HANDBOEK PRIVACY. Geachte abonnee, Voor u ligt de elfde aanvulling voor het Handboek Privacy

HANDBOEK PRIVACY Bijwerking 11 December 2003

Geachte abonnee, Voor u ligt de elfde aanvulling voor het Handboek Privacy. Deze aanvulling is een belangrijke actualisatie van uw handboek. De auteur-editor, Paul De Hert, ondertussen professor aan de Rechtsfaculteit van de Universiteit Leiden en de Vrije Universiteit Brussel, heeft het Hoofdstuk 2 van Titel 2 van uw handboek volledig herwerkt. In dit hoofdstuk 2 bespreekt hij op grondig de twee basiswetten met betrekking tot de verwerking van persoonsgegevens: de wet van 8 december 1992 en de wet van 11 december 1998. Een korte inhoudstafel van Hoofdstuk 2, Titel 2: 1. Opzet 2. Algemene historische schets 3. Sectoriele gegevensbeschermingwetgeving in de periode voor de WVP 4. Wettelijke initiatieven die aan de basis liggen van de WVP 5. De krachtlijnen van de WVP 6. De greep van de uitvoerende macht op de WVP 7. Chronologisch overzicht van de uitvoeringsbesluiten bij de WVP 8. De complexe timing van inwerkingtreding van de bepalingen van de WVP 9. Eveneens complex: de inwerkingtreding van de plichten van de WVP 10. De retroactieve werking van de WVP 11. De wet van 11 december 1998 tot wijziging van de wet van 8 december 1992 12. Het uitvoeringsbesluit bij de WVP De uitgever D/2003/8132/92

Uitgeverij Politeia nv • Kolenmarkt 7, 1000 Brussel • tel. 02/289.26.10 • fax 02/289.26.19 • [email protected] • www.politeia.be

Uit te halen bladzijden

In te voegen bladzijden

Bladzijde 3/4 (Titelblad) tot en met bladzijde II

Bladzijde 3/4 (Titelblad) tot en met bladzijde II

Bladzijde 39 tot en met bladzijde 44

Bladzijde 39 tot en met bladzijde 44

HANDBOEK PRIVACY PERSOONSGEGEVENS IN BELGIE

Prof. Dr. Paul De Hert, Editor

Uitgeverij Politeia nv

© POLITEIA nv, Brussel Niets uit deze uitgave mag worden verveelvoudigd en/of openbaar gemaakt door middel van druk, fotocopie, microfilm of op welke andere wijze ook, zonder voorafgaande schriftelijke toestemming van de uitgever. No part of this book may be reproduced in any form, by print, photoprint, microfilm or any other means without written permission from the publisher. D / 2003 / 8231 / 92

INHOUDSTAFEL Inleiding TITEL I. Het grondrecht privacy en het grondrecht bescherming van persoonsgegevens INLEIDING

5

HOOFDSTUK 1. Wat zijn grondrechten?

8

HOOFDSTUK 2. Het grondrecht privacy

1431

HOOFDSTUK 3. Het artikel 8 EVRM HOOFDSTUK 4. Het grondrecht bescherming persoonsgegevens

15

1867

TITEL II. De Wet van 8 december 1992 met betrekking tot de verwerking van persoonsgegevens (WVP) INLEIDING. De WVP in kort bestek

201

HOOFDSTUK 1. Het toepassingsgebied van de wet ratione materiae

21

HOOFDSTUK 2. Het toepassingsgebied van de wet ratione loci

39

1.

Opzet

39

2.

Algemene historische schets

40

3.

Sectoriele gegevensbeschermingwetgeving in de periode voor de WVP

4.

434

Wettelijke initiatieven die aan de basis liggen van de WVP

4314

5.

De krachtlijnen van de WVP (oud)

4319

6.

De greep van de uitvoerende macht op de WVP (oud)

4325

Handboek Privacy

december 2003

I

7. 8. 9.

Chronologisch overzicht van de uitvoeringsbesluiten bij de WVP (oud)

4329

De complexe timing van inwerkingtreding van de bepalingen van de WVP (oud)

4348

Eveneens complex: de inwerkingtreding van de plichten van de WVP (oud)

4353

10. De retroactieve werking van de WVP (oud)

4362

11. De wet van 11 december 1998 tot wijziging van de wet van 8 december 1992

4368

12. Het uitvoeringsbesluit bij de WVP (nieuw)

4373

HOOFDSTUK 3. Het toepassingsgebied ratione materiae. Voorwerp van de wet en uitzonderingen

44

HOOFDSTUK 4. De grondbeginselen van de wet

52

HOOFDSTUK 5. De rechten van de betrokkene

69

HOOFDSTUK 6. De bijzondere categoriee¨n van gegevens

94

HOOFDSTUK 7. De plichten van de houder van het bestand

108

HOOFDSTUK 8. Toezichtsmechanismen

133

HOOFDSTUK 9. Toezicht via de rechter, objectieve aansprakelijkheid en strafbepalingen

149

HOOFDSTUK 10. Het grensoverschrijdend gegevensverkeer

161

TITEL III. Het internationaal kader HOOFDSTUK 1. De Verenigde Naties HOOFDSTUK 2. De Organisatie voor Economische Samenwerking en Ontwikkeling HOOFDSTUK 3. Het verdrag van 1980 van de Raad van Europa HOOFDSTUK 4. De richtlijn van 24 oktober 1995 van de Europese Gemeenschappen

II

december 2003

Handboek Privacy

HOOFDSTUK 2 Overzicht en geschiedenis Belgische wetgeving gegevensbescherming Prof. Dr. Paul De Hert

0. Korte inhoud 1. 2. 3. 4. 5. 6. 7. 8. 9. 10. 11. 12.

Opzet Algemene historische schets Sectoriele gegevensbeschermingwetgeving in de periode voor de WVP Wettelijke initiatieven die aan de basis liggen van de WVP De krachtlijnen van de WVP (oud) De greep van de uitvoerende macht op de WVP (oud) Chronologisch overzicht van de uitvoeringsbesluiten bij de WVP (oud) De complexe timing van inwerkingtreding van de bepalingen van de WVP (oud) Eveneens complex: de inwerkingtreding van de plichten van de WVP (oud) De retroactieve werking van de WVP (oud) De wet van 11 december 1998 tot wijziging van de wet van 8 december 1992 Het uitvoeringsbesluit bij de WVP (nieuw)

1. Opzet In de eerste titel van dit handboek bespraken we de relatief jonge geschiedenis van privacy (cf. hoofdstuk 2 ’Het grondrecht privacy’) en zo mogelijk nog jongere geschiedenis van data protection (cf. hoofdstuk 4 ’Het grondrecht bescherming persoonsgegevens’). Bij de bespreking van dit laatste grondrecht stonden we stil bij de internationale impulsen die zouden leiden tot internationale en nationale teksten inzake gegevensbescherming. (1) Titel 3 van dit handboek gaat uitgebreid in op het internationaal kader voor de bescherming van persoonsgegevens. Zo ver is het nog niet. In Titel 2, en (1) Cf. Titel 1, Hoofdstuk 4, sub 3.1.

Handboek Privacy

december 2003

39

meer bepaald in voorliggend hoofdstuk focussen we op de voorgeschiedenis van de WVP in Belgie¨. Bescherming van persoonsgegevens, zo zal blijken, bestond reeds voor 1 maart 1995 (datum van volledige inwerkingtreding van de eerste WVP (oud)), net zoals er ook al van privacy sprake was voor het recht in de Grondwet werd erkend. (1) We bespreken alle bestaande sectoriele wetten die met gegevensbescherming in verband kunnen worden gebracht. Deze bespreking is meer dan alleen een kwestie van historische reconstructie. De meeste van deze sectoriele privacywetten bestaan nog steeds en ook komen er steeds bij. De rechtsbeoefenaar dient bij gebruik ervan nooit het verband met de WVP die als basiswet geldt uit het oog te verliezen. Omgekeerd dient hij te beseffen dat voor de praktijk het vaak niet volstaat om kennis te hebben van de WVP. Integendeel moeten de WVP en de respectievelijke sectoriele wetten vaak samen gelezen worden. (2) Zoals reeds meermaals beklemtoond werd de WVP grondig gewijzigd door de Wet van 11 december 1998. De nieuwe regeling wordt uitgebreid besproken in de overige hoofdstukken van deze titel. Weliswaar verwijzen we in die hoofdstukken tevens, waar nodig, naar de oude, oorspronkelijke regeling in de WVP, maar toch ontbreekt een systematische bespreking van de originele WVP. Om de lezer niet helemaal onvertrouwd te laten met de geschiedenis van data protection in Belgie¨ bevat dit hoofdstuk tevens een uitgebreide terugblik op de periode tussen 8 december 1992 (afkondiging van de WVP (oud) en 1 september 2001 (datum van inwerkingtreding van de WVP (nieuw).

2. Algemene historische schets 2.1 Het beroepsgeheim als voorloper De voorgeschiedenis van de bescherming van de persoonsgegevens in ons land kan ver worden doorgetrokken. Al sinds 8 juni 1867 bevat het Strafwetboek een bepaling, met name artikel 458, krachtens welke ″Geneesheren, heelkundi(1) Cf. Titel 1, Hoofdstuk 2, sub 2 (overzicht van allerlei bepalingen uit uiteenlopende wetboeken en wetten die op een of andere wijze het grondrecht op privacy beschermen). (2) DE BOT, D., Verwerking van persoonsgegevens, Reeks Recht en Praktijk, Antwerpen, Kluwer, 2001, 14.

40

december 2003

Handboek Privacy

gen, officieren van gezondheid, apothekers, vroedvrouwen en alle andere personen die uit hoofde van hun staat of beroep kennis dragen van geheimen die hun zijn toevertrouwd en deze bekendmaken buiten het geval dat zij geroepen worden om in rechte getuigenis af te leggen en buiten het geval dat de wet hen verplicht die geheimen bekend te maken″ gestraft worden ″met gevangenisstraf van acht dagen tot zes maanden en met geldboete van honderd frank tot vijfhonderd frank″. In deze bepaling treffen we drie elementen aan, die we ook terug zullen vinden in het persoonsgegevensverwerkingsrecht. Primo, sommige gegevens worden beschermd omwille van hun aard. Tegenwoordig spreken we van ″bijzondere categoriee¨n van gegevens″ of kortweg ″gevoelige gegevens″. Secundo, ″bijzondere gegevensverwerkingen″ worden apart geviseerd. Het gaat om verwerkingen die wegens het doel of de aard ervan of ook nog wegens de aard van bepaalde te verwerken gegevens bijzondere aandacht verdienen en met de nodige omzichtigheid moeten worden uitgevoerd, omdat zij een bijzonder risico op schending van de persoonlijke levenssfeer van de betrokkenen kunnen inhouden. Tertio, sommige gegevens mogen alleen verwerkt worden als daartoe een wettelijke basis bestaat. De mogelijkheden om van de regels af te wijken worden uitvoerig en zeer nauwkeurig omschreven. Toch weze het duidelijk dat het beroepsgeheim niet over alle voor het gegevensbeschermingsrecht kenmerkende eigenschappen bezit. Er is bijvoorbeeld geen recht kennis te krijgen van alle gegevens over de eigen persoon; geen recht verbetering te bekomen van alle onnauwkeurige, onvolledige of onjuiste gegevens; geen recht om uitwissing te bekomen van de gegevens die onrechtmatig zijn verkregen; geen recht van uitwissing van gegevens die niet nodig zijn voor het doel waartoe het bestand is opgericht; geen recht van uitwissing van gegevens waarvan het doel waarvoor ze geregistreerd zijn, al bereikt is; geen recht op mededeling aan derden van de verbetering of de uitwissing. 2.2 De wet van 8 december 1992 is erg laat: mogelijke verklaringen De kenmerkende eigenschappen waarvan sprake in de vorige paragraaf werden samen met andere rechten en eigenschappen pas voor het eerst op algemene wijze erkend met

Handboek Privacy

december 2003

41

de op 8 december 1992 afgekondigde gegevensbeschermingwet. Pas op 1 april 1993 traden de eerste bepalingen van deze wet in werking. We zullen onmiddellijk zien dat er voor deze datum wel wat specifieke wetgeving bestond, doch de vaststelling blijft dat de algemene wet niet te vroeg kwam daar onze samenleving reeds gedurende vijf decennia persoonsgegevens verwerkte. (1) Toch mag niet overhaast geconcludeerd worden dat de Belgische wetgever ingedommeld was. Belgie¨ kan zelfs een voorloper in gegevensbescherming genoemd worden. Reeds op 18 juli 1971 werd een eerste wetsvoorstel terzake ingediend en op 8 april 1976 volgde het eerste wetsontwerp (infra). Bovendien was het nog maar de vraag of ’toen’ een snelle wetgevende interventie wel geeïgend was. Immers, moet de wetgever niet eerst kijken naar nieuwe maatschappelijke fenomenen (zoals de informatiemaatschappij) en deze laten uitkristalliseren teneinde op een evenwichtige manier te reageren op problemen die door zelfregulering of praktijk niet kunnen worden opgelost? De wet van 8 december 1992 was alleszins voor verschillende actoren een wet gekenmerkt door een paniekreflex over de gevaren van informatica, een wet die van meet af aan verouderd was door een te negatieve opstelling ten aanzien van een fenomeen (informatica) dat in de maatschappij een steeds grotere verspreiding en draagvlak vond. Reeds vroeg leefde het besef bij de wetgever dat het verwerken van persoonsgegevens een complex fenomeen vormde. Ethisch was en is het niet direct slecht of goed; het kan slecht of goed zijn naar gelang het gebruik dat ervan wordt gemaakt. Bijgevolg is het niet direct duidelijk hoe je wetgevend moet reageren. Ga je een fenomeen dat voor de economie en de samenleving meerdere voordelen biedt verbieden? Kan een wetgever nog iets anders dan verbieden? Het antwoord is natuurlijk positief, de WVP gekenmerkt door een logica van spel en spelregels eerder dan een verbodslogica, bewijst het, maar dat antwoord was niet van meet af aan duidelijk. Alleszins vond de minister van Justitie het fenomeen van de informatica nog te ’complex’ en hij besloot daarom zijn wetgevend beleid toe te spitsen op de problema-

(1) DE HOUWER, J., ’De juridische bescherming van geautomatiseerde persoonsgegevens en informaticacriminaliteit’, in DE SCHUTTER, B. (ed), Informaticacriminaliteit, Antwerpen, Kluwer, 1988, 558.

42

december 2003

Handboek Privacy

tiek van het bespieden en afluisteren. (1) Deze houding is niet zo uitzonderlijk. Begin jaren negentig besloot de nieuwe minister van Justitie te wachten met een regeling voor het bespieden en wetgevende inspanningen toe te spitsen op het afluisteren omdat sommige bespiedingsvormen zoals beveiligingscamera’s geen onverdeeld negatief fenomeen vormden. (2) Ons inziens pleiten de twee voorgaande verklaringen de wetgever geenszins vrij van elke verantwoordelijkheid. Overduidelijk was er gebrek aan politieke wil om een wettelijke kader te cree¨ren voor het verwerken van persoonsgegevens en ook een gebrek aan inzicht in wetgevingstechniek. In onze Westerse samenleving kan immers op tweevoudige wijze omgegaan worden met machtsbeperking: men kan machtsuitoefening verbieden onder meer door verbodsbepalingen in te lassen in het Strafwetboek eń men kan machtsuitoefening kanaliseren onder meer door bestuursrechtelijke vergunningsregelingen of privaatrechtelijke spelregels (zoals bijvoorbeeld vervat in de WVP). (3) Het excuus dat men niet iets wil verbieden en daarom afziet van regulering is bijgevolg niet geldig. Men hoeft niet in alle gevallen verbiedend te reguleren en ook is een combinatie van verbiedende en kanaliserende wetgeving perfect denkbaar. 2.3 De rol van de rechtspraak Een argument dat wel kan worden aanvaard heeft betrekking op de verhouding tussen wetgever en de rechtspraak. In het recht is er zelden plaats van een lacune of een achterstand ten aanzien van nieuwe maatschappelijke fenomenen. Het recht beschikt over krachtige rechtsinstrumenten die soepel zijn en nieuwe vragen kunnen oplossen. (4) Wel is er (1) Minister van Justitie J. Gol in Memorie van Toelichting, Parl. St., Kamer, 1984-1985, 17 juli 1985, nr. 1330, nr. 1, 1. (2) Minister van Justitie Wathelet in Verslag opgesteld door de heer Erdman, Parl. St., Senaat, 1992-93, nr. 843/2, 65 en 75. (3) DE HERT, P. & GUTWIRTH, S., ’Veiligheid en grondrechten. Het belang van een evenwichtige privacypolitiek’ in E.R. Muller (red.), Veiligheid, Alphen a/d Rijn, Kluwer, 2004; DE HERT, P., DE SCHUTTER, O. & GUTWIRTH, S., ’Pour une re´glementation de la videósurveillance’, Journal des tribunaux, 21 September 1996, 569-579; DE HERT, P., ’Strafrecht en privacy. Op zoek naar een tweede adem’, Rechtshulp. Maandblad voor de sociale praktijk, 2003/10, 41-54. (4) Zie GUTWIRTH, S., Waarheidsaanspraken in recht en wetenschap. Een onderzoek naar de verhouding tussen recht en wetenschap met bijzondere illustraties uit het informaticarecht, Antwerpen-Brussel, Maklu-VUBPRESS, 1993, 847 p.

