samenstelling college en raad van advies pagina 6

het vertrouwen...

(door Jacob Kohnstamm)

pagina 2

“Vertrouwen bevordert de sociale cohesie in de samenleving, werkt als smeerolie in de economische machine, is wezenlijk voor constructieve en creatieve menselijke relaties.”

samenstelling college en raad van advies

pagina 6

Mevrouw mr. dr. Jannette Beuving is per 1 mei 2005 benoemd tot collegelid. Aan drs. Jan Willem Broekema is per 14 november 2005 eervol ontslag verleend als collegelid.

2005 in vogelvlucht

pagina 8

“Het CBP heeft zich in 2005 nadrukkelijk de vraag gesteld wat de essentie was en is van hetgeen met de WBP beschermd dient te worden en langs welke weg een en ander gerealiseerd dient te worden.”

beleid van de toezichthouder

pagina 22

“Vanuit de heroriëntatie op de fundamentele waarden die met de bescherming van persoonsgegevens gemoeid zijn, heeft het CBP zich ook gecommitteerd aan het initiatief om tot een nationaal mensenrechteninstituut te komen.”

activiteiten van het CBP

pagina 31

De toezichthouder is actief op een breed terrein: openbaar bestuur, politie en justitie, arbeid en sociale zekerheid, zorg en welzijn, handel en diensten, telecommunicatie, technologie en op internationaal gebied.

organisatie

pagina 54

“Het CBP blijft welbewust een organisatie in verandering in reactie op maatschappelijke eisen en ontwikkelingen, toenemende werkdruk en een te zeer achterblijvende groei van de capaciteit.”

bijlagen

pagina 68

Overzichten van wetgevingsadviezen, onderzoeksrapporten, gedragscodes, modelreglementen, documenten van de Europese Artikel 29-werkgroep en publicaties van het CBP.

english summary

page 78

– Introduction by Jacob Kohnstamm, chairman of the Dutch DPA; – Summary of activities and results in 2005; statement of goals for 2006.

inhoud



Het vertrouwen... Vertrouwen bevordert de sociale cohesie in de samenleving, werkt als smeerolie in de economische machine, is wezenlijk voor constructieve en creatieve menselijke relaties. Vertrouwen maakt deel uit van het sociale kapitaal van de democratische rechtsstaat.

De Wet bescherming persoonsgegevens heeft tot doel een bijdrage te leveren aan het vertrouwen dat burgers kunnen hebben in de wijze waarop in de samenleving met persoonsgegevens zal worden omgesprongen. Uit onderzoek in 2004 en 2005 verricht in opdracht van het CBP blijkt dat dit vertrouwen bij de burgers te wensen overlaat en in ieder geval duidelijk achterblijft bij het belang dat zij hechten aan een zorgvuldige omgang met hun gegevens in de verschillende maatschappelijke domeinen.



jaarverslag 2005

Onderling vertrouwen en vertrouwen in de samenleving ontstaan waar machtsuitoefening in een democratische samenleving voelbaar en zichtbaar in toom gehouden wordt. De Wet bescherming persoonsgegevens heeft in dat kader allereerst een afweerfunctie. Publiek en privaat vormgegeven macht, die mede uitgeoefend wordt op basis van het gebruik van persoonsgegevens en die ontplooiing van het individu in negatieve zin kan beïnvloeden, dient in toom gehouden worden. De wet verbiedt daarom het onnodig verwerken van persoonsgegevens ter bescherming van de persoonlijke levenssfeer en vraagt verder in essentie dat op nadenkende en fatsoenlijke wijze met verzamelde persoonsgegevens omgesprongen wordt. In de huidige maatschappelijke context bestaat de tendens om de tot voor kort gebruikelijke algemene houding van vertrouwen in deelnemers aan het maatschappelijke verkeer te verlaten. De afname van sociale controle, zoals die bijvoorbeeld nog bestond in de zuilenmaatschappij, vraagt om andere beheersingsmechanismen. Het op grote schaal automatiseren en koppelen van bestanden door overheid en bedrijfsleven houdt daarmee verband. Hoog op de maatschappelijke en politieke agenda staan het op administratief-technische wijze voorkomen van misbruik van overheidsvoorzieningen, het vergroten van de klantgerichtheid van overheid en bedrijfsleven en het bevorderen van veiligheid door versterking van (de bevoegdheden van) justitie en politie. Optimale inzet van wat de technologie vermag, wordt daarbij nagestreefd. Als gevolg daarvan komen evenwel belangrijke maatschappelijke noties onder druk te staan. Een bekende drieslag in ons rechtsstelsel is de proportionele toepassing van controle- en opsporingsbevoegdheden: uitgangspunt is vertrouwen, met vervolgens een algemeen toezichtinstrumentarium ter controle en ten slotte opsporing van overtredingen in het geval er sprake is van redelijke verdenking. In toenemende mate worden echter in een vroegtijdig stadium bevoegdheden en middelen aangewend die oorspronkelijk gegeven waren om pas te worden ingezet bij op repressie gerichte activiteiten. De verplichting tot het bewaren van telecommunicatiegegevens ten behoeve van justitie en politie, preventief toezicht op wie de grote steden in- en uitgaan (de zogenaamde virtuele slotgracht), de acceptatie van uitvoerige klokkenluiders- en klikvoorzieningen en uitvoerige controle van allerhande gegevens alvorens tot het toekennen van een uitkering te besluiten zijn daarvan uitingen. Ook buiten de sfeer van opsporing en vervolging leggen overheidsinstanties en particuliere bedrijven vroegtijdig bestanden aan en brengen zij koppelingen tot stand met het oog op het voorkomen van ieder denkbaar toekomstig misbruik. De ontwikkeling van de ‘andere overheid’ die op proactieve wijze burgers als klant wil ‘bedienen’, creëert daartoe nieuwe mogelijkheden en afhankelijkheden. Enigszins overdreven verwoord is een tendens zichtbaar waarin de voorheen op vertrouwen en op de veronderstelling van onschuld gefundeerde omgangsvormen in de samenleving, vervangen worden door op geïnstitutionaliseerd wantrouwen gebaseerde omgangsvormen. Als een steeds omvattender technologie die ontwikkeling ondersteunt en ogenschijnlijk de – veelal voorlopige – grenzen dicteert, raakt dat de essentie van de positie van het individu in de moderne samenleving. In bovenbedoeld maatschappelijk klimaat bestaat het risico van vermindering, zo niet van erosie van de gevoeligheid voor de noodzaak tot bescherming van persoonsgegevens. Met de bescherming van persoonsgegevens worden echter achterliggende waarden gediend. Deze waarden zijn naast de bescherming van de persoonlijke levenssfeer onder meer het voorkomen van onrechtvaardigheid en schade, de gelijke behandeling en het voorkomen van discriminatie, de individuele autonomie binnen bepaalde grenzen en de informationele gelijkheid. inleiding



Deze waarden zijn niet steeds van gelijke orde. Sommige dienen een direct individueel belang. Andere achterliggende waarden zoals vertrouwen, gelijkheid, vrijheid van communicatie of bescherming van lichamelijke integriteit, blijven ook in het huidige maatschappelijke klimaat van groot belang voor een vrije en democratische samenleving die onze maatschappij is en wenst te blijven. Het CBP heeft in 2005 geïnvesteerd in het opnieuw doordenken van het doel van de Wet bescherming persoonsgegevens, de onderliggende waarden bij de bescherming van persoonsgegevens en de wijze waarop deze doelen en waarden het best gediend kunnen worden door de toezichthouder. Een dergelijke reflexie kan niet op een zinnige wijze in de splendid isolation van de eigen kring en bevoegdheden worden uitgevoerd. Het CBP heeft in 2005 bewust, regelmatig en met groot genoegen de gedachtewisseling en het debat met deskundigen en maatschappelijke partijen gezocht, soms in een meer beschouwelijke context, soms in directe relatie tot de noodzaak als toezichthouder een standpunt te kiezen ten opzichte van maatschappelijke ontwikkelingen. Het CBP zal op deze weg doorgaan. Voor 2006 is de formele evaluatie van de Wet bescherming persoonsgegevens voorzien. Deze evaluatie is zonder enige twijfel nuttig. Allerlei overwegingen zullen uiteindelijk de praktische invulling van deze evaluatie bepalen. Het CBP wil voor een evaluatie in eerste instantie stilstaan bij de vraag welke waarden in het geding zijn. Daarna is de vraag actueel of de Wet bescherming persoonsgegevens aan de bescherming of aan de verdere uitbouw van die waarden een bijdrage heeft geleverd of zou kunnen leveren. En pas dan draait het om de vraag of inhoud en verwoording van de wet en de daarin geregelde bevoegdheden en verantwoordelijkheden wijziging behoeven tegen de achtergrond van de hierboven geschetste maatschappelijke tendensen. De Wet bescherming persoonsgegevens is een instrument. Het wezenlijke dilemma is de noodzaak van én controle én vertrouwen.

J. Kohnstamm voorzitter



jaarverslag 2005

NRC Handelsblad, januari 2005

inleiding



samenstelling college en raad van advies

college 2005 mr. J. Kohnstamm

mr. dr. U. van de Pol

voorzitter

collegelid (tot 28 februari 2005)

mw. mr. dr. J. Beuving

collegelid (per 1 mei 2005) drs. J.W. Broekema

collegelid (tot 14 november 2005)



jaarverslag 2005

raad van advies 2005 mw. prof. mr. I.P. Asscher-Vonk (benoemd)

prof. mr. J. Gevers

hoogleraar sociaal recht Radbout Universiteit Nijmegen

hoogleraar gezondheidsrecht Universiteit van Amsterdam

R. Bandell

mw. mr. L. Gonçalves-Ho Kang You (afgetreden)

burgemeester van Dordrecht

collegelid OPTA, voorzitter Amnesty International

prof.dr. T.M.A. Bemelmans (afgetreden)

prof. mr. P.F. van der Heijden (afgetreden)

hoogleraar bestuurlijke informatiesystemen Technische

hoogleraar arbeidsrecht Universiteit van Amsterdam

Universiteit Eindhoven mw. drs. K. de Jonge (benoemd) prof. mr. E. Dommering

directeur Consumentenbond

hoogleraar informatierecht Universiteit van Amsterdam drs. R. van Ommeren mw. drs. A. van Es

oud-lid Raad van Bestuur ABN-AMRO

oud-lid Tweede Kamer drs. C. Rog prof. dr. E.J. Fischer (benoemd)

voorzitter commissie privacy VNO-NCW

algemeen directeur Verbond van Verzekeraars drs. L.J.E. Smits (benoemd) prof. mr. H. Franken (voorzitter)

directeur Het Expertise Centrum

hoogleraar informaticarecht Rijksuniversiteit Leiden D. Westendorp (afgetreden) oud-directeur Consumentenbond U vindt het organogram van het CBP op pagina x >

buitengewone leden college 2005 drs. J.J. Borking

H. de Zwart RE RA RO

ICT; Privacy-Enhancing Technologies

privacyaudits

prof. A.W. Neisingh RE RA (afgetreden)

mr. dr. U. van de Pol (benoemd) ombudsman Amsterdam

privacyaudits

directie mw. C.E. Romanesko

directeur

samenstelling college en raad van advies



2005

in vogelvlucht In de afgelopen jaren heeft de bescherming van de persoonlijke levenssfeer in de publieke opinie haar vanzelfsprekendheid verloren. Zorgen om terrorisme, onveiligheid en maatschappelijke misstanden bij burgers, bestuurders, politici en beleidsmakers hebben ertoe geleid dat de regels voor de bescherming van persoonsgegevens in het publieke debat als zondebok of als obstakel worden afgedaan. Behalve het politiek-maatschappelijke klimaat is ook het toezichtsdomein aan ingrijpende veranderingen onderhevig.



jaarverslag 2005

Het CBP heeft zich daarom in 2005 nadrukkelijk de vraag gesteld wat de essentie was en is van hetgeen met de WBP beschermd dient te worden en langs welke weg een en ander gerealiseerd dient te worden. In veranderende tijden kan minder vertrouwd worden op de zeggingskracht van de wet en zal meer gebruik moeten worden gemaakt van de visies en bevindingen van anderen. Het CBP prijst zich gelukkig dat het in 2005 bij deze reflexie – ook in het kader van de aanstaande evaluatie van de Wet bescherming persoonsgegevens – een beroep kon doen op de bereidheid van vele gesprekspartners – academici, experts uit het veld, bedrijven en maatschappelijke organisaties – om mee te denken. Controle op de naleving is wat de wetgever bij uitstek van de toezichthouder vraagt. Effectief toezicht op de naleving van en zonodig handhaving van de regels voor de omgang met persoonsgegevens is noodzakelijk. Onvoldoende mensen en middelen zijn echter beschikbaar om deze opdracht naar de volle omvang te kunnen verwezenlijken. Het CBP heeft in de afgelopen periode in allerlei kwesties zijn aandeel niet of slechts beperkt kunnen nemen. De maatschappelijk en politiek gewenste beleidsverschuiving naar meer onderzoek en handhaving kon slechts ten dele gerealiseerd worden. Het CBP heeft alle zeilen moeten bijzetten om althans op enkele grote dossiers te doen wat gezien de inherente risico’s voor de bescherming van de persoonlijke levenssfeer gedaan moest worden.

Zorgstelsel De stelselwijziging in de zorg gaf het CBP reden tot intensieve bemoeienis. Na de advisering in 2004 over de Zorgverzekeringswet (Zvw), heeft het CBP in 2005 veel aandacht besteed aan de uitwerking van de stelselwijziging. Met de minister van Volksgezondheid, Welzijn en Sport (VWS) zijn afspraken gemaakt over hoe de tekortkomingen in de Zorgverzekeringswet met betrekking tot de verwerking van persoonsgegevens zoveel mogelijk opgelost konden worden. Daartoe is onder meer artikel 87 Zvw in nauw overleg met het CBP uitgewerkt in een ministeriële regeling, de Regeling Zorgverzekering. Verder is afgesproken dat de ‘prestatiebeschrijvingen’ die voor een belangrijk deel de inhoud van de informatiestroom tussen zorgverleners en zorgverzekeraars vormen, in overleg met het CBP door de Zorgautoriteit zullen worden vastgesteld. De prestatiebeschrijvingen geven op detailniveau aan welke persoonsgegevens dienen te worden verstrekt ten behoeve van de declaratie van verleende zorg. Risicoverevening

Met de minister van VWS is verder overeengekomen dat voor risicoverevening geen persoonsgegevens gebruikt zullen worden. Volstaan kan worden met gepseudonimiseerde gegevens, dat wil zeggen dat de gegevens gekoppeld worden aan een unieke maar anonieme code. Het CBP adviseerde ook een aantal randvoorwaarden vast te leggen in de ministeriële regeling ter uitwerking van artikel 35 Zvw, dat betrekking heeft op de verwerking van persoonsgegevens ten behoeve van de risicoverevening. Voor de overgangssituatie naar het stelsel onder de Zvw waren tijdelijk (uitsluitend voor de ex-ante berekening 2006) wel persoonsgegevens noodzakelijk. Het tijdelijke karakter van deze verwerking is vastgelegd evenals een maximale bewaartermijn voor de benodigde gegevens.

in vogelvlucht



Resultaten 2005 in het vorige jaarverslag is aangekondigd dat in 2005 zou worden gestreefd naar de volgende resultaten

2005

•

is getemporiseerd tot medio

( het

jaarplan

2006):

Veiligheid en privacy

In 2004 heeft het CBP geadviseerd over het concept wetsvoorstel ter verruiming van de mogelijkheden ter opsporing van terroristische misdrijven. Dit advies is op veel punten niet gevolgd. In 2005 heeft het CBP zijn advies onder de aandacht gebracht van de vaste commissie voor Justitie van de Tweede Kamer. Op verzoek van de Tweede Kamer heeft het CBP de opzet van de Contra-terrorisme-infobox (CT-infobox) geanalyseerd. Verder heeft het CBP in samenwerking met de ministeries van BZK en Justitie de hoogleraren prof.mr. H.R.B.M. Kummeling en prof.mr.dr. E.R. Muller gevraagd onderzoek te doen naar de balans tussen veiligheid en privacy. In 2006 wordt het eindrapport verwacht.

•

Bijzondere politieregisters



In het kader van het structurele toezicht op de bijzondere politieregisters, heeft het CBP in het najaar van 2005 onderzoek gedaan bij twee bijzondere opsporingsdiensten. De resultaten hiervan zullen in 2006 beschikbaar komen.

•

Risicoselectie

In 2005 is een expertmeeting georganiseerd over risicoselectie. In 2006 zal hierover worden gepubliceerd.

•

Internet en privacy

In 2005 heeft een expertmeeting plaatsgevonden over internet en de bescherming van persoonsgegevens. In 2006 zal een verkenning op dit terrein worden gepubliceerd.

•

Informatieplicht



 e voorlichting over de informatieplicht is versterkt. Verder zijn D in 2005 enkele onderzoeken naar de naleving van de informatieplicht gestart die in 2006 zullen worden gepubliceerd.

•

Meldingsplichtonderzoek



In 2005 zijn de jaarlijkse meldingsplichtonderzoeken voorbereid maar uiteindelijk niet uitgevoerd. Temporisering van het jaarplan leidde tot uitstel van de start van de onderzoeken. Na de uitspraak van de Raad van State (uitspraak van 21 september 2005, 200504372/1: geen grondslag voor boete voor het niet melden van verwerkingen gestart voor 1 september 2001) is de reeks meldingsplichtonderzoeken voor 2005 uiteindelijk afgelast. De WBP wordt op dit punt in 2006 gerepareerd.

•

•

10

jaarverslag 2005

Samenwerkingsverbanden

Het CBP heeft in 2005 in diverse gevallen bijgedragen aan de verheldering van de regels voor de noodzakelijke uitwisseling van persoonsgegevens in samenwerkingsverbanden. In april 2005 heeft het CBP een symposium over dit onderwerp georganiseerd. Speciale bijeenkomsten gericht op toezichthouders zijn niet georganiseerd.

•

Toezicht en toezichthouders

Met de Commissie gelijke behandeling, de Nationale ombudsman en het Studie- en informatiecentrum mensenrechten heeft het CBP in 2005 een advies aan de regering uitgebracht over de wenselijkheid van de oprichting van een nationaal mensenrechteninstituut. Met OPTA en IWI zijn in 2005 samenwerkingsovereenkomsten gesloten. Het aantal functionarissen voor de gegevensbescherming is in 2005 licht gegroeid.

•

Zorg en zekerheid



In 2005 is veel aandacht besteed aan de Zorgverzekeringswet en alle veranderingen die deze met zich meebracht en aan de plannen voor invoering van het burgerservicenummer in de zorg. Verder is een verkennend onderzoek bij verzekeraars uitgevoerd naar gegevensstromen bij reïntegratie en de uitwisseling van medische gegevens tussen concernonderdelen. De publicatie van een normatief kader voor de sociale diensten zal worden uitgebracht in 2006.

•

Burgerservicenummer



 et CBP heeft in 2004 al geadviseerd over het Wetsvoorstel H algemene bepalingen burgerservicenummer. In het wetsvoorstel zoals in 2005 bij de Tweede Kamer ingediend, is onvoldoende rekening gehouden met de bezwaren van het CBP. Het CBP heeft bij de Tweede Kamer zijn zorgen hierover geuit. De voorgenomen voorbereiding op de taken die het CBP zou krijgen in het kader van de Nationale ombudsfunctie, was door uitstel van de inwerkingstreding van de wet nog niet aan de orde.

• Administratieve lasten In aansluiting op eind 2004 gedane voorstellen heeft het CBP verschillende malen overleg gevoerd met het ministerie van Justitie en het VNO/NCW, onder meer over verruiming van de vrijstelling van de meldingsplicht. Het is uiteindelijk aan de minister van Justitie om de Tweede Kamer voorstellen te doen. Dit is in 2005 niet gebeurd.

Binding Corporate Rules

Het CBP heeft actief bijgedragen aan een vereenvoudiging van de regels voor de doorgifte van persoonsgegevens naar verantwoordelijken buiten de Europese Unie. De Artikel 29werkgroep heeft in 2005 Europese afspraken gemaakt over een uniforme procedure voor het aanvragen van vergunningen en over een gecoördineerde afhandeling van vergunningaanvragen gebaseerd op zogenaamde binding corporate rules (BCR’s).

• Evaluatie Wet bescherming persoonsgegevens

Het CBP heeft zich op verschillende manieren voorbereid op de evaluatie van de Wet bescherming persoonsgegevens die is voorzien voor 2006 (artikel 80 Wbp). Onder andere door een aantal bijeenkomsten met experts uit het veld en overleg met het ministerie van Justitie.

Addendum Zorgverzekeraars bij gedragscode

Het Addendum Zorgverzekeraars, opgesteld door Zorgverzekeraars Nederland (ZN), bevat gedragsregels voor de omgang met persoonsgegevens door ziektekostenverzekeraars en is een aanvulling op de reeds bestaande Gedragscode Verwerking Persoonsgegevens Financiële Instellingen. Het addendum bevat onder meer regels met betrekking tot de omgang met declaratiegegevens en het uitvoeren van materiële controle op de declaraties. Intensief overleg tussen ZN, het ministerie van VWS, de artsenfederatie KNMG en de Nederlandse Patiënten Consumenten Federatie (NPCF) en het CBP heeft eind 2005 geleid tot overeenstemming over de inhoud van dit addendum. In april 2006 is de goedkeurende verklaring van het CBP ex artikel 25 WBP voor het Addendum gegeven. Diagnose behandeling combinatie en DBC-informatiesysteem

De afspraak met het ministerie van VWS en Zorgverzekeraars Nederland om de Diagnose Behandeling Combinaties (DBC’s) minder gedetailleerd en zo minder privacygevoelig te maken, bleek in 2005 helaas niet meer op de agenda te staan. Dit betekent dat vanaf 2006 DBC’s met gedetailleerde informatie die onder het medisch beroepsgeheim valt, door zorgverleners in ziekenhuizen aan zorgverzekeraars zullen worden verstrekt. Het ministerie heeft het CBP de toezegging gedaan om de komende jaren tot een vereenvoudiging van de DBC-systematiek te komen. Met de minister van VWS zijn afspraken gemaakt over de inzet van Privacy Enhancing Technologies (PET) bij het gebruik van gegevens in het DBC-informatiesysteem (DIS). Het DIS is een grote databank, een landelijk knooppunt voor het ontvangen, verwerken en verstrekken van gegevens die worden aangeleverd door ziekenhuizen en medisch specialisten. Door deze technische oplossing in te zetten kan de identiteit van de individuen achter de gegevens onbekend blijven. Dit neemt niet weg dat het DIS wat betreft omvang, dekking en inhoud een van de meest risicovolle verwerkingen in Nederland zal zijn. Geestelijke gezondheidszorg

Per 2007 zal een groot deel van de geestelijke gezondheidszorg (GGZ) worden vergoed via de Zorgverzekeringswet (Zvw). Nu valt de GGZ nog onder de Algemene wet bijzondere ziektekosten (AWBZ). De bedoeling is om de 'op genezing gerichte' geestelijke gezondheidszorg onder de Zvw te brengen. Per 2007 zullen daarom ook DBC's worden ingevoerd in de GGZ. In overleg met de beroepsgroep heeft het CBP in 2005 nadrukkelijk aandacht gevraagd voor het belang van de bescherming van persoonsgegevens op dit terrein. Wet gebruik burgerservicenummer in de zorg

Het huidige sofinummer zal onder de naam burgerservicenummer (BSN) vanaf de inwerkingtreding van de Wet algemene bepalingen burgerservicenummer worden gebruikt door en voor alle communicatie met de (semi-)overheid. De Wet gebruik BSN in de zorg bepaalt dat zorgaanbieders, ziektekostenverzekeraars en indicatieorganen het BSN zullen moeten gebruiken in hun onderlinge communicatie over patiënten. Het BSN zal in de toekomst ook worden gebruikt om het Elektronisch Medicatiedossier en het Elektronisch Patiëntendossier mogelijk te maken. Het CBP was zeer kritisch over dit conceptwetsvoorstel. De invoering van een dergelijk uniek identificerend nummer brengt grote risico’s met zich mee, risico’s die in ieder geval beperkt moeten worden. Het wetsvoorstel dat uiteindelijk aan de Tweede Kamer is voorgelegd, schiet op dit punt te kort.

in vogelvlucht

11

Terrorisme en veiligheid Vanwege de toename van plannen en maatregelen op Europees niveau voor veiligheid en criminaliteits- en terrorismebestrijding, zal de uitwisseling van gegevens van verdachte en onverdachte personen tussen de lidstaten van de EU steeds groter worden. Daarom neemt ook het belang toe van een geharmoniseerd en adequaat raamwerk voor de bescherming van persoonsgegevens voor de internationale uitwisseling van gegevens op het terrein van justitie en binnenlandse zaken, de zogenaamde derde pijler van de Europese Unie. Toezichthouder voor de derde pijler

De voorjaarsconferentie van Europese privacytoezichthouders in Krakow in april 2005 betuigde zijn instemming met het plan van de Europese Commissie om een nieuw juridisch kader voor gegevensbescherming in de derde pijler te ontwikkelen. Het hoge beschermingsniveau van de algemene privacyrichtlijn 95/46/EG zou daarbij het uitgangspunt moeten zijn. Tevens werd gepleit voor een onafhankelijk toezicht- en adviesorgaan, waarin de privacytoezichthouders zouden samenwerken. Nu het Constitutioneel Verdrag niet is aangenomen, blijft de pijlerstructuur van de Europese Unie voorlopig bestaan. Daarom is naast de Artikel 29-werkgroep voor de eerste pijler ook voor de derde pijler een dergelijk orgaan noodzakelijk. In de loop van het 2005 hebben de Europese privacytoezichthouders een gedetailleerder advies opgesteld, dat begin 2006 aangeboden is aan de Europese Raad en de Europese Commissie. Den Haag-programma

Het zogenaamde Den Haag-programma, een meerjarig programma vastgesteld onder het Nederlandse voorzitterschap van de Europese Unie in de tweede helft van 2004, bevat voorstellen met het oog op de strijd tegen terrorisme en grensoverschrijdende criminaliteit, zowel op het terrein van de derde pijler, justitie en binnenlandse zaken, als de eerste pijler van de EU, de interne markt. De belangrijkste voorstellen in 2005 behelsden het kaderbesluit gegevensbescherming in de derde pijler, de verdere ontwikkeling van bestaande Europese informatiesystemen, het zorgen voor betere interoperabiliteit en synergie tussen Europese databanken, introductie van biometrie in paspoorten en de centrale opslag van onder andere visuminformatie. Daarnaast kwam de richtlijn tot stand met de bewaarplicht voor verkeersgegevens van telecommunicatie. Verstrekkend was het voorstel voor een kaderbesluit over het principe van de beschikbaarheid van politiegegevens op grond waarvan meer gegevens van politie en justitie tussen lidstaten uitgewisseld kunnen worden. Handhavingsinformatie die beschikbaar is in één lidstaat zou zo direct beschikbaar worden voor de andere lidstaten. De Europese privacytoezichthouders hebben in 2005 in Wroclaw verklaard dat het principe van beschikbaarheid van handhavingsinformatie alleen zou mogen worden ingevoerd indien er ook een geharmoniseerd en adequaat kader voor gegevensbescherming in de gehele EU is. Bevoegdheden opsporing terroristische misdrijven

In 2004 heeft het CBP geadviseerd over het conceptwetsvoorstel ter verruiming van de mogelijkheden ter opsporing van terroristische misdrijven. Dit advies is op veel punten niet gevolgd. In 2005 heeft het CBP zijn kritiek daarom onder de aandacht gebracht van de vaste commissie voor Justitie van de Tweede Kamer. Het wetsvoorstel beoogt de politie in staat te stellen alle mogelijke aanwijzingen voor terrorisme te onderzoeken. Naar het oordeel van het CBP is dat de exclusieve taak van de AIVD, omdat de AIVD bij uitstek is toegerust voor die taak en omdat het

12

jaarverslag 2005

inlichtingenwerk van de AIVD sterk is afgeschermd. Als de politie dergelijke vergaande bevoegdheden al moet krijgen, zal ook voorzien moeten worden in passende waarborgen. Het wetsvoorstel schiet daarin tekort omdat de klassieke strafvorderlijke waarborgen als transparantie en rechterlijke controle vanuit het oogpunt van gegevensbescherming niet effectief zijn. Aan de mogelijk negatieve effecten van het voorstel voor de maatschappelijke positie van onschuldige burgers is vrijwel geheel voorbijgegaan. Het CBP heeft daarom geadviseerd een apart, sterk afgeschermd, eigen regime te creëren voor de verwerking van ‘zachte’ inlichtingen door de politie. Contraterrorisme-Infobox

In 2005 heeft het CBP op verzoek van de Tweede Kamer de opzet van de Contraterrorisme-Infobox (CT Infobox) geanalyseerd. Deze CT Infobox beoogt praktische uitvoering te geven aan bestaande wettelijke mogelijkheden tot uitwisseling van gegevens over terrorisme. Een eerste analyse door het CBP heeft geleid tot verduidelijking door de minister. Nadere analyse hiervan liet zien dat in ieder geval de deelname van de IND niet conform de wet is. Ook dient de grens tussen inlichtingenwerk en opsporing te worden gerespecteerd. Het kan legitiem zijn die grens te overschrijden, maar daarbij dient duidelijk gemarkeerd te blijven waar het inlichtingenwerk overgaat in de opsporing en vervolging van strafbare feiten. Bovendien moet voorzien zijn in effectief toezicht. Wetsvoorstel bevoegdheden vorderen gegevens

Op 1 januari 2006 is na een jaren durend voortraject de Wet bevoegdheden vorderen gegevens in werking getreden. Het wetsvoorstel is gebaseerd op de voorstellen van de Commissie strafvorderlijke gegevensvergaring (Commissie Mevis). De wet maakt het voor justitie en politie mogelijk om persoonsgegevens op te vragen bij maatschappelijke instellingen en bedrijven als dat voor de opsporing noodzakelijk is. Begin 2005 heeft de vaste commissie voor Justitie van de Eerste Kamer het CBP uitgenodigd voor een gesprek in het kader van de voorbereiding van de behandeling van het Wetsvoorstel bevoegdheden vorderen gegevens. Het CBP heeft gepleit voor twee structurele waarborgen: de mogelijkheid van een voorafgaande toetsing van een vordering door de rechter en een systematische en regelmatige controle op de verwerking van gegevens in de politieregisters. Bewaarplicht verkeersgegevens

Het CBP heeft zich in 2005 met kracht verzet tegen de introductie van een algemene bewaarplicht voor de zogenaamde verkeersgegevens van telecommunicatie. Nut noch noodzaak van een dergelijke massale, preventieve opslag van telecommunicatiegegevens van alle 450 miljoen Europese burgers waren aangetoond. Specifieke waarborgen ontbraken. Zowel op nationaal als op Europees niveau was er breed gedragen politieke kritiek op het voornemen van de Europese ministers van Justitie en Binnenlandse Zaken de bewaarplicht in een kaderbesluit te regelen. Dit politieke verzet kalfde in de loop van het jaar af. CIOT

Aanbieders van vaste en mobiele telefonie – en op termijn ook aanbieders van internet – zijn verplicht een supertelefoongids beschikbaar te houden voor raadpleging door politie, justitie en de inlichtingendiensten. Het Centraal Informatiepunt Opsporing Telecommunicatie (CIOT) in Zoetermeer valt onder het ministerie van Justitie en fungeert als doorgeefluik tussen telefoniesector en de autoriteiten. Veel telecomaanbieders laten hun bestand ook beheren door het CIOT. Op aandrang van het CBP werd een bewerkersovereenkomst serieus ter hand genomen in onderhandelingen tussen telecommunicatieaanbieders en CIOT. Ook is een auditovereenkomst tot stand gebracht. in vogelvlucht

13

Periodiek zal nu daadwerkelijk gecontroleerd worden of politie en justitie uitsluitend gegevens verkrijgen die op rechtmatige wijze zijn gevorderd. Beide overeenkomsten waren in januari 2006 gereed voor ondertekening door overheid en telecombedrijven.

Fraudebestrijding Zwarte lijsten

Waarschuwingslijsten als middel ter bestrijding van fraude en criminaliteit bleven in 2005 populair. Bij de beoordeling van de rechtmatigheid van een dergelijke lijst laat het CBP zwaar meewegen of het voorstel van de verantwoordelijke voldoende waarborgen biedt voor een zorgvuldige gegevensverwerking. Deze waarborgen vloeien voort uit de afweging van het belang van de organisatie en het privacybelang van de betrokkene. De Kamers van Koophandel hebben in 2005 een waarschuwingslijst ter beoordeling voorgelegd die bedoeld is om fraude door advertentieverkoop, loterijen en ongevraagde leveringen te signaleren. De omvang van de fraude via spooknota’s en acquisitiefraude brachten het Steunpunt Acquisitiefraude (SAF) er toe een waarschuwingslijst in het leven te roepen. Het SAF verzamelt gegevens en geeft meldingen op het gebied van

Biometrie in het paspoort

Paspoorten moeten veilig zijn en betrouwbare identificatie

Bij invoering van biometrie op het paspoort zal dit pro-

van reizigers mogelijk maken. Wat ligt er dan meer voor de

bleem zich direct doen gelden. Het gaat dus niet alleen om

hand dan het paspoort te voorzien van unieke lichaamsken-

principiële of langetermijnkwesties. Nu geclaimd wordt dat

merken van de drager? Biometrische kenmerken – een digi-

de landelijke inzet van biometrie om zwaarwichtige redenen

tale gezichtsfoto en vingerafdrukken – kunnen het paspoort

nodig is, dreigen er ernstige effecten voor burgers die niet

veilig maken, zo is de gedachte. Nadat er in EU-verband

voldoen aan de door machines gestelde eisen, hetzij door

afspraken zijn gemaakt over het opslaan van biometrische

tekortkomingen in de omgang met biometrische gegevens,

gegevens op reisdocumenten, zijn er in 2005 bovendien

hetzij vanwege de foutmarges die eigen zijn aan biometrie.

weer voorstellen gepresenteerd voor nationale centrale opslag van dergelijke gegevens.

De privacyaspecten van het grootschalige gebruik van biometrische gegevens zijn in 2004 naar voren gebracht in

De technologische aspecten van het op grote schaal toepas-

adviezen van de Artikel 29-werkgroep over de ontwikkeling

sen van biometrie worden echter nauwelijks besproken. Bij

van visumsystemen waarin ook sprake is van een gecentra-

het verzamelen en gebruiken van biometrische gegevens

liseerde opslag van biometrische gegevens. In 2005 heeft

bestaan altijd foutmarges. Dat wil zeggen dat het techni-

de Artikel 29-werkgroep advies uitgebracht over de imple-

sche systeem aan de hand van het biometrisch kenmerk op

mentatie van de Europese verordening om paspoorten te

het paspoort ten onrechte besluit dat document en reiziger

voorzien van vingerafdrukken. De werkgroep herhaalde haar

niet of juist wel bij elkaar horen. De grootte van de fout is

bezwaar tegen de invoering van vingerafdrukken en tegen

afhankelijk van de soort biometrie en van de kenmerken van een eventuele Europese centrale database met de paspoortde groep personen om wie het gaat. Wanneer het gaat om

gegevens. Verder werd gewaarschuwd voor de veiligheidsri-

controle op vele miljoenen reizigers, leidt een foutmarge

sico’s bij invoering van biometrie op een RFID-chip ●

van enkele procenten al tot zeer veel probleemgevallen.

