Rina Steenkamp - Privacy en technologie
Hoofdstuk 4. Melding en voorafgaand onderzoek
2. De Lid-Staten kunnen alleen in de volgende gevallen en onder de volgende voorwaarden voorzien in vereenvoudigde aanmelding of vrijstelling van deze verplichting tot aanmelding:
- wanneer zij voor de categorieën verwerkingen waarbij, rekening houdend met de verwerkte gegevens, inbreuk op de rechten en vrijheden van de betrokkenen onwaarschijnlijk is, preciseren: de doeleinden van de verwerking, de verwerkte gegevens of categorieën verwerkte gegevens, de categorie(ën) betrokkenen, de ontvangers of categorieën ontvangers aan wie de gegevens worden verstrekt, en de periode gedurende welke de gegevens worden bewaard, en/of
- wanneer de voor de verwerking verantwoordelijke, overeenkomstig het nationale recht waaraan hij is onderworpen, een functionaris voor de gegevensbescherming aanwijst die met name
- op onafhankelijke wijze toezicht uitoefent op de toepassing binnen de organisatie van de krachtens deze richtlijn getroffen nationale maatregelen,
- een register bijhoudt van de door de voor verwerking verantwoordelijke verrichte verwerkingen, waarin de in artikel 21, lid 2, bedoelde gegevens opgenomen zijn,
en er aldus voor zorgt dat inbreuk op de rechten en vrijheden van de betrokkenen door de verwerkingen onwaarschijnlijk is.
3. De Lid-Staten kunnen bepalen dat lid 1 niet van toepassing is op verwerkingen die alleen tot doel hebben een register bij te houden dat volgens de wettelijke of bestuursrechtelijke bepalingen bedoeld is om het publiek voor te lichten en dat door een ieder dan wel door iedere persoon die zich op een gerechtvaardigd belang kan beroepen, kan worden geraadpleegd.
g) "ontvanger", de natuurlijke of rechtspersoon, de overheidsinstantie, de dienst of enig ander lichaam aan wie, respectievelijk waaraan de gegevens worden meegedeeld, ongeacht of het al dan niet een derde betreft; instanties waaraan gegevens kunnen worden meegedeeld in het kader van een bijzondere onderzoeksopdracht worden evenwel niet beschouwd als ontvangers
Indien aan de meldingsplicht onverkort de hand zou worden gehouden, zou afbreuk worden gedaan aan de daarmee beoogde transparantie. Er zouden vele gegevensverwerkingen moeten worden aangemeld waarvan het bestaan evident is. Het gevolg zou slechts zijn dat de gegevensverwerkingen waarvan het wel nodig is dat zij in beeld worden gebracht, ondersneeuwen. Het is daarom nodig de bekende, veel voorkomende vormen van gegevensverwerking waarvan het bestaan in het algemeen bekend mag worden verondersteld, van de meldingsplicht vrij te stellen. De meldingsplicht heeft tot doel dat de verantwoordelijke geprikkeld wordt om zich rekenschap te geven van de doeleinden waarvoor hij persoonsgegevens wil verwerken en verslag te doen van de overwegingen welke persoonsgegevens noodzakelijk zijn voor het bereiken van het doel en van het gebruik van de gegevens in verband met dat doel. Deze functies blijven behouden doordat de doelstelling, de aard van de gegevens en de verstrekkingen in de vrijstelling worden beschreven. De beantwoording van de vraag naar het doel van de verwerking ligt dan besloten in de toets van de verantwoordelijke of wel of niet moet worden aangemeld. Worden de gegevens verwerkt in afwijking van de vrijstelling, dan herleeft de meldingsplicht.