Handboek Privacy

december 2003

43

soms sprake van een ’loophole’, een gaatje in het recht. De rechtspraak heeft op dit punt een grote rol. Rechters passen het recht toe, maar omdat elk geval als het ware een nieuw geval vormt interpreteren ze het recht ook voortdurend. Aan die interpretatieruimte zijn weliswaar grenzen gesteld, – zo mag een rechter niet de rol van de wetgever overnemen – doch binnen die ruimte kunnen rechters perfect ’gaatjes’ dichten en nieuwe rechtsvragen beantwoorden. Nemen we als voorbeeld een bedrijf dat de naam van een klant verkeerd registreert. De klant (bijvoorbeeld ’P. De Hert’) stoort zich aan de wijze waarop het bedrijf zijn naam schrijft (bijvoorbeeld ’P. De Herdt’) en schrijft brief na brief aan het bedrijf om de naam te verbeteren. Het bedrijf gooit de brieven weg, want voor dergelijke ’details’ heeft het geen tijd. Het voornaamste, aldus de bedrijfsverantwoordelijke, is dat de klant onze correspondentie krijgt. De klant gaat naar de rechter en roept het civiele recht in volgens welke elke persoon die een fout begaat waarbij schade ontstaat recht heeft op vergoeding (artikel 1382 Burgerlijk Wetboek). Mogelijks geeft de burgerlijke rechter de klant gelijk. Mogelijks, schrijven we, want de klant moet vele obstakels passeren: - hij moet lang wachten (een rechtsprocedure neemt veel tijd en het is onwaarschijnlijk dat de klant aan de voorwaarden van het kortgeding beantwoordt); - er kan een probleem zijn van territoriale bevoegdheid (wat met een buitenlands bedrijf?); - de rechter moet een fout zien in de handelswijze van de bedrijfsverantwoordelijke; - de rechter moet aannemen dat een foutieve geschreven naam schade oplevert voor de klant; - een eventuele rechterlijke uitspraak moet nog uitgevoerd worden. Tenslotte moeten er meerdere rechters over gelijkaardige zaken op gelijkaardige wijze uitspraak doen. Immers, wanneer rechters elkaar tegenspreken kan moeilijk gesproken worden van een (subjectief) recht op verbetering van onjuiste gegevens. Ondenkbaar is niet dat rechters elkaar gaan tegenspreken. In het voorbeeld gaat het om een privaat bedrijf. Wat nu als mijn auto gestolen wordt en ik naar de politie ga die dit registreert in een seiningsdatabank en het loopt mis? Denken we maar aan de herkenbare casus waarbij de politie de wagen terugvindt en terugbezorgt aan de eigenaar, maar vergeet deze te ’ontseinen’. Als gevolg van deze vergetelheid (’geen tijd’, ’geen personeel’, ’te moeilijk’, ’dat moet Brussel

431

december 2003

Handboek Privacy

doen’), wordt de rechtmatige eigenaar keer op keer tegengehouden in Belgie¨ eń in de buurlanden omdat men vermoedt dat de wagen nog steeds gestolen is. Ik (de eigenaar) schrijf brief na brief maar mijn wagen blijft geseind. Omdat de politie een overheidsdienst is, ga ik uiteindelijk naar de bestuursrechter (bijvoorbeeld de Raad van State), maar deze laat het belang van overheid zwaarder wegen dan mijn belang. Het voorgaande toont aan dat het wachten door de wetgever op rechtspraak geen zaligmakende oplossing is. In een land waar niet echt sprake is van een cultuur van procederen voor de rechter, kan het wachten op rechtspraak lang duren en is er gevaar voor rechtsonzekerheid. Bovendien hebben we in de eerste titel beschreven dat er meerdere problemen zijn met privacybescherming. Deze is helemaal niet zo vanzelfsprekend en bij sommigen leven er een flink aantal weerstanden tegen privacyclaims. (1) In een heleboel conflicten waarbij privacy een component vormt, gaat het meestal om andere hoofdvragen (’kan een werknemer ontslaan worden?’, ’heeft een crimineel het gedaan?’) waarbij de privacyvragen worden veronachtzaamd. (2) In andere gevallen is het zonder meer duidelijk dat rechters niet in staat zijn om de vaak subtiele inzichten van data protection in een conflict te onderkennen. (3) We zouden daarom kunnen stellen dat in het bijzonder bij privacyvraagstukken een gepast en tijdig optreden van de wetgever is gewenst. 2.4 De rol van de rechtspraak in de praktijk Wie in de bijlagen bij het handboek het tweede overzicht ’Jurisprudentie’ er op na slaagt, zal merken dat er in de periode voor de WVP niet zo erg veel relevante rechtspraak aan te wijzen valt in Belgie¨. Slechts enkele arresten uit de tweede helft van de jaren tachtig en een iets groter aantal voor de (1) Cf. Titel 1, Hoofdstuk 1, sub 3 (probleem van de horizontale werking) en Hoofdstuk 2, sub 4 (weerstanden tegen privacy). (2) DE HERT, P., ’Kenbaarheid van bedrijfscontrole op e-mail en internetgebruik. Factoren die spelen bij de chaos rond dit leerstuk, Privacy & Informatie, 2002, no. 1, 26-30. (3) Zeer kritisch over de rechtspraak van het Hof van Cassatie: DE HERT, P., ‘Een betere bescherming van de privacy door de nieuwe wet verwerking persoonsgegevens? Analyse van de nieuwigheden en tekortkomingen’, in CBR Jaarboek 20002001, Centrum voor Beroepsvervolmaking in de Rechten, Antwerpen-Apeldoorn, Maklu, 2001, (363-409), 400-408.

Handboek Privacy

december 2003

432

eerste helft van de jaren negentig. De Luikse rechtbank van eerste aanleg (1) besliste in 1987 dat ″de fundamentele mensenrechten en in het bijzonder het recht op bescherming van de privacy″ werden aangetast door de oprichting en terbeschikkingstelling van een databank van geheime zwarte lijsten van slechte debiteurs ″zonder enige rekening te houden met de verdere ontwikkeling van het krediet en zonder verwijdering na verloop van tijd of na afbetaling van de lening of na een gerechtelijke beschikking die vaststelt dat de schuldvordering niet bestaat of dat geen fout in hoofde van de schuldenaar kan weerhouden worden″. Opmerkelijk is dat de rechter – zonder verwijzing naar enige precieze rechtsbron, buiten de aanhaling van het E.V.R.M. – er door toepassing van de aquiliaanse aansprakelijkheid, toch toe komt precieze criteria voorop te stellen, waaraan het houden van een databank moet beantwoorden. (2) Zo achtte hij in het bijzonder het recht op inzage en verbetering essentieel. Op 5 juni 1991 werd deze uitspraak in beroep bevestigd op basis van een parallel lopende redenering. (3) In een soortgelijke zaak veroordeelde de Vrederechter te Namen een kredietverzekeraar die aan een bank foutieve gegevens had verstrekt over de eiser die daardoor een kredietaanvraag geweigerd zag. (4) Ten deze haalde de rechter zowel artikel 8 E.V.R.M. aan, als het (toenmaals nog niet door Belgie¨ geratificeerde) Verdrag tot bescherming van personen ten opzichte van de geautomatiseerde verwerking van persoonsgegevens en het toen actueel zijnde Belgische wetsont-

(1) Rb. Luik, 11 maart 1987, Dr. Inform., 1988/1, 45-46, noot POULLET, Y.; Computerr., 1988/2, 94-97; D.C.C.R., 1988-89, 65-66, noot POULLET, Y. Zie ook BUYLE, J., LANOYE, L. & WILLEMS, A., ’L’informatique. Chronique de jurisprudence (19761986)’, J.T., 1988, 93. (2) Deze worden in het vonnis gedistilleerd uit de in casu niet toepasselijke wetgeving op de registratie van afbetalingsovereenkomsten waarin de ″verbruikerskredietcentrale″ van de Nationale Bank wordt genormeerd (Cf. K.B. van 15 april 1985 betreffende de registratie van afbetalingscontracten, B.S., 20 april 1985). Cf. de noten van Yves Poullet bij dit vonnis (vorige voetnoot. (3) Luik, 5 juni 1991, J.T., 1992, 36-38, op p. 38: ″ (...) le syste`me (...) est constitutif de faute geńe´ratrice de responsabilite´ dans la mesure ou` il mećonnaıˆt les droits essentiels de la personne priveé et porte gravement atteinte a` la protection du consommateur de cre´dit″. (4) Vred. Namen, 13 januari 1987, Computerr., 1988/2, 91-93, noot POULLET, Y. en Dr. Inform., 1987/3, 181-183, noot POULLET, Y. Zie ook BUYLE, J., LANOYE, L. & WILLEMS, A., l.c., 114.

433

december 2003

Handboek Privacy

werp ″voor databanken″. (1) Uit deze regels ″die van kracht zijn of nog van kracht moeten worden″ distilleerde de Vrederechter gedragsnormen die door alle verantwoordelijken voor de verwerking (’houders van registraties’) moeten nageleefd worden: de gegevens moeten juist en bijgewerkt zijn en de betrokkene heeft een inzage- en verbeteringsrecht. Deze regels werden in casu niet nageleefd. De genoemde uitspraken illustreren duidelijk dat niet alle rechters van oordeel zijn dat grondrechten alleen maar kunnen ingeroepen worden tegen de overheid. In beide zaken wordt de werking van het privacygrondrecht tegen particulieren en bedrijven aanvaard. (2) De Naamse zaak toont aan dat de rechter zich laat leiden door reeds bestaande internationale regels en ’komend’ Belgisch recht. Op die wijze is het natuurlijk onmogelijk om erachter te komen hoe de rechtspraak het verwerken van persoonsgegevens zou ’reguleren’ zonder wetgevende tussenkomst. Peter Blok, een Nederlands auteur, argumenteert dat in Nederland een algemene privacywet historisch gesproken overbodig is, omdat de meeste data protection beginselen reeds kon worden afgeleid uit de Nederlandse rechtspraak. (3) De argumentatie overtuigt niet helemaal. Data protection is een verzameling voor een hele reeks fijnmazige, uiteenlopende beginselen, die we in de door hem geciteerde rechtspraak niet terugvinden. Voor Belgie¨ gaat het argument nauwelijks op, gezien het ontbreken van genoeg rechtspraak. Als bijvoorbeeld uit de Naamse zaak al iets kan worden afgeleid, dan is het dat de rechter van oordeel was dat de wetgever dringend met een wetgevend initiatief diende te komen.

3. Sectoriele gegevensbeschermingwetgeving in de periode voor 1992 3.1 Specifiek op data protection toegesneden Het Belgisch kader inzake de bescherming van de persoonsgegevens is al bij al van zeer recente oorsprong. De belangrijkste verwezenlijkingen dateren alle van de jaren negentig, (1) De vrederechter bedoelt het Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van geautomatiseerde persoonsregistraties (17 juli 1985), Gedr. St., 1984-85, 1330/1, 13 p. (2) Meer uitvoerig: DE HERT, P. & GUTWIRTH, S., ’Controletechnieken op de werkplaats (deel 2): een herbeschouwing in het licht van het ’persoonsgegevensbeschermingsrecht’’, Orie¨ntatie, mei 1993/5, 125-127. (3) BLOK, P., Het recht op privacy, Meppel, Boom Juridische Uitgevers, 2002, 142-144.

Handboek Privacy

december 2003

434

terwijl de belangrijkste fenomenen die met de problematiek in verband worden gebracht (bespiedingsapparatuur en databanken) reeds sedert de zestiger jaren voorhanden zijn. Die traagheid, die geen andere verklaring toelaat dan deze van de veronachtzaming, blijkt ook uit de late totstandkoming van de wet van 8 december 1992 op de bescherming van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens. Voor die datum werden wel een aantal bijzondere wetten voor welbepaalde categoriee¨n van gegevens gestemd (soms met strafbepalingen). Zij blijven beperkt tot een gegevensbank of een bepaalde sector. We zetten ze even op een rij: (1) - het koninklijk besluit nr. 141 van 30 december 1982 tot oprichting van een databank betreffende de personeelsleden van de overheidssector; (2) - de wet van 8 augustus 1983 tot regeling van een rijksregister van de natuurlijke personen; (3) - de wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten; (4) - de wet van 15 januari 1990 tot oprichting en regeling van een

(1) Zie ook: BAETEMAN, G. en VAN VLASSELAER, M.-J., De bescherming van het prive´-leven t.a.v. de persoonsverwerking, Antwerpen, Kluwer, 1993, 81-90; DE BOT, D., o.c., 8-12. (2) K.B. nr. 141 van 30 december 1982 tot oprichting van een databank betreffende de personeelsleden van de overheidssector, B.S., 13 januari 1983, 471-481. Het betreft een Koninklijk besluit met kracht van wet. (3) Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen, B.S., 21 april 1984, 5247-5249. Het betreft de eerste gegevensbeschermingswet uit de Belgische geschiedenis. In de Rijksregisterwet treffen we voor het eerst het toegangs- en het correctierecht aan. Ook werd een ’Raadgevende commissie voor de bescherming van de persoonlijke levenssfeer’ opgericht, belast met het toezicht op de naleving van de bepalingen van de wet. Zie o.m. in BARTHELEMY, J., ’De Wet van 8 augustus 1983 tot regeling van een Rijksregister van de natuurlijke personen’, De Gem., 1987, deel 1: 63-66, deel 2: 123-128, deel 3: 185-190, deel 4: 321-326 en deel 5: 446-452; CLAES, J., ’Situering van het rijksregister: in het kader van een geı¨ntegreerd gemeentelijk beheer’, De Gem., 1984, 211-215; TEERLINCK, P., Rijksregister en privacy, Gent, Liga voor de mensenrechten, 1985, 44 p. en X., ″Het Rijksregister″, Tegenspraak, 1984/6, 28-30. (4) Wet van 19 juli 1991 betreffende de bevolkingsregisters en de identiteitskaarten en tot wijziging van de Wet 8 augustus 1983 tot regeling van een rijksregister van de natuurlijke personen, B.S., 3 september 1991. Zie ook de vier koninklijke besluiten tot uitvoering van deze wet, B.S., 15 augustus 1992. Men leze: DE HERT, P., ‘De actualiteit van de wet bevolkingsregisters in het licht van de wet persoonsgegevens. Syntheseoefening naar aanleiding van vragen over de mededeling van persoonslijsten aan scholen, jeugd- en andere verenigingen’, Tijdschrift Gemeenterecht, 2001/2, 114-141.

435

december 2003

Handboek Privacy

kruispuntbank van de sociale zekerheid; (1) - de wet van 12 juni 1991 op het verbruikskrediet (2) en de wet op het Hypothecair krediet; (3) - het koninklijk besluit van 16 december 1987 houdende organisatie en werking van een centrale gegevensbank bij het Fonds voor Arbeidsongevallen; (4) - de wetsbepalingen over het rijbewijs met punten. (5) Voor een bespreking verwijzen we naar de aparte titels van dit handboek. Het overzicht toont dat het meestal specifieke, tot het administratief recht behorende reglementeringen betreft die te maken hebben met de automatische verwerking van persoonsgegevens. In een minderheid van de gevallen ligt een regeling voor m.b.t. private databanken. Herinneren we ook aan (1) Wet van 15 januari 1990 houdende de oprichting en organisatie van een Kruispuntbank van de sociale zekerheid, B.S., 22 februari 1990, 3288-3307 (errata: B.S., 2 juni 1990, 11.461 en B.S., 2 oktober 1990, 18.662; gewijzigd door de Wet van 6 augustus 1990, B.S., 2 oktober 1990, 18.660-18.662. De Kruispuntbank is een instelling van openbaar nut belast met de organisatie en coo¨rdinatie van de sociale gegevens dewelke in handen zijn van de instellingen van sociale zekerheid. Ze vormt een goed geı¨nformeerde tussenschakel die op basis van een repertorium in staat is vast te stellen welke gegevens over een persoon in het netwerk beschikbaar zijn en waar ze worden bewaard. Zie: ROBBEN, F., ’Oprichting en organisatie van een kruispuntbank van de sociale zekerheid’, D.C.C.R., 1989-90, 198-216; ROBBEN, F., ’De werking van de kruispuntbank van de sociale zekerheid’, De Gem., 1989, 545553 en in De kruispuntbank van de sociale zekerheid, B.T.S.Z., 1989 (speciaal nummer: Acta van de Studiedag van het Collegium Juris Socialis), 1989, 23-48; ROBBEN, F., ’Het wetsontwerp tot oprichting en organisatie van een kruispuntbank van de sociale zekerheid’, Computerr., 1990/1, 8-15 en ROBBEN, F. & VIAENE, J., ’Het voorontwerp van wet tot oprichting van een kruispuntbank voor de sociale zekerheid’, Or., 1989, 157-164 (2) Wet van 12 juni 1991 op het consumentenkrediet, B.S., 9 juli 1991, 15.203-15.256 (i.h.b. art. 68-78). DAMBRE, M., Consumentenkrediet, Gent, Mys & Breesch, 1993, 94-100; BAETEMAN, G. en VAN VLASSELAER, M.-J., o.c., 87-90; LETTANY, P., Het consumentenkrediet, de Wet van 12 juni 1991, Antwerpen, Kluwer, 1993, 351-393. Eveneens: DE MEUTER, S., VAN VLASSELAER, M.-J. en VEYS, M., ’De verhouding tussen de Wet tot bescherming van de persoonlijke levenssfeer t.o.v. de verwerking van persoonsgegevens en de Wet op het consumentenkrediet’, in X., Liber amicorum Paul De Vroede, Diegem, Kluwer, 1994, 488-495. (3) Wet 4 augustus 1992 op het Hypothecair krediet, B.S., 19 augustus 1992. (4) B.S., 25 december 1987 gewijzigd bij het K.B. van 17 december 1992 tot regeling van het gebruik van de informatiegegevens van het Rijksregister van de natuurlijke personen in het kader van de arbeidsongevallen van werknemers, B.S., 22 januari 1993. (5) Cf. de regeling van het centraal bestand van het ″rijbewijs met punten″-systeem (artikel 5-6 Wet van 18 juli 1990 tot wijziging van de wet betreffende de politie van het wegverkeer, gecoo¨rdineerd op 16 maart 1968 en van de wet van 21 juni 1985 betreffende de technische eisen waaraan elk voertuig voor vervoer te land, de onderdelen ervan, evenals het veiligheidstoebehoren moeten voldoen, B.S., 8 november 1990, 21.185-21.188).

