Dit wetsvoorstel bevat verschillende technische en inhoudelijke aanpassingen van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG), die op 25 mei 2018 in werking is getreden. Met deze wet wordt uitvoering gegeven aan de Algemene verordening gegevensbescherming (AVG) en werd de Wet bescherming persoonsgegevens ingetrokken. Daarnaast bevat dit wetsvoorstel wijzigingen van bepalingen met betrekking tot gegevensbescherming in een aantal andere wetten.
Tijdens de behandeling van de UAVG heeft het kabinet toegezegd direct na afronding van dit wetsvoorstel de mogelijkheden te verkennen voor verdere modernisering en verbetering van het gegevensbeschermingsrecht.1 In lijn met deze toezegging heeft het kabinet toen ook de motie-Koopmans c.s. overgenomen, waarin de regering werd verzocht de ervaringen met betrekking tot de UAVG te inventariseren en in het licht daarvan zo nodig maatregelen te treffen.2 In het licht van deze toezegging en deze motie zijn de eerste ervaringen met de UAVG geïnventariseerd. In een brief van 1 april 2019 is de Tweede Kamer geïnformeerd over het resultaat van deze inventarisatie en in het bijzonder over de punten die in de motie-Koopmans c.s. waren genoemd.3
Uit deze inventarisatie kwam het beeld naar voren dat er een sterke behoefte bestaat en blijft bestaan aan voorlichting over de AVG, de UAVG en sectorale wetgeving die als gevolg van de AVG is aangepast. In dat verband werd gewezen op de voorlichtingsactiviteiten van de Autoriteit persoonsgegevens (AP), van koepelorganisaties of van een voorziening als de AVG-helpdesk Zorg, Welzijn en Sport van het Ministerie van VWS. Verder bleek dat er punten waren die aandacht zouden vragen bij de evaluatie van de AVG zelf, die inmiddels is afgerond. De Tweede Kamer is hierover op 4 december 2020 geïnformeerd.4 Tot slot werd in voornoemde brief aangekondigd dat de Tweede Kamer nader zou worden geïnformeerd over punten waarvoor een wijziging van de UAVG in voorbereiding is.
In vervolg daarop is de Tweede Kamer in een brief van 31 oktober 2019 geïnformeerd over punten op dit vlak die nadien nog onder de aandacht van het kabinet zijn gebracht, en is aangegeven op welke punten al voldoende kon worden beoordeeld dat het wenselijk is de UAVG of eventueel andere wetgeving aan te passen. Daarvoor zou een wetsvoorstel worden opgesteld dat in het eerste kwartaal van 2020 in consultatie zou worden gebracht.5 Op 4 juni 2020 is de Tweede Kamer geïnformeerd over het in consultatie gaan van het wetsvoorstel Verzamelwet gegevensbescherming.6
Het nu voorliggende wetsvoorstel is van een en ander het resultaat.
Hierna wordt in het algemeen deel van deze toelichting ingegaan op de hoofdlijnen van het wetsvoorstel (§ 2) en op de advisering en internetconsultatie over het wetsvoorstel (§ 3).
De verhouding van de voorgestelde wijzigingen tot hoger recht en nationale regelgeving, de (financiële) gevolgen en de inwerkingtreding worden toegelicht in het artikelsgewijze deel van deze toelichting.
In dit wetsvoorstel worden, kortweg geformuleerd, naast wijzigingen van meer technische en verduidelijkende aard de volgende wijzigingen voorgesteld, die in de artikelsgewijze toelichting nader worden toegelicht:
• De definitie van persoonsgegevens van strafrechtelijke aard wordt in overeenstemming gebracht met de unierechtelijke uitleg van het begrip strafrechtelijke persoonsgegevens.
• De regeling voor verwerking van persoonsgegevens door de krijgsmacht wordt verduidelijkt.
• Vanaf de leeftijd van 12 tot 16 jaar, kan een jongere die van mening is dat er geen verwerking van persoonsgegevens meer zou moeten plaatsvinden, voortaan onafhankelijk van zijn vertegenwoordiger besluiten om de toestemming voor verwerking van zijn persoonsgegevens in te trekken (artikel I, onderdeel D).
• Tenzij de Wet op de geneeskundige behandelingsovereenkomst zich hiertegen verzet, kunnen de rechten uit Hoofdstuk 3 AVG van jongeren tot 12 jaar door zijn wettelijk vertegenwoordiger worden uitgeoefend en vanaf 12 tot 16 jaar daarnaast ook door de jongere zelf. Voor een betrokkene die onder curatele is gesteld of ten aanzien van een betrokkene ten behoeve van wie een bewind of mentorschap is ingesteld, worden deze rechten uitgeoefend door diens wettelijk vertegenwoordiger, voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is. (artikel I, onderdeel D).
• In de regeling van de benoeming van leden van de Autoriteit persoonsgegevens (AP) zijn grondslagen opgenomen om nadere regels te stellen over onder meer de noodzakelijke kwalificaties waarover een lid dient te beschikken, en de benoemingsprocedure (artikel I, onderdeel E).
• Het verbod om bijzondere categorieën van persoonsgegevens te verwerken is niet langer van toepassing indien de verwerking noodzakelijk is voor een door een accountant te verrichten bij wettelijk voorschrift voorgeschreven opdracht. Voor zover het om gegevens gaat die onder het medisch beroepsgeheim vallen of hebben gevallen, dienen die eerst te worden gepseudonimiseerd. In het verlengde hiervan wordt geregeld dat onder meer ook toezichthouders van de Stichting Autoriteit Financiële Markten (AFM) en de Nederlandse Beroepsorganisatie van Accountants (NBA) bijzondere categorieën van persoonsgegevens mogen verwerken, voor zover dat noodzakelijk is voor de uitvoering van hun taken (artikelen I, onderdeel I, en de artikelen IX en XII).
• In de regeling van de uitzondering op het verbod om biometrische gegevens te verwerken met het oog op de unieke identificatie van een persoon, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden, is onder meer de doelbeperking expliciet gemaakt, namelijk de rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatiesystemen of werkprocessystemen (artikel I, onderdeel K).
• Er wordt een regeling opgenomen om de overdracht van medische dossiers door hulpverleners en niet hulpverleners te verduidelijken. (artikel I, onderdeel M)
• De in artikel 45 UAVG geregelde uitzondering voor archiefbewaarplaatsen om rechten van betrokkenen te moeten honoreren als het recht op correctie of het recht op vernietiging gaat ook gelden voor andere voor het publiek toegankelijke instellingen die archieven van blijvende waarde voor het algemeen en historisch belang beheren en die geen winstoogmerk hebben (artikel I, onderdeel R)
• De delegatiemogelijkheid van het tweede lid om op grond van de UAVG een algemene maatregel van bestuur op te stellen waarin gebruik van een identificerend nummer te gebruiken, komt te vervallen. (artikel I, onderdeel S)
• Voor het geval dat een tijdelijke onafhankelijke commissie of een eenmalig adviescollege wordt ingesteld, met als opdracht om voortvarend onderzoek te doen naar een specifiek en afgebakend onderwerp van aanmerkelijk maatschappelijk belang waarbij persoonsgegevens moeten worden verwerkt, wordt in de UAVG bepaald dat in de ministeriële regeling ter instelling van deze commissie of dit adviescollege tevens een aantal onderwerpen met betrekking tot de verwerking van persoonsgegevens regelt (artikel I, onderdeel T).
• In de Faillissementswet wordt verduidelijkt dat de curator bij de uitoefening van zijn wettelijke taken persoonsgegevens, waaronder bijzondere categorieën van persoonsgegevens, persoonsgegevens van strafrechtelijke aard en identificerende nummers, als bedoeld in de UAVG en AVG rechtmatig kan verwerken.
• In de Vreemdelingenwet 2000 wordt het gebruik van het vreemdelingennummer nader geregeld.
• In de Wegenverkeerswet 1994 en de Wet administratiefrechtelijke verkeershandhaving wordt een duidelijke grondslag opgenomen voor de verwerking van de persoonsgegevens door de eigenaar of kentekenhouder, of voor de (door)verstrekking van die gegevens aan de daadwerkelijke bestuurder dan wel de houder van het motorrijtuig met het oog op het achterhalen van de bestuurder, of voor het verhaal van het reeds door de eigenaar of kentekenhouder betaalde boetebedrag (artikel IV en V).
• In de Wet op de rechtsbijstand (Wrb) wordt voorzien in de noodzakelijke grondslag om de relevante ketenpartners van het bestuur van de raad voor rechtsbijstand in staat te stellen het burgerservicenummer te gebruiken om te waarborgen dat de gegevens die zij ter uitvoering van de Wrb met het bestuur uitwisselen, ook daadwerkelijk betrekking hebben op de juiste personen (artikel VIII).
• In de Wet op het financieel toezicht (Wft) wordt verduidelijkt dat financiële ondernemingen in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kunnen blokkeren of opschorten als hiervoor aanleiding is, en wordt ook de verplichting tot het uitvoeren van transactiemonitoring zelf in de Wft opgenomen (artikel X).
In artikel 50 UAVG is bepaald dat de Minister voor Rechtsbescherming binnen drie jaar na de inwerkingtreding van de UAVG, en vervolgens telkens na vier jaar, aan de Staten-Generaal een verslag zendt over de effecten van deze wet in de praktijk en over de uitvoering van de wet in de praktijk. De hier bedoelde evaluatie had uiterlijk 25 mei 2021 moeten zijn afgerond. Dit is niet gelukt en de verwachting is dat deze mei 2022 is afgerond. Naar verwachting zal ook deze evaluatie aanleiding kunnen geven om opnieuw wijzigingen van de UAVG in overweging te nemen. Dit zal echter in een nieuw wijzigingsvoorstel van de UAVG worden meegenomen.
Voor wat betreft de grondrechtelijke aspecten wordt hier verwezen naar paragraaf 1 van de memorie van toelichting bij de UAVG, waar uitvoerig op deze aspecten ingegaan wordt. De voorstellen met betrekking tot de wijzigingen in dit voorstel moeten in dat licht bezien worden. Dit geldt ook voor de verhouding tot hoger recht. Voor zover dit anders is, wordt hierop nader ingegaan in de artikelsgewijze toelichting.
Een ontwerp van deze wet is ter consultatie voorgelegd en daarop zijn van diverse instanties, maar ook van enkele burgers 49 consultatiereacties ontvangen. Het gaat om verschillende brancheverenigingen, zowel van het bedrijfsleven als de overheid. Ook hebben diverse belangenorganisaties en deskundigen op verschillende terreinen waarop dit wetsvoorstel ziet gereageerd. Over het algemeen zijn de reacties uitvoerig en constructief van aard en is waar mogelijk rekening gehouden met de inbreng.
Omdat het een wetsvoorstel voor een verzamelwet betreft, bevat het naar zijn aard veel verschillende onderwerpen, die ook niet vanzelfsprekend onderling samenhangen. Een aantal thema’s komt in dit algemeen deel van de toelichting aan de orde; op meer specifieke consultatiereacties zal in de artikelsgewijze toelichting ingegaan worden. In verband met de leesbaarheid zal echter niet in alle gevallen specifiek ingegaan kunnen worden op ieder advies.
Naar aanleiding van de consultatiereacties zijn diverse wetsartikelen verbeterd en wordt in de toelichting bij die artikelen in algemene zin ingegaan op de veranderingen. Door diverse instanties, maar ook burgers worden ook nieuwe onderwerpen aangesneden, die in de UAVG of andere wettelijke regelingen in deze Verzamelwet zouden moeten worden meegenomen. Er is voor gekozen de omvang van dit wetsvoorstel beperkt te houden, omdat het gaat om een verzamelwet, waarvan de verschillende onderdelen niet van een omvang en complexiteit mogen zijn of dermate gevoelig, dat ze en afzonderlijk wetsvoorstel rechtvaardigen. Nieuwe onderwerpen zullen daarom over het algemeen worden betrokken bij eventuele volgende wijzigingen van de UAVG of andere wetgeving.
Hierna wordt allereerst ingegaan op het advies van de Autoriteit persoonsgegevens en daarmee samenhangende reacties op de internetconsultatie (§ 3.2) en vervolgens op de regeldruk, uitvoerbaarheid en doenvermogen (§ 3.3) en enkele overige consultatiereacties (§ 3.4). In § 3.5 volgt een overzicht van aanpassingen in het wetsvoorstel ten opzichte van de internetconsultatieversie.
Bij brief van 20 mei 2020 is de Autoriteit persoonsgegevens (AP) op grond van het bepaalde in artikel 36, vierde lid, AVG geraadpleegd over het conceptwetsvoorstel voor een Verzamelwet gegevensbescherming. Op 11 november 2020 heeft de AP haar advies uitgebracht7.
De AP heeft een aantal opmerkingen en suggesties bij het conceptwetsvoorstel. Een aantal onderwerpen verdient separate bespreking en daarop zal hieronder worden ingegaan. Een aantal onderwerpen zal in de artikelsgewijze toelichting worden besproken.
Bijzondere persoonsgegevens en gegevens van strafrechtelijke aard in bevel vordering aangifte op klacht
De AP adviseert de voorgestelde artikelen waarbij een grondslag voor de verwerking van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke aard bij het voldoen aan een bevel of vordering op grond van het Wetboek van Strafvordering, voor het doen van aangifte of klacht van strafbare feiten of voor het voldoen aan een wettelijke aangifteplicht, te schrappen. De AP is van oordeel dat uit de artikelen 5, 6 in het bijzonder het derde lid, en de artikelen 9 en 10 AVG, af te leiden is dat waar deze gegevens worden verwerkt op een wettelijke grondslag, de wetgever in formele zin de noodzaak van verwerking van (ook) de desbetreffende persoonsgegevens voor het betrokken doel zorgvuldig moet hebben afgewogen. Het is daarbij van groot belang dat wetsteksten en de toelichting uitsluitsel geven over de aard van de verwerkingen waartoe hij een rechtsgrond biedt en de gerechtvaardigdheid hiervan verantwoordt. Indien het niet duidelijk is, dient er een expliciete bepaling te worden opgenomen. Er is echter veel wetgeving, waarvan evident is dat de uitvoering ervan verwerking van bijzondere persoonsgegevens of van persoonsgegevens van strafrechtelijke aard met zich meebrengt. In die gevallen is het ook evident dat bij vaststelling van de wet de verwerking van bijzondere of strafrechtelijke persoonsgegevens is meegewogen en dient de memorie van toelichting dus ook zo goed mogelijk inzicht te bieden in de gevallen waar het om gaat en de afwegingen die zijn gemaakt is meegewogen. Ook zonder expliciete vermelding van de bijzondere of strafrechtelijke aard ervan, biedt de desbetreffende wet dan een bestendige grondslag voor de verwerking daarvan. In de gevallen dat dit zonneklaar is, heeft een expliciete bevestiging daarvan in een aparte wettelijke bepaling naar het oordeel van de AP dan geen toegevoegde waarde. De specifieke wettelijke bepalingen die de rechtsgrond vormen voor de verwerking bieden dan naar hun aard al een grondslag voor de verwerking van bijzondere persoonsgegevens of persoonsgegevens van strafrechtelijke aard. Het ligt in de rede om expliciete bepalingen in de wet op te nemen, indien in context bezien niet als vanzelfsprekend volgt dat ook beoogd is verwerking van bijzondere persoonsgegeven of gegevens van strafrechtelijke aard mogelijk te maken.
De AP staat een materiele benadering voor, waarbij telkens nauwkeurig in kaart wordt gebracht welke persoonsgegevens van bijzondere of strafrechtelijke aard aan de orde zouden kunnen zijn en waarbij zoveel mogelijk op maat de nodige wettelijke voorzieningen worden getroffen. Een algemene bepaling «voor de duidelijkheid» past daar volgens de AP niet goed bij.
Naar het oordeel van de AP beogen de wettelijke bepalingen inzake het doen van aangifte of indienen van een klacht duidelijk het verstrekken van zoveel mogelijk relevante informatie over een strafbaar feit aan de opsporingsautoriteiten, waaronder (indien bekend) persoonsgegevens van verdachte(n). Naar het oordeel van de AP is hieraan inherent dat de aangifte ook persoonsgegevens van strafrechtelijke en bijzondere aard zal kunnen bevatten, zodat expliciete wettelijke machtiging niet nodig is. Deze zienswijze van de AP wordt gevolgd en de eerder voorgestelde artikelen worden niet opgenomen in het wetsvoorstel.
Beperking rechten betrokkenen door de verwerkingsverantwoordelijke
De AP gaat ook in op de voorgestelde wijzigingen ten aanzien van artikel 41 UAVG, waarbij een vierde en vijfde lid worden ingevoegd. Dat artikel biedt verwerkingsverantwoordelijken de mogelijkheid om, bij wijze van vangnet, onder voorwaarden af te wijken van rechten van betrokkenen. De in de internetconsultatie voorgestelde artikelleden bevatten een regeling om, indien een verwerkingsverantwoordelijke gebruik maakt van de bevoegdheid de rechten van betrokkene in te perken, hij dit, voorzien van een dragende motivering, schriftelijk meedeelt aan de betrokkene, onder gelijktijdige toezending aan de AP. De AP moet vervolgens periodiek deze afschriften ter beschikking stellen aan Onze Minister.
De AP geeft aan dat onzeker is of de huidige opzet van artikel 41 tegemoetkomt aan de vereisten van artikel 23 AVG. Dat artikel lijkt de beperkingen van de rechten van betrokkenen alleen mogelijk te maken door middel van algemene, aan de beperking voorafgaande Unierechtelijke of lidstaatrechtelijke wettelijke bepalingen, die op de verwerkingsverantwoordelijke van toepassing zijn. Het tweede lid van artikel 23 AVG stelt eisen aan de wetgeving die de beperkingen mogelijk maakt, namelijk dat bepaalde aspecten daarin zijn geregeld. Artikel 41 voldoet daar op dit moment niet aan, zo is de AP van oordeel. De voorgestelde waarborg voor transparante afweging door de verwerkingsverantwoordelijk en vergroting van inzicht in de toepassing in de praktijk van de bepaling acht de AP in dit licht slechts een beperkte verbetering.
De AP stelt voor het artikel te schrappen of drastisch te verbeteren en geeft hiervoor een aantal overwegingen. Onder meer oordeelt de AP dat in de toelichting duiding van de omvang en de impact van de huidige praktijk van toepassing van deze bepaling ontbreekt. De voorgestelde procedure om de AP te informeren over de toepassing van dit artikel beoogt hierin deels in te voorzien, maar de onderbouwing van een behoefte aan een dergelijke algemene voorziening ontbreekt. De AP is van oordeel dat nader onderzoek op zijn plaats is. Uit een analyse van de wetgeving die strekt tot bescherming van de belangen die mogen worden ingeroepen ter beperking in combinatie met het bevragen van deskundigen uit de praktijk zal kunnen blijken op welke terreinen welke beperkingen aan de orde zouden kunnen zijn.
De AP adviseert artikel 41 UAVG te schrappen en in plaats daarvan zoveel mogelijk in de UAVG de rechten van betrokkenen op maat te beperken. Bij bijvoorbeeld wissing van criminele sporen of verstrekking aan OM of AIVD is de wenselijkheid daarvan op dit moment al gebleken. Voor het overige adviseert de AP op basis van een nadere analyse een risicoafweging te maken. De uitkomst van deze afweging zou kunnen leiden tot het in de sectorwetgeving opnemen van de mogelijkheid van (al dan niet tijdelijke) delegatie van wetgeving die beperking mogelijk maakt.
Verschillende instanties die die advies8 hebben uitgebracht naar aanleiding van de internetconsultatieversie, merken op dat zij de voorgestelde nieuwe eisen ook niet kunnen onderschrijven. Onder meer omdat geen rekening ermee wordt gehouden dat er redenen kunnen zijn dat niet aan betrokkene kan worden meegedeeld waarom zijn rechten worden beperkt, omdat hiermee afbreuk gedaan wordt aan het doel van de beperking. Ook merken veel van deze partijen op dat met het verplicht een afschrift moeten sturen aan de AP een grote administratieve last ontstaat.
Gezien de reacties op dit voorstel in de Verzamelwet, enerzijds van de AP, die een meer fundamentele herziening voorstelt van dit hele artikel en anderzijds de overige reacties die daarentegen juist wijzen op de onwenselijkheid van het geven van redenen voor beperking van rechten, bij bijvoorbeeld fraudeonderzoek, en op de hoge administratieve lasten die deze voorstellen met zich meebrengen, is besloten de voorgestelde verplichtingen niet door te voeren. De verschillende opmerkingen en vooral de opmerkingen van de AP, die voorstelt een fundamentele herziening van de uitwerking van artikel 23 AVG te overwegen, leiden tot dit besluit. Een fundamentele herziening past echter niet in het bestek van deze Verzamelwet en vergt bovendien meer onderzoek en gedachtenvorming. Ook is op dit moment onvoldoende bekend wat de omvang en werking is van het gebruik van de mogelijkheden van artikel 41. De regering acht het daarom onwenselijk artikel 41 in zijn geheel te schrappen, zoals de AP adviseert, omdat de gevolgen daarvan op dit moment onvoldoende zijn te overzien. Dit blijkt ook uit de eerder genoemde overige consultatiereacties. Wel zal naar aanleiding van de opmerkingen en suggesties van de AP worden bezien of er voldoende aanleiding is om alsnog tot wijziging in de door de AP voorgestelde zin moet worden overgegaan. Dit vergt echter tijd.
Als blijkt dat de regelgeving moet worden aangepast en als duidelijk is op welke wijze dit het beste kan worden vormgegeven, zal dit in een ander wetsvoorstel dan het onderhavige worden meegenomen.
Uitzonderingen inzake gegevens over gezondheid door patiëntenverenigingen
In het wetsvoorstel zoals dat in consultatie is gegaan, was, mede naar aanleiding van de motie-Koopmans9 een grondslag opgenomen op grond waarvan onder meer verenigingen voor cliëntenbelangen in de zorg- en welzijnssector gegevens over de gezondheid van hun leden mogen verwerken voor intern gebruik in bijvoorbeeld hun ledenbestand.10 De AP merkt op dat het vereiste van uitdrukkelijke toestemming bij een verwerking als deze in beginsel juist gepast lijkt. Een wettelijke grondslag zou volgens de AP tot gevolg kunnen hebben dat zelfs tegen de wil van betrokkene diens bijzondere persoonsgegevens zouden mogen worden verwerkt.
Voor het maken een uitzonderingsgrond op het verbod om gezondheidsgegevens te verwerken is onder meer vereist dat er sprake is van een zwaarwegend algemeen belang. De AP geeft aan dat van een dergelijk zwaarwegend algemeen belang op dit moment niet blijkt. Aan deze opmerkingen is gevolg gegeven, omdat de problemen in de praktijk niet van zodanige aard zijn dat op dit moment sprake is van een noodzaak voor uitbreiding van de grondslag voor de verwerking van gezondheidsgegevens, naast de al mogelijke grondslag uitdrukkelijke toestemming. De voorgestelde grondslag is dan ook geschrapt. Wel worden nog gesprekken gevoerd met betrokken partijen. Wanneer in bepaalde situaties de noodzaak vast komt te staan, zal dat kunnen worden meegenomen bij een volgende wijziging van de UAVG.
Tarieven
De AP verzoekt om in de UAVG een algemene grondslag op te nemen voor het in rekening kunnen brengen van een tarief voor behandeling van kennelijk ongegronde of buitensporige verzoeken en tevens de gelegenheid te nemen om een voorziening te treffen om bepaalde activiteiten, zoals bijvoorbeeld het aanvragen van een vergunning, gedragscodes of de goedkeuring voor internationale doorgifte te kunnen doorberekenen. Bij kennelijk ongegronde of buitensporige verzoeken kan de toezichthoudende autoriteit op basis van de bestaande AVG nu reeds een redelijke vergoeding rekenen of weigeren aan het verzoek gevolg te geven. Het is aan de toezichthoudende autoriteit om de kennelijke ongegronde of buitensporige aard van het verzoek aan te tonen. In de mogelijkheid kosten te rekenen in die gevallen is dus al voorzien in de geldende wet. Het tweede verzoek van de AP om een voorziening te treffen om voor bepaalde activiteiten een tarief in rekening te kunnen brengen, zoals bijvoorbeeld het aanvragen van een vergunning of het aanvragen van een voorafgaande raadpleging, vraagt om een nadere afweging. Het onderwerp leent zich gezien de aard ervan niet voor deze verzamelwet. Daartoe zou gezien de complexiteit en omvang een afzonderlijk wetstraject nodig zijn.
Klachtrecht voor maatschappelijke organisaties
De AP suggereert te overwegen om de mogelijkheid te benutten die de AVG in artikel 80, tweede lid, biedt aan lidstaten om maatschappelijke organisaties onafhankelijk van de opdracht van een betrokkene een klacht te kunnen laten indienen indien die organisatie van mening is dat rechten van betrokkenen zijn geschonden.11 De AVG biedt in artikel 80, eerste lid, al de mogelijkheid dat een maatschappelijke organisatie namens betrokkenen (onder meer) een klacht kan indienen bij de toezichthoudende autoriteit of een civiele procedure kan starten (tot schadevergoeding) tegen de verantwoordelijke of verwerker. De regering ziet geen noodzaak dit ook mogelijk te maken zonder opdracht van de betrokkene. Een maatschappelijke organisatie kan in Nederland wel op grond van art. 3:305a BW met een collectieve actie een verklaring voor recht vorderen. Sinds de inwerkingtreding van de Wet afwikkeling massaschade in collectieve actie (WAMCA) per 1 januari 2020 is daarnaast het collectief vorderen van schadevergoeding mogelijk. De regering ziet op dit moment geen aanleiding om dit mee te nemen in deze wetswijziging.
Digitale nalatenschap
De AVG is niet van toepassing op de verwerking van persoonsgegevens van overleden personen. Lidstaten kunnen hierover echter wel regels stellen.12 De AP adviseert zo mogelijk in dit wetsvoorstel voorzieningen te treffen voor het stellen van deze regels. De Universiteit van Amsterdam (UvA) heeft onderzoek gedaan naar de juridische aspecten van de digitale nalatenschap. Dit onderzoek, dat half april 2021 is afgerond, is op 6 juli 2021 samen met een publiekspeiling over digitale nalatenschap naar de Tweede Kamer gezonden.13 Uit dit onderzoek blijkt dat – afgezien van de nog niet erg ontwikkelde maatschappelijke en juridische opvattingen – voor wettelijke regels een probleemdefinitie ontbreekt die nodig is voor een stevige onderbouwing van nut en noodzaak om overheidsinterventie te rechtvaardigen. Gelet op de publiekspeiling is onduidelijk of burgers nu ook een probleem ervaren met betrekking tot de omgang met digitale accounts na overlijden en of dit niet eerst kan worden opgelost door de markt zelf (via voorlichting, tools en specifieke dienstverlening).
Voor wettelijke maatregelen lijkt het daarom nog te vroeg. Eerst zouden de verdere ontwikkelingen en de maatschappelijke discussie over dit onderwerp zich nader moeten uitkristalliseren. Een Europese regeling heeft bovendien de voorkeur boven een nationale regeling vanwege de grensoverschrijdende aspecten van online dienstverlening en de belemmeringen die daarin kunnen optreden als gevolg van nationale maatregelen.
Op initiatief van Nederland is het onderwerp digitale nalatenschap op EU-niveau besproken, tijdens de lunchbespreking van het Sloveense voorzitterschap op de JBZ-raad van 16 juli 2021. De Europese Commissie gaf op deze bijeenkomst aan nut te zien in verder onderzoek naar dit onderwerp en de problemen die burgers ervaren naar de noodzaak van eventuele nadere regelgeving noodzakelijk.
Beperken van de uitzondering meldplicht datalekken voor financiële ondernemingen
De AP adviseert de uitzondering op de meldplicht datalekken van artikel 42 UAVG te beperken tot banken, omdat de reikwijdte van het begrip financiële onderneming uit de Wet op het financieel toezicht (Wft) te breed is en een categorie ondernemingen kent, waarvoor het risico op een «bankrun» bij een meldplicht datalekken niet aanwezig zou zijn. Het is een reeds lang onder de Wft bestaande praktijk dat een financiële onderneming incidenten wel moet melden aan de financieel toezichthouders, maar niet aan betrokkene. Dit is niet alleen bij banken te risicovol om dwingend te worden voorgeschreven. De zorgplicht van de financiële onderneming zal echter waarborgen dat zij ook zonder dat dit dwingend wordt voorgeschreven haar verantwoordelijkheid jegens haar cliënten zal nemen. De regering volgt dit advies van de AP dan ook niet op.
Bij brief van 20 mei 2020 is het Adviescollege toetsing regeldruk geraadpleegd over het conceptwetsvoorstel voor een Verzamelwet gegevensbescherming. Op 4 juni 2020 heeft het Adviescollege laten weten dat zij afziet van het uitbrengen van een formeel advies, omdat zij van mening is dat er geen gevolgen voor de regeldruk zijn.
Voor een nadere uitvoerbaarheids- doenvermogentoets is in het kader van de voorbereiding van dit wetsvoorstel geen aanleiding gezien. In dit voorstel worden vooral grondslagen voor gegevensverwerking geïntroduceerd of regelingen verduidelijkt dan wel verbeterd. De regelgeving richt zich daarnaast voornamelijk tot de verwerkingsverantwoordelijke voor gegevensverwerkingen, doorgaans handelend in een professionele hoedanigheid.
In de consultatiereacties worden ook verschillende nieuwe onderwerpen naar voren gebracht, waarvan regeling in de UAVG volgens de indieners van de consultatiereacties wenselijk wordt geacht. Het gegevensbeschermingsrecht is sterk in ontwikkeling en de interpretatie van de AVG zelf is niet zelden aan verandering onderhevig, al dan niet in rechterlijke uitspraken, ook van het Hof van Justitie. Die actualiteit maakt dat in toenemende mate wensen naar voren komen voor wijziging of aanvulling van de UAVG. De aanstaande evaluatie van de UAVG zal naar verwachting daaraan eveneens bijdragen. De meeste onderwerpen worden nu niet meegenomen in dit wetsvoorstel.
Niet alle thema’s die naar voren gebracht zijn, kunnen hier genoemd worden, maar op een aantal ervan wil de regering hier graag ingaan.
