiëntengegevens worden begrepen. Het is, zeker gezien de toenemende digitalisering, niet goed voorstelbaar dat een dossier niet tevens een bestand is in de zin van de AVG. Ook een dossier zal immers een gestructureerd geheel van persoonsgegevens vormen die volgens bepaalde criteria toegankelijk zijn. Hierdoor komen de termijnen voor een verzoek tot inzage en een verzoek om gegevens te verwijderen uit het dossier te vervallen (Artikel 9.1 onderdelen A en B). Dit betekent dat er op een verzoek tot inzage en een verzoek om gegevens te verwijderen uit het dossier onverwijld moet worden gereageerd en in ieder geval binnen een maand na ontvangst van het verzoek. Afhankelijk van de complexiteit van het verzoek en het aantal verzoeken kan deze termijn met twee maanden worden verlengd (artikel 12, derde lid, van de AVG).
Daarnaast komt in artikel 7:456 BW ook de regeling over de vergoeding voor een afschrift te vervallen. In de AVG is al geregeld dat de betrokkene recht heeft op een kopie van de persoonsgegevens die worden verwerkt. Voor bijkomende kopieën kan een redelijke vergoeding worden gevraagd. Voor de relatie hulpverlener patiënt is niet zozeer relevant om uitsluitsel te krijgen of er al dan niet gegevens over die persoon worden verwerkt (artikel 15, eerste lid, AVG). Dat dit gebeurt, zal meestal duidelijk zijn. De hulpverlener zal bij een dergelijk verzoek dus meteen een kopie kunnen verstrekken van (delen van) het medisch dossier, voor zover de persoonlijke levenssfeer van een ander daardoor niet wordt geschaad. Deze laatste uitzondering is momenteel in artikel 7:456 BW opgenomen. Artikel 23, eerste lid, onderdeel i, van de AVG biedt daar een grondslag voor. Een dergelijke uitzondering is ook aan de orde bij een verzoek tot het verwijderen van gegevens uit het dossier (artikel 7:455 BW). Er wordt toepassing gegeven aan het verzoek tot vernietiging, voor zover de bewaring niet van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich niet tegen vernietiging verzet.
In de Jeugdwet is voor de verlening van jeugdhulp, voor zover daarbij niet reeds sprake is van een geneeskundige behandeling als bedoeld in artikel 7:446 BW, en voor de uitvoering van kinderbeschermingsmaatregelen en jeugdreclassering aangesloten bij Afdeling 5 van Titel 7 van Boek 7 van het BW. Daarom worden de overeenkomende bepalingen in de Jeugdwet met dit wetsvoorstel ook gewijzigd (zie Artikel 9.2)
Artikel 9.2 Jeugdwet
B
In artikel 4.1.8, tweede lid, van de Jeugdwet, is bepaald dat persoonsgegevens, gegevens betreffende de gezondheid en andere bijzondere persoonsgegevens door jeugdhulpaanbieders en gecertificeerde instellingen worden verstrekt aan met toezicht belaste ambtenaren bij calamiteiten of geweld bij de verlening van jeugdhulp of de uitvoering van een kinderbeschermingsmaatregel of jeugdreclassering. Omdat onder de AVG persoonsgegevens van strafrechtelijk aard niet meer tot de bijzondere persoonsgegevens worden gerekend, worden ze in de voorgestelde wijziging afzonderlijk genoemd.
J en K
De artikelen 7.3.9 en 7.3.10 van de Jeugdwet zijn geënt op de artikelen 7:455 en 7:456 BW (WGBO). De wijziging van deze artikelen is daarom gelijk aan de voorgestelde wijzigingen in artikel 9.1 Voor de toelichting op deze wijzigingen wordt daarom verwezen naar de toelichting op artikel 9.1.