14

jaarverslag 2005

vermoedelijke acquisitiefraude en van verzenders van spooknota’s door aan opsporingsen vervolgingsinstanties. Het Centraal Bureau Levensmiddelenhandel (CBL) wilde voor deelnemende organisaties een winkelwaarschuwingsregister beheren. Hiermee zou moeten worden voorkomen dat deelnemende winkels eveneens de dupe worden van criminele incidenten die al bij andere deelnemers zijn voorgevallen. Koppeling van bestanden bij fraudebestrijding

De grotere belangstelling voor uitkeringsfraude bij gemeenten weerspiegelt het gewijzigde maatschappelijke klimaat rond uitkeringen en vloeit direct voort uit het financiële belang dat gemeenten hebben bij een effectieve controle op de uitvoering van de Wet werk en bijstand. Medio 2005 heeft de staatssecretaris de gemeenten geïnformeerd over de mogelijkheden om bestanden te koppelen voor fraudebestrijding. Om recht te doen aan het belang van een effectieve fraudebestrijding en aan het belang van de bescherming van de persoonlijke levenssfeer van uitkeringsgerechtigden heeft het CBP in het najaar van 2005 de notitie Fraudebestrijding door bestandskoppeling aan de staatssecretaris van Sociale Zaken en Werkgelegenheid gestuurd. Controle via ontsluiting en koppeling van bestanden betekent veelal dat persoonsgegevens gebruikt worden voor een ander doel dan waarvoor de burger mocht verwachten dat de gegevens gebruikt zouden worden. Al te gemakkelijke koppeling van bestanden met gegevens van grote groepen onverdachte burgers acht het CBP buiten verhouding en onwenselijk. Uitgangspunt voor fraudebestrijding door bestandsontsluiting en -koppeling moet zijn dat de controlemogelijkheden ten aanzien van een individuele uitkeringsgerechtigde mogen toenemen naarmate er een sterker vermoeden van fraude aanwezig is, een methodiek die vergelijkbaar is met die van de Belastingdienst. In december 2005 informeerde de staatssecretaris de Tweede Kamer over de elektronische ontsluiting van een aantal bestanden voor de gemeenten. De staatsecretaris heeft daarbij de visie van het CBP op bestandsontsluiting en -koppeling een “helder kader voor besluitvorming” door gemeenten genoemd.

Informatie-infrastructuur De informatie-infrastructuur van de overheid ondergaat een ingrijpende verbouwing die de komende twee jaar zijn beslag zal krijgen. Zorgelijk is dat een overkoepelende visie op het persoonsinformatiebeleid ontbreekt. Een kamerdebat over het totale persoonsinformatiebeleid heeft hierdoor nog niet kunnen plaatsvinden. Burgerservicenummer

In 2005 is het Wetsvoorstel algemene bepalingen burgerservicenummer (Wabb) ingediend bij de Tweede Kamer. Het wetsvoorstel introduceert het gebruik van het burgerservicenummer (BSN) als algemeen persoonsnummer door de overheid. Het wetsvoorstel gaat in op het genereren, distribueren, toekennen en beheren van de nummers. Het voorstel voorziet echter niet in een regeling die ertoe bijdraagt dat in de praktijk zorgvuldig met het BSN wordt omgegaan. Het CBP wees hier al op in zijn advies over het wetsvoorstel uit 2004. Aangezien in het wetsvoorstel naar het oordeel van het CBP onvoldoende met dit bezwaar rekening gehouden was, heeft het CBP in oktober 2005 bij de Tweede Kamer zijn zorgen hierover geuit. Het CBP waarschuwt dat het voorstel voor de Wet algemene bepalingen burgerservicenummer ernstig tekortschiet als het gaat om de beperking van de risico’s verbonden aan invoering en gebruik van een dergelijk nummer. De fracties in de Tweede Kamer hebben over de punten die door het CBP naar voren zijn gebracht, vragen gesteld aan de minister. in vogelvlucht

15

 Doelen 2006 in 2006 zullen met name de volgende resultaten worden nagestreefd :

•

Zorgverzekeraars in heel Europa onderzocht

Het CBP is in 2005 een van de initiatiefnemers geweest voor het uitvoeren van een gezamenlijke handhavingsactie door alle EU-privacytoezichthouders. In 2006 zullen gezamenlijk afgestemde handhavingsonderzoeken worden uitgevoerd bij zorgverzekeraars. De uitkomsten van de onderzoeken zullen worden gebundeld in een gezamenlijk uit te brengen rapport.

•

Informatiebeveiliging van ziekenhuizen

In 2005 is veel publiciteit geweest over de informatiebeveiliging in ziekenhuizen. De Inspectie voor de Gezondheidszorg (IGZ) heeft in 2003 het onderzoek ‘ICT in ziekenhuizen’ uitgevoerd. In 2006 zullen het CBP en de IGZ in vervolg hierop gezamenlijk een onderzoek uitvoeren naar de informatiebeveiliging in ziekenhuizen.

• Administratieve lasten en privacy: Binding Corporate Rules In 2006 zal het CBP de vergunningaanvragen behandelen en coördineren van enkele grote multinationals volgens de nieuwe uniforme procedure voor het aanvragen van vergunningen voor doorgifte van persoonsgegevens naar landen buiten de Europese Unie en voor de gecoördineerde Europese afhandeling hiervan.

• De plicht om burgers te informeren Eind 2005 is door TNS/NIPO in vijf branches een onderzoek uitgevoerd naar de naleving van de informatieplicht op grond van de WBP en een onderzoek naar de naleving van de informatieplicht zoals burgers die ervaren. De resultaten zullen begin 2006 gepubliceerd worden. In 2006 zal het onderzoek leiden tot actie in de verschillende branches gericht op bekendheid met en naleving van de informatieplicht.

• Elektronisch Kinddossier Het voornemen bestaat om per 1 januari 2007 het elektronisch kinddossier in de jeugdgezondheidszorg in te voeren. Dit legt vanaf (voor) de geboorte de ontwikkeling van een kind en de kenmerken uit zijn omgeving vast. Het kinddossier zal worden gekoppeld aan het toekomstige burgerservicenummer. Het CBP zal in 2006 deze ontwikkeling intensief volgen en zo nodig adviseren.

•



Het internet confronteert gebruikers met vragen over hun privacy en de veiligheid van hun persoonsgegevens. Internet stelt het CBP voor vragen over zijn bevoegdheid als toezichthouder en de mogelijkheid van effectief toezicht op internet. In 2006 zal het CBP hierover een symposium organiseren en daarnaast een eerste position paper en enkele informatiebladen publiceren.

Interventieteams voor fraudebestrijding

Er is een landelijk dekkend netwerk van interventieteams dat in heel Nederland zwart werk, illegale arbeid, sociale zekerheidsfraude en fiscale fraude aanpakt. In deze teams werken gemeenten, Belastingdienst, Sociale Verzekeringsbank, Arbeidsinspectie, Uitvoeringsinstituut Werknemersverzekeringen en het Openbaar Ministerie samen. In 2006 zal het CBP onderzoek doen naar het naleven van de informatieplicht evenals naar de rechtmatigheid van het informatiedelen en het gebruik van politie-informatie door interventieteams.

•

Fraudebestrijding in de sociale zekerheid



 m fraude in de sociale zekerheid te bestrijden worden veel O voorstellen gedaan die allemaal in meer of mindere mate een inbreuk maken op de persoonlijke levenssfeer van mensen die een uitkering ontvangen. Gemeenten vragen toegang tot steeds meer bestanden van uiteenlopende organisaties. Het CBP zal in 2006 een expertmeeting organiseren over een duidelijker systematiek bij het bestrijden van deze fraude. Uitkeringsgerechtigden dienen niet meer ‘verdacht’ te zijn dan andere burgers. Verder zal in 2006 de naleving van de informatieplicht door sociale recherche worden onderzocht.

16

• Internetpublicaties en privacy

jaarverslag 2005

•

RFID en privacy



 adio Frequency Identification is een technologie waarmee R allerhande voorwerpen voorzien kunnen worden van kleine, uitleesbare zogenaamde tags (miniscule radiochips). Wat de chip aan informatie geeft over het voorwerp en wat de opvrager van de informatie vervolgens met de gegevens kan en mag doen raakt ook de bescherming van persoonsgegevens. In 2006 zal hiervan een publieke consultatieronde worden gehouden uitmondend in een extern rapport.

•

Biometrie in reisdocumenten

In 2006 wordt uitbreiding verwacht in het gebruik van biometrie in reisdocumenten. Het CBP zal een expertmeeting organiseren over de vraag naar nut, noodzaak en eventuele nadelen van grootschalige gecentraliseerde opslag van biometrische gegevens.

•

Burgerservicenummer (BSN)

De invoering van het burgerservicenummer en het gebruik van dit nummer in de zorg is uitgesteld. In vervolg op zijn brieven naar de Tweede Kamer over dit onderwerp van oktober 2005 en januari 2006 zal het CBP de invoering blijven volgen en waar nodig de ministers en/of de Kamers adviseren.

• Veiligheid en privacy

In samenwerking met de minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Justitie heeft het CBP prof.mr. H.R.B.M. Kummeling en prof.mr.dr. E.R. Muller gevraagd onderzoek te doen naar een goede balans tussen ‘veiligheid’ en ‘privacy’. Het CBP zal in het voorjaar van 2006 hierover een congres organiseren.

Verpakkingsmanagement, augustus 2005

in vogelvlucht

17

Het CBP acht het van groot belang voor de burger, de bescherming van diens persoonsgegevens en de maatschappelijke aanvaardbaarheid van de invoering van het burgerservicenummer, dat duidelijk wettelijk geregeld wordt: a) onder welke voorwaarden het BSN gebruikt mag worden; b) welke overheidsinstanties (en eventueel bedrijven) gebruik mogen maken van het BSN; c) dat vastgestelde vergissingen en fouten aan de burger gemeld worden; d) dat er een effectieve ombudsfunctie voor de burger komt; en e) dat er eisen worden gesteld aan de ICT-beveiliging van bestanden, die gebruik maken van het BSN. Stroomlijning basisgegevens

In het programma stroomlijning basisgegevens dat medio 2004 een herstart heeft gekregen, wordt de ontwikkeling van voorlopig zes basisregistraties (personen, gebouwen, adressen, Kadaster, topografie en bedrijven) beoogd. Daarnaast bestaat het voornemen om ook de zogenaamde polisadministratie (de administratie van de werknemersverzekeringen), het kentekenregister en de inkomensadministratie van de Belastingdienst aan te wijzen als basisadministraties. Kerngegevens in deze basisregistraties zullen verplicht door de overheid worden gebruikt en mogen niet meer worden opgevraagd van de burger of het bedrijf, het zogenaamde beginsel van eenmalige gegevensverstrekking en verplicht hergebruik. De invoering van het BSN en het daarbij behorende stelsel staat hiermee in nauwe relatie. In 2005 heeft het CBP over drie wetsvoorstellen van dit programma geadviseerd, namelijk het Wetsvoorstel register van ondernemingen en instellingen (vervanging van de huidige Handelsregisterwet), het Wetsvoorstel basisregistratie kadaster en geografie



OV-chipkaart In het openbaar vervoer zal de OV-chipkaart worden geïn-

nemers uitgebreid aan bod gekomen. Besproken is onder

troduceerd, één kaart voor het gehele openbaar vervoer.

meer hoe techniek, bedrijfsvoering en privacyaspecten met

Op de kaart kan een saldo in euro’s worden geladen, maar

elkaar te verenigen zijn.

ook een enkele reis, retour of abonnement. De op afstand uitleesbare kaart met het formaat van een bankpas is voor-

Begin 2006 publicerde het CBP zijn standpunt inzake de

zien van een chip. De kaart moet het reizen gemakkelijker

voorgenomen implementatie van het OV-chipkaartsysteem.

maken, zwartrijden tegengaan en de weg openen voor

Bij de realisatie van het OV-chipkaartsysteem moet reke-

nieuwe diensten voor reizigers. Omdat de kaart bovendien

ning gehouden worden met de eisen die door de WBP

dient als ‘toegangssleutel’ tot stations, kan de introductie

gesteld worden. In het plan zouden tot dan toe de gege-

ervan bijdragen aan het terugdringen van overlast op per-

vens over individuele gebruikers van een op naam gestelde

rons en in trein, tram, bus en metro.

OV-chipkaart en over hun reisgedrag ter beschikking komen van vervoerders, ook in gevallen waarin het gebruik van

Een mooie vinding, handig voor iedereen? Zeker, maar wel

deze gegevens niet is toegestaan.

met een paar privacykanten om goed over na te denken. Het CBP heeft zich in 2005 uitgebreid laten informeren

De bezwaren van het CBP spitsen zich toe op het gebruik

over de werking van het OV-chipkaartsysteem. Met de NS

van gedetailleerde, tot een persoon herleidbare reisgege-

en TransLink Systems BV (TLS), de belangrijkste betrokken

vens voor onder meer marketingdoelen. Voor een dergelijk

partijen, werd regelmatig overleg gevoerd over de effecten

gebruik dienen de betrokken reizigers toestemming te

die gebruik van de kaart kan hebben voor de persoonlijke

geven. Het CBP realiseert zich dat nog niet alle beslissin-

levenssfeer. In de gesprekken met de NS, TLS en ook in

gen rond de inrichting van het OV chipkaartsysteem defi-

de twee bijeenkomsten die het CBP heeft belegd met de

nitief zijn. Juist daarom wijst het tijdig op de noodzaak het

openbaarvervoerbedrijven, het ministerie van Verkeer en

systeem zó in te richten dat het functioneert in overeen-

Waterstaat en organisaties zoals de Consumentenbond, de

stemming met de eisen van de privacywetgeving ●

ANWB en ROVER zijn de zienswijzen van de diverse deel-

18

jaarverslag 2005

(een vernieuwde Kadasterwet) en een wijziging van de Wet gemeentelijke basisadministratie persoonsgegevens. In deze wetsvoorstellen wordt het verplichte gebruik van bepaalde gegevens door de overheid voorgeschreven. Daarbij is nauw aangesloten bij het regime van de al bestaande regelgeving. Informatiehuishouding politie

De huidige Wet politieregisters wordt integraal herzien. Het CBP heeft in 2004 de minister van Justitie geadviseerd over het conceptvoorstel Wet politiegegevens. Het CBP stemde in met de structuur voor de verwerking van politiegegevens binnen de politie maar kritiseerde het voorstel op onderdelen. Eind 2005 heeft het CBP de vaste commissie voor Justitie van de Tweede Kamer geïnformeerd over zijn kritiek op het uiteindelijke wetsvoorstel omdat het advies op essentiële punten niet gevolgd is: a) gegevens worden niet voorzien van een code die de betrouwbaarheid (het onderscheid tussen zachte en harde informatie) en afbreukrisico aangeeft, b) er zijn onvoldoende waarborgen aangebracht tegen derdenverstrekkingen van gegevens met een geringe betrouwbaarheid, c) er zijn geen extra waarborgen geschapen bij gegevens over onverdachte personen en d) een te ruime verzameling van gegevens over onverdachte personen is mogelijk gemaakt. Verder is het noodzakelijk de auditverplichting voor de informatiehuishouding van de politie, waarin ook een verplichting tot zelfevaluatie is opgenomen, wettelijk te verankeren. Schengen Informatiesysteem II

Het CBP was ook in 2005 voorzitter van de Gemeenschappelijke Controleautoriteit (GCA) Schengen. De belangrijkste ontwikkeling bleef de ontwikkeling van het Schengen Informatiesysteem (SIS) II. Het bestaande Schengen Informatiesysteem is ontoereikend voor uitbreiding naar de nieuwe lidstaten en kan geen biometrische gegevens bevatten. In vervolg op het advies over SIS II van 2004 adviseerde de GCA Schengen in oktober 2005 over het door de Europese Commissie voorgestelde juridische kader voor het nieuwe informatiesysteem. De GCA heeft enkele fundamentele bezwaren tegen de voorgestelde juridische grondslag. Het is niet duidelijk onder welke Europese juridische kaders SIS II zal komen te vallen en wie daarvoor bevoegd zal zijn. Het doel van de gegevensverwerking wordt onvoldoende specifiek gedefinieerd waardoor de rechtsgrondslag niet voldoet aan de grondbeginselen van gegevensbescherming. Verder is het toezicht door de nationale en de Europese toezichthouders onvoldoende geregeld. De rol van de Europese Commissie, de European Data Protection Supervisor (EDPS) en de nationale privacytoezichthouders blijven in het voorstel onduidelijk. Alle huidige taken van de GCA dienen opnieuw belegd te worden in de nieuwe toezichtstructuur. Europees visuminformatiesysteem

De Artikel 29-werkgroep heeft in 2005 een opinie uitgebracht over het voorstel om een Europees visuminformatiesysteem (VIS) op te zetten dat de uitwisseling van visumgegevens mogelijk maakt tussen lidstaten die de binnengrenscontroles hebben afgeschaft. Geen enkel Europees systeem is qua omvang en capaciteit met het VIS vergelijkbaar. Er zullen persoonsgegevens, waaronder biometrische gegevens, van miljoenen mensen in een centrale gegevensbank worden opgeslagen en tussen staten worden uitgewisseld. Het voorstel maakt ruime toegang tot het VIS mogelijk voor brede doeleinden. De werkgroep heeft daarom geadviseerd het doel waarvoor gegevens worden verwerkt in het VIS nauwkeurig te omschrijven en te beperken tot wat nodig is om het gemeenschappelijke visumbeleid te verbeteren. De systematische toegang moet worden beperkt tot de autoriteiten die het visumbeleid uitvoeren. Het doel waarvoor de verschillende Europese systemen zijn ontwikkeld, mag niet uit het oog worden verloren. Het streven de interoperabiliteit tussen Europese databanken als het VIS, het SIS II en in vogelvlucht

19

Eurodac te verbeteren, mag er niet toe leiden dat autoriteiten toch toegang hebben tot gegevens die zij niet mogen gebruiken.

Onderzoek en toezicht De naleving van de informatieplicht door overheden, bedrijven en andere organisaties heeft in 2005 bijzondere aandacht gekregen. De voorlichting hierover is versterkt en er zijn enkele onderzoeken naar de naleving van de informatieplicht gestart die in 2006 zullen worden gepubliceerd. De informatieplicht is een essentiële voorwaarde voor burgers om hun recht van inzage en correctie te kunnen uitoefenen ter behartiging van hun belangen. TNS-NIPO Consult heeft in opdracht van het CBP onderzoek gedaan naar de informatieplicht in drie sectoren: bij huisartsen, onderwijsinstellingen en woningbouwcorporaties. Ook is een representatieve enquête onder burgers gehouden naar hun opvattingen over de waarde van de informatieplicht en hun ervaringen met de manier waarop verantwoordelijken hen informeren over de verwerking van hun persoonsgegevens. Opnieuw bleek een tekort in het vertrouwen van burgers in de wijze waarop met hun gegevens wordt omgegaan. Particuliere recherche

In 2005 zijn twee onderzoeken gedaan bij particuliere recherchebureaus. Bij de beoordeling van de naleving van de WBP is ook de Privacygedragscode voor particuliere onderzoeksbureaus betrokken, die sinds 13 januari 2004 van kracht is. De minister van Justitie stelde per 1 juni 2004 het naleven van deze gedragscode voor alle particuliere recherchebureaus verplicht als voorwaarde voor een vergunning. Het CBP-onderzoek is het eerste sinds de regulering van de branche. Eén onderzoek betrof de naleving van de informatieplicht. Hiervoor zijn in een steekproef dertig bureaus benaderd met een enquête om een beeld te krijgen van de mate en de wijze van naleving van de informatieplicht. Het tweede onderzoek bestond uit verdiepende onderzoeken ter plaatse bij een drietal recherchebureaus. Hierbij werden naast de naleving van de informatieplicht ook diverse andere aspecten van de WBP getoetst, zoals het naleven van de bewaartermijn voor gegevens. De resultaten zullen in 2006 worden gepubliceerd. Onderzoek bij zorgverzekeraars

In het voorjaar van 2005 heeft het CBP een onderzoek uitgevoerd bij een drietal zorgverzekeraars. Het doel was om een beeld te krijgen van de verwerkingen van persoonsgegevens die bij zorgverzekeraars plaatsvinden en de eventuele problemen. Het onderzoek werd ook uitgevoerd met het oog op de beoordeling van het Addendum Zorgverzekeraars. Het Europese werkprogramma ter verbetering van de implementatie van de Privacyrichtlijn heeft onder meer als doel het versterken van de handhaving. De Artikel 29-werkgroep heeft in 2005 besloten dat het eerste gemeenschappelijke onderzoek van de nationale toezichthouders zich zal richten op de zorgverzekeraars. Het doel van het onderzoek is na te gaan of en hoe in de verschillende landen de privacyregels in deze sector worden nageleefd. Het onderzoek zal in 2006 van start gaan. Onderzoek bij reïntegratiebedrijven

Bij zes reïntegratiebedrijven heeft het CBP een verkennend onderzoek uitgevoerd naar de uitvoeringspraktijk bij reïntegratie van bijstandsgerechtigden en zieke werknemers. De onderzoeksrapporten zijn op 12 december 2005 aangeboden aan Borea, de Brancheorganisatie Reïntegratiebedrijven.

20

jaarverslag 2005

De conclusie van het onderzoek naar reïntegratie van bijstandsgerechtigden was dat de manier waarop reïntegratiebedrijven persoonsgegevens verwerken voor een groot deel bepaald wordt door de opdrachtgevers, de gemeenten. Gemeenten lijken als opdrachtgever meer gegevens in de rapportages over bijstandsgerechtigden te verlangen dan noodzakelijk is. Het onderzoek naar reïntegratie van zieke werknemers bevestigde de verwachting dat reïntegratiebedrijven ook in de praktijk last hebben van een lacune in de wetgeving voor arbeid. Er is onvoldoende wettelijke basis om te rapporteren over de mogelijkheden van werkhervatting en de mate waarin zieke werknemers hieraan meewerken. Binnen de huidige regelgeving hebben reïntegratiebedrijven geen mogelijkheid medische gegevens rechtmatig te rapporteren aan werkgever of arbodienst. Onderzoek vernietiging van getapte advocatengesprekken

In 2005 is onderzoek gedaan naar de naleving van de regels voor de vernietiging van opgenomen telefoongesprekken van advocaten met hun cliënten. Op grond van het Wetboek van Strafvordering moeten deze gesprekken, die vallen onder het beroepsgeheim van advocaten, vernietigd worden. Het CBP heeft steekproefsgewijs onderzocht of gesprekken die vernietigd moesten worden, ook daadwerkelijk vernietigd zijn. Dit onderzoek zal in 2006 worden afgerond en gepubliceerd. Onderzoek bij Europol

Het CBP heeft in 2005 de verwerking van persoonsgegevens door de Dutch Desk van Europol onderzocht. Europol is de Europese politiedienst voor bestrijding van grensoverschrijdende zware, georganiseerde criminaliteit. Elke bij de Europolovereenkomst aangesloten lidstaat beschikt over een nationaal contactpunt voor informatieuitwisseling met Europol en de andere aangesloten lidstaten. De Nederlandse afdeling, de Dutch Desk, is organisatorisch ondergebracht bij het Korps Landelijke Politiediensten (KLPD). Uit het onderzoek is een positief beeld naar voren gekomen van de wijze waarop de gegevensverwerking plaatsvindt. Het CBP heeft in 2005 ook deelgenomen aan de jaarlijkse audit van de Europolsystemen door het Gemeenschappelijk Controleorgaan van Europol. Uit de jaarlijkse controles blijkt telkens weer het grote belang van een behoorlijke kwaliteit van de door de lidstaten aangeleverde gegevens. Bij de audit van 2005 is tevens het nieuw ontwikkelde Informatie Systeem van Europol aan een onderzoek onderworpen. Uitwisseling politiegegevens met de Antillen

Snelle en zorgvuldige uitwisseling van politiegegevens tussen de Nederlandse Antillen en Nederland is belangrijk voor de bestrijding van criminaliteit. Om een dergelijke gegevensuitwisseling mogelijk te maken hebben de minister van Justitie, de minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Justitie van de Nederlandse Antillen het Protocol gegevensuitwisseling tussen de Nederlandse Antillen en Nederland opgesteld en ondertekend. Het CBP houdt toezicht op de uitwisseling van gegevens vanuit Nederland met de Antillen en het gebruikte systeem. Met de betrokken ministers is destijds de afspraak gemaakt dat het CBP ter plaatse zou vaststellen hoe de uitwisseling van gegevens verloopt en of het protocol wordt nageleefd. Dit onderzoek heeft in het najaar van 2005 plaatsgevonden en wordt in 2006 gepubliceerd.

in vogelvlucht

21

Burgers hebben er recht op dat fatsoenlijk met hun persoonsgegevens wordt omgegaan. Een behoorlijk nalevingsniveau van de regels voor het gebruik van persoonsgegevens draagt direct bij aan het vertrouwen van burgers in het maatschappelijke verkeer en in de overheid. Onderzoek in 2004 uitgevoerd door TNS NIPO Consult in opdracht van het CBP laat zien dat burgers een direct verband leggen tussen de manier waarop (zij denken dat) publieke en private organisaties omgaan met hun gegevens en het vertrouwen dat zij in deze organisaties hebben. Dit vertrouwen is een essentieel element in het sociale kapitaal van de samenleving. Voor het in stand houden en bevorderen van dit vertrouwen is effectief toezicht onontbeerlijk. De toezichthouder heeft daarvoor echter onvoldoende capaciteit.

22

jaarverslag 2005

de nieuwe locatie van het cbp : bruggebouw oost

Beleid van de toezichthouder

Structureel tekort aan capaciteit Het CBP heeft in de afgelopen periode in allerlei dossiers zijn aandeel niet of slechts beperkt kunnen nemen. De maatschappelijk en politiek gewenste beleidsverschuiving naar meer handhaving kon slechts ten dele gerealiseerd worden. Op essentiële punten zijn gaten gevallen in het voorwaardenscheppende werk. Het CBP heeft alle zeilen moeten bijzetten om althans op enkele grote dossiers te doen wat, gezien de inherente risico’s voor de bescherming van de persoonlijke levenssfeer, gedaan moest worden. Het gaat om de stelselwijziging in de zorg, de implementatie van de Wet werk en inkomen naar arbeidsvermogen, de maatregelen in het kader van de bestrijding van terrorisme en criminaliteit en de bescherming van persoonsgegevens van Europese burgers in de VS. Belangrijke nieuwe kwesties - zoals het elektronisch patiëntdossier, het kinddossier, fraudebestrijding in de sociale zekerheid, de OV-chipkaart en de introductie van het burgerservicenummer – tekenen zich al duidelijk af. Nationale en internationale beleidsagenda’s en vele private initiatieven in reactie op maatschappelijke en politieke ontwikkelingen zetten de organisatie onder druk. Aan de toezichthouder worden hogere eisen gesteld, terwijl deze toename van de werklast onvoldoende kan worden opgevangen. Bij een te kleine formatie hebben de externe groei van de werkdruk, heroriëntatie, onderbezetting en organisatieontwikkeling tot gevolg gehad dat de thema’s van 2005 noodgedwongen ook in 2006 op de agenda zullen blijven.

Noodzaak tot reflectie In de afgelopen jaren heeft de bescherming van de persoonlijke levenssfeer in de publieke opinie haar vanzelfsprekendheid verloren. Zorgen om terrorisme, onveiligheid en maatschappelijke misstanden bij burgers, bestuurders, politici en beleidsmakers hebben ertoe geleid dat de regels voor de bescherming van persoonsgegevens in het publieke debat als zondebok of als obstakel worden afgedaan. Behalve het politiek-maatschappelijke klimaat is ook het toezichtsdomein aan ingrijpende veranderingen onderhevig. In de Nederlandse grondwet, het Europese Verdrag voor de Rechten van de Mens, het Dataverdrag van Straatsburg en in de conceptgrondwet voor de Europese Unie is de beschermwaardigheid van de persoonlijke levenssfeer en als uitvloeisel daarvan de bescherming van persoonsgegevens verwoord. In het veranderde klimaat kan de toepassing van de WBP in de praktijk echter formalistisch ogen. Het CBP heeft zich daarom in 2005 nadrukkelijk de vraag gesteld wat de essentie was en is van hetgeen met de WBP beschermd dient te worden en langs welke weg een en ander gerealiseerd dient te worden. De eerste waarde is de bescherming van de persoonlijke levenssfeer, de vrijwaring tegen onfatsoenlijke of ongeoorloofde inmenging in het leven van burgers. Zelfbeschikking, autonomie en optimale individuele ontplooiing zijn vanuit het gezichtspunt van de burger en de consument de – in een democratische rechtsstaat altijd relatief te duiden – kernwaarden die gemoeid zijn met de normen en de daaruit voortvloeiende regels voor de omgang met persoonsgegevens. Het draagvlak voor bescherming van persoonsgegevens en de effectiviteit van de toezichthouder zijn er bij gebaat als het CBP zijn aandacht richt op kwesties waarin deze kernwaarden in het geding zijn. Dat zijn kwesties waarin machtsuitoefening, persoonsgegevens en maatschappelijke mogelijkheden van individuen samenkomen. De toezichthouder dient waakzaam te zijn wanneer macht en machtsuitoefening met behulp van persoonsgegevens mogelijk leiden tot een niet te rechtvaardigen beperking van de maatschappelijke mogelijkheden en ontplooiing van het individu. Het CBP dient zich bij het kiezen van zijn prioriteiten door deze kernwaarde te laten leiden. beleid van de toezichthouder

23

Nationaal Mensenrechteninstituut Vanuit de heroriëntatie op de fundamentele waarden die met de bescherming van persoonsgegevens gemoeid zijn, heeft het CBP zich ook gecommitteerd aan het initiatief om tot een nationaal mensenrechteninstituut te komen. Vier organisaties, de Commissie Gelijke Behandeling, de Nationale ombudsman, het Studie- en Informatiecentrum voor de mensenrechten en het College bescherming persoonsgegevens hebben in september 2005 een voorstel voor de oprichting van een nationaal mensenrechteninstituut aangeboden aan de regering, het rapport De Daad bij het Woord. Het voorgestelde instituut dient zich volgens de opstellers van het voorstel onder meer bezig te houden met een loketfunctie, advisering, onderwijs en onderzoek. De betrokken organisaties hebben geconstateerd dat het noodzakelijk kan zijn om maatschappelijke ontwikkelingen tegemoet te treden vanuit een geïntegreerde visie op de mensenrechten. Zo kunnen de gevolgen van het verzamelen, gebruik en verstrekking of openbaarmaking van persoonsgegevens niet altijd beoordeeld worden door uitsluitend te toetsen aan praktische waarborgen voor de bescherming van persoonsgegevens. Andere fundamentele rechten zijn evenzeer in het geding bij bijvoorbeeld de omvangrijke verspreiding van persoonsgegevens via publicaties op internet: de vrijheid van meningsuiting, communicatievrijheid en het verbod van discriminatie. Het verzamelen van etnische gegevens kan zowel het gelijkheidsbeginsel dienen als discriminatie veroorzaken. De beleidsvoorstellen voor de bestrijding van terrorisme raken meerdere grondrechten. Het gebruik van biotechnologie en radio frequency identification (RFID) zijn eveneens voorbeelden van maatschappelijke ontwikkelingen waarbij persoonsgegevens een grote rol spelen en meerdere fundamentele rechten en vrijheden in het geding zijn: de waardigheid van de persoon, de vrijheidsrechten en het gelijkheidsbeginsel.

Strategie en positionering Strategie en positionering van het CBP zijn op hoofdlijnen ongewijzigd gebleven. Een belangrijke accentverschuiving is dat het CBP zich minder zal verlaten op formele advisering, maar meer het maatschappelijke debat zal zoeken en daarbij actief naar samenwerking zal zoeken. De verschuiving naar meer handhaving en het daarvoor noodzakelijke onderzoek blijft essentieel. Meer dan voorheen zal aandacht worden geschonken aan de burger. Uitgangspunt voor het CBP-beleid blijft verantwoordelijkheden daar te laten waar zij horen en te stimuleren dat overheden, bedrijven en andere organisaties daaraan ook zelf actief invulling geven. In die zin geeft het CBP de voorkeur aan een tweedelijnspositie, aan een rol als metatoezichthouder op een stelsel van gegevensbescherming waarin alle betrokken partijen een actief aandeel nemen. Vanuit deze tweedelijnspositie kan het CBP zich bij voorrang richten op de taken waarvoor het speciaal is toegerust: advisering ten aanzien van wet- en regelgeving en toezicht op de naleving van de regels voor het gebruik van persoonsgegevens. Het CBP streeft er naar de effectiviteit van de advisering over wet-en regelgeving te versterken. Daartoe zal het wetgevingsproces zo nodig actief gevolgd worden, al dan niet in samenwerking met betrokken partijen. Voor het toezicht zal waar mogelijk worden samengewerkt met andere toezichthouders. Ten aanzien van de burger zal het CBP zich niet volledig instellen op een tweedelijnspositie. De wetgever heeft het CBP een directe taak gegeven bij de behandeling van

24

jaarverslag 2005

klachten van burgers. Het draagvlak voor de bescherming van persoonsgegevens en voor de rol van het CBP zijn gebaat bij een gerichte en toegankelijke benadering van de burger. Dit komt tot uiting in beleidskeuzes gericht op de privacybelangen van de burger en een meer op de burger gerichte communicatie.

Toezichtstrategie De toezichtstrategie berust op het bevorderen van de naleving langs verschillende wegen met aandacht zowel voor het bevorderen van bewustwording, de praktijkgerichte uitwerking van wettelijke normen en het onderzoek naar de implicaties en kansen van technologische ontwikkelingen voor de bescherming van persoonsgegevens, als voor het daadwerkelijk handhaven van de normen. Het is de ambitie van het CBP het toezicht op de naleving te verbreden en een systematischer handhavingsbeleid te voeren. De rechtsorde vergt een redelijk nalevingsniveau maar de ‘pakkans’ is daarvoor nu te laag. Burgers moeten kunnen rekenen op effectief georganiseerd toezicht. Bedrijven die investeren in een integere omgang met persoonsgegevens, moeten kunnen rekenen op een level playing field. Het handhavingsbeleid van het CBP heeft deels een systematisch karakter. Zo wordt jaarlijks een inschatting gemaakt van de risico’s op niet-naleving van de privacywetgeving en de gevolgen daarvan voor de samenleving. Na een noodgedwongen pauze in 2005 zal de verdere ontwikkeling van de systematiek voor de inschatting van risico’s in 2006 weer ter hand worden genomen.