Handboek Privacy

december 2003

436

het aan bepaalde professionelen opgelegde beroepsgeheim (art. 458 Sw.) dat strekt tot de bescherming van de geheime informatie die hen wordt toevertrouwd. (1) Zo is het vennootschappen voor wissel- en depositomakelarij verboden informatie met betrekking tot hun clie¨nten aan derden bekend te maken. (2) 3.2 Incidenteel op data protection toegesneden Naast deze specifieke wetten inzake gegevensbescherming uit de periode voor de wet van 8 december 1992 en naast de reeds besproken grondwettelijke en strafrechtelijke bepalingen die privacyrelevant zijn, (3) werd de persoonlijke levenssfeer in de periode voor 1992 ook nog via een beroep op regels uit andere wettakken beschermd. (4) Wat de regels van het burgerlijk recht betreft kan gedacht worden aan art. 215 en 218 B.W. van het Burgerlijk Wetboek i.v.m. de echtelijke woning (5) en de reeds besproken leer van de onrechtmatige daad (art. 1382 B.W.). Inzake het gerechtelijk recht is er artikel 1270 Ger. W. houdende de het verbod tot bekendmaking van de debatten in echtscheidingszaken (6) en het fiscaal recht kent artikel 244 W.I.B. houdende het beroepsgeheim van de personen betrokken bij de toepassing van de belastingswetten. Het auteursrecht kent dan weer een belangrijke regeling van het portretrecht en het verbod portretten te verspreiden zonder toelating van de geportretteerde. (7) Verder zijn er specifieke regels voor vennootschappen voor wissel- en depositomakelarij. (8) Tenslotte zijn er ook nog belangrijke bepalingen inzake privacy aan te wijzen in de wet betreffende de radiocommunicatie, de wet (1) Zie: GUTWIRTH, S., ’Beroepsgeheim en informaticacriminaliteit’, in Informaticacriminaliteit, DE SCHUTTER, B. (Ed.), Kluwer, Antwerpen, 1988, 205-225. (2) Artikel 13 van het K.B. van 25 november 1991 over de wissel- en depositomakelarij, B.S., 5 december 1991, Erratum B.S., 7 januari 1992. (3) Cf. Titel 1, Hoofdstuk 2, sub 2 (overzicht van allerlei bepalingen uit uiteenlopende wetboeken en wetten die op een of andere wijze het grondrecht op privacy beschermen). (4) Uitvoeriger: GUTWIRTH, S., o.c., 627 ev. (5) Eveneens: artt. 657 tot 680 B.W. (6) Ook de artikelen 878, 882, 931 Ger. W. (7) Cf. VOORHOOF, D., ’Het recht op afbeelding en de toestemming van de geportretteerde’, R.W., 1986-87, 2386-2389; CORBET, J., ’Middelen uit het auteursrecht’ in Privacy en rechten van de mens, Leuven, ACCO, 1974, 123-134 (8) Verbod informatie met betrekking tot hun clie¨nten aan derden bekend te maken. Artikel 13 van het K.B. van 25 november 1991 over de wissel- en depositomakelarij, B.S., 5 december 1991, Erratum B.S., 7 januari 1992.

437

december 2003

Handboek Privacy

betreffende de hervorming van sommige economische overheidsbedrijven, de wet tot regeling van het beroep van prive´detectives, de wet op de bewakingsondernemingen, de wet op het politieambt, (1) het strafprocesrecht (2) en het administratief recht. (3) Tenslotte zijn er de vele arbeidsrechtelijke instrumenten van het arbeidsrecht teneinde de privacy van de werknemer te beschermen. (4) 3.3 Harmonisering van de sectoriele wetgeving en nieuwe sectoriele wetgeving Toen de wetgever op 8 december 1992 de algemene kaderwet verwerking persoonsgegevens afkondigde werd nauwelijks aandacht besteed aan de wijze waarop de relatie tussen deze wet en de genoemde sectoriele wetten moest begrepen worden. Pas met de herziening van de WVP in 1998 werd aandacht besteed aan deze juridisch erg complexe vraag: de artikelen 41 tot en met 51 van de WVP (nieuw) passen een aantal sectoriele wetten aan, zodat een nieuw eengemaakt begrippenkader wordt bereikt en gebeurlijke tegenspraak

(1) Cf. art. 39 wet politieambt (oud). (2) Artt. 156, 322, 615 tot 618 Sv. (3) In het Koninklijk Besluit van 22 november 1991 tot bepaling van de algemene principes van het administratief en geldelijk statuut van de rijksambtenaren die van toepassing zijn op het personeel van de Executieven en van de publiekrechtelijke rechtspersonen die ervan afhangen (B.S., 24 december 1991) dat de algemene principes van het administratief statuut van rijksambtenaren komen twee door het EVRM geı¨nspireerde privacybepalingen voor. Artikel 3, lid 2 van het besluit verbiedt de ambtenaren ″verboden feiten bekend te maken die betrekking hebben op .... de rechten en vrijheden van de burger en in het bijzonder het recht op eerbied voor het prive´-leven ..’. Artikel 7 lid 2 legt hen op erover te waken ″geen enkel gegeven van persoonlijke aard dat werd ingezameld bij de gebruikers, slechts bekend te maken aan de personen, bevoegd om ervan kennis te nemen″. (4) Vb. artikel 36 Arbeidsovereenkomstenwet krachtens hetwelk bedingen nietig zijn waarbij bepaald wordt dat het huwelijk, het moederschap of het bereiken van de wettelijke of conventionele pensioengerechtigde leeftijd een einde maken aan de overeenkomst; art. 11 van de in de Nationale Arbeidsraad afgesloten C.A.O. nr. 38 van 6 december 1983 (m.b.t. de persoonlijke levenssfeer van de sollicitant bij de selectieprocedure). Men leze: OVERSTEYNS, B., ’Recht op informatie van werkgever, recht op privacy van sollicitant’, Or., 1988, 178-186; RAUWS, W. en SCHYVENS, H., ’De bescherming van werknemersgrondrechten binnen de individuele arbeidsverhouding’, in De toepasselijkheid van de grondrechten in private verhoudingen, RIMANQUE, K., Antwerpen, Kluwer, 1982, 218-222; DE HERT, P., ’Oude en nieuwe wetgeving op controletechnieken in bedrijven’, Sociaalrechtelijke Kronieken-Chroniques de Droit Social, 1995, nr. 3, 105-118; VAN OUTRIVE, L., DECORTE T. en VAN LAETHEM, W. (red), Private bewaking en opsporing en de grondrechten van de mens, Brussel, Politeia vzw., 1995, 250 p.

Handboek Privacy

december 2003

438

wordt vermeden. (1) Evenwel zijn niet alle wetten betrokken geweest bij deze harmonisatie. Bovendien gaat de wetgever verder in het cree¨ren van nieuwe wetgeving (zonder daarbij altijd oog te hebben voor de noodzakelijke afstemming). Zo kwamen in de recente jaren, waarin de WVP reeds in voege was, onder meer volgende wetgevende producten tot stand: - de collectieve arbeidsovereenkomst nr. 68 van 16 juni 1998 gesloten in de Nationale Arbeidsraad, betreffende de bescherming van de persoonlijke levenssfeer van de werknemers ten opzichte van de camerabewaking op de arbeidsplaats; (2) - de collectieve arbeidsovereenkomst nr. 81 tot bescherming van de persoonlijke levenssfeer van de werknemers ten opzichte van de controle op de elektronische on- linecommunicatiegegevens, goedgekeurd door de Nationale Arbeidsraad op 26 april 2002; (3) - de invoeging van artikel 44/1 tot en met 44/11 in de wet op het politieambt; (4) - de wet van 22 maart 1999 betreffende de identificatieprocedure via DNA-analyse in strafzaken; (5) - de wet van 29 mei 2000 houdende oprichting van een centraal bestand van berichten van beslag, delegatie, overdracht en collectieve schuldenregeling, alsook tot wijziging van sommige bepalingen van het Gerechtelijke Wetboek; (6) - de wet patie¨ntenrechten; - de wet van 30 november 1998 houdende regeling van de inlichtingen- en veiligheidsdienst; (7)

(1) Cf. hoofdstuk IX van de WVP (nieuw). Een overzicht geeft: DE MEUTER, S., VAN VLASSELAER, M.-J. en VEYS, M., l.c., 491-494; DE BOT, D., o.c., 15-20. De geactualiseerde sectoriele wetgeving wordt besproken in de overige titels van handboek. (2) Koninklijk besluit van 20 september 1998 waarbij algemeen verbindend wordt verklaard de collectieve arbeidsovereenkomst nr. 68 van 16 juni 1998 gesloten in de Nationale Arbeidsraad, betreffende de bescherming van de persoonlijke levenssfeer van de werknemers ten opzichte van de camerabewaking op de arbeidsplaats, B.S., 2 oktober 1998. (3) De overeenkomst is algemeen bindend verklaard door een Koninklijk Besluit van 12 juni 2002, B.S., 29 juni 2002. (4) Deze artikelen die het informatiebeheer van de politiediensten regelen werden in de Wet op het politieambt ingevoerd door artikel 191 Wet 7 december 1998 tot organisatie van een geı¨ntegreerde politiedienst, gestructureerd op twee niveaus, B.S., 3 januari 1999. Het vroegere artikel 39 van de wet op het politieambt werd afgeschaft door artikel 189 van deze wet. (5) B.S., 20 mei 1999. Zie DE SMET, B., Vergelijkend DNA-onderzoek in strafzaken, Brussel, Larcier, 2003, 50 p. (6) B.S., 9 augustus 2000. (7) B.S., 18 december 1998.

439

december 2003

Handboek Privacy

- de verschillende wetten op de openbaarheid van bestuur, waaronder de wet van 11 april 1994. (1) 3.4 Verhouding sectoriele wetten en WVP: de idee van subsidiariteit De vraag hoe deze sectoriele wetten zich verhouden tot de WVP is niet evident, niet in het minst omdat de wetgever maar bijkomende wetten blijft maken en aan de vraag zelden of nooit aandacht besteedt. In een algemene positionering t.o.v. de sectoriele wetten moet de WVP opgevat worden als een ’basiswet’, geldend voor alle verwerkingen, en als minimaal beschermingsniveau. (2) Zo verklaarde de Minister van Justitie bij de voorbereiding van de wet van 8 december 1992 dat wetten zoals deze op de Kruispuntbank en het Rijksregister niet van de WVP mogen afwijken. (3) Deze visie is zonder meer als juist te omschrijven in de zin dat geen voor de (geficheerde) burger ongunstigere uitzonderingen kunnen worden gecreeërd in specifieke wetten, tenzij de WVP dit zelf mogelijk maakt. (4) De Belgische wetgever heeft op dit punt weinig marge, aangezien de bepalingen van de Europese privacyrichtlijn 95/46/EG van 24 oktober 1995 aan de basis liggen van de bepalingen van de WVP en er door een wet geen afbreuk kan worden gedaan aan de bepalingen van een richtlijn. Het beginsel lex specialis derogat generali geldt dus niet onver-

(1) Wet van 11 april 1994 betreffende de openbaarheid van bestuur, B.S., 30 juni 1994, 17662 – 17665 zoals gewijzigd door de wet van 25 juni 1998 tot wijziging van de wet van 11 april 1994 betreffende de openbaarheid van bestuur en de wet van 12 november 1997 betreffende de openbaarheid van bestuur in de provincies en gemeenten, B.S., 4 september 1998, 28.549 en door de Wet van 26 juni 2000 tot wijziging van de wet van 11 april 1994 betreffende de openbaarheid van bestuur en de wet van 12 november 1997 betreffende de openbaarheid van bestuur in de provincies en gemeenten, B.S., 15 juli 2000, 24788 - 24789, erratum, B.S., 23 augustus 2000, 28.293. Voor een overzicht: DE HERT, P., ‘De grondrechten en wetten m.b.t. openbaarheid van bestuursdocumenten en bescherming van de persoonlijke levenssfeer. Analyse van de onderlinge relatie en commentaar bij het arrest Dewinter van de Raad van State’, Publiekrechtelijke Kronieken-Chronique de Droit Public, 2001/4, 374-425 (2) Verslag namens de Commissie voor Justitie, Gedr. St., Kamer, B.Z., 1991-1992, 413/ 12, 6 en 15. (3) Verslag namens de Commissie voor Justitie, Gedr. St., Kamer, B.Z., 1991-1992, 413/ 12, 6 (4) Zie voor een kort overzicht van de absolute en relatieve uitzonderingen van de WVP: hoofdstuk 3 van deze titel.

Handboek Privacy

december 2003

4310

kort. (1) Het is niet omdat voor een specifieke (sectoriele) materie een aparte wet bestaat, dat deze primeert op de WVP. De WVP is weliswaar een kaderwet is, maar bovenal ook een basiswet met minimumnormen voor de sectorale wetgeving. (2) Het beginsel lex specialis derogat generali geldt alleen in die gevallen waarin de lex specialis een afwijkende regeling heeft die meer privacybeschermend werkt dan die van de WVP. In de literatuur wordt de positionering waarvan sprake in de vorige paragraaf gekwalificeerd onder de idee van subsidiariteit: de WVP is subsidiair t.a.v. de sectoriele wetten. (3) Enerzijds impliceert subsidiariteit dat de WVP soms als vangnet geldt, m.n. voor die aangelegenheden welke niet onder het toepassingsgebied van de sectoriele wetten vallen, maar wel onder dat van de WVP. Een goede illustratie vormt de regeling van de zgn. interne bestanden in de kredietsector. Deze zijn uitgesloten van het toepassingsgebied van de wet op het consumentenkrediet, maar vallen echter wel onder het toepassingsgebied van de WVP; de WVP is dan ook subsidiair van toepassing. (4) Een tweede illustratie geeft de regelgeving m.b.t. de bevolkingsregisters. In geval van misbruiken op deze wetgeving die geen strafbepalingen telt kan toepassing worden gemaakt van de strafbepalingen uit de WVP, (5) en bij interpretatieproblemen moet worden teruggevallen worden op de algemene beginselen van de WVP

(1) VAN RAEMDONCK, K., ’De verwerking van persoonsgegevens in de banksector’, Rechtskundig Weekblad, 1996-1997, 937; DE BOT, D., o.c., 13. Anders: DE MEUTER, S., VAN VLASSELAER, M.-J. en VEYS, M., o.c., 494. (2) Over het verschil tussen de termen basiswet en kaderwet: DE BOT, D., o.c., 10. (3) DE MEUTER, S., VAN VLASSELAER, M.-J. en VEYS, M., l.c., 488-491. (4) VAN RAEMDONCK, K., l.c., 937. (5) De Commissie voor de bescherming van de persoonlijke levenssfeer was van oordeel dat een miskenning van de in deze wetgeving omschreven finaliteiten door de administratieve overheid -miskenning die in deze bijzondere wetgeving strafbaar wordt gesteld- tevens een miskenning kan uitmaken van het in de WVP besloten finaliteitbeginsel en overeenkomstig kan worden gesanctioneerd. Cf. Commissie voor de bescherming van de persoonlijke levenssfeer, advies nr. 01/95 van 9 februari 1995 betreffende het verstrekken van adressenlijsten door het College van Burgemeester en Schepenen van een stad van Belgie¨, verkrijgbaar op de site www.privacy.fgov.be. Zie ook Verzameling van de adviezen, beslissingen en aanbevelingen 1994-1995, Brussel, Eigen uitgave, 1997, 166-170. Meer bepaald werd hiermede een gemeente geviseerd wier College een aanvraag gunstig beoordeelde hoewel in de aanvraag enkel werd gesteld dat het ″wettelijk is toegelaten deze lijsten aan de Vereniging zonder winstgevend doel voor Gezondheidszorg te verschaffen″, wat in het licht van de wetgeving m.b.t. het register onvoldoende was. Zie over deze problematiek: DE HERT, P., ‘De actualiteit van de Wet Bevolkingsregisters in het licht van de Wet Persoonsgegevens’, T.Gemeenterecht, 2001, nr. 2, 115-142.

4311

december 2003

Handboek Privacy

zoals deze inzake proportionaliteit en finaliteit. Anderzijds, verklaart de kwalificatie van subsidiariteit dat sectoriele wetten strengere regels (in het voordeel van de geficheerde burger) kunnen opleggen dan de WVP. Zo legt art. 70, § 1, 3° van de wet op het consumentenkrediet een verplichte bronvermelding op aan de kredietinstellingen, wat niet volgt uit de WVP. (1) Hetzelfde geldt voor de gunstigere regeling o.a. inzake de termijnen van inzake in de regelgeving op de bevolkingsregisters. (2) 3.5 Afstemmingsproblemen blijven evenwel bestaan: wat bij conflicten? We merkten reeds op dat de artikelen 41 tot en met 51 van de WVP (nieuw) een aantal sectoriele wetten aanpassen met het oog op eenvormigheid. Niet alle sectoriele wetten werden evenwel aangepast en ook niet alle aanpassingen zijn zorgvuldig, zodat antinomiee¨n tussen de blijven bestaan. Zo strekt artikel 45, c) WVP strekt tot aanvulling van artikel 69, § 4, eerste alinea van de wet van 12 juni 1991 met betrekking op het consumentenkrediet, maar vermeldt foutief het nummer 8° terwijl het over nummer 9° gaat. Ook wijzigt artikel 46 WVP een gedeelte van artikel 70 van de wet op het consumentenkrediet, doch vergeet de terminologie en te termijnregeling te actualiseren in de rest van de bepaling. (3) In het bijzonder wordt de aandacht getrokken door de verschillende termijnregeling: in de wet op het consumentenkrediet heeft de verantwoordelijke zestig dagen de tijd om aan de betrokkene inlichtingen mee te delen, wanneer deze laatste zijn recht op toegang uitoefent. (art. 70, § 4 , tweede lid, W. Cons.), terwijl die termijn in de WVP slechts vijfenveertig dagen bedraagt (art. 10, § 1, tweede lid, WVP). (4) Welke wet moet in bij dergelijke conflicten de voorrang krijgen? Verschillende juridische regels spelen bij de beantwoording van deze vraag een rol:

(1) VAN RAEMDONCK, K., l.c., 937. (2) DE HERT, P., ‘De actualiteit van de Wet Bevolkingsregisters in het licht van de Wet Persoonsgegevens’, l.c., 115-142. (3) DE HERT, P., ‘Een betere bescherming van de privacy door de nieuwe wet verwerking persoonsgegevens? Analyse van de nieuwigheden en tekortkomingen’, l.c., 390-400. (4) DE MEUTER, S., VAN VLASSELAER, M.-J. en VEYS, M., o.c., 494; VAN RAEMDONCK, K., l.c., 937.