Buitengerechtelijke geschilinstanties
Onder meer de Stichting Klachten en Geschillen Zorgverzekering (SKGZ), maar ook andere buitengerechtelijke geschilbeslechtingsinstanties merken op dat het onduidelijk is of het voor hen is toegestaan, in het kader van bij hen aanhangig gemaakte juridische procedures, bijzondere categorieën van persoonsgegevens te verwerken. Artikel 22, tweede lid, onder e, UAVG en artikel 9, tweede lid, onder f, AVG regelen een uitzondering op verwerkingsverbod voor het verwerken van bijzondere persoonsgegevens indien dat noodzakelijk is voor de instelling, uitoefening of verdediging van de rechtsvordering of wanneer de gerechten handelen in het kader van hun rechtsprekende taken. In de verordening (en dus ook de UAVG) is in de Nederlandse vertaling het woord «instellen» gebruikt. Hiermee wordt ook bedoeld rechtsvorderingen die zijn ingediend bij een buitengerechtelijke geschilinstantie. Dit blijkt ook uit overweging 52 bij de AVG, waarin wordt gezegd dat wordt voorzien in de mogelijkheid tot verwerking van die persoonsgegevens indien dat noodzakelijk is voor de vaststelling, de uitoefening of de onderbouwing van een rechtsvordering, in een gerechtelijke procedure dan wel in een administratieve of buitengerechtelijke procedure. Bovendien gaf de Europese Commissie tijdens de onderhandelingen aan, zo blijkt ook uit de brief aan de Kamer uit 201214 dat beoogd werd dat deze uitzondering zich ook uitstrekt tot nevengeschillen en bezwaarschriftprocedures. Deze lezing wordt ook ondersteund door de officiële Engelse tekst van de verordening, waarin de term «establishment of legal claims» wordt gebezigd. Het is daarom niet nodig een aparte voorziening te treffen voor gedingen die gevoerd worden bij buitengerechtelijke geschilinstanties, omdat deze reeds vallen onder de uitzondering van artikel 9, tweede lid, onder f, AVG en artikel 22, tweede lid, onder e, UAVG.
Hieronder worden een aantal aanpassingen die zijn ingevoegd in het voorliggende wetsvoorstel besproken. De overige aanpassingen komen aan de orde in de artikelsgewijze toelichting.
Boetes aan overheden voor overtreding artikel 10 AVG
In het wetsvoorstel zoals dat in consultatie is gegaan, is een wijziging opgenomen van artikel 18 UAVG, waarin de mogelijkheid werd geregeld om ook aan overheden een boete te kunnen opleggen voor het maken van een inbreuk op artikel 10 AVG of artikel 31 UAVG. Naar aanleiding van reacties van de Politie en de Vereniging Nederlandse Gemeenten (VNG) en nadere overweging is gebleken dat deze toevoeging niet noodzakelijk is, omdat er op grond van artikel 17 UAVG reeds een boete kan worden opgelegd voor het maken van een inbreuk door overheden op artikel 10 AVG of artikel 31 UAVG.
Klokkenluidersregeling
In de consultatiereactie was een wijziging voorzien in de Wet op de Klokkenluiders. Deze wijziging is meegenomen in een eigen wijzigingsvoorstel van de Wet op de Klokkenluiders.15
ARTIKEL I. Uitvoeringswet Algemene verordening gegevensbescherming
Onderdeel A (artikel 1)
Op dit moment is in de definitie van het begrip «persoonsgegevens van strafrechtelijke aard» mede begrepen persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag. De reden hiervoor was de wens om de praktijk onder de Wet bescherming persoonsgegevens (Wbp) zoveel mogelijk voort te zetten. De AP adviseert echter de definitie in artikel 1 in overeenstemming te brengen met een uitspraak van het Hof Den Haag16, in die zin dat het begrip persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten in de zin van artikel 10 AVG een Unierechtelijk begrip is dat autonoom moet worden uitgelegd. Er is geen mogelijkheid een eigen ruimere interpretatie te geven aan dat begrip. Ook in een uitspraak van het Hof van Justitie van 22 juni 202117 wordt bevestigd dat het begrip persoonsgegevens van strafrechtelijke aard een autonoom Unierechtelijk begrip is.
Gezien deze uitspraak van het Hof Den Haag, van het Hof van Justitie en de opvatting van de AP wordt voorgesteld de toevoeging «mede begrepen persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag» te laten vervallen. Dit betekent dat er voor die persoonsgegevens geen verwerkingsverbod meer geldt, maar deze gereguleerd worden door het algemene kader van de AVG en de UAVG. De regering acht dit verwerkingsverbod ook niet langer noodzakelijk, daar het evenredigheidsbeginsel (proportionaliteit en subsidiariteit) in de artikelen 5 en 6, AVG ervoor zorgt dat met het toenemen van de gevoeligheid van persoonsgegevens, de gebruiker van de gegevens meer waarborgen moet inbouwen rond de verwerking van de persoonsgegevens. Het gaat naar het oordeel van de regering immers wel over gegevens die verwantschap vertonen met gegevens betreffende strafrechtelijke feiten en dus meer gevoelig zijn en de verwerkingsverantwoordelijke zal de verwerking van deze persoonsgegevens met voldoende waarborgen moeten omkleden. Voor verboden die door de strafrechter worden opgelegd, geldt dat deze nog steeds wel onder de reikwijdte van het begrip persoonsgegevens van strafrechtelijke aard vallen, immers deze verboden zijn persoonsgegevens betreffende strafrechtelijke veroordelingen. Verboden die uitgesproken worden door de civiele of bestuursrechter vallen met dit voorstel niet direct meer onder het begrip persoonsgegevens van strafrechtelijke aard, maar indien er door overtreding van het verbod een strafbaar feit ontstaat, weer wel.
Nagegaan is in hoeverre aanpassing van deze definitie invloed heeft op verwijzingen in andere wetgeving. Er blijkt slechts in de Wet marktordening gezondheidszorg een verwijzing te staan naar gegevens betreffende hinderlijk en onrechtmatig gedrag, daarom wordt voorgesteld ook deze definitie aan te passen (artikel X). In overige wetgeving wordt doorgaans verwezen naar de definitie in de UAVG.
Onderdeel B (artikel 2)
De Wet raadgevend referendum is ingetrokken op 12 juli 2018.18 Dientengevolge dient de verwijzing naar deze wet in artikel 2 UAVG verwijderd te worden.
Onderdeel C (artikel 3)
De in onderdeel B van artikel I van dit wetsvoorstel opgenomen wijziging van de UAVG betreft een aanpassing van artikel 3, derde lid, UAVG. Onderdeel a van het derde lid van artikel 3 bevat een regeling met betrekking tot de verwerking van persoonsgegevens door de krijgsmacht in het kader van de inzet of het ter beschikking stellen van de krijgsmacht ter uitvoering van de in artikel 97 van de Grondwet omschreven taken19. De onderhavige wijziging strekt ertoe om expliciet tot uitdrukking te brengen dat aan dit artikel door middel van een besluit of een ministeriële regeling uitvoering wordt gegeven door Onze Minister van Defensie.
Op het merendeel van de verwerkingen van persoonsgegevens door Defensie zijn de AVG en de UAVG van toepassing. Alleen in geval van militaire operaties is er sprake van een uitzonderingsituatie. Bepaalde delen van de (U)AVG zijn dan niet toepasbaar. Zo is het begrijpelijk dat in een militaire operatie een lid van de vijandelijke partij niet overeenkomstig de AVG in kennis wordt gesteld wanneer gegevens over hem worden verwerkt. Ook zal duidelijk zijn dat tijdens militaire operaties geen gegevensbeschermingseffectbeoordeling (ook wel Privacy Impact Assessment (PIA) genoemd) zal worden opgesteld.
De onmogelijkheid om in de hierboven genoemde gevallen de (U)AVG toe te passen, laat zich bij iedere militaire operatie voelen. Het is dan ook aangewezen om buiten twijfel te stellen dat aan artikel 3, derde lid, onderdeel a, uitvoering kan worden gegeven door middel van een algemene voor missies geldende ministeriële regeling. Met de in onderdeel C van artikel I van dit wetsvoorstel opgenomen wijziging wordt dit geëxpliciteerd.
De AP onderschrijft in haar advies van 11 november 2020 de wenselijkheid van deze aanvulling. Met betrekking tot de mogelijkheid van uitzondering bij ad hoc besluit adviseert de AP deze te schrappen of de wenselijkheid van handhaving ervan toe te lichten. Naar aanleiding hiervan wordt opgemerkt dat algemene (voor iedere missie) geldende uitzonderingen in de algemene regeling dienen te worden geregeld, maar dat niet is uit te sluiten dat er voor een bepaalde missie wellicht nog aanvullende uitzonderingen moeten worden gemaakt. Dan biedt een ad hoc-besluit meer maatwerk in de zin dat niet een algemene regeling behoeft te worden aangepast. Bovendien zal (hoewel in beide situaties het akkoord van de Minister van Defensie is vereist) de totstandbrenging van een ad hoc-besluit naar verwachting sneller zijn gerealiseerd dan aanpassing van de algemene regeling. Het is in dit licht wenselijk dat de uitzonderingsmogelijkheid bij ad hoc besluit gehandhaafd blijft.
Onderdeel D (artikel 5)
Eerste onderdeel, wijziging eerste lid
In de AVG is in diverse artikelen de mogelijkheid opgenomen om toestemming te verlenen voor het verwerken van persoonsgegevens. Zo is in artikel 6, eerste lid, onder a de algemene grondslag toestemming opgenomen. In artikel 9, tweede lid, onder a, AVG is opgenomen dat uitdrukkelijke toestemming gegeven kan worden om bijzondere categorieën van persoonsgegevens te mogen verwerken. Ook voor het proces van geautomatiseerde besluitvorming kan toestemming gegeven worden (artikel 22 AVG). Tot slot is instemming mogelijk voor de doorgifte van bijzondere categorieën van persoonsgegevens naar een derde land (artikel 49 AVG). In artikel 8 AVG is geregeld dat toestemming als bedoeld in artikel 6, eerste lid onder a, AVG voor een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind, deze toestemming slechts rechtmatig is wanneer het kind 16 jaar is. Onder de 16 jaar moet de wettelijk vertegenwoordiger toestemming geven.
De aanpassing van het eerste lid van artikel 5 UAVG maakt duidelijk dat ook voor alle andere vormen van toestemming dan bedoeld in artikel 8 AVG, aangeboden via het internet of anderszins, wordt aangesloten bij de systematiek van artikel 8 AVG. Voor zover er persoonsgegevens worden verwerkt waarvoor ingevolge de AVG toestemming gegeven kan worden, kan deze toestemming vanaf 16 jaar worden verleend door het kind zelf en voor kinderen jonger dan 16 jaren oud is vervangende toestemming of machtiging tot toestemming vereist door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt.
Tweede onderdeel, wijziging tweede lid
Om misverstanden te voorkomen is duidelijk gemaakt dat het tweede lid van toepassing is op iedere toestemming op grond van de AVG. Dit omvat dus onder meer de hierboven genoemde toestemmingen en de situaties waar artikel 8 AVG op ziet. Dat wil zeggen dat als er sprake is van een rechtstreeks aanbod van diensten van de informatiemaatschappij aan iemand die onder curatele is gesteld of aan een persoon ten behoeve wie bewind of mentorschap is ingesteld, er vervangende toestemming van diens vertegenwoordiger nodig is, voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is.
Derde onderdeel, wijziging derde lid.
Een jongere die 12 jaar of ouder maar nog geen 16 jaar is, zou niet afhankelijk moeten zijn van een actie van zijn wettelijke vertegenwoordiger om een einde te kunnen maken aan een verwerking van zijn eígen persoonsgegevens, ook al is deze gebaseerd op de initiële toestemming van diens vertegenwoordiger. Deze nuancering is aangebracht mede vanwege de discussie over de vraag in hoeverre jongeren zelf zeggenschap behoren te hebben over hun gegevens en ook zij recht op privacy hebben. Indien een van de partijen, hetzij de vertegenwoordiger, hetzij de jongere, van mening is dat er geen verwerking van persoonsgegevens meer zou moeten plaatsvinden, kunnen beiden onafhankelijk van elkaar besluiten om de toestemming in te trekken. De keuze voor een lagere leeftijdsgrens dan de leeftijd van 16 jaar voor de toestemming is gebaseerd op de overweging dat met de intrekking van toestemming de inbreuk op de privacy wordt verkleind. Immers, door intrekking van de toestemming mogen de gegevens niet langer worden verwerkt. Minderjarigen vanaf 12 jaar worden in staat geacht om een dergelijke beslissing zelf te nemen. De leeftijd van 12 jaar wijkt af van de leeftijdsgrens van 13 jaar, die in artikel 8 van de AVG wordt genoemd bij een rechtstreeks aanbod van diensten van de informatiemaatschappij, maar sluit goed aan bij de keuze in het Nederlands recht om kinderen vanaf 12 jaar deels zelf en vanaf 16 jaar geheel zelfstandig persoonlijke keuzes te laten maken.20 Dit is in lijn met recent wetenschappelijk onderzoek.21 Indien een jongere in de leeftijdscategorie van 12 tot 16 jaar een toestemming heeft ingetrokken, blijft het voor wettelijk vertegenwoordigers mogelijk om wederom toestemming te verlenen. Het wordt onwenselijk geacht om interne gezinsverhoudingen op dit punt nog verder te juridiseren. De hernieuwde toestemming betekent overigens niet dat de gegevensverwerker deze gegevens ook moet verwerken. In de situatie van bijvoorbeeld het plaatsen van een foto op een schoolwebsite, kan de school er na intrekking van de toestemming van de minderjarige voor kiezen om deze foto niet te gebruiken ook al verlenen de ouders later weer toestemming.
Het is aan de verwerkingsverantwoordelijke om hier zorgvuldig mee om te gaan en een goede belangenafweging te maken, waarbij de wens van de minderjarige om geen toestemming te verlenen zwaar meeweegt.
In geval van curatele, bewind of mentorschap kan slechts de vertegenwoordiger de toestemming intrekken voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is.
Vierde onderdeel, wijziging vierde lid.
Voor kinderen onder de 12 geldt dat de wettelijk vertegenwoordiger de rechten van de betrokkene in plaats van de betrokkene uitoefent. De wettelijke vertegenwoordiger zal daarbij, bijvoorbeeld met betrekking tot een inzageverzoek, het recht op privacy van diens kind of een andere door hem vertegenwoordigde betrokkene in acht moeten nemen.
Voor betrokkenen in de leeftijd van twaalf jaren en ouder die de leeftijd van zestien jaren nog niet hebben bereikt regelt de wijziging dat naast de vertegenwoordiger van deze betrokkene ook de betrokkene zélf de rechten, bedoeld in hoofdstuk 3 AVG kan uitoefenen als het over zijn eigen persoonsgegevens gaat. Dat neemt niet weg dat ook de wettelijke vertegenwoordiger bijvoorbeeld een rectificatieverzoek als bedoeld in artikel 16 AVG moet kunnen blijven indienen bij de verwerkingsverantwoordelijke namens diens kind.
Het recht op privacy van een minderjarig kind wordt onder meer beschermd door artikel 16 van het Internationaal verdrag inzake de rechten van het kind. Het belang van bescherming tegen inmenging in (digitale) correspondentie, zeker bij oudere kinderen, wordt door het VN Kinderrechtencomité, UNICEF en andere mensenrechtenorganisaties benadrukt. Ook op dit punt wordt het onwenselijk geacht om interne gezinsverhoudingen verder te juridiseren, in die zin dat bepaald wordt wie hier voorrang heeft. Er ligt hier een taak voor de wettelijke vertegenwoordiger, die in bepaalde gevallen het belang van de adolescent zal moeten laten prevaleren ten opzichte van zijn eigen belang dat van de wettelijk vertegenwoordiger.
Voor betrokkenen die onder curatele zijn gesteld, dan wel ten behoeve van wie bewind of mentorschap is ingesteld, geldt dat de wettelijk vertegenwoordiger de rechten, bedoeld in hoofdstuk 3 AVG uitoefent, voor zover het een aangelegenheid betreft waarvoor de betrokkene onbekwaam dan wel onbevoegd is. Voor andere aangelegenheden oefent de betrokkene deze rechten zelf uit.
In het bijzonder over de verhouding tot artikel 8:21 Awb is bij de internetconsulatie opgemerkt dat wanneer de uitoefening van rechten door een jongere leidt tot een appellabel besluit in de zin van de Awb, daarvoor het regime als beschreven in art 8:21 Awb geldt. Het is dan aan de bestuursrechter om een inschatting te maken of de minderjarige in staat is zijn belangen te behartigen.
Vijfde onderdeel, wijziging vijfde lid
In het vijfde lid wordt de toepassing van dit artikel uitgesloten voor hulp- en adviesdiensten die rechtstreeks en kosteloos worden aangeboden aan een persoon ten behoeve van wie een bewind of mentorschap is ingesteld.
Zesde lid
Met de toevoeging van dit artikellid wordt verduidelijkt dat artikel 5 UAVG de bijzondere regeling in afdeling 5 van titel 7 van boek 7 van het Burgerlijk Wetboek (WGBO) inzake het verstrekken van inlichtingen over de patiënt of het verstrekken van inzage of afschrift van gegevens uit het medisch dossier aan anderen dan de patiënt en inzake andere rechten van de patiënt met betrekking tot het medisch dossier ingeval de patiënt een kind is of niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, onverlet laat.
De regeling in de WGBO is als volgt. Voor het verstrekken van inlichtingen over de patiënt of het verstrekken van inzage of afschrift van gegevens uit het dossier aan anderen dan de patiënt, is in beginsel toestemming van de patiënt vereist (artikel 457 van de WGBO). Indien het gaat om een kind onder de twaalf, is het aan de ouders of voogd om te bepalen of deze toestemming al dan niet wordt te verleend. Indien de patiënt ouder is dan 12 jaar, maar nog niet meerderjarig, en niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, is het ook aan de ouders of voogd om deze toestemming al dan niet te verlenen. Indien een kind 12 jaar of ouder is en wel in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, is het aan het kind zelf om te bepalen of toestemming wordt verleend. De ouders of voogden spelen dan geen rol meer. Indien het gaat om een meerderjarige die niet in staat kan worden geacht tot een redelijke waardering van zijn belangen ter zake, zal in beginsel de curator of mentor moeten bepalen of toestemming wordt verleend. Indien er geen sprake is van een curator of mentor, kan toestemming worden verleend of geweigerd door een schriftelijk gemachtigde, of indien zodanige persoon ontbreekt, de echtgenoot, de geregistreerde partner of andere levensgezel van de patiënt, tenzij deze persoon dat niet wenst, dan wel, indien ook zodanige persoon ontbreekt, jegens een ouder, kind, broer, zus, grootouder of kleinkind van de patiënt, tenzij deze persoon dat niet wens. Dit alles volgt uit artikel 465 van de WGBO.
Dezelfde regeling geldt voor het uitoefenen van andere rechten omtrent het dossier (zoals het opnemen van een verklaring (artikel 454 van de WGBO) of het vernietigen van gegevens op verzoek van de patiënt (artikel 455 van de WGBO)).
Overigens hoeven de personen die in plaats van de patiënt al dan niet toestemming verlenen zelf geen toestemming te hebben als zij toegang tot de informatie of gegevens willen hebben.
De hulpverlener geeft geen informatie of gegevens aan derden, indien hij daarmee niet geacht kan worden de zorg van een goed hulpverlener in acht te nemen.
Onderdeel E (artikel 7)
Op grond van artikel 54, eerste lid, onder b, AVG dienen de vereiste kwalificaties en voorwaarden om als lid van de AP te kunnen worden benoemd door de lidstaten bij wet te worden geregeld. Voor de voorzitter van de AP is op grond van artikel 7, vierde lid, UAVG vereist dat deze moet voldoen aan de in artikel 5 van de Wet rechtspositie rechterlijke ambtenaren gestelde eisen voor benoembaarheid tot rechter in een rechtbank. Ter nadere implementatie van artikel 54, eerste lid, onder b, AVG voorziet het nieuw voorgestelde vijfde lid van artikel 7 UAVG voorts in een grondslag om bij ministeriële regeling nadere regels te stellen over de noodzakelijke kwalificaties waarover een lid van de AP dient te beschikken alsmede overige nadere voorwaarden voor de benoeming van alle leden van de AP. Daarbij kan worden gedacht aan benoemingseisen ten aanzien van relevante ervaring, opleiding of achtergrond. En voor zover het de benoeming betreft van een lid dat mede belast wordt met de portefeuille bedrijfsvoering: relevante ervaring op dat gebied. Artikel 54, eerste lid, onder b, AVG bevat de woorden «bij wet», maar omdat de AVG uitgaat van een zogenaamd «materieel wetgevingsbegrip»,22 laat dit artikel ruimte om in de UAVG een delegatiegrondslag voor het stellen van andere regels op te nemen.
Op grond van artikel 54, eerste lid, onderdeel c, AVG worden de regels en procedures voor de benoeming van de leden van de AP bij wet geregeld. Artikel 7, derde lid, UAVG bepaalt dat de voorzitter, de andere leden en de buitengewone leden van de AP bij koninklijk besluit op voordracht van de Minister voor Rechtsbescherming worden benoemd. Ter nadere implementatie van artikel 54, eerste lid, onderdeel c, AVG voorziet het nieuw voorgestelde vijfde lid van artikel 7 UAVG in een grondslag om bij ministeriële regeling nadere regels te stellen ten aanzien van de benoemingsprocedure van de voorzitter en andere leden van de AP. Daarbij moet bij voorbeeld worden gedacht aan een beschrijving van de wijze waarop de vacaturestelling en selectie voorafgaand aan de voordracht tot stand komen en de partijen die daarbij successievelijk betrokken zijn.
Zowel NL digital als Vereniging informaticarecht advocaten (VIRA) doen in hun consultatiereactie een voorstel voor inhoudelijke benoemings- en/of kwalificatie-eisen. Aangezien het huidige voorstel enkel een delegatiegrondslag bevat voor het stellen van voorwaarden en het benoemen van kwalificaties, alsmede de procedure, zullen de suggesties worden meegenomen bij de vaststelling van de ministeriële regeling daartoe. Voor zover de Koninklijke Nederlandse Tennisbond (KNLTB) verzoekt om de gevolgen van disfunctioneren of het niet langer voldoen aan de vereiste voorwaarden of kwalificaties te sanctioneren, wordt verwezen naar artikel 8 UAVG, waarin daartoe aansluiting wordt gezocht bij de Wet rechtspositie rechterlijke ambtenaren.
Onderdeel F (artikel 8)
Deze aanpassing is noodzakelijk, omdat de huidige verwijzingen naar de Wet rechtspositie rechterlijke ambtenaren, zoals opgenomen in artikel 8 UAVG, technisch niet meer correct zijn. Dit is het gevolg van de Wet van 27 juni 2018 tot wijziging van de Wet rechtspositie rechterlijke ambtenaren en enige andere wetten in verband met de uitbreiding van de mogelijkheden om ten aanzien van voor het leven benoemde rechterlijke ambtenaren disciplinaire maatregelen op te leggen en tevens andere maatregelen te treffen (Stb. 2018, 298) (Wijzigingswet Wrra).
De nu voorgestelde wijziging beoogt technisch te regelen dat het regime zoals dat voor rechtelijke ambtenaren geldt van overeenkomstige toepassing blijft op de, immers eveneens onafhankelijke, voorzitter en andere leden van de AP.
Onderdeel G (artikel 22)
Met de rectificatie van de Nederlandse vertaling van de AVG van 19 april 201823 is in artikel 9, tweede lid, onderdeel f, AVG «rechtsbevoegdheid» vervangen door «rechtsprekende taken». Artikel 22, tweede lid, onderdeel e, UAVG, waarin deze uitzondering op het verwerkingsverbod van bijzondere categorieën van persoonsgegevens omwille van de duidelijkheid en op advies van de Raad van State24 letterlijk is overgenomen, wordt derhalve overeenkomstig aangepast. Tevens is dit onderdeel f van artikel 9, tweede lid, AVG overgenomen in artikel 32, onderdeel d, UAVG.Daaromwordt voorgesteld om de formulering ook in dat artikel aan te passen (zie onderdeel N).
Als weergegeven bij kamerbrief van 23 oktober 2012, is door de Commissie bevestigd dat het gebruik van bijzondere persoonsgegevens in rechtsgedingen als bedoeld in artikel 9, tweede lid, onder f, AVG, zich ook uitstrekt tot nevengeschillen en bezwaarschriftprocedures.25 Derhalve vallen bijvoorbeeld onderwijsgeschillen en geschillen van consumenten over ziektekostenverzekeraars binnen het bereik van artikel 22 UAVG.
Met de rectificatie van de Nederlandse vertaling van de AVG van 4 maart 202126 is in artikel 9, tweede lid, onderdeel f, AVG «onderbouwing» vervangen door «verdediging». Artikel 22, tweede lid, onderdeel e, UAVG, dient dus ook overeenkomstig te worden aangepast.
Onderdeel H (artikel 23)
Het doel van het College voor de rechten van de mens (het College) is het beschermen van de rechten van de mens, waaronder het recht op gelijke behandeling, en het bevorderen van de naleving daarvan. In dat kader is een van de taken van het College het doen van onderzoek naar de bescherming van de rechten van de mens. Daaronder valt ook het doen van onderzoek of een onderscheid is of wordt gemaakt als bedoeld in de Algemene wet gelijke behandeling; het gaat dan om gelijke behandeling van personen ongeacht onder meer hun godsdienst, ras, nationaliteit en seksuele geaardheid. Ook kan het College op grond van de Wet gelijke behandeling discriminatie op grond van handicap of chronische ziekte onderzoeken. Het College kan deze onderzoeken op schriftelijk verzoek doen, of uit eigen beweging onderzoeken of zodanig onderscheid stelselmatig wordt gemaakt.
Inherent aan deze taken van het College is dat bijzondere categorieën van persoonsgegevens verwerkt worden.27 Vanwege duidelijkheid en rechtszekerheid wordt voor het College voorzien in een meer expliciete wettelijke basis om die bijzondere categorieën van persoonsgegevens te mogen verwerken. Daarbij geldt uiteraard de in de bestaande tekst van artikel 23 opgenomen clausulering dat deze verwerking alleen is toegestaan voor zover deze noodzakelijk is voor de uitvoering van de wettelijk aan het College opgedragen taken.
Op grond van artikel 41 van de Kaderwet zelfstandige bestuursorganen moet een zelfstandig bestuursorgaan op de voet van de ter zake voor de Rijksdienst geldende voorschriften zorgdragen voor de nodige technische en organisatorische voorzieningen ter beveiliging van zijn gegevens tegen verlies of aantasting en tegen onbevoegde kennisneming, wijziging en verstrekking van die gegevens. In de praktijk geldt bij het College voor de beveiliging van de computersystemen bijvoorbeeld dat gebruik wordt gemaakt van dezelfde vormen van beveiliging van systemen en online-verbindingen als het Ministerie van Justitie en Veiligheid. Voor de toegang tot systemen waarin mogelijk gevoelige gegevens van personen opgeslagen liggen, worden dezelfde uitgangspunten gehanteerd die ook in de rechtspraak worden gehanteerd. Dat betekent dat alleen Collegeleden, behandelend secretarissen en medewerkers van de (oordelen)administratie toegang hebben tot die dossiers.
Onderdeel I (artikel 23a)
Het voorgestelde artikel 23a bevat een regeling voor de verplichte accountantsopdrachten die in het vervolg van deze memorie van toelichting worden aangeduid als verplichte opdrachten.28 Het betreft opdrachten die een entiteit op grond van een wettelijk voorschrift moet laten uitvoeren door een accountant, zijnde een registeraccountant of een Accountant-Administratieconsulent. De verplichte opdracht moet zijn voorgeschreven bij wettelijk voorschrift. Het gaat bij een wettelijk voorschrift om een nationaal wettelijk voorschrift of een of een verordening van een instelling van de Europese Unie.29 Een dergelijke verordening heeft immers op grond van artikel 288 van het Verdrag betreffende de werking van de Europese Unie (VWEU) rechtstreeks bindende werking binnen de Nederlandse rechtsorde. Voorbeelden van een nationaal wettelijk voorschrift zijn een formele wet, een algemene maatregel van bestuur, een ministeriële regeling of een verordening van een decentrale overheid.
De verplichte door de accountants uit te voeren opdrachten bestaan uit een grote variëteit aan werkzaamheden zoals controles, beoordelings-, assurance,- en samenstellingsopdrachten. Er was in diverse reacties op dit wetsvoorstel verzocht ook een grondslag op te nemen voor verwerking van bijzondere persoonsgegevens en persoonsgegevens van strafrechtelijke aard voor alle Assurance-opdrachten. De zorgvuldige belangenafweging leidt ertoe dat de vrijwillige opdrachten van accountants geen rechtvaardiging vormen voor deze uitzondering.
Regeling in de UAVG
De verplichte accountantsopdrachten zijn verspreid over een groot aantal sectorspecifieke wettelijke voorschriften zoals bijvoorbeeld de Gemeentewet, de Provinciewet, de Zorgverzekeringswet en de Wet langdurige zorg. Het kan bij de bovenbedoelde wettelijke voorschriften ook gaan om verordeningen van instellingen van de Europese Unie of van decentrale overheden. Er bestaat voor de regeling van de (verplichte) accountantsopdrachten geen algemene sectorspecifieke wet. De Wet op het accountantsberoep (Wab) regelt de aangelegenheden met betrekking tot de NBA, het accountantsregister, de onderwerping van accountants aan het tuchtrecht en de opleiding voor het accountantsberoep. De Wet toezicht accountantsorganisaties (Wta) regelt de vereiste vergunning van de AFM voor accountantsorganisaties, haar openbare register van vergunninghoudende accountantsorganisaties, verplichtingen voor die organisaties en het toezicht op de naleving en de handhaving door de AFM. De voorgestelde regeling voor verplichte accountantscontroles overstijgt kortom het belang van een specifieke sector. De voorgestelde wijzigingen van de Wab (artikel 57) en van de Wta (artikel 63aa) betreffen geen verplichte accountantsopdrachten maar het toezicht op de naleving door de NBA respectievelijk de AFM. De regeling voor de verplichte accountantsopdrachten krijgt gezien het bovenstaande op grond van het voorliggende wetsvoorstel, een plaats in de UAVG.
Doel
De verplichte accountantsopdracht dient primair een grote variëteit aan belangen in het maatschappelijk verkeer, die zich ook uitstrekt tot andere gebruikers dan de opdrachtgevers voor die opdracht. Het gaat om het vertrouwen geven dat de stukken een getrouw beeld van de werkelijkheid geven, en dat rechtmatig is gehandeld en daadwerkelijk bepaalde activiteiten heeft verricht. Het gaat om de belangen van externe en interne toezichthouders, medezeggenschapsorganisaties, werknemers, afnemers, beleggers en financiers. Het gaat daarnaast om publieke belangen zoals de democratische controle, het ministerieel toezicht, de vaststelling van subsidies en het toezicht op de naleving door toezichthouders of de samenleving als zodanig.30 De accountants vervullen met de verplichte accountantsopdrachten een taak van zodanig groot algemeen belang dat bij wettelijk voorschrift is verzekerd dat die taak ook wordt uitgevoerd. De verwerkingen in het kader van bij wettelijk voorschrift verplichte accountantsopdrachten geschieden dan ook om redenen van zwaarwegend algemeen belang als bedoeld in artikel 9, tweede lid, onderdeel g, AVG. Een dergelijk belang ontbreekt bij verwerkingen in het kader van vrijwillige accountantsopdrachten.