Monitoren van callcenter-medewerkers

In sommige callcenters worden de gesprekken van mede-

script, dat medewerkers hanteren bij het voeren van het

werkers stelselmatig opgenomen of zou de werkgever dit

telefoongesprek, goed is geschreven.

willen invoeren. Werkgevers en werknemers in de branche waren het hierover niet eens. Het CBP adviseerde op hun

Ook het opnemen van gesprekken voor het bewaken van de

verzoek zowel FNV Bondgenoten als twee werkgevers-

kwaliteit en dus voor training of begeleiding van werkne-

organisaties, de Werkgeversvereniging Callcenters en de

mers, is mogelijk. De werkgever zal wel moeten afwegen of

Vereniging Contactcenters Nederland, over een richtlijn

dit doel niet net zo goed op een andere manier bereikt kan

voor kwaliteitsmonitoring in callcenters. Het continu moni-

worden. Ook zal de werknemer actief geïnformeerd moeten

toren van medewerkers van callcenters moet echter beperkt

worden over de opnames. Een passage in de arbeidsover-

blijven.

eenkomst alleen volstaat niet. Het callcenter moet werknemers ook daadwerkelijk waarschuwen wanneer een bepaald

Het CBP concludeerde dat continue monitoring alleen in

gesprek wordt opgenomen, bijvoorbeeld door een geluids-

uitzonderingsgevallen mag plaatsvinden zoals bij telefo-

signaal of door bekend te maken op welke dagen gesprek-

nische beurshandel. Als bewijs voor het tot stand komen

ken worden opgenomen.

van een overeenkomst bij het aannemen van telefonische beursorders is het noodzakelijk en onvermijdelijk dat tele-

De Ondernemingsraad (OR) heeft op grond van de Wet op

foongesprekken opgenomen worden.

de ondernemingsraden instemmingsrecht bij maatregelen die het monitoren van werknemers betreffen. Het CBP raadt

Werkgevers hebben veelal een gerechtvaardigd belang om

organisaties daarom aan om een reglement voor het moni-

incidenteel telefoongesprekken van medewerkers op te

toren in overleg met de OR op te stellen ●

nemen, bijvoorbeeld voor fraudebestrijding of marketingdoeleinden. Uit opnames kan bijvoorbeeld blijken of het

beleid van de toezichthouder

25



Het CBP is zich bewust van de administratieve last die regelgeving veelal met zich meebrengt. Als toezichthouder en ook als adviseur bij wetgeving betrekt het CBP het aspect van de administratieve lasten in zijn oordeelsvorming. Daarbij zal uitdrukkelijk worden nagegaan op welke wijze administratieve lasten kunnen worden beperkt of verminderd met behoud van het gewenste niveau van bescherming.

Communicatiestrategie De rol van communicatie in de strategie ontwikkelt zich in aansluiting op de hernieuwde aandacht voor de kernwaarden van privacybescherming, het streven naar een groter draagvlak voor de bescherming van persoonsgegevens en de grotere aandacht voor de burger. Met het oog op efficiëntie en het streven naar een tweedelijnspositie blijven daarnaast investeringen nodig in het beschikbaar maken via de website van informatie evenals in de ontwikkeling van concrete (interactieve) hulpmiddelen voor betrokkenen en verantwoordelijken. Het CBP zal zich meer bekommeren om (behoud van) het maatschappelijke en politieke draagvlak voor de bescherming van persoonsgegevens. Het zal daartoe in prioriteiten en communicatie nauwer aansluiten bij de ervaringen van zowel betrokkenen als verantwoordelijken. Het is belangrijk beter te ‘luisteren’, minder vanzelfsprekend te vertrouwen op de zeggingskracht van de wet, meer gebruik te maken van de visies en bevindingen van anderen, meer in bondgenootschap het maatschappelijke debat te zoeken.

Zwangerschap en direct marketing

Zorgverzekeraars en kraamhulpen mogen informatie over



zwangerschap niet zonder uitdrukkelijke toestemming

beslissen wanneer ze de werkgever vertelt dat ze

van de zwangere vrouw zelf doorgeven aan bedrijven

zwanger is. Bij sollicitaties wil een potentiële werkgever

die deze gegevens voor direct-marketing willen gebrui-

misschien graag weten of de kandidate voor de vacature

ken. Als een bedrijf gegevens over een zwangerschap

zwanger is. Deze loopt het risico daarom niet te worden

verkrijgt via bijvoorbeeld de kraamhulp of de buurvrouw

aangenomen. Potentieel misbruik van persoonsgegevens

dan moet het bedrijf deze informatie eerst verifiëren bij

dient te worden voorkomen. Daarom is uitdrukkelijke

de zwangere vrouw zelf. Zij moet uitdrukkelijke toe-

toestemming voor een verwerking van bijzondere per-

stemming geven voor het gebruik van haar gegevens.

soonsgegevens vereist. De uitdrukkelijke toestemming

Pas daarna mag het bedrijf de informatie gebruiken om

zorgt er voor dat een individu de afweging kan maken

haar bijvoorbeeld te benaderen met commerciële aanbie-

of de verwerking wel of niet wenselijk is. Het is belang-

dingen.

rijk dat zo’n beslissing bij de vrouw zelf ligt en niet bij



(goedbedoelende) kennissen of buitenstaanders ●

Het gegeven dat iemand zwanger is, is volgens de

Wet bescherming persoonsgegevens (WBP) een zogenaamd bijzonder gegeven dat door wet- en regelgeving extra beschermd wordt en alleen onder zeer strikte voorwaarden door anderen gebruikt mag worden. Alleen met uitdrukkelijke toestemming van betrokken personen mogen deze gegevens gebruikt worden voor directmarketing.

26

jaarverslag 2005

In de arbeidsrelatie mag de vrouw in beginsel zelf

Nuon en GGD: samenwerking in noodsituaties

Energieleverancier Nuon en de Gemeentelijke



Gezondheidsdienst Amsterdam (GGD) hebben een

mag geven als het gezondheidsbelang van de betrok-

samenwerkingsconvenant opgesteld om te regelen dat

ken personen dat noodzakelijk maakt. Naam-, adres- en

het bedrijf de GGD van noodsituaties op de hoogte kan

woonplaatsgegevens van deze personen mogen dan wor-

brengen.

den doorgegeven aan de GGD. De GGD kan vervolgens



contact opnemen om tot een oplossing te komen voor de

Wanneer wanbetalers op hun huisadres worden

Het CBP is van oordeel dat Nuon een signaal kan en

bezocht om gas en elektriciteit af te sluiten, worden

ontstane situatie. Nuon-medewerkers zullen overigens

soms schrijnende toestanden aangetroffen waarin drin-

steeds de betrokkene om toestemming moeten vragen.

gend hulp noodzakelijk is, ook zonder verzoek van de

Pas als daarop niet wordt gereageerd of indien toestem-

betrokkene of zelfs tegen de wens van de betrokkene

ming wordt geweigerd, kan in noodsituaties een beroep

in. Het doel van de samenwerking is om afsluiting van

worden gedaan op een andere grondslag voor de gege-

energie te voorkomen bij personen die zich in een der-

vensverstrekking aan de GGD ●

gelijke fysieke of psychische noodsituatie bevinden.

Juist met het oog op een effectieve uitvoering van zijn wettelijke taken – adviseur en toezichthouder – wil het CBP dus ook een stem in het maatschappelijke debat zijn. Deelname aan dat debat vergt een subtiele afstemming van deze drie rollen. Het CBP zal tegelijkertijd een actieve deelnemer en een goed luisterende gesprekspartner moeten zijn. Deze derde rol zal het CBP gemakkelijker kunnen oppakken in samenwerking met maatschappelijke bondgenoten.

Samenwerking met andere toezichthouders Convenant IWI

De Inspectie Werk en Inkomen (IWI) en het CBP hebben op 7 juli 2005 een samenwerkingsconvenant ondertekend om effectiever en efficiënter toezicht te kunnen houden op het gebruik en de bescherming van persoonsgegevens binnen de sociale zekerheid. Het samenwerkingsconvenant is gepubliceerd in de Staatscourant (129, 7 juli 2005) en heeft een geldigheidsduur van 5 jaar. Op het terrein van sociale zekerheid bestaat er een samenloop van taken tussen het CBP en IWI. Beide toezichthouders zijn belast met toezicht op de verwerkingen van persoonsgegevens in de sociale zekerheidssector. Het samenwerkingsconvenant moet er toe leiden dat er eenduidig toezicht op de sector wordt uitgeoefend waarbij de relevante normenkaders op elkaar afgestemd zijn. Ook willen beide toezichthouders met de ondertekening van het convenant een bijdrage leveren aan het verminderen van de toezichtsdruk voor de sociale zekerheidssector. IWI en CBP gaan op een aantal terreinen samenwerken. Zo zullen programma’s van onderzoeken periodiek worden afgestemd en zullen beide toezichthouders samen onderzoek doen. Een ander belangrijk onderdeel van de samenwerking is het delen van toezichtinformatie en het uitwisselen van signalen uit de praktijk. Het convenant zal tussentijds door beide partijen geëvalueerd worden op doeltreffendheid en de effecten ervan in de praktijk. Samenwerking met OPTA

Op 12 juli 2005 hebben OPTA en CBP een samenwerkingsprotocol ondertekend om het toezicht op de bescherming van persoonsgegevens bij elektronische communicatie te structureren. Het protocol bouwt voort op bestaande werkafspraken tussen beide colleges over de gezamenlijke aanpak van spam en omvat nu alle privacygerelateerde onderwerpen uit de Telecommunicatiewet. De samenwerking richt zich nu bijvoorbeeld ook op het toezicht op het gebruik van verkeers- en locatiegegevens of het gebruik van ongebeleid van de toezichthouder

27

Slimme camera’s luisteren naar agressie op straat

In het centrum van Groningen is een proef gehouden met

Door gebruik te maken van cameratoezicht met geluidsde-

twee camera’s met microfoon waaraan software was gekop-

tectie is het niet langer noodzakelijk continu beelden van

peld voor het signaleren van bepaalde soorten geluid. Het

de openbare ruimte vast te leggen. De camera’s worden

ging dus niet om het opnemen van gesprekken van mensen

pas geactiveerd bij een bepaald type geluid en geluidsni-

op straat, maar om type geluid en geluidsniveaus.

veau. De inbreuk op de privacy van voorbijgangers neemt hierdoor af. Misschien kan dit soort cameratoezicht ook

Het doel van het experiment was het testen van de combi-

bruikbaar zijn in andere gemeenten. Cameratoezicht wordt

natie van beeld- en geluidopname voor het ontdekken van

zo immers zowel privacyvriendelijker als efficiënter bij de

agressie op straat. De opgevangen geluidssignalen werden

handhaving van de openbare orde. Het CBP heeft zich laten

geanalyseerd aan de hand van “normale” en andere gelui-

informeren over deze proef en heeft geen bezwaar tegen

den die een indicatie vormen voor geweld. Zowel de beel-

deze werkwijze ●

den als de geluiden werden speciaal voor onderzoeks- en testdoelen opgeslagen.

wenste belprogramma's (auto-dialers). De gemaakte afspraken hebben onder meer betrekking op de verdeling van taken tussen OPTA en CBP en een consistente uitleg van begrippen uit de Wet bescherming persoonsgegevens en de Telecommunicatiewet. De beide toezichthouders zullen elkaar informeren en bijstaan bij het houden van toezicht op de naleving van hoofdstuk 11 Telecommunicatiewet. De daarin opgenomen regels ter bescherming van de persoonlijke levenssfeer en het recht vertrouwelijk te communiceren zijn niet uitputtend, maar concretiseren de WBP en/of vullen deze aan. De telecommunicatiesector heeft daardoor niet alleen met het toezicht van OPTA te maken, maar ook met die van het CBP. OPTA en CBP achtten het daarom wenselijk om afspraken over dat toezicht vast te leggen in een protocol.

Aanpassing van de WBP Het CBP heeft de minister van Justitie in juli 2005 een aantal voorstellen gedaan voor wijziging van de Wet bescherming persoonsgegevens (WBP). Met de wijzigingen worden problemen opgelost die het CBP in de loop der jaren heeft geconstateerd. De voorstellen voor wijziging van de WBP gaan vooral over het verbod op het verwerken van bijzondere gegevens (zoals gegevens over iemands gezondheid, ras of godsdienst) en het voorafgaand onderzoek. De WBP verbiedt het verwerken van bijzondere gegevens. Het CBP adviseerde de minister te onderzoeken of het mogelijk en wenselijk is om de uitzonderingen op het verbod op het verwerken van bijzondere gegevens nader in te vullen. In de praktijk blijkt dat het bijvoorbeeld voor accountants en auditors niet mogelijk is om bijzondere gegevens te verwerken voor verificatie- of nalevingsonderzoek. Zij hebben deze gegevens echter wel nodig. Daarnaast weten organisaties en instellingen niet wanneer een voorafgaand onderzoek voor een verwerking van persoonsgegevens moet worden aangevraagd. Een voorafgaand onderzoek moet worden aangevraagd voor verwerkingen die naar het oordeel van de wetgever een bijzonder risico inhouden voor de persoonlijke levenssfeer van betrokkenen. Het CBP is van oordeel dat een voorafgaand onderzoek alleen noodzakelijk is voor verwerkingen van bijvoorbeeld strafrechtelijke gegevens of heimelijke waarnemingen die structureel zullen plaatsvinden. Het CBP adviseerde te verduidelijken in welke gevallen een voorafgaand onderzoek aangevraagd moet worden. De wijzigingsvoorstellen voor de WBP sloten aan bij de 10 voorstellen voor vermindering van administratieve lasten die het CBP op 7 december 2004 aan de minister van

28

jaarverslag 2005

Justitie stuurde. Voor een aantal van die punten is het eveneens nodig de WBP of het Vrijstellingsbesluit WBP aan te passen.

Certificering Het CBP publiceerde in maart 2005 de Contouren voor Compliance. Handreiking bij het Raamwerk Privacy Audit, een handreiking voor bedrijfsleven en overheid om te beoordelen of een verwerking van persoonsgegevens voldoet aan de Wet bescherming persoonsgegevens (WBP). Organisaties kunnen zo de kwaliteit van de bescherming van persoonsgegevens in het proces van verwerkingen (laten) toetsen en een complianceonderzoek uitvoeren. Het CBP heeft de handreiking opgesteld in samenwerking met het Koninklijk NIVRA, de beroepsorganisatie van registeraccountants en NOREA, de beroepsorganisatie van register EDP-Auditors. In de markt blijkt een toenemende behoefte te bestaan aan een kwaliteitsoordeel door een onafhankelijke partij in hoeverre het stelsel van maatregelen en procedures in een organisatie, gericht op het beschermen van persoonsgegevens, voldoet aan de te stellen eisen. NOREA en NIVRA zijn in een vergevorderd stadium met de ontwikkeling van een zogenaamd assurance framework voor het uitvoeren van compliance-onderzoek en het kunnen afgeven van een kwaliteitsoordeel. Burgers, werknemers, patiënten en consumenten zouden aan een dergelijk oordeel het vertrouwen kunnen ontlenen dat persoonsgegevens rechtmatig verwerkt worden. Het CBP moedigt ook andere organisaties aan een vergelijkbaar beoordelingskader te ontwikkelen. Het feit dat een organisatie een verwerking van persoonsgegevens heeft laten beoordelen, betekent overigens niet dat de bevoegdheden van het CBP als toezichthouder vervallen. Met de presentatie van Contouren voor Compliance rondde het CBP het project Audit Aanpak af. In dit project hebben het CBP en zijn voorganger, de Registratiekamer, in samenwerking met marktpartijen (accountantsorganisaties, adviesbureaus en beroepsorganisaties) een viertal zelfreguleringsproducten ontwikkeld: de Quickscan, de WBP Zelfevaluatie, het Raamwerk Privacy Audit en de Handreiking bij het Raamwerk Privacy Audit.

GRAFIEK WEBSITEBEZOEK

75.000 70.000 65.000 60.000 55.000 50.000 45.000 40.000 35.000 30.000 25.000 20.000 15.000 10.000 5.000 0 J

F

00

M A

M J

J

A

S

O N

D

J

F

004

M A

M J

J

A

S

O N

D

J

F

M A

M J

J

A

S

O N

D

005

beleid van de toezichthouder

29

Volkskrant, 2005

30

jaarverslag 2005

activiteiten

In dit deel worden de voornaamste ontwikkelingen en activiteiten weergegeven voor de maatschappelijke terreinen waarop het CBP in 2005 actief was.

openbaar bestuur

pagina 32

Het CBP waarschuwt dat het voorstel voor de Wet algemene bepalingen burgerservicenummer ernstig tekort schiet als het gaat om de beperking van de risico’s verbonden aan invoering en gebruik van een dergelijk nummer.

politie en justitie

pagina 34

Het advies over het conceptwetsvoorstel ter verruiming van de mogelijkheden ter opsporing van terroristische misdrijven is op veel punten niet gevolgd. In 2005 heeft het CBP aandacht voor het advies gevraagd van de Tweede Kamer.

arbeid en sociale zekerheid

pagina 37

Al te gemakkelijke koppeling van bestanden met gegevens van grote groepen onverdachte burgers acht het CBP buiten verhouding en onwenselijk. Het enkele beroep op de sociale zekerheid maakt iemand nog niet tot verdachte.

zorg en welzijn

pagina 40

Intensief overleg tussen Zorgverzekeraars Nederland, het ministerie van VWS, de artsenfederatie KNMG en de Nederlandse Patiënten Consumenten Federatie en het CBP heeft eind 2005 geleid tot overeenstemming over de regels onder meer voor het uitvoeren van materiële controle op de declaraties.

handel en diensten

pagina 44

Het CBP realiseert zich dat de inrichting van het OV-chipkaartsysteem nog niet definitief is. Juist daarom wijst het tijdig op de noodzaak het systeem zó in te richten dat het functioneert in overeenstemming met de eisen van de privacywetgeving.

telecom

pagina 47

Het CBP heeft zich in 2005 zonder succes met kracht verzet tegen de introductie van een bewaarplicht voor verkeersgegevens (massale, preventieve opslag van telecommunicatiegegevens van alle 450 miljoen Europese burgers).

technologie

pagina 49

Bij het verzamelen en gebruiken van biometrische gegevens bestaan altijd foutenmarges. Een foutenmarge van enkele procenten leidt bij een grootschalige toepassing – alle paspoorthouders bijvoorbeeld – al tot zeer veel probleemgevallen.

internationaal

pagina 51

De voorjaarsconferentie van de Europese privacytoezichthouders in Krakow in april 2005 bepleitte een onafhankelijk Europees toezichts- en adviesorgaan voor de derde pijler, waarin de privacytoezichthouders zouden kunnen samenwerken.

activiteiten

31

iedereen bekend onder zijn burgerservicenummer

Openbaar bestuur De informatie-infrastructuur van de overheid ondergaat een ingrijpende verbouwing die de komende twee jaar zijn beslag zal krijgen. Zorgelijk is dat een overkoepelende visie op het persoonsinformatiebeleid ontbreekt. Uitleg van wat het beleid betekent voor de bescherming van de persoonlijke levenssfeer van de burger, is de Tweede Kamer regelmatig toegezegd maar tot op heden nog niet toegestuurd. Een debat over het totale persoonsinformatiebeleid heeft hierdoor niet kunnen plaatsvinden.

32

jaarverslag 2005

handel openbaar en diensten bestuur Stroomlijning basisgegevens In het programma stroomlijning basisgegevens dat medio 2004 een herstart heeft gekregen, wordt de ontwikkeling van voorlopig zes basisregistraties (personen, gebouwen, adressen, kaarten en bedrijven) beoogd. Daarnaast bestaat het voornemen om ook de polisadministratie, het kentekenregister en de inkomensadministratie van de belastingdienst aan te wijzen als basisadministraties. Kern van het stelsel van basisregistraties is dat een aantal gegevens uit de verschillende basisadministratie als ‘authentiek’ wordt beschouwd. Deze moeten verplicht door de overheid worden gebruikt en mogen niet meer worden opgevraagd bij de burger of het bedrijf, het zogenaamde beginsel van eenmalige gegevensverstrekking en verplicht hergebruik van deze gegevens binnen de overheid. De invoering van het BSN en het daarbij behorende stelsel staat hiermee in nauwe relatie. Voor elke basisadministratie zal wetgeving worden gemaakt. In 2005 heeft het CBP over drie wetsvoorstellen van dit programma geadviseerd, namelijk het wetsvoorstel Register van ondernemingen en instellingen (vervanging van de huidige Handelsregisterwet), het wetsvoorstel Basisregistratie kadaster en geografie (een vernieuwde Kadasterwet) en een wijziging van de Wet gemeentelijke basisadministratie persoonsgegevens. In deze wetsvoorstellen wordt het verplichte gebruik van bepaalde gegevens door de overheid voorgeschreven. Daarbij is nauw aangesloten bij het regime van de al bestaande regelgeving.

Burgerservicenummer In 2005 is het wetsvoorstel algemene bepalingen burgerservicenummer (Wabb) ingediend bij de Tweede Kamer. Het wetsvoorstel introduceert het gebruik van het burgerservicenummer (BSN) als algemeen persoonsnummer door de overheid. Het wetsvoorstel gaat in op het genereren, distribueren, toekennen en beheren van de nummers. Het voorstel voorziet echter niet in een regeling die ertoe bijdraagt dat in de praktijk zorgvuldig met het BSN wordt omgegaan. Het CBP wees hier al op in zijn advies over het wetsvoorstel uit 2004. Aangezien in het wetsvoorstel naar het oordeel van het CBP onvoldoende met dit bezwaar rekening gehouden was, heeft het CBP bij de Tweede Kamer zijn zorgen hierover geuit. De brief van 25 oktober 2005 waarschuwt dat het voorstel voor de Wet algemene bepalingen burgerservicenummer ernstig tekortschiet als het gaat om de beperking van de risico’s verbonden aan invoering en gebruik van een dergelijk nummer. De redenering dat een burger altijd baat heeft bij een efficiënte overheid en dus bij een algemeen registratienummer, miskent de verstrekkende gevolgen van de introductie van het burgerservicenummer. Het BSN is bovenal nuttig voor de overheid, terwijl de risico’s voor de burger onvoldoende onderkend of bestreden worden. Een algemeen registratienummer van burgers met het oog op een slagvaardiger overheid en het verminderen van administratieve lasten heeft zeker voordelen. Eenduidige identificatie van burgers en hergebruik van basisgegevens kan ook de bescherming van persoonsgegevens bevorderen. Het CBP acht het daarom van groot belang voor de burger, de bescherming van diens persoonsgegevens en de maatschappelijke aanvaardbaarheid van de invoering van het burgerservicenummer, dat duidelijk wettelijk geregeld wordt: a onder welke voorwaarden het BSN gebruikt mag worden; b welke overheidsinstanties (en eventueel bedrijven) gebruik mogen maken van het BSN; c dat vastgestelde vergissingen en fouten aan de burger gemeld worden;

d dat er een effectieve ombudsfunctie voor de burger komt; en e dat er eisen worden gesteld aan de ICT-beveiliging van bestanden, die gebruik maken van het BSN. De fracties in de Tweede Kamer hebben over de punten die door het CBP naar voren zijn gebracht, kritische vragen gesteld aan de minister. Het CBP verwacht via deze weg toch nog enkele waarborgen wettelijk te kunnen verankeren. In het bijzonder gaat het daarbij om de zogenaamde nationale vertrouwensfunctie. Deze voorziening moet zorgen voor transparantie van het stelsel, het toezicht daarop en burgers een vangnet bieden als zij vastlopen in het BSN-stelsel door problemen met hun eigen nummer. (Zie ook p. 42 over BSN in de zorg.)

Openbaarmaking uit individuele vreemdelingendossiers In 2005 stelde zich ook een principiële kwestie voor het openbaar bestuur bij de omgang met dossiers van individuele burgers. Het ging om het voornemen van de minister van Vreemdelingenzaken en Integratie om persoonsgegevens van individuele vreemdelingen of asielzoekers te verstrekken aan de media als zij dat voor haar taakuitoefening nodig achtte. Het CBP heeft de minister geadviseerd hierin zeer grote terughoudendheid te betrachten. Publicatie van gegevens uit dossiers van vreemdelingen of asielzoekers in de media ter verdediging van het gevoerde beleid is als uitgangspunt niet verenigbaar met het doel waarvoor de gegevens worden verwerkt. De dossiers dienen de beoordeling van een individuele zaak. Slechts in zeer uitzonderlijke omstandigheden laat de WBP ruimte om op grond van de uitvoering van de publiekrechtelijke taak gegevens uit een individuele zaak publiek te maken. Het is immers niet uit te sluiten dat in een concreet geval onder omstandigheden de goede vervulling van zijn taak een minister kan noodzaken informatie over een individu aan de media te verstrekken. Daartoe is vereist dat het achterwege laten van de openbaarmaking zijn goede taakvervulling daadwerkelijk in gevaar brengt en dat het gevaar niet door het openbaar maken van algemene informatie kan worden afgewend.

Fiscale geheimhoudingsbepalingen Het ontheffingenstelsel voor het doorbreken van de geheimhoudingsverplichting van de fiscus heeft een onvoldoende wettelijke basis. Hierdoor zijn er tegen de inbreuken op de persoonlijke levenssfeer onvoldoende waarborgen. De voorganger van het CBP, de Registratiekamer, constateerde dit al in 1998 in het rapport Informatieverstrekking door de fiscus. De staatssecretaris van Financiën heeft het CBP in juni 2005 gevraagd te adviseren over de wijziging van de geheimhoudingsbepaling van artikel 67 van de Algemene wet inzake rijksbelastingen (Awr). Het doorbreken van de geheimhoudingsverplichting heeft in het wijzigingsvoorstel een bredere wettelijke grondslag gekregen. Een toereikende rechtvaardiging voor de doorbreking van de geheimhoudingsverplichting is het voorkomen en bestrijden van misbruik of oneigenlijk gebruik van inkomens- en vermogensafhankelijke regelingen. De gegevensverstrekking kan ook noodzakelijk zijn voor de goede vervulling van de publiekrechtelijke taak. Wanneer er sprake is van een structurele verstrekking zal deze worden opgenomen in een ministeriële regeling. Hoewel de mogelijkheid tot ontheffing gehandhaafd blijft, zal deze dus beperkter zijn dan in het huidige ontheffingenstelsel. Hiermee is grotendeels tegemoet gekomen aan het standpunt van het CBP uit 1998 ■

openbaar bestuur

33

Op het terrein van politie en justitie ging het in 2005 opnieuw om de uitbreiding van de opsporingsbevoegdheden. De uitbreiding van bevoegdheden was deels al jaren beoogd, deels stond deze in het teken van terrorismebestrijding. Het CBP heeft zijn standpunten in het bijzonder nog eens toegelicht bij de Tweede Kamer. Daarnaast is de informatiehuishouding van de politie een vast aandachtsgebied. Het CBP heeft op dit gebied geadviseerd en onderzoek gedaan naar de vernietiging van opgenomen advocatengesprekken en naar de gegevensverwerking bij Europol Dutch Desk. In een adviserende rol heeft het CBP ook onderzoek op de Nederlandse Antillen gedaan naar de uitwisseling van politiegegevens tussen de Antillen en Nederland in het kader van de Koninkrijksbrede criminaliteitsbestrijding.

34

jaarverslag 2005

intensivering van de bestrijding van terrorisme en uitwisseling van gegevens

Politie en Justitie

Bevoegdheden opsporing terroristische misdrijven

Informatiehuishouding: voorstel Wet politiegegevens

In 2004 heeft het CBP geadviseerd over het conceptwetsvoorstel ter verruiming van de mogelijkheden ter opsporing van terroristische misdrijven. Dit advies is op veel punten niet gevolgd. In 2005 heeft het CBP zijn kritiek daarom onder de aandacht gebracht van de vaste commissie voor Justitie van de Tweede Kamer. Het wetsvoorstel beoogt de politie in staat te stellen alle mogelijke aanwijzingen voor terrorisme te onderzoeken. Naar het oordeel van het CBP is dat de exclusieve taak van de AIVD, omdat de AIVD bij uitstek is toegerust voor die taak en omdat het inlichtingenwerk van de AIVD sterk is afgeschermd. De politie kan alleen vergelijkbare bevoegdheden krijgen als voorzien wordt in gelijkwaardige waarborgen. Het wetsvoorstel schiet daarin tekort; klassieke strafvorderlijke waarborgen als transparantie en rechterlijke controle ontbreken. Aan de mogelijk negatieve effecten van het voorstel voor de maatschappelijke positie van onschuldige burgers is vrijwel geheel voorbijgegaan. Het CBP heeft daarom geadviseerd een apart, sterk afgeschermd, eigen regime te creëren voor de verwerking van ‘zachte’ inlichtingen door de politie.

De huidige Wet politieregisters wordt integraal herzien. In dat kader neemt het CBP deel aan twee werk- en stuurgroepen en heeft het CBP in de zomer van 2004 de minister van Justitie geadviseerd over het conceptvoorstel Wet politiegegevens. De structuur die het conceptwetsvoorstel biedt voor de verwerking van politiegegevens binnen de politie heeft de instemming van het CBP. Op andere onderdelen zoals het ontbreken van een regime voor onverdachte personen, te lange bewaartermijnen, themaverwerkingen en een te zware nadruk op doelbinding is het voorstel bekritiseerd. Het advies is op essentiële onderdelen niet gevolgd in het uiteindelijke wetsvoorstel: gegevens worden niet voorzien van een code die de betrouwbaarheid (het onderscheid tussen zachte en harde informatie) en afbreukrisico aangeeft, onvoldoende waarborgen tegen derdenverstrekkingen van gegevens met een geringe betrouwbaarheid, geen extra waarborgen bij gegevens over onverdachte personen en een te ruime verzameling van gegevens over onverdachte personen. Daarom heeft het CBP eind 2005 de vaste commissie voor Justitie van de Tweede Kamer aangeschreven met

Contra-Terrorisme-infobox In 2005 heeft het CBP de opzet van de Contra Terrorisme-infobox (CT-infobox) geanalyseerd. Deze CT-infobox beoogt praktische uitvoering te geven aan bestaande wettelijke mogelijkheden tot uitwisseling van gegevens over terrorisme. De AIVD heeft uitsluitende en volledige zeggenschap over de CT-infobox. Het bestaansrecht van een dergelijk instrument staat voor het CBP niet ter discussie; uitwisseling van gegevens tussen de diverse instanties is voor de bestrijding van terrorisme van groot belang. De CT-infobox dient echter wel binnen de wettelijke kaders te functioneren. Voorts dient de grens tussen inlichtingenwerk en opsporing te worden gerespecteerd. Het kan legitiem zijn die grens over te steken, maar daarbij dient duidelijk gemarkeerd te blijven waar het inlichtingenwerk overgaat in de opsporing en vervolging van strafbare feiten. Het moet duidelijk zijn welke verantwoordelijkheden de samenwerkende diensten dragen. Bovendien moet voorzien zijn in effectief toezicht. Het CBP heeft zijn standpunten tijdens een notaoverleg voor de vaste commissie voor Binnenlandse Zaken en Koninkrijksrelaties van de Tweede Kamer nog eens uiteengezet.

Wetsvoorstel bevoegdheden vorderen gegevens Op 1 januari 2006 is na een jaren durend voortraject de wet Bevoegdheden vorderen gegevens in werking getreden. Het wetsvoorstel is gebaseerd op de voorstellen van de Commissie Strafvorderlijke gegevensvergaring (Commissie Mevis). Over deze voorstellen adviseerde het CBP de minister van Justitie al in 2001. De wet maakt het mogelijk voor justitie en politie om persoonsgegevens op te vragen bij maatschappelijke instellingen en bedrijven als dat voor de opsporing noodzakelijk is. Begin 2005 heeft de vaste commissie voor Justitie van de Eerste Kamer het CBP uitgenodigd voor een gesprek in het kader van de voorbereiding van de behandeling van het wetsvoorstel Bevoegdheden vorderen gegevens. Het CBP kan zich op hoofdlijnen vinden in de aangekondigde aanzienlijke uitbreiding van de bevoegdheden. Wel moeten er waarborgen zijn die een tegenwicht bieden. Het CBP heeft gepleit voor twee structurele waarborgen: de mogelijkheid van een voorafgaande toetsing van een vordering door de rechter en een systematische en regelmatige controle op de verwerking van gegevens in de politieregisters.

zijn kritiek op het wetsvoorstel. Tevens heeft het CBP apart geadviseerd over de noodzaak van een wettelijke verankering van de auditverplichting voor de informatiehuishouding van de politie, waarin ook een verplichting tot zelfevaluatie is opgenomen.

Advies Wetsvoorstel bijzondere opsporingsdiensten Het CBP heeft in 2005 de vaste commissie voor Justitie van de Tweede Kamer geadviseerd over het wetsvoorstel op de bijzondere opsporingsdiensten. Het wetsvoorstel beoogt de scheiding van de bestuurlijke handhaving (toezicht) en de strafrechtelijke handhaving (opsporing) wettelijk te verankeren. Dit vergroot de transparantie bij de handhaving van ordeningswetgeving en de eenheid in de rechtshandhaving. Het CBP heeft het belang daarvan onderschreven maar is van oordeel dat de wettelijke verankering ook moet gelden voor de verwerking van persoonsgegevens in het kader van toezicht en opsporing. Op de verwerking van persoonsgegevens in het kader van opsporing door bijzondere opsporingsambtenaren zou het bijzondere regime van de Wet politieregisters van toepassing dienen te zijn. Op dit moment zijn hierop twee wettelijke regimes van toepassing. In beginsel is de WBP van toepassing, maar de registers van de criminele inlichtingen eenheden bij de bijzondere opsporingsdiensten vallen onder de Wet politieregisters.

Vernietiging van getapte advocatengesprekken Het CBP heeft in 2005 onderzoek gedaan naar de naleving van de regels voor de vernietiging van opgenomen telefoongesprekken van advocaten met hun cliënten. Op grond van het Wetboek van Strafvordering moeten deze gesprekken, die vallen onder het beroepsgeheim van advocaten, vernietigd worden. Het CBP heeft steekproefsgewijs onderzocht of gesprekken die vernietigd moesten worden, ook daadwerkelijk vernietigd zijn. Dit onderzoek zal in 2006 worden afgerond en gepubliceerd.

politie en justitie

35

activiteiten Onderzoek bij Europol Dutch Desk

Uitwisseling politiegegevens met de Antillen

Het CBP heeft in 2005 de verwerking van persoonsgegevens door de Dutch Desk van Europol onderzocht. Europol is de Europese politiedienst voor bestrijding van grensoverschrijdende zware, georganiseerde criminaliteit. Elke bij de Europol-overeenkomst aangesloten lidstaat beschikt over een nationaal contactpunt voor informatie-uitwisseling met Europol en de andere aangesloten lidstaten. De Nederlandse afdeling, de Dutch Desk, is ondergebracht bij het Korps Landelijke Politiediensten (KLPD). Het CBP is in de Wet politieregisters aangewezen als toezichthouder op de werking van de politieregisters in Nederland. Het door de Dutch Desk van Europol aangehouden politieregister valt ook onder deze wet en is in het kader van het toezicht door het CBP onderzocht. Uit het onderzoek is een positief beeld naar voren gekomen van de wijze waarop de gegevensverwerking plaatsvindt. Op een aantal detailpunten heeft het CBP aanbevelingen voor verbetering gedaan.