M
In artikel 7.4.0 van de Jeugdwet is de verwerking van persoonsgegevens door en verstrekking van persoonsgegevens aan het college van burgemeester en wethouders vastgelegd. Daarbij wordt nu verwezen naar «andere bijzondere persoonsgegevens als bedoeld in de Wet bescherming persoonsgegevens». Omdat onder de AVG persoonsgegevens van strafrechtelijk aard niet meer tot de bijzondere persoonsgegevens worden gerekend, worden ze in de voorgestelde wijziging afzonderlijk genoemd, zodat duidelijk is dat ook die gegevens verstrekt kunnen worden. De verwerking van persoonsgegevens van strafrechtelijk aard door aanbieders als bedoeld in artikel 7.4.0, tweede lid, is gebaseerd op artikel 31, eerste lid van de Uitvoeringswet. Deze partijen verwerken die gegevens onder toezicht van de overheid.
N
Artikel 7.4.4 van de Jeugdwet bevat de basis om persoonsgegevens te verwerken voor het genereren van (niet meer tot personen herleidbare) beleidsinformatie. In dat kader kunnen persoonsgegevens, waaronder ook bijzondere persoonsgegevens, worden verwerkt. Omdat onder de AVG persoonsgegevens van strafrechtelijk aard niet meer tot de bijzondere persoonsgegevens worden gerekend, worden ze in de voorgestelde wijziging afzonderlijk genoemd. De verstrekking van de gegevens moet passen binnen de in artikel 7.4.4, eerst lid, genoemde doelen.
Het derde lid van artikel 7.4.4 kan vervallen, omdat het daarin opgenomen beginselen (verenigbare doelen en dataminimalisatie) zijn opgenomen in de AVG.
Artikel 9.4 Wet kwaliteit, klachten en geschillen zorg
A
In artikel 9, eerste lid, van de Wet kwaliteit, klachten en geschillen zorg, is de grondslag opgenomen voor het verwerken van persoonsgegevens over gezondheid in een register van de zorgaanbieder voor systematische bewaking, beheersing en verbetering van de kwaliteit van de zorg. Het verbod om dergelijke gegevens te verwerken kan buiten toepassing blijven op grond van artikel 9, tweede lid, onderdeel h van de AVG.
B
Artikel 11 van de Wet kwaliteit, klachten en geschillen zorg regelt de verstrekking van gegevens over gezondheid en andere bijzondere persoonsgegevens als in het kader van toezicht. Het verbod om dergelijke gegevens te verwerken kan buiten toepassing blijven op grond van artikel 9, tweede lid, onderdeel i, van de AVG.
Artikel 9.6 Wet maatschappelijke ondersteuning 2015
D, J en L
In deze artikelen wordt de aanduiding «ondubbelzinnige toestemming» aangepast aan de terminologie van de AVG, namelijk «uitdrukkelijke toestemming». In plaats daarvan had kunnen worden volstaan met een verwijzing dat artikel 9, tweede lid, onderdeel g van de AVG waar de uitdrukkelijke toestemming geregeld is, onverminderd van toepassing is. Omwille van de leesbaarheid van bepalingen in de Wmo2015 is in deze artikelen geen verwijzing opgenomen.
I
In artikel 5.1.6, tweede lid, is geregeld dat het AMHK zonder toestemming gegevens kan verwerken voor de vervulling van de taken bedoeld in artikel 4.1.1, tweede en derde lid. Omdat de gegevens door het AMHK worden verwerkt op grond van een wettelijke grondslag, is de zinsnede dat geen toestemming is vereist gelet op de AVG, overbodig.
M
Artikel 41 van de Uitvoeringswet AVG geeft een algemene regeling om de rechten bedoeld in artikel 12 tot en met 21 en artikel 34 AVG buiten toepassing te laten voor zover dit noodzakelijk en evenredig is ter waarborging van de in dat artikel genoemde belangen. In artikel 5.3.1 wordt daar een specifieke invulling wordt gegeven. Voor zover de verwerkingsverantwoordelijke hier toepassing aan geeft, geldt daarbij het bepaalde in artikel 41, tweede lid van de Uitvoeringswet.