Handboek Privacy

december 2003

4312

- Allereerst is er de basisregel van de normenhie¨rarchie: een hogere norm heeft voorrang op een lagere norm. (1) Zo is het onmogelijk om via een collectieve arbeidsovereenkomst van een wet af te wijken. Op die grond kan betwijfeld worden of alle bepalingen van de C.A.O. nr. 81 inzake internetgebruik de toets van het proportionaliteitsbeginsel uit de WVP halen. (2) - Een tweede regel is dat de WVP geacht wordt te primeren op alle reeds bestaande sectoriele wetten, d.w.z. deze voor 1992 (WVP (oud)) eń 1998 (WVP (nieuw)), tenzij ze privacygunstiger zijn. Dit volgt uit de verklaringen van de wetgever, zijn wil om de WVP als basiswet met minimumnormen te concipie¨ren en uit de toepassing van de regel dat bij normen van dezelfde rang heeft de meest recente norm de voorrang (lex posterior derogat priori). - Deze laatste regel geeft ook een antwoord op de vraag naar de relatie tussen de WVP en de sectoriele wetten tot stand gekomen na 1998. In concreto wil dit zeggen dat alle sectoriele wetten na 1998 voorrang hebben op de WVP. Mogelijks is hiervan een verminderende privacybescherming het gevolg. Inderdaad, wanneer de wetgever oordeelt dat, met het oog op een realiseerbare bescherming van de persoonlijke levenssfeer in een bepaalde sector, de kaderwet (WVP) te streng is, belet niets hem dit oordeel om te zetten in sectorale wetgeving die minder beschermend is dan de kaderwet, en waarbij hij uitdrukkelijk derogeert van die algemene kaderwet (WVP). Het beginsel lex posterior derogat priori in combinatie met het beginsel lex specialis derogat generali zal in dat geval gebieden toepassing te maken van de, weliswaar minder beschermende, sectorale wetgeving. (3) Toepassing van de derde regel wordt evenwel begrensd door de eerste regel: de wetgever kan bij het cree¨ren van privacyongunstigere regels nooit afbreuk doen aan het systeem van de grondrechten en de bepalingen van de Europese privacyrichtlijnen.

(1) DE BOT, D., o.c., 11. (2) DE HERT, P., ’C.A.O. nr. 81 en advies nr. 10/2000 over controle van internet en e-mail’, Rechtskundig weekblad, 2002-2003, vol. 66/33 (19 april 2003), 1281-1294 (3) VAN RAEMDONCK, K., l.c., 938.

4313

december 2003

Handboek Privacy

4. Wettelijke initiatieven die aan de basis liggen van de WVP 4.1 Eerste initiatieven Het Belgisch kader inzake de bescherming van de persoonsgegevens is al bij al van zeer recente oorsprong. De belangrijkste verwezenlijkingen dateren alle van de jaren negentig, terwijl de belangrijkste fenomenen die met de problematiek in verband worden gebracht (bespiedingsapparatuur en databanken) reeds sedert de zestiger jaren voorhanden zijn. In lijn met parlementsleden in de buurlanden, hebben enkele parlementsleden reeds in die jaren initiatieven genomen onder meer voor afluisteren bespiedingspraktijken, (1) maar de verwezenlijking ervan heeft bijna dertig jaar op zich laten wachten, met dien verstande dat van een globale regeling van de problematiek van camera’s en het heimelijk filmen nog steeds geen sprake is. Die traagheid, die geen andere verklaring toelaat dan deze van de veronachtzaming, blijkt ook uit de late totstandkoming van de wet van 8 december 1992 op de bescherming van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens. De voorgeschiedenis van deze wet gaat terug tot de jaren zeventig. Reeds op 18 juli 1971 werd een eerste wetsvoorstel m.b.t. de bescherming van persoonsgegevens ingediend (2) en op 8 april 1976 volgde het eerste wetsontwerp. (3) Talrijke andere voorstellen en ontwerpen zouden in de periode 1976-1992 het licht zien. (4) Eind 1983 diende toenmalig Justitieminister Jean Gol in de Kamer van Volksvertegenwoordigers een nieuw ontwerp in,

(1) Wetsvoorstel van BAERT, JORISSEN, e.a., op 7 oktober 1969 in de Senaat ingediend, Parl. St., Senaat, 1968-69, 562. Voorgesteld werd om op apparatuur voor het afluisteren, bespieden en registreren, een wapenvergunning te eisen. Cf. DUMORTIER, J. en ROBBEN, F., ’Inleiding’ in DUMORTIER, J. en ROBBEN, F. (red.), Persoonsgegevens en privacybescherming, Brugge, die Keure, 1995, 14. (2) Wetsvoorstel met betrekking tot de bescherming van de persoonlijke levenssfeer en de persoonlijkheid, Parl. St., Senaat, 1970- 1971, nr; 706. Cf. DE HOUWER, J., l.c., 596; BOULANGER, M.-H., DE TERWANGNE, C. & LEONARD, T., ’La protection de la vie priveé a l’e´gard des traitements de donneés a` caracte`re personnel. La loi du 8 dećembre 1992’, J.T., 1993, 370. (3) Cf. het wetsontwerp Vanderpoorten van 8 april 1976, Gedr. St., Senaat, 1975-76, nr. 846/1. (4) O.m. Voorontwerp van wet Moureaux (1981); wetsvoorstel Van Den Bossche van 30 maart 1982 op de informatica en op de bescherming van de privacy, Gedr. St., Kamer, 1981-82, 232/1 en de referenties infra.

Handboek Privacy

december 2003

4314

dat een algemene regeling voor de bescherming van het prive´-leven wou invoeren en daarbij ook rekening hield met beeldopnamen of het ″afluisteren van telefoongesprekken″. (1) Het betrof een gewijzigde overdruk van het ontwerp in 1969 ingediend door toenmalig Justitieminister Herman Vanderpoorten. De tekst werd twee jaar later in twee afzonderlijke ontwerpen gesplitst. (2) Een eerste tekst had betrekking op de bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, terwijl de tweede een regeling bevatte voor de bescherming van het prive´-leven ten opzichte van het nemen van foto’s en het afluisteren van telefoongesprekken. Men hoopte dank zij die splitsing de eerste tekst snel door de wetgevende kamers te kunnen sluizen. De goedkeuring bleef jammer genoeg uit, met als gevolg dat Belgie¨ niet alleen zijn voortrekkersrol verloor, maar uiteindelijk zowat de slechtste leerling van West-Europa werd. 4.2 Het initiatief Wathelet Op 6 mei 1991 diende de Minister van Justitie, Melchior Wathelet, een nieuw wetsontwerp in, dat rekening hield met de enorme technische vooruitgang die sinds 1982 was geboekt en ook met de in de maak zijnde Europese regelgeving. (3) Dit ontwerp was een beter lot beschoren dan zijn voorgangers en zou tot de uiteindelijke wet lijden. De Kamercommissie voor de Jusititie begon op 3 oktober 1991 met de bespre-

(1) Wetsontwerp Gol I tot bescherming van bepaalde aspecten van de persoonlijke levenssfeer (10 november 1983), Gedr. St., Kamer, 1983-84, 778/1. (2) Wetsontwerp Gol II tot bescherming van de persoonlijke levenssfeer ten opzichte van geautomatiseerde persoonsregistraties (17 juli 1985), Gedr. St., Kamer, 1984-85, 1330/1. Voor een gedetailleerde bespreking: DE HOUWER, J., l.c., 597-615, met verw. (3) Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (6 mei 1991), Gedr. St., Kamer, 1990-91, 1610/1, 91. Zie o.a. in BOULANGER, M.-H., DE TERWANGNE, C. & POULLET, Y., ’Protection de la vie priveé face a` l’informatique made in Belgium’, D.C.C.R., 1990-91, 394-416; KEUSTERMANS, J., ’Belgische wetsontwerp bescherming persoonlijke levenssfeer’, Computerr., 1990, 2, 96; POULLET, Y., ’Informatique et liberte´s : un de´bat en queˆte de solution. Le projet de loi Wathelet’, Journal de re´flexion sur l’informatique, nr. 17, Juli 1990, 28-31 en WATHELET, M., ’Toekomstperspectieven: het wetsontwerp over de bescherming van de persoonlijke levenssfeer ten opzichte van de geautomatiseerde persoonsregistratie’, Proc. Viering van de vijfde verjaardag van de Raadgevende Commissie voor de bescherming van de persoonlijke levenssfeer, 20 september 1989, 11 p.

4315

december 2003

Handboek Privacy

king van de tekst. Helaas moesten die besprekingen de volgende dag al worden gestaakt omdat de regering aftrad. Het ontwerp werd na de parlementsverkiezingen al snel weer opgevist en opnieuw besproken. De Kamer keurde de tekst op 8 juli 1992 goed en verzond hem naar de Commissie voor de Justitie van de Senaat. De besprekingen in de Senaatscommissie begonnen in september 1992. De Senaat keurde de wet op 10 november 1992 goed, evenwel na een aantal wijzigingen aangebracht te hebben, waardoor de tekst terug moest naar de Kamer. De tekst werd door deze aangenomen op 26 november 1992 en afgekondigd (ondertekend door de Koning) op 8 december 1992. De publicatie in het Staatsblad zou pas op 18 maart van het volgend jaar volgen. (1) Terecht werd in de rechtsleer kritiek uitgeoefend op de late totstandkoming van de wet op de bescherming van de persoonlijke levenssfeer bij de verwerking van de persoonsgegevens. (2) Talrijke ad hoc reglementeringen (hoger) werden uitgevaardigd alvorens een globale privacywet de algemene principes ter zake had vastgelegd. Bovendien gebeurde de totstandkoming van de ad hoc regelingen op weinig consequente wijze en niet steeds met het oog voor de van de burgers. Door het lang treuzelen en het alsmaar aankondigen van initiatieven, creeërde de overheid de indruk niet echt betrokken te zijn bij de materie. 4.3 De late inwerkingtreding De WVP werd niet alleen laat gestemd en gepubliceerd (supra), doch ook laat inwerking getreden. De wet voorzag niet alleen verschillende tijdstippen voor het inwerking treden, doch vertrouwde tevens tal van bevoegdheden aan de Koning toe die moest voorzien in uitvoeringsbesluiten. Artikel 52 WVP bepaalde hierover het volgende: ″Iedere bepaling van deze wet treedt in werking op de datum bepaald door de Koning en uiterlijk op de eerste dag van de achttiende maand volgend op die waarin zij in het Belgisch Staatsblad is

(1) De wet is op 18 maart 1993 in het Belgisch Staatsblad verschenen (blz. 5801): Wet tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, B.S., 18 maart 1993 zoals gewijzigd door de Wet van 22 juli 1993, B.S., 26 juli 1993 en Wet van 30 juni 1994, B.S., 18 augustus 1994. (2) DE SCHUTTER, B., DE KEYSER, K., BRISON, F. en GUTWIRTH, S., ’De Belgische privacywetgeving, een eerste analyse’, R.W., 1992-93, 1145-1146.

Handboek Privacy

december 2003

4316

bekendgemaakt″. Deze uiterste datum -1 oktober 2004- werd niet gehaald. Uiteindelijk werd daarom de inwerkingtreding van de WVP via een wet uit 1994 (1) uitgesteld tot 1 maart 1995 Een auteur (2) merkt op over die datum dat op de valreep (3) en net over de valreep (4) nog enkele belangrijke uitvoerende K.B.’s tot stand kwamen, waarvan enkelen daaropvolgend nog gewijzigd werden. (5) In totaal worden tussen 1993 en 1996 een vijftiental uitvoerings-K.B.’s gepubliceerd. We komen op de complexe inwerkingtreding van de bepalingen van de WVP (oud) terug in een aparte paragraaf (infra). Het beeld dat uit het voorgaande opdoemt is er een van plotse overhaasting na jarenlang inactiviteit. Die wending heeft alles te maken met het toenmalig tijdsgewricht. (6) Begin 1990 komt de problematiek van de bescherming van de persoonlijke levenssfeer bij de geautomatiseerde verwerking van persoonsgegevens opnieuw ter sprake bij de oprichting van de Kruispuntbank voor de Sociale Zekerheid. In de Schengen-uitvoeringsovereenkomst van 19 juni 1990 komen de deelnemers, waaronder Belgie¨, overeen dat zij een wetgeving over de bescherming van de persoonlijke levenssfeer bij de verwerking van persoonsgegevens moeten hebben ingevoerd alvorens voornoemde uitvoeringsovereenkomst kan worden geratificeerd. De buitenlandse druk op Belgie¨ dat zijn internationale verplichtingen niet nakwam en bovendien een stevige reputatie als ″gegevensparadijs″ opbouwde, werd in die jaren dan ook steeds groter. Regelmatig werd het op de vingers getikt omdat de ratificatie van het Verdrag nr. 108 uitbleef. Dat leidde overigens tot een aantal problemen in het kader van de ak(1) Wet van 30 juni 1994 houdende wijziging van artikel 52 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. B.S. 18 augustus 1994, 20839. (2) VAN RAEMDONCK, K., l.c., 898. (3) K.B. nr. 7, 8, 9 van 7 februari 1995 ter uitvoering van de Belgische Wet Verwerking Persoonsgegevens, B.S., 28 februari 1995. (4) K.B. nr. 12 van 7 maart 1995 ter uitvoering van de Belgische Wet Verwerking Persoonsgegevens, B.S., 14 maart 1995. (5) K.B. nr. 12 bis, K.B. nr. 13 en K.B. nr. 15 van 12 maart 1996 ter uitvoering van de Belgische Wet Verwerking Persoonsgegevens, B.S., 15 maart 1996; K.B. nr. 14 en K.B. nr. 16 van 22 mei 1996 ter uitvoering van de Belgische Wet Verwerking Persoonsgegevens, B.S., 30 mei 1996. (6) DE SCHUTTER, B., DE KEYSER, K., BRISON, F. en GUTWIRTH, S., l.c., 1145; LAMBRECHT, D., ’De bescherming van de privacy in de Belgische wetgeving. Overzicht van de bestaande wetgeving en een blik vooruit naar de op handen zijnde veranderingen’, Jura Falconis, 2000-2001, nr. 3, sub 1.1.

4317

december 2003

Handboek Privacy

koorden van Schengen. Een nieuw initiatief was dan ook nodig om een antwoord te bieden aan het terecht door haar initiatiefnemers vastgestelde gevaar ″dat Belgie¨ geı¨soleerd raakt ten opzichte van zijn voornaamste politieke en economische partners, die wel over een wetgeving beschikken en steeds meer weigerachtig staan tegenover de overdracht van persoonsgegevens naar een land dat in dit verband geen enkele bescherming biedt″. (1) Het voorgaande toont aan dat de internationale druk op Belgie¨ om eindelijk over te gaan tot het adopteren van een dergelijke wetgeving dermate toenam dat dan toch de belangstelling van de regering gewekt werd wat Minister van Justitie Wathelet aanzette om zijn initiatief spoed bij te zetten. Het gevolg van dit haastwerk was een ontwerp dat nogal op de vlakte blijft: de beschermingsmaatregelen worden wel aangestipt, maar de uitwerking wordt voor een groot deel overgelaten aan de Koning. (2) Bovendien was toen al duidelijk dat het ontwerp dat zou leiden tot de WVP op korte termijn herbekeken diende te worden, als gevolg van de Europese ontwikkelingen. Zoveel als mogelijk had de Belgische wetgever rekening gehouden met de ontwerpteksten van wat later de Europese richtlijn 95/46/EG van 24 oktober 1995 zou worden, doch de definitieve tekst van de richtlijn was nog ver uit het zicht. Toen die richtlijn definitief vorm aannam, zou de Koning via koninklijke besluiten bijsturen, zonder op dat ogenblik aan de tekst van de WVP te willen veranderen. Een complexe voorgeschiedenis die het uitstellen van de datum van de inwerkingtreding verklaart en de wijzigingen van kersverse koninklijke besluiten via nieuwe besluiten. We komen hierop terug.

(1) Memorie van Toelichting bij het Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (6 mei 1991), Gedr. St., Kamer, 1990-91, 1610/1, 2. Zie tevens Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (2 juli 1992) - Verslag namens de Commissie voor de Justitie uitgebracht door Mevr. Merckx-Van Goey, Gedr. St., Kamer, B.Z., 1991-92, 413/12, 4-5 en POULLET, Y., ’Informatique et liberte´s : un de´bat en queˆte de solution. Le projet de loi Wathelet’, Journal de re´flexion sur l’informatique, nr. 17, Juli 1990, 28. (2) LAMBRECHT, D., l.c., sub 1.2; ROBBEN, F., ’Het wetsontwerp Wathelet tot bescherming van de persoonlijke levenssfeer t.o.v. de verwerking van persoonsgegevens’, Comp. 1992, 2-9.