Noodzaak verwerking persoonsgegevens
De accountant moet voor het uitvoeren van een verplichte opdracht persoonsgegevens verwerken. Dit geldt eveneens voor de leden van het controleteam van de accountant. Zonder de soms noodzakelijke verwerking van persoonsgegevens, waaronder in voorkomende gevallen ook bijzondere categorieën van persoonsgegevens, kan de accountant geen gevalideerde uitspraken doen over het getrouwe beeld, het rechtmatig handelen of het voldaan hebben aan bepaalde wet- en regelgeving. De accountants zullen bij hun opdrachten de verwerking van persoonsgegevens (veelal) beperken tot casusposities die zij op basis van een door hen getrokken representatieve steekproef hebben geselecteerd. Die zijn representatief voor het desbetreffende geheel aan casus voor de accountantsopdracht. De accountant trekt op basis van zijn bevindingen bij de geselecteerde casusposities conclusies over het geheel.
De accountants moeten voor uitgevoerde verplichte controles controledossiers aanleggen. De controledossiers bevatten ook bij verplichte controles de verwerkte persoonsgegevens. De kwaliteitsborging van accountantskantoren en accountantsafdelingen en de naleving van de op de accountantscontrole van toepassing zijnde voorschriften door de accountant en het toezicht door de AFM en NBA hierop, vereisen de kennisneming van de aangelegde controledossiers met bij de verplichte controles verwerkte persoonsgegevens. Het doen van gevalideerde uitspraken over de kwaliteit van de uitgevoerde verplichte controles maakt de verwerking van persoonsgegevens derhalve eveneens noodzakelijk.
AVGAVG en het doel van het voorgestelde artikel 23a
Er geldt voor de categorieën van bijzondere persoonsgegevens als bedoeld in artikel 9, eerste lid, AVGAVG, echter een verwerkingsverbod met een limitatief aantal uitzonderingen.31 Bij het uitvoeren van bij wettelijk voorschrift verplicht gestelde opdrachten kunnen accountants genoodzaakt zijn diverse bijzondere categorieën van persoonsgegevens te verwerken in de zin van artikel 9 AVG. Hierbij kunnen ook gezondheidsgegevens aan de orde zijn, bijvoorbeeld bij controleverklaringen bij zorginstellingen of in het (speciaal) onderwijs. Denk daarbij aan leerwegondersteunend onderwijs of bekostiging van nieuwkomers.
Naar het oordeel van de regering is er in geval van bij wettelijk voorschrift verplicht gestelde opdrachten aan accountants sprake van een zwaarwegend algemeen belang en daarom wordt in het voorgestelde artikel 23a voor deze gevallen een grondslag voor verwerking van deze bijzondere persoonsgegevens opgenomen.
Inhoud van het voorgestelde artikel 23a, eerste lid
Het eerste lid regelt dat verwerking van bijzondere categorieën van persoonsgegevens kan plaatsvinden voor zover die verwerking noodzakelijk is voor een bij wettelijk voorschrift verplicht gestelde opdracht. Een dergelijke opdracht wordt uitgevoerd door een accountant. Dit kan, afhankelijk van wat hierover in het wettelijk voorschrift is bepaald, een registeraccountant of een Accountant-Administratieconsulent (al dan niet met aantekening in het accountantsregister) zijn. In artikel 23a wordt volstaan met begrip «accountant» omdat uit artikel 41, eerste en tweede lid, Wab voortvloeit dat alleen registeraccountants of een Accountant-Administratieconsulenten gerechtigd zijn de benaming accountant te voeren.
Bij sommige verplichte controles bestaat er ook een wettelijke verplichting om een zogenoemde opdrachtgerichte kwaliteitsbeoordeling (okb) te laten uitvoeren door een andere accountant. Hierbij gaat deze accountant na of de accountant die de controle uitvoert redelijkerwijs tot het oordeel en de conclusies kan zijn gekomen die zijn verwoord in het ontwerp van de controleverklaring (artikel 8 van Verordening (EU) nr. 537/2014 van het Europees Parlement en de Raad van 16 april 2014 betreffende specifieke eisen voor de wettelijke controles van financiële overzichten van organisaties van openbaar belang en tot intrekking van Besluit 2005/909/EG van de Commissie (PbEU 2014, L 158) en artikel 18 van het Besluit toezicht accountantsorganisaties). De noodzakelijke verwerking van bijzondere categorieën persoonsgegevens door de accountant die de okb uitvoert valt eveneens onder dit artikel.
Inhoud van het voorgestelde artikel 23a, tweede lid
Soms zijn de te controleren instanties gebonden aan het medisch beroepsgeheim.32 De verwerkingsverantwoordelijke accountant is ook een derde en mag dus geen informatie over de patiënt ontvangen die aan die patiënt kan worden gekoppeld. Het voorgestelde artikel 23a, tweede lid, regelt dat de te controleren instantie de persoonsgegevens eerst pseudonimiseert als bedoeld in AVG33 voordat de verwerking voor de verplichte accountantscontrole aanvangt. De pseudonimisering behoort daarmee tot de verplichtingen en verantwoordelijkheden van de te beoordelen instantie. Pseudonimisering houdt in dat de persoonsgegevens niet door de accountant aan een specifieke betrokkene kunnen worden gekoppeld zonder het gebruik van aanvullende gegevens. De te controleren instantie moet deze aanvullende gegevens apart bewaren en de nodige technische en organisatorische maatregelen treffen om koppeling aan specifiek betrokkene door de accountant te voorkomen. Het eerste lid bepaalt daartoe dat de pseudonimisering onafgebroken moet worden gecontinueerd om te bewerkstelligen dat de accountant nooit beschikt over de sleutels/middelen waarmee hij de betrokkene kan identificeren. Hierdoor kan de accountant de natuurlijke persoon waarop de persoonsgegevens betrekking hebben, de betrokkene, niet identificeren, maar de accountant kan wel vaststellen dat persoonsgegevens betrekking hebben op eenzelfde persoon zonder te weten wie het betreft. Door slechts gepseudonimiseerde persoonsgegevens te ontvangen, kan de accountant zich geen oordeel vormen over de gezondheidstoestand van betrokkenen en wordt het medisch beroepsgeheim niet op ontoelaatbare wijze geschonden. Dit wordt ook bevestigd in de consultatiereactie van de AP.
De verplichte onafgebroken pseudonimisering geldt op basis van het voorgestelde artikel 23a, tweede lid, ook voor te controleren instanties zonder medisch beroepsgeheim, die wel medische persoonsgegevens verwerken, zoals bijvoorbeeld zorgverzekeraars, andere ziekteverzekeraars, en Wlz-uitvoerders.
Passende waarborgen voor verwerking
De passende waarborgen bij de verwerking van bijzondere categorieën van persoonsgegevens bestaan in de eerste plaats uit de op grond van artikel 5, eerste lid, onderdeel c, AVG, verplichte dataminimalisatie. De accountants zullen bij hun opdrachten de verwerking van persoonsgegevens (veelal) beperken tot casusposities die zij op basis van een door hen getrokken representatieve steekproef hebben geselecteerd. De passende waarborgen bestaan in de tweede plaats uit de verplichte pseudonimisering van persoonsgegevens die onder het medisch beroepsgeheim vallen of hebben gevallen. De passende waarborgen bestaan in de derde plaats uit de technische en organisatorische maatregelen die een accountant als verwerkingsverantwoordelijke treft om te waarborgen dat de verwerking in overeenstemming is met de AVG. De NBA ondersteunt de accountants met het geven van richtlijnen daarbij. De accountants moeten zich tenslotte houden aan de beroepsregels van de NBA die borgen dat de accountants de fundamentele beginselen van o.a. zorgvuldigheid en geheimhouding in acht nemen.
Onderdeel J (artikel 28)
Het onderwerp van artikel 28, genetische gegevens, is strikt gereguleerd. Op grond van artikel 9, vierde lid, AVG, kunnen lidstaten bijkomende voorwaarden, waaronder beperkingen, invoeren als het dergelijke gegevens betreft. Om duidelijk te maken dat de wetgever hier gebruik van heeft gemaakt, wordt gerefereerd aan het desbetreffende artikellid in de AVG dat de ruimte laat voor nationaal recht om iets aanvullends (in casu strenger) te regelen. Het is kortom, in andere gevallen dan waar het eerste lid op ziet, uitsluitend toegestaan genetische gegevens te verwerken indien aan de in het tweede lid opgenomen voorwaarden a of b is voldaan. Dat wil zeggen dat de verwerking niet kan worden gebaseerd op enige andere normaal geldende uitzondering op het verbod van artikel 9, eerste lid, AVG. De uitzondering geldt bijvoorbeeld niet voor familieleden in de genetische lijn, zelfs niet indien zij daar uitdrukkelijk toestemming voor zouden hebben gegeven; de normale uitzonderingen zoals opgenomen in het tweede lid van artikel 9 AVG zijn door het gebruik van het woord «uitsluitend» in deze specifiek situatie derhalve niet van toepassing.
Nu gebruik wordt gemaakt van de mogelijkheid tot beperking die artikel 9, vierde lid, AVG aan de nationale wetgever biedt, wordt met de voorgestelde wijziging de gekozen wetssystematiek in de UAVG, waarin deze ruimte telkens expliciet wordt benoemd («gelet op»), consequent doorgevoerd. Materieel gezien wijzigt er niets.
Onderdeel K (artikel 29)
Op grond van artikel 29 is het verbod om biometrische gegevens te verwerken met het oog op de unieke identificatie van een persoon niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden. Artikel 9, tweede lid, onderdeel g, AVG maakt het mogelijk om bij lidstatelijk recht een dergelijke uitzondering te maken op het verbod om biometrische gegevens te verwerken indien de verwerking noodzakelijk is om «redenen van zwaarwegend algemeen belang».
Met het in de wettekst opnemen van de eis dat bij het gebruik maken van deze wettelijke uitzondering, het noodzakelijk is ook nog in het concrete geval te toetsen aan het bedoelde zwaarwegend algemeen belang, wordt in een extra waarborg voorzien. In de rechtspraktijk zal een verwerkingsverantwoordelijke nu telkens zelf actief moeten toetsen of ook in het specifieke geval wel aan het vereiste «noodzakelijk voor een zwaarwegend algemeen belang» is voldaan, voordat een beroep op de uitzondering kan worden gedaan. Deze afweging zal vervolgens door de AP en uiteindelijk ook door de rechter kunnen worden beoordeeld.
In de toelichting bij dit artikel bij de invoering van de UAVG, werd reeds als voorbeeld van een zwaarwegend algemeen belang de toegang tot een kerncentrale gegeven in tegenstelling tot de toegang van een garage van een reparatiebedrijf. De beveiliging van een kerncentrale is natuurlijk een aansprekend voorbeeld van een zwaarwegend algemeen belang. Maar ook het beschermen van de volksgezondheid, het voorkomen van milieuschade of het beveiligen van vitale processen kunnen redenen zijn waarmee aan de eis van zwaarwegend algemeen belang wordt voldaan. Naast het reeds genoemde voorbeeld van een kerncentrale, kan bij controle op toegangsbevoegdheden op vitale, gevoelige of gevaarlijke locaties, gedacht worden aan bedrijven en/of diensten uit de vitale infrastructuur (zoals telecomcentrum, beheercentrum energie-infra), aanbieders van essentiële diensten en voor digitale dienstverleners (NIS-Richtlijn34), bedrijven of gebieden met veiligheidsrisico’s zoals bedrijven met veel risico’s op zware ongevallen door de aanwezigheid van grote hoeveelheden gevaarlijke stoffen die onder het Besluit risico’s zware ongevallen35 vallen en lucht- en zeehavens. Voor de goede orde wordt opgemerkt dat het niet alleen gaat om toegang tot gebouwen maar ook om toegangsbeveiliging van randapparatuur (laptop, telefoon e.d.) voor authenticatiedoeleinden ter beveiliging van systemen en netwerken. Er zal in ieder geval een belang gediend moeten worden dat uitstijgt boven louter reguliere bedrijfs- of organisatiebelangen (als efficiëntie of kostenbesparing), wil een verwerkingsverantwoordelijke een beroep op deze uitzondering kunnen doen.
Met de dubbele noodzakelijkheidstoets (noodzakelijk voor de authenticatie of beveiligingsdoeleinden én noodzakelijk omwille van een zwaarwegend algemeen belang) wordt invulling gegeven aan de eis van artikel 9, tweede lid, onderdeel g, AVG, die passende en specifieke maatregelen vergt ter bescherming van grondrechten en de fundamentele belangen van betrokkene.
Naast het benoemen van het criterium van het zwaarwegend algemeen belang in de wettekst wordt tevens voorgesteld om ook de doelbeperking expliciet te maken, namelijk de rechtmatige toegang tot bepaalde plaatsen, gebouwen, diensten, producten, informatie- of werkprocessystemen.
De voorgestelde aanvullingen van artikel 29 dragen bij aan de rechtszekerheid bij het verwerken van biometrische gegevens voor genoemde doeleinden en kunnen daarmee de gewenste duidelijkheid bieden, een punt van aandacht dat door VNO-NCW en MKB-Nederland in consultatie naar voren is gebracht. Een en ander laat de toepassing van biometrische identificatiemiddelen onverlet in omstandigheden waarin toestemming in vrijheid kan worden gegeven. Gezien de afhankelijke werkgever-werknemer relatie is van in vrijheid gegeven toestemming in deze context sprake als werknemers alternatieve toegangsmogelijkheden worden geboden (denk aan het gebruik van een wachtwoord en/of een token) en waarbij deze geen druk ervaren om te kiezen voor biometrische identificatiemiddelen.
Onderdeel L (artikel 30)
Het voorstel om in de aanhef van het derde lid van artikel 30 een referentie toe te voegen naar onderdeel g van het tweede lid van artikel 9 van de AVG, vindt zijn grondslag in het feit dat niet enkel verplichte zorgverzekeraars zich op de uitzondering van onderdeel b van het derde lid kunnen beroepen (daarin is voorzien in de al bestaande referentie aan onderdeel h van artikel 9, tweede lid, van de AVG), maar dat ook andere typen verzekeraars een beroep kunnen doen op deze uitzondering. Te denken valt aan aanbieders van levensverzekeringen, herverzekeringen, ongevallenverzekeringen, overlijdensrisicoverzekeringen en schadeverzekeringen. De36 mogelijkheid om in het nationale recht een uitzondering te maken op het verbod om persoonsgegevens over de gezondheid te verwerken, is voor deze laatste categorieën verzekeringen gebaseerd op de ruimte die de AVG daartoe biedt in artikel 9, tweede lid, onderdeel g. Derhalve wordt voorgesteld om, conform de gehanteerde systematiek in de UAVG, deze ruimte («gelet op») in de aanhef van dit artikellid expliciet te benoemen.
Onderdeel M (artikelen 30a en 30b)
In het belang van een goede hulpverlening zijn hulpverleners op grond van artikel 454 van boek 7 van het Burgerlijk Wetboek (hierna: BW) verplicht om een medisch dossier in te richten, bij te houden en te bewaren.37 De bewaarplicht geldt voor twintig jaar vanaf de laatste wijziging in het dossier. Met het bewaren van een medisch dossier wordt bijvoorbeeld kennis verkregen van eerdere ziekten, correlaties tussen eerder doorgemaakte ziekten of een ondergane behandeling en latere ziekte of behandeling. Zo blijken gegevens over een behandeling in de vroege jeugd vaak nuttig voor een goede hulpverlening op latere leeftijd.38
De hulpverlener die het dossier inricht, bijhoudt en bewaart, zorgt ook voor het beheer van het dossier. Dit betekent dat de hulpverlener ervoor zorgt dat een patiënt zijn rechten met betrekking tot zijn medisch dossier kan uitoefenen. Bij het uitoefenen van deze rechten kan een voorafgaand oordeel van de hulpverlener nodig zijn.39 Daarnaast zal bij de uitoefening van deze rechten ook vaak begeleiding van de hulpverlener nodig zijn. Bijvoorbeeld in het geval dat inzage wordt gevraagd, maar de medische informatie te complex is om te begrijpen zonder medische achtergrond. Het vellen van de vereiste oordelen en het geven van de noodzakelijke begeleiding zijn integraal onderdeel van het beheer van de dossiers.
De plicht voor de hulpverlener om een medisch dossier te bewaren is naar zijn aard en strekking niet gekoppeld aan het behoud van de status van hulpverlener. Dat betekent dat deze verplichting blijft gelden in geval van bijvoorbeeld faillissement, pensionering of overlijden van een hulpverlener. Het blijft dan ook de verantwoordelijkheid van de hulpverlener (die ook een rechtspersoon kan zijn40) om ervoor te zorgen dat de dossiers gedurende de voorgeschreven bewaartermijn worden bewaard en beheerd.
Wanneer de hulpverlener de dossiers niet zelf kan of wil bewaren en beheren (bijvoorbeeld in geval van pensionering), zal de hulpverlener moeten borgen dat deze taken worden overgedragen aan een (rechts)persoon op wie eveneens een geheimhoudingsplicht rust, zijnde een hulpverlener, instelling of voorziening voor gezondheidszorg of maatschappelijke dienstverlening (hierna: hulpverlener of hulpverlenende instelling). Soms is echter niet goed geregeld dat de verantwoordelijkheid voor het beheren en bewaren van het medisch dossier wordt overgenomen door een andere hulpverlener, en komen de dossiers in handen van bijvoorbeeld een curator (in geval van faillissement) of erfgenaam of een in het testament aangewezen executeur (in geval van overlijden). Er zal dan alsnog een andere hulpverlener of hulpverlenende instelling bereid gevonden moeten worden die deze taken op zich wil nemen. In geval van doorstart bij een faillissement is dat bijvoorbeeld de overnemende (rechts)persoon.
Recent is gebleken dat er onduidelijkheden bestaan over de vraag of het overdragen van medische dossiers door een hulpverlener of een ander dan een hulverlener (zoals een curator41, erfgenaam of in het testament genoemd executeur) aan een andere (rechts)persoon met het oog op de bewaarplicht en het bijbehorende beheer voldoet aan de eisen die de AVG en het medisch beroepsgeheim daaraan stelt. Met de voorgestelde artikelen 30a en 30b UAVG (nieuw) wordt beoogd deze onduidelijkheden weg te nemen.
Deze bepalingen zijn onder meer door inbreng van diverse partijen in de internetconsultatie meer generiek van aard geworden. Inbreng van partijen (met name van KNMG, die aangaf dat in de praktijk op dit moment bij overname niet vooraf toestemming aan patiënten wordt gevraagd, maar dat de patiënten worden geïnformeerd en bezwaar kunnen indienen) heeft er ook toe geleid dat het uitgangspunt van toestemming van de patiënt bij overdracht van medische dossiers in de hierboven toegelichte situatie is losgelaten. De overwegingen die hieraan ten grondslag liggen zijn, zijn de volgende. Het vooraf vragen om toestemming voor overdracht van dossiers met het oog op het bewaren en beheren van dossiers is vaak ondoenlijk (vaak gaat het om een behoorlijk volume aan verouderde dossiers) of bezwaarlijk (het kan gaan om situaties waarin het zeer vervelend zou zijn als medische gegevens per ongeluk bij derden terecht zouden komen). Patiënten hebben er echter een groot belang bij dat medische dossiers worden bewaard en beheerd. Zoals hierboven aangegeven, kunnen medische gegevens van belang zijn bij het verkrijgen van kennis van eerdere ziekten, correlaties tussen eerder doorgemaakte ziekten of een ondergane behandeling en latere ziekte of behandeling. In de huidige praktijk worden patiënten door hulpverleners geïnformeerd en gewezen op hun rechten wanneer dossiers worden overgedragen aan een opvolger, maar wordt niet vooraf expliciet om toestemming gevraagd. Niet is gebleken dat dit tot grote bezwaren leidt, omdat patiënten door deze informatie hun rechten kunnen uitoefenen. Dientengevolge is geconcludeerd dat onder voorwaarden zonder toestemming met het oog op het bewaren en beheren van dossiers mag worden overgedragen. De AP heeft advies uitgebracht op de versie die ook in internetconsultatie heeft voorgelegen. In die versie was geen uitzondering op het medisch beroepsgeheim opgenomen. De AP heeft geadviseerd om in het wetsvoorstel een doorbrekingsgrond voor het medisch beroepsgeheim op te nemen voor gevallen waarin toestemming niet op de gebruikelijke manier verkregen kan worden. Aan het advies van de AP is gehoor gegeven. Daarbij is wel relevant dat het uitgangspunt van (uitdrukkelijke) toestemming is losgelaten, onder andere naar aanleiding van de inbreng van de internetconsultatie. De overwegingen die hier aan ten grondslag hebben gelegen, zijn hierboven benoemd.
Gegevensbeschermingseffectbeoordeling
Gezien de aard van de voorgestelde bepalingen is in de fase van beleidsontwikkeling een gegevensbeschermingseffectbeoordeling uitgevoerd ten aanzien van de artikelen 30a en 30b. Met behulp hiervan is de noodzaak onderzocht van de voorgenomen verwerking van persoonsgegevens en zijn op gestructureerde wijze de gevolgen en risico’s van de maatregelen en het systeem voor gegevensbescherming in kaart gebracht. Hierbij is in het bijzonder aandacht besteed aan de beginselen van transparantie, gegevensminimalisering, doelbinding, het vereiste van een goede beveiliging en de rechten van de betrokkenen. Uit de gegevensbeschermingseffectbeoordeling volgt dat de voorgestelde bepalingen voor gegevensverwerking enkele risico’s met zich brengen voor de rechten van de betrokkenen. De kans dat deze risico’s zich voordoen worden echter gering geacht en bovendien zoveel mogelijk gemitigeerd. De belangrijkste risico’s zijn:
– het risico dat tegen de wil van de patiënt het medisch dossier wordt overgedragen. Dit risico wordt zoveel mogelijk gemitigeerd door in het wetsvoorstel te bepalen dat tijdig zo breed mogelijke kenbaarheid moet worden gegeven aan de overdracht. Dit kan bijvoorbeeld door berichtgeving middels verschillende kanalen (zoals door huisartsen in de omgeving van de hulpverlener van wie de verantwoordelijkheid voor het beheren en bewaren van het medisch dossier is overgenomen). Bij ministeriële regeling kunnen nadere regels worden gesteld om te borgen dat de patiënt tijdig weet van de overdracht en zijn rechten kan uitoefenen; en
– het risico dat er onvoldoende kennis is bij de derde die de bewaarplicht en het bijbehorende beheer overneemt, of dat het bewaren of beheren anders wordt uitgevoerd dan was beoogd. Dit risico is gering vanwege de bestaande wet- en regelgeving voor het bewaren en beheren van medische dossiers. Bovendien wordt het risico gemitigeerd doordat bij ministeriële regeling regels kunnen worden gesteld die borgen dat op een correcte manier uitvoering wordt gegeven aan de AVG en dat de persoonsgegevens voldoende beschermd worden.
Artikel 30a, eerste en vierde lid, artikel 30b, eerste lid, en artikel 30b, tweede lid, in samenhang met artikel 30, vierde lid en artikel 30a, vierde lid
Persoonsgegevens in medische dossiers zijn gegevens over de gezondheid en mogen slechts worden verwerkt indien daarvoor bij Unierecht of lidstaatrechtelijk recht een uitzondering is gemaakt42. In artikel 30, derde lid, UAVG wordt een uitzondering geregeld. In artikel 30a, eerste lid, wordt deze invulling uitgewerkt. Artikel 30b, eerste lid, betreft een invulling op deze uitzondering.
In de artikelen 30a, eerste lid, onder a, en 30b, eerste lid, wordt verduidelijkt, respectievelijk geregeld dat het verbod om gezondheidsgegevens te verwerken niet van toepassing is als het gaat om het overdragen van medische dossiers met het oog op de bewaarplicht en het bijbehorende beheer aan een andere hulpverlener of hulpverlenende instantie die deze taak op zich neemt. In artikel 30a, eerste lid, onder b, wordt verduidelijkt dat het verbod om gezondheidsgegevens te verwerken niet van toepassing is op de hulpverlener of hulpverlenende instantie die de medische dossiers met het oog op die bewaarplicht bewaart en beheert.
Deze bepalingen brengen concreet met zich dat de overdracht van medische dossiers en het bewaren en beheren daarvan met het oog op de bewaarplicht en het bijbehorende beheer zonder toestemming van de betrokkene is toegestaan. Op de personen die de dossiers overdragen of bewaren en beheren rust een geheimhoudingsplicht.43 Voor hulpverleners en hulpverlenende instellingen is dit geregeld in artikel 30, vierde lid, UAVG en voor anderen dan hulpverleners (zoals curatoren of erfgenamen) in artikel 30b, tweede lid, (nieuw). Schending van een geheimhoudingsplicht is strafbaar op grond van artikel 272 van het Wetboek van Strafrecht. Met de geheimhoudingsplicht wordt geborgd dat zorgvuldig met de medische gegevens wordt omgegaan. Artikel 9, derde lid, AVG stelt dit bovendien als eis om een uitzondering als bedoeld in artikel 9, tweede lid, onder h, te kunnen gebruiken.
De voorgestelde wettelijke uitzonderingen op het verbod om gezondheidsgegevens te verwerken zien op de overdracht en het bewaren en beheren van zowel gesloten dossiers (de geneeskundige behandeling is afgerond) als lopende dossiers (de geneeskundige behandeling is nog niet afgerond). In het geval van lopende dossiers gaan de dossiers naar de opvolgende hulpverlener of hulpverlenende instelling. Dit kan bijvoorbeeld een hulpverlener zijn die de praktijk na pensionering van de oorspronkelijke hulpverlener overneemt, de overnemende hulpverlenende instantie bij doorstart bij faillissement of de hulpverlener bij wie een individuele patiënt terechtkomt nadat bijvoorbeeld een hulpverlener overlijdt of een hulpverlenende instelling failliet gaat. Ook gesloten dossiers komen in beginsel terecht bij de opvolgende hulpverlener of hulpverlenende instantie. Het ligt immers voor de hand dat in geval van pensionering of in geval van doorstart bij faillissement de overnemende (rechts)persoon niet alleen de patiënten (en lopende dossiers) overneemt, maar ook de gesloten dossiers. Bij ontstentenis van een opvolgende hulpverlener of hulpverlenende instantie is het van belang dat een andere hulpverlener of hulpverlenende instantie wordt gevonden om deze afgesloten medische dossiers te bewaren en beheren. Dit was bijvoorbeeld het geval in de situatie die zich voortdeed bij de afwikkeling van het faillissement van het MC Slotervaart, waar het Universitair Medisch Centrum Utrecht bereid was de medisch dossiers over te nemen.
Om te borgen dat op een correcte manier uitvoering wordt gegeven aan de AVG en persoonsgegevens goed worden beschermd, kunnen bij ministeriële regeling nadere eisen worden gesteld. Gedacht kan worden aan het stellen van regels voor de werkprocessen over de methode van overdracht en over de werkprocessen omtrent de bewaarplicht en het bijbehorende beheer.
Voor het overdragen van bijzondere persoonsgegevens is niet alleen een uitzondering op het algemene verbod van artikel 9, eerste lid, AVG vereist, maar ook een grondslag in de zin van artikel 6 van de verordening.
Bij het overdragen van medische dossiers naar een andere (rechts)persoon met het oog op het bewaren en beheren van dossiers en het bewaren en beheren van die medische dossiers door een ander dan de oorspronkelijke hulpverlener is in ieder geval sprake van een grondslag als bedoeld in artikel 6, eerste lid, onder c, AVG. Immers, het bewaren van medische dossiers betreft een wettelijke plicht (artikel 454 van boek 7 van het BW).
Wat betreft de overdracht van dossiers bij faillissement heeft het gerechtshof Arnhem-Leeuwarden geoordeeld dat het in ieder geval tot de taak van de curator behoort om in eerste instantie medische dossiers te bewaren en zo nodig en mogelijk een ordelijke overdracht van deze dossiers aan een opvolgende hulpverlener te realiseren.44 Dit leidt ertoe dat bij overdracht van medische dossiers naar een andere (rechts)persoon in de hierboven omschreven situatie door curatoren ook sprake is van een grondslag als bedoeld in artikel 6, eerste lid, onder e, AVG, omdat verwerking noodzakelijk is voor de uitoefening van de taak van algemeen belang die de curator uitvoert op basis van de Faillissementswet.45 Volledigheidshalve wordt nog opgemerkt dat in de hierboven genoemde uitspraak het gerechtshof Arnhem-Leeuwarden vaststelt dat een curator geen recht op inzage in medische dossiers heeft.
In geval van overlijden van de hulpverlener geldt dat een erfgenaam die door het aanvaarden van de nalatenschap medische gegevens onder zich krijgt, zich zal kunnen baseren op de grondslag «gerechtvaardigd belang» als bedoeld in artikel 6, eerste lid, onderdeel f, AVG op het moment dat hij deze dossier overdraagt aan een opvolgende hulpverlener of hulpverlenende instantie op wie het medisch beroepsgeheim rust.
Artikel 30a, tweede, derde en vierde lid en artikel 30b, tweede lid, in samenhang met artikel 30a, derde en vierde lid
In artikel 30a, tweede lid, wordt een informatieplicht opgelegd aan hulpverleners die medische dossiers met het oog op het bewaren en beheren daarvan overdragen aan een andere hulpverlener of hulpverlenende instelling (zonder toestemming van de patiënt). Dit sluit aan bij de huidige praktijk en wordt geacht passend te zijn gezien de gevoeligheid van de gegevens.
Voor anderen dan de oorspronkelijke hulpverlener (zoals curatoren of erfgenamen) – die dossiers in handen krijgen omdat de verantwoordelijkheid voor het beheren en bewaren van het medisch dossier vooraf niet goed is geregeld – en voor de hulpverlener of hulpverlenende instelling die medische dossiers in plaats van de oorspronkelijke hulpverlener of hulpverlenende instantie gaat bewaren en beheren, geldt op grond van artikel 14 AVG ook een informatieplicht.
Soms is het informeren van individuele patiënten onmogelijk of vraagt dit onevenredig veel inspanning. Zoals in artikel 14, vijfde lid, onder b, AVG en artikel 30a, tweede lid, UAVG (nieuw) is geregeld, gelden dan de hierboven genoemde informatieplichten niet. Of er sprake is van een situatie waarin het onmogelijk is om te informeren onmogelijk of onevenredig veel inspanning vergt, is afhankelijk van de specifieke omstandigheden van het geval. In een geval waar sprake is van zes kilometer aan met name oudere dossiers, zoals in het geval van het MC Slotervaart, zal hier eerder sprake van zijn dan in een geval van overdracht van 20 recente dossiers, zoals het geval zou kunnen zijn bij bijvoorbeeld overlijden van een net gestarte hulpverlener.