Snelle en zorgvuldige uitwisseling van politiegegevens tussen de Nederlandse Antillen en Nederland is belangrijk voor de bestrijding van criminaliteit. Om een dergelijke gegevensuitwisseling mogelijk te maken hebben de minister van Justitie, de minister van Binnenlandse Zaken en Koninkrijksrelaties en de minister van Justitie van de Nederlandse Antillen het Protocol gegevensuitwisseling tussen de Nederlandse Antillen en Nederland opgesteld en ondertekend. In dit protocol zijn de afspraken voor gegevensuitwisseling vastgelegd en nader uitgewerkt in een reglement. Op grond van de Wet politieregisters (Wpolr) ziet het CBP in Nederland toe op de verwerkingen van politiegegevens. In het protocol staat daarom ook dat het CBP toezicht houdt op de uitwisseling van gegevens tussen Nederland en de Antilllen en het gebruikte systeem. Met de betrokken ministers is de afspraak gemaakt dat het CBP te zijner tijd zou vaststellen hoe de uitwisseling van gegevens verloopt en of het protocol wordt nageleefd. Het CBP heeft voor het onderzoek met diverse politiefunctionarissen in Den Haag en op Curaçao en Bonaire gesproken en verder de technische faciliteiten onderzocht. Gedurende het onderzoek al heeft het CBP een toelichting gegeven aan de verschillende gezagsdragers op de Antillen. Het onderzoek wordt in 2006 gepubliceerd ■

Schoning tijdelijke registers Op grond van de Wet politieregisters worden tijdelijke politieregisters – de registers die bedoeld zijn voor politiewerk in concrete gevallen – aangemeld bij het CBP. De registers dienen bij sluiting ook weer afgemeld te worden. Al in 2003 heeft het CBP de korpsen verzocht hun tijdelijke registers te schonen met het verzoek de gecorrigeerde gegevens aan het CBP te melden. In 2005 heeft het CBP de eigen schoning van de meldingen van tijdelijke registers kunnen afronden. De schoningsactie was nodig om het bestand met meldingen van tijdelijke registers te kunnen actualiseren. Bij veel korpsen was de gegevenshuishouding met betrekking tot de tijdelijke registers niet op orde en veel korpsen hebben naar aanleiding van de schoningsactie maatregelen ter verbetering genomen. Onder het nieuwe wettelijke regime van de Wet politiegegevens zal de meldingsplicht vervallen. Het is van belang dat de korpsen bij de overgang naar het nieuwe regime hun tijdelijke registers op orde hebben. Eind 2005 heeft het CBP de betrokken ministers van de resultaten van de actie op de hoogte gebracht.

Volkskrant, 2005

36

jaarverslag 2005

controle en toezicht op de werknemer is een actueel onderwerp

Arbeid en sociale zekerheid

In het voorjaar van 2005 heeft het CBP met leden van de vaste commissies voor Volksgezondheid, Welzijn en Sport en Sociale Zaken en Werkgelegenheid van de Tweede Kamer gesproken over de stelselwijzigingen binnen de sociale zekerheid en de zorg. De rode draad in het gesprek was dat in deze sectoren privatisering, publiekprivate samenwerking en deregulering leiden tot uitgebreide verwerkingen van meer persoonsgegevens door meer partijen en juist op terreinen die iedereen als gevoelig ervaart. Deze ontwikkelingen gaan moeilijk samen met de bescherming van de persoonlijke levenssfeer van burgers, zeker als niet van meet af aan privacyaspecten worden meegenomen in de ontwikkeling van het administratieve stelsel en de onderliggende informatiesystemen.

arbeid en sociale zekerheid

37

activiteiten Invoeringswet Werk en Inkomen naar arbeidsvermogen

aan reïntegratie en de gezagsverhouding in de arbeidsrelatie kan van een werkelijk vrije toestemming geen sprake zijn. De werknemer heeft geen keus dan mee te werken of zijn baan of uitkering op het spel te zetten. Wat de verzekeraars verder nog met de persoonsgegevens mogen doen, blijft ook onduidelijk, nu in het wetsvoorstel geen doelbindingsbepaling voor verzekeraars is opgenomen.

in feite de Wet bescherming persoonsgegevens niet kunnen naleven. De reïntegratiebedrijven ervaren de regels voor de verwerking van persoonsgegevens op zich niet als een belemmering. De onderzoeksrapporten zijn op 12 december 2005 aangeboden aan Borea, de Brancheorganisatie Reïntegratiebedrijven. Het onderzoek naar reïntegratie van bijstandsgerechtigden concludeerde dat de manier waarop reïntegratiebedrijven persoonsgegevens verwerken voor een groot deel bepaald wordt door de opdrachtgevers, de gemeenten. De onderzochte reïntegratiebedrijven opereren in een vechtmarkt waarin contracten jaarlijks vernieuwd worden. De machtspositie van de gemeenten beperkt de mate waarin reïntegratiebedrijven verantwoordelijkheid kunnen nemen voor de verwerking van persoongegevens terwijl de WBP dit wel van hen verlangt. Reïntegratiebedrijven vragen zich af of bijvoorbeeld de uitgebreide verantwoording wel terecht wordt geëist. Gemeenten lijken als opdrachtgever meer gegevens in de rapportages over bijstandsgerechtigden te verlangen dan noodzakelijk is. Het onderzoek naar reïntegratie van zieke werknemers bevestigde de verwachting dat reïntegratiebedrijven ook in de praktijk last hebben van een lacune in de wetgeving voor arbeid en sociale zekerheid. Er is onvoldoende wettelijke basis om te rapporteren over de mogelijkheden van werkhervatting en de mate waarin zieke werknemers hieraan meewerken. Binnen de huidige regelgeving hebben reïntegratiebedrijven geen mogelijkheid gegevens die onder het medische beroepsgeheim vallen, rechtmatig terug te leveren aan werkgever of arbodienst.

Wijziging Besluit SUWI

Heimelijke waarneming bij fraudebestrijding

Zomer 2005 heeft het CBP nogmaals voor helderheid gepleit in zijn advies over het conceptbesluit tot wijziging van het Besluit Structuur Uitvoeringsorganisatie Werk en Inkomen van mei 2005 en over het concept van het tijdelijk Besluit tot wijziging van het Besluit SUWI (verder te noemen het tijdelijk Besluit). De reden voor het gesloten verstrekkingenregime in de sociale zekerheid is het veelal gevoelige karakter van de informatie die hierin omgaat. Bij gebruik van deze gegevens buiten het domein van de sociale zekerheid ontstaan risico’s voor de wijze waarop mensen beoordeeld of bejegend worden. De bescherming van persoonsgegevens dient niet alleen de bescherming van de persoonlijke levenssfeer maar ook andere maatschappelijke waarden als het recht op gelijke behandeling. Discriminatie op basis van een arbeidsongeschiktheidsverleden is zeker niet denkbeeldig. Juist vanwege het risico van verder gebruik met negatieve consequenties voor de betrokkenen voorziet de Zorgverzekeringswet wel in een aanvullende strikte doelbindingsbepaling voor verzekeraars voor de gegevens die zij verkrijgen in het kader van de uitvoering van de Zorgverzekeringswet. Ook voor de persoonsgegevens waarover verzekeraars in verband met de WIA kunnen beschikken, dient deze duidelijkheid geschapen te worden.

In 2002 heeft het CBP de procesbeschrijving Heimelijke waarnemingen door RIF’s goedgekeurd. De Regionale Interdisciplinaire Fraudeteams zijn inmiddels vervangen door de zogenaamde Interventieteams. Dit zijn samenwerkingsverbanden tussen (overheids)organisaties die de naleving van verschillende wetten controleren. Bij de uitvoering van deze controles kunnen medewerkers van de deelnemende organisaties burgers heimelijk observeren. Deze zijn zich daar op dat moment niet van bewust en een dergelijke inbreuk op hun persoonlijke levenssfeer is slechts toegestaan als aan bepaalde voorwaarden wordt voldaan. De voorwaarden bij heimelijke waarneming staan in de betreffende procesbeschrijving; belangrijk is bijvoorbeeld dat burgers achteraf wordt verteld dat een onderzoek naar hen heeft plaatsgevonden. Als gevolg van praktische ontwikkelingen was het noodzakelijk om de procesbeschrijving te herzien. In 2005 heeft het CBP overleg gevoerd met de Interventieteams over de “Procesbeschrijving heimelijke waarnemingen door Interventieteams”. Op onderdelen heeft een aanscherping van de regels plaatsgevonden. In 2006 zal het CBP de procesbeschrijving goedkeuren.

Op grond van de Wet Werk en Inkomen naar Arbeidsvermogen (WIA) krijgen de verzekeraars een regisseursrol toebedacht. Wat deze regisseurs eigenlijk mogen doen met de gegevens waarover zij straks op grond van WIA kunnen beschikken, is echter niet duidelijk geregeld. In 2004 heeft het CBP met klem geadviseerd dat de minister van Sociale Zaken en Werkgelegenheid helderheid verschaft over de bevoegdheden en de beperkingen voor verzekeraars bij het gebruik van persoonsgegevens. In het wetsvoorstel Invoeringswet WIA van 2005 is dit echter niet gerealiseerd. Het CBP acht het een onwenselijke situatie dat de positie van de verzekeraars in het nieuwe stelsel niet duidelijk is omschreven, zeker nu de rol die verzekeraars in ons maatschappelijk bestel innemen, de komende jaren alleen maar groter wordt. Het CBP heeft daarom in de zomer van 2005 de Tweede Kamer nogmaals om aandacht gevraagd voor het ontbreken van een rechtmatige grondslag bij gegevensuitwisselingen. In het wetsvoorstel wordt namelijk uitgegaan van gegevensuitwisseling op basis van toestemming van de werknemer. Gezien de plicht tot medewerking

Onderzoek naar reïntegratiebedrijven Bij zes reïntegratiebedrijven heeft het CBP een verkennend onderzoek uitgevoerd naar de uitvoeringspraktijk bij reïntegratie van bijstandsgerechtigden en zieke werknemers. Het onderzoek had twee hoofdvragen: a) hoe gaan de bedrijven in de praktijk om met de privacyregels, en b) ondervinden reïntegratiebedrijven bij hun werk problemen als gevolg van deze regels? Op basis van het onderzoek ontstaat het beeld dat reïntegratiebedrijven klem zitten tussen gebrekkige regelgeving en dominante opdrachtgevers en daardoor

38

jaarverslag 2005

Koppeling van bestanden bij fraudebestrijding De grotere belangstelling voor uitkeringsfraude bij gemeenten weerspiegelt het gewijzigde maatschappelijke klimaat rond uitkeringen en vloeit direct voort uit het financiële belang dat gemeenten hebben bij een effectieve controle op de uitvoering van de Wet werk en bijstand. In de eerste maanden van 2005 pleitte een aantal lokale politici in de pers voor meer mogelijkheden om gegevensbestanden te ontsluiten en te koppelen voor bestrijding van fraude in de sociale zekerheid. In juni 2005 publiceerde het Coördinatiepunt ICT gemeenten de uitkomsten van een landelijk onderzoek naar de wensen van de gemeenten op het gebied van bestandsontsluiting.

arbeid en sociale zekerheid Controle via ontsluitingen en koppeling van bestanden betekent veelal dat persoonsgegevens gebruikt worden voor een ander doel dan waarvoor de burger mocht verwachten dat de gegevens gebruikt zouden worden. Al te gemakkelijke koppeling van bestanden met gegevens van grote groepen onverdachte burgers acht het CBP buiten verhouding en onwenselijk. Het enkele beroep op de sociale zekerheid maakt iemand nog niet tot verdachte. Uitgangspunt voor fraudebestrijding door bestandsontsluiting en -koppeling moet zijn dat de controlemogelijkheden ten aanzien van een individuele uitkeringsgerechtigde mogen toenemen naarmate er een sterker vermoeden van fraude aanwezig is. De staatssecretaris van Sociale Zaken en Werkgelegenheid heeft vervolgens in een brief van juli 2005 de gemeenten geïnformeerd over de mogelijkheden om bestanden te koppelen voor fraudebestrijding. In december 2005 informeerde de staatssecretaris de Tweede Kamer over de elektronische ontsluiting van een aantal bestanden voor de gemeenten. De staatsecretaris heeft daarbij de visie van het CBP op bestandsontsluiting en -koppeling een “helder kader voor besluitvorming” door gemeenten genoemd.

Monitoren van callcenter-medewerkers Het CBP adviseerde zowel FNV Bondgenoten als twee werkgeversorganisaties, de Werkgeversvereniging Callcenters en de Vereniging Contactcenters Nederland, over een richtlijn voor kwaliteitsmonitoring in callcenters. Gezien het instemmingsrecht van de ondernemingsraad bij maatregelen die het monitoren van werknemers betreffen, adviseerde het CBP ook reglementen voor het monitoren van callcenter-medewerkers in overleg met de OR op te stellen. Het advies trok veel publiciteit. De werkgever zal doorgaans een gerechtvaardigd belang hebben om telefoongesprekken van medewerkers incidenteel op te nemen, bijvoorbeeld voor marketingdoeleinden of in het kader van fraudebestrijding. Het continue monitoren is slechts in bijzondere gevallen toegestaan, bijvoorbeeld in geval van telefonische beursorders. Het bewijs van de totstandkoming van een overeenkomst kan dan niet op een andere, minder bezwarende wijze worden geleverd. Het opnemen voor kwaliteitsmonitoring, dus voor training of begeleiding van werknemers, is mogelijk maar de werkgever zal moeten afwegen of dit doel niet met een minder zwaar middel bereikt kan worden. Ook zal de werknemer actief geïnformeerd moeten worden. Kwaliteitsmonitoring kan een plaats krijgen in de arbeidsovereenkomst, maar alleen een passage hierover in het contract is onvoldoende als waarborg. Het callcenter moet werknemers ook daadwerkelijk waarschuwen dat een bepaald gesprek wordt opgenomen, bijvoorbeeld door een geluidssignaal of door bekend te maken op welke dagen gesprekken worden opgenomen ■

Nederlands Dagblad, september 2005

arbeid en sociale zekerheid

39

De stelselwijziging in de zorg gaf het CBP reden tot intensieve bemoeienis. Al in 2004 adviseerde het CBP over het voorstel voor de Zorgverzekeringswet (Zvw). In 2005 heeft het CBP veel aandacht besteed aan de uitwerking van de stelselwijziging. Met de minister van Volksgezondheid, Welzijn en Sport (VWS) zijn afspraken gemaakt over hoe de tekortkomingen in de Zorgverzekeringswet met betrekking tot de verwerking van persoonsgegevens zoveel mogelijk opgelost konden worden. Daartoe is onder meer artikel 87 Zvw in nauw overleg met het CBP uitgewerkt in een ministeriële regeling. Deze Regeling Zorgverzekering geeft aan welke persoonsgegevens voor welke doelen door zorgaanbieders aan zorgverzekeraars verstrekt moeten worden. Belangrijk is ook de afspraak dat de ‘prestatiebeschrijvingen’ die voor een belangrijk deel de inhoud van de informatiestroom tussen zorgverleners en zorgverzekeraars vormen, in overleg met het CBP door de Zorgautoriteit zullen worden vastgesteld. De prestatiebeschrijvingen geven op detailniveau aan welke persoonsgegevens dienen te worden verstrekt ten behoeve van de declaratie van verleende zorg. 40

jaarverslag 2005

veranderingen in het zorgstelsel , meer invloed van de zorgverzekeraars

Zorg en welzijn

handel zorgenendiensten welzijn Risicoverevening Het CBP is in 2005 met de minister van VWS overeengekomen dat voor risicoverevening geen persoonsgegevens gebruikt zullen worden. Volstaan kan worden met gepseudonimiseerde gegevens, dat wil zeggen dat de gegevens gekoppeld worden aan een unieke maar anonieme code. Het CBP adviseerde ook een aantal randvoorwaarden vast te leggen in de ministeriële regeling ter uitwerking van artikel 35 Zvw, dat betrekking heeft op de verwerking van persoonsgegevens ten behoeve van de risicoverevening. Voor de overgangssituatie naar het stelsel onder de Zvw waren tijdelijk (uitsluitend voor de ex-ante berekening 2006) wel persoonsgegevens noodzakelijk. Het tijdelijke karakter van deze verwerking is vastgelegd evenals een maximale bewaartermijn voor de benodigde gegevens. Het ministerie heeft in reactie op het advies de gestelde randvoorwaarden in de regeling opgenomen.

Onverzekerden Eind 2005 heeft het CBP ook een advies uitgebracht over het rapport ‘Zorg verzekerd’. Dit rapport van het ministerie van VWS gaat over de problematiek dat mensen zich onder het nieuwe stelsel niet zouden verzekeren De belangrijkste kanttekening was dat een aantal van de opgesomde oplossingen (het actief opsporen, beboeten en zonodig verplicht verzekeren van burgers door de overheid) moeilijk in overeenstemming is te brengen met het privaatrechtelijke karakter van de zorgverzekering. Om deze maatregelen te kunnen uitvoeren – het gaat vooral om bestandskoppelingen –zal een inbreuk op de persoonlijke levenssfeer van burgers nodig zijn. In sommige gevallen kan een dergelijke inbreuk gerechtvaardigd zijn gelet op het maatschappelijke belang van het voorkomen en terugdringen van onverzekerdheid. Toch is het de vraag of deze benadering – inbreuk door de overheid op de persoonlijke levenssfeer ten behoeve van een private overeenkomst - niet een vreemde eend in de bijt is.

Diagnose behandeling combinatie en DBCinformatiesysteem De afspraak met het ministerie van VWS en ZN om de Diagnose Behandeling Combinaties (DBC’s) minder gedetailleerd en zo minder privacygevoelig te maken, bleek in 2005 helaas niet meer op de agenda te staan. Dit betekent dat vanaf 2006 DBC’s met gedetailleerde informatie die onder het medische beroepsgeheim valt, door zorgverleners in ziekenhuizen aan zorgverzekeraars zullen worden verstrekt. Het CBP heeft met de minister van VWS afspraken gemaakt over de inzet van Privacy Enhancing Technologies (PET) bij het gebruik van gegevens in het DBC-informatiesysteem (DIS). Het DIS is een grote databank onder beheer van een Trusted Third Party, een landelijk knooppunt voor het ontvangen, verwerken en verstrekken van gegevens die worden aangeleverd door ziekenhuizen en medisch specialisten. Deze gegevens omvatten ook medische gegevens waarop het medisch beroepsgeheim van toepassing is. Het verstrekken en verwerken van deze gegevens is slechts in een zeer beperkt aantal gevallen toegestaan. Voor de risicoverevening tussen zorgverzekeraars bleek het niet noodzakelijk persoonsgegevens op te slaan in het DIS. Het gebruik van pseudo-identiteiten (een unieke, anonieme codering van een bepaald persoonsgegeven) volstaat. Door deze technische oplossing is het niet langer nodig de identiteit van de individuen achter de gegevens te kennen. Dit neemt niet weg dat het DIS wat betreft omvang, dekking en inhoud een van de meest risicovolle verwerkingen in Nederland zal zijn. Door pseudonimisering van de gegevens onttrekt deze verwerking zich aan stringente wettelijke normen. Dit maakt dat bij de verdere uitwerking van de pseudonimisering van het DIS zeer strenge eisen dienen te worden gesteld. Het gaat daarbij vooral om encryptie, organisatie, de inrichting van de Trusted Third Party en de privacy-audits waaraan het DIS periodiek zal moeten worden onderworpen.

Addendum Zorgverzekeraars bij gedragscode In het voorjaar van 2005 heeft het CBP een onderzoek met een verkennend karakter uitgevoerd bij een drietal zorgverzekeraars. Het doel was om een beeld te krijgen van de verwerkingen van persoonsgegevens die bij zorgverzekeraars plaatsvinden en de eventuele knelpunten en aandachtspunten. De uitkomsten van het onderzoek zullen in 2006 gepubliceerd worden. Het onderzoek werd ook uitgevoerd met het oog op de beoordeling van het Addendum Zorgverzekeraars. Het Addendum Zorgverzekeraars, opgesteld door Zorgverzekeraars Nederland (ZN), bevat gedragsregels voor de omgang met persoonsgegevens door ziektekostenverzekeraars en is een aanvulling op de reeds bestaande Gedragscode Verwerking Persoonsgegevens Financiële Instellingen. Het addendum bevat onder meer regels met betrekking tot de omgang met declaratiegegevens en het uitvoeren van materiële controle op de declaraties. Intensief overleg tussen ZN, het ministerie van VWS, de artsenfederatie KNMG en de Nederlandse Patiënten Consumenten

Geestelijke gezondheidszorg

Federatie (NPCF) en het CBP heeft eind 2005 geleid tot overeenstemming over de inhoud van dit addendum. Het CBP heeft op 13 december 2005 het voornemen uitgesproken dit addendum van een goedkeurende verklaring ex artikel 25 WBP te voorzien (Staatscourant 28 december 2005, nr.252, p.71). Het CBP verwacht begin 2006 het definitieve besluit te kunnen nemen.

vens voor de toegankelijkheid van de geestelijke gezondheidszorg. Zowel voor de cliënt als de maatschappij is dat een zwaarwegend belang. Het ministerie van VWS heeft de Minimale Dataset (MDS) voor de GGZ aan het CBP voorgelegd. Conform bestaande afspraken over het aanleveren van medische gegevens aan het DBC-

Per 2007 zal een groot deel van de geestelijke gezondheidszorg (GGZ) worden vergoed via de Zorgverzekeringswet (Zvw). Nu valt de GGZ nog onder de Algemene Wet Bijzondere Ziektekosten (AWBZ). De bedoeling is om de 'op genezing gerichte' geestelijke gezondheidszorg onder de Zvw te brengen. Het overige deel blijft AWBZ-zorg. Met het oog hierop zal dit jaar een overgangsjaar zijn voor de zorg die wordt 'overgeheveld'. Per 2007 zullen ook DBC's worden ingevoerd in de GGZ. In overleg met de beroepsgroep heeft het CBP in 2005 nadrukkelijk aandacht gevraagd voor het belang van de bescherming van persoonsgegevens op dit terrein. Persoonsgegevens van cliënten en patiënten in de GGZ zijn bijzondere persoonsgegevens waarvoor de WBP een strenger regime kent. Betrokkenen zijn extra kwetsbaar. Het CBP heeft in zijn adviezen in 2005 gewezen op het wettelijk verankerde medisch beroepsgeheim van de zorgverleners en het belang van vertrouwelijkheid en zorgvuldige omgang met de gege-

zorg en welzijn

41

activiteiten Jaarverslag 2001 - in vogelvlucht

Informatiesysteem (DIS), oordeelde het CBP dat geen tot personen herleidbare gegevens mogen worden verstrekt aan het DIS. De MDS mag ook geen indirect herleidbare gegevens bevatten. In verband met de 'overheveling' van de GGZ naar de Zvw mogen de zogenaamde 'bekostigingsproducten' worden verstrekt aan de zorgkantoren. Diagnose-informatie over de patiënt mag echter slechts op geaggregeerd niveau aan de zorgverzekeraars verstrekt worden. Overigens heeft de minister van VWS in 2005 de zorgverleners en de beide Kamers toegezegd dat in 2006 op basis van 'bekostigingsproducten' gedeclareerd moet worden bij de zorgkantoren. Het ministerie heeft in reactie op het advies van het CBP toegezegd te (doen) regelen dat geen diagnosegegevens op identificeerbaar niveau zullen worden verstrekt door de zorgverleners. Een regeling van het College tarieven gezondheidszorg die betrekking heeft op gegevensverstrekking in dit kader, zal hierop worden aangepast.

EPD en Landelijk Schakelpunt

Wet marktordening in de gezondheidszorg

Het CBP in 2005 geregeld overleg gevoerd met het Nederlands ICT Instituut in de Zorg (NICTIZ) over het Elektronisch Patiënten Dossier (EPD) en vooruitlopend daarop over het Elektronisch Medicatie Dossier (EMD) en het Waarneemdossier Huisartsen (WDH). Verschillende beroepsgroepen die het EPD zullen gebruiken, zijn geadviseerd over de eisen die WBP en WGBO stellen aan de opzet van ICT- projecten ter realisatie van deze elektronische dossiers. Ook met koepelorganisaties in de zorg is overlegd. De experimenten met regionale EPD’s, de zogenaamde “koplopers”, zijn inmiddels gestart. Het CBP heeft in 2005 advies uitgebracht over het Tijdelijk besluit gebruik sofinummer experimenten informatietechnologie zorg, dat het gebruik van het sofinummer in de koplopers mogelijk maakt. Het advies vroeg om aanvullende maatregelen rond de afsluiting van de experimenten om te voorkomen dat foutieve gegevens buiten de beveiligde omgeving van de experimenten zullen komen en landelijk gaan rouleren. Daarnaast waren extra maatregelen vereist om tot goed toezicht te komen. Op verzoek van het NICTIZ heeft het CBP in 2005 geadviseerd over het NICTIZ-project voor de waarneming van huisartsen buiten praktijkuren met behulp van het Waarneemdossier Huisartsen. Het CBP oordeelde positief met de kanttekening dat het voor patiënten mogelijk moet zijn (bepaalde) gegevens af te schermen voor één of meer waarnemers van hun huisarts. In het kader van het Elektronisch Patiënten Dossier (EPD) heeft NICTIZ het CBP advies gevraagd over de inrichting van het Landelijk Schakelpunt (LSP). Via het LSP zullen patiëntgegevens in de vorm van het EPD worden uitgewisseld tussen alle zorgpartijen. Het CBP kon niet instemmen met een constructie waarin alle participerende zorgaanbieders gezamenlijk verantwoordelijk zouden zijn voor het LSP. Een dergelijke situatie levert zo veel onduidelijkheid op voor de patiënt, dat zijn rechtsbescherming op grond van de Wet bescherming persoonsgegevens (WBP) gevaar loopt. Voor patiënten is het dan immers niet meer duidelijk waar zij terechtkunnen met klachten, vragen en verzoeken om inzage, afschrift en correctie. Ook voor de ingeschakelde bewerker - de externe marktpartij aan wie het beheer van het LSP wordt uitbesteed - zal het onduidelijk zijn waar de zeggenschap van de zeer vele afzonderlijke verantwoordelijken begint en ophoudt. De gezamenlijke zorgaanbieders zullen in deze constructie feitelijk niet in staat zijn om het doel en de

Het CBP heeft de minister van VWS eveneens zeer kritisch geadviseerd over het conceptwetsvoorstel Wet marktordening in de gezondheidszorg (WMG). Met deze wet, die naar verwachting in april 2006 in werking treedt, wordt de Nederlandse Zorgautoriteit (NZa) ingesteld als opvolger van het huidige College toezicht zorgverzekeringen en het College tarieven gezondheidszorg. De NZa krijgt er ook nieuwe taken bij, waaronder het toezicht op de marktwerking in de gezondheidszorg en op het verwerken van het burgerservicenummer door zorgverzekeraars. Intensief overleg met het ministerie van VWS heeft er uiteindelijk toe geleid dat een beter wetsvoorstel ingediend is. In een ministeriële regeling zal worden uitgewerkt welke persoonsgegevens noodzakelijk zijn in die gevallen waarin de wet voorziet in het verwerken van persoonsgegevens.

middelen van de gegevensverwerking te bepalen, zodat geen juiste invulling wordt gegeven aan de WBP. Voor het toezicht op de verwerking ontstaat de onwenselijke situatie dat de verantwoordelijke praktisch gezien niet of slechts met grote moeite valt te adresseren. De wettelijke grondslag voor de voorgenomen verwerking van patiëntgegevens in het LSP zou naar het oordeel van het CBP de uitdrukkelijke toestemming van de betrokken patiënten moeten zijn of een – nog te creëren - formele wettelijke basis. Het CBP heeft kritische kanttekeningen geplaatst bij het feit dat in de huidige opzet niet vooraf wordt gecontroleerd of de zorgverlener die bij het LSP toegang vraagt tot een EPD, ook een behandelrelatie met de betrokken patiënt heeft. Dat is een voorwaarde voor autorisatie tot inzage in het betreffende EPD.

Wet gebruik burgerservicenummer in de zorg Het huidige sofinummer zal onder de naam burgerservicenummer (BSN) vanaf de inwerkingtreding van de Wet algemene bepalingen burgerservicenummer worden gebruikt door en voor alle communicatie met de (semi-)overheid. Voor een aantal sectoren waarin veel bijzondere persoonsgegevens worden verwerkt, zoals in de gezondheidszorg, is aanvullende sectorwetgeving nodig. De Wet gebruik BSN in de zorg bepaalt dat zorgaanbieders, ziektekostenverzekeraars en indicatieorganen het BSN zullen moeten gebruiken in hun onderlinge communicatie over patiënten. Het BSN zal in de toekomst in het bijzonder worden gebruikt om het Elektronisch Medicatiedossier en het Elektronisch Patiëntendossier mogelijk te maken. Het CBP was ook in zijn advies met betrekking tot dit conceptwetsvoorstel zeer kritisch. De invoering van een dergelijk uniek identificerend nummer brengt grote risico’s met zich mee, risico’s die in ieder geval beperkt moeten worden. Het wetsvoorstel dat uiteindelijk aan de Tweede Kamer is voorgelegd, schiet op dit punt te kort. Het CBP heeft vervolgens de Tweede Kamer geïnformeerd over zijn standpunt en zal in 2006 via het parlement alsnog proberen te bewerkstelligen dat de overheid voldoende maatregelen – in het bijzonder adequaat toezicht – zal treffen om invoering van het BSN in de zorg zo zorgvuldig mogelijk te laten verlopen.

42

jaarverslag 2005

handel zorgenendiensten welzijn Wet maatschappelijke ondersteuning De WMO vervangt de Wet voorzieningen gehandicapten, de Welzijnswet en delen van de AWBZ. Gemeenten krijgen onder de WMO maximale vrijheid om een samenhangend geheel van ondersteuning, zoals huishoudelijke hulp, rolstoelen of scootmobielen, te realiseren voor burgers die niet goed in staat zijn zelf oplossingen te vinden voor ondersteuning. Het CBP heeft geadviseerd over het conceptwetsvoorstel WMO en over de derde Nota van Wijziging. Na intensief overleg in het voortraject heeft het uiteindelijke concept het CBP geen aanleiding gegeven tot het maken van opmerkingen.

Gegevensuitwisseling bij bemoeizorg In 2004 hebben het CBP en de Inspectie voor de Gezondheidszorg (IGZ) geconstateerd dat het vooral voor hulpverleners onduidelijk was onder welke voorwaarden zij mochten samenwerken en gegevens mochten uitwisselen bij het uitoefenen van ‘bemoeizorg’. Bemoeizorg is een vorm van actieve hulpverlening aan mensen met ernstige psychische en/of psychosociale problemen die hulp afwijzen, maar deze hulp wel dringend nodig hebben. Een werkgroep van GGD Nederland, GGZ Nederland en de artsenfederatie KNMG heeft vervolgens met advies van IGZ en het CBP de handreiking ‘Gegevensuitwisseling in het kader van bemoeizorg’ opgesteld, die in april 2005 is gepubliceerd. Deze handreiking bevat richtlijnen voor de inrichting van een samenwerkingsverband, de omgang met persoonsgegevens én de omgang met de betrokkene.

Computable, september 2005

zorg en welzijn

43

ov - chipkaart : het systeem moet voldoen aan de privacywetgeving

Handel en diensten De naleving van de informatieplicht door overheden, bedrijven en andere organisaties heeft in 2005 bijzondere aandacht van het CBP gekregen. De voorlichting hierover is versterkt en er zijn enkele onderzoeken naar de naleving van de informatieplicht gestart die in 2006 zullen worden gepubliceerd. TNS-NIPO Consult heeft in opdracht van het CBP onderzoek gedaan naar de informatieplicht in drie sectoren: bij huisartsen, onderwijsinstellingen en woningbouwcorporaties. Ook is een representatieve enquête onder burgers gehouden naar hun opvattingen over de waarde van de informatieplicht en hun ervaringen met de manier waarop verantwoordelijken hen informeren over de verwerking van hun persoonsgegevens. De informatieplicht voor verantwoordelijken mag niet als een administratieve last worden gezien. De informatieplicht is een essentiële voorwaarde voor burgers om hun recht van inzage en correctie te kunnen uitoefenen ter behartiging van hun belangen.

44

jaarverslag 2005

handel en diensten Particuliere recherche

Waarschuwingslijsten

In 2005 zijn twee onderzoeken gedaan bij particuliere recherchebureaus. Doel van de onderzoeken was de werkwijze van particuliere recherchebureaus te onderzoeken en na te gaan of de WBP wordt nageleefd. Bij de beoordeling van de naleving van de WBP is ook de Privacygedragscode voor particuliere onderzoeksbureaus betrokken, die sinds 13 januari 2004 van kracht is. De minister van Justitie stelde per 1 juni 2004 het naleven van deze gedragscode voor alle particuliere recherchebureaus verplicht als voorwaarde voor een vergunning. Het CBP-onderzoek is het eerste sinds de regulering van de branche. Eén onderzoek betrof de naleving van de informatieplicht. Hiervoor zijn in een steekproef dertig bureaus benaderd met een enquête om een beeld te krijgen van de mate en de wijze van naleving van de informatieplicht. Het tweede onderzoek bestond uit onderzoeken ter plaatse bij een drietal recherchebureaus. Hierbij werden naast de naleving van de informatieplicht ook diverse andere aspecten van de WBP getoetst, zoals het naleven van de bewaartermijn voor gegevens. De onderzoeken zullen in 2006 worden gepubliceerd.

Waarschuwingslijsten als middel ter bestrijding van fraude en criminaliteit bleven in 2005 populair. De WBP laat ruimte voor het belang dat bedrijven, organisaties en instellingen kunnen hebben bij het gebruik van waarschuwingslijsten. Bij de beoordeling van de rechtmatigheid van een dergelijke lijst laat het CBP zwaar meewegen of het voorstel van de verantwoordelijke voldoende waarborgen biedt voor een zorgvuldige gegevensverwerking. Deze waarborgen vloeien voort uit de afweging van het belang van de organisatie en het privacybelang van de betrokkene. De Kamers van Koophandel hebben in 2005 een waarschuwingslijst ter beoordeling voorgelegd. De zwarte lijst is bedoeld om fraude te signaleren door advertentieverkoop, loterijen en ongevraagde leveringen en bestaat uit twee delen: een intern Fraude Preventie Register (FPR) en een externe Signaallijst. De Signaallijst is breed via internet toegankelijk. De waarborgen die waren getroffen voor opname op de Signaallijst, waren voldoende: personen die wegens hun vermeende frauduleuze gedrag in aanmerking komen voor opname op de lijst, worden vooraf gewaarschuwd en hen wordt een bezwaarmogelijkheid geboden.