Handboek Privacy

december 2003

4318

5. De krachtlijnen van de WVP (oud) 5.1 Kort De WVP (oud) werd zoals gezegd op 18 maart 1993 in het Staatsblad gepubliceerd. (1) De WVP is van toepassing op automatische verwerkingen en manuele bestanden van gegevens over natuurlijke personen in de private en in de openbare sector. De wet streeft ernaar disproportionele aantastingen van de individuele vrijheid bij de verwerking van persoonsgegevens onmogelijk te maken. Het verwerken van persoonsgegevens wordt niet doorgaans verboden, maar onderworpen aan een reeks voorwaarden en regels. Er is dus geéń verwerkingsverbod maar we´l een verwerkingsregeling. Naast een reeks definities (o.a. wat is een manueel bestand) bevat de wet krachtlijnen waaraan elke gegevensverwerking van persoonsgegevens moet beantwoorden. Ook worden uitzonderingen op de krachtlijnen geregeld. Een van die uitzonderingen betreft de politiedatabanken (artikel 11). De artikelen 23 tot 36 van de wet regelen de werking en bevoegdheden van de Commissie voor de bescherming van de persoonlijke levenssfeer. Tenslotte volgt een lange reeks strafbepalingen (art. 37-43). Hoge boeten worden voorzien naar analogie met de financie¨le, economische en milieuwetten om wetsomzeiling door o.a. rechtspersonen te ontmoedigen. (2) Artikel 43 WVP stipuleert daarbij dat alle bepalingen van Boek I van het Strafwetboek, met inbegrip van hoofdstuk VII en art. 85, zullen worden toegepast op de misdrijven omschreven bij deze wet of bij de uitvoeringsbesluiten ervan. (3) De resterende bepalingen van de wet, die er 52 telt, zijn slotbepalingen. 5.2 Evenwicht belangen ’geficheerde’ en ’ficherende’ persoon of instelling De wet beoogt een evenwicht tussen de vereisten van de bescherming van de persoonlijke levenssfeer en de vereisten (1) In deze paragraaf beschrijven we de inhoud van de toenmalige wet en dit in de tegenwoordige tijd, hoewel, en dit weze beklemtoont, de wet in 1998 werd herschreven. (2) GUTWIRTH, S., ’Bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens’, in Strafrechtelijke kwalificaties en jurisprudentie, Brugge, Die Keure, (losbladig). (3) De bepalingen van het Strafwetboek omtrent deelneming en verzachtende omstandigheden werden in casu dus expliciet toepasselijk gemaakt.

4319

december 2003

Handboek Privacy

van het bestuurlijk, economisch en sociaal bestel. (1) Voor het eerste in het Belgisch recht wordt duidelijk gesteld dat eenieder bij de verwerking van persoonsgegevens die op hem betrekking hebben, het recht heeft op eerbiediging van zijn persoonlijke levenssfeer. De onmiddellijke gevolgen van de wet zijn aanzienlijk: voortaan is het opslaan, verwerken en combineren van om het even wat voor om het even welk doel onmogelijk. ″Il ne sera plus question de´sormais de mettre en oeuvre des traitements occultes″. (2) De houders (’verantwoordelijken voor de verwerking) van geautomatiseerde verwerkingen eń die van manuele bestanden moeten de voorwaarden van de wet respecteren (van het finaliteitbeginsel, verbod op verwerking gevoelige gegevens, verlenen van toegangs- en correctierecht. De wet onderscheidt gevoelige en niet gevoelige persoonsgegevens. De verwerking van de eerste soort is in beginsel verboden, of preciezer uitgedrukt: zij is slechts toegelaten voor door of krachtens wet vastgestelde doeleinden (art. 6). Medische en gerechtelijke gegevens worden evenzeer onderworpen aan een bijzonder regime laten. Voor de niet-gevoelige gegevens geldt het gemene regime. 5.3 Nieuwe rechten Hoofdstuk drie van de privacywet regelt het recht van kennisneming, toegang en verbetering. Al wie in een verwerking voorkomt heeft een recht op toegang. Dat recht van eenieder om toegang te krijgen tot alle gegevens die met betrekking tot zijn persoon zijn ingewonnen, is een grondrecht. (3) Elke betrokkene heeft in beginsel een recht op informatie (art. 4 en 9) en op inzage en kosteloze verbetering van gegevens die hem betreffen (art. 10 en 12). Ook kan de verwijdering of het verbod van aanwending geeïst worden van gegevens waarvan de verwerking verboden is of die te lang werden bijgehouden. De Voorzitter van de rechtbank van eerste aanleg neemt kennis van dienaangaande vorderingen (art. 14). Ook hier is strafvervolging mogelijk.

(1) Memorie van Toelichting bij het Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (6 mei 1991), Gedr. St. Kamer, 1990-91, 1610/1, 4. (2) BOULANGER, M.-H., DE TERWANGNE, C. en LEONARD, Th., l.c., 370. (3) Memorie van Toelichting, l.c., 15.

Handboek Privacy

december 2003

4320

5.4 Nieuwe plichten De zgn. ″houder van het bestand″ – de verantwoordelijke voor een verwerking – krijgt met de wet een reeks verplichtingen opgelegd. Zo dient hij onder meer een staat op te maken van elke geautomatiseerde verwerking waarvoor hij verantwoordelijk is (art. 16 WVP) en daarvan voorafgaandelijk aangifte te doen bij de Commissie voor de bescherming van de persoonlijke levenssfeer (art. 17 WVP). Op die aangifte, moet naast het doel van de verwerking ook de wijze vermeld staan waarop de personen op wie de gegevens betrekking hebben, daarvan in kennis worden gesteld, de dienst waarbij het recht op toegang kan worden uitgeoefend en de maatregelen genomen om de uitoefening van dat recht te vergemakkelijken. De commissie legt een register aan van dergelijke aangiften, dat ter inzage staat van eenieder. Op elk stuk waarvoor de verwerking wordt gebruikt moet het identificatienummer van de verwerking in het register vermeld staan waardoor eenieder in het register informatie kan bekomen over het wie, hoe en waarom van de automatische verwerking. De commissie kan ook voor bepaalde manuele bestanden een aangifteplicht opleggen als zij meent dat ze een mogelijke schending van de persoonlijke levenssfeer inhouden (art. 19). Artikel 5 van de privacywet is een kardinale bepaling: een gegevensverwerking mag enkel in functie van vooraf bepaalde doeleinden die bovendien wettig moeten zijn en duidelijk omschreven. (1) Niet zozeer de aard van gegevens, maar wat met die gegevens gebeurd (het oogmerk), levert een gevaar op voor de privacy. (2) Het gevaar van een gegeven zit in het gebruik ervan. Via een controle op de doeleinden beoogt de wet de controle op het gebruik van gegevens. Naast dit finaliteitsbeginsel zit in artikel 5 een ander belangrijk principe vervat: uitgaande van het doel van de verwerking moeten de gekozen gegevens toereikend, terzake dienend en niet overmatig zijn. De aard van de gegevens moet overeen-

(1) ″Persoonsgegevens mogen slechts worden verwerkt voor duidelijk omschreven en wettige doeleinden en mogen niet worden gebruikt op een wijze die onverenigbaar is met die doeleinden. Zij dienen uitgaande van die doeleinden toereikend, ter zake dienend en niet overmatig te zijn″ (art. 5 WVP (oud)). (2) BOULANGER, M.-H., DE TERWANGNE, C. en LEONARD, Th., l.c., 377.

4321

december 2003

Handboek Privacy

komen met het beoogde doel van de verwerking. (1) Over de naleving van het finaliteitbeginsel zal door de Privacycommissie gewaakt worden. In voorkomend geval zullen geschillen dienaangaande eveneens kunnen voorgelegd worden aan de rechtbanken. Elke schending van artikel 5 is strafbaar met een correctionele straf (art. 39). Een aantal andere informatiegeboden zijn niet expliciet verwoord. Zo het openbaarheidbeginsel, het profielverbod, het eerlijkheidsbeginsel en het beginsel van de begrenzing in de tijd. Doch ofwel vloeien ze voort uit in de wet vervatte plichten ofwel kunnen ze aan het finaliteitbeginsel gekoppeld worden. (2) 5.5 Toegang tot de Commissie We zagen dat elke geregistreerde persoon in principe een recht op kennisgeving krijgt ofwel bij de inzameling ofwel bij de eerste verwerking van zijn persoonsgegevens (resp. art. 4 en 9 WVP). Hij beschikt bovendien over het recht op inzage en verbetering van zijn gegevens (art. 10 en 12 WVP). Tevens heeft hij toegang tot het centrale register van de geautomatiseerde verwerkingen van persoonsgegevens (art. 18 WVP). Bovendien kan hij bij de Commissie voor de bescherming van de persoonlijke levenssfeer klacht neerleggen over eventuele schendingen van de wet en zulks onverminderd de vorderingen die hij bij de rechtbanken kan instellen (art. 31 WVP). De Commissie voor de bescherming van de persoonlijke levenssfeer is een door de wet georganiseerde toezichtscommissie. Zij beheert de aangiften van de verwerkingen en houdt een openbaar register van verwerkingen. Zij verstrekt adviezen omtrent iedere aangelegenheid i.v.m. de toepassing van de wet. Zij kan optreden op verzoek van de betrokkene, hetzij als tussenpersoon in het kader van de indirecte controleprocedure (art. 13 WVP), hetzij op klacht waarbij zij een minnelijke schikking dient te bewerkstelligen. Zij kan, uit eigen beweging of op verzoek van de overheid, met redenen om(1) POULLET, Y. en LEONARD, Th., ’Les liberte´s comme fondement de la protection de donneés nominatives’ in RIGAUX, F., La vie priveé. Une liberte´ parmi les autres?, Brussel, Larcier, 1992, 269-271. (2) BOULANGER, M.-H., DE TERWANGNE, C. en LEONARD, Th., l.c., 370 en 384; LEMMENS, P., ’De verwerking van persoonsgegevens door politiediensten en de eerbiediging van de persoonlijke levenssfeer’, in Liber Amicorum Jules D’Haenens, Gent, Mys en Breesch, 1993, 212.

Handboek Privacy

december 2003

4322

klede aanbevelingen richten omtrent de toepassing van de WVP (art. 30 WVP). Bij het vervullen van haar taken mag de Commissie een beroep doen op de medewerking van deskundigen en onderzoeken ter plaatste uitvoeren waarbij zij beschikt over de onderzoeksbevoegdheden die zijn toegekend aan de ambtenaren belast met het strafrechtelijke toezicht. De Voorzitter van de Commissie voor de bescherming van de persoonlijke levenssfeer kan, onverminderd de bevoegdheid van de gewone hoven en rechtbanken, geschillen aangaande de toepassing van de WVP aanhangig maken bij de rechtbank van eerste aanleg. Tenslotte doet de Commissie voor de bescherming van de persoonlijke levenssfeer aangifte bij de Procureur des Konings van misdrijven waarvan zij kennis heeft (art. 32). 5.6 Geen vergunningsstelsel Het evenwicht waarvan sprake kan goed geı¨llustreerd worden via de keuze van de controle ingebouwd in de wet. De wet bevat geen systeem van preventief toezicht, waarbij de verantwoordelijke voor de verwerker allereerst een vergunning moet bekomen om gegevens te mogen verwerken (een soort rijbewijs). Er is ook niet of nauwelijks sprake van preventieve toetsing van de aangegeven verwerkingen (infra). Dergelijke ideee¨n, waarmee ook in andere Europese landen werd gespeeld, (1) werden uit bezorgdheid voor de economische en institutionele belangen opgeborgen en vervangen door een idee van repressieve controle a posteriori. De wet bevat een aantal – zeer abstracte – normen waaraan de verantwoordelijke voor de verwerking zich moet houden, en die primair via de gebruikelijke bestuurs- en civielrechtelijke kanalen door acties van geregistreerden kunnen worden gehandhaafd. Om de geregistreerden enigszins ter hulp te schieten voorziet de wet een aantal expliciete subjectieve rechten, een versnelde civiele procedure en de gratis tussenkomst van de Commissie voor de bescherming van de persoonlijke levenssfeer. Toch blijft een vorm van overheidstoezicht behouden, omdat in beginsel alle verwerkingen (met uitzonderingen van de vrijgestelde verwerkingen) bij de Commissie moeten worden aangegeven. In de aanvangsfase werd bij aangifte van ver(1) BLOK, P., o.c., 145.

4323

december 2003

Handboek Privacy

werkingen van gevoelige persoonsgegevens een stand-still periode opgelegd, maar deze werd door Minister van Justitie De Clerck afgeschaft (infra). 5.7 Beoordeling De WVP (oud) werd op gemengde gevoelens onthaald. Niemand in ons land waagde het om, zoals bijvoorbeeld Berkvens in Nederland, (1) het nut van een algemene kaderwet te betwijfelen. Onduidelijk blijft bij Berkvens of zijn positie steunt op een minachting voor privacybescherming, op zijn verknechting aan de private sector (hij werkt in de banksector) of op een oprecht geloof dat in de prive´-sector geen praktijken plaatsvinden die risico’s vertonen voor de persoonlijke levenssfeer. Ongetwijfeld zijn er ook Belgie¨ altijd mensen geweest die geen al te hoge waarde hechten aan privacybescherming en verkiezen om het bedrijfsleven geen strohalm in de weg te leggen. Vooral deze personen hamerden op het complexe karakter van de WVP, het centralistische en bureaucratische karakter van de wet en het feit dat deze onvoldoende rekening hield met de nieuwe technische ontwikkelingen. (2) Zonder enige twijfel vertoonde de WVP een groot aantal zwaktepunten. Toegankelijkheid was er een van. De wet, geschreven door een Franstalig ambtenaar (Alain Pipers) onder het gezag van de nimmer populaire minister van Justitie Melchior Wathelet, was terminologisch een draak (vooral voor Nederlandstaligen). Een kernbegrip zoals ’houder van het bestand’ vloekte in een wet die niet ’bestand’ doch ’verwerking’ centraal plaatste. Meer fundamenteel is het bezwaar tegen de wet dat deze ethisch of normatief ’leeg’ lijkt. Er stonden bijvoorbeeld niet veel echte verbodsbepalingen in de wet, wat het voor de mensen moeilijk maakte om de diepte van de wet te peilen.

(1) J.M.A. Berkvens bepleit een systeem van zelfregulering voor de private sector en een systeem van privacywetgeving voor de veel gevaarlijkere publieke sector. Over de standpunten van deze persoon: BLOK, P., o.c., 144-145. Zie ook het interview met Berkvens in PRINS, C., ’Acht gesprekken over privacy en aanpalende belangen’, in FRANKEN, H. e.a., Zeven essays over informatietechnologie en recht, Den Haag, Sdu Uitgevers, 2003, 59-62. (2) Soortgelijke bezwaren treffen in feite de meeste ’eerste generatie-privacywetten’ in alle Europese landen. Vgl. BLOK, P., o.c., 144-145. Over de risico’s van overmatige detaillering : WINTGENS, L.J. & DHONT, J., ’Wet en wereldbeeld’, Omnilegie. Tijdschrift voor wetgeving, 1999/4, (105-126), i.h.b. 112.

Handboek Privacy

december 2003

4324

(1) Even fundamenteel en verbonden aan het voorgaande, was het bezwaar dat een te grote rol werd gegeven aan de uitvoerende macht, terwijl op het vlak van de privacy de wetgever de enige kan zijn die verantwoordelijkheid moet opnemen voor de belangrijke normatieve keuzen. (2) Privacyvoorstanders namen in de jaren negentig overwegend de houding aan van loyaliteit aan de WVP. Deze houding volgde niet alleen uit het inzicht dat een algemene kaderwet nodig was, zeker in een land als Belgie¨ waar door het lang uitblijven van privacywetgeving vele laakbare praktijken ingang hadden gevonden, maar ook uit respect voor de kwaliteit van de Commissie voor de bescherming van de persoonlijke levenssfeer. Zowel de Commissieleden als de leden van het secretariaat van de Commissie stonden midden jaren negentig borg voor integriteit en bekwaamheid. Een getuigenis hiervan vormen de jaarverslagen van de Commissie uit deze periode. Deze verslagen tonen hoeveel werk er in die jaren vaak op het meest elementaire niveau (bekendmaking en sensibilisering) is verricht.

6. De greep van de uitvoerende macht op de WVP (oud) 6.1 Algemeen We stelden dat tussen 1993 en 1996 een vijftiental uitvoeringsbesluiten werden gepubliceerd. De eerste twee uitvoeringsbesluiten over respectievelijk de inwerkingtreding van de wetsbepalingen en de termijn binnen welke bestaande verwerkingen zich aan een aantal van die wetsbepalingen dienden aan te passen, verschenen reeds op 18 maart 1993, datum van publicatie in het Belgisch Staatsblad van de wet van 8 december 1992. De inhoud van de uitvoeringsbesluiten was niet steeds ge-

(1) Over het ethisch leeg karakter van de WVP: DE HERT, P., ‘Een betere bescherming van de privacy door de nieuwe wet verwerking persoonsgegevens?, l.c., 404-408. DE HERT, P. & GUTWIRTH, S., ’Editoriaal : Cassatie en geheime camera’s. Meer gaten dan kaas’, Panopticon. Tijdschrift voor strafrecht, criminologie en forensisch welzijnswerk, 2001/4, 309-318. Hetzelfde bezwaar was ook in Nederland te horen: BLOK, P., o.c., 144. (2) Zie infra, sub 5. Ook in Nederland was het bezwaar van delegatie aan het bestuur te horen: BLOK, P., o.c., 144.