Wanneer er sprake is van hele oude adresgegevens, waardoor de kans bestaat dat er medische gegevens naar een verkeerde adres gestuurd worden, kan het vanuit beschermings- en zorgplichtoptiek ook «onmogelijk» zijn om de betrokkene te informeren. Dit geldt temeer voor zeer gevoelige situaties zoals bij (voormalige) patiënten met een psychische aandoening, voor wie het zeer vervelend zou zijn als hun medische gegevens per ongeluk bij derden terecht zouden komen. Ook kan het vanuit beschermings- en zorgplichtoptiek «onmogelijk» zijn de betrokkenen te informeren als de situatie precair is. Gedacht kan worden aan de situatie dat een jongere een ingreep heeft gehad waarvan de jongere dit niet met zijn ouders wenst te delen, maar in de dossiers (nog) het adres van de ouders is opgenomen. In die situaties kan ook een beroep worden gedaan op onmogelijkheid of onevenredigheid.
Wanneer de patiënt niet direct geïnformeerd wordt, zal de (rechts)persoon die het doel en de middelen van de gegevensverwerking bepaalt passende maatregelen moeten nemen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen. Daarom is geregeld dat de overdracht van medische dossier breed bekend gemaakt moet worden. Bij deze brede bekendmaking moeten uiteraard algemene bewoordingen worden gebezigd, die niet herleidbaar zijn tot een bepaalde cliënt.
Bij ministeriële regeling kunnen nadere regels worden gesteld, bijvoorbeeld over de manier waarop de bekendmaking moet plaatsvinden, zoals door berichtgeving in lokale media of via huisartsen in de omgeving van de hulpverlener van wie de verantwoordelijkheid voor het beheren en bewaren van het medisch dossier is overgenomen.
Wanneer op grond van artikel 14, vijfde lid, onder b, AVG geen informatie aan de individuele patiënten wordt verstrekt, moeten passende maatregelen worden genomen. Het breed bekendmaken van de overdracht van dossiers is zo’n passende maatregel. Het betreft een maatregel die in ieder geval genomen moet worden; indien het in een bepaalde situatie noodzakelijk is, moeten nadere passende maatregelen genomen worden. Wanneer een beroep op artikel 14, vijfde lid, onder d, wordt gedaan moet het nemen van passende maatregelen gezien worden als een aanvullende voorwaarde.
Er zal vaak sprake zijn van en stapeling van informatieplichten of van passende maatregelen als niet aan de informatieplicht kan worden voldaan. Immers, deze plichten rusten op zowel de (rechts)persoon die overdraagt (hulpverlener of andere dan de hulpverlener zoals een curator of erfgenaam) als de ontvangende (rechts)persoon. Er kan gekozen worden gezamenlijk aan deze informatieplichten te voldoen, dus samen de betrokkenen informeren, of gezamenlijk passende maatregelen, zoals brede bekendmaking, te nemen. Dit zal vaak ook wenselijk zijn met het oog op duidelijke communicatie richting de betrokkenen.
Artikel 30a, vijfde lid, en artikel 30b, tweede lid, in samenhang met artikel 30a, vijfde lid
Bij het overdragen van medische dossiers is niet alleen de AVG van belang, maar ook de WGBO en de Wet op de beroepen in de individuele gezondheidszorg (hierna: Wet BIG). In artikel 457 van boek 7 van het BW, eerste volzin, is geregeld dat een hulpverlener aan anderen dan de patiënt geen inlichtingen over de patiënt dan wel inzage in of afschrift van de gegevens uit het dossier verstrekt dan met toestemming van de patiënt.
Artikel 88 van de Wet BIG bepaalt dat beoefenaren van gereguleerde beroepen een geheimhoudingsplicht hebben ten opzichte van wat hen bij het uitoefenen van hun beroep op het gebied van de individuele gezondheidszorg als geheim is toevertrouwd, of wat daarbij hen als geheim ter kennis is gekomen of waarvan zij het vertrouwelijke karakter moesten begrijpen.
Deze geheimhoudingsplichten (het medisch beroepsgeheim) richten zich tot de hulpverleners en beoefenaars van gereguleerde beroepen en gelden dus in beginsel niet voor niet-hulpverleners (zoals een curator, erfgenaam of executeur). Echter, ook niet-hulpverleners moeten overeenkomstig de bepalingen omtrent het medisch beroepsgeheim handelen, omdat het beroepsgeheim een algemeen alsook een individueel belang van de patiënt dient en daarmee in feite op een ieder rust die patiëntendossiers onder zich krijgt.
Voor curatoren volgt dit bovendien uit het feit dat een faillietverklaring er niet toe leidt dat bestaande wederkerige overeenkomsten zoals de geneeskundige behandelovereenkomst – waaruit de geheimhoudingsplicht voortvloeit – eindigen en ook geen wijziging van de daaruit voortvloeiende verbintenissen tot gevolg heeft. Dit brengt met zich dat de curator na de faillietverklaring de naleving van het beroepsgeheim moet waarborgen,46 en dat de curator onder het huidige recht in beginsel toestemming nodig heeft om het medisch beroepsgeheim te doorbreken voor de overdracht van het dossier aan een hulpverlener.
Voor erfgenamen geldt dat zij als rechtsopvolger onder algemene titel in de voetsporen van de erflater treden en daarmee in beginsel zijn gebonden aan de overeenkomsten die door de erflater zijn aangegaan en ook gehouden zijn aan deze overeenkomsten47. Ook het overlijden van een hulpverlener leidt er dus niet toe dat de wettelijke verplichtingen ten aanzien van de medische dossiers worden beëindigd. Dit brengt met zich dat de erfgenaam na het overlijden de naleving van het beroepsgeheim moet waarborgen, en dat de erfgenaam onder het huidige recht in beginsel toestemming nodig heeft om het medisch beroepsgeheim te doorbreken voor de overdracht van het dossier aan een hulpverlener. Dat erfgenamen gehouden zijn aan het medisch beroepsgeheim, volgt ook uit artikel 409 van boek 7 BW, waaruit volgt dat de erfgenamen van de hulpverlener, als zij kennis dragen van de erfopvolging en van de behandelingsovereenkomst, verplicht zijn al datgene te doen wat de omstandigheden in het belang van de patiënt eisen.
In de artikelen 30a, vijfde lid, en 30b, tweede lid, in samenhang met artikel 30a, vijfde lid, zijn doorbrekingsgronden voor het medisch beroepsgeheim opgenomen, die met zich brengen dat hulpverleners en anderen dan hulpverleners (zoals een curator, erfgenaam of executeur) zonder toestemming van de patiënt medische dossiers kunnen overdragen aan een andere hulpverlener of hulpverlenende instantie met het oog op de bewaarplicht en het bijbehorende beheer van medische dossiers. Het medisch beroepsgeheim is ontwikkeld ter bescherming van zowel het individu als de samenleving en garandeert de vrije toegang tot de zorg voor iedereen. Doorbreking mag dan ook niet lichtvaardig worden opgenomen. Er is gekozen om toch een doorbrekingsgrond op te nemen, om de al eerder omschreven redenen:
– Voorafgaande toestemming voor overdracht van dossiers met het oog op het bewaren en beheren van dossiers is vaak ondoenlijk (vaak zal het gaan om een groot aantal dossiers) of bezwaarlijk (het kan gaan om situaties waarin het zeer vervelend zou zijn als medische gegevens per ongeluk bij derden terecht zouden komen);
– Patiënten hebben er echter een groot belang bij dat medische dossiers worden bewaard en beheerd. Zoals hierboven aangegeven, kunnen medische gegevens van belang zijn bij het verkrijgen van kennis van eerdere ziekten, correlaties tussen eerder doorgemaakte ziekten of een ondergane behandeling en latere ziekte of behandeling;
– In de huidige praktijk worden patiënten door hulpverleners geïnformeerd en gewezen op hun rechten wanneer dossiers worden overgedragen aan een opvolger, maar wordt niet vooraf expliciet om toestemming gevraagd. Niet is gebleken dat dit tot grote bezwaren leidt, omdat patiënten door deze informatie hun rechten kunnen uitoefenen.
Dientengevolge is geconcludeerd dat onder voorwaarden zonder toestemming met het oog op het bewaren en beheren van dossiers mag worden overgedragen.
De absolute voorwaarde die geldt voor overdragen van medische dossiers met het oog op de bewaarplicht en het bijbehorende beheer zonder toestemming voor het doorbreken van het medisch beroepsgeheim, is dat op de personen die de dossiers overdragen of bewaren en beheren een geheimhoudingsplicht rust. Zoals hierboven reeds is toegelicht, is dit voor hulpverleners en hulpverlenende instellingen geregeld in artikel 30, vierde lid, UAVG en voor anderen dan hulpverleners in artikel 30b, tweede lid, in samenhang met artikel 30, vierde lid, UAVG. Bovendien geldt er een informatieplicht, of, als daar niet aan voldaan kan worden, een bekendmakingsplicht. Zoals hierboven reeds is toegelicht, is dit geregeld in artikel 30a, tweede en derde lid, en in artikel 30b, tweede lid, in samenhang met artikel 30a, tweede en derde lid, UAVG. Zo wordt geborgd dat uiterst voorzichtig wordt omgegaan met de medische gegevens.
Onderdeel N (artikel 32)
Eerste onderdeel
Artikel 10 AVG biedt ruimte aan de nationale wetgever regels te stellen over het verwerken van gegevens van strafrechtelijke aard. Nu gebruik wordt gemaakt van de mogelijkheid die de AVG aan de nationale wetgever biedt in artikel 32, wordt met de voorgestelde wijziging de gekozen wetssystematiek in de UAVG, waarin deze ruimte telkens expliciet wordt benoemd («gelet op»), consequent doorgevoerd.
Tweede onderdeel
Voor de toelichting bij de tweede voorgestelde aanpassing in artikel 32 wordt verwezen naar de toelichting op de wijziging van artikel 22 UAVG in onderdeel G van dit artikel.
Onderdeel O (artikel 33)
Eerste onderdeel
Voor de toelichting bij de voorgestelde aanpassing in de aanhef van artikel 33 UAVG wordt verwezen naar de toelichting bij het eerste onderdeel van onderdeel M van artikel I van onderhavig wetsvoorstel.
Tweede onderdeel
Voor de toelichting bij de voorgestelde aanpassing wordt verwezen naar de toelichting bij onderdeel I van artikel I van onderhavig wetsvoorstel.
Onderdeel P (opschrift)
Voorgesteld wordt om het opschrift van hoofdstuk 4 aan te passen vanwege het voorstel om met artikel 47a een delegatiegrondslag toe te voegen aan dit hoofdstuk.
Onderdeel Q (artikel 43)
Artikel 85, tweede lid, AVG verplicht lidstaten ertoe om uitzonderingen of afwijkingen van de belangrijkste materieelrechtelijke bepalingen van de AVG vast te stellen voor verwerking voor journalistieke doeleinden of ten behoeve van academische, artistieke of literaire uitdrukkingsvormen. Aan deze verplichting is met artikel 43 UAVG voldaan. Het eerste lid van dat artikel sluit de toepasselijkheid van de UAVG uit voor de verwerking van persoonsgegevens voor uitsluitend journalistieke doeleinden en ten behoeve van uitsluitend academische, artistieke of literaire uitdrukkingsvormen, met uitzondering van de artikelen 1 tot en met 4 en het eerste en tweede lid van artikel 5 UAVG.
Doordat bij amendement48 artikel 2a in de UAVG is ingevoegd, valt dit artikel onbedoeld onder de opsomming van het artikel 43, eerste lid, UAVG. Gelet op de inhoud van dit artikel, artikel 2a gaat over de inachtneming van de specifieke behoeften van kleine, middelgrote en micro-ondernemingen door de AP, behoort dit artikel logischerwijs echter niet van toepassing te zijn. Alle artikelen betreffende de AP zijn immers niet van toepassing op journalistieke doeleinden of academische, artistieke of literaire uitdrukkingsvormen. Dit blijkt uit het eerste lid van artikel 43, alsmede het tweede lid, onderdeel e, waar immers het gehele hoofdstuk in de AVG over de toezichthoudende autoriteit buiten toepassing wordt gelaten voor dit type verwerkingen. Artikel 2a UAVG dient dan ook niet van toepassing te zijn op dit specifieke type verwerkingen. Dit wordt bewerkstelligd door de nieuw voorgestelde opsomming in het eerste lid van artikel 43 UAVG.
Onderdeel R (artikel 45)
De vertegenwoordigers van het openbare en particuliere archiefwezen in Nederland hebben te kennen gegeven dat een onwenselijke situatie ontstaat door het beperken van de uitzonderingen, bedoeld in artikel 45, eerste lid, UAVG, tot uitsluitend archiefbescheiden als bedoeld in artikel 1, onderdeel c, van de Archiefwet 1995, die berusten in een archiefbewaarplaats als bedoeld in artikel 1, onderdeel f, van die wet. Dit betekent dat de uitzonderingen enkel van toepassing zijn op archiefbewaarplaatsen die zijn belast met de blijvende bewaring en beschikbaarstelling van naar hen overgebrachte overheidsinformatie van respectievelijk het Rijk, de provincies, de gemeenten en de waterschappen.
Er zijn in Nederland echter ook veel instellingen die geen archiefbewaarplaats zijn in de zin van de Archiefwet, maar die ook voor het publiek toegankelijke instellingen zijn en die archieven – onder meer afkomstig van particulieren en van private organisaties, van blijvende waarde voor het algemeen en historisch belang beheren. Deze archieven bevatten ook (bijzondere categorieën van) persoonsgegevens. Denk bijvoorbeeld aan instellingen die niet onder de Archiefwet vallen maar die wel archieven van historische en maatschappelijke betekenis beheren, bijvoorbeeld ten aanzien van sociale geschiedenis, kunstgeschiedenis, geschiedenis van de vrouwenemancipatie, kerkelijke geschiedenis, familiegeschiedenis of persgeschiedenis. Als voorbeelden gelden het Internationaal Instituut voor Sociale Geschiedenis, RKD Nederlands Instituut voor Kunstgeschiedenis, Atria Kennisinstituut voor Emancipatie en Vrouwengeschiedenis, het Katholiek Documentatiecentrum, het CBG Centrum voor Familiegeschiedenis en het Nederlands Instituut voor Beeld en Geluid. In het bijzonder gaat het om archieven en collecties als bedoeld in overweging 158 bij de AVG, die het politiek gedrag onder voormalige totalitaire regimes, genocide, misdaden tegen de menselijkheid, of oorlogsmisdaden als thema hebben. Voorbeelden daarvan zijn het NIOD, het Instituut voor oorlogs-, holocaust- en genocidestudies, Herinneringscentrum Kamp Westerbork en het Nationaal Monument Oranjehotel. Er zijn echter ook kleinere instellingen die archieven beheren voor het algemeen belang. Denk bijvoorbeeld aan familiestichtingen, kastelen en (kleinere) musea met archieven. De hiervoor genoemde en vele andere instellingen zouden door de beperkte reikwijdte van artikel 45, eerste lid, UAVG aan betrokkenen de rechten moeten verlenen, zoals vermeld in de artikelen 15, 16, 18, eerste lid, onderdeel a, en artikel 20 AVG. Dat kan ertoe leiden dat deze instellingen onder druk van ongerichte verzoeken van betrokkenen komen te staan of dat bij honorering van verzoeken tot rectificatie of vernietiging waardevolle gegevens verloren gaan. Daarom wordt voorgesteld in artikel 45 UAVG te bepalen dat – naast de archiefbewaarplaatsen in de zin van de Archiefwet – ook andere voor het publiek toegankelijke instellingen die archieven van blijvende waarde voor het algemeen en historisch belang beheren en die geen winstoogmerk hebben onder voornoemde uitzondering komen te vallen. Naar aanleiding van het advies van de AP is ter invulling van het criterium «algemeen belang» de reikwijdte beperkt tot instellingen die in hoofdzaak door de overheid worden bekostigd, of een bestuur hebben dat merendeels bestaat uit leden die door de overheid zijn aangewezen. Hierdoor is zeker dat er inderdaad sprake is van een algemeen belang. Dit sluit ook aan bij omschrijvingen van de (semi)overheid en publieke instellingen in andere EU wetgeving.49 De verwachting is dat hiermee de belangrijkste archiefcollecties, die vanwege het algemene belang steun krijgen van de overheid, onder de uitzondering vallen. De overweging 158 bij de AVG laat hier ook expliciet ruimte voor aan de lidstaten.
Onderdeel S (artikel 46)
Aanleiding voor het laten vervallen van het tweede lid, is dat het eerste en tweede lid van artikel 46 (oud) in hun onderlinge verhouding vragen bleken op te roepen. Met name rees telkens de vraag of een algemene maatregel van bestuur, waarin regels worden gesteld over het gebruik van het burgerservicenummer (bsn), een specifieke wettelijke grondslag behoeft, dan wel of de UAVG als zodanig die grondslag biedt. De UAVG maakt mogelijk dat beide typen grondslagen kunnen worden gehanteerd. De onduidelijkheid die dit creëert is, gelet op het primaat van de wetgever alsmede de zich ontwikkelende functie en (rechts)gevolgen van het bsn in het maatschappelijke verkeer – in samenhang met (elektronische) identificatie en toegang tot publieke diensten – niet langer wenselijk. Voorgesteld wordt daarom om de afweging inzake het gebruik van het bsn, met name waar het gaat om het toestaan van het verwerken en uitwisselen van bsn door private organisaties, te maken in een (domein)specifieke wet.
Artikel 46 (nieuw) maakt duidelijk dat voortaan regels over bsn-gebruik steeds een specifieke formeel wettelijke grondslag behoeven. Het artikel is daarmee beter in lijn met artikel 1, onderdeel d, punt 2, van de Wet algemene bepalingen burgerservicenummer, dat het gebruik van het bsn door andere dan overheidsorganen mogelijk maakt, voor zover deze werkzaamheden verrichten waarbij het gebruik van het bsn bij of krachtens wet is voorgeschreven. Wel kan bijvoorbeeld in een dergelijke formele wet worden bepaald, dat bij algemene maatregel van bestuur organisaties kunnen worden aangewezen die ter uitvoering van de desbetreffende wet het bsn verwerken. Vanzelfsprekend moet dit dragend gemotiveerd worden.
Voor de algemene maatregelen van bestuur die ten tijde van het tot stand komen van deze wet reeds waren gebaseerd op het tweede lid, zij verwezen naar het voorgestelde overgangsrechtelijke artikel 48b (zie onderdeel V van artikel I met bijbehorende toelichting).
In de gevallen waarin het noodzakelijk is om bsn te verwerken, bestaat de mogelijkheid om dit in sectorale wetgeving te regelen. Dit is passend gelet op het primaat van de wetgever alsmede de zich ontwikkelende functie en (rechts)gevolgen van het bsn in het maatschappelijke verkeer. De overige reacties vallen buiten het bereik van de verzamelwet.
Onderdeel T (artikel 47a)
Het komt met enige regelmaat voor dat een Minister een commissie of adviescollege tijdelijk instelt om bijvoorbeeld een bepaalde veronderstelde misstand uit het verleden te onderzoeken en dat deze commissie of dit adviescollege als onderdeel van de toegekende taak persoonsgegevens moet verwerken.50 Dit artikel stelt regels voor de verwerking van persoonsgegevens door dergelijke commissie of adviescolleges. Vanzelfsprekend dient ook een dergelijke commissie of adviescollege zich bij het verwerken van persoonsgegevens te houden aan de AVG. Zo moet de verwerking van persoonsgegevens gebaseerd zijn op een grondslag als bedoeld in artikel 6, eerste lid, AVG. Als het voor een commissie of adviescollege noodzakelijk is voor de uitvoering van de taak dat persoonsgegevens van derden worden verwerkt, bijvoorbeeld omdat de commissie onderzoek doet naar de gang van zaken bij overheidsoptreden jegens burgers en daarvoor de opgeslagen gegevens van de overheid over die burgers moet worden betrokken, is een duidelijke regeling van de gegevensverwerking noodzakelijk, zeker als het ook bijzondere categorieën van persoonsgegevens of persoonsgegevens van strafrechtelijke aard betreft.
Aangezien het instellen van een tijdelijke commissie of tijdelijk adviescollege vanwege het urgente maatschappelijke belang in veel gevallen niet zal kunnen wachten totdat er een grondslag is gecreëerd in een wet in formele zin en het ook niet in alle gevallen mogelijk zal zijn om de verwerking van de persoonsgegevens door de commissie op een andere grondslag te baseren, wordt hiervoor een regeling voorgesteld.
Deze regeling wordt beperkt tot tijdelijke commissies als bedoeld in artikel 1, onderdeel b, van de Wet vergoedingen adviescolleges en commissies of tijdelijke adviescolleges als bedoeld in de artikelen 5 en 6 van de Kaderwet adviescolleges, die bij koninklijk besluit, ministerieel besluit of ministeriële regeling worden ingesteld. In dat laatste geval gaat het om de situatie bedoeld in artikel 6 van de Kaderwet adviescolleges, waarin is bepaald dat een adviescollege voor de eenmalige advisering over een bepaald vraagstuk bij koninklijk besluit of bij ministeriële regeling kan worden ingesteld.
Bij tijdelijke of eenmalige commissies of adviescolleges zal aan het spoedeisende karakter van de regeling of aan het eenmalige van de onderzoeksopdracht in de toelichting bij de instellingsregeling aandacht moeten worden besteed. Dit is een invulling van de reeds bestaande motiveringsplicht bij colleges en commissies.51 De toelichting zal dragend moeten motiveren dat een regulier wetstraject niet kan worden afgewacht en tevens wanneer de het onderzoek of het advies afgerond zal zijn.
Adviescolleges als bedoeld in artikel 4 van de Kaderwet adviescolleges, die bij wet worden ingesteld, vallen niet onder de reikwijdte van het voorgestelde artikel. De verwerking van persoonsgegevens dient in die gevallen in de wet waarbij een adviescollege wordt ingesteld geregeld te worden. Commissies bedoeld in artikel 1, aanhef en onder b, van de Wet vergoedingen adviescolleges die permanent worden ingesteld vallen eveneens niet onder deze voorgestelde regeling. Deze commissies kunnen ook bij of krachtens en wet in formele zin worden ingesteld en in geval van een permanente commissie verdient dat de voorkeur en dient in die regeling ook de verwerking van persoonsgegevens geregeld te worden. Dit is vooral van belang als een dergelijke permanente commissie bijzondere categorieën van persoonsgegevens of persoonsgegevens van strafrechtelijke aard gaat verwerken. Een permanente commissie die deze persoonsgegevens niet verwerkt, met een taak van algemeen belang, zal op grond van artikel 6, eerste lid van de AVG doorgaans een grondslag voor de verwerking van persoonsgegevens hebben. Het is dan wel aan te bevelen bij de instelling van een dergelijke permanente commissie aan te geven wie de verwerkingsverantwoordelijke is en een maximale bewaartermijn op te nemen.
De AVG kent een zogenaamd «materieel wetgevingsbegrip», hetgeen wil zeggen dat de rechtsgrond als bedoeld in artikel 6, eerste lid onder c en e, van de AVG moet worden vastgesteld bij lidstaatrechtelijk recht. In Nederland kan op grond van artikel 10 van de Grondwet slechtsbij of krachtens de wet in formele zin inbreuk worden gemaakt op het recht op de persoonlijk levenssfeer. Hierbij is dus wel de mogelijkheid tot delegatie opengelaten. In het voorgestelde artikel wordt van deze delegatiemogelijkheid gebruik gemaakt. Eerste lid
Eerste lid
In het eerste lid is omschreven om welke commissies en adviescolleges het gaat en dat persoonsgegevens mogen worden verwerkt door deze tijdelijke adviescolleges en commissies indien aan een aantal voorwaarden is voldaan. De taak van algemeen belang die uitgevoerd wordt en het doel van verwerking van persoonsgegevens moeten in die instellingsregeling worden opgenomen op een wijze die voldoet aan de eisen die de AVG daaraan stelt. Zo moet het doel welbepaald en uitdrukkelijk omschreven zijn. In deze instellingsregeling moet ook worden bepaald wie de verwerkingsverantwoordelijke is. Het kan zijn dat dat de Minister is onder wie het adviescollege of de commissie ressorteert, maar het kan ook zo zijn dat de commissie of het adviescollege zelf verwerkingsverantwoordelijk is voor doel en middelen van de verwerking van persoonsgegevens. Om onduidelijkheid over de verwerkingsverantwoordelijkheid te voorkomen, wordt voorgeschreven dat deze aangewezen moet worden in de instellingsregeling. Dit kan het adviescollege of de commissie zelf zijn, maar kan bijvoorbeeld ook de Minister zijn die het adviescollege of de commissie instelt. Dit zal afhangen van de taak en gewenste onafhankelijkheid van de commissie of het adviescollege. Ook is bepaald dat er een maximale bewaartermijn moet worden aangegeven. Deze termijn zal vaak samenvallen met de duur van de instelling van de commissie of het adviescollege.
Tweede lid
Het tweede lid ziet op de verwerking van onder meer het burgerservicenummer, maar het kan ook gaan om andere identificerende nummers zoals het vreemdelingennummer. Omdat in dit artikellid wordt bepaald dat in het instellingsbesluit of de instellingsregeling kan worden bepaald of nummers die dienen ter identificatie kunnen worden verwerkt, is artikel 46 van deze wet niet van toepassing. Dit artikellid moet als een zelfstandige toepassing van artikel 87 van de AVG gezien worden.
Afhankelijk van de taak van de tijdelijke commissie of tijdelijk adviescollege kan het immers noodzakelijk zijn deze nummers mogen verwerken en daarom wordt hiervoor een voorziening getroffen. Dit in aanvulling op artikel 10 Wet algemene bepalingen burgerservicenummer, waarin is bepaald dat overheidsorganen voor hun taak het burgerservicenummer mogen verwerken. Het kan, zoals gezegd ook om andere nummers ter identificatie van een persoon gaan, zoals het vreemdelingennummer.
Op grond van artikel 87 AVG kunnen lidstaten de specifieke voorwaarden voor de verwerking van een nationaal identificatienummer nader vaststellen. Dit artikellid is daar een uitwerking van. Vereist is dat in de instellingsregeling of het instellingsbesluit wordt bepaald dat deze nummers kunnen worden verwerkt en dat er passende waarborgen zijn opgenomen voor de rechten en vrijheden van de betrokkene. Hierbij kan gedacht worden aan beveiligingsmaatregelen, autorisatie van medewerkers om toegang tot deze gegevens te krijgen of logging van de verwerkingen met betrekking tot deze gegevens.
Derde lid
Het derde lid ziet op de verwerking bijzondere categorieën van persoonsgegeven en persoonsgegevens van strafrechtelijke aard. In dit artikellid zijn voorwaarden en waarborgen opgenomen voor de verwerking van deze persoonsgegevens.
Bijzondere en strafrechtelijke persoonsgegevens kunnen ten eerste enkel verwerkt worden, indien dit noodzakelijk is in het kader van een zwaarwegend algemeen belang dat in de instellingsregeling is opgenomen. Dit zwaarwegende algemene belang én de noodzaak voor verwerking van deze persoonsgegevens moet afdoende onderbouwd worden in de toelichting bij het besluit of de regeling. Ook dient bezien te worden of er noodzaak is een gegevensbeschermingseffectbeoordeling, zoals geformuleerd in artikel 35 AVG, uit te voeren.
Ook moet duidelijk zijn dat het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning vergt. Hiermee wordt aangesloten bij artikel 24 van deze wet, waarbij dit vereiste ook geldt voor de verwerking van bijzondere categorieën van persoonsgegevens voor het doen van wetenschappelijk of historisch onderzoek of statistische doeleinden. Vaak zal het vragen van toestemming niet mogelijk zijn, maar er dient wel onderzocht te worden of dat inderdaad niet tot de mogelijkheden behoort. Er kan ook gedacht worden aan het in algemene bewoordingen breed kenbaar maken van deze gegevensverwerking. In de toelichting bij de instellingsregeling dient hierop ingegaan te worden.
Er dienen tot slot in de instellingsregeling voldoende passende en specifieke waarborgen te zijn opgenomen ter bescherming van de grondrechten en fundamentele belangen van de betrokkene. Deze eis vloeit voort uit artikel 9, tweede lid, aanhef en onder g, van de AVG. Omdat de aard en onderwerpen en werkwijzen van de verschillende tijdelijke commissies en adviescolleges waarop dit artikel ziet, zo verschillend kunnen zijn, zal per commissie of adviescollege bezien moeten worden welke extra waarborgen nog noodzakelijk zijn. Die worden in de instellingsregeling opgenomen. Ook hierbij kan gedacht worden aan goede beveiligingsmaatregelen, het loggen van verwerkingen en het autoriseren van medewerkers. Ook het pseudonimiseren van persoonsgegevens is een hele goede beveiligingsmaatregel. Indien pseudonimisering mogelijk is, is het aan te bevelen om dit ook te doen. Vaak zal het ook niet nodig zijn voor de commissie om te weten om welke betrokkenen het precies gaat. Dit zal van de taak van de commissie afhangen.
Indien aan de eisen in het derde lid is voldaan, bestaat er een grondslag voor de verwerking van bijzondere persoonsgegevens of persoonsgegevens van strafrechtelijke aard.
Vierde lid
Een tijdelijke commissie of adviescollege zal verantwoording moeten afleggen over de uitgevoerde taken. Zeker in het geval er bijzondere of strafrechtelijke gegevens zijn verwerkt, is het van belang ook verantwoording af te leggen over de wijze van gegevensverwerking. Daarom is in dit artikellid een verplichting opgenomen hieraan aandacht te besteden in het eindverslag van de commissie of adviescollege. Een adviescollege is op grond van artikel 28 van de Wet adviescolleges verplicht om een verslag uit te brengen. Ook een commissie zal doorgaans verantwoording moeten afleggen over zijn werkzaamheden. In deze verantwoording zal dan ook aandacht moeten worden besteed aan de verwerking van bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard.
Vijfde lid
In het vijfde lid wordt de verplichting om de verwerking van gezondheidsgegevens alleen te laten plaatsvinden door personen die uit hoofde van ambt, beroep of wettelijk voorschrift, dan wel krachtens overeenkomst tot geheimhouding zijn verplicht, zoals de is verwoord in artikel 30, vierde lid van deze wet, van toepassing verklaard.
Zesde lid
Er is voor gekozen om aan te sluiten bij artikel 6, tweede lid, van de Kaderwet adviescolleges voor wat betreft de vormgeving van de parlementaire betrokkenheid. Omdat in de artikelen 5 en 6 van de Kaderwet adviescolleges al een voorziening is getroffen voor de tijdelijke adviescolleges, ziet dit artikellid slechts op commissies als bedoeld in het eerste lid. Ook geldt het vereiste de instellingsregeling onverwijld toe te zenden aan beide kamers der Staten-Generaal slechts indien er bijzondere categorieën van persoonsgegevens of strafrechtelijke persoonsgegevens worden verwerkt. Bij de verwerking van deze gegevens is sprake van een grotere mate van inbreuk op de bescherming van de persoonlijke levenssfeer en dat rechtvaardigt deze vorm van parlementaire betrokkenheid.