OV-chipkaart In het openbaar vervoer zal over enige tijd de OV-chipkaart worden geïntroduceerd. Op de kaart kan een saldo in euro’s worden geladen, maar ook een enkele reis, retour of abonnement. Met de introductie van de OV-chipkaart komt er één kaart voor het gehele openbare vervoer. Deze op afstand uitleesbare kaart met het formaat van een bankpas is voorzien van een chip. De kaart moet het reizen gemakkelijker maken, zwartrijden tegengaan en de weg openen voor nieuwe diensten voor reizigers. Omdat de kaart bovendien dient als ‘toegangssleutel’ tot de stations, kan de introductie ervan bijdragen aan het terugdringen van overlast op perrons en in trein, tram, bus en metro. Het CBP heeft zich in 2005 uitgebreid laten informeren over de werking van het OV-chipkaartsysteem. Met de belangrijkste betrokken partijen werd regelmatig overleg gevoerd over de effecten die gebruik van de kaart kan hebben voor de persoonlijke levenssfeer. In de gesprekken met de NS en ook in de twee bijeenkomsten die het CBP heeft belegd met de openbaar vervoerbedrijven en Trans Link Systems BV, het ministerie van Verkeer en Waterstaat en organisaties zoals de Consumentenbond, de ANWB en ROVER zijn de diverse standpunten uitgebreid aan bod gekomen. Besproken is onder meer hoe techniek, bedrijfsvoering en privacyaspecten met elkaar te verenigen zijn. Begin 2006 heeft het CBP zijn standpunt bepaald. Bij de realisatie van het OV-chipkaartsysteem moet rekening gehouden worden met de eisen die door de WBP gesteld worden. In het plan zouden tot dan toe de gegevens over individuele gebruikers van een op naam gestelde OV-chipkaart en over hun reisgedrag ter beschikking komen van vervoerders, ook in gevallen waarin het door de vervoerders beoogde gebruik van deze gegevens niet is toegestaan. De bezwaren van het CBP spitsen zich toe op het gebruik door vervoerders van reisgegevens bij op naam gestelde OV-chipkaarten voor serviceverlening en voor marketingdoeleinden. Het CBP realiseert zich dat nog niet alle beslissingen rond de inrichting van het OV-chipkaartsysteem definitief zijn. Juist daarom wijst het op de noodzaak het systeem zó in te richten dat het functioneert in overeenstemming met de eisen van de privacywetgeving.

Hierbij ligt de nadruk op hoor en wederhoor. Verder is de termijn voor vermelding op de signaallijst niet langer dan 90 dagen tenzij er in die periode nieuwe klachten of meldingen zijn binnengekomen over dezelfde frauduleuze handelingen waarvoor de betrokkene op de signaallijst staat. De omvang van de fraude via spooknota’s en acquisitiefraude brachten het Steunpunt Acquisitiefraude (SAF) er toe een waarschuwingslijst in het leven te roepen. Het SAF is een landelijk expertisecentrum en heeft als doel het terugdringen van oplichting en fraudezaken. Uitgangspunt is de aanpak van acquisitiefraude. Het SAF verzamelt gegevens en geeft meldingen op het gebied van vermoedelijke acquisitiefraude en van verzenders van spooknota’s door aan opsporings- en vervolgingsinstanties. In dat kader ontvangen het Openbaar Ministerie, de Bovenregionale Recherche, de coördinatoren van de Fraudemeldpunten van het OM en de FIOD-ECD ook persoonsgegevens. Andere partijen krijgen uitsluitend geaggregeerde, niet tot natuurlijke personen herleidbare gegevens. Het Centraal Bureau Levensmiddelenhandel (CBL) heeft het protocol voor een waarschuwingssysteem voorgelegd aan het CBP. Het CBL wil voor de deelnemende organisaties een winkelwaarschuwingsregister beheren om te voorkomen dat deelnemende organisaties de dupe worden van criminele incidenten die bij andere deelnemende organisaties zijn voorgevallen. Een incident dat zich vermoedelijk kan herhalen in andere plaatsen, wordt doorgegeven aan het systeem zodat andere winkels weten waar ze op moeten letten en tijdig preventieve maatregelen kunnen nemen. Het waarschuwingssysteem bevat onder andere een beschrijving van het soort incident en welke middelen er zijn gebruikt, maar kan soms ook beeldmateriaal van het incident en het kenteken van de dader(s) bevatten. Mocht een persoon geïdentificeerd worden, dan wordt dadelijk aangifte gedaan bij de politie. Om te garanderen dat alleen ernstige incidenten in het waarschuwingsregister voorkomen heeft het CBP geadviseerd om voorafgaand aan opname in het register een duidelijke en heldere afweging te maken of opname in het waarschuwingsregister moet prevaleren boven de mogelijke gevolgen voor de betrokkene. Ten aanzien van de bewaartermijn zou niet alleen vrijspraak tot verwijdering van de lijst dienen te leiden, maar ook de situatie dat iemand zijn straf voor het gepleegde

handel en diensten

45

activiteiten delict heeft uitgezeten. Hierbij kan een uitzondering worden gemaakt voor notoire gevallen van recidive.

Binding Corporate Rules Het initiatief van de zogenaamde Binding Corporate Rules – bindende gedragscodes voor de omgang met persoonsgegevens binnen internationale concerns – heeft in 2005 een positief vervolg gekregen. De Artikel 29-werkgroep heeft in 2005 twee documenten aangenomen die met het oog op vermindering van administratieve lasten een verdere vereenvoudiging van de procedure rond de BCR’s moeten bewerkstelligen. In de eerste plaats zijn er afspraken gemaakt over de keuze voor een privacytoezichthouder als voortrekker (“lead DPA”) in de coördinatieprocedure (“Working document setting forth a co-operation procedure for issuing common opinions on adequate safeguards resulting from “Binding Corporate Rules”, WP107). Aan de hand van criteria zoals de locatie van het hoofdkantoor, de locatie van de vestiging die verantwoordelijk is voor de gegevensverwerkingen en de vestiging met de meeste doorgiften zal de meest geschikte voortrekker worden uitgekozen. De andere privacytoezichthouders zullen geconsulteerd worden over de aanwijzing van de voortrekker. De Artikel 29-werkgroep heeft ook een model aangenomen waarin uiteen is gezet welke informatie de toezichthouders van de bedrijven nodig hebben voor het beoordelen van het passende beschermingsniveau dat door de voorgestelde BCR zou worden geboden (“Working Document establishing a model checklist application for approval of Binding Corporate Rules”, WP108). Het CBP is in 2005 door enkele multinationals aangezocht als voortrekker voor hun Binding Corporate Rules, een rol die het CBP ook in 2006 zal voortzetten. Het CBP heeft van een van deze multinationals reeds een uitgebreide toelichting en ondersteunende informatie over de BCR ontvangen en zal in 2006 naar verwachting de eerste BCR’s waarvan het CBP de voortrekker is, goedkeuren. Op verzoek van de Engelse privacytoezichthouder heeft het CBP begin 2006 de eerste BCR goedgekeurd in een coördinatieprocedure ■

Spoor, zomer 2006

46

jaarverslag 2005

locatiegegevens mobiele telefonie worden gebruikt om getuigen op te roepen

handel en diensten

Telecom Politie en justitie lijken communicatiemiddelen als mobiele telefonie en internet nu ook in de praktijk ontdekt te hebben als hulpmiddel bij het uitvoeren van politietaken. In het afgelopen jaar kwam het CBP voor vragen te staan als 'Moet een mobiele operator na een roofoverval de gegevens van alle abonnees die zich binnen het bereik van een zendmast langs een mogelijke vluchtroute bevonden, afleveren bij justitie?' of 'Is elke bezoeker van een voetbalwedstrijd die zijn mobiele telefoon aan had staan tijdens rellen te beschouwen als een potentiële getuige?’. Onmiskenbaar is de exponentiële groei in de hoeveelheid gegevens over het communicatieverkeer die door opsporingsinstanties wordt opgevraagd. Waar de grens ligt bij het verkrijgen van informatie over grote groepen onverdachte burgers is zeker nog niet duidelijk.

telecom

47

activiteiten Bewaarplicht verkeersgegevens Het CBP heeft zich in 2005 met kracht verzet tegen de introductie van een bewaarplicht voor verkeersgegevens. Nut noch noodzaak van een dergelijke massale, preventieve opslag van telecommunicatiegegevens van alle 450 miljoen Europese burgers waren aangetoond. Specifieke waarborgen ontbraken. Zowel op nationaal als op Europees niveau was er breed gedragen politieke kritiek op het voornemen van de Europese ministers van Justitie en Binnenlandse Zaken de bewaarplicht in een kaderbesluit te regelen. Dit politieke verzet kalfde in de loop van het jaar af. In augustus 2005 kwam de Europese Commissie met een voorstel voor een richtlijn. Het CBP heeft zich in een vroeg stadium verstaan met de Europese Commissie en de European Data Protection Supervisor (EDPS) over de voorgenomen voorstellen en heeft vervolgens het initiatief genomen tot een gezamenlijke reactie van de Artikel 29-werkgroep. De opinie van de werkgroep waarin de Europese privacytoezichthouders samenwerken, verscheen voor behandeling in het Europese Parlement. Veel resultaat heeft dat niet gehad. Uiteindelijk werd het voorstel voor de richtlijn zodanig geamendeerd dat het voorgenomen kaderbesluit materieel is overgenomen, zonder waarborgen. Voor de privacytoezichthouders restte niet meer dan het voornemen om de verschillen tussen de lidstaten bij implementatie van de Richtlijn zo klein mogelijk te houden.

Het CBP is eveneens tevreden over de tot stand gebrachte audit-overeenkomst. Periodiek zal nu daadwerkelijk gecontroleerd worden of politie en justitie uitsluitend gegevens verkrijgen die op rechtmatige wijze zijn gevorderd. Beide overeenkomsten waren in januari 2006 gereed voor ondertekening door overheid en telecombedrijven. Het ministerie van Justitie overlegt met de internetproviders over aansluiting bij het CIOT. Daarvoor dient het Besluit verstrekking gegevens telecommunicatie opnieuw te worden gewijzigd. Het CBP heeft er bij de minister van Justitie op aangedrongen dat de bewerkersconstructie en de audit-verplichting te zijner tijd ook in het besluit zullen worden geregeld. Eind 2005 werd een ambtelijke werkgroep ingesteld die zal onderzoeken of het CIOT-model ook geschikt is voor uitvoering van de Richtlijn bewaren verkeersgegevens. Het CBP is bij de werkzaamheden van de werkgroep betrokken. Als meer duidelijkheid bestaat over de bruikbaarheid van het CIOT-model, kan gewerkt worden aan het wetsvoorstel tot implementatie van de bewaarverplichting ■

CIOT Aanbieders van vaste en mobiele telefonie zijn verplicht een supertelefoongids beschikbaar te houden voor raadpleging door politie, justitie en de inlichtingendiensten. De bij een telefonieaanbieder voorhanden zijnde telefoonnummers met bijbehorende naam-, adres- en woonplaatsgegevens moeten daarin zijn opgenomen. De verplichting zal binnen afzienbare tijd ook gaan gelden voor internetaanbieders. Het Centraal Informatiepunt Opsporing Telecommunicatie (CIOT) in Zoetermeer fungeert als doorgeefluik tussen telefoniesector en de autoriteiten. Het CIOT valt onder het ministerie van Justitie. Veel telecomaanbieders laten hun bestand beheren door het CIOT. Zij hoeven dan niet zelf een systeem te onderhouden en te beveiligen en leveren slechts periodiek mutaties aan, die het CIOT verwerkt in zijn eigen systeem. Gezien het ontbreken van een deugdelijke bewerkersovereenkomst is dat een ongewenste situatie. Bovendien neemt het Besluit verstrekking gegevens telecommunicatie als uitgangspunt dat het CIOT niet zelf gegevens opslaat. In de praktijk bleek er ook veel onduidelijkheid te bestaan over wie nu precies verantwoordelijk was voor gegevens waarover justitie feitelijk beschikt maar die in juridische zin nog gevorderd moeten worden. Het CBP heeft daarom bij de minister van Justitie aangedrongen op een behoorlijke juridische inbedding van de gegroeide praktijk. Als het al niet mogelijk was een passende regeling te treffen voor de opslag van eenvoudige telefoongidsgegevens, hoe zou het CIOT dan een rol kunnen vervullen rond het bewaren van verkeersgegevens? De bewerkersovereenkomst is inmiddels serieus ter hand genomen in onderhandelingen tussen telecommunicatieaanbieders en CIOT. Nederlands Dagblad, september 2005

48

jaarverslag 2005

consumenten laten zich steeds meer vrijwillig labellen

Technologie Twee technologieën kregen in 2005 specifiek aandacht van het CBP. Biometrie is actueel bijvoorbeeld omdat bij het beheer en gebruik van paspoorten biometrische gegevens vastgelegd worden. Radio Frequency Identificatie (RFID) staat wereldwijd in de belangstelling vanwege de maatschappelijke effecten die van RFID-toepassingen verwacht worden. Daarnaast blijft het CBP hameren op de noodzaak privacy ook met technische middelen de waarborgen. Privacy by design - de gedachte om systemen technisch zo in te richten dat deze het zorgvuldig verwerken van persoonsgegevens ondersteunen – wordt sinds jaar en dag door het CBP bepleit. De noodzaak tot technische waarborgen voor het zorgvuldig verwerken van persoonsgegevens wordt alleen maar groter nu het automatisch genereren, opslaan en gebruiken van gegevens als gevolg van technologische ontwikkelingen steeds gemakkelijker wordt.

technologie

49

activiteiten In januari 2005 heeft het CBP privacy by design onder de aandacht gebracht tijdens een expertmeeting met deskundigen die zich met ICT-verkenningen bezighouden. Ook is in 2005 geïnventariseerd welke informatiebronnen systeemontwikkelaars zouden moeten kennen om privacy by design te kunnen toepassen. In dit kader was het CBP verheugd over de publicatie door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties van het praktische overzicht Privacy Enhancing Technologies. Witboek voor beslissers (2005). Het witboek bevat een groot aantal voorbeelden van toepassing van Privacy Enhancing Technologies (PET) in bestaande systemen. In 2005 heeft het CBP met de minister van Volksgezondheid, Welzijn en Sport (VWS) afspraken gemaakt over de inzet van PET bij het gebruik van gegevens in het DBC-informatiesysteem (DIS). Het DIS heeft als taak het ontvangen, verwerken en verstrekken van gegevens die worden aangeleverd door ziekenhuizen en medisch specialisten. Deze persoonsgegevens bestaan deels uit medische gegevens waarop het medische beroepsgeheim van toepassing is. De afspraken voorzien onder meer in de toepassing van pseudoidentiteiten, een unieke, anonieme codering van een bepaald persoonsgegeven Ook voor de risicoverevening zal pseudonimisering worden toegepast. Met de minister van VWS is afgesproken dat de gegevens van verzekerden die het College voor Zorgverzekeringen gebruikt voor de uitvoering van de risicoverevening, vanaf 2006 zullen worden versleuteld. (zie ook p. xx).

Biometrie Nadat er in EU-verband afspraken tot stand zijn gekomen over de opslag van biometrische gegevens in reisdocumenten, zijn er in 2005 ook weer voorstellen gepresenteerd voor nationale centrale opslag van dergelijke gegevens. Deze voorstellen gaan echter nauwelijks in op de technologische aspecten van het op grote schaal toepassen van biometrie. Een evenwichtig en helder maatschappelijk debat over de voor- en nadelen is echter een voorwaarde voor een verantwoorde massale inzet van biometrie. (zie ook p. xx) Een belangrijk probleem is dat bij het verzamelen en gebruiken van biometrische gegevens altijd foutenmarges bestaan. De grootte van de fout is afhankelijk van de soort biometrie en van kenmerken van de populatie van betrokken personen. Een foutenmarge van enkele procenten leidt echter bij een grote populatie – alle paspoorthouders bijvoorbeeld - tot zeer veel probleemgevallen, waarin het systeem aan de hand van het biometrisch kenmerk ten onrechte besluit dat paspoort en reiziger niet of juist wel bij elkaar horen. Bij invoering van biometrie in het paspoort zal dit probleem zich direct doen gelden. Het gaat dus niet alleen om principiële of langetermijnkwesties. Nu geclaimd wordt dat de landelijke inzet van biometrie om zwaarwichtige redenen nodig is, dreigen er ernstige effecten voor burgers die niet voldoen aan de door machines gestelde eisen, hetzij door tekortkomingen in de omgang met biometrische gegevens, hetzij vanwege de foutenmarges die eigen zijn aan biometrie. Een operationeel vraagstuk ontstaat verder voor de toegang en het verdere gebruik van gegevens en de controle daarop. De privacyaspecten van het grootschalige gebruik van biometrische gegevens zijn in 2004 nog naar voren gebracht in opinies van de Artikel 29-werkgroep over de ontwikkeling van visumsystemen waarin ook sprake is van een gecentraliseerde opslag van biometrische gegevens. In 1999 al verscheen de CBP-studie At face value. On biometrical identification and privacy. Het CBP zal aandacht voor deze kwestie blijven vragen.

50

jaarverslag 2005

RFID In 2005 heeft de Artikel 29-werkgroep een openbare consultatie georganiseerd om de inzichten en zienswijzen van diverse partijen te inventariseren met betrekking tot de privacyaspecten van het gebruik van Radio Frequency Identificatie (RFID). Het CBP heeft actief bijgedragen aan de totstandkoming van de documenten waarin de resultaten van deze consultatie zijn weergegeven en van voorstellen voor het gebruiken van deze resultaten. De RFID-technologie maakt het mogelijk voorwerpen, dieren of mensen te voorzien van een zeer kleine chip die in ieder geval een uniek, gestandaardiseerd individueel nummer bevat dat moeiteloos en vrij uitgelezen kan worden met behulp van radiogolven. Ook is het mogelijk nog meer informatie toe te voegen. De techniek spreekt tot de verbeelding en er woedt een levendige discussie over de toepassingsmogelijkheden. De technologie stelt de naleving en toepassing van de regels voor het verwerken van persoonsgegevens voor bijzondere problemen omdat nog lang niet duidelijk is wat de betekenis van juridische bepalingen voor zorgvuldig gebruik van persoonsgegevens is in de context van RFID-technologie. Zo is het bijvoorbeeld moeilijk om vast te stellen in welke gevallen een RFID-gegeven over een product ook als persoonsgegeven beschouwd moet worden. Het is evenmin gemakkelijk de vraag te beantwoorden, wie er in diverse scenario’s verantwoordelijk geacht moet worden voor de naleving van de regels. De massale toepassing van RFID zal ook leiden tot een explosieve groei in het gebruik van gegevens en persoonsgegevens. Wat blijft er dan over van het principe om – in situaties waarin de toestemming van betrokkenen ontbreekt – gegevens alleen te verzamelen als hiertoe een noodzaak bestaat. De meningen over de verhouding tussen kansen en bedreigingen van RFID lopen sterk uiteen. Ook over de termijn waarop beide zich voordoen bestaat weinig overeenstemming. De technische ontwikkeling stelt ook het normenkader op de proef. Privacytoezichthouders zullen zich moeten uitspreken om de onduidelijkheden te verminderen. Het CBP heeft in 2005 geïnvesteerd in expertise op het terrein van RFID en zal in 2006 hierover publiceren ■

opname van biometrische gegevens in het paspoort

handel en diensten

Internationaal Vanwege de toename van plannen en maatregelen op Europees niveau voor veiligheid en criminaliteits- en terrorismebestrijding, zal de uitwisseling van gegevens van verdachte en onverdachte personen tussen de lidstaten van de EU steeds groter worden. Daarom neemt ook het belang toe van een geharmoniseerd en adequaat raamwerk voor de bescherming van persoonsgegevens voor de internationale uitwisseling van gegevens op het terrein van justitie en binnenlandse zaken, de zogenaamde derde pijler van de Europese Unie.

internationaal

51

activiteiten Veiligheid en terrorismebestrijding

Europol

De blijvende aandacht op Europees niveau voor veiligheid en de bestrijding van terrorisme en grensoverschrijdende criminaliteit heeft in 2005 geresulteerd in een uitwerking van het zogenaamde Den Haag programma. Dit is een meerjarig programma vastgesteld onder het Nederlandse voorzitterschap van de Europese Unie in de tweede helft van 2004. Het bevat voorstellen met het oog op de strijd tegen terrorisme en grensoverschrijdende criminaliteit. De voorstellen beslaan zowel het terrein van justitie en binnenlandse zaken als de eerste pijler van de EU, de interne markt, en geven voor een deel uitwerking aan reeds bestaande plannen. De belangrijkste voorstellen in het afgelopen jaar behelsden het kaderbesluit gegevensbescherming in de derde pijler, de verdere ontwikkeling van bestaande Europese informatiesystemen, het zorgen voor betere interoperabiliteit en synergie tussen Europese databanken, introductie van biometrie in paspoorten en de centrale opslag van onder andere visuminformatie. Daarnaast kwam de richtlijn tot stand met de bewaarplicht voor verkeersgegevens van telecommunicatie (zie p. xx). Verstrekkend was het voorstel voor een kaderbesluit over het principe van de beschikbaarheid van politiegegevens op grond waarvan meer gegevens van politie en justitie tussen lidstaten uit-

Het huidige toezicht in de derde pijler is beperkt en verspreid over de zogenaamde Gemeenschappelijke Controle-autoriteiten en organen. De nationale privacytoezichthouders in de Europese Unie hebben een gezamenlijke verantwoordelijkheid voor het toezicht op de verwerking van persoonsgegevens op politie- en justitiegebied. Het gaat om Europese instellingen en systemen zoals Europol en het Schengen Informatiesysteem. Het CBP heeft in 2005 deelgenomen aan de jaarlijkse audit van de Europol-systemen door het Gemeenschappelijk Controleorgaan van Europol. Uit de jaarlijkse controles blijkt telkens weer het grote belang van een behoorlijke kwaliteit van de door de lidstaten aangeleverde gegevens. Bij de audit van 2005 is tevens het nieuw ontwikkelde Informatie Systeem van Europol aan een onderzoek onderworpen.

gewisseld kunnen worden. Handhavingsinformatie die beschikbaar is in één lidstaat zou zo direct beschikbaar worden voor de andere lidstaten. De conferentie van Europese privacytoezichthouders heeft met nadruk verklaard dat het principe van beschikbaarheid van handhavinginformatie alleen zou mogen worden ingevoerd indien er ook een geharmoniseerd en adequaat kader is dat een hoog en gelijkwaardig niveau van gegevensbescherming garandeert in de gehele EU.

zen van de EU te versterken zodat grenscontroles binnen de EU opgeheven konden worden. Het bestaande systeem is echter ontoereikend voor de uitbreiding naar de nieuwe lidstaten en kan geen biometrische gegevens bevatten. In vervolg op het advies over SIS II van 2004 adviseerde de GCA Schengen in oktober 2005 over het door de Europese Commissie voorgestelde juridische kader voor het nieuwe informatiesysteem. De GCA heeft enkele fundamentele bezwaren tegen de voorgestelde juridische grondslag. Het is niet duidelijk onder welke Europese juridische kaders SIS II zal komen te vallen en wie daarvoor bevoegd zal zijn. Het doel van de gegevensverwerking wordt onvoldoende specifiek gedefinieerd waardoor de rechtsgrondslag niet voldoet aan de grondbeginselen van gegevensbescherming. Verder is het toezicht door de nationale en de Europese toezichthouders onvoldoende geregeld. Het SIS II zal ook dienen voor de verwerking van informatie over immigranten en asielzoekers. Dit is echter het terrein van de eerste pijler. Daarom heeft ook de Artikel 29-werkgroep in november 2005 een opinie uitgebracht over het nieuwe juridische kader voor het SIS II. De werkgroep oordeelde dat systematische toegang tot het SIS door politieautoriteiten niet toegestaan is, en dat de doelen waarvoor op biometrische gegevens gezocht mag worden, duidelijk moeten worden aangegeven. Daarnaast moet worden onderzocht of de nieuwe mogelijkheid van het linken van signaleringen binnen het doel van het systeem past. In het voorstel verdwijnt de huidige GCA. De rol van de

Toezichthouder voor de derde pijler De voorjaarsconferentie van Europese privacytoezichthouders in Krakow in april 2005 betuigde zijn instemming met het plan van de Europese Commissie om een nieuw juridisch kader voor gegevensbescherming in de derde pijler te ontwikkelen. De conferentie benadrukte dat het hoge beschermingsniveau van de algemene privacyrichtlijn 95/46/EG het uitgangspunt zou moeten zijn voor dit nieuwe regime. De coherentie, consistentie en eenheid van gegevensbescherming binnen de EU dient te worden bewaard om verschillen in bescherming tussen de derde pijler en de eerste pijler van de interne markt te voorkomen. In 2004 werd in Wroclaw opgeroepen de advisering op het terrein van politie en justitie te verankeren in de structuur van de derde pijler. In 2005 werd gepleit voor een onafhankelijk toezichtsen adviesorgaan, waarin de nationale en Europese toezichthouders zouden samenwerken. Nu het Constitutioneel Verdrag niet is aangenomen, blijft de pijlerstructuur van de Europese Unie voorlopig bestaan. Daarom is naast de Artikel 29-werkgroep voor de eerste pijler ook voor de derde pijler een dergelijk orgaan noodzakelijk. In de loop van het 2005 hebben de Europese privacytoezichthouders een gedetailleerder advies over het voorstel opgesteld, dat begin 2006 aangeboden is aan de Europese Raad en de Europese Commissie.

52

jaarverslag 2005

Schengen Informatiesysteem II Het CBP was ook in 2005 voorzitter van de Gemeenschappelijke Controleautoriteit (GCA) Schengen. De belangrijkste ontwikkeling bleef het proces om het huidige Schengen Informatiesysteem (SIS) te vervangen door een nieuw systeem, het SIS II. Het Schengen Informatiesysteem was bedoeld om de controle aan de buitengren-

Europese Commissie, de European Data Protection Supervisor (EDPS) en de nationale privacytoezichthouders blijft in het voorstel onduidelijk. Het advies van de werkgroep benadrukt dat alle huidige taken van de GCA opnieuw belegd moeten worden in de nieuwe toezichtstructuur en dat een efficiënt systeem van gedeelde supervisie van de Europese en nationale toezichthouders van belang is.

internationaal Europees visuminformatiesysteem

Verbetering implementatie Privacyrichtlijn

De Artikel 29-werkgroep heeft in 2005 een opinie uitgebracht over het voorstel om een Europees visuminformatiesysteem (VIS) op te zetten dat de uitwisseling van visumgegevens tussen lidstaten die de binnengrenscontroles hebben afgeschaft mogelijk maakt. Geen enkel Europees systeem is qua omvang en capaciteit met het VIS vergelijkbaar. Er zullen persoonsgegevens, waaronder biometrische gegevens, van miljoenen mensen in een centrale gegevensbank worden opgeslagen en tussen staten worden uitgewisseld. Het voorstel maakt ruime toegang tot het VIS mogelijk voor brede doeleinden. De werkgroep heeft daarom geadviseerd het doel waarvoor gegevens worden verwerkt in het VIS nauwkeurig te omschrijven en te beperken tot wat nodig is om het gemeenschappelijke visumbeleid te verbeteren. De systematische toegang moet tot de autoriteiten beperkt worden die het visumbeleid uitvoeren. Het doel waarvoor de verschillende systemen zijn ontwikkeld, mag niet uit het oog worden verloren. Het streven de interoperabiliteit tussen Europese databanken als het VIS, het SIS II en Eurodac te verbeteren, mag er niet toe leiden dat een autoriteit die geen toegang heeft tot bepaalde gegevens omdat zij deze niet mag gebruiken, de gegevens toch kan verkrijgen via een ander systeem.

De Artikel 29-werkgroep heeft in 2005 verder bijgedragen aan het werkprogramma ter verbetering van de implementatie van de Privacyrichtlijn. Dit werkprogramma was opgesteld naar aanleiding van de evaluatie van de richtlijn door de Europese Commissie in 2003. Het werkprogramma zou onder andere moeten leiden tot administratieve-lastenverlichting voor het bedrijfsleven en andere verantwoordelijken. De werkgroep heeft daarom twee documenten aangenomen die een verdere vereenvoudiging bewerkstelligen van de procedure om een vergunning te krijgen voor Binding Corporate Rules in meerdere landen van de Europese Unie (zie ook p.xx). Een ander doel van het werkprogramma is het versterken van de handhaving. De Artikel 29-werkgroep heeft aangekondigd in de gehele Europese Unie een gecoördineerde en gezamenlijke handhavingsactie te ondernemen. In 2005 is besloten dat het eerste gemeenschappelijke onderzoek van de nationale toezichthouders zich zal richten op de zorgverzekeraars. Het doel van het onderzoek is na te gaan of en hoe in de verschillende landen de privacyregels in deze sector worden nageleefd. Het onderzoek zal in 2006 van start gaan.

Klokkenluiders in internationale concerns Biometrie in het paspoort Eind 2004 is het voorstel van de Europese Commissie voor standaarden van veiligheidskenmerken en biometrie in paspoorten van burgers van EU-lidstaten door de Europese Raad aanvaard. Dit behelst de opslag van twee biometrische kenmerken in het paspoort, een digitale gezichtsfoto en vingerafdrukken. In 2005 heeft de Artikel 29-werkgroep advies uitgebracht over de implementatie van deze verordening. De werkgroep herhaalde haar bezwaar tegen de invoering van vingerafdrukken in het paspoort en tegen een eventuele Europese centrale database van paspoorten. Verder werd gewezen op de veiligheidsrisico’s bij invoering van biometrie op een RFID-chip. Ook zouden alleen bevoegde autoriteiten toegang moeten kunnen krijgen tot de gegevens. De Internationale Conferentie van privacytoezichthouders in Montreux heeft in september 2005 een resolutie aangenomen over het gebruik van biometrie in paspoorten, identiteitskaarten en reisdocumenten. Massaal gebruik van biometrie heeft verstrekkende gevolgen voor de samenleving en moet daarom grondig worden bediscussieerd. Adequate waarborgen tegen de inherente risico’s van biometrie, zoals de foutenmarge, zijn noodzakelijk. Ook zou het gebruik van biometrie in paspoorten en reisdocumenten beperkt moeten worden tot verificatie, dus tot het vaststellen dat de gegevens op het document behoren bij de persoon die het document aanbiedt.

Op grond van Amerikaanse wetgeving zijn bedrijven die aan de Amerikaanse beurs zijn genoteerd, sinds enige tijd verplicht een klokkenluidersysteem in het leven te roepen. Het doel is dat vermeende misstanden op het gebied van de boekhouding, interne controles en audits eerder gemeld worden. Deze bepaling heeft ook voor veel Europese bedrijven gevolgen. De Artikel 29-werkgroep heeft daarom begin 2006 een aanbeveling aangenomen over klokkenluidersystemen binnen multinationale ondernemingen. De aanbeveling geeft richtlijnen om een klokkenluidersysteem zo in te richten dat het tevens voldoet aan de Europese regelgeving voor gegevensbescherming. Rechtsregels van derde landen kunnen niet worden opgevat als een wettelijke plicht op grond waarvan het installeren van een kliksysteem in Europa is toegestaan. Bedrijven kunnen zich wel beroepen op een gerechtvaardigd belang om een kliklijn in te stellen op voorwaarde dat er een goede belangenafweging is gemaakt. Het systeem moet proportioneel zijn: aard en ernst van de veronderstelde overtreding bepalen of en over wie gemeld mag worden. Doorgifte van een melding aan het moederbedrijf in een derde land is in principe alleen toegestaan indien de overtreding niet op het niveau van de onderneming in Europa kan worden afgehandeld. Meldingen dienen in principe niet anoniem maar confidentieel te zijn. De melder moet zijn identiteit kenbaar maken en deze moet vervolgens confidentieel worden gehouden. Verder moeten werknemers over de klokkenluiderregeling worden geïnformeerd ■

internationaal

53

Organisatie Het CBP blijft welbewust een organisatie in verandering in reactie op maatschappelijke eisen en ontwikkelingen, toenemende werkdruk en een te zeer achterblijvende groei van de capaciteit. In 2005 is veel aandacht besteed aan de ontwikkeling van de organisatie en de interne aansturing gezien de noodzaak adequaat in te spelen op externe ontwikkelingen. De verandering in samenstelling van het college heeft daarnaast geleid tot nieuwe verwachtingen van het college ten aanzien van de organisatie. College en directeur realiseren zich terdege dat dit voor de medewerkers niet alleen een uitdaging maar ook een verhoging van de belasting betekent. Het HRM-beleid houdt daarom de volle aandacht van de diverse verantwoordelijken. De kwaliteit van het CBP is immers in hoge mate afhankelijk van inzet en kwaliteit van de medewerkers. 54

jaarverslag 2005

Nationale en internationale beleidsagenda’s en vele private initiatieven in reactie op maatschappelijke en politieke ontwikkelingen zetten de organisatie onder druk. Aan de toezichthouder worden hogere eisen gesteld, terwijl deze toename van de werklast onvoldoende kan worden opgevangen. • Controle op de naleving is wat de wetgever bij uitstek van de toezichthouder vraagt. Effectief toezicht op de naleving van en zonodig handhaving van de regels voor de omgang met persoonsgegevens is noodzakelijk. Onvoldoende mensen en middelen zijn echter beschikbaar om deze opdracht naar de volle omvang te kunnen verwezenlijken. • De gestage groei van het gebruik van persoonsgegevens, in het bijzonder de sterke toename van informatiesystemen voor doeleinden van preventie legt extra druk op de beschikbare capaciteit voor advisering en controle. • De intensivering van de bestrijding van terrorisme en criminaliteit vergt ook van het CBP een noodzakelijke extra inspanning. • De multilaterale samenwerking in de 3e pijler van de EU vereist een extra inspanning gezien ontwikkelingen waarbij de buitenlandse toegang tot justitiële en politiële gegevens structureel verruimd zullen worden (o.a. kaderbesluit dataprotectie, Availability van politie-informatie). • Het initiatief om te komen tot interne privacycodes voor multinationale ondernemingen (de zogenaamde Binding Corporate Rules) vereist nog veel werk. In het kader van de vermindering van administratieve lasten wordt gewerkt aan een snelle en effectieve (één-loket) procedure. Hierdoor kan vermeden worden dat internationale bedrijven zich moeten wenden tot 25 verschillende privacytoezichthouders. • Het krachtenveld waarin het CBP nationaal en internationaal opereert. Dit stelt hoge eisen aan de kwaliteit van het personeel. Het CBP dient daarom in staat te worden gesteld meer zeer ervaren professionals aan te stellen. • Incidenteel (2005-2006) is de werklast toegenomen door de wettelijk voorziene evaluatie van de Wet bescherming persoonsgegevens (WBP) in 2006.