N
Op grond van het huidige artikel 39 Wbp bestaat er een mogelijkheid dat de verantwoordelijke een vergoeding kan verlangen indien een betrokkene een verzoek tot informatie bij de verantwoordelijke indient. In de artikel 5.3.2, vijfde lid wordt naar dit artikel verwezen. Op grond van artikel 12, vijfde lid, AVG dient het verstrekken van informatie kosteloos te geschieden. Alleen wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege een repetitief karakter, mag een verwerkingsverantwoordelijk een redelijke vergoeding aanrekenen dan wel het verzoek weigeren. Dit artikel is rechtstreeks toepasselijk. Om die reden komt artikel 5.3.2, vijfde lid, te vervallen.
Artikel 9.7 Wet marktordening gezondheidszorg
C
Met de in artikel 68a Wet marktordening gezondheidszorg geregelde bevoegdheden tot het verwerken van gegevens over gezondheid, wordt de mogelijkheid benut om op grond van artikel 9, tweede lid, onderdeel h, van de verordening het verbod om dergelijke gegevens te verwerken buiten toepassing te laten.
Artikel 9.9 Wet op het RIVM
De aanpassing van artikel 3, is er op gericht om de uitvoering van de taken voortvloeiend uit artikel 3, eerste lid, onderdeel c, van de Wet op het RIVM, «andere door Onze Minister op te dragen werkzaamheden», ongewijzigd voortgang te laten vinden. In het Besluit bij de Wet op het RIVM worden deze taken genoemd: de uitvoering, monitoring en evaluatie van de programma’s voor onder meer de bevolkingsonderzoeken naar borstkanker, baarmoederhalskanker en darmkanker, de prenatale screening van zwangere vrouwen, de hielprikscreening en gehoorscreening bij pasgeborenen en het nationaal programma grieppreventie. Het betreft zowel gegevensverwerking die noodzakelijk is «om redenen van algemeen belang op het gebied van de volksgezondheid» als bedoeld in artikel 9, tweede lid, onderdeel i, van de AVG, als gegevensverwerking op grond van artikel 9, tweede lid, onderdeel h, van de AVG. Blijkens artikel 9, derde lid, AVG moet voor deze gegevensverwerking krachtens lidstatelijk recht zijn geregeld dat de personen die deze gegevens verwerken, tot geheimhouding zijn gehouden. Met betrekking tot de complexere materie van gegevensverwerking onder de AVG door het RIVM in het kader van de infectieziektebestrijding is een wijzigingsvoorstel van de Wet publieke gezondheid in voorbereiding.
Artikel 9.10 Wet veiligheid en kwaliteit lichaamsmateriaal
In de verbodsbepaling van artikel 21, tweede lid, van de Wet veiligheid en kwaliteit lichaamsmateriaal wordt verwezen naar algemene bevoegdheden tot het verwerken van persoonsgegevens en bijzondere persoonsgegevens in de Wet bescherming persoonsgegevens. Deze verwijzing doet niets af aan het in dit artikel geformuleerde verbod. In de aangepaste formulering is daarom geen verwijzing opgenomen naar algemeen geldende bepalingen uit de verordening en de Uitvoeringswet.
Artikel 10.1
Op grond van artikel 48a van de Uitvoeringswet algemene verordening gegevensbescherming wordt de Autoriteit persoonsgegevens rechtspersoonlijkheid toegekend. In dat artikel wordt tevens een aantal organisatorische ingrepen geregeld die de overgang van personeel, rechten, bezittingen en verplichtingen van de rechtspersoon Staat der Nederlanden op de Autoriteit persoonsgegevens beoogt te realiseren. In artikel 48a, derde lid, wordt de overgang geregeld van de ambtenaren van het secretariaat, bedoeld in artikel 10, eerste lid, van de Uitvoeringswet algemene verordening gegevensbescherming naar de Autoriteit persoonsgegevens. Artikel 10.1, onderdeel E, van deze wet voegt hieraan toe dat de rechtspositie van deze ambtenaren als geheel ten minste gelijkwaardig is aan de rechtspositie die voor hen gold vóór de overgang. Met deze toevoeging wordt buiten twijfel gesteld dat de rechtspositie van de ambtenaren van het secretariaat van gelijkwaardig niveau blijft. Wel is vanaf het moment dat de Autoriteit persoonsgegevens rechtspersoonlijkheid heeft, de Autoriteit persoonsgegevens het bevoegd gezag. Dit betekent dat de bevoegdheden die het bevoegd gezag heeft ten aanzien van het eigen personeel, uitgeoefend zullen worden door de Autoriteit persoonsgegevens. Zo is bijvoorbeeld vanaf dat moment de Autoriteit persoonsgegevens bevoegd om op grond van artikel 61a ARAR een insidersregeling voor het eigen personeel vast te stellen. Op grond van artikel 15, eerste lid, Kaderwet zelfstandige bestuursorganen moet «Autoriteit persoonsgegevens» dan immers worden gelezen daar waar in die bepaling «Onze Minister» staat.