Onderdeel U (artikel 48)
Per abuis is in artikel 48 het woord «is» te veel gebruikt. Met dit voorstel wordt deze redactionele fout hersteld.
Onderdeel V (artikel 48b)
Deze bepaling behelst eerbiedigende werking ter zake van de op basis van het tweede lid van artikel 46 UAVG (oud) vastgestelde algemene maatregelen van bestuur. Ingevolge onderdeel S van artikel I van het onderhavige wetsvoorstel wordt het tweede lid van artikel 46 geschrapt. Zie de toelichting bij dat artikel.
Het wordt onwenselijk geacht om de grondslag aan de ingevolge het tweede lid van artikel 46 UAVG (oud) reeds vastgestelde algemene maatregelen van bestuur te laten ontvallen. Daartoe is overgangsrecht nodig en dient deze bepaling. Concreet gaat het om het Besluit digitalisering burgerlijk procesrecht en bestuursprocesrecht, het Besluit Jeugdwet, het Besluit opleidingseisen en deskundigheidsgebied physician assistent, het Besluit tegemoetkoming specifieke zorgkosten en het tijdelijk Besluit nummergebruik overheidstoegangsvoorziening. Bij gelegenheid van toekomstige regulering van de onderwerpen in deze algemene maatregelen van bestuur, zal bezien worden of verankering in een nieuwe specifieke wettelijke grondslag in de rede ligt.
ARTIKEL II. Faillissementswet
Onderdeel A (artikel 68a)
In de Faillissementswet (Fw) zijn de insolventieprocedures faillissement, surseance van betaling en de schuldsaneringsregeling natuurlijke personen (Wsnp) geregeld. Op grond van artikel 68 Fw is in faillissement de curator belast met het beheer en de vereffening van de failliete boedel. Artikel 215 Fw bepaalt voor de surseance dat de bewindvoerder is belast om samen met de schuldenaar het beheer te voeren over diens zaken. Daarnaast is de Wsnp-bewindvoerder op grond van artikel 316 Fw belast met het toezicht op de naleving door de schuldenaar van diens verplichtingen die uit de Wsnp voortvloeien en met het beheer en de vereffening van de boedel. Het gaat hierbij om een taak van algemeen belang. De achterliggende gedachte is namelijk dat de curator en bewindvoerder zorgen voor een ordentelijk verloop van het maatschappelijk verkeer in de situatie waarin een schuldenaar niet langer in staat is om aan zijn financiële verplichtingen te voldoen. Door een duidelijke en voorspelbare wettelijke procedure te bieden waarbij de curator respectievelijk bewindvoerder namens de gezamenlijke schuldeisers is belast met het beheer en de vereffening van de boedel, onder toezicht van de rechter-commissaris, weten de failliet, schuldeisers en derden waar zij aan toe zijn. De Fw en de te onderscheiden procedures van faillissement, surseance en schuldsanering bieden daarmee ook rechtszekerheid en rechtsbescherming. Bij het beheer en de vereffening van de boedel handelt de curator in het belang van de gezamenlijke schuldeisers – en probeert de curator voor hen een zo hoog mogelijke opbrengst te genereren. Daarbij moet de curator ook rekening houden met andere maatschappelijke belangen, zoals de continuïteit van de onderneming en het behoud van werkgelegenheid. Die belangen mag hij onder omstandigheden ook laten prevaleren boven het belang van een individuele schuldeiser52.
De curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder verwerken bij de uitoefening van deze wettelijke taken vaak persoonsgegevens.53 Denk aan persoonsgegevens betreffende: de persoon van de failliet of als de failliet een vennootschap is, de bestuurders; de werknemers van het bedrijf dat door de failliet werd gedreven; klanten van dat bedrijf en de bij het faillissement betrokken schuldeisers. Op deze verwerking is de AVG van toepassing. Verwerking van persoonsgegevens is rechtmatig indien dit op een van de in artikel 6, eerste lid, AVG opgenoemde grondslagen is gebaseerd. De verwerking van persoonsgegevens in het kader van de wettelijke taakuitoefening van de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder geschiedt – zoals in het onderhavige wetsvoorstel wordt voorgesteld – op grond van artikel 6, eerste lid, onderdeel e, en derde lid, AVG in het kader van de vervulling van een taak van algemeen belang zoals vastgelegd in de wet. Om de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder behulpzaam te zijn bij het bepalen van welke gegevensverwerkingen in het kader van de vervulling van hun taak zijn toegestaan, is een lijst opgenomen met specifieke handelingen en gegevensverwerkingen. Dit sluit niet uit dat in voorkomende gevallen er ook andere gronden kunnen zijn, zoals artikel 6, eerste lid, onderdeel c (wettelijke verplichting) of onderdeel f (gerechtvaardigde belangen), op basis waarvan gegevensverwerkingen zijn toegestaan.
De curator is gedurende het faillissement verwerkingsverantwoordelijke. Hetzelfde geldt voor de bewindvoerder gedurende de surseance van betaling indien die zelfstandig persoonsgegevens verwerkt en voor de Wsnp-bewindvoerder gedurende een Wsnp-traject. Op de curator en de bewindvoerder(s) rusten zodoende onder andere de plichten om te zorgen voor passende beveiliging van de persoonsgegevens en deze persoonsgegevens in voorkomende gevallen te bewaren.54 AVG
Voor de verwerking van bijzondere categorieën van persoonsgegevens of persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten en het burgerservicenummer (bsn) gelden bijzondere voorwaarden. Waar nodig is daar in het onderhavige wetsvoorstel in voorzien. Verder gelden twee belangrijke uitgangspunten: persoonsgegevens moeten voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld, en mogen door de verwerkingsverantwoordelijke vervolgens niet op een met het verzameldoel onverenigbare wijze verder worden verwerkt («doelbindingsbeginsel»).
Deze verplichtingen volgen uit de AVG en worden niet gewijzigd.55 De AP houdt toezicht op de naleving van deze verplichtingen.
Zoals hiervoor aangegeven, heeft de curator in faillissement vaak te maken met (verwerking van) persoonsgegevens en vindt deze plaats op basis van de gegeven wettelijke taakomschrijving. In de loop der jaren is de taak van de curator uitgebreid en veranderd, door maatschappelijke ontwikkelingen en ontwikkelingen in de jurisprudentie. Waar bij de invoering van de Fw de nadruk bij het faillissement lag op de onmiddellijke opheffing van een eventuele onderneming en verkoop van alle activa, is deze nadruk in de loop der tijd verschoven naar – waar mogelijk – het in stand houden en verkopen van de onderneming om daarmee zoveel mogelijk waarde en bijvoorbeeld ook werkgelegenheid te kunnen behouden. Dat maakt dat de letterlijke tekst van de Fw niet meer altijd aansluit bij de daadwerkelijke taak van de curator. Dit zorgt in een aantal gevallen voor onduidelijkheid. Daar is ook in de literatuur en vanuit de praktijk op gewezen. Ook in de consultatie werd in het algemeen de wenselijkheid van het voorzien van een wettelijke grondslag in de Fw onderschreven. De voorliggende nieuwe bepaling (artikel 68a Fw) beoogt daar nu helderheid in te brengen. Bij het opstellen van de bepaling is telkens de vraag gesteld: op welke wijze oefent de curator zijn taak uit, sluit deze taakuitoefening nog steeds aan bij de tekst van de wet of is er een nadere specificering nodig en welke persoonsgegevens verwerkt de curator bij deze taakuitoefening? Het voorgaande geldt uiteraard ook voor de bepalingen betreffende de taakuitoefening door de bewindvoerder in surseance en de Wsnp-bewindvoerder. Recent is de Wet homologatie onderhands akkoord ingevoerd, waarin onder meer ook twee nieuwe insolventiefunctionarissen zijn geïntroduceerd: de herstructureringsdeskundige en de observator. In de artikelen 371, 376 en 380 Fw is een voldoende nauwkeurige taakomschrijving opgenomen voor de herstructureringsdeskundige respectievelijk de observator. Voor zover dit nodig is in het kader van die taakuitoefening kunnen de herstructureringsdeskundige en de observator op basis van artikel 6, eerste lid, onderdeel e, en derde lid, AVG ook persoonsgegevens verwerken. Het is niet nodig om dit nog verder te specificeren.
De wijzigingen die zijn voorgesteld in artikel III verduidelijken dat de curator en de bewindvoerders bij de uitoefening van hun wettelijke taken persoonsgegevens als bedoeld in de UAVG en AVG rechtmatig kunnen verwerken. Voor de curator geldt dat aan deze verduidelijking in de praktijk behoefte bestaat, mede omdat de wijze waarop de curator in de loop der jaren zijn taak uitoefent meeromvattend is geworden.56 Dit betekent dat de curator meer dan vroeger met verwerking van persoonsgegevens te maken heeft. Bovendien komt het de rechtszekerheid ten goede als in een specifieke grondslag is voorzien voor de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder.
Zoals gezegd, wordt wat betreft de grondslag voor verwerking van gegevens aangesloten bij artikel 6, eerste lid, onderdeel e, en derde lid, AVG. Hiertoe wordt een drietal artikelen in de Fw ingevoegd. Daarbij wordt eerst meer algemeen omschreven in het kader van welke wettelijke taak de curator, de bewindvoerder in surseance en de Wsnp-bewindvoerder bevoegd zijn om gegevens te verwerken en wordt de bevoegdheid tot gegevensverwerking vervolgens gekoppeld aan de specifieke wijze waarop deze taak wordt uitgeoefend. In voorkomende gevallen, moeten de curator en de bewindvoerder(s) ook nummers die ter identificatie dienen van personen, zoals het bsn kunnen verwerken of bijzondere categorieën persoonsgegevens of gegevens van strafrechtelijke aard.
Het voorgaande leidt tot het volgende systeem.
(1) Wanneer een curator of bewindvoerder zich in het kader van zijn taakuitoefening genoodzaakt ziet om gegevens te verwerken, stelt hij vast op grond van welke wettelijke bepaling in de Fw hij bevoegd is om deze gegevens te verwerken. Daarvoor kijkt de curator respectievelijk bewindvoerder allereerst of de voorgenomen handeling in de lijst van artikel 68a lid 2, respectievelijk artikel 215b lid 2 of artikel 316a lid 2 is opgenomen. Is dit het geval, dan kan hij de gegevensverwerking op deze bepaling baseren.
(2) Is de voorgenomen handeling niet expliciet opgenomen op de lijst, maar wel in de wet voldoende specifiek omschreven, dan kan de curator de gegevensverwerking zo nodig op het eerste lid baseren. Denk bijvoorbeeld aan de bekendmaking van het einde van het faillissement door homologatie van een akkoord, op grond van artikel 161 Fw. Het is bij een faillissement van een natuurlijk persoon nodig om diens naam te publiceren in de Staatscourant. Dat staat immers letterlijk in artikel 161 Fw. In dit geval is dit artikel voldoende specifiek om de gegevensverwerking op te baseren. Het is bovendien noodzakelijk om deze naam te publiceren, omdat anders schuldeisers niet op de hoogte zijn van het einde van het faillissement.
(3) Is de voorgenomen handeling niet opgenomen op de lijst en evenmin voldoende specifiek in de wet (of lagere regelgeving) omschreven, dan zal de curator op basis van de overige in de AVG genoemde gronden, zoals overeenkomst (artikel 6, eerste lid onder b, AVG), wettelijke verplichting (artikel 6 eerste lid onder c, AVG of gerechtvaardigd belang (artikel 6, eerste lid onder f, AVG), moeten beoordelen of de gegevensverwerking is toegestaan. Denk aan de situatie dat een curator ten behoeve van een gefailleerde natuurlijk persoon en de boedel een overeenkomst met een derde sluit, waarbij de levering op het thuisadres van de failliet plaatsvindt. Het adres – een persoonsgegeven – is dan nodig voor de uitvoering van de overeenkomst. Deze gegevensverwerking zou dan op artikel 6 eerste lid onder b, AVG gebaseerd kunnen worden.
Bij bijzondere persoonsgegevens, strafrechtelijke persoonsgegevens of een bsn geldt dat de verwerking gebaseerd moet worden op artikel 68a, derde lid, respectievelijk artikel 215b, derde lid en artikel 316a, derde lid Fw. Is dit niet mogelijk, dan is nog voorstelbaar dat artikel 22, tweede lid onder e of artikel 32, onder d UAVG, een grond voor verwerking biedt. In genoemde artikelen is geregeld dat bijzondere en strafrechtelijke gegevens mogen worden verwerkt voor instelling, uitoefening en onderbouwing van een rechtsvordering.
Onderdeel A (artikel 68a)
Eerste en tweede lid
In het eerste lid is de algemene bepaling gegeven dat de curator gegevens kan verwerken voor zover dit op grond van de wet noodzakelijk is voor het beheer en de vereffening van de boedel. Zoals hiervoor is aangegeven, wordt met «bij of krachtens de wet» gedoeld op de artikelen in de Fw (of lagere regelgeving) waarbij een taak aan de curator wordt toegekend of hem een verplichting of bevoegdheid wordt opgelegd respectievelijk toegekend.
Ter nadere verduidelijking is in het tweede lid een lijst opgenomen van feitelijke handelingen en rechtshandelingen die in ieder geval onder de taak tot het beheer en de vereffening van de faillissementsboedel worden verstaan en waarbij de curator dus persoonsgegevens mag verwerken. Het tweede lid betreft een lijst met specifieke handelingen en taken en omvat de mogelijkheid om ter aanvulling daarvan een aantal handelingen of taken bij of krachtens algemene maatregel van bestuur aan te wijzen. Daarbij is ervoor gekozen om de taken van de curator op te nemen die in de Fw worden benoemd, maar waarbij specifieke verwerkingen van persoonsgegevens aan de orde zijn die niet in alle gevallen direct uit de wet zijn af te leiden en waarbij daarom verduidelijking aangewezen is.
De postblokkade is in onderdeel a genoemd en geeft de curator de mogelijkheid om brieven te openen, zoals geregeld in de artikelen 14 en 99 Fw. Deze blokkade en de daarmee samenhangende verwerking van persoonsgegevens is nodig (zoals het openen en eventueel administreren van brieven) in het kader van de effectiviteit van het toezicht op de failliet en om de kans te verkleinen dat bijvoorbeeld rekeningen of betalingen buiten het zicht van de curator blijven.
Onderdeel b bevat het opzeggen van de arbeidsovereenkomst. In nagenoeg elk faillissement waarbij een onderneming betrokken is, vindt een dergelijke opzegging plaats kort na de faillietverklaring. De opzegging van de arbeidsovereenkomst is nodig om de onderneming uiteindelijk te vereffenen en aldus het faillissement behoorlijk af te wikkelen. Onder deze grond valt ook het verwerken van gegevens om daarmee de betrokken werknemers te informeren over de beëindiging van hun arbeidsovereenkomst en het UWV op de hoogte te stellen.Onderdeel c ziet op de fraudesignalerende rol van de curator en de vervolgstappen die hij – overeenkomstig artikel 68, tweede lid, Fw – zal moeten nemen als hij in het faillissement onregelmatigheden signaleert. Het is staande praktijk dat een curator in het kader van zijn algemene taak betreffende het beheer en de vereffening van de boedel, onderzoek doet naar de oorzaken van het faillissement. In dat verband beziet hij bijvoorbeeld of de administratie behoorlijk is bijgehouden en of de bestuurder in de aanloop van het faillissement zorgvuldig heeft gehandeld. Daarbij zal hij vaak ook te maken krijgen met gegevens betreffende anderen dan de failliet zelf, zoals familieleden van een gefailleerde natuurlijke persoon, schuldeisers en werknemers van de onderneming die door de failliet werd gedreven. Signaleert de curator onrechtmatigheden, dan dient hij de rechter-commissaris daarover te informeren. Zo nodig, bijvoorbeeld wanneer er sprake is van vermoedens van fraude, meldt de curator dit bij het Openbaar Ministerie. De verwerking van de genoemde gegevens is dan nodig om gevolg te kunnen geven aan de fraudesignalerende rol.
Onderdeel d ziet op de faillissementsverslagen die de curator ingevolge de artikelen 73a, 137 en 137d Fw opstelt, uitbrengt en ter griffie neerlegt gedurende het faillissement en na afloop van de verificatievergadering. Daarin geeft de curator een overzicht van zijn activiteiten in het kader van het beheer en vereffening van de boedel, zoals geïnde vorderingen, verrichte transacties en ingewonnen informatie. Het opstellen, ter griffie neerleggen en het openbaar maken van het verslag is nodig om schuldeisers en andere belanghebbenden inzicht te geven in de stand van zaken en de voortgang van het faillissement. Nadat het verslag ter griffie is gedeponeerd door tussenkomst van de griffier, is het verslag doorgaans via het centrale insolventieregister (CIR) te raadplegen. Daarnaast plaatst de curator in de praktijk ook vaak het verslag op een website. Het kan, afhankelijk van de omstandigheden, nodig zijn om in het verslag tot personen herleidbare gegevens op te nemen, bijvoorbeeld wanneer het gaat om de vermelding van de personen die bestuurder zijn bij een gefailleerde vennootschap. De schuldeisers hebben belang bij het antwoord op de vraag of de vennootschap in aanloop naar het faillissement behoorlijk is bestuurd en zo nee, of de curator een bestuurder aansprakelijk gaat stellen en of de verwachting is dat er hierdoor nog geld in de boedel zal vloeien. Ook kan relevant zijn voor schuldeisers en eventueel de aandeelhouders, welke (andere) schuldeisers en aandeelhouders vorderingen hebben. Op basis van deze informatie kunnen zij een inschatting maken van hun eigen positie. Ook kunnen zij dan eventueel contact hebben met die andere schuldeisers en aandeelhouders, bijvoorbeeld in het geval dat er een faillissementsakkoord is voorbereid. Om zijn positie ten aanzien van het akkoord te bepalen, kan het voor de schuldeiser relevant zijn om voorafgaand aan de stemming te weten hoe andere schuldeisers of aandeelhouders oordelen over het akkoord. Het is aan de curator om per zaak goed te bekijken of het nodig is persoonsgegevens in een openbaar verslag op te nemen en zo ja, welke persoonsgegevens in het verslag moeten worden opgenomen.
Naast het opnemen van een verslag in het CIR door de griffier, publiceert de curator vaak nog een faillissementsverslag op zijn website. Dat is ook mogelijk en kan een laagdrempelige manier zijn om schuldeisers over het faillissement te informeren. Een beperking zit in de duur waarop het verslag openbaar kan zijn: deze periode moet redelijk zijn. Daaronder wordt in ieder geval begrepen de periode waarin het faillissement loopt. Daarmee is voldoende duidelijk dat de wet een grondslag biedt voor publicatie van een verslag dat voldoende inzicht geeft over de aard, omvang en afwikkeling van het faillissement. Ook in de literatuur is voor een dergelijke grondslag gepleit.57 Er wordt geen absolute termijn opgenomen, om de regeling voldoende flexibel te houden en recht te doen aan de omstandigheden van het geval. Hierbij geldt dat de curator vanzelfsprekend niet verantwoordelijk kan worden gehouden voor het gebruik van verslagen door derden die dergelijke verslagen – onverhoopt – nog beschikbaar houden, ook als dat langer blijkt dan de hiervoor genoemde redelijke periode.
Onderdeel e ziet op de verplichting van de curator om de schuldeiserscommissie informatie te verstrekken en de mogelijkheid (of in een aantal gevallen eveneens de verplichting) om de schuldeiserscommissie advies te vragen (artikelen 76 en 77 Fw). Deze inlichtingen heeft de schuldeiserscommissie nodig om haar taak van advies aan en toezicht op de curator te kunnen vervullen. Denk daarbij aan het verplichte advies dat de curator moet inwinnen als hij het bedrijf van de failliet na de faillietverklaring nog even wil voortzetten. Bij een dergelijke adviesaanvraag, zal de curator de commissie ook bepaalde inlichtingen moeten verstrekken. Het kan nodig zijn om hierbij persoonsgegevens te verstrekken, bijvoorbeeld de namen van de bestuurders van de onderneming of de namen van bepaalde schuldeisers. Deze verstrekking is nodig om de schuldeiserscommissie, die de belangen van schuldeisers behartigt, te informeren en in staat te stellen een advies uit de brengen. Voor de volledigheid wordt nog opgemerkt dat de grond voor gegevensverwerking door de schuldeiserscommissie zelf voldoende volgt uit de in artikel 74 Fw opgenomen taakomschrijving, om de curator van advies te dienen, alsmede de onder andere in artikel 76 Fw genoemde bevoegdheden om die taak uit te oefenen.
In onderdeel f is gegevensverwerking in het kader van bewaring van de bescheiden, en andere gegevensdragers en overige in artikel 92 Fw genoemde stukken geregeld. De curator moet na de faillietverklaring het beheer over de boedel overnemen van de failliet. Onderdeel hiervan is het bewaren van stukken en gegevensdragers van de failliet, bijvoorbeeld de bedrijfsadministratie en klantenbestanden. Dit is nodig om bijvoorbeeld op een later moment onderzoek te kunnen doen naar de oorzaken van het faillissement of om bepaalde vorderingen van schuldeisers te kunnen controleren. Wanneer het faillissement is afgewikkeld, kunnen de bescheiden terug naar de failliet dan wel de voormalige bestuurders van de failliet.
Onderdeel g ziet op het opmaken en ter griffie neerleggen van de boedelbeschrijving en de staat van baten en lasten. Op grond van de artikelen 94, 96 en 97 Fw is de curator gehouden de boedelbeschrijving, vorderingen en schulden te beschrijven. Denkbaar is dat hierin persoonsgegevens zijn opgenomen, zoals de naam van een natuurlijk persoon die schuldeiser of schuldenaar is van de failliet. Deze verwerking is nodig om uiteindelijk de boedel goed in kaart te brengen, met het oog op de verdere afwikkeling en vereffening.
Onderdeel h ziet op de situatie dat het bedrijf van de failliet tijdens het faillissement wordt voortgezet. Dat kan in voorkomende gevallen in het belang zijn van de boedel, bijvoorbeeld omdat in de tussentijd met potentiële kopers van de onderneming wordt gesproken. Wanneer de onderneming als geheel wordt verkocht, levert dit vaak meer op voor de schuldeisers. Ook is denkbaar dat het loont om nog enkele weken verder te gaan, omdat de voorraad dan nog kan worden gebruikt om producten te maken die vervolgens weer kunnen worden verkocht. Dit is aangewezen als dit uiteindelijk meer oplevert dan de losse verkoop van de ruwe materialen. Ook dit is in het belang van de boedel. Deze grond van verwerking ziet op alle verwerkingen binnen de bedrijfsvoering. Daarbij is het mogelijk dat bestaande activiteiten van het bedrijf, bijvoorbeeld verkoop van consumentengoederen, worden voortgezet. Bij het verwerken van orders en het uitleveren hiervan zullen persoonsgegevens worden verwerkt. Dit is in het kader van onderdeel h toegestaan.
Onderdeel i noemt de vervreemding van goederen aan derden, bedoeld in artikel 101 Fw en de (voorbereidingen voor) de verkoop van (onderdelen van) het bedrijf van de gefailleerde. Het gaat hier om de verkoop van goederen uit de inboedel. Goederen omvatten zaken en vermogensrechten. Hiervoor is in voorkomende gevallen verwerking van gegevens nodig, zoals de gegevens van de kopende partij.
De losse verkoop van een gegevensdrager met klantenbestanden zal niet onder dit onderdeel vallen. Voor deze overdracht is een aparte grond nodig, zoals toestemming. Er is namelijk sprake van verdere verwerking voor een ander, niet-verenigbaar doel, waarvoor de gegevens oorspronkelijk waren verzameld.58 Denk aan het geval dat een elektronicazaak failliet gaat en een derde partij, ook een elektronicazaak, de dienstverlening in het kader van garantieverlening wil overnemen om daarmee nieuwe klanten te werven. In dit geval zou de curator klanten kunnen benaderen om te vragen toestemming te verlenen hun gegevens aan de derde partij te verstrekken. Deze toestemming moet voldoen aan de eisen van de AVG. Zo moet de toestemming vrijelijk en uitdrukkelijk worden gegeven en moet de toestemming ook kunnen worden ingetrokken (vgl. artikel 7 AVG).
Onderdeel i verduidelijkt tevens dat ook de overdracht van het bedrijf aan derden hieronder is begrepen, met inbegrip van alle voorbereidingshandelingen. Bij deze overdracht kunnen bijvoorbeeld ook klantenbestanden worden overgedragen, die nodig zijn om de dienstverlening van het bedrijf te kunnen voortzetten. Hieronder valt ook het tevoren laten inzien van deze gegevens aan een potentiële koper. Dat is mede naar aanleiding van een aantal consultatiereacties verduidelijkt in de bepaling. Verwerking kan voor de ontvangende partij – de koper – doorgaans op artikel 6, eerste lid, onderdeel b, AVG worden gebaseerd. Hij verkrijgt de gegevens immers krachtens overeenkomst met de curator. Deze verstrekking van gegevens aan de koper is ook in het belang van de klant van het failliete bedrijf en vanzelfsprekend voor diens werknemers. Voor de verstrekkende partij, de curator, is het gerechtvaardigd dat deze gegevens mogen worden verwerkt, om een zo hoog mogelijke opbrengst in faillissement te bereiken en de schade voortvloeiend uit faillissement te beperken. Het kan ook in het belang van de werkgelegenheid zijn als een onderneming wordt overgenomen en kan worden voortgezet. De gegevens van de klant gaan vaak via contractsovername over op de andere partij, maar ook overdracht aan de andere partij op andere wijze is mogelijk. De klant wordt hierover geïnformeerd en krijgt vaak de keuze om akkoord te gaan of bezwaar te maken.59
Het voorbereiden en vorderen van een bestuursverbod bij de rechter is in onderdeel j genoemd. Artikel 106a Fw regelt de bevoegdheid voor de curator om onder omstandigheden een bestuursverbod te vorderen. Het gaat op basis van artikel 106a, eerste lid, Fw om gevallen waarin de betrokken bestuurder aansprakelijk is gesteld voor schade ontstaan door zijn handelen bij de rechtspersoon (onderdeel a), zich schuldig heeft gemaakt aan schuldeisersbenadeling (onderdeel b), ernstige tekort is geschoten in verplichtingen richting curator (onderdeel c), in korte tijd betrokken is geweest bij meerdere faillissementen en hem daarbij een persoonlijk verwijt kan worden gemaakt (onderdeel d) of zich schuldig heeft gemaakt aan fiscale vergrijpen als bedoeld in de artikelen 67d–67f Fw. Verwerking van persoonsgegevens is nodig om het bestuursverbod bij de rechtbank te kunnen vorderen. Doel is het tegengaan van aperte onregelmatigheden in of rondom een faillissement, zoals ernstige tegenwerking van de curator, faillissementsrecidive en de benadeling van crediteuren voorafgaand aan een faillissement. Dat zijn algemene belangen die met het vorderen van een bestuursverbod worden behartigd. Ook in dit verband is het de curator toegestaan om persoonsgegevens te verwerken, als dat nodig is.
Onderdeel van de faillissementsprocedure betreft het indienen van schuldvorderingen en het opmaken van de lijst van vorderingen. Onderdeel k noemt dit. Op basis van de lijst van vorderingen kan namelijk de opbrengst in faillissement worden verdeeld. Deze lijst wordt ter griffie bij de rechtbank gedeponeerd. Zo nodig kan deze lijst door de curator ook worden openbaar gemaakt, om transparant te maken welke schuldeiser waar recht op heeft. Vaak zullen schuldeiseres rechtspersonen zijn, maar dat is zeker niet altijd het geval. De wet biedt voorts de mogelijkheid voor schuldeisers om zich uit te spreken over vorderingen van anderen, bijvoorbeeld door deze te betwisten (zie artikel 119 Fw). De lijsten kunnen persoonsgegevens omvatten. Om schuldeisers in de gelegenheid te stellen dit recht daadwerkelijk uit te oefenen, is het nodig dat lijsten met vorderingen worden neergelegd ter griffie of in het CIR worden opgenomen.
Onderdeel l ziet op het onderzoeken van ingediende schuldvorderingen door de curator. Ten behoeve van dit onderzoek toetst de curator de ingezonden rekeningen aan de administratie en opgaven van de failliet. Als de curator bezwaar heeft tegen de toelating van een vordering, bijvoorbeeld omdat deze onduidelijk of onvolledig is, overlegt hij daarover met de schuldeiser. In dat kader kan de curator van de schuldeiser overlegging van ontbrekende stukken vorderen en de administratie en oorspronkelijke bewijsstukken van de schuldeiser inzien. De curator moet dit onderzoek naar de deugdelijkheid van ingediende vorderingen goed kunnen uitvoeren. Daartoe is nodig dat de curator persoonsgegevens kan verwerken die voorkomen in de administratie en opgaven van de failliet en de administratie en andere stukken van de schuldeiser. Op deze manier kan de curator op een daadwerkelijk de aard, het bedrag en eventueel de verbonden voorrang van een vordering vaststellen en uiteindelijk de lijst van vorderingen opstellen.
Onderdeel m regelt het volgende. Het komt vaak voor dat het vermogen van een gefailleerd bedrijf of een gefailleerde natuurlijk persoon te weinig boedelactiva omvat om alle (concurrente) schuldeisers te voldoen. In dat geval vindt een vereenvoudigde afwikkeling plaats van het faillissement overeenkomstig de artikelen 137a Fw en verder. Er is dan geen verificatievergadering (artikel 137a, eerste lid, Fw). In plaats hiervan inventariseert de curator de vorderingen die bevoorrecht zijn of door pand of hypotheek worden gedekt (artikel 137b Fw) en maakt hij te gelde wat er nog in de boedel zit (artikel 137c Fw). Hierover wordt een uitdelingslijst en een verslag van de stand van de boedel opgesteld. Deze uitdelingslijst en het verslag over de toestand van de boedel wordt ter griffie neergelegd. In bepaalde gevallen wordt deze uitdelingslijst ook openbaar, door bijvoorbeeld publicatie op een website. Verwerking van persoonsgegevens is hier nodig om schuldeisers inzicht te geven in hoe de boedel (vereenvoudigd) is afgewikkeld. Ook hier zal in voorkomende gevallen openbaarmaking door neerlegging ter griffie of opname in het CIR aan de orde kunnen zijn. Dit is voor schuldeisers bijvoorbeeld nodig om te beoordelen of en zo ja wanneer zij uitkering op hun vordering kunnen verwachten. Concreet zouden op de lijst de namen van schuldeisers genoemd kunnen worden.