2003 2004 2005



m

v

m

v

m

v

In dienst

5

6

2

3

0

8

Uit dienst

2

0

2

1

5

5

Bezetting einde jaar m / v

26

43

26

45

21

48

Bezetting einde jaar totaal

69

71

69

Mobiliteit

3%

4%

15%

In tijdelijke dienst

6

5

3

In vaste dienst

58

63

62

Gemiddelde bezetting (fte’s)

57,9

63,3

59,6

Bezetting einde jaar totaal (fte’s)

61,6

64,9

62,5

formatie 2003-2005

2003 2004 2005

Fte’s

Fte’s

Fte’s

Uitzendkrachten (fte's)

0,60

0,12

0

Stagiaires (fte's)

0,80

1,80

1,50

Interim (fte's)

0,80

1,80

1,50

overzicht medewerkers buiten formatie 2003-2005

organisatie

55

Bij een te kleine formatie hebben onderbezetting, organisatieontwikkeling, heroriëntatie en de ontwikkeling van een nieuw informatiesysteem tot gevolg gehad dat de thema’s van 2005 noodgedwongen ook in 2006 op de agenda zullen blijven. 2003 2004 2005

Totaal ziekteverzuim excl. zwangerschap 6,35% Waarvan langdurig verzuim 2,74% Ouderschapsverlof 3

6,5%

5,82%

0

2,55%

4

6

Verlof zwangerschap/bevalling

2

3

2

Seniorenregeling

0

3

2

Opleiding (euro’s x 1000) 84 Opleiding in % t.o.v. personele budget 2,53%

145

105

4,00%

2,65%

ziekteverzuim en overige personele informatie 2003–2005

Personeel en formatie In 2005 is de beleidsafdeling onderverdeeld in drie beleidsgroepen en zijn de primaire taken en de beheersmatige taken bij de ondersteunende dienst opgesplitst in een afdeling informatiebeheer en een bedrijfsbureau. Het personeelsverloop, vooral onder de professionals, is in 2005 gestegen. Het CBP is enerzijds aantrekkelijk voor goed opgeleide mensen die op het onderwerp privacy hun kennis verder willen ontwikkelen. Voor de persoonlijke ontwikkeling is een vervolgstap extern een logische stap. Anderzijds blijkt het niet eenvoudig te zijn om personeel met specifieke expertise en ervaring op de verschillende beleidsterreinen te werven. Er is veel geïnvesteerd in werving en selectie, waardoor er 8 nieuwe medewerkers konden worden aangesteld.

Ziekteverzuim Het ziekteverzuim is in 2005 afgenomen. In het sociaal-medisch-team wordt periodiek afgestemd met de bedrijfsarts en de personeelsfunctionaris en zonodig gezocht naar passende oplossingen. Een aandachtspunt blijft de werkdrukbeleving.

Productie De aard en de complexiteit van de productie van het CBP is ten opzichte van de periode na de invoering van de WBP duidelijk aan het veranderen. Het aantal nieuwe WBP-meldingen is zoals verwacht sterk teruggelopen. De verzoeken om algemene voorlichting via e-mail zijn sterk toegenomen. De verzoeken om advisering en de klachten die door het backoffice worden behandeld nemen in complexiteit duidelijk toe. Het CBP heeft veel geïnvesteerd in belangrijke wetgevingstrajecten (wijzigingen van het zorgstelsel, Burgerservicenummer, Wet politiegegevens) en advisering op grote projecten (OV-chipcard) .

56

jaarverslag 2005

2002 2003 2004 2005

progn.*



Wetgevingsadviezen

26

25

34

51

40



Gedragscodes

5

3

5

0

5



Reglement WPR (tot 1 sept 2001) en WpolR

40

30

23

8

25



WBP-meldingen vanaf 1 sept 2001

7.863

13.083

4.028

4.865

6.000



Voorafgaand onderzoek

190

257

174

97

175



Voorlichtingsverzoeken

686

725

821

637

750



Internationale zaken

33

46

66

62

60



Bijzondere gegevens

0

1

3

2

2



Gegevensverkeer derde landen

10

12

21

30

50



Bemiddeling en klachten

282

316

409

355

350



Ambtshalve onderzoek

11

73

56

25

80



Meldingsplichtonderzoek



14



Boete

0

3

35

9

30



Dwangsom

0

1

3

2

7



Bestuursdwang

1

0

1

0

1



Beroep

1

2

2

14

15



Bezwaar

4

2

19

6

15



Wet openbaarheid bestuur

19

0

11

5

10



Incasso



9



Toegezonden uitspraken



10



Preventieve controle bij verantwoordelijke



8



Algemene voorlichting (telefonisch)

5.715

5.330

3.426

3.253

3.250



Algemene voorlichting (via e-mail)

1.890

2.045

1.957

3.039

3.500



Klachten over het CBP

9

5

6

6

10

overzicht van de productie 2002–2005 * De prognose 2005 is opgenomen in het bestedingsplan 2005 en de meerjarenraming 2006-2009.

Toelichting op de productie Wetgevingsadvies

De grote stelselwijziging in de zorg, wetgeving op het gebied van veiligheid en terrorismebestrijding, de verdere uitbouw van de informatie-infrastructuur van de overheid en de informatiehuishouding van de politie hebben verstrekkende gevolgen voor de bescherming van persoonsgegevens. Het CBP ervaart een duurzame noodzaak om als onafhankelijke adviseur te investeren en te participeren in wetgevingstrajecten, ook om in zijn rol als toezichthouder niet geconfronteerd te worden met de noodzaak tot drastische ingrepen achteraf.

2003 2004 2005



Meldingen WBP in openbaar register

21.537

25.565

27.999



Functionarissen voor de gegevensbescherming

148

170

183



Aanpassingen gemeentelijke basisadministratie

350

481

483



meldingen wbp / functionarissen / gba - regelingen 2003–2005



Wijze van melden

2003 2004 2005





24%

23%

21%



Meldingsformulier



Meldingsprogramma op diskette

30%

26%

22%



Meldingsprogramma via internet/e-mail

47%

51%

57%



wijze van melden onder meldingsbesluit wbp 2003–2005

organisatie

57

Taken van het CBP •

Wetgevingsadviezen



 p grond van artikel 51, tweede lid WBP dient het CBP om O advies te worden gevraagd over voorstellen van wet en ontwerpen van algemene maatregelen van bestuur die geheel of in belangrijke mate betrekking hebben op de verwerking van persoonsgegevens. Dit vloeit direct voort uit Richtlijn 95/46/EG en heeft ook betrekking op voorstellen die belangrijke gevolgen hebben voor de verwerking van persoonsgegevens. De uitvoering van deze adviestaak valt onder de bepalingen van de Kaderwet adviescolleges (Stb. 1996, 378). Dat neemt niet weg dat het CBP zich ook als toezichthouder kan wenden tot de regering, al dan niet onder toezending van een kopie aan een of beide Kamers van de Staten-Generaal. Ook maakt het CBP wel gebruik van de mogelijkheid om te reageren op bij de Tweede Kamer ingediende wetsvoorstellen. Ten slotte komt het regelmatig voor dat vaste commissies uit de Tweede of de Eerste Kamer het CBP uitnodigen om te reageren op aanhangige voorstellen.

•

Gedragscodes



 p grond van artikel 25 WBP is het CBP belast met de toetsing O van gedragscodes die uitvoering geven aan de wettelijke bepalingen. In de WBP is dit een belangrijk instrument om zelfregulering te stimuleren en de kwaliteit daarvan te waarborgen. De goedkeuring van een gedragscode is meestal de afsluiting van een intensief gezamenlijk traject, waarin bewustwording en normering in een sector hand in hand gaan. In 2002 heeft het CBP daartoe een handleiding ontwikkeld. De WBP voorziet tevens in de mogelijkheid van bezwaar en beroep op de bestuursrechter.

•

Reglementen



 e WBP voorziet niet meer in de verplichting om voor bepaalD de verwerkingen van persoons­gegevens een reglement op te stellen. De opstelling van een reglement kan echter wel een goed middel zijn om de gegevensverwerking binnen organisaties te sturen of trans­parant te maken. Verzoeken om zulke reglementen te toetsen, neemt het CBP in principe slechts in behandeling als daarvoor een bijzondere reden bestaat. Ingevolge de Wet politieregisters zijn reglementen in bepaalde gevallen onderworpen aan een toetsing vooraf in het kader van een hoorprocedure. Tezamen met de portefeuillehouder privacy van de politie vanuit de Raad van Hoofdcommissarissen heeft het CBP een werkwijze ontwikkeld voor de harmonisatie van de inhoud van de reglementen en het stroomlijnen van de procedure voor goedkeuring. Door deze werkwijze kan het aantal procedures voor goedkeuring en het aantal meldingen van tijdelijke registers worden beperkt.

58

jaarverslag 2005

•

WBP-Melding



Ingevolge artikel 27 van de WBP moeten geautomatiseerde verwerkingen van persoonsgegevens vooraf worden gemeld bij het CBP of een functionaris voor de gegevensbescherming, tenzij het Vrijstellingsbesluit voorziet in een vrijstelling. Voor het verrichten van de melding kan gebruik worden gemaakt van een daartoe bestemd formulier, van een elektronisch meldingsprogramma op diskette, of van een speciaal voor verzending via e-mail geschikt programma. Alle meldingen worden na verwerking opgenomen in een openbaar register en zijn via de website van het CBP raadpleegbaar. Ook het overzicht van functionarissen voor de gegevensbescherming is op de website raadpleegbaar.

•

Voorafgaand onderzoek

 Bepaalde categorieën van verwerkingen waaraan bijzondere risico’s zijn verbonden, zijn krachtens artikel 31 van de WBP onderworpen aan een voorafgaand onderzoek dat aan strakke termijnen is gebonden. De verantwoordelijke mag een der­ gelijke verwerking niet starten gedurende de looptijd van dit onderzoek. Het onderzoek resulteert meestal in een verklaring omtrent de rechtmatigheid van de verwerking, die vatbaar is voor rechtsbescherming op grond van de Algemene wet bestuursrecht.

•

Voorlichtingsverzoeken

Het CBP wordt vaak benaderd met verzoeken om voorlichting of advies over de interpretatie van de WBP of een andere privacywet. De meest voorkomende verzoeken met een standaard­karakter worden behandeld door het frontoffice als deel van de publieksvoorlichting (telefonisch of via het emailpiket). Verzoeken om voorlichting kunnen ook aanleiding zijn voor verdergaande behandeling, diepgaande studie of een prin­cipieel standpunt. Hierbij valt te denken aan de ont­ wikkeling van privacykaders voor nieuwe ontwikkelingen of toetsings­criteria voor nieuwe producten en diensten. Dergelijke ver­zoeken worden door het CBP steeds beoordeeld op hun waarde in het kader van de toezichthoudende taak. Als zo­danig vertegenwoordigen zij echter een aanzienlijke investering in maatschappelijke preventie van onrechtmatig gedrag. Omdat de beleidsvrijheid van het CBP in deze gevallen het grootst is, bestaat er alle ruimte om daarbij nadere invulling te geven aan het streven naar een tweedelijnspositie.

•

Internationale zaken



 p grond van artikel 51, eerste lid WBP houdt het CBP tevens O toezicht op de verwerking van persoonsgegevens in Nederland, wanneer de verwerking plaatsvindt volgens het recht van een ander land van de Europese Unie. Ingevolge artikel 61, zesde lid WBP is het CBP desgevraagd verplicht aan toezicht­ houdende autoriteiten van de andere lidstaten van de Europese Unie alle noodzakelijke medewerking te verlenen. Het Verdrag van Straatsburg bevat vergelijkbare verplichtingen met betrekking tot landen die daarbij partij zijn.

•

Bijzondere gegevens

•

Ambtshalve onderzoeken



 rtikel 16 WBP bevat een verbod op de verwerking van A bijzondere persoonsgegevens (zoals godsdienst, ras, politieke gezindheid, gezondheid en strafrechtelijk verleden), tenzij de wet voorziet in een uitdrukkelijke grondslag. Op grond van artikel 23, eerste lid, onder de WBP, kan het CBP een ontheffing verlenen, indien dit noodzakelijk is met het oog op een zwaarwegend algemeen belang en passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer. Ook hier is bezwaar en beroep (bestuursrechter) mogelijk.



 rtikel 60 WBP geeft het CBP de bevoegdheid om uit A eigen beweging een onderzoek in te stellen naar de naleving van de wet. In de beoogde grotere nadruk op toezicht en handhaving past dat het CBP in toenemende mate gebruik zal maken van deze bevoegdheid. Aanpak en diepgang van het ambtshalve onderzoek dienen per geval bepaald te worden. Het onderzoek kan dus een briefwisseling met verzoek om informatie behelzen of een onderzoek ter plaatse inhouden, al dan niet in de vorm van een audit, of een steekproef op meer plaatsen in een sector, met de mogelijkheid van openbare rapportage over de bevindingen. Het kan ook gaan om systematische onderzoeken binnen bepaalde sectoren of om gerichte onderzoeken (al dan niet met een privacyaudit) binnen bepaalde overheidsorganisaties, instellingen of bedrijven.

•

Doorgifte naar derde landen



 p grond van artikel 77 lid 2 WBP heeft het CBP de O taak om de minister van Justitie te adviseren over het toe­ kennen van een vergunning voor het doorgeven van persoonsgegevens naar een land buiten de EU dat geen waarborgen voor een passend beschermingsniveau biedt. Het gezamenlijk beleid van de minister en het CBP is eind

vorig jaar bekend gemaakt. De verzoeken van bedrijven met internationale belangen om een vergunning beginnen nu goed op gang te komen. De behandeling van ver­zoeken door het CBP is er op gericht de minister van Justitie van een gedegen advies te voorzien zodat besluitvorming snel kan plaatsvinden. Ook de samenwerking tussen de toezichthoudende autoriteiten wordt intensiever. Met zekere regelmaat bereiken het CBP dan ook verzoeken om bijstand van buitenlandse zusterinstellingen. Via een gemeenschappelijke, besloten website kunnen de eenvoudigste verzoeken snel worden afgewikkeld. In een aantal gevallen zijn nadere onderzoekshandelingen nodig.

•

Bemiddeling en klachtenbehandeling

Het CBP is op grond van artikel 47 WBP belast met de behandeling van verzoeken om bemiddeling bij geschillen over de uitoefening van het recht op inzage of correctie van persoonsgegevens en over de uitoefening van het recht op verzet. Deze procedure is mede bedoeld om de rechter te ontlasten. Belanghebbenden kunnen er ook voor kiezen om hun zaak voor te leggen aan de civiele of administratieve rechter, of gebruik maken van een geschillenregeling in een goedgekeurde gedragscode. Als het CBP de bemiddeling heeft beëindigd, kan de zaak alsnog aan de rechter worden voorgelegd. De rechter kan besluiten om (opnieuw) het advies van het CBP in te winnen. Verder kan het CBP op grond van artikel 60 WBP op verzoek van een belanghebbende een onderzoek instellen naar de naleving van het bepaalde bij of krachtens de wet. Daartoe beschikt het CBP over de nodige onderzoeks­ bevoegdheden op grond van de WBP en de Algemene wet bestuursrecht. Bij het aannemen van dergelijke verzoeken voert het CBP een restrictief beleid. De mogelijkheid van toetsing door de Nationale Ombudsman stelt echter hoge eisen aan deze afweging.

•

Boetes



Bij overtreding van de meldingsplicht is het CBP bevoegd

(artikel 66 WBP) om een bestuurlijke boete op te leggen van 4.500 euro per verwerking, dan wel aangifte te doen bij het Openbaar Ministerie. Het CBP doet in eerste instantie door het uitvoeren van sectoranalyses op het meldingenbestand onderzoek naar de mate waarin een sector de meldingsverplichting naleeft. Hierop worden naar deze sector gerichte stappen ondernomen, voordat wordt overgegaan tot het beboeten van individuele verantwoordelijken. Echter, naar aanleiding van ter zake doende klachten, zal het CBP niet schromen individuele gevallen te beboeten of aan te geven bij het Openbaar Ministerie.

•

Dwangsom en bestuursdwang



 ij andere overtredingen is het CBP bevoegd om gebruik B te maken van de bevoegdheid tot het opleggen van een dwangsom of het toepassen van bestuursdwang. In al deze gevallen is bezwaar en beroep mogelijk.

organisatie

59

WBP-meldingen

Het aantal meldingen bij het CBP voor registratie in het Openbaar register begint naar de verwachte hoogte te groeien. Inmiddels zijn al 27.999 meldingen ontvangen en verwerkt door het CBP. Het aantal mutaties op bestaande meldingen bedraagt inmiddels 15 % van de binnenkomende meldingen. Voorafgaande onderzoeken

Een logisch gevolg van een daling van het aantal nieuwe meldingen, is de daling van de daarmee samenhangende voorlopige onderzoeken. Boetes

Naar aanleiding van de uitspraak van de afdeling Bestuursrechtspraak van de Raad van State van 21 september 2005 (gepubliceerd in JB 2005/292) waarin de boetebevoegdheid werd beperkt tot verwerkingen die zijn aangevangen na 1 september 2001, heeft het CBP besloten om alle relevante boetebeschikkingen in te trekken en de geïncasseerde boetes uit 2004 (EUR 78.000) en 2005 (EUR 63.000) met de wettelijke rente van in totaal EUR 13.226 terug te betalen. Inmiddels is op 1 februari 2006 de boetebevoegdheid van het CBP door de minister van Justitie gerepareerd (Staatsblad 2006, 24) met een wijziging van de WBP. Meldingsplichtonderzoeken

Ook in 2005 heeft het CBP een risicoanalyse uitgevoerd op grond waarvan sectoren voor een steekproefsgewijze controle op de naleving van de meldingsplicht zijn geselecteerd. Het CBP heeft in 2005 echter geen meldingsplichtonderzoeken uitgevoerd, in verband met bovengenoemde uitspraak van de Raad van State. Het CBP mistte op dat moment de bevoegdheid om boetes op te leggen wanneer verwerkingen die reeds bestonden op 1 september 2001, niet tijdig zouden zijn gemeld. De wetgever had echter wel beoogd om ook in de oude gevallen een boete te kunnen opleggen. Efficiency

Het CBP beoordeelt regelmatig de mogelijkheden voor verbetering van de efficiency. ‘Stapelen’: collectieve afhandeling van dossiers

In kwesties die dezelfde problematiek betreffen, ‘stapelt’ het CBP de dossiers (voorafgaande onderzoeken, klachten en bemiddelingsverzoeken) met het oog op een efficiëntere werkwijze. Dit is onder andere gebeurd voor de vele voorafgaande onderzoeken naar verwerkingen van sociale diensten en de incidentenregisters van banken. Deze mogelijkheid is ook in het werkproces voor de behandeling van klachten opgenomen. Selectiviteit bij voorlichtingsverzoeken

Ten aanzien van voorlichtingsverzoeken wordt op grond van een aantal criteria een afweging gemaakt of het CBP op het verzoek specifiek zal ingaan (zie “Uitgangspunten en beleidsregels werkwijze CBP” in de Staatscourant nr. 190, van 4 oktober 2004 en op de website van het CBP). Als een verzoek niet aan de criteria voor een specifieke behandeling voldoet, wordt het verzoek met redenen omkleed als niet-opportuun afgewezen of afgehandeld door het frontoffice met behulp van algemene informatie. De schriftelijke verzoeken zijn met 200 gedaald, de verzoeken via e-mail zijn daarentegen met ca. 1000 gestegen. Frontoffice

Al sinds 1999 werkt het CBP met een frontoffice. Het frontoffice handelt vele vragen en eenvoudige klacht- en bemiddelingszaken zelfstandig af. Op basis van deze vragen

60

jaarverslag 2005

wordt ook informatiemateriaal ontwikkeld, onder meer ten behoeve van de website. De stijging van de bezoekersaantallen van de website laat zien dat deze aanpak succesvol is. Telefonisch spreekuur

Het CBP kiest bewust voor beperkte openingstijden voor het telefonisch spreekuur. In 2004 is het spreekuur teruggebracht van 17,5 uur naar 12 uur per week. Voorlichtingsverzoeken via e-mail

Opvallend is de stijging van het aantal vragen en verzoeken dat via e-mail binnenkomen. Verreweg de meeste e-mail wordt ook via e-mail beantwoord. Zo wordt bespaard op de kosten van een schriftelijke afhandeling en dossiervorming. Een softwarepakket maakt het ook mogelijk de verzoeken volgens de richtlijnen van de archiefwet te archiveren.

Communicatie De zichtbaarheid van de toezichthouder lijkt groter te zijn geworden gezien de gestage stijging van het aantal bezoekers van de website en de grotere aandacht die het CBP in de media krijgt. cbpweb.nl

De website van het CBP neemt een prominente plaats in bij voorlichting naar zowel de betrokkene (degene van wie persoonsgegevens worden gebruikt) als de verantwoordelijke (degene die persoonsgegevens van anderen verwerkt). De websitestatistieken laten een toenemend gebruik van het aangeboden informatiemateriaal zien.

2003 2004 2005 Gemiddeld aantal bezoekers per maand

39.270

44.931

65.744

Aantal abonnees elektronische nieuwsbrief

2.600

4.069

4.617

Aantal downloads van A&V-studies

50.864

52.446

59.863

Aantal downloads auditinstrumenten*

51.660

15.453

19.207

Aantal downloads WBP-meldingenprogramma

11.214

5.195

5.602

websitebezoek 2003-2004 * Onder de naam ‘Contouren voor Compliance’ zijn vier zelfreguleringsproducten beschikbaar met behulp waarvan verantwoordelijken de naleving van de WBP in de eigen organisatie kunnen evalueren en verbeteren: Quickscan, WBP-Zelfevaluatie , het Raamwerk Privacy Audit (2001) en de handreiking bij het raamwerk Privacy Audit (2005).

Perscontacten

Het CBP heeft dagelijks contact met de media.

Medium

vanaf juni 2003 2004 2005

Persbureaus

17

43

63

Landelijke dagbladen

34

92

106

Landelijke radio en televisie

76

150

130

Regionale kranten

niet bekend

35

39

Regionale radio en televisie

niet bekend

23

13

Relevante vakbladen

18

73

33

Opiniebladen

niet bekend

9

8

Totaal

145

425

392

perscontacten

2003-2005 organisatie

61

Klachten over het CBP In de Algemene wet bestuursrecht is geregeld dat iedereen over de wijze waarop een bestuursorgaan zich tegenover hem of haar heeft gedragen, een klacht kan indienen bij dat orgaan. Onderstaand overzicht geeft het aantal ingediende schriftelijke klachten weer met de wijze van afdoening. In 2005 zijn 2 klachten uit 2004 afgehandeld en 4 klachten uit 2005. Geen van de klachten heeft geleid tot een vervolgklacht bij de Nationale Ombudsman. 2003 2004 2005 Klachten ongegrond verklaard

2

3

2

Klachten gegrond verklaard

2

10

0

Klachten gedeeltelijk gegrond verklaard



1

andere wijze van afdoening/nog in behandeling

1

2

3

Nog in behandeling per einde van het jaar

0

2

3

Totaal aantal klachten

5

17

7

Minnelijke regeling/geen oordeel/ingetrokken/

klachten over het cbp 2003-2005

Heroverwegingen

Verzoeken om heroverweging (en klachten over het CBP) worden vaak ingediend omdat de betrokkene het er niet mee eens dat de eigen klacht geen prioriteit krijgt of dat het CBP deze niet van voldoende zwaarwegend belang acht om over te gaan tot een controlerend onderzoek. In 2005 zijn 6 heroverwegingen uit 2004 en 16 heroverwegingen uit 2005 behandeld. 2003 2004 2005 Heroverwegingen ongegrond verklaard

14

18

14

Heroverwegingen gegrond verklaard

6

3

5

Heroverwegingen gedeeltelijk gegrond verklaard

6

3

5

Minnelijke regeling/geen oordeel/ingetrokken/overige

0

1

3

Nog in behandeling per einde van het jaar

0

6

1

Totaal aantal ontvangen heroverwegingen

20

28

17

heroverwegingen 2003-2005

Administratieve lasten Het CBP heeft de minister van Justitie mogelijkheden voor aanpassing van de WBP voorgesteld ter vermindering van de administratieve lasten voor bedrijven (en overheden) in aansluiting op eind 2004 gedane voorstellen. Ook is deelgenomen aan een door de ACTAL georganiseerde expertmeeting. Met de ACTAL zijn afspraken gemaakt over informatie-uitwisseling indien de behandeling van een wetgevingsadvies daartoe aanleiding geeft. Zelfregulering

Het CBP streeft naar efficiënt en effectief toezicht op de naleving van de regels voor de verwerking van persoonsgegevens. Koepel- en brancheorganisaties zijn aangesproken op hun verantwoordelijkheid voor zelfregulering, onder meer door de publicatie van een handreiking voor compliance-onderzoek. Het CBP stimuleert verder het aanstellen van

62

jaarverslag 2005

functionarissen voor de gegevensbescherming en heeft zich in 2005 op de kwaliteitsverbetering van dit interne toezicht gericht. In een advies aan de minister van Justitie heeft het CBP geadviseerd over de mogelijkheden bepaalde belemmeringen die voor andere toezichthouders voortvloeien uit de Wet bescherming persoonsgegevens, weg te nemen.

Financiën Als gevolg van de vacatureruimte is het personele budget niet volledig benut. De materiële uitgaven zijn gestegen ten opzichte van 2004 vanwege de bouw van een document managementsysteem. Zoals reeds eerder vermeld heeft het CBP naar aanleiding van de beperking van de boetebevoegdheid (uitspraak van de afdeling Bestuursrechtspraak van de Raad van State van 21 september 2005) besloten om alle relevante boetebeschikkingen in te trekken en de geïncasseerde boetes uit 2004 (EUR 78.000) en 2005 (EUR 63.000) met de wettelijke rente van in totaal EUR 13.226 terug te betalen De terugbetalingen van de boetes uit 2005 zijn gecorrigeerd op de inkomsten. De overige terugbetalingen en de wettelijke rente zijn ten laste gebracht van het budget van het CBP. 2005 2006 2007 2008 2009

begroting

5.898 ( bedragen

5.473

5.400

5.404

5.408

x 1000 euro )

2003 2004 2005

Personeel 3.319,9 3.604,8 Materieel* 1.255,8 1.266,0 Boetes uit 2004 en rente t.l.v. CBP-budget 2005 4.615,5

Totaal budgetuitgaven 2002 - 2004

( bedragen

4.870,8

3.875,8 1.775,2 92,2 5.742,2

x 1000 euro )

* De huurlasten zijn hierin niet opgenomen; het ministerie van Justitie stelt de huisvesting beschikbaar.

2003 2004 2005





inkomsten uit opgelegde boetes en dwangsommen

n.v.t. ( bedragen

155,0

16,8

x 1000 euro )

Bezoldiging collegeleden

Bij Besluit rechtspositie leden College bescherming persoonsgegevens (Staatsblad 2001, 382) is de bezoldiging van de voorzitter van het College vastgesteld op het maximum van salarisschaal 18 van bijlage B van het Bezoldigingsbesluit Burgerlijke Rijksambtenaren 1984. Voor de overige leden geldt het maximum van schaal 17. De voorzitter is op grond van artikel 22 a van het Bezoldigingsbesluit Rijksambtenaren 1984 een toeslag toegekend en een representatievergoeding op grond van het Besluit vergoeding representatiekosten rijkspersoneel.

organisatie

63

Uitgaven per beleidsterrein /sector

De keuzes voor inzet van de personele kosten zijn gemaakt op basis van het beleidsplan en de daarbij vastgestelde doelstellingen voor het jaar 2005. De tabel kosten per beleidsterrein/sector biedt inzicht in hoe het CBP zijn middelen heeft verdeeld over de verschillende aandachtsgebieden. Maatschappelijke sectoren

2004 2005

Openbaar Bestuur

491

389

Politie en Justitie

538

463

Arbeid & Sociale Zekerheid

305

342

Zorg & Welzijn

216

400

Handel & Diensten

301

470

Telecommunicatie

350

348

117

122

199

193

805

862

323

322

Communicatie

440

498

Frontoffice voor de sectoren

309

369

432

456

Internationale activiteiten Internationaal Beleidsterrein technologie Technologie Beleidsterrein onderzoek Onderzoek Beheer van meldingen en openbaar register Bestandsbeheer Communicatie

Interventie, bezwaar en beroep Sancties rechtsbescherming en institutionele zaken kosten per beleidsterrein / sector 2004 - 2005 ( uitgaven x 1000 euro )

Uitgaven internationale samenwerking

Het belangrijkste forum voor het CBP in de eerste pijler van de Europese Unie is de Werkgroep van nationale toezichthouders als bedoeld in artikel 29 van Richtlijn 95/46/ EG, die optreedt als adviseur van de Europese Commissie en als forum voor afstemming van beleid tussen de betrokken toezichthouders. Het CBP is vertegenwoordigd in de volgende subgroepen: • Justice, Freedom and Security (JLS); veiligheid en terrorismebestrijding • Employment (voorbereiding aanbevelingen inzake privacy en arbeid) • Contracts & Binding Corporate Rules (modelcontracten voor doorgiften naar derde landen) • Enforcement Task Force (ETF); (harmonisatie handhaving en gezamenlijke handhavingsacties Internet Task Force (ITF)) (internet en privacy) • PNR (doorgifte passagiersgegevens) • Personal Data & RFID; toepassing begrip ‘persoonsgegevens’ bij nieuwe technologie. Het CBP heeft zitting in het Raadgevend Comité van het Verdrag van Straatsburg, en heeft momenteel zitting in het Bureau van het comité. Het CBP neemt op ambtelijk en collegeniveau deel aan de jaarlijkse conferentie van Europese toezichthouders op de bescherming van persoonsgegevens en de daaraan verbonden werkgroepen: − Case handling workshops (voorheen complaints workshop): bijeenkomsten zijn

64

jaarverslag 2005

speciaal bedoeld voor uitwisseling van best practices tussen medewerkers van de verschillende privacytoezichthouders en vindt tweemaal per jaar plaats. − Working party on police. Naar verwachting zal deze werkgroep in 2006 driemaal bijéén komen. Het CBP neemt op ambtelijk en collegeniveau deel aan de jaarlijkse internationale conferentie van toezichthouders op de bescherming van persoonsgegevens. Het CBP neemt op ambtelijk niveau deel aan de halfjaarlijkse “International Working Group on Data Protection and Telecommunications”. In de derde pijler van de Europese Unie maakt het CBP deel uit van de bij verdrag ingestelde toezichthoudende organen. Deze organen beschikken alle over adviserende en controlerende bevoegdheden. Geschillen over de uitoefening van het recht op inzage en correctie bij Europol worden in hoogste instantie beslist door een Beroepscomité waarin het CBP ook is vertegenwoordigd. Jaarlijks worden er gezamenlijk audits uitgevoerd. Het betreffen de volgende organen: − Gemeenschappelijke controleautoriteit Schengen-informatiesysteem − Gemeenschappelijke controleautoriteit Douane-informatiesysteem − Gemeenschappelijk controleorgaan Europol − Controleorgaan Eurojust

2004 2005



Internet Taskforce

6

10



Artikel 29-werkgroep (Richtlijn 95/46/EG)

48

42



Adviescommissie T-PD (artikel 18, Dataverdrag van Straatsburg)

13

14



Berlijn-werkgroep



11

9



Europese Complaints workshop





Europese en mondiale conferenties van privacytoezichthouders

12

14

49

46

Overig 36 34





reisdagen internationaal overleg

1e

peiler

2004 2005

Gemeenschappelijke controleorganen



GCA Schengen

14

13



GCO Europol

26

6



Beroepscomité

5

3



GCA Douane

5

1



GCO Eurojust *

2

0



GCA Eurodac

11

0



GCO Interpol

0

0



reisdagen gemeenschappelijke controleorganen



* organisatie is in Nederland gevestigd.

3e

pijler

organisatie

65

Reorganisatie Het hoofddoel van de in 2005 ingezette reorganisatie is het afstemmen van de organisatie op de externe ontwikkelingen en eisen. Belangrijke doelstelling is daarnaast een intellectueel en professioneel stimulerend klimaat en plezier in het werk voor de individuele medewerkers. De hoofdelementen van de reorganisatie zijn: • Het College neemt meer afstand ten opzichte van het primaire proces en de afdelingen gaan in grotere zelfstandigheid werken. • Delegatie van werkzaamheden naar de verschillende afdelingen met als noodzakelijke consequentie de aanpassing van de inrichting van het werk. De beleidsafdeling is onderverdeeld in drie subafdelingen (met een beleidscoördinator als nieuwe leidinggevende) en een sectie internationaal. De afdeling informatiebeheer is volledig gericht op het primaire proces waarbij de taken voor de bedrijfsvoering zijn ondergebracht in het bedrijfsbureau. • Nieuwe afspraken over kwaliteitsborging, coördinatie en sturing. • Invoering van integrale managementtaken. Mandaatregeling

Het CBP heeft in 2005 de noodzakelijke mandaatregelingen uitgewerkt; inmiddels zijn deze in april 2006 gepubliceerd. Het gaat om de Regeling mandaat beheer directeur CBP en de Regeling volmacht en machtiging beheer afdelingshoofden, coördinatoren en controller CBP (Staatscourant nr. 72, 11 april 2006). Met de Regeling mandaat beheer directeur CBP draagt de voorzitter van het CBP de dagelijkse leiding voor beheerszaken over aan de directeur van het secretariaat. In de Regeling volmacht en machtiging beheer afdelingshoofden, coördinatoren en controller CBP geeft de directeur volmacht en machtiging voor bepaalde beheerstaken aan de afdelingshoofden, coördinatoren en de controller. Daarna zijn gepubliceerd het Besluit mandaat en machtiging voorzitter en andere leden CBP en het Besluit mandaat en machtiging secretariaat CBP (Staatscourant nr 83, 28 april 2006). De besluiten geven individuele collegeleden en medewerkers van het CBP de bevoegdheid om bepaalde besluiten zelfstandig te nemen. Op de website van het CBP wordt eveneens een regeling gepubliceerd waarin de taakverdeling en onderlinge vervanging van de collegeleden is vastgelegd. Verhuizing

Nadat eind 2004 een nieuw gebouw voor de huisvesting van het CBP is gevonden, zijn in 2005 de voorbereidingen getroffen voor de verhuizing. Het pand is per november 2005 beschikbaar gekomen. Het CBP is per 1 april 2006 verhuisd. Nieuw document managementsysteem

In 2004 is besloten om het verouderde elektronisch document managementsysteem (een maatwerkapplicatie) te vervangen. Daartoe is in 2005 een project gestart dat als uitgangspunt had vervanging door een standaard document managementsysteem en rekening houdend met het institutioneel onderzoek (uit 2003) en daarmee samenhangend het ordeningsplan waarin naast de primaire processen ook de ondersteunende processen bij het CBP zijn vastgelegd. Inmiddels is het systeem sinds 1 mei 2006 opgeleverd en in gebruik.