Het is de bedoeling een groot deel van de vele vormen van gegevensverwerking vrij te stellen. Artikel 18, tweede lid, van de richtlijn bepaalt dat vrijstelling van de aanmeldingsplicht mogelijk is wanneer inbreuk op de rechten en vrijheden van de betrokkenen door de verwerkingen onwaarschijnlijk is. Dit betekent dat een zodanige inbreuk bij de vrij te stellen verwerkingen en met inachtneming van de aan de vrijstelling te verbinden voorwaarden onwaarschijnlijk dient te zijn. Uitgangspunt is derhalve of de inbreuk op de persoonlijke levenssfeer onwaarschijnlijk is, bij voorbeeld gegevensverwerkingen die standaard zijn en waarvan in het algemeen bekend is dat deze voorkomen. Als voorbeeld kan de verwerking van persoonsgegevens die voorkomen in archiefbescheiden die op grond van de Archiefwet 1995 naar een archiefbewaarplaats zijn overgebracht, worden genoemd. Bij verwerking van gevoelige gegevens kan de nadere precisering van de vrijgestelde verwerkingen tot de conclusie leiden dat een inbreuk daardoor onwaarschijnlijk is geworden. De vrijstelling van melding van bepaalde verwerkingen van gevoelige gegevens is derhalve niet uitgesloten.
Het is evenwel de bedoeling verwerkingen die geschieden zonder medeweten van de betrokkene niet vrij te stellen. In dergelijke gevallen kan de inbreuk op de persoonlijke levenssfeer bezwaarlijk als onwaarschijnlijk worden aangemerkt. Wanneer bij voorbeeld een werkgever, een verantwoordelijke in de zin van het wetsvoorstel, zijn medewerkers een informatiesysteem voor hun werk aanbiedt en daarbij gegevens opslaat die tot individuele medewerkers herleidbaar zijn, dan dient hij hen daarover in beginsel te informeren. De ondernemingsraad is daarvoor een geschikt forum. Er zijn omstandigheden denkbaar dat informatie achterwege moet blijven. Een voorbeeld is een concrete verdenking van fraude die via gegevensverwerking kan worden opgelost, terwijl andere opsporingsmiddelen niet als reëel alternatief in aanmerking komen. Wanneer niet reeds in het algemeen vooraf kenbaar is gemaakt dat voor een dergelijk doel gegevens kunnen worden verwerkt, dient een dergelijke onopgemerkte gegevensverwerking middels een melding plaats te vinden. De functionaris dient hierop in het bijzonder controle te kunnen uitoefenen indien de betrokkenen zelf wegens onwetendheid omtrent de gegevensverwerking hiertoe niet in staat zijn.
Vrijstelling heeft een verminderde transparantie tot gevolg. Een compensatie hiervoor ligt in de verplichting van de verantwoordelijke ingevolge artikel 30, derde lid, een ieder, dus ongeacht of het gaat om een betrokkene of niet, desgevraagd in kennis te stellen van de gegevens die hij verwerkt. Dit betekent dat de verantwoordelijke een overzicht moet kunnen geven van de gegevensverwerkingen die onder zijn verantwoordelijkheid plaatsvinden. Is een dergelijk overzicht niet meteen voorhanden, dan zal hij naar aanleiding van een concreet verzoek nader onderzoek moeten verrichten. Hij kan zich niet beroepen op het feit dat hij zelf niet op de hoogte is.
In de WBP zijn er in het systeem van vrijstellingen vergeleken met de WPR enige veranderingen aangebracht. De WPR kent een open systeem van nader aan vrij te stellen registraties te verbinden voorwaarden. Er zijn in de WPR geen beperkingen aan de nadere normen die bij algemene maatregel van bestuur voor de vrijgestelde registraties kunnen worden vastgesteld. Op grond van de WBP is het strikt genomen niet meer mogelijk dergelijke nadere normen te stellen. In de WBP worden vaste criteria gegeven waaraan een verwerking moet voldoen om vrijgesteld te worden. De uitputtende opsomming van vaste criteria bestaat uit: de doeleinden, de aard van de gegevens, categorieën betrokkenen, de verstrekking en de bewaartermijnen. Er is sprake van deregulering in die zin dat de regering wordt gebonden aan een aantal limitatief omschreven criteria die kunnen worden gebruikt om de vrij te stellen gegevensverwerkingen te omschrijven. De regering is niet bevoegd om in het vrijstellingsbesluit criteria te geven die buiten deze opsomming vallen. Er is aan de andere kant minder souplesse in die zin dat ten aanzien van de vrij te stellen categorieën, deze criteria ook alle aan de orde moeten komen. Theoretisch gaat het hierbij niet om een nadere normering, maar om een aanduiding van de omvang van de vrijstelling. In de praktijk werkt evenwel deze indirecte weg toch normerend.