4325

december 2003

Handboek Privacy

lijk. Sommigen hadden betrekking op de data van de inwerkingtreding van de wet. Anderen bevatten fundamentele regels over hoe bepaalde groepen gegevens, o.a. de zgn. gevoelige gegevens dienen verwerkt te worden. Weer andere regelden meer in detail de uitoefening van de rechten en de plichten vervat in de wet. Zo formuleert de wet op algemene wijze een recht op inzage van de gegevens voor de geregistreerde. De praktische modaliteiten van dit recht (o.a. de kostprijs) werd in een uitvoeringsbesluit uitgewerkt. De meeste uitvoeringsbesluiten bij de wet droegen een nummer. Deze nummering hielp de gebruiker om de besluiten die meestal zeer lange opschriften kenden te identificeren. Voor het overige hadden deze nummers geen enkele waarde, ook niet een chronologische. Zo werd K.B. n° 16 gepubliceerd lang voor K.B. n° 10. De volledige referenties van deze besluiten is opgenomen in de bibliografie achteraan in het handboek. De WVP (oud) viel zonder kennis van de besluiten praktisch niet te begrijpen. Vaak waren deze bij hun publicatie in het Belgisch Staatsblad vergezeld van desbetreffende adviezen van de Raad van State en van de Commissie voor de bescherming van de persoonlijke levenssfeer en tevens van (omstandige) verslagen aan de Koning van de hand van de Minister van Justitie. Deze verslagen kunnen goed vergeleken worden met Memories van Toelichtingen bij wetten. Dit hele regelgevingarsenaal wijst erop dat de uitvoeringsbesluiten in het kader van de WVP (oud) een zeer grote rol speelden, vergelijkbaar met deze van bijzondere uitvoeringswetten, waarin het algemene kader van de wet van 8 december 1992 verfijnd werd. Sprekend is in dit verband de juridische polemiek in de jaren 1993-1994 tussen het Ministerie van Justitie en de afdeling wetgeving van de Raad van State. Het meningsverschil draaide om de toegelaten ruimte voor de Koning (en dus de Minister) om de wet van 8 december 1992 in uitvoeringsbesluiten te concretiseren. Meer bepaald, werd gedebatteerd over de uitvoeringsbesluiten bij artikel 6 en 8 van de wet. (1) Dit debat lichtten we toe in een aparte paragraaf.

(1) Het conflict wordt verhaald in de Memorie van Toelichting bij het Ontwerp van wet houdende sociale en diverse bepalingen, Parl. St., Senaat, 1994-95, 1218/1.

Handboek Privacy

december 2003

4326

6.2 De polemiek tussen de uitvoerende macht en de Raad van State De artikelen 6 en 8 WVP (oud) bevatten een principieel verbod om gevoelige en gerechtelijke persoonsgegevens te verwerken, m.n. de gegevens m.b.t. de etnische afstamming, het seksueel gedrag of de overtuiging of activiteit op politiek, levensbeschouwelijk of godsdienstig gebied, het lidmaatschap van een vakbond of ziekenfonds, alsook de persoonsgegevens van gerechtelijke politie of potentie¨le aard. Dergelijke verwerkingen kunnen aldus beide bepalingen ’slechts voor de door of krachtens de wet vastgestelde doeleinden toegestaan’ worden. In beide bepalingen wordt daaraan toegevoegd: ″De Koning kan bij een ministerieel overlegd besluit (...) bijzondere voorwaarden stellen″ betreffende de verwerking van deze gegevens. Volgens de Minister van Justitie liet de Raad van State hem bij de uitvoering van deze bepalingen te weinig bewegingsruimte. De Raad interpreteerde de zojuist aangehaalde termen ’door of krachtens’ in die zin dat voor elke verwerking van persoonlijke gegevens een wettelijke toelating vereist is. De Koning zou, aldus de opvatting van de Raad van State, niet gemachtigd zijn om op eigen initiatief de algemene doelstellingen en voorwaarden te bepalen volgens dewelke de verwerking van gegevens bedoeld in artikel 6 en 8 WVP (oud) wordt toegelaten. De Minister was daarentegen de overtuiging toegedaan dat hij over meer bewegingsruimte beschikte om de artikelen 6 en 8 van de wet verder uit te bouwen en dat daarbij niet steeds een door het Parlement gestemde wet nodig was. Uiteindelijk besloot de Minister de discussie die al te lang aansleepte, ten gronde te beslechten en op zijn aanzet stemde het Parlement een interpretatieve wet bij de wet van 8 december 1992, waarin de (ruime) visie van de Minister bekrachtigd werd. (1) Deze interpretatieve wetsbepaling luidt als volgt: ″In de artikelen 6, eerste lid en 8, par. 1 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, dienen de woorden ″vastgestelde doeleinden ingevolge de wet″ te worden geı¨nterpreteerd als de machtiging die aan de Koning wordt gegeven, om de doeleinden en de omstan(1) Cf. art. 148 van de wet van 21 december 1994 houdende sociale en diverse bepalingen, B.S., 23 december 1994.

4327

december 2003

Handboek Privacy

digheden vast te stellen binnen welke de persoonsgegevens mogen worden verwerkt, overeenkomstig de andere bepalingen van de wet van 8 december 1992″, aldus artikel 148 van de wet van 21 december 1994. 6.3 Het historisch belang van artikel 148 van de wet van 21 december 1994 Eenvoudig gesteld maakte artikel 148 van de wet van 21 december 1994 het mogelijk voor de uitvoerende macht om via uitvoeringsbesluiten zelf te bepalen in welke gevallen de verwerking van gevoelige en gerechtelijke gegevens toch toegelaten is ondanks het principieel verwerkingsverbod. De Koning beschikte aldus over zeer ruime regelgevende bevoegdheden beschikt en we zullen bij de bespreking van de uitvoeringsbesluiten vaststellen, dat hij deze ook aanwendde. Historisch heeft het belang deze gebeurtenis in herinnering te brengen, daar het voor een groot deel de verklaring geeft voor de trage inwerkingtreding van de wet. Het wetgevend werk heeft m.n. minstens een jaar stil gelegen. Tevens dient opgemerkt te worden dat het Parlement misschien iets te ondoordacht haar goedkeuring heeft gehecht aan de zojuist besproken interpretatieve wet. Aan de Koning werden grote bevoegdheden gelaten en dit in een materie die raakt aan de fundamentele normen van een samenleving. Verschillende beroepscategoriee¨n machtigen om bijvoorbeeld gegevens over seksualiteit te verwerken ondanks het principieel verwerkingsverbod terzake (art. 6 WVP) is geen evidentie. O.i. is het in de eerste plaats een taak van de wetgever om zich uit te spreken over delicate regelingen met een (mogelijk) grote weerslag op de persoonlijke levenssfeer van de geregistreerde. Herinneren we eraan dat artikel 22 van de Grondwet niet de uitvoerende macht, doch de wetgevende macht belast met de taak maatregelen te nemen ter waarborging van de persoonlijke levenssfeer als die welke tot een aantasting ervan kunnen leiden. (1) Herinneren we er tevens

(1) Vgl. Raad van State, advies van 26 februari 1996 bij K.B. nr. 15, B.S., 15 maart 1996, 5824. In dat licht is het frappant vast te stellen dat de meeste maatregelen vervat in de uitvoeringsbesluiten gemodeleerd zijn op het Nederlandse recht. Daar zijn ze evenwel vervat in door het Parlement gestemde wetten. Zie meer algemeen over de ’slechte’ gewoonte van de Belgische wetgever om privacy-blancowetten te stemmen met veel beslissingsruimte voor de uitvoerende macht: WINTGENS, L.J. & DHONT, J., l.c., 113.

Handboek Privacy

december 2003

4328

aan dat de efficie¨ntie van een wet niet bepaald wordt door de principes, maar door de uitvoering ervan.

7. Chronologie van de uitvoeringsbesluiten bij de WVP (oud) 7.1 Het jaar 1993: de oorspronkelijke timing voor de inwerkingtreding Koninklijk besluit nr. 1 van 28 februari 1993 verscheen tezamen met de wet in het Staatsblad. Het besluit bevat de inwerkingtredingdata van de tweee¨nvijftig bepalingen van de wet. Het strekt ertoe de Koning tijd te geven om de nodige uitvoeringsmaatregelen uit te vaardigen m.b.t. de betrokken artikelen, zodat de verantwoordelijken voor de verwerking bij de aanpassing van hun verwerking onmiddellijk met deze uitvoeringsmaatregelen rekening kunnen houden. Het besluit deed ongeveer de helft van de bepalingen in werking treden op 1 april 1993. De overige bepalingen -overwegend bepalingen met een concrete weerslag op de verantwoordelijken- kregen latere inwerkingtredingdata (o.a. september 1993). Het besluit en de erin vervatte data zou gewijzigd worden door het koninklijk besluit nr. 6 van 13 september 1993 en door het koninklijk besluit nr. 11 van 14 maart 1994. Deze wijzigingsbesluiten waren nodig omwille van een aanzienlijk achterstand op het door de Koning vastgestelde tijdschema. In de nieuwe besluiten werd i.t.t. in K.B. nr. 1 geen concrete datum van inwerkingtreding voorgesteld. De inwerkingtreding van de artikelen 6, 8, 9, 17 en 18 van de wet, werd voortaan gekoppeld aan de datum van inwerkingtreding van de uitvoeringsbesluiten bij deze bepalingen. Eenzelfde verschuifoperatie van data deed zich voor met de besluiten die de data van inwerkingtreding bepalen van de concrete plichten voortvloeiend uit de wet voor de verantwoordelijken voor de verwerking. Koninklijk besluit nr. 2 van 28 februari 1993 werd tezamen met de wet en besluit nr. 1 (hoger) op 18 maart 1993 in het Staatsblad gepubliceerd. Het besluit gaf voor de verantwoordelijke van verwerkingen aan, op welk tijdstip hun verwerking aan de eisen van de wet diende aangepast te worden. Doel van het besluit is om aan de een redelijke termijn te laten om zich in regel te stellen met hun bestaande verwerkingen op het ogenblik dat een bepaling van de wet in werking trad. Het besluit neemt de

4329

december 2003

Handboek Privacy

data van K.B. nr. 1 als uitgangspunt en bevat als voornaamste regel dat de verantwoordelijken voor de verwerking over een termijn van 9 maanden beschikken om zich te voegen naar de plichten vervat in de artikelen 6, 7, 8, 9, 16 en 17 van de wet, eenmaal deze inwerking treden. Voor artikel 18 is een specifieke termijn voorzien (drie maanden na toekenning van het identificatienummer.Twee besluiten, respectievelijk het koninklijk besluit nr. 2bis van 29 september 1995 en het koninklijk besluit nr. 16 van 22 mei 1996 verschoven de vastgestelde termijnen. Voor de artikelen 6, 8, 9 en 17 werd de nieuwe streefdatum 1 juni 1996; voor artikel 18 werd de termijn van drie maanden vervangen door een termijn van 18 maanden. 7.2 Richtlijnen over de kennisgeving en de inspraakrechten In het Staatsblad van 25 september 1993 verschenen vier besluiten, respectievelijk genummerd 3,4,5 en 6. Alle vier hadden betrekking op de praktische aspecten van de artikelen 10 tot 12 van de wet m.b.t. het recht op kennisneming en correctie van gegevens. Koninklijk besluit nr. 6 van 13 september 1993 is reeds aan bod gekomen. Het besluit verdaagde de datum van inwerkingtreding van de artikelen 6, 8 en 9 van de wet. Het besluit behield evenwel de datum van inwerkingtreding van de artikelen 10 tot 15 van de wet: 1 september 1993. Koninklijk besluit nr. 3 van 7 september 1993 gaf aan tot wie een geregistreerde burger zich moet wenden om krachtens artikel 10 van de wet kennis te krijgen van zijn gegevens en gaf tevens aan hoe dit recht moet worden uitgeoefend. Koninklijk besluit nr. 4 van 7 september 1993 bevatte nog meer informatie over het kennisgevingrecht vervat in artikel 10 van de wet. Een verantwoordelijke voor de verwerking mocht ter inwilliging van een verzoek om kennisgeving ten hoogste 100, frank vragen. Het besluit bepaalde hoe die heffing diende betaald te worden. Koninklijk besluit nr. 5 van 7 september 1993 gaf aan tot wie een geregistreerde burger zich moest wenden om krachtens artikel 12 van de wet een verbetering, verwijdering of verbod tot aanwending van zijn persoonsgegevens te bekomen. De uitoefening van dit recht was, aldus het besluit, kosteloos. (1)

(1) Het besluit gaf enkel aan tot wie de geregistreerde zich moet wenden. De vormvoorwaarden vindt men in de tekst van artikel 12 van de wet.

Handboek Privacy

december 2003

4330

7.3 Bijzonder statuut voor sociale inspectie en witwascel Nog steeds in 1993 werd vanuit het Ministerie van Tewerkstelling en Arbeid het koninklijk besluit van 12 augustus 1993 ’voortgebracht’ dat ertoe strekte de ’sociale inspecteurs’ van dit Ministerie gelijk te schakelen met de reguliere politiediensten, door ze vrij te stellen van de toepassing op hun verwerkingen van rechten op kennisgeving en toegang tot persoonsgegevens vervat in de artikelen 9 en 10 van de wet. Deze mogelijkheid voor openbare overheden, andere dan de reguliere politiediensten, om te ontsnappen aan de artikelen 9 en 10 van de wet, is voorzien in artikel 11, lid 4 van de wet. De programmawet van 22 juli 1993 zal aan artikel 11 van de wet een vijfde lid toevoegen waardoor ook de overheden belast met de toepassing van de wet van 11 januari 1993 tot voorkoming van het gebruik van het financie¨le stelsel voor het witwassen van geld, aan genoemde bepalingen ontsnapten. 7.4 Het jaar 1994, een jaar zonder wapenfeiten 1994 was een jaar zonder noemenswaardige wapenfeiten. De in het vooruitzicht gestelde uitvoeringsbesluiten bij een aantal zeer belangrijke artikelen blijven uit. Het reeds genoemd koninklijk besluit nr. 11 van 14 maart 1994 verschoof de inwerkingtreding van de artikelen 17 en 18 van de wet naar later, nadat eind 1993 koninklijk besluit nr. 6 de termijnen reeds verschoven had voor de artikelen 6, 8, en 9 van de wet (supra). Achter de schermen vond een getouwtrek plaats tussen de verantwoordelijke Minister en de Raad van State over de mate van beleidsvrijheid voor eerstgenoemde om de uitvoeringsbepalingen voor de artikelen 6, 8, en 9 van de wet naar eigen inzicht in te vullen. Uiteindelijk zou het Parlement tussenkomen en bij interpretatief artikel 148 ingelast in de wet van 21 december 1994 de Koning de gewenste beleidsvrijheid toekennen (supra). Begin 1995 kon het eigenlijke werk dan eindelijk van start gaan en in het Staatsblad van 28 februari 1995 werden de uitvoeringsbesluiten bij de artikelen 6, 8 en 9 eindelijk vrijgegeven. 7.5 Richtlijnen voor de verwerking van gevoelige gegevens Zoals uit het opschrift bleek, voerde het koninklijk besluit nr. 7 van 7 februari 1995 ’tot vaststelling van de doeleinden, de criteria en de voorwaarden van toegestane verwerkingen

4331

december 2003

Handboek Privacy

van de gegevens bedoeld in artikel 6 van de wet van 8 december 1992’, artikel 6 van de wet uit. Deze bepaling heeft betrekking op de verwerking van de zogenoemde ″gevoelige gegevens″. In uitvoering van artikel 6 van de wet omschreef het besluit twee groepen van doelstellingen en omstandigheden binnen dewelke de verwerking van deze gevoelige gegevens was toegestaan. De eerste groep (art. 2 tot 5 van het besluit) werd gevormd door zgn. algemene machtigingen tot zodanige verwerkingen. De tweede groep (art. 6) bestond uit bijzondere machtigingen, specifiek erop gericht nauwkeurig omschreven categoriee¨n van verwerkingen van gevoelige gegevens toe te staan. Werd voor een doeleinde een algemene machtiging gegeven, dan kon de verantwoordelijke voor de verwerking alle in artikel 6 van de wet opgesomde gegevens verwerken (ras, politiek, sexualiteit, ...). (1)Bijzondere machtigingen hadden zoals gezegd betrekking op een vrij concreet gespecificeerd doeleinde, waarvoor eéń soort gevoelige gegevens mocht worden verwerkt. Bijvoorbeeld, was de verwerking van gegevens over de politieke gezindheid toegelaten in hoofde van politieke partijen, wanneer dit nodig was voor hun functioneren en de betrokken persoon in geregeld contact stond met de partij (art. 6 par. 3 K.B. nr. 7).De artikelen 7 en 8 van het besluit stelden aanvullende waarborgen vast na te leven telkens gevoelige gegevens werden verwerkt. Koninklijk besluit nr. 7 werd een jaar na de verschijningsdatum opgeheven door koninklijk besluit nr. 14 van 22 mei 1996 (infra). 7.6 Richtlijnen gerechtelijke en aanverwante gegevens Het koninklijk besluit nr. 8 van 7 februari 1995 eveneens gepubliceerd in het Staatsblad van 28 februari 1995, deed als koninklijk besluit nr. 7, maar dan ditmaal voor de gegevens in de sfeer van politie en Justitie bedoeld in artikel 8 van de wet. Het besluit stelde m.a.w. de doeleinden vast, alsmede de criteria en de voorwaarden voor toegestane verwerkingen van deze ″gerechtelijke en aanverwante gegevens″. Opnieuw werden er algemene en bijzondere machtigingen vastgesteld (1) Twee voorbeelden. Primo, de verwerking van alle artikel 6 WVP-gegevens is toegelaten, wanneer dit noodzakelijk is voor het nakomen van een verplichting bepaald bij of krachtens een wet, een decreet of een ordonnantie (art. 2°1 K.B. nr. 7). Secundo, artikel 6 WVP-verwerkingen zijn mogelijk wanneer dit noodzakelijk is voor het nemen van een beslissing op verzoek van de betrokken (art. 2°3 K.B. nr. 7).