Artikel 10.1, onderdelen A tot en met D van deze wet regelt dat de opbrengsten van de bestuurlijke boetes en de verbeurde dwangsommen die door de Autoriteit persoonsgegevens worden opgelegd, ten bate komen van de staat en, in afwijking van artikel 1:1, vierde lid, van de Algemene wet bestuursrecht, niet van het vermogen van de rechtspersoon Autoriteit persoonsgegevens. Deze artikelonderdelen zijn vormgegeven conform de Aanpassingswet vierde tranche Awb (Kamerstukken II 2006/07, 31 124, nr. 3, p. 28).
Artikel 10.2
De Wet politiegegevens (Wpg) en de Wet justitiële en strafvorderlijke gegevens (Wjsg) bevatten enkele artikelen waarin wordt verwezen naar artikelen van de Wet bescherming persoonsgegevens. De verwijzingen hebben betrekking op, onder meer, de inzet van een verwerker, de aansprakelijkheid voor schade jegens de benadeelde, de taken en bevoegdheden van de Autoriteit persoonsgegevens en de benoeming van een functionaris gegevensbescherming. Voor de Wpg betreft dit de artikelen 1, onderdelen h. en m., 4, zesde lid, 28, tweede lid, 29, tweede lid, 35, tweede en derde lid, 36, tweede lid, en 36c, eerste lid, onderdeel a, Wpg alsmede de artikelen 1, onderdelen g. en k., 7, derde lid, 22, tweede lid, 23, tweede lid, 27, tweede en vierde lid, 38, derde lid, 39b, derde lid, 39n, tweede lid, en 47, tweede lid, Wjsg. Voor de Wjsg betreft dit de artikelen 1, onderdelen g. en k., 7, derde lid, 22, tweede lid, 23, tweede lid, 27, tweede en vierde lid, 38, derde lid, 39b, derde lid, 39n, tweede lid, en 47, tweede lid, Wjsg. Met de Uitvoeringswet Algemene verordening gegevensbescherming (UAvg) wordt de Wet bescherming persoonsgegevens ingetrokken (Artikel 51, UAvg). Zodra de UAvg van kracht is, wordt in de Wpg verwezen naar een wet die niet meer van kracht is.
Met het voorstel van wet tot Wijziging van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens ter implementatie van Europese regelgeving over de verwerking van persoonsgegevens met het oog op de voorkoming, het onderzoek, de opsporing en vervolging van strafbare feiten of de tenuitvoerlegging van straffen (34 889) worden de verwijzingen in de Wpg naar de Wet bescherming persoonsgegevens vervangen door verwijzingen naar de Uitvoeringswet Avg, dan wel de in die wet aangehaalde verordening. Dit wetsvoorstel is thans in behandeling bij de Tweede Kamer.
Om te voorkomen dat, in afwachting van het van kracht worden van het wetsvoorstel 34 889, onduidelijkheid ontstaat over de geldigheid van de regels in de Wpg waarin wordt verwezen naar de Wet bescherming persoonsgegevens, wordt voorgesteld een bepaling op te nemen die verduidelijkt dat de verwijzingen naar de artikelen van de Wet bescherming persoonsgegevens betrekking hebben op de wet zoals die luidde op 24 mei 2018. Het is tevens wenselijk te voorzien in de mogelijkheid van terugwerkende kracht, hiervoor wordt verwezen naar de toelichting op artikel 10.9.