In onderdeel n is geregeld dat de verwerking van persoonsgegevens nodig is in het kader van de advisering en informatievoorziening omtrent het faillissementsakkoord. Dit akkoord kan de schuldenaar voorstellen om een faillissement te beëindigen. Schuldeisers nemen dan genoegen met een bepaald percentage van hun vordering. De curator geeft advies over dit voorstel. Voorts wordt het akkoord neergelegd ter griffie of opgenomen in het CIR. Daarbij kunnen bijvoorbeeld namen worden opgenomen, om de schuldeisers te identificeren. Deze verwerkingen zijn nodig om schuldeisers goed te kunnen informeren. In voorkomende gevallen kan dit ook openbaar worden gemaakt, bijvoorbeeld door publicatie op een website.
In aanvulling op bovenstaande lijst is in onderdeel o een grondslag opgenomen om bij of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in het kader waarvan de curator gegevens kan verwerken.
Derde lid
De curator heeft in de praktijk regelmatig te maken met bijzondere categorieën van persoonsgegevens of gegevens van strafrechtelijke aard en nummers die dienen ter identificatie van personen, zoals het bsn. Volgens artikel 46 UAVG mogen deze gegevens en nummers slechts gebruikt worden ter uitvoering van een wet, dan wel, bij wet bepaalde doeleinden. Niet in alle gevallen die in het vorige lid zijn opgenomen is het verwerken van bovenstaande categorieën van persoonsgegevens nodig. Zo zou het opnemen hiervan in het faillissementsverslag dat in het CIR terecht komt, geen redelijk doel dienen. Bovendien is verwerking van deze persoonsgegevens op grond van artikel 9 AVG alleen toegestaan als sprake is van een zwaarwegend algemeen belang. Er moet dan sprake zijn van meer specifieke belangen die, gelet op de mogelijke maatschappelijke gevolgen als daarmee geen rekening wordt gehouden, dermate zwaarwegend zijn dat gegevensverwerking op basis van artikel 9 AVG is toegestaan. Dat gaat in beginsel verder dan dat een bepaalde gegevensverwerking in het belang is van de gezamenlijke schuldeisers. Het moet gaan om verwerkingen zonder welke het faillissement niet kan worden afgewikkeld of er ernstig nadeel optreedt voor de gezamenlijke schuldeisers. Het kan bijvoorbeeld gaan om verwerking van gegevens betreffende de administratie of het inventariseren van de schulden. Zonder deze handelingen kan geen compleet overzicht worden opgesteld van de uitstaande schulden en vorderingen en kan het faillissement niet naar behoren worden afgewikkeld. Het kan ook gaan om zwaarwegende belangen zoals het kunnen behouden van een aanzienlijke omvang werkgelegenheid of het borgen van de continuïteit van bepaalde vitale maatschappelijke dienstverlening, zoals het geven van onderwijs. Denk aan de situatie dat leerlingdossiers in een failliete onderwijsinstelling niet kunnen worden overgedragen aan een andere onderwijsinstelling, waardoor leerlingen gedurende enige tijd scholing zou worden onthouden
De lijst, die verwijst naar de opsomming van het vorige lid, bevat verwerkingen van bijzondere categorieën van persoonsgegevens, gegevens van strafrechtelijke aard en nummers die dienen ter identificatie van personen en is beperkt tot die gevallen waarin het voorstelbaar is dat de curator deze gegevens en nummers noodzakelijkerwijs dient te verwerken om zijn wettelijke taken naar behoren te kunnen uitvoeren. Het is vervolgens aan de curator om per geval te beoordelen of verwerking van de bijzondere gegevens inderdaad noodzakelijk is. Deze verschillende onderdelen worden hieronder nader toegelicht en besproken.
(onderdeel a)
Bij de opening van brieven en telegrammen is het denkbaar dat kennis wordt genomen van bijzondere persoonsgegevens. Denk aan brieven die aan de gefailleerde zijn gericht en strafrechtelijke gegevens omvatten, bijvoorbeeld een boete die per post binnenkomt. Daarnaast kan in dergelijke stukken, zoals een brief van een zorgverzekeraar die per post wordt ontvangen, een bsn zijn opgenomen. Het openen en kennis nemen van bijzondere gegevens is noodzakelijk om de lijst van vorderingen op te stellen of te controleren. Dit is van wezenlijk belang voor het goede verloop van het faillissementsproces.
(onderdeel c)
Allereerst is de verwerking van bijzondere categorieën gegevens nodig om de curator voldoende mogelijkheden te geven onregelmatigheden te onderzoeken en te signaleren. Daarnaast kan de curator, in het kader van het onderzoek naar onregelmatigheden, melding doen aan de rechter-commissaris en eventueel aangifte doen bij het Openbaar ministerie. Verder is denkbaar dat de curator het bsn van de failliet, moet kunnen verwerken bij het melden aan bevoegde autoriteiten van onregelmatigheden in het faillissement. Daarmee wordt het bijzondere belang gediend van het tegengaan van fraude en onrechtmatig gedrag.
(onderdeel f)
Verder moet de curator volgens de wet gegevensdragers bewaren, bijvoorbeeld om onderzoek te doen naar de deugdelijkheid van de administratie van de failliet. Ook op deze gegevensdragers kunnen soms bijzondere gegevens en nummers die dienen ter identificatie zijn opgenomen. Ook kan het nodig zijn dat de curator bepaalde gegevensdragers bewaart die strafrechtelijke gegevens bevatten. Het verwerken van bijzondere gegevens is in dit geval noodzakelijk, omdat anders niet kan worden voldaan aan de kerntaak: het beheer- en de vereffening van de boedel. Hiervoor is namelijk nodig dat alle schulden en eventueel openstaande vorderingen kunnen worden geïnventariseerd.
(onderdeel h)
Voor de taak genoemd in onderdeel h geldt het volgende. Als de failliet een bedrijf voerde, kan de curator te maken krijgen met een werknemersbestand. Hierin is meestal ook informatie opgenomen over de gezondheid van werknemers zoals ziekmeldingen. Het kan dan nodig zijn dat ook deze gegevens door de curator worden verwerkt. Dit speelt bijvoorbeeld als hij het bedrijf nog even voortzet of verkoopt en vervolgens overdraagt aan derden. In dit geval is het nodig dat de derde die het bedrijf overneemt en voortzet ook beschikt over een juist en volledig personeelsbestand van de werknemers die in het overgenomen bedrijf werkzaam zijn. Zonder deze informatie kan een overname feitelijk niet plaatsvinden en kan werkgelegenheid onnodig verloren gaan. Dat is een zwaarwegend belang dat verwerking van bijzondere persoonsgegevens kan rechtvaardigen. Met uitzondering van gegevens over ziekmeldingen («dat een werknemer ziek is»), hebben curatoren, de eventueel overnemende bedrijven en anderen geen recht op toegang tot de gezondheidsgegevens van werknemers.60 Toegang tot medische gegevens is immers voorbehouden aan daartoe bevoegd medisch personeel; ook in de consultatie werd hier op gewezen.61 Dergelijke informatie is immers niet nodig voor het beheer en de vereffening. Voorts kan de verwerking van persoonsgegevens van strafrechtelijke aard nodig zijn bij de voortzetting of verkoop van de onderneming. Zo kan de personeelsadministratie bijvoorbeeld een berisping of schorsing van een werknemer wegens diefstal bevatten. Daarnaast heeft een failliet, indien deze een onderneming met werknemers drijft, de beschikking over de bsn van zijn werknemers. Ook de curator moet dan over deze gegevens kunnen beschikken, bijvoorbeeld in het kader van de voortzetting of overdracht van het bedrijf. Zonder deze informatie is voortzetting van de onderneming niet goed mogelijk en kan dit aanzienlijke nadelige gevolgen hebben voor de betrokkenen bij het faillissement, waaronder de schuldeisers. Het zou tevens kunnen leiden tot onnodig verlies van werkgelegenheid.
(onderdeel j)
Daarnaast is de verwerking van bijzondere gegevens noodzakelijk wanneer de curator een bestuursverbod gaat vorderen. Het vorderen van een bestuursverbod dient een zwaarwegend belang, namelijk het tegengaan van faillissementsfraude en onregelmatigheden. Uit de bestuursfuncties van een betrokkene kan immers blijken dat de betrokkene lid is van een vakbond of een kerkgenootschap. Dit zijn bijzondere gegevens volgens artikel 9 AVG. Daarnaast is voorstelbaar dat gegevens van strafrechtelijke aard en nummers die dienen ter identificatie van personen worden verwerkt bij het voorbereiden of vorderen van een bestuursverbod overeenkomstig artikel 106a, eerste lid, onder e, Fw. De rijksbelastingdienst kan deze gegevens verstrekken. Het spreekt voor zich dat de curator deze gegevens alleen mag gebruiken voor zover noodzakelijk voor het vorderen (doelbinding) en bijvoorbeeld niet mag publiceren in het kader van het verslag dat hij periodiek uitbrengt. In dat verslag kan uiteraard wel het nodige worden opgemerkt over eventuele mogelijkheden tot het aansprakelijk stellen van de bestuurder.
(overdracht van gegevens in onderdeel f)
Tot slot is in het derde lid, onder a, een nieuwe taak opgenomen voor de curator en een bevoegdheid tot het verwerken van persoonsgegevens, met inbegrip van bijzondere persoonsgegevens. Het gaat om de overdracht van bescheiden en andere gegevensdragers en overige stukken. Dit zijn dezelfde gegevens als die genoemd zijn in het tweede lid, onder f. Daar gaat het alleen om het bewaren en onder zich nemen van deze gegevens. In de praktijk is het nodig dat bescheiden en andere gegevensdragers en overige stukken die persoonsgegevens of bijzondere persoonsgegevens bevatten, ook kunnen worden overgedragen, omdat dat in het kader van een dringend maatschappelijk belang is vereist. Het kan bijvoorbeeld gaan om de overdracht van medische dossiers van een psychotherapiepraktijk aan een andere psychotherapiepraktijk zodat patiënten niet zonder zorg komen te zitten. Een ander denkbaar voorbeeld is de overdracht van een leerlingenbestand als een school tijdens het schooljaar failliet gaat. De bestanden moeten dan kunnen worden overgedragen aan een andere school, zodat de leerlingen hun schooljaar aldaar kunnen voortzetten. De curator heeft geen recht op inzage in de dossiers.62 Deze grondslag om bescheiden en andere gegevensdragers en overige stukken die persoonsgegevens bevatten over te dragen, betreft een restcategorie. Als een andere wet regelt hoe deze stukken door de curator moeten worden overgedragen, geldt die wet en niet de voorliggende algemene regeling in de Fw. Zo is de situatie waarin de curator medische dossiers overdraagt, geregeld in artikel 30b UAVG. Dit artikel krijgt dan voorrang boven de Fw. Zie hierover nader artikel I, onderdeel M en de toelichting daarop.
De passende en specifieke maatregelen en waarborgen die op grond van de artikelen 9, tweede lid, onder g, en 10 AVG tegelijkertijd met het creëren van een uitzondering op het verbod van artikel 9, eerste lid, alsmede artikel 10 AVG dienen te worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van betrokkene, zijn onder meer gelegen in het feit dat de curator door de rechter wordt benoemd, op basis van ervaring en expertise. Voorts valt onder de algemene plicht van de curator om zorgvuldig met persoonsgegevens om te gaan en te handelen in het belang van de gezamenlijke schuldeisers. De curator behartigt geen individuele belangen en houdt bij zijn taakvervulling rekening met zwaarwegende maatschappelijke belangen. De rechter-commissaris houdt toezicht op de curator. De schending van de hiervoor genoemde algemene plicht om zorgvuldig met gegevens om te gaan kan onder omstandigheden leiden tot ontslag van de curator op grond van artikel 73 Fw. In dit verband zijn ook de praktijkregels van INSOLAD, de vereniging voor insolventierecht advocaten, relevant. Artikel 1.1 van deze praktijkregels bepaalt onder meer dat de curator onafhankelijk en integer is en betamelijk handelt. Artikel 8.3 werkt verder uit dat de curator zoveel mogelijk vermijdt kennis te nemen van feiten en omstandigheden die de hoogstpersoonlijke levenssfeer van de gefailleerde of derden betreffen. Dergelijke feiten en omstandigheden maakt hij in het algemeen niet openbaar. Dit kan anders zijn indien het belang van de boedel dit vergt en dat belang prevaleert wanneer dit wordt afgewogen tegen het belang van de betrokkene om zijn persoonsgegevens niet geopenbaard te zien. Bovendien houdt ook de AP toezicht op de naleving van de AVG. Deze autoriteit kan zo nodig handhavend optreden, onder meer door een dwangsom of een boete op te leggen.
Onderdeel B (artikel 215b)
Eerste en tweede lid
In de consultatie is er op gewezen dat ook voor de bewindvoerder in surseance een bepaling wenselijk is. Naar aanleiding hiervan is een bepaling opgesteld voor gegevensverwerking door de bewindvoerder in surseance van betaling. De opbouw van deze bepaling sluit aan bij die van het artikel voor de curator in faillissement (zie onderdeel A). Kort gezegd is in het eerste lid de algemene bepaling gegeven voor de bewindvoerder om gegevens te verwerken in het kader van zijn wettelijke taak. Ook deze bevoegdheid tot gegevensverwerking is gebaseerd op de taak van algemeen belang die rust op de bewindvoerder, bestaande uit het bijstaan van de schuldenaar en het goed laten verlopen van de surseanceprocedure. Tevens geldt dat met de termen «bij of krachtens de wet» wordt gedoeld op de artikelen die in de Fw zijn opgenomen waarbij een taak aan de bewindvoerder in surseance wordt toegekend of hem een verplichting wordt opgelegd respectievelijk bevoegdheid wordt toegekend. Het gaat dan bijvoorbeeld om het aankondigen in de Staatscourant (zie de artikelen 223, 256, 264, 268a, 272, 276 en 277 Fw) en om de verzoeken aan de rechter-commissaris (zie bijvoorbeeld artikel 223b Fw) of de rechtbank (zie bijvoorbeeld de artikelen 225, 230, tweede lid, en 281b Fw). Ook het schriftelijk informeren van schuldeisers kan hieronder worden begrepen (zie de artikelen 269b en 270 Fw). Tot slot valt hieronder tevens het bij brief oproepen van de leden der commissie als bedoeld in artikel 281e Fw.
In het tweede lid is vervolgens een specifieke lijst opgenomen met handelingen waarbij de bewindvoerder persoonsgegevens mag verwerken. Onderdeel a ziet op de verplichting van de bewindvoerder om verslag uit te brengen en ter griffie neer te leggen ingevolge artikel 227 Fw. In het verslag geeft de bewindvoerder een overzicht van de samenstelling en de omvang van de boedel. Nadat het verslag ter griffie is gedeponeerd door tussenkomst van de griffier, is het verslag doorgaans via het CIR te raadplegen. Daarnaast plaatst de bewindvoerder in de praktijk ook vaak het verslag op een website. Het kan, afhankelijk van de omstandigheden, nodig zijn dat in het verslag tot personen herleidbare gegevens zijn opgenomen. Dit zijn bijvoorbeeld gegevens over de schuldenaar. De openbaarmaking van het verslag is nodig omdat dit schuldeisers, de rechter-commissaris en de rechtbank in staat stellen kennis te nemen van de stand van de boedel. Met deze informatie kunnen bijvoorbeeld schuldeisers beoordelen of zij gebruik kunnen maken van hun rechten.
Anders dan in faillissement kan de schuldenaar in surseance van betaling met medewerking van de bewindvoerder handelingen verrichten (artikel 228 Fw). Indien de schuldenaar handelt zonder die vereiste medewerking, heeft de bewindvoerder de bevoegdheid alles te doen wat wordt vereist om de boedel schadeloos te houden. Hier ziet onderdeel b op. Bij het schadeloos houden, kan het bijvoorbeeld gaan om het terugvorderen van een zaak of het vernietigen van een door de schuldenaar verrichte kwijtschelding. Hierbij kunnen ook gegevens over personen aan de orde zijn. Denk aan informatie over de bezitter van een zaak die de bewindvoerder wil terugvorderen of informatie over degene tegen wie kwijtschelding is verleend. Deze verwerking is nodig ter bescherming van de belangen van de schuldeisers, en ziet er in het bijzonder op dat zij niet benadeeld worden door handelingen van de schuldenaar.
Onderdeel c regelt het intrekken van de surseance van betaling. Artikel 242 Fw geeft een opsomming van situaties waarin de bewindvoerder de rechtbank kan of moet verzoeken om intrekking van de surseance van betaling. Het gaat om situaties die zien op het handelen of nalaten van de schuldenaar en situaties die de toestand van de boedel betreffen. Alvorens de bewindvoerder kan beoordelen of een verzoek ingediend kan of moet worden, dient de bewindvoerder eerst onderzoek te kunnen doen naar de omstandigheden omschreven in artikel 242 Fw. In een dergelijk onderzoek kunnen gegevens over personen aan de orde zijn. De verwerking van gegevens is in dit geval nodig om te zorgen dat de belangen van de schuldeisers worden beschermd, en dat de surseance beëindigd kan worden indien bijvoorbeeld de schuldenaar heeft getracht zijn schuldeisers te benadelen (zie artikel 242, eerste lid, onder 2, Fw).
Onderdeel d verwijst naar artikel 258 Fw dat het onderzoek van de bewindvoerder naar de deugdelijkheid van de ingediende vorderingen regelt. Hierbij toetst de bewindvoerder de ingezonden rekeningen aan de administratie en opgaven van de schuldenaar. Als de bewindvoerder bezwaar heeft tegen de toelating van een vordering, overlegt hij daarover met de schuldeiser. In dat kader kan de bewindvoerder ook van de schuldeiser overlegging van ontbrekende stukken vorderen en de administratie en oorspronkelijke bewijsstukken van de schuldeiser raadplegen. De bewindvoerder moet dit onderzoek naar de deugdelijkheid van ingediende vorderingen goed kunnen uitvoeren. Daartoe is nodig dat de bewindvoerder persoonsgegevens kan verwerken die voorkomen in de administratie en opgaven van de schuldenaar en de administratie en andere stukken van de schuldeiser. Aldus wordt de bewindvoerder in staat gesteld de omvang van de vorderingen te bepalen en de lijst van vorderingen op te stellen. Deze verwerking is nodig om de procedure goed te laten verlopen en de belangen van de schuldeisers te beschermen.
Onderdeel e ziet op de lijst van vorderingen. Eén van de taken van de bewindvoerder in surseance van betaling is het opmaken van de lijst van erkende en betwiste vorderingen. Artikel 263 Fw verplicht de bewindvoerder deze lijst uiterlijk zeven dagen voor de vergadering over het surseanceakkoord ter griffie kosteloos voor eenieder ter inzage te leggen. Zo nodig kan de ook de bewindvoerder deze lijst openbaar maken, door bijvoorbeeld publicatie op een website. Zo kunnen schuldeisers zich voorbereiden op de vergadering en besluiten of zij ter vergadering vorderingen van andere schuldeisers zullen betwisten (zie artikel 266 Fw). Het is denkbaar dat hier verwerking van persoonsgegevens aan de orde is, bijvoorbeeld wanneer een natuurlijk persoon een vordering heeft. Verwerking van gegevens is nodig voor het goede verloop van de procedure, en in het bijzonder om schuldeisers te informeren over de staat van de boedel.
In onderdeel f is de schriftelijke verslaglegging door de bewindvoerder tijdens de vergadering over het aangeboden akkoord geregeld. Verwerking van persoonsgegevens is hierbij nodig om de betrokken schuldeisers – doorgaans per brief – kennis te laten nemen van het schriftelijk verslag over het aangeboden akkoord.
In aanvulling op bovenstaande lijst is in onderdeel g een grondslag opgenomen om bij of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in het kader waarvan de bewindvoerder in surseance van betaling gegevens kan verwerken.
Derde lid
De bewindvoerder in surseance heeft in de praktijk te maken met bijzondere categorieën van persoonsgegevens en gegevens van strafrechtelijke aard. Verwerking van bovenstaande categorieën van persoonsgegevens is niet bij elke gespecificeerde taak van de bewindvoerder nodig, zoals bij de verslagen of bij het opmaken van een lijst van vorderingen. Omdat de verwerking van deze persoonsgegevens risico’s met zich brengt, is de lijst beperkt tot een geval waarin het voorstelbaar is dat de bewindvoerder deze gegevens noodzakelijkerwijs dient te verwerken om diens wettelijke taak naar behoren te kunnen uitoefenen. Het gaat om de taak die onder c is opgenomen: het verzoek, bedoeld in artikel 242.
In dit geval is wel verwerking van bijzondere of strafrechtelijke persoonsgegevens nodig. Dit wordt hieronder toegelicht.
(onderdeel c)
In bepaalde situaties kan of moet de bewindvoerder de rechtbank verzoeken om intrekking van de surseance van betaling. De gronden voor intrekking staan opgesomd in artikel 242 Fw. Bij het onderzoek door de bewindvoerder of van één van deze gronden sprake is en bij de onderbouwing van een grond voor de rechter, moet de bewindvoerder gegevens kunnen verwerken, waaronder bijzondere en strafrechtelijke gegevens. Zo kan de schuldenaar een strafbaar feit hebben gepleegd dat kwalificeert als kwade trouw in de zin van artikel 242 eerste lid, onder 1, Fw. Ook kunnen bijvoorbeeld gegevens omtrent de gezondheid van de schuldenaar meebrengen dat de surseance niet langer wenselijk is (zie artikel 242, eerste lid, onder 5, Fw). Verwerking van dergelijke persoonsgegevens is noodzakelijk zodat de bewindvoerder een verzoek tot intrekking van de surseance op juiste gronden en onderbouwd kan instellen. Het kunnen intrekken in geval van bijvoorbeeld fraude is van wezenlijk belang om het vertrouwen in de surseanceregeling te behouden. Anders gezegd: het niet kunnen intrekken van de surseance zou kunnen leiden tot ernstig nadeel van de gezamenlijke schuldeisers en kan daarom als zwaarwegend maatschappelijk belang worden aangemerkt.
Artikel 9, tweede lid, onder g, en artikel 10 AVG vereisen dat passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de schuldenaar. Deze maatregelen zijn vergelijkbaar met de maatregelen die gelden voor de curator in faillissement (zie de laatste alinea onder onderdeel A). De eerste maatregel betreft het feit dat de bewindvoerder in surseance door de rechter wordt benoemd, op grond van artikel 215, tweede lid, Fw. Ook valt onder de algemene plicht van de bewindvoerder om zorgvuldig met persoonsgegevens om te gaan. Schending van deze plicht kan onder omstandigheden leiden tot het ontslag van de bewindvoerder op grond van artikel 224 Fw. Tot slot houdt ook de AP toezicht op de naleving van de AVG door de gegevensverwerker, in dit geval de bewindvoerder in surseance. De AP kan zo nodig handhavend optreden, onder meer door een dwangsom of een boete op te leggen.
Onderdeel C (artikel 316a)
Eerste en tweede lid
Naar aanleiding van de internetconsultatie wordt voorgesteld om te voorzien in een bepaling voor gegevensverwerking door de Wsnp-bewindvoerder. Over deze bepaling zijn Bureau Wsnp en Beroepsvereniging Bewindvoerders Wsnp geconsulteerd. De opbouw van deze bepaling sluit aan bij die van het artikel voor de curator in faillissement en voor de bewindvoerder in surseance (zie onderdelen A en B). Kort gezegd is in het eerste lid de algemene bepaling gegeven voor de Wsnp-bewindvoerder om gegevens te verwerken in het kader van diens wettelijke taken. In navolging van de bepaling met betrekking tot de bewindvoerder in surseance, is er hier eveneens voor gekozen om de taak van algemeen belang die rust op de bewindvoerder de grond te laten zijn voor zijn bevoegdheid tot gegevensverwerking. Naast het soortgelijke maatschappelijke belang dat is benoemd in het kader van het faillissement in de toelichting bij onderdeel A, geldt bij de Wsnp ook nog het belang van de schuldenaar bij het kunnen doorlopen van het wettelijk schuldsaneringstraject. Het goed doorlopen zorgt immers voor het toekennen van een schone lei, waardoor de schuldenaar zonder schulden zijn leven weer kan oppakken.
Ook ten aanzien van deze bepaling geldt dat met «op grond van de wet» wordt gedoeld op de artikelen die in de Fw zijn opgenomen waarbij een taak aan de curator wordt toegekend of hem een verplichting wordt opgelegd respectievelijk bevoegdheid wordt toegekend. Hierbij kan worden gedacht aan de voortzetting van de uitoefening van het beroep of bedrijf door de Wsnp-bewindvoerder (artikel 311 Fw), het uitbrengen van een verslag aan de rechter-commissaris (artikel 351a Fw), het doen van een verzoek bij de rechter-commissaris zoals bedoeld in de artikelen 332, 348 en 352 Fw en het schriftelijk informeren van schuldeisers (artikel 329, zesde lid, Fw). Men kan voorts denken aan de verwerking van persoonsgegevens in het kader van advisering en informatievoorziening omtrent het Wsnp-akkoord (zie ook artikel 4.1 van de Recofa-richtlijnen).
In het tweede lid is vervolgens een specifieke lijst opgenomen met handelingen waarbij de Wsnp-bewindvoerder persoonsgegevens mag verwerken.
Onderdeel a betreft het opzeggen van de arbeidsovereenkomst. Dit is geregeld in artikel 40 Fw voor de curator in faillissement. Door artikel 313 Fw is deze bepaling van overeenkomstige toepassing voor de regeling van de schuldsanering. Bij het opzeggen van een arbeidsovereenkomst door de Wsnp-bewindvoerder worden gegevens verwerkt. Zo dient de Wsnp-bewindvoerder betrokken werknemers te informeren over de opzegging van de arbeidsovereenkomst en moet het UWV op de hoogte worden gesteld. Het verwerken van gegevens en het opzeggen van de overeenkomst is nodig om de schulden van de boedel zoveel mogelijk te beperken en is in die zin nodig om de belangen van de schuldeisers te beschermen.
Een aantal bepalingen uit de regeling voor faillissement over de verificatie van vorderingen zijn van overeenkomstige toepassing verklaard op de regeling voor de schuldsanering in artikel 328 Fw. Wat betreft de gegevensverwerking door de Wsnp-bewindvoerder zijn de artikelen 110, 112 en 114 Fw van belang. Onderdeel b ziet hierop. Het gaat kort gezegd om het indienen van schuldvorderingen en het opmaken van de lijst van vorderingen. De opbrengst in het Wsnp-traject kan op basis van deze lijst worden verdeeld. De lijst van vorderingen wordt ter griffie van de rechtbank gedeponeerd en kan door een ieder bij de rechtbank worden ingezien (zie artikel 114 Fw). Aldus kunnen schuldeisers te weten komen waar zij recht op hebben en dit recht eventueel betwisten of de Wsnp-bewindvoerder om inlichtingen vragen (zie artikel 119 Fw). Daarmee is de verwerking van gegevens nodig om de schuldeisers goed te kunnen informeren over de stand van de boedel.
Onderdeel c ziet op de verplichting van de Wsnp-bewindvoerder periodiek verslagen ten behoeve van de rechter en de schuldeisers op te stellen en ter griffie neer te leggen (artikel 318 Fw). In het bijzonder heeft de Wsnp-bewindvoerder een plicht om na afloop van de verificatievergadering verslag uit te brengen. Dit laatste is geregeld in artikel 137 Fw dat geldt in faillissement. In artikel 328 Fw is deze bepaling van overeenkomstige toepassing verklaard op de regeling voor de schuldsanering. In de verslagen geeft de Wsnp-bewindvoerder een overzicht over de toestand van de boedel en vervolgens over de voortgang van het Wsnp-traject. De Wsnp-bewindvoerder legt de verslagen ter griffie neer. Alle schuldeisers kunnen zo de verslagen kosteloos inzien. Aldus kunnen schuldeisers inzicht krijgen in de voortgang van de schuldsaneringsregeling. In het verslag kunnen, afhankelijk van de omstandigheden, tot personen herleidbare gegevens voorkomen. De Wsnp-bewindvoerder maakt bijvoorbeeld informatie openbaar over de partner, kinderen, medebewoners of werkgever van de schuldenaar. Deze informatie is voor schuldeisers van belang omdat zij zo meer duidelijkheid krijgen in of zij een uitkering of akkoord kunnen verwachten.
Onderdeel d betreft de zogenaamde postblokkade, waartoe de rechter een last geeft. Om diens wettelijke taken naar behoren te kunnen uitoefenen kan de Wsnp-bewindvoerder brieven openen. Doorgaans zijn hierbij persoonsgegevens aan de orde, zoals de naam van de afzender of de inhoud van de brieven, zoals facturen gericht aan de ontvanger. De postblokkade is nodig omdat dit de kans verkleint dat via de post buiten de Wsnp-bewindvoerder om betalingen aan de schuldenaar plaatsvinden, of dat aanwijzingen van schuldeisers omtrent vermogensbestanddelen de Wsnp-bewindvoerder niet zouden bereiken.
In onderdeel e is de verhoging van de beslag vrije voet genoemd. De Wsnp-bewindvoerder kan de rechter-commissaris verzoeken het bedrag van de beslagvrije voet met een nominaal bedrag te verhogen. De optelsom van de beslagvrije voet en de eventuele verhogingen vormen het vrij te laten bedrag. Al het meerdere boven het vrij te laten bedrag moet worden afgedragen aan de boedel. De Wsnp-bewindvoerder dient te kunnen beoordelen of een verzoek tot verhoging van de beslagvrije voet op zijn plaats is en zo ja, dit verzoek te kunnen onderbouwen en de aflossingscapaciteit te kunnen (her)berekenen. Hiervoor is nodig dat de Wsnp-bewindvoerder inzicht heeft in de financiële verplichtingen van de schuldenaar, zoals bijvoorbeeld het inkomen van de echtgenoot van de schuldenaar en de situatie van eventuele kinderen. De verwerking van persoonsgegevens is dus nodig om te zorgen dat de schuldenaar een bepaald bedrag krijgt om in zijn levensonderhoud te voorzien.
Onderdeel f betreft de administratie door de Wsnp-bewindvoerder ter zake van ontvangen gelden op vorderingen van de schuldenaar die niet tot de boedel behoren. Het kan dan gaan om periodieke uitkeringen die buiten de boedel vallen. Het is denkbaar dat de Wsnp-bewindvoerder namens en ten behoeve van de schuldenaar een soort budgetbeheer toepast, om te voorkomen dat de schuldsanering mislukt.63 Bij het ontvangen en administreren van dergelijke gelden kunnen gegevens worden verwerkt. Bijvoorbeeld wanneer de naam en het rekeningnummer van de betalende partij worden genoemd in de administratie. Deze verwerking is nodig om het schuldsaneringstraject goed te laten verlopen.
De gegevensverwerking in het kader van de bewaring van de boedel en het onder zich nemen van de bescheiden en andere gegevensdragers en overige stukken (zie artikel 323 Fw) door de Wsnp-bewindvoerder, is genoemd in onderdeel g. Na toepassing van de schuldsaneringsregeling, voert de Wsnp-bewindvoerder het beheer over de boedel. Hieronder valt ook de bewaring van de boedel en het onder zich nemen van bescheiden en andere gegevensdragers, gelden, kleinodiën, effecten en andere papieren van waarde tegen ontvangstbewijs van de schuldenaar, bijvoorbeeld brieven van overheidsinstanties. Deze verwerking is nodig om te voorkomen dat bepaalde goederen aan de boedel worden onttrokken en op deze manier schuldeisers worden benadeeld. Wanneer de schuldsanering is afgerond, kunnen de bescheiden terug naar de schuldenaar.