In het derde lid is de mogelijkheid opgenomen voor bijzondere opsporingsdiensten een apart regime te treffen in het belang van de opsporing van strafbare feiten. Het is de bedoeling een regime vast te stellen vergelijkbaar met dat van artikel 13 van de Wet politieregisters en artikel 8 van het besluit met betrekking tot tijdelijke registers. Daarbij is in het onderhavig wetsvoorstel in ieder geval vastgelegd dat voor dergelijke vrijgestelde gegevensverwerking het gesloten verstrekkingenregime van de Wet politieregisters van overeenkomstige toepassing dient te zijn. De richtlijn voorziet niet in een dergelijke mogelijkheid. Voor zover echter bijzondere opsporingsdiensten niet onder het communautaire recht vallen, kan van deze bepaling gebruik worden gemaakt. De nationale wetgever behoudt, uiteraard binnen de grenzen van het internationale recht, de vrijheid om een dergelijke regel te stellen.
In het vierde lid ten slotte is een algehele vrijstelling geregeld voor openbare registers die bij de wet zijn ingesteld. Artikel 18, derde lid, van de richtlijn biedt daartoe uitdrukkelijk de mogelijkheid. Het gaat om registers met een specifieke grondslag in de formele wet die in het Staatsblad is gepubliceerd en die op grond van diezelfde wet voor een ieder vrij toegankelijk zijn. Onder die omstandigheden bestaat geen behoefte aan een afzonderlijke meldingsverplichting.
In artikel 1, onder g, van de richtlijn wordt van het begrip 'ontvanger' uitgezonderd instanties waaraan gegevens op kunnen worden medegedeeld in het kader van een bijzondere onderzoeksopdracht. Het uitzonderen van dergelijke verstrekkingen van het begrip 'ontvanger' heeft met name consequenties voor de meldingsplicht en de informatieplicht van de verantwoordelijke. Aangezien de verstrekkingen niet worden aangemerkt als verstrekkingen aan een ontvanger gelden immers de desbetreffende artikelen niet (artikel 10, onderdeel c, artikel 11, eerste lid, onderdeel c, en 19, eerste lid, onderdeel d, van de richtlijn). Het voorschrift is in het onderhavige wetsvoorstel uitgewerkt in de zin dat het gaat om 'verstrekkingen aan een bestuursorgaan ingevolge een wettelijke verplichting'. Deze verstrekkingen zijn immers kenbaar en daarmee transparant omdat ze zijn gebaseerd op een wettelijke verplichting.
Met het oog op de strekking van het voorschrift is er voor gekozen het niet te implementeren als een uitzondering op de begripsomschrijving van 'ontvanger' maar op te nemen als een uitzondering op de bepalingen waarop het effect zou hebben. Het voorschrift is daarom opgenomen in de vorm van een uitzondering op de meldingsplicht (artikel 29, vierde lid) omdat het noodzakelijk is hierop een specifieke uitzondering te bedingen. Een dergelijke uitzondering is niet noodzakelijk ten aanzien van de informatieplicht van de verantwoordelijke (artikelen 33 en 34) omdat de betrokkene van deze informatie op de hoogte kan worden geacht. Een voorbeeld van een verstrekking die op grond van het vierde lid van de meldingsplicht is uitgezonderd is de verstrekking door publiekrechtelijke rechtspersonen van persoonsgegevens aan de Dienst voor het Kadaster ten behoeve van de bijhouding van de kadastrale registratie (artikel 54, derde lid, van de Kadasterwet).
[MvT, pagina 140-142]