Artikel 10.3
De verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren valt tot nu toe onder de Wet bescherming persoonsgegevens. Ter implementatie van de Richtlijn (EU) 2016/680 van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens door bevoegde autoriteiten met het oog op de voorkoming, het onderzoek, de opsporing en de vervolging van strafbare feiten of de tenuitvoerlegging van straffen, en betreffende het vrije verkeer van die gegevens en tot intrekking van Kaderbesluit 2008/977/JBZ van de Raad (Pb EU 2016, L 119) wordt de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren echter onder de reikwijdte van de Wpg gebracht. Daartoe voorziet eerdergenoemde wetsvoorstel 34 889 in de mogelijkheid om bij algemene maatregel van bestuur onderdelen van het bij of krachtens de Wpg bepaalde van overeenkomstige toepassing te verklaren op de verwerking van persoonsgegevens door een buitengewoon opsporingsambtenaar (Kamerstukken II 2017/18, 34 889, nr. 2, artikel I, onderdeel AX).
Zoals bij de toelichting op artikel 10.2 reeds is opgemerkt, voorziet de UAvg in intrekking van de Wet bescherming persoonsgegevens. Als de UAvg eerder in werking treedt dan wetsvoorstel 34 889 dan geldt gedurende die periode geen wettelijk regime voor de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren. Om hieraan tegemoet te komen wordt voorgesteld dat door Onze Minister voor Rechtsbescherming bij ministeriële regeling onderdelen van het bij of krachtens de Wet politiegegevens bepaalde tijdelijk van toepassing kunnen worden verklaard op de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren. Met het voorliggende artikel wordt de mogelijkheid daartoe geboden. Met de ministeriële regeling kan, vooruitlopend op de inwerkingtreding van het wetsvoorstel 34 889, de gegevensverwerking door de buitengewoon opsporingsambtenaren tijdelijk onder de reikwijdte van de Wpg worden gebracht. Daarmee wordt de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren tijdelijk onder een wettelijk regime gebracht, dat gelijk is aan dat voor de andere opsporingsambtenaren en dat inhoudelijk vergelijkbaar is met dat van de (voormalige) Wet bescherming persoonsgegevens.
Het is wenselijk te voorzien in de mogelijkheid van terugwerkende kracht, hiervoor wordt verwezen naar de toelichting op artikel 10.9.
Artikel 10.9
Artikel 10.9 van dit wetsvoorstel voorziet in de mogelijkheid tot inwerkingtreding met terugwerkende kracht. Bij de toelichting op artikel 10.2 is de noodzaak aan de orde gekomen om, in afwachting van het van kracht worden van het wetsvoorstel 34 889, in de Wpg en de Wjsg een bepaling op te nemen die verduidelijkt dat de verwijzingen naar de artikelen van de Wet bescherming persoonsgegevens betrekking hebben op de artikelen van de wet zoals die luidde op 24 mei 2018. Als het voorliggende wetvoorstel op een latere datum/tijdstip in werking treedt, kan alsnog onduidelijkheid ontstaan over de geldigheid van het handelen op basis van de artikelen in de Wpg waarin wordt verwezen naar artikelen van de Wet persoonsgegevens. Om dit te voorkomen is het wenselijk dat aan artikel 10.2 terugwerkende kracht kan worden verleend. Bij de toelichting op artikel 10.3 is gewezen op de wenselijkheid het bij of krachtens de Wet politiegegevens tijdelijk van toepassing te kunnen verklaren op de verwerking van persoonsgegevens door de buitengewoon opsporingsambtenaren. Met de mogelijkheid van terugwerkende kracht wordt voorkomen dat gedurende de periode tussen het van kracht worden van de UAvg en het van kracht worden van dit wetsvoorstel geen wettelijk regime van kracht is voor de verwerking van persoonsgegevens door deze functionarissen.
Hiervoor is gebruik gemaakt van de modelbepaling in de Aanwijzingen voor de regelgeving (Ar. 5.63.).
Deze toelichting wordt mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties gegeven.
De Minister voor Rechtsbescherming, S. Dekker