In onderdeel h wordt onder meer verwezen naar artikel 324 Fw. Dit artikel verklaart de bepalingen met betrekking tot het faillissement betreffende de boedelbeschrijving en staat van baten en lasten deels van overeenkomstige toepassing (zie artikel 94, eerste en tweede lid, en artikel 96 Fw). Aldus is de Wsnp-bewindvoerder verplicht een boedelbeschrijving op te maken en neer te leggen bij de griffie van de rechtbank. Daarnaast kan op grond van dit artikel de rechter-commissaris bepalen dat de Wsnp-bewindvoerder een staat van baten en schulden opmaakt en neerlegt ter griffie. Hierbij kunnen persoonsgegevens worden verwerkt, bijvoorbeeld de naam van een natuurlijke persoon die schuldeiser of schuldenaar is. Deze verwerkingen zijn nodig om schuldeisers te informeren over de staat van de boedel en dienen aldus het goede verloop van de procedure.
In onderdeel i is geregeld dat de Wsnp-bewindvoerder bij de vereffening en tegeldemaking van goederen die tot te boedel behoren, gegevens mag verwerken. De verkoop van de goederen geschiedt onderhands, tenzij de rechter-commissaris bepaalt dat de verkoop in het openbaar zal geschieden. Als de Wsnp-bewindvoerder een goed verkoopt, zal die ook een koopovereenkomst opmaken. Hierbij kan het zijn dat de Wsnp-bewindvoerder gegevens verwerkt doordat de naam en gegevens van de koper die een natuurlijk persoon is in de koopovereenkomst staan opgenomen. Deze verwerking is nodig om te zorgen dat goederen te gelde kunnen worden gemaakt en er daarmee actief vloeit naar de boedel.
Onderdeel j ziet op het opmaken en ter griffie neerleggen van de uitdelingslijst door de Wsnp-bewindvoerder. Doorgaans biedt de boedel van de schuldenaar niet genoeg verhaal voor alle schuldeisers. Als dat het geval is, maakt de Wsnp-bewindvoerder een verdeling. Van iedere (tussentijdse) uitdeling dient de Wsnp-bewindvoerder een uitdelingslijst op te maken. Schuldeisers kunnen deze lijst gedurende tien dagen ter griffie van de rechtbank kosteloos inzien (zie artikel 349, vijfde lid, in verbinding met artikel 183 Fw). Voor schuldeisers is dit van belang, bijvoorbeeld om tegen de uitdelingslijst in verzet te komen (zie artikel 349, vijfde lid, Fw). In de uitdelingslijst worden persoonsgegevens genoemd, zoals de namen van de schuldeisers. Deze verwerking is nodig om schuldeisers goed te kunnen informeren over de stand van de boedel.
Onderdeel k gaat over de beëindiging van een Wsnp-traject door de rechtbank. In het derde lid van artikel 350 Fw is een opsomming gegeven van situaties waarin een Wsnp-traject wordt beëindigd. Het gaat om situaties die zien op het handelen of nalaten door de schuldenaar en situaties die de toestand van de boedel betreffen. De Wsnp-bewindvoerder kan de rechtbank verzoeken om beëindiging van een Wsnp-traject. Om te beoordelen of de Wsnp-bewindvoerder een verzoek tot beëindiging wil doen, dient hij onderzoek te kunnen doen naar de omstandigheden omschreven in het derde lid van artikel 350 Fw. Ook dient de Wsnp-bewindvoerder een verzoek te kunnen onderbouwen. Bij deze handelingen moet de Wsnp-bewindvoerder gegevens over de schuldenaar en andere betrokken partijen kunnen verwerken. Deze verwerking is nodig om te zorgen dat het wettelijke schuldsaneringstraject kan worden beëindigd wanneer hiertoe aanleiding is, onder meer om daarmee te zorgen dat de belangen van de schuldeisers worden beschermd.
Onderdeel l betreft het opmaken van de slotuitdelingslijst door de Wsnp-bewindvoerder. Deze lijst maakt de Wsnp-bewindvoerder op wanneer het vonnis over de vraag of de schuldenaar toerekenbaar is tekortgeschoten in kracht van gewijsde is gegaan (vgl. artikel 354 Fw). Net als bij het opmaken van de tussentijdse uitdelingen, genoemd in onderdeel j, kan iedere schuldeiser de slotuitdelingslijst inzien en daartegen gedurende tien dagen in verzet komen (zie artikel 349 Fw). Ook hier kan van verwerking van persoonsgegevens sprake zijn. Zo kunnen de namen van de schuldeisers op de lijst staan. Deze verwerking is nodig om schuldeisers goed te kunnen informeren over de stand van de boedel en de te verwachten uitkering.
In aanvulling op bovenstaande lijst is in onderdeel m een grondslag opgenomen om bij of krachtens algemene maatregel van bestuur handelingen of taken aan te wijzen in het kader waarvan de Wsnp-bewindvoerder gegevens kan verwerken.
Derde lid
De Wsnp-bewindvoerder heeft in de praktijk te maken met bijzondere categorieën van persoonsgegevens, gegevens van strafrechtelijke aard en nummers die dienen ter identificatie van personen, zoals bsn.
Verwerking van bovenstaande categorieën van persoonsgegevens is niet bij elke gespecificeerde taak van de Wsnp-bewindvoerder nodig, zoals bij de verslagen of bij het opmaken van een (slot)uitdelingslijst. Omdat de verwerking van deze persoonsgegevens risico’s met zich brengt, is de lijst beperkt tot gevallen waarin het voorstelbaar is dat de Wsnp-bewindvoerder deze gegevens noodzakelijkerwijs dient te verwerken om diens wettelijke taken naar behoren te kunnen uitoefenen. In deze gevallen is wel verwerking van bijzondere of strafrechtelijke persoonsgegevens of nummers die dienen ter identificatie van personen nodig. Het gaat dan om meer specifieke belangen die, als daarmee rekening wordt gehouden, gelet op de mogelijke maatschappelijke gevolgen, dermate zwaarwegend zijn dat wordt voldaan aan de in de AVG opgenomen maatstaf. Dat gaat in beginsel verder dan dat een bepaalde gegevensverwerking in het belang is van de gezamenlijke schuldeisers. Het moet gaan om verwerkingen zonder welke het wettelijke schuldsaneringstraject niet kan worden afgewikkeld of dat verwerkingen zouden leiden tot ernstig nadeel voor de gezamenlijke schuldeisers. Het kan bijvoorbeeld gaan om verwerking van gegevens betreffende de administratie of het inventariseren van de schulden. Zonder deze handelingen kan geen compleet overzicht worden opgesteld van de uitstaande schulden en vorderingen – en kan de schuldsanering niet naar behoren worden afgewikkeld. Dit wordt hieronder verder toegelicht.
Onderdeel c ziet op het uitbrengen en ter griffie neerleggen van de verslagen over de toestand van de boedel en de verslagen over de voortgang van het Wsnp-traject. Daarbij kan de Wsnp-bewindvoerder beperkt bijzondere gegevens verwerken. In een Wsnp-traject geldt een arbeids- of sollicitatieplicht. Indien de schuldenaar meent dat hij of zij arbeidsongeschikt is, kan de schuldenaar verzoeken om een (tijdelijke) vrijstelling van die plicht via de bewindvoerder aan de rechter-commissaris. De Wsnp-bewindvoerder verwerkt hierbij medische gegevens omdat hij het verzoek om vrijstelling van de arbeids- of sollicitatieplicht van de schuldenaar onderbouwd aan de rechter-commissaris moet aanbieden. Verwerking van deze gegevens is aldus noodzakelijk voor de onderbouwing van een rechtsvordering.64 Ook kunnen strafrechtelijke gegevens aan de orde zijn bij het opstellen van de verslagen. Bijvoorbeeld wanneer de schuldenaar een boete heeft ontvangen moet dit worden opgenomen in het verslag. Dergelijke gegevens moet de Wsnp-bewindvoerder kunnen verwerken in de verslagen om de schuldeisers volledig en naar waarheid te informeren. Zonder deze gegevens kan het wettelijke schuldsaneringstraject niet naar behoren worden afgewikkeld. Aldus is sprake van een zwaarwegend maatschappelijk belang.
Onderdeel d betreft het openen van brieven en telegrammen. Het is voorstelbaar dat de Wsnp-bewindvoerder persoonsgegevens tegenkomt waaruit bijvoorbeeld medische gegevens of het lidmaatschap van een kerk, strafrechtelijke veroordelingen of een bsn blijken. Voorbeelden zijn een oproep door een ziekenhuis of de belastingaangifte. Verwerking van dergelijke gegevens is de Wsnp-bewindvoerder toegestaan om bijvoorbeeld vorderingen te inventariseren, en te kunnen beoordelen of een schuldenaar inderdaad traceerbaar geheel of gedeeltelijk arbeidsongeschikt is en zodoende niet of slechts gedeeltelijk aan de inspannings- en sollicitatieplicht kan voldoen. Verwerking van gegevens is nodig voor de volledigheid en juistheid van het schuldenoverzicht. Ook is denkbaar dat uit een strafrechtelijke veroordeling blijkt dat die kan leiden tot beëindiging van een Wsnp-traject. Daarnaast is de verwerking van deze gegevens noodzakelijk voor de Wsnp-bewindvoerder om diens wettelijke taken naar behoren te kunnen uitvoeren. Zonder deze gegevens kan er geen volledig en juist beeld worden gekregen van de schulden van de saniet en kan het wettelijke schuldsaneringstraject daarmee niet naar behoren worden afgewikkeld. In het gegeven voorbeeld van een strafrechtelijke veroordeling, is het denkbaar dat de belangen van schuldeisers mogelijk ernstig geschaad kunnen worden indien deze gegevens niet verwerkt kunnen worden. Aldus is er in deze gevallen sprake van een zwaarwegend maatschappelijk belang.
In onderdeel g is geregeld dat de Wsnp-bewindvoerder kan bescheiden en andere gegevensdragers en overige stukken, bedoeld in artikel 323 Fw, kan bewaren en kunnen bijzondere categorieën van persoonsgegevens bevatten. Hieruit kan de Wsnp-bewindvoerder bijvoorbeeld kennisnemen van het lidmaatschap van een vakbond of politieke opvattingen. Het is nodig dat de Wsnp-bewindvoerder dergelijke gegevens kan verwerken om bijvoorbeeld onderzoek te doen naar de administratie van de schuldenaar. Voorts kan uit deze gegevens strafrechtelijke informatie voortvloeien over bijvoorbeeld een boete of veroordeling op de pc van de schuldenaar die beëindiging van een Wsnp-traject tot gevolg kan hebben. Ook kunnen uit bescheiden en andere gegevensdragers identificatienummers, zoals het bsn, naar voren komen. Hierbij kan worden gedacht aan de aanvraag van een uitkering. Verwerking van deze gegevens is nodig zodat de Wsnp-bewindvoerder diens wettelijke taken naar behoren kan uitvoeren. Ook hier gaat het om informatie die essentieel is voor het opstellen van een overzicht van schulden en vorderingen, zonder welke het wettelijke schuldsaneringstraject niet naar behoren kan worden afgewikkeld.
De Wsnp-bewindvoerder kan de rechtbank verzoeken een Wsnp-traject te beëindigen. Om te beoordelen of een dergelijk verzoek op zijn plaats is en om een verzoek te onderbouwen, moet de Wsnp-bewindvoerder bijzondere en strafrechtelijke persoonsgegevens kunnen verwerken. Zo kunnen gegevens over de gezondheid van de schuldenaar of strafbare feiten ertoe leiden dat de schuldenaar zijn verplichtingen niet naar behoren nakomt, bovenmatige schulden doet of laat ontstaan of tracht zijn schuldeisers te benadelen. Dit zijn allemaal gronden voor beëindiging van een Wsnp-traject door de rechtbank (zie artikel 350 Fw). Verwerking van deze gegevens is aldus noodzakelijk zodat de Wsnp-bewindvoerder zijn wettelijke taken deugdelijk kan uitvoeren. Deze gegevensverwerking is bovendien nodig om te voorkomen dat de belangen van de gezamenlijke schuldeisers (ernstige) worden geschaad. Beëindiging van het wettelijke schuldsaneringstraject zonder schone lei geeft namelijk in de hiervoor genoemde voorbeelden de mogelijkheid aan schuldeisers om zich opnieuw op het vermogen van de saniet te verhalen, terwijl bij voortzetting van het wettelijke schuldsaneringstraject en toekenning van een schone lei in deze gevallen de mogelijkheden tot verhaal zijn uitgesloten.
Tot slot is in het derde lid, onder a, een nieuwe taak opgenomen voor de Wsnp-bewindvoerder. Het gaat om de overdracht van bescheiden en andere gegevensdragers en overige stukken. Dit zijn dezelfde gegevens als die genoemd zijn in het tweede lid, onder g. Daar gaat het alleen om het bewaren en onder zich nemen van deze gegevens. In de praktijk is het nodig dat bescheiden en andere gegevensdragers en overige stukken die bijzondere persoonsgegevens bevatten, ook kunnen worden overgedragen, omdat dat in het kader van een dringend maatschappelijk belang is vereist. Denk bijvoorbeeld aan dossiers die in het bezit zijn van een schuldenaar-schuldhulpverlener. Het overdragen is in dit voorbeeld nodig om te voorkomen dat de cliënten van de schuldenaar door een andere schuldhulpverlener worden kunnen worden geholpen. Het gaat hier om vergelijkbare gevallen als in faillissement (zie ook de toelichting bij het voorgestelde artikel 68a, derde lid, onderdeel c). De Wsnp-bewindvoerder heeft geen recht op inzage in de dossiers.65
Artikel 9, tweede lid, onder g, en artikel 10 AVG vereisen dat passende en specifieke maatregelen worden getroffen ter bescherming van de grondrechten en de fundamentele belangen van de schuldenaar. Deze maatregelen zijn vergelijkbaar met de maatregelen die gelden voor de curator in faillissement en de bewindvoerder in surseance van betaling (zie onderdelen A en B, laatste alinea). De eerste maatregel betreft het feit dat de Wsnp-bewindvoerder door de rechter wordt benoemd, op grond van artikel 287, derde lid, Fw. Ook valt onder de algemene plicht van de Wsnp-bewindvoerder om zorgvuldig met persoonsgegevens om te gaan. Schending van deze plicht kan onder omstandigheden leiden tot het ontslag van de Wsnp-bewindvoerder op grond van artikel 319 Fw. Daarnaast houdt de rechter-commissaris toezicht op de Wsnp-bewindvoerder op grond van artikel 314 Fw. In dit verband is ook de Gedragscode bewindvoerder Wsnp II (Stcrt 2013, 29039) van belang. In dit kader bestaat tevens een klachtenregeling bij de Raad voor Rechtsbijstand over Wsnp-bewindvoerders. Uit de gedragscode volgt onder andere dat de bewindvoerder zorgdraagt voor een onafhankelijke uitvoering van de werkzaamheden, zich objectief, fatsoenlijk en respectvol gedraagt en zijn of haar werkzaamheden zorgvuldig, vakkundig en doelmatig uitvoert met inachtneming van de professionele deskundigheid die van hem mag worden verwacht. Bovendien betracht de bewindvoerder geheimhouding ten aanzien van vertrouwelijke informatie waarover hij bij het uitvoeren van zijn werkzaamheden de beschikking krijgt. Tot slot houdt ook de AP toezicht op de naleving van de AVG door de gegevensverwerker, in dit geval de Wsnp-bewindvoerder. De AP kan zo nodig handhavend optreden, onder meer door een dwangsom of een boete op te leggen.
ARTIKEL III. Vreemdelingenwet 2000
Enig onderdeel (artikel 107)
Gebruik van het vreemdelingennummer
De Wet modern migratiebeleid heeft per 1 juni 2013 voorzien in een wettelijke basis voor de vreemdelingenadministratie, die is neergelegd in artikel 107 van de Vreemdelingenwet 2000, hierna Vw 2000. Deze administratie bevat een verzameling gegevens met betrekking tot onder andere vreemdelingen, voor zover die gegevens noodzakelijk zijn voor onder meer een goede uitvoering van de Vw 2000, de Rijkswet op het Nederlanderschap, de op die wetten gebaseerde regelgeving en andere in het Voorschrift Vreemdelingen 2000 aangewezen wettelijke voorschriften (artikel 107, tweede lid, van de Vw 2000).
Artikel 107, derde lid, van de Vreemdelingenwet 2000 bepaalt dat aan een vreemdeling in de vreemdelingenadministratie een uniek vreemdelingennummer (hierna: v-nummer) wordt toegekend en voorziet dit nummer van een wettelijke basis. Het v-nummer is een uniek nummer ter identificatie van een vreemdeling. Het nummer waarborgt dat, als de organisaties in de vreemdelingenketen (persoons)gegevens van vreemdelingen uitwisselen, het over dezelfde persoon gaat. Bij de eerste registratie van een vreemdeling in de Basisvoorziening Vreemdelingen (BVV) wordt het v-nummer toegekend. Een nieuw uniek v-nummer wordt pas uitgegeven als niet vast te stellen is, dat de vreemdeling eerder is geregistreerd.
De identificerende persoonsgegevens, waaronder biometrische kenmerken van de vreemdeling, worden, gekoppeld aan dat v-nummer, in de Basisvoorziening Vreemdelingen (BVV) geregistreerd. Het doel hiervan is dat iedere vreemdeling één geregistreerde identiteit in de vreemdelingenketen heeft die primair te verifiëren is aan de hand van het v-nummer en de biometrische gegevens.
Het v-nummer wordt ketenbreed gebruikt. Alle ketenpartners, waaronder het Centraal Orgaan opvang asielzoekers, de Dienst Terugkeer en Vertrek en de Immigratie- en Naturalisatiedienst, werken ook in hun eigen informatiesysteem met het v-nummer. Dat nummer stelt de ketenpartners in staat om – al dan niet elektronisch – informatie over een bepaalde vreemdeling met elkaar uit te wisselen en te handelen op basis van de juiste en dezelfde identiteitsgegevens van een vreemdeling.
Het v-nummer is de sleutel voor de koppeling en uitwisseling van gegevens binnen de vreemdelingenketen. Daarbij is van belang dat er voor de verwerking van de andere persoonsgegevens van de vreemdeling een zelfstandige wettelijke grondslag moet zijn. Het mogen verwerken van het v-nummer betekent op zichzelf niet dat andere persoonsgegevens van de vreemdeling verwerkt mogen worden.
Wat betreft het gebruik van het bsn geldt dat overheidsorganen die bij het verwerken van persoonsgegevens in het kader van het uitvoeren van hun taak gebruik kunnen maken van dit nummer, in beginsel verplicht zijn om bij het onderling uitwisselen van persoonsgegevens geen ander persoonsnummer dan het bsn als identificerend nummer te hanteren. Artikel 11, eerste lid, van de Wet algemene bepalingen burgerservicenummer laat echter de ruimte om bij de uitwisseling naast het bsn een ander persoonsnummer te vermelden. Binnen de vreemdelingenketen kan derhalve het v-nummer worden gebruikt. Dit is ook noodzakelijk omdat niet alle vreemdelingen in aanmerking komen voor toekenning van een bsn (zie hierna).
De voorgestelde wijziging
Blijkens het bovenstaande regelt artikel 107 van de Vw 2000 het gebruik van het v-nummer door en tussen bestuursorganen (en daarmee gelijkgestelde organen) in de vreemdelingenketen. Het artikel regelt niet het gebruik van het v-nummer door bestuursorganen bij de verstrekking van gegevens en inlichtingen aan organisaties en instellingen die taken vervullen op het gebied van begeleiding of ondersteuning van vreemdelingen, maar geen bestuursorgaan zijn. Ook het gebruik van het v-nummer door die organisaties en instellingen bij het verstrekken van gegevens en inlichtingen omtrent een vreemdeling aan de Minister van Justitie en Veiligheid is niet geregeld.
Bij de organisaties en instellingen die taken vervullen op het gebied van begeleiding of ondersteuning van vreemdelingen en geen bestuursorgaan zijn, kan worden gedacht aan VluchtelingenWerk Nederland (VWN), de Internationale Organisatie voor Migratie (IOM) en Stichting Nidos. VWN geeft onder andere voorlichting over de asielprocedure aan asielzoekers, begeleidt hun tijdens die procedure en begeleidt vreemdelingen aan wie een verblijfsvergunning is verleend. IOM ondersteunt vreemdelingen onder andere bij vrijwillige terugkeer, hervestiging en relocatie. Stichting Nidos voert op grond van het Burgerlijk Wetboek en de Jeugdwet de kinderbeschermingsmaatregelen voogdij (ten aanzien van alleenstaande minderjarige vreemdelingen) en gezinsvoogdij/ondertoezichtstelling (ten aanzien van minderjarige kinderen die samen met hun ouders asiel hebben gevraagd). Stichting Nidos staat als zelfstandig bestuursorgaan in het zbo-register. Zij ontleent haar zbo-status echter uitsluitend aan de ondertoezichtstellingstaak, en niet aan de voogdijtaak66.
In de dagelijkse uitvoeringspraktijk van het vreemdelingenbeleid hebben de hiervoor genoemde organisaties en instellingen wegens het ontbreken van goede alternatieven een grote behoefte aan gebruik van het v-nummer. De reden daarvoor is dezelfde als waarom de bestuursorganen het v-nummer onderling verwerken, namelijk om de vreemdeling uniek te kunnen identificeren en te registreren en zo te beschikken over dezelfde persoonsgegevens. Het gebruik van het v-nummer is in het belang van de betrokken organisatie of instelling en van de vreemdeling. Zij hebben allemaal hetzelfde belang dat vreemdelingen juist worden geïdentificeerd en geregistreerd en dat de uitvoering van de Vw 2000 en de communicatie daarover effectief en efficiënt is. Als het v-nummer niet wordt gebruikt, kan het enige tijd duren voordat de juiste vreemdeling in de geautomatiseerde systemen is gevonden. Daarbij bestaat het risico dat personen worden verwisseld en onjuiste persoonsgegevens worden verstrekt of persoonsgegevens over een andere persoon worden verstrekt. Met het gebruik van het v-nummer kunnen fouten worden voorkomen, bijvoorbeeld wanneer namen door de verschillende organisaties en instellingen in de vreemdelingenketen anders zijn gespeld, wanneer de naam, bijvoorbeeld als gevolg van een huwelijk of echtscheiding, verandert of wanneer een vreemdeling een andere nationaliteit krijgt. Daarom dienen zij gegevens omtrent vreemdelingen te kunnen ontvangen uit de vreemdelingenadministratie en te kunnen verstrekken aan de Minister met gebruikmaking van het v-nummer. Hiervoor creëert de voorgenomen wijziging van artikel 107 van de Vw 2000 de wettelijke basis.
AVG
Het v-nummer is een identificatienummer als bedoeld in artikel 87 AVG. Dat artikel geeft lidstaten de mogelijkheid om voorwaarden te stellen aan het gebruik van een nationaal identificatienummer. Een dergelijk nummer mag alleen worden gebruikt als passende waarborgen voor de rechten en vrijheden van de betrokkenen zijn getroffen. De UAVG vult deze bepaling aan door te bepalen dat nationale identificatienummers die zijn voorgeschreven bij wet, slechts mogen worden gebruikt voor de uitvoering van de betreffende wet of voor de doelen die bij wet zijn bepaald. Voor andere dan in de wet voor deze nummers genoemde doelen is het verwerken ervan niet toegestaan. Deze beperkingen zijn aan het gebruik van een persoonsidentificerend nummer gesteld uit een oogpunt van bescherming van de persoonlijke levenssfeer. Persoonsnummers vergemakkelijken immers de koppeling van verschillende bestanden. Met de onderhavige wijziging van artikel 107 van de Vw 2000 wordt voorzien in de door de UAVG vereiste wettelijke grondslag voor de beoogde uitwisseling van persoonsgegevens tussen de Minister en organisaties en instellingen die taken vervullen op het gebied van begeleiding of ondersteuning van vreemdelingen, met gebruikmaking van het v-nummer.
Het is noodzakelijk om ketenbreed in een vroegtijdig stadium te beschikken over een juiste identificatie en registratie van vreemdelingen. Met dit expliciete doel wordt de proportionaliteit van de verstrekking van het v-nummer door de bestuursorganen in de vreemdelingenketen aan organisaties en instellingen die taken vervullen op het gebied van begeleiding of ondersteuning van vreemdelingen, de verwerking van het v-nummer door deze organisaties en instellingen en de gebruikmaking van het v-nummer door deze organisaties en instellingen in het gegevensverkeer met de Minister van Justitie en Veiligheid over vreemdelingen geëerbiedigd. Zoals eerder aangegeven is het v-nummer het vehikel waarmee andere persoonsgegevens worden doorgegeven. Daarbij moet uiteraard aan de voorwaarden voor de uitwisseling van die andere persoonsgegevens worden voldaan. Er wordt, met andere woorden, geregeld dat het v-nummer kan worden gebruikt voor gegevensuitwisseling. Daarmee is niet gegeven dat er ook een grondslag is voor die gegevensuitwisseling.
Wat betreft de vereiste subsidiariteit zijn er voor het gebruik van het v-nummer geen geschikte alternatieven voorhanden. Een aantal alternatieven is onderzocht. Uitwisseling op basis van naam, geboortedatum en eventueel nationaliteit is geen optie omdat namen op verschillende wijze geschreven kunnen worden en de geboortedatum niet altijd bekend is. Deze gegevens zijn onvoldoende onderscheidend voor een unieke identificatie. Om deze reden is ook het gebruik van een door elke organisatie of instelling zelf gecreëerd persoonsnummer geen oplossing. Juist hierom is het v-nummer gecreëerd. Gebruik van het bsn is geen alternatief omdat niet alle vreemdelingen al in een vroeg stadium kunnen worden ingeschreven in de basisregistratie personen (BRP).
ARTIKEL IV. Wegenverkeerswet 1994
Onderdelen A en B (artikelen 181 en 182)
In de artikelen 181 en 182 van de Wegenverkeerswet 1994 (WVW) is – kort gezegd – bepaald dat als een verkeersdelict wordt begaan door een bij de ontdekking van het feit onbekend gebleven bestuurder, de op het feit gestelde straffen kunnen worden opgelegd aan de eigenaar of houder van het motorrijtuig of aan de eigenaar of houder van de aanhangwagen die met dat motorrijtuig wordt voortbewogen. De Wet administratiefrechtelijke handhaving verkeersvoorschriften (Wahv) hanteert een vergelijkbaar uitgangspunt door te bepalen dat als niet aanstonds is vastgesteld wie de overtredende bestuurder is, de administratieve sanctie wordt opgelegd aan degene op wiens naam het kenteken van het motorrijtuig of de aanhangwagen was ingeschreven in het kentekenregister ten tijde van de gedraging (artikelen 5 tot en met 5b van de Wahv) (zie voor de wijzigingen in die artikelen, artikel IV van het onderhavige wetsvoorstel). Dit is de zogeheten kentekenaansprakelijkheid. Waar in het vervolg over motorrijtuigen wordt gesproken, worden daaronder, tenzij anders vermeld ook aanhangwagens verstaan.
Veel motorrijtuigen behoren in eigendom toe aan leasemaatschappijen en verhuurbedrijven, die veelal tevens houder van het kenteken van de betreffende motorrijtuigen zijn. Deze partijen worden veelvuldig geconfronteerd met (strafrechtelijke en administratieve) sancties voor overtredingen die zijn begaan met door hen verhuurde, of op andere wijze aan derden ter beschikking gestelde, motorrijtuigen. Zowel de WVW als de Wahv bieden de eigenaar dan wel kentekenhouder de bevoegdheid om aan de autoriteiten door te geven wie de daadwerkelijke bestuurder was. Dit kan dan leiden tot vernietiging van de Wahv-beschikking en het opnieuw opleggen daarvan aan de bestuurder (artikel 8 van de Wahv) of tot het achterwege blijven van oplegging van een strafrechtelijke sanctie aan de eigenaar of houder (artikelen 181, tweede en derde lid, en 182, tweede en derde lid, van de WVW). De eigenaar of kentekenhouder weet echter niet altijd wie de feitelijke bestuurder van het motorrijtuig was. Vooral in bedrijfsmatige situaties, zoals bij de genoemde leasemaatschappijen en verhuurders, komt het daarom met regelmaat voor dat sancties op basis van contractuele afspraken zouden moeten worden doorgestuurd naar de houder (de lessee) van het motorrijtuig om te achterhalen wie de daadwerkelijke bestuurder was. De houder of lessee is vaak de werkgever van de bestuurder. In sommige gevallen betaalt de eigenaar of kentekenhouder de sanctie zelf en wordt de sanctie vervolgens alsnog doorgezet naar de daadwerkelijke bestuurder of diens werkgever, met het oog op het verhaal van het boetebedrag.
Het ontvangen door de eigenaar of (kenteken)houder van een sanctie die ziet op een overtreding begaan door een andere persoon betreft op zichzelf reeds een verwerking van persoonsgegevens van die andere persoon (de feitelijke bestuurder). Gaat het om een sanctie die is opgelegd op grond van de WVW, zoals een strafbeschikking, dan is er daarnaast ook sprake van een verwerking van persoonsgegevens van strafrechtelijke aard in de zin van artikel 10 AVG. Wahv-boetes zijn administratieve sancties en vallen als zodanig niet onder de reikwijdte van artikel 10 AVG. Zowel de WVW als de Wahv bieden als gezegd een grondslag voor het opleggen van de sancties. Er is echter geen voldoende duidelijke grondslag voor de verwerking van de persoonsgegevens door de eigenaar of (kenteken)houder, zoals de – al dan niet door tussenkomst van diens werkgever in de hoedanigheid als houder van het voertuig – (door)verstrekking van die gegevens aan de daadwerkelijke bestuurder van het motorrijtuig, met het oog op het achterhalen van de bestuurder of voor het verhaal van het reeds door de eigenaar of (kenteken)houder betaalde boetebedrag.