Handboek Privacy

december 2003

4332

waarbinnen verwerkingen van de gegevens bedoeld in artikel 8 van de wet toegestaan zijn. Het K.B. nummer 8 was in feite niet meer dan een ingekorte en aangepaste versie van het K.B. nr. 7. Zowel de machtigingen als de bijzondere, na te leven voorwaarden waren grotendeels gelijk.Artikel 1 van het besluit stond aan de openbare overheden en de politiediensten toe ″gerechtelijke en aanverwante gegevens″ te verwerken op voorwaarde dat ze zich hielden aan de doelstellingen van de wet van 5 augustus 1992 op het politieambt en van de wet van 11 januari 1993 inzake de strijd tegen het witwassen. Tevens somde het besluit de voorwaarden op waaronder grensoverschrijdend verkeer van deze gegevens werd toegelaten. In artikel 3 van het besluit werd op algemene wijze de voorwaarden omschreven m.b.t. de categorie van algemene machtigingen tot het verwerken van de gerechtelijke gegevens. Deze bepaling was hoofdzakelijk gericht op verantwoordelijke voor de verwerking uit de prive´ sfeer die gerechtelijke en aanverwante gegevens van een rechtssubject wenste te verwerken. Basisvoorwaarde hiertoe was dat de betrokken persoon vooraf in kennis werd gesteld vooraleer dat de verwerking van zijn of haar gerechtelijke gegevens werd aangevat.Artikel 2 van het besluit omschreef de specifieke machtigingen, die o.m. oganisaties zoals de Liga voor de Rechten van de Mens moesten toelaten gegevens in de sfeer van politie en Justitie te blijven verwerken. Artikel 4 van het besluit omschreef drie bijzondere waarborgen die steeds diende te worden nageleefd wanneer een verantwoordelijke gemachtigd was gerechtelijke gegevens te verwerken. 7.7 Richtlijnen en uitzonderingen m.b.t. de kennisgevingplicht Het derde koninklijke besluit dat gepubliceerd werd in het Staatsblad van 28 februari 1995, te weten het koninklijk besluit nr. 9 van 7 februari 1995 bevatte een reeks vrijstellingen op artikel 9 van de wet en regelde de zgn. procedure van collectieve informatieverstrekking aan de geregistreerden. (1) Op (1) Krachtens artikel 9 van de wet moet, wanneer een persoon voor het eerst in een bepaalde verwerking wordt geregistreerd, hem daarvan kennis gegeven worden. Artikel 9 van de wet voorziet drie uitzonderingen op deze plicht tot individuele kennisgeving en voorziet tevens in de mogelijkheid om bij besluit bijkomende vrijstellingen te cree¨ren of de individuele kennisgeving te vervangen door een collectieve kennisgeving. De Koning heeft van deze mogelijkheid gebruik gemaakt.

4333

december 2003

Handboek Privacy

grond van het besluit werd de verantwoordelijke voor de verwerking vrijgesteld van de verplichting tot kennisgeving: - wanneer de gegevens reeds zonder enige wettelijke verplichting aan de betrokken persoon waren meegedeeld en de doeleinden van de verwerking na mededeling van de gegevens niet waren gewijzigd (art. 1); - wanneer de verwerking de identificatie beoogde van personen in het kader van public relations of het aanleggen van adressenlijsten in het kader van maatschappelijke en professionele betrekkingen (art. 2); - wanneer de persoonsgegevens van een persoon voorkwamen in een rechtspraakoverzicht (1) (art. 3); - voor de verwerkingen van gevoelige en gerechtelijke gegevens door verenigingen of instellingen van openbaar nut met als doel de verdediging van de rechten van de mens of de behandeling van parafielen (2) (art. 4). In de overige gevallen dienden de verantwoordelijken voor de verwerking artikel 9 van de wet toe te passen en een geregistreerde op de hoogte brengen van de verwerking. Wel konden de verantwoordelijken voor de verwerking in bepaalde gevallen de individuele kennisgevingplicht vervangen door een collectieve informatieverstrekking. De gevallen waarin dit mogelijk was en de procedure ter zake werden beschreven in de artikelen 5 en 6 van het besluit. Koninklijk besluit nr. 9 werd vervangen worden door koninklijk besluit nr. 15 (infra). 7.8 Procedure en kostprijs aangifte Over de wijze waarop de wettelijke aangifte (3) diende te gebeuren en de kostprijs, gaf het koninklijk besluit nr. 12 van 7 maart 1995 bijkomende en noodzakelijke informatie. Het tarief voor de aangifte bedroeg 250 Euro. Werd gebruik gemaakt van het modelformulier voor de aangifte dat als bijlage 1 bij het besluit werd gepubliceerd, dan golden tot maart 1996 tarieven van 200, 150 en 75 Euro naargelang de (1) Artikel 3 van het besluit nr. 9 sluit aan bij artikel 2,3° van het koninklijk besluit nr. 8 dat in een specifieke machtiging tot verwerking van deze gerechtelijke gegevens voorziet. (2) Artikel 4 van het besluit nr. 9 sluit aan bij twee specifieke machtigingen tot verwerkingen die zowel in K.B. nr. 7 als in K.B. nr. 8 bepaald zijn. (3) Alvorens een geautomatiseerde verwerking wordt opgestart, moet ervan aangifte gedaan worden bij de Commissie voor de Bescherming van de Persoonlijke levenssfeer (artikel 17 par.3 WVP). De aangifte moet verschillende in de wet opgesomde gegevens vermelden. Zo moet de wettelijke basis vermeld worden waarbij de geautomatiseerde verwerking wordt ingesteld en ook het doel van de verwerking.

Handboek Privacy

december 2003

4334

doelstelling van de verwerking. (1) Er golden nog lagere tarieven indien de aangifte gebeurde via een bij de Commissie voor de bescherming van de persoonlijke levenssfeer te bekomen magnetische informatiedrager. Het koninklijk besluit werd gevolgd door een lijst met voorbeelden van in de praktijk vaak voorkomende doeleinden van verwerkingen, het zgn. lexicon van de doelen van de verwerking (bijlage 2). Over de toepassing van artikel 17 verscheen een zeer leesbaar ″bericht aan de bevolking″ in het Staatsblad van 18 maart 1995. De tarieven vastgelegd in de artikelen 1 tot 4 van het besluit werden in maart 1996 verminderd via een koninklijk besluit nr. 12bis (infra). Het besluit nr. 12 verduidelijkte, zoals gezegd, ook de wijze van betaling. Het bedrag moest gestort worden op een postrekening van het Ministerie van Justitie (art. 6 van het besluit). Het betalingsbewijs van deze storting moest bij de aangifte worden gevoegd (art. 7). Vond de betaling om een of andere reden geen doorgang, dan werd de aangifte als nietbestaand beschouwd (art. 8). De aangifte moest tevens vergezeld zijn van een handtekening. De verwerking kon worden opgestart en bestaande databanken konden blijven verder bestaan zodra de aangifte werd gedaan; dus zonder de ontvangstmelding af te wachten. (2) De Commissie voor de bescherming van de persoonlijke levenssfeer deed binnen de drie werkdagen een ontvangstbewijs van de aangifte geworden (cf. art. 17 van de wet). Dit ontvangstbewijs deed op geen enkele wijze uitspraak over de verenigbaarheid van de aangegeven verwerking met de wet van 8 december 1992. Ze moest juist mogelijk maken deze te toetsen. Binnen de drie dagen na de ontvangst, kreeg de aangifteplichtige tevens een identificatienummer. Dit nummer moest vermeld staan op ieder stuk dat in het kader van de geautomatiseerde verwerking gebruikt werd (art. 18 van de wet). Bij de installatie van camera’s moest een bordje in de gefilmde zone dit nummer vermelden. Aangiften van wijzigingen van in de oorspronkelijke aangifte kosten 20 Euro (art. 4 van het K.B.); kennisgevingen van de opheffing van geautomatiseerde verwerkin-

(1) Voor financie¨le of commercie¨le doelen diende de houder 200 Euro te betalen indien hij het voorgedrukte formulier aanwende, voor bedrijfsmatige doeleinden (o.a. personeelsbeheer) 150 Euro en voor non-profit doeleinden (gemeentelijke administraties, politie, wetenschappelijk onderzoek, etc.) 75 Euro.. (2) Memorie van Toelichting bij het Wetsontwerp tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens (6 mei 1991), Gedr. St., Kamer, 1990-91, 1610/1, 21.

4335

december 2003

Handboek Privacy

gen kosten niets (art. 5). Deze kosteloosheid strekte ertoe te verhinderen dat opgeheven verwerkingen bleven voorkomen in het publiek register, dat op die wijze niet meer accuraat zou zijn. 7.9 Het jaar 1995: nieuwe timing voor de inwerkingtreding De lente en de zomer van 1995 dienden ogenschijnlijk om de verantwoordelijken voor de verwerking tijd te geven vertrouwd te geraken met de in maart bekendgemaakte uitvoeringsbesluiten. We zagen reeds dat de inwerkingtreding van de WVP via een wet uit 1994 uitgesteld werd tot 1 maart 1995. Op die dag traden alle bepalingen van de wet in beginsel in werking. Verantwoordelijken voor de verwerking van bestaande verwerkingen genoten evenwel van een overgangsregime voor de verwerking van gevoelige en gerechtelijke gegevens, voor de kennisgevingplicht bij de eerste registratie en voor de aangifteplicht (cf. K.B. nr. 2). Ze kregen tot 1 december 1995 de tijd om zich volledig te schikken naar de wet. Voor die datum moesten een groot aantal verantwoordelijken voor de verwerking alle personen verwittigen die in hun verwerking opgenomen zijn. Zowel met de aangifte als met de kennisgevingplicht liep het evenwel goed fout. Al snel werd immers duidelijk dat vele verantwoordelijken voor de verwerking bezwaren hadden tegen de praktische modaliteiten die in de laatste uitvoeringsbesluiten opgelegd werden. De nieuwe Minister van Justitie, Stefaan De Clerck, reageerde welwillend door correcties aan de uitvoeringsbesluiten in het vooruitzicht te stellen. In afwachting werd koninklijk besluit nr. 2bis van 29 september 1995 uitgevaardigd dat verantwoordelijken voor de verwerking met bestaande verwerkingen tijd gaf tot 1 juni 1996 i.p.v. 1 december 1995 om zich volledig te schikken naar de artikelen 6, 8, 9 en 17 van de wet. (1) Midden 1995 raakte bovendien de definitieve tekst van de Europese richtlijn bekend – de publicatie zou pas in november 1995 volgen – en doken de eerste plannen tot een aanpassing van de wet van 8 december 1992 op. Terzelfdertijd en ondanks het voornemen de wet te wijzigen, werd een voorlichtingscampagne bij het publiek rond de bestaande wet

(1) Uitgebreid hierover de hoofdstukken 8 en 9, infra.

Handboek Privacy

december 2003

4336

aangekondigd, een campagne die begin 1996 de vorm aannam van een brochure. (1) 7.10 Stefaan de Clerck: minister van privacyderegulering De nieuwe minister Stefaan De Clerck die omstreeks 1995 aantrad als justitieminister maakte van de omkadering van de informatiemaatschappij een belangrijk actiepunt en zou zich daartoe quasi permanent laten bijstaan door wetenschappers. M.b.t. privacy toonde de minister zich meer de minister van de middenstand. Vooral kleine en middelgrote bedrijven hadden geen belangstelling voor privacy en beschouwden de praktische implicaties van de WVP (het verplicht te vermelden identificatienummer, de aangifte, de kosten voor de aangifte) als een zoveelste voorbeeld van bureaucratische verstikking. De minister maakte zich deze klachten eigen en startte, naar het voorbeeld van de Noorderburen in de vroege jaren tachtig, (2) een privacy dereguleringscampagne. In de praktijk kwam dit neer op een beleid om alle op het terrein voelbare implicaties van de WVP (oud) af te schaffen of af te zwakken, waardoor de WVP meer en meer het karakter kreeg van een abstract lijstje beginselen dat elke verantwoordelijke voor de verwerker naar eigen inzicht kon toepassen. Wat nog meer opvalt is de zwakke, wetenschappelijk ondersteuning van het nieuwe beleid. Hadden de ’scherpe’ kanten van de WVP dan geen enkel (mogelijk) nut? (3) Was het echt zo dat de WVP te weinig bedrijfsvriendelijk was? (4) In schril contrast staat Nederland dat naar het functioneren van ’haar’ privacywet (de WPR) relatief veel onderzoek heeft laten verrichten. Dit onderzoek leerde dat maatschappelijke wrevel over de administratieve plichten van de privacywet niet in alle sectoren even groot is (wat de mogelijkheid biedt tot een gefocust beleid) en ook dat de aangifteplicht in de praktijk niet leidt tot een privacy-

(1) De privacywet. Informatie voor wie gegevens over personen verwerkt, Brusselse Federale Voorlichtingendienst, april 1996, 12p. (2) BLOK, P., o.c., 144-145. (3) Voor een verdediging van de zgn. bureaucratische elementen in de WVP (oud): DE HERT, P., ’Grondrechten die bijna niet verdedigd kunnen worden. De bescherming van persoonlijke gegevens op het internet’ in PARMENTIER, St. (red.), De rechten van de mens op het Internet, ICM Jaarboek 1998, Antwerpen, Maklu, 2000, 21-76. (4) In Nederland kwam soortgelijke kritiek bij nader inzien alleen vanuit het bedrijfsleven; de publieke sector had geen probleem met bijvoorbeeld het vergunningsstelsel. Cf. BLOK, P., o.c., 144-145.

4337

december 2003

Handboek Privacy

vriendelijke cultuuromslag bij bedrijven en instellingen, omdat deze de plicht teveel als een eenmalige, losstaande plicht ervaren. (1) De aangekondigde bijschaving of deregulering van de uitvoeringsbesluiten bij de wet van 8 december 1992 zou gedeeltelijk gerealiseerd worden in de eerste helft van 1996. Op 15 maart 1995 werden drie besluiten in het Staatsblad bekendgemaakt, eéń inzake de heffingen bij de aangifte, een tweede inzake de vrijstellingen van aangifte en een derde inzake de vrijstelling van de kennisgeving. Rode draad was het streven om de naleving van de plichten van de wet voor de verantwoordelijke voor de verwerking zo soepel en goedkoop mogelijk te houden. 7.11 Nieuwe, lagere tarieven voor de aangifte Koninklijk besluit nr. 12bis van 12 maart 1996 wijzigde K.B. nr. 12 van 7 maart 1995 dat de bedragen bepaalt die aan de Commissie voor de bescherming van de persoonlijke levenssfeer moesten worden betaald bij elke aangifte. De oude tarieven die door de nieuwe Minister in zijn verslag aan de Koning als ’onredelijk hoog’ werden bestempeld, gingen naar omlaag en het ganse heffingssysteem werd aanzienlijk versoepeld. (2) Artikel 1 van K.B. nr. 12 dat bepaalde dat voor ’vrije’ of niet-gestandariseerde aangiften 250 Euro frank diende betaald te worden bleef behouden. De overige tarieven (in de artikelen 2 tot 4 van K.B. nr. 12) werden vervangen. Ditmaal geen tarifie¨ring in functie van de wijze van aangifte en in functie van de doelstellingen, maar wel in functie van de wijze van aangifte en het aantal verwerkte personen:

(1) Cf. BLOK, P., o.c., 145-146 met verw, (2) Of het door K.B. nr. 12 uitgebouwde tariefsysteem te duur was, laten we hier open. Wel kunnen we ons vinden in de observatie in het verslag bij het nieuwe besluit dat een te hoge kostprijs de verantwoordelijken voor de verwerking stimuleert om de doeleinden van hun verwerking zo algemeen mogelijk te omschrijven teneinde minder verwerkingen te moeten aangeven en de aangiftekost te drukken, wat om evidente reden een goede controle op de naleving van de privacywet in de weg staat. Tevens wordt in het verslag bij het nieuwe besluit terecht opgemerkt dat koninklijk besluit nr. 12 door de hoogte van de bijdragen te koppelen aan de aard van de doelstelling vermeld in het lexicon, aan dit vrijblijvend en als bijlage opgenomen lexicon een ongewenst dwingend karakter geeft.

Handboek Privacy

december 2003

4338

- indien de verwerking van persoonsgegevens werd aangegeven aan de hand van het modelaangifteformulier (cf. Bijlage 1 bij K.B. nr. 12, B.S., 14 maart 1995, 5671 ev.) diende aan de Commissie voor de bescherming van de persoonlijke levenssfeer 125 Euro per verwerking betaald te worden en 62,5 Euro indien de verwerking op de datum van de aangifte slechts betrekking had op ten hoogste 100 personen (nieuw art. 2 K.B. nr. 12 ingevoegd door art. 1 K.B. nr. 12bis); - indien de verwerking van persoonsgegevens werd aangegeven aan de hand van de door de Commissie verstrekte magnetische informatiedrager, betaalde de verantwoordelijke voor de verwerking 25 Euro per verwerking of 12, 5 Euro indien de verwerking op de datum van de aangifte slechts betrekking had op ten hoogste 100 personen (nieuw art. 3 K.B. nr. 12 ingevoegd door art. 2 K.B. nr. 12bis); - de verantwoordelijke voor de verwerking die wijzigingen meldt aan de Commissie betaalde nog steeds 20 Euro, doch dit bedrag moest ditmaal niet betaald worden voor elke wijziging, maar kon betaald worden voor een hele groep van wijzigingen aan meerdere verwerkingen, zo deze in de wijzigingsaangifte op hetzelfde ogenblik gemeld werden aan de Commissie (nieuw art. 4 K.B. nr. 12 ingevoegd door art. 3 K.B. nr. 12bis). De overige bepalingen van besluit nr. 12 inzake de wijze waarop diende te worden betaald, bleven onveranderd.