66

jaarverslag 2005

Organigram 2005 College

Directeur

Bedrijfsbureau

Informatiebeheer

Beleid

Controller

Onderzoek

Bedrijfsleven

Communicatie

Frontoffice

Internationaal

Overheid

Juridische Zaken

Pers & Website

Zorg & inkomen

organisatie

67

bijlagen wetgevingsadviezen Advies over wijziging Besluit SUWI. 23 december 2005,

Advies over de controle op informatieverzameling over

z2005-0578

onverdachte burgers die ontbreekt in verband met terrorismebestrijding. 26 september 2005, z2004-1222

Advies over besluit inburgering. 21 december 2005, z2005-1145

Advies over het gebruik van gegevens die bijzondere opsporingsdiensten verankeren in de Wet

Advies over consultatiedocument Besluit toezicht

Politieregisters. 22 september 2005, z2005-0898

accountantsorganisaties. 14 december 2005, z2005-1239 Advies over de wijziging van diverse wetten in verband Advies over het besluit GBA inzake het onderzoek van

met de aanpassingen met betrekking tot persoonsge-

de Vereniging van Integrale Kankercentra. 23 november

bonden nummers in het onderwijs. 15 september 2005,

2005, z2005-1069

z2005-0682

Advies over het conceptwetsvoorstel antenneregister.

Advies over de wijziging van de Kadasterwet. 5 septem-

21 november 2005, z2005-1170

ber 2005, z2005-0746

Advies over de algemene maatregel van bestuur video-

Advies over de Wet gebruik burgerservicenummer in de

conferentie in het strafrecht. 17 november 2005, z2005-

zorg. 31 augustus 2005, z2005-0108

1251 Advies over de Wet marktordening in de gezondheidsAdvies over de Uitvoeringsregeling Algemene wet inza-

zorg. 31 augustus 2005, z2005-0070

ke rijksbetalingen 1994. 17 november 2005, z2005-1310 Advies over het ontwerp-uitvoeringsbesluit Burgerservicenummer: wetsvoorstellen gezamenlijk

Meststoffenwet. 24 augustus 2005, z2005-0685

behandelen. 14 november 2005, z2005-1198/z2005-0807 Advies over de Algemene wet inkomensafhankelijke Advies over het wetsvoorstel Informatiebevoegdheid

regelingen. 28 juli 2005, z2005-0688

van gerechtsdeurwaarders. 10 november 2005, z20051201

Advies over het wetsvoorstel markt en overheid. 14 juli 2005, z2005-0694

Advies over het wetsvoorstel taakuitoefening Centraal Justitieel Incassobureau. 27 oktober 2005, z2005-1116

Advies over het wetsvoorstel tot wijziging van de fiscale geheimhoudingsbepalingen. 14 juli 2005, z2005-0671

Advies over de wetswijziging van de wet op het onderwijstoezicht. 14 oktober 2005, z2005-0980

Advies over het wetsvoorstel basisregistraties. 12 juli 2005, z2005-0522

Advies over de aanpassingswet van het burgerservicenummer. 4 oktober 2005, z2005-0829

Advies over de wijziging van de Wegenverkeerswet. 21 juni 2005, z2005-0471

Advies over de wijziging van de GBA in verband met de aanpassing van de eisen die gelden voor basis-

Advies over de wijziging van de Wet gemeentelijke

registraties. 5 oktober 2005, z2005-0998

basisadministratie persoonsgegevens. 20 juni 2005, z2005-0527

Advies over DNA-onderzoek in strafzaken. 3 oktober 2005, z2005-0808

Advies over het Besluit videoconferentie. 16 juni 2005, z2005-0495

68

jaarverslag 2005

Advies over het wetsvoorstel openbaarmaking neven-

Advies over wijziging wetten in het kader van ‘een

functies van politieke ambtsdragers. 16 juni 2005,

leven lang leren’. 1 maart 2005, z2004-1728

z2005-0497 Advies over het conceptwetsvoorstel Wet inburgering. Advies over de wijziging van het Besluit politieregis-

17 februari 2005, z2005-0109

ters. 10 juni 2005, z2005-0316 Advies over het besluit met betrekking tot experimenAdvies over de wijziging van het uitvoeringsbesluit

ten met het sofinummer in de zorg. 17 februari 2005,

Wet educatie en beroepsonderwijs. 6 juni 2005, z2005-

z2004-1727

0528 Advies over het wetsvoorstel en ontwerp van de Wet Advies over het onderzoek van het NSCR naar de inter-

op de geneeskundige behandelingsovereenkomst

generationele overdracht van delinquentie. 28 april

(WGBO). 15 februari 2005, z2005-0015

2005, z2005-0365 Advies over de Wet algemene bepalingen burgerserAdvies over de wijziging van het Besluit gemeentelijke

vicenummer. 14 februari 2005, z2004-1734

basisadministratie. 20 april 2005, z2005-0224 Advies over het Besluit vorderen gegevens telecommuAdvies over de wijziging van de Algemene wet inko-

nicatie. 3 februari 2005, z2004-1110

mensafhankelijke regelingen. 11 april 2005, z2005-0339 Advies over de Invoeringswet Werk en Inkomen naar Advies over het wetsvoorstel openbaarmaking publiek

Arbeidsvermogen (WIA). 6 januari 2005, z2004-1681

gefinancierde topinkomens. 7 april 2005, z2005-0273 Advies over de wijziging Besluit gebruik van het sofiAdvies over het Ontwerpbesluit zorgverzekering.

nummer. 4 januari 2005, z2004-1544

5 april 2005, z2005-0128 Advies over het wetsvoorstel bijzondere bevoegdheden Advies over het voorstel wijziging WOT. 1 april 2005,

tot opsporing terroristische misdrijven. 4 januari 2005,

z2005-0330

z2004-1529

Advies over het wetsvoorstel Algemene wet inkomens-

Dit overzicht bevat de voornaamste wetgevings­adviezen

afhankelijke regelingen. (AWIR) 30 maart 2005, z2005-

van 2005. Vrijwel alle adviezen vanaf 1996 kunt u raad-

0309

plegen op de website: www.cbpweb.nl. Adviezen uit de periode 1991-1996 zijn ook op­genomen in de bundel

Advies over onvoldoende duidelijkheid voor scholen

Persoonsgegevens beschermd, van WPR naar WBP. Den

over opeisen sofinummer. 29 maart 2005, z2005-0118

Haag, Sdu uitgevers, 1999.

Advies over de Basisregister ondernemingen en instellingen. 23 maart 2005, z2005-0122 Advies over het wetsvoorstel Wet maatschappelijke ondersteuning. 16 maart 2005, z2005-0126 Advies over het wetsvoorstel Wet Kansspelen op internet. 7 maart 2005, z2005-0017

bijlagen

69

bijlagen gedragscodes Voor onderstaande gedragscodes is in 2005 een verklaring van overeenstemming verleend onder de WBP. Gedragscode voor gebruik van persoonsgegevens in wetenschappelijk onderzoek; geldig tot 2 januari 2011 (Staatscourant 2006, nr. 1) Privacygedragscode voor werving en selectiebranche; geldig tot 2 augustus 2009 (Staatscourant 2004, nr. 144) Gedragscode voor gezondheidsonderzoek “Goed gedrag”(Stichting Federatie van Medisch Wetenschappelijke Verenigingen, FMWV); geldig tot 19 april 2009 (Staatscourant 2004, nr. 82) Gedragscode voor verwerking van persoonsgegevens bij onderzoek en statistiek (Vereniging voor Beleidsonderzoek, de Vereniging voor Statistiek en Onderzoek en de MarktOnderzoekAssociatie.nl); geldig tot 24 maart 2009 (Staatscourant 2004, nr. 36) Gedragscode gerechtsdeurwaarders ter bescherming persoonsgegevens van de Koninklijke Beroepsorganisatie van Gerechtsdeurwaarders (KBvG); geldig tot 18 februari 2009 (Staatscourant, nr. 33) Privacygedragscode sector particuliere onderzoeksbureaus van de Vereniging van Particuliere Beveiligingsorganisaties (VPB); geldig tot 13 januari 2009 (Staatscourant 2004, nr. 7)

Alle gedragscodes zijn te vinden op www.cbpweb.nl

70

jaarverslag 2005

modelreglementen vastgesteld voor politieregisters Aandachtsvestigingen

(Stcrt. 2002, 243)

De politie werkt voor het uitoefenen van de politietaak

Arrestanten

(Stcrt. 2002, 243)

(artikel 1 en artikel 2 Politiewet) met politieregisters.

Arrestatiebevelen

(Stcrt. 2002, 243)

In artikel 12, eerste lid Wet politieregisters is de moge-

Bedrijfsprocessensysteem BPS

(Stcrt. 2002, 243)

lijkheid gecreëerd om een modelreglement voor een

Bedrijven informatiesysteem en

register vast te stellen, onder andere ter bevordering

waarschuwingsadressen

(Stcrt. 2002, 243)

van eenduidigheid en een efficiënte werkwijze. Degene

Bekeuringenafhandelingssysteem

(Stcrt. 2002, 243)

die een modelreglement heeft vastgesteld, kan het CBP

Beperkingen besturen motorrijtuigen (Stcrt. 2002, 243)

verzoeken te verklaren dat het model naar zijn oordeel

Bureau financiële ondersteuning

(Stcrt. 2002, 243)

in overeenstemming is met de Wet politieregisters.

Fraudebestrijding

(Stcrt. 2002, 243)

Beheerders van een register hoeven dan het CBP alleen

Gegevensuitwisseling milieu-

te informeren over het bestaan van een register en

criminaliteit

(Stcrt. 2002, 243)

van het model dat daarop van toepassing is. Mochten

Gevonden en verloren goederen

(Stcrt. 2002, 243)

er afwijkingen van het model zijn, dan moet vermeld

Graffitibestrijding

(Stcrt. 2002, 243)

worden welke dat zijn.

Herkenningsdienstregister

(Stcrt. 2004, 124)

De modelreglementen zijn beschikbaar op de website

In beslag genomen goederen

(Stcrt. 2002, 243)

van het CBP: www.cbpweb.nl.

In bewaring genomen goederen

(Stcrt. 2002, 243)

Inbraakbestrijding

(Stcrt. 2002, 243)

Informantenregister

(Stcrt. 2002, 100)

Informantenregister openbare orde

(Stcrt. 2002, 238)

Internationale rechtshulp politie

(Stcrt. 2002, 243)

Jeugd- en zedenzaken

(Stcrt. 2002, 243)

Kabinetszaken

(Stcrt. 2002, 243)

Meldkamer

(Stcrt. 2002, 243)

Milieudelicten

(Stcrt. 2002, 243)

Multipol

(Stcrt. 2002, 243)

Openbare orde informatie

(Stcrt. 2002, 238)

Opkopers en helingbestrijding

(Stcrt. 2002, 243)

Overvallenbestrijding

(Stcrt. 2002, 243)

Permanent autoteam

(Stcrt. 2002, 243)

Processen-verbaal en rapporten

(Stcrt. 2002, 243)

Recidive

(Stcrt. 2002, 243)

Rijverboden

(Stcrt. 2002, 243)

Schietwapen incidentenregistratie- en Informatiesysteem

(Stcrt. 2002, 243)

Signalen van mensenhandel

(Stcrt. 2002, 13)

Technische recherchezaken

(Stcrt. 2002, 243)

Tijdelijk Register

(Stcrt. 2002, 131)

Vakantiecontrolekaarten

(Stcrt. 2002, 243)

Vandalismebestrijding

(Stcrt. 2002, 243)

Verdovende middelen

(Stcrt. 2002, 243)

Voorlopig register

(Stcrt. 2000, 198)

Zware criminaliteit

(Stcrt. 2000, 198)

bijlagen

71

bijlagen documenten van de Werkgroep inzake de bescherming van persoons­gegevens (artikel 29 van Richtlijn 95/46/EG) 25 November 2005 - Eighth Annual Report on the situa-

28 Juni 2005 - Opinion on the Proposal for a Regulation

tion regarding the protection of individuals with regard

of the European Parliament and of the Council con-

to the processing of personal data in the European

cerning the Visa Information System (VIS) and the

Union and in third countries - covering the year 2004

exchange of data between Member States on short

25.11.2005

stay-visas (COM (2004) 835 final) (WP 110)

25 November 2005 - Opinion on the Proposals for

14 April 2005 - Work Programme 2005 (WP 109)

a Regulation of the European Parliament and of the Council (COM (2005) 236 final) and a Council Decision

14 April 2005 - Working Document Establishing a

(COM (2005) 230 final) on the establishment, operati-

Model Checklist Application for Approval of Binding

on and use of the second generation Schengen informa-

Corporate Rules (WP 108)

tion system (SIS II) and a Proposal for a Regulation of the European Parliament and of the Council regarding

14 April 2005 - Working Document Setting Forth a Co-

access to the second generation Schengen Information

Operation Procedure for Issuing Common Opinions

System (SIS II) by the services in the Member States

on Adequate Safeguards Resulting From "Binding

responsible for issuing vehicle registration certificates

Corporate Rules" (WP 107)

(COM (2005) 237 final) (WP 116) 19 Januari 2005 - Working document on data protection 25 November 2005 - Opinion on the use of location

issues related to RFID technology (WP 105)

data with a view to providing value-added services (WP 115)

19 Januari 2005 - Opinion 1/2005 on the level of protection ensured in Canada for the transmission

26 November 2005 - Working document on a common

of Passenger Name Record and Advance Passenger

interpretation of Article 26(1) of Directive 95/46/EC of

Information from airlines (WP 103)

24 October 1995 (WP 114) 18 Januari 2005 - Article 29 Working Party report on the 21 Oktober 2005 - Opinion on the Proposal for a

obligation to notify the national supervisory authori-

Directive of the European Parliament and of the Council

ties, the best use of exceptions and simplification and

on the Retention of Data Processed in Connection

the role of the data protection officers in the European

with the Provision of Public Electronic Communication

Union (WP 106)

Services and Amending Directive 2002/58/EC (COM(2005)438 final of 21.09.2005) (WP 113)

18 Januari 2005 - Working document on data protection issues related to intellectual property rights (WP 104)

30 September 2005 - Opinion on Implementing the Council Regulation (EC) No 2252/2004 of 13 December

Deze documenten zijn te vinden op http://www.europa.

2004 on standards for security features and biometrics

eu.int/comm/justice_home/fsj/privacy/workinggroup/

in passports and travel documents issued by Member

wpdocs/2005_en.htm

States (WP 112) 28 Juni 2005 - Results of the Public Consultation on Article 29 Working Document 105 on Data Protection Issues Related to RFID Technology (WP 111)

72

jaarverslag 2005

onderzoeksrapporten 1996 - 2005 2005

Rapporten kunt u doorgaans raadplegen op de website: www.cbpweb.nl (onder publicaties).

• Reïntegratie van zieke werknemers en privacy: verkennend onderzoek bij drie reïntegratiebedrijven, december 2005. • Reïntegratie van bijstandsgerechtigden en privacy: verkennend onderzoek bij drie reïntegratiebedrijven, december 2005.

2004 - 1996 • Algemene bevindingen, naar aanleiding van de onderzoeken door het CBP naar de bijzondere politie­ registers van Criminele Inlichtingen Eenheden in 2003/2004, september 2004 • Cameratoezicht in de openbare ruimte: Onderzoek naar de inzet van cameratoezicht in alle Nederlandse gemeenten, november 2003. • KPN informeert abonnees met geheim nummer onvoldoende over direct marketing. Onderzoek naar beleid omtrent 'geheime' nummers; bevindingen, augustus 2003. • Onderzoek naar de waarborging van de vertrouwelijke communicatie van advocaten bij de interceptie van telecommunicatie, juli 2003. • Onrechtmatig, onbehoorlijk en onzorgvuldig. De verwerking van persoonsgegevens door een handelsinformatiebureau voor rapportage van verhaalsinformatie, april 2003. • Sociale diensten: bijstandsdossier en privacy, februari­ 2002. • Privacy bij wetenschappelijk onderzoek en statistiek. Kader voor een gedragscode, mei 2002.

• Bijstanddossiers en bescherming persoonsgegevens, juli 1999. • Verstrekken van gegevens door deurwaarders, juni 1999. • Vastleggen en verstrekken van call detail records, juni 1999. • Verzekeringsmaatschappij verplicht arbodienst tot registratie en rapportage gegevens, juni 1999. • Is Landelijk Alcohol en Drugs Informatiesysteem een persoonsregistratie?, november 1999. • Doorzenden voorlichtingsrapport reclassering na toestemming, december 1998. • Medicatiebewaking door centrale patiëntenregistratie, oktober 1998. • Beroepscode psychologen, juli 1998. • Reglementering en beveiliging persoonsregistraties door ministeries, juli 1998. • Gegevens over honden en het verstrekken daarvan, juli 1998. • Gegevens uit controle door de Rijksverkeersinspectie, juni 1998. • Persoonsgebonden clubcard II, mei 1998.

• Elektronische overheid en privacy, december 2001.

• Persoonsgebonden clubcard, februari 1998.

• Onrechtmatige handelswijze van een handelsinfor-

• Meldpunt ongebruikelijke transacties, juli 1997.

matiebureau, mei 2001. • Zorg voor gegevens bij indicatiestelling, augustus 2000. • Politiegegevens beschermd, juni 2000. • Verstrekken van gegevens door de Belastingdienst voor bijdrage thuiszorg, april 2000. • Screening van politiepersoneel moet volgens de

• Videocamera’s Wallen Amsterdam, mei 1997. • In beeld gebracht. Privacyregels voor het gebruik van videocamera’s voor toezicht en beveiliging, januari 1997. • A ls de telefoon wordt opgenomen. Regels voor het registreren, meeluisteren en opnemen van telefoongesprekken van werknemers, november 1996.

regels, februari 2000. • Controle e-mailverkeer door werkgever, december 1999. • Onderzoek naar handelsinformatiebureau Goderie van Groen, november 1999. • Uitbesteden van taken Algemene bijstandswet, september 1999. bijlagen

73

bijlagen achtergrondstudies en verkenningen (1994 – 2004) en brochures In de serie Achtergrondstudies en verkenningen zijn

W.J. van Helden, Herkomst van de klant. Privacyregels

verschenen:

voor etnomarketing. A&V 19; Registratiekamer, Den Haag 2000.

A.H.C.M. Smeets, Camera's in het publieke domein. Privacynormen voor het cameratoezicht op de openbare

R.W.A. Wishaw, De gewaardeerde klant. Privacyregels

orde, College bescherming persoonsgegevens. A&V 28,

voor credit scoring. A&V 18; Registratiekamer, Den

Den Haag, 2004

Haag 2000.

S. Lieon, mr. M. Th. van Munster-Frederiks, De zieke

M. Artz en M.M.M. van Eijk, Klant in het web.

werknemer en privacy. Regels voor de verwerking van

Privacywaarborgen voor internettoegang. A&V 17;

persoonsgegevens van zieke werknemers. A&V 27;

Registratiekamer, Den Haag 2000 (niet meer

College bescherming persoonsgegevens, Den Haag 2004.

beschikbaar).

T.F.M. Hooghiemstra, Privacy bij ICT in de zorg.

J. de Zeeuw, Informatieverstrekking. Ontheffing van

Bescherming van persoonsgegevens in de informatie-

de fiscale geheimhoudingsplicht in het licht van

infrastructuur voor de gezondheidszorg.

pri­vacywetgeving. A&V 16; Registratiekamer,

A&V 26; College bescherming persoonsgegevens,

Den Haag 2000.

Den Haag 2002. R. Hes, J.J. Borking en T.F.M. Hooghiemstra, At face dr. J.A.G. Vermissen en mr. drs. A.C.M. de Heij,

value. On biometrical identification and privacy.

Elektronische overheid en privacy. Bescherming van per-

A&V 15; Registratiekamer, Den Haag 1999.

soonsgegevens in de informatie-infrastructuur van de overheid. A&V 25; College bescherming persoonsgege-

M.J.T. Artz, Koning Klant. Het gebruik van klantgege-

vens, Den Haag 2002.

vens voor marketingdoeleinden. A&V 14; Registratie­ kamer, Den Haag 1999.

M.M.M. van Eijk en W.J. van Helden, Klant te koop. Privacyregels voor adressenhandel. A&V 24; College

J.J. Borking e.a., Intelligent software agents and

bescherming persoonsgegevens, Den Haag 2001.

privacy. A&V 13; Registratiekamer, Den Haag 1999 (niet meer beschikbaar).

G.W. van Blarkom, Beveiliging van persoonsgegevens. A&V 23; Registratiekamer, Den Haag 2001.

T.F.M. Hooghiemstra, Privacy & Managed care. A&V 12; Registratiekamer, Den Haag 1998.

J.A.G. Versmissen, Sleutels van vertrouwen. TTP’s, digitale certificaten en privacy. A&V 22; Registratiekamer,

R. Hes en J.J. Borking, Privacy-enhancing technolo-

Den Haag 2001.

gies: the path to anonimity. A&V 11 revised edition; Registratiekamer, Den Haag 1998.

J.H.J. Terstegge, Goed werken in netwerken. Regels voor controle op e-mail en internet­gebruik van werk-

L. van Almelo e.a., Gouden bergen van gegevens. Over

nemers. A&V 21; tweede druk, herzien door drs.

datawarehousing, datamining en privacy. A&V 10;

S. Lieon, College bescherming persoonsgegevens,

Registratiekamer, Den Haag 1998 (niet meer

Den Haag 2002.

beschikbaar).

R. Buitenhuis, N.G.M. van Campen, W.J. van

C. Zandee, Doelbewust volgen. Privacy-aspecten van

Helden, H.H. de Vries, Bankverzekeraars en privacy.

cliëntvolgsystemen en andere vormen van gegevensuit-

Gegevensverwerking in financiële conglomeraten.

wisseling. A&V 9; Registratiekamer, Den Haag 1998.

A&V 20; Registratiekamer, Den Haag 2000. J. de Zeeuw, Informatiegaring door de fiscus. Privacybescherming bij derdenonderzoeken. A&V 8; Registratiekamer, Den Haag 1998.

74

jaarverslag 2005

B.J.P. Hulsman en P.C. Ippel, Gegeven: de Genen.

A.F. Rommelse, Ziekteverzuim en privacy. Controle

Morele en juridische aspecten van het gebruik van

door de werkgever en verplichtingen van de werk­

genetische gegevens. A&V 7; Registratiekamer,

nemer. A&V 3; Registratiekamer, Rijswijk 1995. (niet

Den Haag 1996.

meer beschikbaar)

H.J.M. Gardeniers, Chipcards en privacy. Regels voor

J.P.M. van Casteren, Bevolkingsgegevens: Wie mag ze

een nieuw kaartspel. A&V 6; Registratiekamer,

hebben? Verstrekking van gegevens uit de GBA aan

Den Haag 1995.

vrije derden. A&V 2; Registratiekamer, Rijswijk 1995 (alleen elektronisch beschikbaar).

H. van Rossum e.a., Privacy-Enhancing Technologies: the path to anonymity, volume I and II. A&V 5;

B.J.P Hulsman en P.C. Ippel, Personeels­

Registratiekamer, Den Haag 1995. (niet meer beschik-

informatiesystemen - de Wet persoonsregistraties

baar)

toegepast. A&V 1; Registratiekamer, Rijswijk 1994 (alleen elektronisch beschikbaar).

A.F. Rommelse, Zwarte lijsten. Belangen en effecten van waarschuwings­systemen. A&V 4; Registratiekamer, Rijswijk 1995.

brochures Gedragscodes. Bescherming van persoonsgegevens

Wet bescherming persoonsgegevens. Over de bescher-

door zelfregulering

ming van uw persoonlijke gegevens

oktober 2002

augustus 2001

Derde landen. De doorgifte van persoonsgegevens

Functionaris voor de gegevensbescherming. Een hand-

naar landen buiten de Europese Unie

reiking

september 2002

augustus 2001

Third countries. Transfers of Personal Data to Countries

Mag het een bitje minder zijn? Over Privacy-Enhancing

outside the European Union

Technologies

september 2002

april 2001

Privacy: checklist voor de ondernemingsraad

Doe het zelf met privacy. Een toelichting op de Audit

april 2002

Aanpak 2001

bijlagen

75

bijlagen informatiebladen Informatiebladen voor de betrokkene, dat is degene van

Informatiebladen voor de verantwoordelijke, dat is

wie persoonsgegevens worden gebruikt:

degene die persoonsgegevens van anderen gebruikt voor eigen doeleinden:

Geheimhouding van uw medische gegevens, juni 2005

Geheimhouding van medische gegevens, juni 2005

Omgang met uw medische gegevens, juni 2005

Omgang met medische gegevens, juni 2005

Uw rechten als patiënt, juni 2005

Rechten van uw patiënt, juni 2005

Als u gefilmd wordt met een videocamera, februari

Cameratoezicht: als u mensen filmt februari 2005

2005

Informatie delen in samenwerkingsverbanden januari

Uw gegevens bij de politie, oktober 2004

2005

Als de politie gegevens over u vraagt, oktober 2004

Als de politie u vraagt persoonsgegevens te verstrek-

Recht op informatie, oktober 2004

ken oktober 2004 (geactualiseerd)

Uw recht van verzet bij direct marketing oktober 2004

Informatieplicht oktober 2004

Correctie van uw persoongegevens oktober 2004

Het recht van verzet bij direct marketing oktober 2004

Uw persoonsgegevens beveiligd september 2003 (geac-

Het bieden van correctie in persoongegevens

tualiseerd)

oktober 2004

Inzage in uw persoonsgegevens juni 2004

Het geven van inzage in persoongegevens juni 2004

Uw personeelsdossier juni 2004

Personeelsdossiers juni 2004 (geactualiseerd)

Verstrekken van uw persoonsgegevens juni 2004

Verstrekken van persoonsgegevens juni 2004

Opnemen van uw telefoongesprekken op de werkplek

Opnemen telefoongesprekken op de werkplek juni 2004

juni 2004 (geactualiseerd)

(geactualiseerd)

Uw gegevens op een zwarte lijst juni 2004

Zwarte lijsten juni 2004

Doorgifte van uw gegevens naar derde landen juni 2004

Doorgifte naar Derde Landen inzake uw gegevensver-

(geactualiseerd)

werkingen juni 2004 (geactualiseerd)

De functionaris voor de gegevensbescherming juni 2004

De functionaris voor de gegevensbescherming juni 2004

(geactualiseerd)

(geactualiseerd)

Verstrekken van uw personeelsgegevens

Camera's op de werkplek juni 2004 (geactualiseerd)

juni 2004 (geactualiseerd)

Verstrekken van personeelsgegevens aan derden

Geadresseerde reclame juni 2004 (geactualiseerd)

juni 2004 (geactualiseerd)

Verstrekken van uw gegevens uit ledenadministratie

Verstrekken gegevens uit uw ledenadministratie

maart 2004 (geactualiseerd)

maart 2004 (geactualiseerd)

Nummeridentificatie bij telefoonverkeer maart 2004

Melden en vrijstellingen maart 2004 (geactualiseerd)

Rechten van de betrokkene maart 2004 (geactualiseerd)

Bemiddeling door het CBP inzake uw verwerkingen

De sociale dienst en uw persoonsgegevens maart 2004

maart 2004 (geactualiseerd)

(geactualiseerd)

Klachtenbehandeling door het CBP april 2003 (geactu-

Uw klacht en het CBP maart 2004 (geactualiseerd)

aliseerd)

Bemiddeling door het CBP maart 2004 (geactualiseerd)

Voorafgaand onderzoek september 2001

Het toetsen van uw kredietwaardigheid (creditscoring) maart 2004 (geactualiseerd) Het gebruik van kentekengegevens en uw privacy

Publicaties van het CBP kunt u inzien en/of downloaden

maart 2004 (geactualiseerd)

van de website www.cbpweb.nl. Voor het toezenden van

Camera's op de werkplek maart 2004 (geactualiseerd)

gedrukte publicaties kunnen verzend- en handlingkosten in

Bewaartermijnen juli 2002

rekening worden gebracht.

76

jaarverslag 2005

publicaties in kranten, tijdschriften en vakbladen 2005 Winkelhorst, mr. R.C. Privacy en zoekmachines: vergezocht? (Privacy & Informatie, nr. 4 - augustus 2005) Artz, mw. S.M. en Smeets, mw. A.H.C.M., Aantasting privacy ligt gevoelig bij cameratoezicht (Proeflokaal, nr. 15 - augustus 2005) Bunt, mw. mr. P.G.C., De functionaris voor de gegevensbescherming: een interne toezichthouder (Privacy & Informatie, nr. 5 - augustus 2005) Kohnstamm, mr. J., Geef privacy niet zomaar op voor terreur (NRC Handelsblad, 9 augustus 2005) Kohnstamm, mr. J., Het spiegelkabinet van de argwaan (voor het NJCM-congres Terrorismebestrijding met mensenrechten, 8 april 2005) Lieon, mw. drs. S., Wat moet en kan de OR met de privacy van de zieke werknemer? (OR informatie, jrg. 31 nr. 4, april 2005, p. 26-27) Artz, mw. S.M., Derde modelcontract voor doorgifte naar derde landen goedgekeurd (Privacy & Informatie, nr. 2 - april 2005, p. 66-68) Lieon, mw. drs. S., Privacyregels geen barrière voor reïntegratie zieke werknemer (Arbo, vakblad over arbeidsomstandigheden, nr. 02-2005, p. 58-61) Kohnstamm, mr. J, Eijk, mw. mr. M.M.M. van en Groenhart, mr. N.W., De overheid vlucht in bevoegdheden en de noodzaak van nieuwe bevoegdheden is niet aangetoond (NJCM-Bulletin, jrg. 30 2005, nr. 2) Seumeren, drs. N.M. van, Privatisering en deregulering gaan niet goed samen als het gaat om de bescherming van de persoonlijke levenssfeer (Privacy & Informatie, nr.1- februari 2005)

bijlagen

77

Trust Trust stimulates social cohesion in society, acts as a lubricant in the economic engine and is vital for constructive and creative human relations. Trust is part of the social capital of the democratic constitutional state. The objective of the WBP [Dutch Data Protection Act] is to make a contribution to the trust civilians can have in the way society handles personal data. Research carried out in 2004 and 2005 by order of the Dutch Data Protection Authority (Dutch DPA) demonstrates that this trust among citizens leaves much to be desired and in any case falls short of the importance they attach to a careful handling of their data in the various social domains.

78

annual report 2005

Mutual trust and trust in society is created where the exercise of power in a democratic society is perceptibly and noticeably contained. Within that framework the WBP first and foremost fulfils a preventative role. Public and private powers, which are exercised partly on the basis of the use of personal data and which can negatively affect the development of an individual, must be contained. In order to protect privacy, the law therefore bans the unnecessary processing of personal data and further requires that personal data is handled in a considerate and proper manner. Within the current social context there is a tendency to abandon the, until recently common, general attitude of trust in participants in social and economic life. The decline in social control, which for instance was still present in our society that was compartmentalized along socio-political lines, requires alternative management mechanisms. The large-scale automation and linking of files by the government and the business sector relates to this. Preventing the abuse of government provisions in an administrative-technical manner, increasing customer-orientation among the government and business sector and stimulating safety by strengthening the judiciary and police (powers) are high on the social and political agenda. Making the best possible use of the powers of technology is pursued here. As a result, however, important social concepts are put under pressure. Three well-known fields in our legal system are the proportional application of control and investigative powers: the basic principle is trust, subsequently followed by a general supervision system and concluded by the investigation of offences in the event of reasonable suspicion. However, powers and means are more and more used at an early stage, whereas they were initially granted to be used in the event of activities aimed at repression. The obligation to store telecommunications data for the judiciary and police, preventative monitoring as to who enter and leave the major cities (the so-called virtual moat), the acceptance of extensive whistle blower and telltale provisions and the extensive check of all sorts of data prior to deciding to grant benefits are manifestations thereof. Outside the field of investigation and prosecution too, government institutions and private corporations create files at an early stage and install links with a view to preventing any conceivable future abuse. The development of the ‘alternative government’, which wants to ‘serve’ citizens proactively, creates new possibilities and dependencies for that. Slightly exaggeratedly formulated, a tendency can be seen in which social relations, which used to be based on trust and the assumption of innocence, are replaced by relations based on institutionalised distrust. If an increasingly comprehensive technology supports that development and if it seemingly dictates the – mostly provisional – boundaries, it affects the essence of the position of the individual in modern society. Within the aforementioned social climate there is the risk of a reduction, if not erosion of the sense of the necessity to protect personal data. However, the protection of personal data serves underlying values. In addition to privacy protection

introduction

79

these values include the prevention of injustice and damage, equal treatment and prevention of discrimination, individual autonomy within certain boundaries and informational equality. These values are not of a continuous equal order. Some serve a direct individual interest. Other underlying values such as trust, equality, freedom of communication or protection of physical integrity continue to be of high importance within the current social climate for a free and democratic society which our society is and wishes to continue to be. In 2005, the Dutch DPA invested in the reconsideration of the objective of the WBP, the underlying values when protecting personal data and the manner in which these objectives and values can be best served by the supervising authority. Such a reflection cannot be conducted sensibly within splendid isolation. In 2005, the Dutch DPA, much to its delight, deliberately and regularly sought to exchange views and debated with experts and social parties, sometimes in a more contemplative context and sometimes in a direct relation to the necessity as the supervising authority to choose a viewpoint in respect of social developments. The Dutch DPA shall continue to do so. The formal evaluation of the WBP is scheduled to take place in 2006. This evaluation is without a doubt useful. All sorts of considerations shall ultimately determine the practical implementation of this evaluation. The Dutch DPA, within the context of the evaluation, first wants to consider what values are at issue. In addition, the current question arises whether the WBP has contributed or could contribute to the protection or further expansion of those values. And only then the question whether the contents and formulation of the Act and the powers and responsibilities stipulated therein need amending, with a view to the social tendencies outlined above, becomes important. The WBP is a tool. The essential dilemma is the need for both control and trust. Jacob Kohnstamm chairman

80

annual report 2005

BBC.co.uk, BBC News, October 2005

introduction

81

Review of 2005 According to public opinion, it has become evident over the past few years that the protection of personal privacy is no longer a foregone conclusion. Concerns about terrorism, insecurity and social wrongdoings on the part of citizens, administrators, politicians and policymakers have resulted in the regulations for personal data protection being used in the public debate as a scapegoat or denounced as an obstacle. In addition to the socio-political climate, the surveillance domain is also subject to radical changes.

Therefore, in 2005 the

Dutch Data Protection Authority (Dutch DPA) [College Bescherming Persoonsgegevens] expressly posed the question as to what essentially the WBP [Dutch Data Protection Act] should serve to protect and the path that must be taken in order to achieve this. In these changing times, the power of expression of the law is becoming less dependable and greater use must be made of the visions and findings of others. The Dutch DPA considers itself fortunate that in 2005 – and also in the context of the forthcoming evaluation of the WBP – it was able to rely upon the willingness of many discussion partners, including academics, experts in the field, companies and social organisations, to contribute their ideas in this regard.