Vanuit het oogpunt van de verkeersveiligheid en de effectiviteit van het verkeersbeleid is het echter van belang dat de daadwerkelijke bestuurder van het motorrijtuig de sanctie (uiteindelijk) betaalt doordat de boete alsnog aan hem wordt opgelegd, of doordat het reeds betaalde boetebedrag op hem kan worden verhaald. Omdat het hier gaat om een structurele, veelvoorkomende verwerking, wordt voorgesteld dit blijvend transparant te borgen door in beide wetten uitdrukkelijk te bepalen dat de eigenaar (bijvoorbeeld een leasemaatschappij) of de houder (bijvoorbeeld de werkgever van de bestuurder) bevoegd zijn de aan hen gezonden persoonsgegevens (van al dan niet strafrechtelijke aard) te verwerken. Hierdoor kunnen deze gegevens zo nodig met het oog op de hiervoor genoemde doelen worden verstrekt aan de daadwerkelijke bestuurder dan wel aan diens werkgever of aan een andere houder van het motorrijtuig, afhankelijk van de in de lease- of verhuurconstructie gemaakte afspraken
Benadrukt zij dat met deze wijzigingen geen bevoegdheid ontstaat voor de eigenaar of kentekenhouder om een register bij te houden van de met zijn motorrijtuig(en) gepleegde overtredingen. Die bevoegdheid is op grond van artikel 10 AVG exclusief voorbehouden aan de overheid. De eigenaar of kentekenhouder, of een (rechts)persoon in de tussenliggende keten, (bijvoorbeeld de werkgever) is enkel bevoegd om op incidentele basis, dus op grond van een concrete sanctie, de bijbehorende gegevens te verwerken indien noodzakelijk is met het oog op het achterhalen van de daadwerkelijke bestuurder of met het oog op de financiële afwikkeling van die sanctie. Dit volgt uit de zinsnede «voor zover die verwerking noodzakelijk is voor de uitvoering van dit artikel en het verhaal van de straf op de bestuurder». Volledigheidshalve wordt opgemerkt dat ook de verstrekking van een concrete, opgelegde sanctie door de eigenaar aan een houder (bijvoorbeeld een werkgever) uitsluitend mag plaatsvinden indien door de eigenaar niet op een andere manier kan worden achterhaald wie de daadwerkelijke bestuurder was ten tijde van de overtreding, of indien verstrekking aan de houder vereist is voor het succesvol verhalen van de sanctie op de daadwerkelijke bestuurder. Indien bijvoorbeeld een leasemaatschappij als kentekenhouder een sanctie krijgt opgelegd maar zelf reeds heeft kunnen achterhalen wie de bestuurder ten tijde van de overtreding was, dient verstrekking van de opgelegde sanctie zonder tussenkomst van de werkgever van de bestuurder plaats te vinden.
Tot slot zij benadrukt dat de voorgestelde grondslagen om persoonsgegevens (van al dan niet strafrechtelijke aard) te mogen verwerken, geen wijziging brengen in het systeem van kentekenaansprakelijkheid. Er wordt slechts een grondslag voor gegevensverwerking gecreëerd met het oog op bovengenoemde doelen.
ARTIKEL V. Wet administratiefrechtelijke handhaving verkeersvoorschriften
Onderdelen A, B en C (artikelen 5, 5a en 5b)
Voor de toelichting op dit artikel wordt verwezen naar de toelichting op de voorgestelde wijzigingen in de Wegenverkeerswet 1994 in artikel IV.
ARTIKEL VI Wet justitiële en strafvorderlijke gegevens
Onderdeel A (artikel 16, tweede lid)
In dit artikel wordt in de laatste zin per abuis gesproken over politiegegevens, terwijl het gaat om justitiële gegevens. Dit wordt hierbij aangepast.
Onderdeel B (artikel 36)
Dit artikel herstelt een onjuiste verwijzing in artikel 36, eerste lid, van de Wet justitiële en strafvorderlijke gegevens. De juiste verwijzing moet een verwijzing naar het tweede lid van artikel 21 van die wet zijn.
ARTIKEL VII Wet marktordening gezondheidszorg
Onderdeel A (artikel 60, vierde lid)
In het vierde lid van artikel 60 van deze wet werden in de definitie van persoonsgegevens van strafrechtelijke aard ook gegevens betreffende een gerechtelijke verbod naar aanleiding van onrechtmatig of hinderlijk gedrag opgenomen. Omdat dit onderdeel komt te vervallen als onderdeel van de definitie van persoonsgegevens van strafrechtelijke aard in artikel 1 UAVG (zie toelichting I, onder A), moet dit onderdeel ook vervallen in deze bepaling.
Onderdelen B en C (artikel 70 en 70a)
In deze artikel worden de verwijzingen naar het College en Wet bescherming persoonsgegevens vervangen.
ARTIKEL VIII. Wet op de rechtsbijstand
Onderdelen A en B (artikel 1)
Artikel 9, eerste lid
Met het voorgestelde artikel 9 van de Wet op de rechtsbijstand (Wrb) wordt verduidelijkt dat het bestuur van de raad voor rechtsbijstand (verder: het bestuur) bij de uitoefening van zijn wettelijke taken op grond van die wet persoonsgegevens, waaronder bijzondere categorieën van persoonsgegevens en persoonsgegevens van strafrechtelijke aard kan blijven verwerken voor zover dit noodzakelijk is voor de uitoefening van zijn wettelijke taken.
Het bestuur heeft, kort gezegd, tot taak het zorgdragen voor de organisatie en verlening van rechtsbijstand en mediation, voor een zo evenwichtig mogelijke spreiding van het aanbod van rechtsbijstand en mediation en een zo doelmatig mogelijke besteding van de hem ter beschikking staande middelen.
Het bestuur neemt onder meer besluiten op aanvragen om rechtsbijstand op basis van een toevoeging (artikel 7, derde lid, onderdeel a, van de Wrb). Daartoe beoordeelt hij onder meer de toevoegwaardigheid van het juridische probleem of geschil (artikelen 12, 23i, 28 en 33e van de Wrb) en eventuele bijzondere omstandigheden (artikelen 16, 23c, 23h en 23j van de Wrb), de financiële draagkracht van de rechtzoekende en – kort gezegd – diens partner (artikelen 7, derde lid, onderdeel e, 25, 33e, 34, 34b en 37 van de Wrb), eventuele tegenstrijdige belangen van de rechtzoekende en diens partner (artikelen 34, derde lid, en 33e van de Wrb) en de reden van eventuele terugval van het inkomen en/of vermogen (artikelen 34c, vierde lid, en 33e van de Wrb). Het bestuur stelt de hoogte van de eigen bijdrage van de rechtzoekende vast en beoordeelt daarbij in voorkomende gevallen bijzondere omstandigheden die tot toepassing van een hardheidsclausule kunnen leiden (artikelen 24, vijfde lid, 33e, 44, tweede en derde lid, van de Wrb en het op artikel 35 van de Wrb gebaseerde Besluit eigen bijdrage rechtsbijstand).
Voorts stelt het bestuur vast in welke gevallen rechtsbijstand op basis van een toevoeging kosteloos is (artikelen 43, eerste lid, en 44, vierde lid, van de Wrb) en draagt hij zorg voor de verlening van piketrechtsbijstand. Daarnaast is het bestuur belast met de wijziging, beëindiging en intrekking van toevoegingen (artikelen 33, eerste lid, 34g en 33e van de Wrb), en draagt het bestuur zorg voor de vaststelling en uitbetaling van vergoedingen aan rechtsbijstandverleners en mediators (artikelen 7, derde lid, onder b, 33e en 37 van de Wrb en het Besluit vergoedingen rechtsbijstand 2000) en voor de controle op werkzaamheden van rechtsbijstandverleners en mediators (artikel 7, derde lid, onderdeel c, van de Wrb). Ter uitvoering van zijn taken treft het bestuur onder meer voorzieningen (artikelen 7, tweede lid, en 8 tweede lid, van de Wrb) en sluit hij overeenkomsten met verleners van rechtsbijstand en mediation (artikelen 7, derde lid, onderdeel d, en 13, eerste en tweede lid, van de Wrb).
Om voornoemde taken goed te kunnen uitvoeren verwerkt het bestuur noodzakelijkerwijs persoonsgegevens, waaronder in voorkomende gevallen ook bijzondere categorieën van persoonsgegevens als bedoeld in paragraaf 3.1 UAVG en persoonsgegevens van strafrechtelijke aard als bedoeld in paragraaf 3.2 UAVG. Zo kan alleen al een globale omschrijving van de gevraagde rechtsbijstand in discriminatieklachten gegevens met betrekking tot ras, etnische afkomst, seksuele gerichtheid of politieke opvattingen bevatten. Aanvragen om rechtsbijstand in bijvoorbeeld letselschadezaken en meldingen voor psychiatrische piketrechtsbijstand gaan noodzakelijkerwijs gepaard met verwerking van gezondheidsgegevens. In arbeidszaken kan bijvoorbeeld het lidmaatschap van een vakbond van belang zijn voor de vraag of de rechtzoekende in aanmerking komt voor gesubsidieerde rechtsbijstand. Verder vergt onder meer rechtsbijstand in strafzaken, en de terugvordering van subsidie van de gewezen rechtzoekenden die in een strafzaak bij onherroepelijk geworden uitspraak zijn veroordeeld (artikel 43, derde lid, van de Wrb), de verwerking van persoonsgegevens van strafrechtelijke aard.
Een goed functionerend stelsel voor gesubsidieerde rechtsbijstand en mediation is van zwaarwegend algemeen belang. Randvoorwaarde voor een goed functionerende rechtsstaat is de toegang van burgers tot het recht. Burgers moeten toegang hebben tot informatie, advies, begeleiding bij onderhandeling, rechtsbijstand en de mogelijkheid van een beslissing door een neutrale (rechterlijke) instantie. Die toegang moet ook voor minder draagkrachtige burgers worden gewaarborgd om hen in staat te stellen hun juridische problemen op te lossen en om te voorkomen dat het recht van de sterkste prevaleert. Dit vereist onder meer dat het bestuur kan beschikken over alle relevante informatie, waaronder genoemde persoonsgegevens, die nodig is voor de verlening van gesubsidieerde rechtsbijstand. De verwerking van persoonsgegevens door het bestuur geschiedt op grond van artikel 6, eerste lid, onderdelen c en e, en derde lid, AVG. Artikel 9, eerste lid, van de AVG bevat een verbod om bijzondere categorieën van persoonsgegevens te verwerken, waarvan voor zover hier van belang op grond van artikel 9, tweede lid, onderdeel g, AVG bij nationaal recht kan worden afgeweken. Op grond van artikel 10 AVG is het verwerken van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen alleen mogelijk onder toezicht van de overheid of indien dat is toegestaan bij Unierechtelijk of in nationaal recht.
Het is ook van zwaarwegend algemeen belang dat het bestuur identificerende nummers kan verwerken. Op grond van artikel 46 UAVG wordt een nummer dat ter identificatie van een persoon bij wet is voorgeschreven bij de verwerking van persoonsgegevens slechts gebruikt ter uitvoering van de desbetreffende wet dan wel voor doeleinden bij de wet of algemene maatregel van bestuur bepaald.
Het voorgestelde artikel 9 van de Wrb legt de rechtsgrond voor de verwerking van persoonsgegevens overeenkomstig artikel 6, derde lid, AVG neer in het lidstatelijk recht dat op het bestuur als verwerkingsverantwoordelijke van toepassing is. Het voorziet tevens in de uitzondering op de verwerkingsverboden bedoeld in artikelen 9, eerste lid, en 10 AVG.
Hierbij wordt volledigheidshalve opgemerkt dat het voorgestelde artikel 9 betrekking heeft op de taakuitoefening van het bestuur, en derhalve ook de werkzaamheden omvat van een ieder die eventueel onder verantwoordelijkheid van het bestuur meewerkt aan die taakuitoefening. Het is steeds van belang om voor de verzameling en verwerking van de persoonsgegevens zoals hierboven beschreven vast te stellen of er een eigen rechtsgrond bestaat voor de verwerkende partij. De rollen van de verschillende partijen die in de keten persoonsgegevens verwerken, zullen steeds aan de hand van feiten in de praktijk worden vast gesteld.
Om duidelijk te maken dat de raad de nummers ter identificatie van personen die bij wet zijn voorgeschreven mag verwerken is ervoor gekozen om een verwijzing naar artikel 46 UAVG en niet naar artikel 87 AVG op te nemen.
De wettelijke taken van het bestuur op grond van de Wrb zijn op hoofdlijnen neergelegd in de artikelen 7 en 7a van de Wrb en daarnaast in een groot aantal andere bepalingen in de Wrb. Omdat de taakomschrijving in de artikelen 7 en 7a van de Wrb niet alle taken op grond van de Wrb beslaat die noodzakelijkerwijs de verwerking van bijzondere categorieën persoonsgegevens en/of persoonsgegevens van strafrechtelijke aard mee (kunnen) brengen, wordt in het voorgestelde artikel 9 gesproken van de taken van het bestuur «op grond van deze wet».
De passende en specifieke maatregelen en waarborgen die op grond van de artikelen 9, tweede lid, onderdeel g, en artikel 10 AVG met het creëren van een uitzondering op het verbod van de artikelen 9, eerste lid, en 10 AVG ter bescherming van de grondrechten en de fundamentele belangen van betrokkene gepaard moeten gaan, zijn onder meer gelegen in de geheimhoudingsplichten. Een ieder die betrokken is bij de uitvoering van de taken van het bestuur en die daarbij de beschikking krijgt over gegevens waarvan hij het vertrouwelijke karakter kent of redelijkerwijs moet vermoeden en voor wie niet reeds uit hoofde van ambt, beroep of wettelijke voorschrift een geheimhoudingsplicht geldt, is op grond van artikel 2:5 van de Awb gehouden tot geheimhouding van die gegevens, behoudens voor zover enig wettelijk voorschrift hem tot mededeling verplicht of uit zijn taak de noodzaak tot mededeling voortvloeit. Deze geheimhoudingsplicht is onder meer van belang voor (medewerkers van) de raad voor rechtsbijstand en door het bestuur op grond van de artikelen 7, tweede lid, en 8, tweede lid, van de Wrb getroffen voorzieningen en voor derden als bedoeld in artikel 13, eerste en tweede lid, van de Wrb waarmee het bestuur een overeenkomst tot verlening van rechtsbijstand heeft gesloten. De geheimhoudingsplicht van in het stelsel van gesubsidieerde rechtsbijstand werkzame advocaten, notarissen en gerechtsdeurwaarders is geregeld in het bepaalde bij of krachtens de Advocatenwet, de Wet op het notarisambt en de Gerechtsdeurwaarderswet.
Een andere belangrijke waarborg is de transparantie van de gegevensverwerking. Het bestuur van de raad voor rechtsbijstand beschikt over een privacyverklaring waarin het voor een ieder helderheid verschaft over de wijze waarop het als verwerkingsverantwoordelijke invulling geeft aan zijn verplichtingen uit de AVG en de UAVG, en meer in het bijzonder welke soorten gegevens van welke personen het met welk doel verwerkt, welke gegevens het met welk doel aan welke anderen kan verstrekken, en welke gegevens hoe lang worden bewaard. Het bestuur moet deze privacyverklaring op geschikte wijze bekendmaken.
Als verwerkingsverantwoordelijke moet het bestuur voldoen aan alle eisen die de AVG en de UAVG aan de verwerkingsverantwoordelijke opleggen.
Artikel 9, tweede lid
Onder verantwoordelijkheid van het bestuur kunnen ook derden die betrokken zijn bij de verlening van gesubsidieerde rechtsbijstand en mediaton persoonsgegevens verwerken. Het tweede lid van het voorgestelde artikel 9 beperkt de groep verwerkers. Het gaat uiteraard om verleners van rechtsbijstand. Rechtsbijstand omvat zowel de gesubsidieerde eerstelijnsrechtsbijstand (rechtshulp) als de gesubsidieerde tweedelijnsrechtsbijstand die op basis van een toevoeging of in de vorm van piketrechtsbijstand wordt verleend (artikel 1, eerste lid, van de Wrb). Wie deze rechtsbijstand verleent, is geregeld in artikel 13, eerste en tweede lid, van de Wrb. Het gaat voorts om (medewerkers van) bij de raad voor rechtsbijstand ingeschreven mediators, commissies die het bestuur ter uitvoering of voorbereiding van zijn taken heeft getroffen (artikel 8, eerste lid, van de Wrb) en voorzieningen die het bestuur ter uitvoering van zijn taken (op grond van de artikelen 7, tweede lid, en 8, tweede lid, van de Wrb) heeft getroffen.
Bij de uitvoering van zijn taken werkt het bestuur ook samen met personen en instanties die buiten het stelsel van de Wrb rechtskundige of maatschappelijke hulp of bemiddeling verlenen, zoals sociaal raadslieden en medewerkers van de gemeentelijke schuldhulpverlening.
Het tweede lid laat de eigen verwerkingsverantwoordelijkheid van bijvoorbeeld advocaten onverlet. Uiteraard vindt niet alle gegevensverwerking door verleners van rechtsbijstand en juridische of sociaal-maatschappelijke diensten plaats onder verantwoordelijkheid van het bestuur. Die dienstverleners hebben ook hun eigen verwerkingsverantwoordelijkheid die los staat van de vraag of hun dienstverlening al dan niet in het kader van de Wrb wordt gesubsidieerd. Ook zonder subsidiëring kan de uitvoering van de overeenkomst met een cliënt immers tot verwerking van persoonsgegevens nopen. Dit zal veelal gebaseerd zijn op de toestemming van de cliënt.
Als verwerkingsverantwoordelijke draagt het bestuur zorg voor een privacyverklaring, waarin onder meer is opgenomen wie onder zijn verantwoordelijkheid persoonsgegevens kan verwerken. Deze wordt door het bestuur op geschikte wijze bekendgemaakt. Hierdoor is het voor de betrokken burger op voorhand kenbaar welke personen en instanties ter uitvoering van de Wrb onder verantwoordelijkheid van het bestuur persoonsgegevens kan verwerken en, gelet op het voorgestelde artikel 10, bij de communicatie met het bestuur ook diens burgerservicenummer mag gebruiken.
Artikel 10
Het burgerservicenummer (bsn) is een nationaal identificatienummer in de zin van de artikelen 87 AVG en 46 UAVG. Op grond van de Wet algemene bepalingen burgerservicenummer (Wabb) wordt het bsn gebruikt door het bestuur en verschillende andere gebruikers (in de zin van de Wabb) die, al dan niet op grond van de Wrb, rechtskundige of maatschappelijke hulp verlenen. Het bestuur gebruikt het bsn om persoonsgegevens te verifiëren bij de Basisregistratie Personen en om het inkomen en vermogen van de rechtzoekende – en in voorkomend geval dat van diens partner (artikel 34, derde lid, van de Wrb) – door middel van gegevensuitwisseling met de Belastingdienst vast te stellen met het oog op de aanspraak op gesubsidieerde rechtsbijstand of mediation op basis van een toevoeging en de vaststelling van de eigen bijdrage. Niet alle verleners van gesubsidieerde rechtsbijstand en mediation, en ook niet alle relevante verleners van eerstelijns rechtskundige of maatschappelijke hulp zijn op dit moment als gebruiker gerechtigd tot het gebruik van het bsn om zeker te stellen dat de persoonsgegevens die zij ter uitvoering van de Wrb met het bestuur delen, op de juiste persoon of personen betrekking hebben. De huidige artikelen 25 en 33e van de Wrb bieden daarvoor momenteel onvoldoende grondslag. Het voorgestelde artikel 10 van de Wrb voorziet in de noodzakelijke grondslag om de relevante ketenpartners van het bestuur in staat te stellen het bsn te gebruiken om te waarborgen dat de gegevens die zij ter uitvoering van de Wrb met het bestuur uitwisselen, ook daadwerkelijk betrekking hebben op de juiste personen. Die ketenpartners zijn opgenomen in het voorgestelde artikel 9, tweede lid, van de Wrb. Hun kenbaarheid voor de rechtzoekende is geborgd door opneming in de privacyverklaring van het bestuur.
ARTIKEL IX. Wet op het accountantsberoep
Enig onderdeel (artikel 57)
Accountants krijgen op basis van artikel 23a UAVG de mogelijkheid om bijzondere categorieën persoonsgegevens te verwerken indien dat noodzakelijk is voor de uitvoering van een bij wettelijk voorschrift voorgeschreven controle (zie toelichting bij artikel I, onderdeel I). Het in de Wet op het accountantsberoep (Wab) in te voegen artikel 57 maakt het mogelijk bijzondere categorieën persoonsgegevens te verwerken indien dat noodzakelijk is voor de uitvoering van die wet. Voor goede uitvoering van de Wab, waarin de organisatie en taken van de Nederlandse Beroepsorganisatie van Accountants (NBA) zijn geregeld, is het soms nodig dat medewerkers van de NBA bijzondere categorieën persoonsgegevens inzien in de controledossiers van accountants (de leden van de NBA). Dit betreft overigens voor zover het persoonsgegevens betreft die onder het medisch beroepsgeheim vallen of hebben gevallen, wel gepseudonimiseerde gegevens, zie ook de toelichting bij artikel I onder I. De NBA is op grond van artikel 3 Wab verantwoordelijk voor een goede beroepsuitoefening door accountants. In dat kader stelt de NBA op grond van artikel 19 Wab beroepsregels vast die borgen dat accountants de fundamentele beginselen van integriteit, objectiviteit, deskundigheid, zorgvuldigheid, geheimhouding en professioneel gedrag in acht nemen. De handhaving van die beroepsregels en de borging van de kwaliteit van de controlewerkzaamheden van accountants vergen soms dat de kwaliteitstoetsers van de NBA inzage moeten hebben in controledossiers van accountants, waarin ook bijzondere categorieën persoonsgegevens zouden kunnen zijn opgenomen. Ook de kwaliteitstoetsers zijn accountants die aan geheimhoudingregels gebonden zijn. Deze bepaling heeft betrekking op controles die bij of krachtens de wet verplicht zijn gesteld en niet onder het toezichtsbereik van de AFM vallen. Hoewel de kwaliteitsborging van de NBA verder reikt dan de werkzaamheden die een accountant verricht bij de uitvoering van bij wettelijk voorschrift verplicht gestelde controles, is de mogelijkheid voor medewerkers van de NBA om bijzondere categorieën persoonsgegevens te verwerken beperkt tot deze werkzaamheden. Hiermee wordt aangesloten bij het nieuwe artikel 23a UAVG.
ARTIKEL X. Wet op het financieel toezicht
Enig onderdeel (artikel 3:17)
Een bank of betaalinstelling met zetel in Nederland is op grond van artikel 3:17, eerste lid, van de Wet op het financieel toezicht (Wft) verplicht tot het uitvoeren van transactiemonitoring met het oog op het tegengaan van fraude teneinde een integere bedrijfsvoering te waarborgen67. In dat kader kan een bank of betaalinstelling in voorkomende gevallen, en voor zover mogelijk, overgaan tot het geautomatiseerd blokkeren of opschorten van de transactie. Dit kan bijvoorbeeld als er ten aanzien van een cliënt sprake is van een afwijkend transactiepatroon ten opzichte van het gebruik van het individuele financieel product, bijvoorbeeld door de aanwezigheid van (fraude)indicatoren. Dit is een reeds lang bestaande praktijk. Daarbij kan gedacht worden aan gevallen waarin met de bankpas van een cliënt in het buitenland een bedrag wordt gepind, terwijl met dezelfde bankpas enkele minuten eerder nog is gepind bij een pinautomaat in de woonplaats van de cliënt. Dit is een sterke aanwijzing voor fraude. Aangezien het geautomatiseerd, dat wil zeggen zonder menselijke tussenkomst, stoppen van een transactie de betrokken cliënt in aanmerkelijke mate kan treffen, is het geautomatiseerd blokkeren of opschorten van een transactie door een bank of betaalinstelling aan te merken als geautomatiseerde individuele besluitvorming in de zin van artikel 22 AVG. Op grond van artikel 22, tweede lid, AVG is dit slechts in een aantal gevallen toegestaan, onder meer als de betreffende geautomatiseerde individuele besluitvorming is toegestaan bij een lidstatelijke bepaling die op de verwerkingsverantwoordelijke van toepassing is en die ook voorziet in passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van de betrokkene.
Met de voorgestelde bepalingen wordt verduidelijkt dat een bank of betaalinstelling in het kader van het uitvoeren van transactiemonitoring zo nodig ook geautomatiseerd transacties kan blokkeren of opschorten als hiervoor aanleiding is.
Het gaat om een afwijking van het transactiepatroon van de betreffende individuele cliënt. Het betreft hier dan ook geen profilering in de zin van de AVG, waarbij sprake is van vergelijking van bepaalde persoonlijke kenmerken met kenmerken van een groep. In dit geval is er sprake van vergelijking met kenmerken van betalingsgedrag van de betrokken persoon zelf. Verder moet een bank of betaalinstelling zo snel als redelijkerwijs mogelijk is na het blokkeren of opschorten van de transactie contact opnemen met de cliënt, dat wil zeggen door menselijke tussenkomst, om te onderzoeken of al dan niet sprake is van fraude. In dat kader moet de betrokken cliënt de mogelijkheid hebben om zijn standpunt over het blokkeren of opschorten van de transactie kenbaar te maken. Als naar het oordeel van de bank of betaalinstelling sprake is van fraude dan zal de transactie definitief worden geblokkeerd. Als dat niet het geval is, zal de transactie vervolgens alsnog worden uitgevoerd. Het geautomatiseerde besluit van een bank of betaalinstelling om een transactie te blokkeren of op te schorten kan worden aangevochten via de interne klachtenprocedure van de betreffende onderneming en zo nodig via de klachtenprocedure bij de stichting Klachteninstituut financiële dienstverlening (Kifid) en via de rechter. Op grond van de voorgestelde bepalingen worden bij algemene maatregel van bestuur nadere regels gesteld over passende maatregelen ter bescherming van de rechten en vrijheden en gerechtvaardigde belangen van cliënten in het geval van het blokkeren of opschorten van betalingstransacties. Deze maatregelen die zijn voorzien zijn:
a. bij geautomatiseerde gegevensanalyse worden geen algoritmes gehanteerd waarvan de uitkomsten niet navolgbaar en controleerbaar zijn;
b. de middelen op basis waarvan afwijkende individuele transactiepatronen worden gedetecteerd worden periodiek geëvalueerd;
c. in de privacyverklaring, de overeenkomst of voorwaarden van de bank of betaalinstelling wordt de betrokkene geïnformeerd over de mogelijkheid van geautomatiseerd blokkeren of opschorten van transacties ten behoeve van een integere bedrijfsvoering als bedoeld in het eerste lid;
d. persoonsgegevens worden uitsluitend verwerkt in systemen waarvoor een adequaat beveiligingsniveau geldt;
e. uitsluitend geautoriseerde personen hebben toegang tot de systemen waarin persoonsgegevens worden verwerkt;
f. er zijn organisatorische maatregelen om te zorgen dat gegevens alleen ten behoeve van een integere bedrijfsvoering als bedoeld in het eerste lid worden verwerkt;
g. de verwerking van gegevens in geautomatiseerde systemen wordt via elektronische weg vastgelegd;
h. de verwerking van de gegevens wordt beëindigd indien deze niet langer noodzakelijk is om te kunnen voldoen aan het waarborgen van een integere bedrijfsvoering als bedoeld in het eerste lid.
Nu de mogelijkheid om bij de uitvoering van transactiemonitoring in voorkomende gevallen transacties geautomatiseerd te blokkeren of op te schorten is geregeld in de Wft, ligt het – met het oog op de samenhang en begrijpelijkheid van de regeling – voor de hand om ook de verplichting tot het uitvoeren van transactiemonitoring zelf in de Wft op te nemen. De voorgestelde bepalingen voorzien hierin.
ARTIKEL XI Wet politiegegevens
Onderdeel A (Artikel 23a)
Het nieuwe artikel 23a van de Wet politiegegevens is ingevoegd bij de Verzamelwet Justitie en Veiligheid 2022 (Stb. 2022, 345). In het tweede lid is abusievelijk geen verwijzing opgenomen naar de werkzaamheden van de commandant van de Koninklijke Marechaussee ten behoeve van de Militaire Inlichtingen- en Veiligheidsdienst op grond van artikel 92 van de Wet op de inlichtingen- en veiligheidsdiensten 2017. De verwijzing naar artikel 92 wordt toegevoegd, zodat de desbetreffende politiegegevens rechtstreeks kunnen worden verstrekt.
Onderdeel B (Artikel 35)
Deze bepaling dient ertoe uitvoering te geven aan artikel 42, eerste lid, van de Europolverordening68, waarin is voorgeschreven dat elke lidstaat van de EU een nationaal controleorgaan aanwijst. Een dergelijke formele aanwijzing ontbreekt thans nog. De verstrekking van politiegegevens aan Europol geschiedt op basis van de Wet politiegegevens. Het toezicht op dergelijke verstrekkingen geschiedt, zo blijkt uit het eerste lid van dit artikel, door de AP.
ARTIKEL XII. Wet toezicht accountantsorganisaties
Onderdelen A en B (opschrift hoofdstuk 5A en artikel 63aa)
Het in te voegen artikel 63aa in de Wet toezicht accountantsorganisaties (Wta) maakt het mogelijk om bijzondere categorieën persoonsgegevens te verwerken als dat noodzakelijk is om te voldoen aan het bij of krachtens de Wta bepaalde en aan het bepaalde in de oob-verordening.69 Accountants krijgen op basis van artikel 23a UAVG de mogelijkheid om bijzondere categorieën persoonsgegevens te verwerken indien dat noodzakelijk is voor de uitvoering van een bij wettelijk voorschrift voorgeschreven controle (zie toelichting bij artikel I, onderdeel I). Hieronder vallen ook de zogenoemde wettelijke controles die worden uitgevoerd door externe accountants in de zin van de Wta en de oob-verordening. De Wta, het daarop gebaseerde Besluit toezicht accountantsorganisaties (Bta) en de oob-verordening bevatten diverse voorschriften voor accountantsorganisaties en daaraan verbonden externe accountants die beogen te borgen dat kwalitatief goede wettelijke controles worden uitgevoerd. De AFM houdt toezicht op de naleving van deze regels. Toezichthouders van de AFM moeten in voorkomend geval toegang hebben tot de controledossiers zodat de toezichthouders kunnen beoordelen of de voorschriften met betrekking tot de uitvoering van wettelijke controles zijn nageleefd. In dat kader kan het voorkomen dat toezichthouders van de AFM ook bijzondere categorieën persoonsgegevens in dat controledossier aantreffen en inzien. In het verlengde van de mogelijkheid voor controlerend accountants om persoonsgegevens te verwerken, ligt het voor de hand dat ook toezichthouders van de AFM dat mogen, voor zover dat noodzakelijk is voor de uitvoering van het toezicht.
ARTIKEL XIII. Samenloop
Dit artikel bevat een samenloopbepaling met de Archiefwet 2021. Er worden twee opties opgenomen in dit wetsvoorstel, waarin de Archiefwet 2021 eerder in werking treedt, en die waarin onderhavig wetsvoorstel eerder in werking treedt.
ARTIKEL XIV. Inwerkingtreding
De inwerkingtreding zal op grond van artikel XVII plaatsvinden op een bij koninklijk besluit te bepalen tijdstip, waarbij verschillende artikelen of onderdelen daarvan verschillend kunnen worden vastgesteld.
Deze memorie van toelichting wordt uitgebracht mede namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties.
De Minister voor Rechtsbescherming, F.M. Weerwind