82

annual report 2005

Monitoring compliance is the most important task that the legislator requires of a supervisory authority. Effective supervision of compliance with and, where necessary, enforcement of the regulations with regard to handling personal data is essential. However, there are insufficient people and resources available to be able to carry out this task to full scale. In recent times, the Dutch DPA has been unable to contribute, or has only been able to contribute to a limited extent, with regard to all kinds of issues. The shift in policy desired on a social and political level towards more inspections and greater enforcement could only be partially achieved. The Dutch DPA has had to pull out all the stops at least in a few large cases to do what had to be done in view of the inherent risks to the protection of personal privacy.

Healthcare systems The change in the healthcare system gave the Dutch DPA a reason for intensive involvement. After the advice obtained in 2004 with regard to the Zorgverzekeringswet (Zvw) [Healthcare Insurance Act], in 2005 the Dutch DPA paid much attention to the elaboration of the system change. Agreements have been made with the Minister of Health, Welfare and Sport as to how the shortcomings in the Zvw in relation to the processing of personal data can best be resolved. To this end, Article 87 of the Zvw amongst other things, has, in close consultation with the Dutch DPA, been elaborated in a ministerial order, the Regeling Zorgverzekering [Health Insurance Order]. It has been further agreed that the ‘service descriptions’, which largely form the content of the flow of information between healthcare practitioners and health insurers, will be determined by the Healthcare Authority in consultation with the Dutch DPA. The service descriptions indicate in detail which personal data must be provided for the purpose of invoicing for the healthcare provided. Risk equalisation

It has also been agreed with the Minister of Health, Welfare and Sport that no personal data will be used for risk equalisation. It will suffice to use pseudonymous data, i.e. the data are linked to a unique but anonymous code. The Dutch DPA also advised that a number of preconditions be laid down in the ministerial order building upon Article 35 of the Zvw relating to the processing of personal data for the purpose of risk equalisation. During the transition to the system under the Zvw, personal data were temporarily necessary (only for the ex-ante calculation 2006). The temporary nature of this processing has been established as well as a maximum storage time for the required data. Healthcare Insurers’ Addendum to the Code of Conduct

The Healthcare Insurers’ Addendum, drawn up by Zorgverzekeraars Nederland (ZN) [Association of Dutch Healthcare Insurers] contains rules of conduct with regard to the processing of personal data by health insurers and is an addition to the existing Gedragscode verwerking persoonsgegevens financiële instellingen [Code of Conduct for Financial Institutions] with regard to the Processing of Personal Data. Amongst other things, the Addendum contains rules in relation to handling invoice data and performing substantive checks on invoices.

review of 2005

83

Intensive discussions between ZN, the Ministry of Health, Welfare and Sport, the KNMG [Royal Dutch Society for the Advancement of Medicine] and the Nederlandse Patiënten Consumenten Federatie [Dutch Patient Consumer Federation] and the Dutch DPA resulted in agreement on the content of this appendix at the end of 2005. The Dutch DPA declared its approval of the Appendix in accordance with Article 25 of the WBP in April 2006. Diagnosis Treatment Combination and DTC Information System

The agreement with the Ministry of Health, Welfare and Sport and ZN to make the Diagnose Behandeling Combinaties (DBC’s) [Diagnosis Treatment Combinations] less detailed and privacy-sensitive as possible unfortunately no longer appeared to be on the agenda in 2005. This means that as of 2006, DBC’s with detailed information that is subject to doctor-patient confidentiality will be passed on to healthcare insurers by healthcare practitioners in hospitals. The Ministry has promised the Dutch DPA that the DBC system will be simplified in the coming years. Agreements have been made with the Minister of Health, Welfare and Sport on the application of Privacy Enhancing Technologies (PET) in using data in the DBC information system (DIS). The DIS is a large databank, a national interchange for receiving, processing and issuing data that are provided by hospitals and medical specialists. By implementing this technical solution, the identity of the individuals behind the data can remain anonymous. This does not detract from the fact that the DIS, as far as scale, coverage and content is concerned, will be one of the highest risk processing systems in the Netherlands. Mental Healthcare

As of 2007, a large part of mental healthcare will be paid for via the Zvw. Mental healthcare currently still falls within the remit of the Algemene wet bijzondere ziektekosten [Exceptional Medical Services Act]. The intention is to bring mental healthcare aimed at ‘recovery’ under the Zvw. DBC’s will therefore also be introduced in mental healthcare as of 2007. In consultation with the other groups in the profession, in 2005 the Dutch DPA expressly requested that attention be paid to the protection of personal data in this field. Law on the Use of the Citizens Service Number in the Healthcare sector

With effect from the entry into force of the Wet algemene bepalingen burgerservicenummer [General Provisions on the Citizens Service Number Act], the current ‘sofi-number’ will be used under the name of burgerservicenummer (BSN) [Citizens Service Number] by and for all communication with the (semi-) public authorities. The Wet gebruik burgerservicenummer in de zorg [Law on the Use of the Citizens Service Number in the Healthcare sector] stipulates that healthcare providers, healthcare insurers and indication bodies will have to use the BSN in exchanges of communication relating to patients. The BSN will also be used in the future to make the Electronic Medication File and the Electronic Patient File possible. The Dutch DPA was highly critical of this draft bill. The introduction of such a unique identifying number indeed carries high risks, risks that must in any case be limited. The bill that was finally presented to the Lower House fell short of the mark in this regard.

84

annual report 2005

Results 2005 the previous annual report announced that the following results would be pursued in

2005.

to decide to delay the annual plan

•

2005, we were until mid -2006.

early

forced

Safety and privacy

In 2004, the Dutch Data Protection Authority (Dutch DPA) issued advice on the legislative proposal concept to extend the possibilities of investigating terrorist crimes. This advice was largely ignored. In 2005, the Dutch DPA brought its advice to the attention of the permanent committee for the Ministry of Justice in the Lower House. At the request of the Lower House, the Dutch DPA has analysed the set-up of the CounterTerrorism-Infobox (CT Infobox). Furthermore, the Dutch DPA, in consultation with the Ministries of Foreign Affairs and Justice, has requested professors H.R.B.M. Kummeling and E.R. Muller, to study the balance between safety and privacy. The final report is expected to be published in 2006.

•

Special police registers

In the autumn of 2005, within the framework of structural supervision of the special police registers, the Dutch DPA investigated two special investigation services. The results thereof shall be available in 2006.

•

Risk selection

In 2005, an expert’s meeting on risk selection was organised. A publication thereof shall be issued in 2006.

•

Internet and privacy

In 2005, an expert’s meeting on the Internet and the protection of personal data was held. An exploration in this field shall be published in 2006.

•

Obligation to provide information

Information activities on the obligation of data controllers to provide information have been intensified. Furthermore, a number of surveys into the compliance with the obligation to provide information were started in 2005 and are scheduled for publication in 2006.

• Investigating compliance with obligation to notify In 2005, the annual investigations into the compliance with the obligation to notify were prepared, but ultimately not carried out. The delay of the annual plan caused the start of the investigations to be postponed. Ultimately, following the decision of the Raad van State [Council of State] (ruling of 21 September 2005, 200504372/1: no basis for fine regarding failure to report processing activities started prior to 1 September 2001), the 2005 series of studies into the obligation to notify were cancelled. The WBP (Dutch Data Protection Act) shall be amended on this point in 2006.

•

Administrative burdens

Following on from proposals made at the end of 2004, the Dutch DPA has held various consultations with the Ministry of Justice and the VNO-NCW [Confederation of Netherlands Industry and Employers], which included the subject of extending the exemption of the obligation to notify. Ultimately it is the Minister of Justice who must submit a proposal to the Lower House. In 2005, this had yet to be done.

•

Binding Corporate Rules

The Dutch DPA has made an active contribution to the simplification of the rules for transferring personal data to data controllers outside the European Union. In 2005, the Data Protection Authorities collaborating in the Article 29 Working Party entered into European agreements regarding a uniform procedure for the application of permits and on the coordinated processing of permit applications on the basis of so-called Binding Corporate Rules (BCRs).

•

Collaboration and exchanging personal data

On several occasions in 2005, the Dutch DPA made contributions to clarify regulations in respect of the necessary exchange of personal data among organisations formally collaborating to address particular social problems. In April 2005, the Dutch DPA organised a symposium on this subject. Special meetings aimed at supervising authorities were not organised.

•

Supervision and regulators

In 2005, together with the Commissie gelijke behandeling [Equal Treatment Commission], the National Ombudsman and the Studie- en informatiecentrum mensenrechten [Netherlands Institute of Human Rights], the Dutch DPA issued advice to the Government on the desirability of setting up a national institute of human rights. In that same year, collaboration agreements were entered into with the OPTA [Independent Post and Telecommunications Authority] and the IWI [Work and Income Inspectorate]. The number of data protection officers showed a slight increase in 2005.

•

Health Care and Social Security

In 2005, the Zorgverzekeringswet [Health Care Insurance Act] was a major issue for the Dutch DPA. The Act and all the changes involved with it, as well as the plans for the implementation of the burgerservicenummer [Citizens Service Number] in the healthcare sector required much attention. Furthermore, an explorative study into data flows for reintegration purposes and the exchange of medical data between concern units was carried out among insurers. The publication of a normative framework for the social services shall be published in 2006.

•

Citizens Service Number

As early as 2004, the Dutch DPA issued advice on the legislative proposal for general provisions to implement and to use the burgerservicenummer [Citizens Service Number]. The legislative proposal, as submitted to the Lower House in 2005, takes insufficient account of the objections by the Dutch DPA. The Dutch DPA has expressed its concern in respect of this to the Lower House. The intended preparation for the tasks the Dutch DPA would be allocated within the framework of a national ombudsman role has not yet begun due to the delay in the Act coming into force.

•

Evaluation of the WBP

The Dutch DPA has been preparing for the evaluation of the WBP (Dutch Data Protection Act) in various ways, which is expected to take place in 2006 (article 80 of the WBP). Preparations include a number of meetings with field experts and consultations with the Ministry of Justice.

review of 2005

85

Terrorism and security Due to the increase in plans and measures at European level to improve security and to combat crime and terrorism, the exchange of data on suspects and unsuspected persons between the member states of the European Union will become even greater. For this reason, the importance of a harmonised and efficient framework for the protection of personal data for the international exchange of data in the fields of justice and the interior, the so-called third pillar of the European Union, is also increasing. Supervisory authority for the third pillar

The spring conference of European Data Protection Authorities in Cracow in April 2005 expressed its approval of the plan of the European Commission to develop a new legal framework for data protection in the third pillar. The high level of protection of the general privacy Directive 95/46/EC is to be the starting point in this regard. It was also argued that an independent supervisory and advice body should be set up in which the data protection authorities would work together. Now that the Constitutional Treaty has not been adopted, the pillar structure of the European Union will remain in place for the time being. This is why in addition to the Article 29 Working Party for the first pillar, such a body is also necessary for the third pillar. In the course of 2005, the European data protection authorities drew up a more detailed recommendation, which was offered to the European Council and the European Commission at the beginning of 2006. The Hague Programme

The so-called The Hague Programme, a long-term programme that was defined during the Netherlands’ Presidency of the European Union during the second half of 2004, incorporates proposals that are aimed at combating terrorism and cross-border criminality, both within the remit of the third pillar as well as within that of the first pillar of the EU, the internal market. The most important proposals in 2005 embraced the framework decision on data protection, which falls within the third pillar, the ongoing development of existing European information systems, the effort to ensure improved interoperability and synergy between European databases, the introduction of biometrics in passports and the central storage of data, including visa information. Subsequently, the Directive was implemented that laid down an obligation to preserve data relating to telecommunications traffic. The proposal for a framework decision with regard to the principle of the availability of police data is far-reaching. On this basis additional data from the Police or judicial authorities can be exchanged between member states. Enforcement data that are available in one member State would then be directly available to other member states. In 2005, the European data protection authorities declared in Wroclaw, Poland that the principle of the availability of enforcement data should only be allowed to be implemented, on condition that a harmonised and sufficient framework for data protection is in place throughout the EU as a whole. Powers relating to the detection of terrorist acts

In 2004, the Dutch DPA issued recommendations as to the draft legislation to extend the ability to detect terrorist crimes. Many of the points contained in these recommendations

86

annual report 2005

were not followed up. In 2005, the Dutch DPA therefore brought its criticisms to the attention of the standing committee for Justice in the Lower House of the Dutch Parliament. The intention of the draft law was to enable the Police to examine all possible indications of terrorism. In the opinion of the Dutch DPA, this is the exclusive task of the AIVD [National Intelligence and Security Service], as the AIVD is ideally equipped for that task and because the intelligence work carried out by the AIVD has been granted considerable protection. If the police has a genuine need to be granted such farreaching powers, it will also be necessary for adequate guarantees to be put in place. The draft law falls short in this regard, as the conventional guarantees that relate to criminal procedure such as transparency and the jurisdiction of the courts are ineffective from the point of view of data protection. Almost no consideration has been given to the possible negative effects of the proposed legislation for the social position of innocent citizens. For this reason, the Dutch DPA advised that a separate, robustly protected special regime be created for the handling of ‘soft’ information by the police. CounterTerrorism information point

In 2005, the Dutch DPA analysed at the request of the Lower House the set-up of the Contraterrorisme-Infobox (CT Infobox) [Counter-Terrorism-Infobox]. The purpose of the CT Infobox is to ensure the practical implementation of existing statutory powers to exchange data regarding terrorism. An initial analysis by the Dutch DPA gave rise to a clarification by the Minister. More detailed analysis revealed that the involvement of the IND [Immigration and Naturalisation Service] contravenes the law. The boundary between intelligence activities and detection must be respected. It may be legitimate to cross that boundary, but there must be a clear demarcation that shows where intelligence work becomes detection work and the prosecution of criminal acts. In addition, effective supervision must be take place. Draft Sequestering of Data Powers Act

On 1 January 2006, the Wetsvoorstel bevoegdheden vorderen gegevens [Draft Sequestering of Data Powers Act] entered into force, following a lead-in period of several years. The proposed legislation is based upon proposals from the Commissie strafvorderlijke gegevensvergaring [Collection of Information for Criminal Proceedings Committee]. The Act enables the judicial authorities and the Police to request data from social institutions and companies, if the data is required for detection purposes. At the beginning of 2005, the standing committee for Justice of the Upper House invited the Dutch DPA to a discussion within the framework of the preparation of the handling of the Wetsvoorstel bevoegdheden vorderen gegevens. The Dutch DPA made a case for two structural guarantees: the ability to test a demand in advance in the courts and systematic and regular checks regarding the processing of data in police records. Compulsory retention of telecommunications traffic data

In 2005, the Dutch DPA strongly opposed the introduction of a general obligation to preserve what is known as telecommunications traffic data. Neither the usefulness nor the necessity for such a massive, preventative storage of telecommunications traffic data relating to 450 million European citizens had been demonstrated and no specific guarantees had been put in place. Both on a national and a European level, there was broadly-based political criticism with regard to the intention of the European Ministers review of 2005

87

of Justice and the Interior to provide for compulsory storage of data in the form of a framework decision. This political opposition faded away during the course of the year. Central Information Point for the Detection of Telecommunications

Providers of mobile and landline telecommunications services – and, in the longer term, of internet access services are obliged to maintain a super telephone directory that can be consulted by the police, judicial authorities and intelligence services. The Centraal Informatiepunt Opsporing Telecommunicatie (CIOT) [Central Information Point for the Detection of Telecommunications] in Zoetermeer forms part of the Ministry of Justice and functions as an information hatch between the telephony sector and the authorities. Many telecoms providers also allow the CIOT to manage their database on their behalf. Following pressure from the Dutch DPA, a processing agreement was the subject of serious discussions during negotiations between telecommunications providers and CIOT. A judicial area agreement was also compiled. On a periodic basis, checks will be carried out in order to ascertain whether or not the data acquired by the Police and judicial authorities has been requested in a legitimate manner. Both agreements were ready to be signed in January 2006 by the Government and the telecom companies.

Combating fraud Blacklists

Blacklists as a means of combating fraud and crime retained their popularity during 2005. In assessing the legitimacy of this type of list, the Dutch DPA places considerable emphasis upon whether or not the proposal submitted by the originating party provides sufficient guarantees that the data will be handled responsibly. These guarantees emerge from a consideration of the interests of the organisation and the entitlement of the individual to privacy. In 2005, the Kamers van Koophandel [Chambers of Commerce] submitted a blacklist that was intended to detect fraud arising from the sale of advertisements, lotteries and unsolicited deliveries. The extent of fraud involving false invoices and of acquisition fraud proved to be sufficiently large as to cause the Steunpunt Acquisitiefraude (SAF) [Advertising Fraud Support Centre] to create a blacklist. SAF collects data and issues warnings relating to suspected acquisition fraud and of the senders of fraudulent invoices to organisations involved in detection and prosecution. The Centraal Bureau Levensmiddelenhandel (CBL) [Dutch Food Retail Association] wanted to maintain a blacklist concerning incidents in stores on behalf of its members. The purpose of this would be to prevent participating stores from becoming a victim of criminal acts that had been inflicted upon other members. Linking of data to combat fraud

Increased interest in benefit fraud at local authority level reflects the changed social climate associated with benefits and is directly linked to the financial interest of local authorities in establishing effective control of the implementation of the Wet werk en bijstand [Work and Social Assistance Act]. In the middle of 2005, the State Secretary informed local authorities of the ability to link data in order to combat fraud. In order to do justice to the interest in the effective combating of fraud and the

88

annual report 2005

interest in protecting the personal privacy of benefit recipients, the Dutch DPA submitted the memorandum entitled Fraudebestrijding door bestandskoppeling [Combating Fraud by linking of data] to the State Secretary for Social Affairs in the middle of 2005. In many instances, control that is exercised by linking and granting access to data means that personal data is used for a purpose that is different to the one for which the individual to which they relate believed they were to be used. The Dutch DPA feels that the liberal linking of data containing details of large groups of unsuspected citizens is out of proportion and undesirable. The basic principle underlying the combating of fraud by linking and granting access to data must be that the ability to carry out checks upon an individual benefit recipient can only be increased according as there is a stronger suspicion of fraud. This method is comparable to the one in use at the Belastingdienst [Netherlands Tax and Customs Administration]. In December 2005, the State Secretary informed the Lower House of the Dutch Parliament of the electronic access to a number of databases that had been granted to local authorities. On that occasion, the State Secretary referred to the Dutch DPA’s view of linking and granting access to data as a “clear framework for decision-making” for local authorities.

Information infrastructure The Government’s information infrastructure is undergoing a major overhaul that will be completed during the next two years. The worrying thing is that there is a lack of an overarching vision with regard to policy concerning personal information. As a result, a debate in Parliament about the overall policy on personal information has yet to take place. Citizens Service Number

In 2005, a draft law containing general stipulations for the burgerservicenummer (BSN) [Citizens Service Number] was submitted to the Lower House. The draft law introduces the use by the Government of the BSN as a general personal identification number. The draft law contains stipulations governing the generating, distribution, issuing and management of the numbers. It does not however provide an arrangement that will promote the careful use of the BSN in practice. The Dutch DPA already pointed this out in its recommendations relating to the draft law that were issued in 2004. In view of the fact that in the opinion of the Dutch DPA, the draft law did not take sufficient account of its objections, the Dutch DPA expressed its concerns in this regard to the Lower House in October 2005. The Dutch DPA issued a warning to the effect that the draft law containing general stipulations for the implementation and the use of the BSN contains serious shortcomings with regard to the limitation of risks associated with the introduction and use of such a number. The political parties in the Lower House asked the Minister questions with regard to the points raised by the Dutch DPA. The Dutch DPA regards it as a matter of considerable importance to citizens, the protection of their personal data and the social acceptability of the introduction of the BSN that clear regulations be laid down in the form of legislation concerning: a) the circumstances in which use of the BSN is permitted; b) which government bodies (and possibly companies) are permitted to make use of the BSN; c) an obligation to notify individuals of any errors that may be discovered; d) the availability to individuals of review of 2005

89

Objectives for 2006 in 2006 the following issues and objectives will be prioritised :

•

Health insurers throughout Europe inspected



In 2005, the Dutch DPA was one of the instigators of the implementation of a joint enforcement initiative by all EU data protection authorities. In 2006, harmonised enforcement inspections will be carried out on health insurers. The results of the inspections will be compiled and published in a joint report.

•

Information security in hospitals

In 2005 there was much publicity surrounding information security in hospitals. In 2003, the Inspectie voor de Gezondheidszorg (IGZ) [Healthcare Inspectorate] carried out a study entitled ‘ICT in hospitals’. In continuation of this study, the Dutch DPA and the IGZ will carry out a joint study in 2006 into information security in hospitals.

•

Combating benefit fraud

A number of proposals have been made to combat benefit fraud which all to a greater or lesser degree infringe upon the personal privacy of benefit recipients. Municipalities are requesting access to more and more files from different organisations. In 2006, the Dutch DPA will organise a meeting of experts to discuss a clearer system for combating this type of fraud. Benefit recipients must not be regarded as any more suspicious than any other citizens. Research into compliance by the Social Security Fraud Department with the duty to provide information will also be carried out in 2006.

90

annual report 2005

In 2006, the Dutch DPA will process and co-ordinate permit applications from a number of large multinationals according to the new uniform procedure for applying for a permit to transfer personal data to countries outside the European Union and for the co-ordinated European processing thereof.

•

The obligation to inform citizens



 t the end of 2005, TNS/NIPO carried out a study within five A sectors into compliance with the duty to provide information in accordance with the WBP [Dutch Data Protection Act] and compliance with the duty to provide information as experienced by citizens. The results will be published at the beginning of 2006. In 2006, the study will lead to initiatives in the different sectors aimed at raising awareness of and compliance with the duty to provide information.

•

Internet publications and privacy



 he internet raises questions among users about their privacy T and the security of their personal data. The internet leaves the Dutch DPA open to questions about its competence as a supervisory authority and the possibility of effective supervision on the internet. In 2006, the Dutch DPA will organise a symposium on this subject and will also publish a first exploratory position paper and a number of information sheets.

•

RFID and privacy

Intervention teams for combating fraud

There is a network of regional intervention teams operating covering the Netherlands with the aim of tackling the black economy, illegal employment, benefit fraud and tax fraud. Municipalities, the Belastingdienst [Tax and Customs Administration], the Sociale Verzekeringsbank [Social Insurance Bank], the Arbeidsinspectie [Health and Safety Inspectorate], the Uitvoeringsinstituut Werknemersverzekeringen [Employee Insurance Schemes Implementing Body] and the Public Prosecution Service work together in these teams. In 2006, the Dutch DPA will conduct a study into compliance with the duty to provide information as well as into the legitimacy of sharing information and the use of police information by intervention teams.

•



Electronic Child File

The intention is to introduce the electronic child file into child healthcare with effect from 1 January 2007. The development of a child and the distinguishing features of the child’s environment will be recorded in this file commencing from (before) birth. The child file will be linked to the future burgerservicenummer [Citizens Service Number]. In 2006, the Dutch DPA will focus intensively on this development and provide advice where necessary.

•

• Administrative burden and privacy: Binding Corporate Rules

Radio Frequency Identification is a technology whereby all manner of objects can be fitted with small, readable tags (miniscule radio chips). The data that the chip gives about the object and what the person requesting the information can and may subsequently do with these data also concerns the protection of personal data. In 2006, a public consultation will be held on this matter and an external report generated on the basis of this consultation.

•

Biometrics in travel documents

An increase in the use of biometrics in travel documents is anticipated in 2006. The Dutch DPA will organise a meeting of experts to discuss the value of, the need for and the possible drawbacks of large-scale, centralised storage of biometric data.

•

Citizens Service Number

The introduction of the burgerservicenummer [Citizens Service Number] and the use of this number in the healthcare sector has been postponed. Further to its letters to the Lower House of October 2005 and January 2006 on this matter, the Dutch PDA will continue to advise the Ministers and/or Houses where necessary.

•

Security and privacy

In collaboration with the Minister of the Interior and the Minister of Justice, the Dutch DPA has asked Professors H.R.B.M. Kummeling and E.R. Muller to carry out research to find a good balance between ‘security’ and ‘privacy’. The Dutch DPA will organise a conference on this subject in 2006.

www.rfid-weblog.com, RFID Basics, October 2004

review of 2005

91

the services of an ombudsman and e) the requirements with regard to the data security measures to be applied to the databases that make use of the BSN. Streamlining of the use of fundamental data

As part of the streamlining of the use of basic data that was re-launched in the middle of 2004, the development of six fundamental databases (individuals, buildings, addresses, topography, land register and companies) is envisaged. In addition, there is also an intention to designate policy administration (the administration of employee’s insurance policies), the vehicle registration system and the income database at the Belastingdienst [Tax and Customs Administration] as fundamental databases. It will become compulsory for the Government to make use of data contained within these databases and it will no longer be permissible for such data to be requested from individuals or from companies. This equates to the principle of one-off provision of data and compulsory re-use of data. The introduction of the BSN and the associated system is closely related to this. In 2005, the Dutch DPA issued recommendations regarding three draft laws that form part of this programme. These were the Wetsvoorstel register van ondernemingen en instellingen [draft law governing a register of companies and institutions (to replace the current Handelsregisterwet [Commercial Register Act]), the Wetsvoorstel basisregistratie kadaster en geografie [draft law governing the fundamental database for land registration and geography] and an amendment to the Wet gemeentelijk basisadministratie persoonsgegevens [Municipal Register Act]. These draft laws stipulated the compulsory use by government bodies of specific data. These closely followed the rules contained in the current legislation. Information handling by the Police

The current Wet politieregisters [Police Files Act] is undergoing a fundamental revision. In 2004, the Dutch DPA issued recommendations to the Minister of Justice as to the draft Wet politiegegevens [Police Data Act]. The Dutch DPA agreed with the structure for the processing of police files within the police force, but criticised certain sections of the proposed law. At the end of 2005, the Dutch DPA informed the standing committee for Justice of the Lower House of its criticisms of the final draft law, due to the fact that essential points contained in its recommendations had not been followed: a) data are not assigned a code that indicates the reliability (the difference between soft and hard information) and the inherent risks, b) insufficient guarantees have been included against the data being divulged to third parties that are of minimal reliability, c) no additional guarantees have been created for data relating to unsuspected persons and d) the law enables an overly extensive gathering of data relating to unsuspected persons. In addition, it is also necessary to stipulate, in the form of legislation, the compulsory auditing of the information management systems within the Police, such provisions to include an obligation to carry out self-evaluation. Schengen Information System II

In 2005, the Dutch DPA acted as Chair of the Joint Supervisory Authority [JSA] of the Schengen system. The most significant development remained the development of the Schengen Information System (SIS) II. The existing Schengen Information System is insufficient for the expansion to include the new member states and is not equipped to hold biometric data.

92

annual report 2005

In accordance with the 2004 recommendations relating to SIS II, the JSA Schengen issued recommendations in October 2005 in relation to the legal framework for the new information system, as put forward by the European Commission. The JSA Schengen also has a number of fundamental objections to the legal basis being proposed. It is not clear which European legal frameworks shall apply in the case of SIS II and who will be responsible for it. The purpose of data processing is insufficiently well defined, as a result of which the legal basis does not comply with the basic principles of data protection. In addition, the draft contains insufficient provisions for the supervision exercised by national and European supervisory authorities. The role of the European Commission, the European Data Protection Supervisor (EDPS) and the national data protection authorities, remain unclear within the draft law. All of the current tasks of the JSA need to be reinserted into the new supervisory structure. European visa information system

In 2005, the Article 29 Working Party issued an opinion regarding the proposed introduction of a European visa information system (VIS) that would enable visa information to be exchanged between member states that have abolished internal border controls. No single European system is currently comparable with the VIS, in terms of its scope or capacity. Personal data, including biometric data, of millions of people will be stored in a central database and will be exchanged between member states. The proposal provides for extensive access to the VIS for a broad range of purposes. For this reason, the working party recommended that the purpose for which data are processed within the VIS be precisely defined and limited to what is strictly necessary in order to improve common visa management. Systematic access must be limited to the authorities responsible for implementing visa policy. We must not lose sight of the purpose for which the various European systems have been developed. The drive to improve the interoperability between European databases such as the VIS, SIS II and Eurodac must not give rise to a situation in which authorities actually have access to data that they are not permitted to use.

Investigation and supervision The compliance, by governments, companies and other organisations, with the obligation to provide information gained particular attention during 2005. Awarenessraising in this regard has been enhanced and a number of studies carried out into compliance with the duty to provide information that is to be published in 2006. The duty to provide information is an essential precondition for individuals, in order to be able to view and correct the information, so as to preserve their own interests. At the request of the Dutch DPA, TNS-NIPO Consult carried out a survey into the obligation to provide information within three sectors: doctors’ surgeries, educational institutions and housing associations. In addition, a representative sample of individuals were questioned as to their opinions of the value of the obligation to provide information and their experiences with regard to the manner in which data controllers inform them about how their personal data will be used. It immediately became apparent that there were shortcomings in the manner in which their data is handled.

review of 2005

93

Private detective agencies

In 2005, two studies were carried out by private detective agencies. In evaluating compliance with the WBP [Dutch Data Protection Act], the Privacygedragscode voor particuliere onderzoeksbureaus [Privacy code of conduct for private detective agencies] was applied, which took effect on 13 January 2004. With effect from 1 June 2004, the Minister of Justice made compliance with that code of conduct compulsory for all private detective agencies, as a condition for the awarding of their licence. The study for Dutch DPA was the first that was carried out since the sector had been regulated. One of the studies related to compliance with the duty to provide information. For this purpose, a random sample consisting of thirty agencies were approached, as part of an enquiry in order to ascertain the extent and nature of compliance with the laws governing the provision of data. The second study consisted of in-depth, on-site studies carried out on site at approximately three detective agencies. In addition to compliance with the duty to provide information, this study also tested various other aspects of the WBP, such as compliance with the storage limit of data. The results of this will be cleared up in 2006. Investigation at healthcare insurance companies

In spring 2005, the Dutch DPA carried out a study at the premises of three healthcare insurers. The purpose was to get a better picture of the types of processing of personal data that takes place within healthcare insurance companies, as well as of any potential problems. The study was also carried out with a view to evaluating the Addendum Zorgverzekeraars [Healthcare Insurers’ Addendum to the Code of Conduct]. The purpose of the European working programme to improve the implementation of the Privacy Directive was, amongst other things, to reinforce its use. In 2005, the Article 29 Working Party decided that the first joint study of national data protection authorities shall focus upon healthcare insurers. The purpose of the study is to ascertain whether and in what manner the various countries comply with the privacy rules in this particular sector. The study is scheduled to commence in 2006. Investigations at reintegration companies

Dutch DPA carried out an exploratory investigation into the practical implementation of the reintegration of benefit recipients and sick employees. The reports of the studies were submitted on 12 December 2005 to Borea, the Brancheorganisatie Reïntegratiebedrijven [Sector Organization for Reintegration Companies]. The conclusion of the study into the reintegration of benefit recipients was that the manner in which reintegration companies process personal data is to a large extent determined by the customers, i.e. the local authorities. As customers, local authorities seem to require more information in reports about benefit claimants than is actually necessary. The study into reintegration of employees suffering ill-health confirmed the expectation that in practice, reintegration companies are experiencing difficulties, due to a loophole in the labour legislation. The legal basis, as it currently exists, is insufficient when it comes to reporting about the possibilities for the resumption of work and the extent to which sick employees lend their support. Under the regulations as they currently exist, reintegration companies are not permitted to report medical information to the employer or occupational health and safety service.

94

annual report 2005

Study into the destruction of tapped lawyer-client conversations

In 2005, a study was carried out into compliance with the regulations for the destruction of tapped telephone conversations between lawyers and their clients. Based on the stipulations contained in the Wetboek van Strafrecht [Penal Code], those conversations, which are subject to the professional confidentiality of lawyers, must be destroyed. The Dutch DPA carried out spot checks in order to ascertain whether or not such conversations ought to have been destroyed, were in fact destroyed. That study will be completed and published in 2006. Investigations at Europol

In 2005, the Dutch DPA examined the processing of personal data by the Dutch Desk at Europol. Europol is the European police service for the combating of cross-border severe, organised crime. Each of the member states that are signatories to the Europol Agreement possesses a national contact point for the exchange of information with Europol and the other member states. The Dutch department, known as the Dutch Desk, forms part of the Korps Landelijke Politiediensten (KLPD) [National Police Services Agency]. The study revealed that a positive image was forthcoming with regard to the manner in which data processing takes place. In 2005, the Dutch DPA also took part in the annual audit of Europol's systems by the Joint Supervisory Body of Europol (Europol JSB). The annual checks carried out reveal again and again the great importance that is attached to the reasonable quality of the data supplied by the member states. The 2005 audit also examined the newly-developed Information System at Europol. Exchange of police data with the Netherlands Antilles

The rapid and careful exchange of police data between the Netherlands Antilles and the Netherlands plays an important role when it comes to combating crime. In order to enable such an exchange of data to take place, the Ministers of Justice, Foreign Affairs and Kingdom Relations and the Minster of Justice of the Netherlands Antilles compiled and signed the Protocol gegevensuitwisseling tussen de Nederlandse Antillen en Nederland [Protocol for the exchange of data between the Netherlands and the Netherlands Antilles]. The Dutch DPA exercises supervision over the exchange of data from the Netherlands to the Antilles and with regard to the system that was used. At the time, an agreement was made between the ministers involved that the Dutch DPA would determine the state of affairs regarding the exchange of data and whether or not the protocol is being adhered to. This study took place in the autumn of 2005 and is scheduled for publication in 2006.

review of 2005

95

colofon

Jaarverslag 2005 © College bescherming persoonsgegevens, Den Haag, juni 2006. Niets uit deze uitgave mag worden verveelvoudigd en/of openbaar gemaakt door middel van druk, fotokopie, microfilm of op welke wijze dan ook, zonder voorafgaande schriftelijke toestemming van het College bescherming persoonsgegevens. Met medewerking van: J.H.M. Baart, F.E. van Beek, R.R.A. Beugelsdijk, E.T.H.M. Bool, V.H. Brouwer, P.G.C. Bunt, T.E. van Dijk, M.M.M. van Eijk, A.C.J.M. Emmaneel, M.A.H. Fontein, N. Groenhart, A. Haasnoot, A.C.M. de Heij, W.J. van Helden, J.W. Heuver, B.J.P. Hulsman, J. Kohnstamm, J.A.L. Krabben, P. Krul, M.V. Lucieer, M.Th. van Munster, C.E. Romanesko, B. Schaafsma, B. Schippers, N.M. van Seumeren, A.G.I. Terhorst, M. Twiss, B. den Uyl, J.A.G. Versmissen, J.Vlug, M. Warmerdam. Eindredactie: G.O. van de Klashorst Ontwerp: Proforma en De Stal, ontwerpers en adviseurs (Miriam Monster, Tara Koyen) Fotografie college: Mark Kohn Vertaling: Amstelveens Vertaalburo Druk: Deltahage B.V. (Den Haag)

96