7.12 Dertien nieuwe vrijstellingen aangifteplicht De achtste paragraaf van artikel 17 WVP (oud) laat de Koning toe een aantal geautomatiseerde verwerkingen vrij te stellen van de in principe verplichte aangifte bij de Commissie en laat hem ook toe de aangifte gevoelig te vereenvoudigen, zo die ’kennelijk geen gevaar inhouden op het gebied van de schending van persoonlijke levenssfeer’.De formulering ″kennelijk een gevaar op het gebied van de schending van de persoonlijke levenssfeer″ is overgenomen uit de Franse wet van 6 januari 1978 relative a` l’informatique, aux fichiers et aux liberte´s. Art. 17 van die wet geeft aan de Commission nationale de l’informatique et de liberte´s de mogelijkheid om ″des normes simplifieés″ op te stellen ″pour les cate´gories les plus courantes de traitements a` caracte`re public ou prive´, qui ne comportent manifestement pas d’atteinte a` la vie priveé ou aux liberte´s″. Op grond van dit artikel heeft

4339

december 2003

Handboek Privacy

de CNIL vereenvoudigde normen opgesteld voor een dertigtal categoriee¨n van verwerkingen, zowel uit de private als uit de publieke sector : paie des personnels, gestion de personnels, redevances, gestion des preˆts d’ouvrages, taxes et redevances locales, gestion de clients, gestion des comptes clients, gestion des cre´dits, fournisseurs, listes d’adresses, contrats d’assurance, vente par correspondance, enqueˆtes statistiques, gerance immobilie`re, retraite et pre´voyance sociale, gestion des membres, gestion des abonne´s, statistiques, fichier d’e´le`ves, facturation des services, listes e´lectorales. De nieuwe Belgische justitieminister ging nu voor ons land hetzelfde doen. Koninklijk besluit nr. 13 van 12 maart 1996 bepaalde niet minder dan dertien vrijstellingen van de aangifteplicht. Het ging om verwerkingen met als doelstelling: - loonadministratie; (1)

(1) Art. 2 van K.B. nr. 13. De vrijstelling van de aangifteplicht geldt alleen voor verwerkingen die uitsluitend betrekking heeft op persoonsgegevens die voor de loonadministratie nodig zijn. Bovendien geldt de vrijstelling enkel indien de persoonsgegevens gebruikt worden voor de loonadministratie. Zij mogen dus niet meegedeeld worden behoudens indien dat laatste vereist wordt voor de toepassing van een wettelijke of reglementaire bepaling of voor de normale uitvoering van de loonadministratie (bijv. verstrekking van de nodige gegevens aan de bankinstelling voor de betaling van het loon). ″Loon″ omvat alle vormen van loon, wedde of andere vergoedingen voor of betreffende prestaties die door de betrokken personen in opdracht van of ten behoeve van de verantwoordelijke voor de verwerking worden verricht. De aard van de vergoeding (in geld of in natura, terugbetaling van kosten of vergoeding voor prestaties, enz. ...) doet niet terzake, evenmin als het statuut van de betrokkene die de prestaties verricht (werknemer, zelfstandige, interimaris, stagiair, leerling, enz. ...). De vrijstelling geldt voor de verwerking van alle gegevens die in dit verband voorgeschreven worden door de wet op de sociale documenten en aanvullende verplichtingen en die voortvloeien uit de bepalingen van o.m. het arbeidsrecht, de sociale zekerheid, de fiscale wetgeving, met inbegrip van de bepalingen van collectieve en individuele arbeidsovereenkomsten. De verwerkte persoonsgegevens omvatten o.m. identificatiegegevens, financie¨le gegevens, persoonlijke kenmerken (bijv. verblijfsvergunning), fysische gegevens (bijv. de maten voor de werkkledij), gegevens over bepaalde leefgewoonten (politieke mandaten, lidmaatschappen die door de werkgever worden betaald, merk van wagen, aard van de woning, ...), samenstelling van het gezin, sommige gerechtelijke gegevens die een invloed hebben op de arbeidsovereenkomst (bijv. voorlopige hechtenis), gegevens over vorming en opleiding, alle mogelijke gegevens m.b.t. de functie van de betrokkene en de uitoefening ervan (loopbaanoverzicht, aanwezigheidsoverzicht, werkorganisatie, classificatie, ...).

Handboek Privacy

december 2003

4340

-

personeelsadministratie; (1) boekhouding; (2) vennoten- en aandeelhoudersadministratie; (3) klanten- en leveranciersadministratie; (4) administratie van leden en begunstigers;

(1) Art. 3 van K.B. nr. 13. Onder ″personeelsadministratie″ worden de verwerkingen verstaan die door de werkgevers worden verricht met betrekking tot hun personeel en dit inzoverre deze verwerkingen niet rechtstreeks voortvloeien uit de toepassing van wettelijke, reglementaire of conventionele bepalingen m.b.t. de tewerkstelling. Gedoeld wordt op functies als selectie en aanwerving, opleiding, werkplanning, sociale voorzieningen, loopbaanplanning, evaluatie, enz. Deze activiteiten behoren niet tot de opdracht van de sociale secretariaten. Hoewel de meeste werkgevers voor de ″loonadministratie″ een beroep doen op een sociaal secretariaat, voeren ze daarnaast nog een eigen ″personeelsadministratie″. Het is deze administratie die in art. 3 wordt bedoeld. (2) Art. 4 van K.B. nr. 13. De term ″boekhouding″ moet begrepen worden in de zin van de wet van 17 juli 1975 op de boekhouding en de jaarrekening van de ondernemingen, als de op regelmatige tijdstippen en conform de daarvoor geldende regels bijgehouden administratie die als innings- en controlemiddel kan dienen bij de belastingsinning en waarvan openen overlegging kan gevraagd worden bij de rechtbank. Elke boekhouding die onder die definitie kan gebracht worden, komt voor vrijstelling in aanmerking, ongeacht het feit of ze al dan niet onder het toepassingsgebied van de wet van 17 juli 1975 valt. Er wordt dus enkel naar laaststgenoemde wet verwezen voor de definitie van het begrip boekhouding. (3) Art. 5 van K.B. nr. 13. De vrijstelling is beperkt tot het beheer van de aandeelhouders en vennoten van de houder zelf of van vennootschappen die tot dezelfde groep behoren. Het samenstellen van een database met informatie over aandeelhouders en vennoten van alle mogelijke vennootschappen in Belgie¨ of in het buitenland, kan dus niet beschouwd worden als een verwerking die in toepassing van art. 5 vrijgesteld is van de aangifteplicht. (4) Artikel 6 K.B. nr. 13. Het begrip ″klanten″, term die ook van toepassing is op ″clie¨nten″ (bijv. van accountants, makelaars, fiduciaires, wisselagenten, financie¨le raadgevers, detectives en andere vrije beroepen), . wordt beperkt tot personen die t.o.v. de verantwoordelijke voor de verwerking in een commercie¨le relatie staan. Het hoeft echter niet noodzakelijk om reeds bestaande klanten te gaan. Ook bij registratie van potentie¨le klanten (zogenaamde ″prospecten″) blijft de vrijstelling overeind. Het begrip ″klantenadministratie″ slaat op het beheer van de zakelijke relatie tussen de klant en de verantwoordelijke voor de verwerking: noodzakelijke identificatiegegevens, financie¨le gegevens, registratie van bestellingen, opvolging van bestellingen, levering van goederen en diensten, opvolging van betalingen, marketingactiviteiten, enz...

4341

december 2003

Handboek Privacy

- communicatiegegevens; (1)-bezoekersregistratie; (2) - leerlingen- en studentenbeheer; (3) - gemeentelijke registers; (4) - openbare registers; (5) - sociale zekerheid; (6) - bepaalde wettelijk geregelde verwerkingen. (7) Het besluit dat 16 bepalingen telde, wijdde aan elke vrijstelling een artikel en verduidelijkte de voorwaarden bij de vrijstelling. 7.13 Bijkomende vrijstellingen kennisgevingplicht Het koninklijk besluit nr. 15 van 12 maart 1996 is het derde besluit dat op 15 maart 1996 in het Staatsblad bekendgemaakt werd. Het besluit strekt ertoe K.B. nr. 9 van 7 februari 1995 te wijzigen dat, zoals we zagen, een aantal uitzonderingen bij artikel 9 van de wet (plicht tot kennisgeving bij eerste regis(1) Art. 8 van K.B. nr. 13. De vrijstelling van aangifte geldt voor verwerkingen van voor communicatie benodigde gegevens (naam, adres, bedrijf, functie, titel, aanspreking, taal, telefoon, telefax, electronisch postadres, e.a.) van contactpersonen. In dergelijke verwerkingen worden in de regel allerhande personen opgenomen met wie de verantwoordelijke voor de verwerking bijvoorbeeld public relations of maatschappelijke of professionele relaties wenst aan te leggen of te onderhouden. De vrijstelling geldt slechts voor de verwerkingen van voor communicatie benodigde gegevens die niet reeds onder een andere bepaling van dit besluit vallen. De vrijstelling geldt alleen voor identificatiegegevens en gegevens die nodig zijn om de persoon te lokaliseren in de ruimte en de tijd, en niet op enig ander gegeven, zoals profielgegevens, aanduidingen over hobby’s, voorkeuren, consumptiegewoonten, e.d. (2) Art. 9 van K.B. nr. 13. Dit artikel heeft betrekking op eenvoudige bezoekersregistraties die worden verricht n.a.v. de toegang tot bijv. bedrijfsterreinen of -gebouwen. Indien ook nog andere persoonsgegevens worden verwerkt, is de verwerking niet vrijgesteld van de aangifteplicht. De toegangscontrole kan zowel de controle op het ogenblik van het bezoek als de in het kader van het intern veiligheidsbeleid achteraf verrichte verificaties omvatten. De verwerkte persoonsgegevens mogen uitsluitend voor toegangscontrole in deze zin gebruikt worden. (3) Art. 9 van K.B. nr. 13. De vrijstelling geldt niet wanneer bijvoorbeeld een universiteit lijsten collecteert van leerlingen van middelbare scholen in het kader van het werven van de aangifteplicht. Hetzelfde geldt indien de gegevens van leerlingen of studenten aan derden worden meegedeeld. (4) Art. 11 van K.B. nr. 13. De vrijstelling heeft ondermeer betrekking op bevolkingsregisters, registers van de burgerlijke stand, kieslijsten, enz. (5) Art. 12 van K.B. nr. 13. De uitzondering slaat op verwerkingen zoals het handelsregister. (6) Art. 13 van K.B. nr. 13. De uitzondering slaat ondermeer op bepaalde verwerkingen die gebruik maken van het Rijksregister. (7) Art. 14 van K.B. nr. 13. De uitzondering slaat ondermeer op bepaalde verwerkingen van instellingen van de sociale zekerheid onder het regime van de Kruispuntbankwet en haar uitvoeringsbesluiten.

Handboek Privacy

december 2003

4342

tratie) vastlegde en tevens de voorwaarden bepaalde waaronder houders geregistreerden op een collectieve wijze kunnen informeren over de kennisgeving. De procedure voor de collectieve informatieverstrekking (art. 5 en 6 van K.B. nr. 9) werd door het nieuwe besluit eenvoudigweg afgeschaft (art. 3 K.B. nr. 15). In het verslag bij het nieuwe besluit werden daartoe zonder veel uitleg ’praktische toepassingsproblemen’ ingeroepen. De artikelen 4 en 5 van K.B. nr. 9 houdende vrijstellingen voor bepaalde verwerkingen van gevoelige en gerechtelijke gegevens bleven ongewijzigd. De drie overige reeds bestaande vrijstellingen (vervat in artikel 1 en 2 van K.B. nr. 9) werden gehergroepeerd in een nieuw artikel 2 dat tevens voorzag in enkele nieuwe, bijkomende vrijstellingen. Sterk samengevat zag het plaatje van de vrijstellingen er door besluit nr. 15 als volgt uit: Er was vrijstelling van de plicht tot kennisgeving aan de geregistreerde indien: a) de betrokkene reeds bij de inzameling van de gegevens in kennis was gesteld; b) de verwerking uitsluitend de identificatie beoogde van personen met wie de verantwoordelijke voor de verwerking public relations of maatschappelijke of professionele betrekkingen wenste aan te leggen en te onderhouden; c) de gegevens betreffende de betrokkene slechts in een verwerking werden opgenomen als bijkomstige registratie bij de hoofdzakelijke registratie van een ander natuurlijk persoon, rechtspersoon of entiteit; d) de verwerking gegevens bevatte bedoeld in artikel 3, par. 2, 3° van de wet van 8 december 1992 (openbaarmaking door de betrokkene zelf); e) de verwerking gegevens bevatte waarvan de openbaarmaking door een wettelijke of reglementaire bepaling werd geregeld. De onder c, d en e bedoelde vrijstellingen hadden betrekking op verwerkingen waarvoor onder het regime van afgeschafte koninklijk besluit nr. 9 een individuele kennisgevingplicht vereist was, doch waarvoor tevens een collectieve informatieverstrekking mogelijk was. De nieuwe regeling in K.B. nr. 15 versoepelde m.a.w. een reeds bestaande versoepeling. De grootste versoepeling mogelijk gemaakt door de nieuwe regeling was niet opgenomen in het K.B. nr. 15 zelf maar wel in het verslag bij dit besluit. Daarin werd immers het standpunt verdedigd dat verantwoordelijken voor de verwerking van reeds bestaande verwerkingen vrijgesteld waren van de

4343

december 2003

Handboek Privacy

plicht de voor 1 maart 1995 geregistreerden in kennis te stellen van de verwerking (1) Koninklijk besluit nr. 15 was over de hele lijn minder streng dan het koninklijk besluit nr. 9, behalve op eéń punt: de mogelijkheid voor marktonderzoekers en adressenmakelaars om geregistreerden collectief en dus niet individueel in kennis te stellen, (art. 5 par. 2 K.B. nr. 9), werd niet behouden in het gewijzigd besluit. 7.14 Nieuwe richtlijnen gevoelige gegevens Koninklijk besluit nr. 14 van 22 mei 1996 verving koninklijk besluit nr. 7 van 7 februari 1995 dat artikel 6 van de wet uitvoerde. De nieuwe Minister vond het nodig zich ook over deze materie, - de mogelijke doeleinden, criteria en voorwaarden van toegestane verwerkingen van persoonsgegevens inzake ras, politieke, religieuze of filosofische overtuiging en lidmaatschappen van mutualiteiten en vakbonden te buigen. Waarom koninklijk besluit nr. 7 aan vervanging toe was, werd niet toegelicht. Het argument voor de vervanging was Europa, met name de Europese richtlijn van 24 oktober 1995. Nog voordat de WVP aan deze richtlijn werd aangepast, voelde de Minister de noodzaak aan om koninklijk besluit nr. 7 aan de richtlijn aan te passen en dit om ″voor de verwerking van gevoelige gegevens aan de verantwoordelijken voor de verwerking van een bestand geen gedragslijn op te leggen die fundamenteel afwijkt van de bepalingen van de Europese richtlijn″. (2) Dergelijk haastwerk doet de wenkbrauwen fronsen. Wat was er aan de hand?Ogenschijnlijk niets omdat de Europese richtlijn zich baseerde op hetzelfde principe als de Belgische wet voor de verwerking van persoonlijke gegevens: de verwerking van gevoelige persoonsgegevens is in principe verboden, tenzij in een aantal strikt omschreven wettelijke gevallen. Die gevallen verschillen echter in belangrijke mate van deze waarin het koninklijk Besluit van 7 februari 1995 voorzag. De logica van de minister was de volgende: indien men het besluit van 7 februari (1) Het verslag vertrekt van de vaststelling dat bijna elke burger medio de jaren negentig reeds in honderden bestanden is geregistreerd zowel bij de overheid als bij de prive´-sector. De toepassing van de kennisgevingsverplichting op reeds geregistreerden zou een te grote stroom van briefwisseling op gang brengen. Elke burger zou wellicht tientallen brieven ontvangen waarin staat dat hij of zij geregistreerd is in een bestand. Zie ook infra. (2) Verslag aan de Koning bij K.B. nr. 14, B.S., 14516.

Handboek Privacy

december 2003

4344

1995 zou laten bestaan, zou het in de nabije toekomst (toch) gewijzigd moeten worden. Beter was daarom nu al in te grijpen. Zoniet legde men aan de bedrijven, administraties en andere organisaties die persoonlijke gegevens verwerkten, een gedragslijn op die op vrij korte termijn weer gewijzigd zou moeten worden. Daarom verkoos de Minister om van meet af aan het koninklijk besluit van 7 februari 1995 te vervangen door een nieuw besluit dat reeds was aangepast aan de Europese richtlijn, tenminste in zoverre de wet van 8 december 1992 dit toeliet. Hoewel op deze handelswijze commentaar mogelijk is, (1) moest vastgesteld worden dat het nieuwe besluit, dat net als zijn voorganger 10 bepalingen telde, logischer en leesbaarder was dan zijn voorganger. (2) Na een reeks definities (art. 1), somden de artikelen 2 en 3 zeven toegelaten verwerkingsdoeleinden op inzake gevoelige gegevens. Deze waren allen overgenomen uit artikel 8 van de Europese richtlijn dat over gevoelige gegevens handelt. De artikelen 4, 5 en 6 van het besluit namen bijkomend vijf toegelaten verwerkingsdoeleinden over uit het oude besluit en dit in licht gewijzigde vorm. Artikel 7 van het nieuwe besluit legde twee technische waarborgen op die bij de verwerking van gevoelige gegevens diende te worden nageleefd. Artikel 8 van het besluit hief K.B. nr. 7 op. Het besluit trad in werking op 30 mei 1995 (art. 9). Inhoudelijk diende vooral te worden aangemerkt dat koninklijk besluit nr. 16 als algemeen principe voorzag dat ″gevoelige″ persoonlijke gegevens mochten worden verwerkt als men de uitdrukkelijke toestemming daarvoor had gekregen van de betrokkene op wie deze gegevens betrekking hadden. Op dit principe, toestemming is nodig, werden een aantal uitzonderingen voorzien. Zonder toestemming van de betrokkene mochten deze persoonsgegevens worden verwerkt:

(1) In het licht van de discussie gevoerd tussen de Minister en de Raad van State over de vraag of de Koning mag vooruitlopen op een nog niet omgezette richtlijn of integendeel moet wachten op een (parlementaire) wet die de richtlijn omzet (deze discussie wordt uitgebreid toegelicht in de Verslagen aan de Koning bij de K.B.’s nr. 13, 14 en 15), kan men de opportuniteit van het nieuwe besluit en de ermee gepaard gaande wijziging in de regelgeving op een zo korte interval in vraag stellen. (2) De oude opdeling tussen algemene en bijzondere machtigingen werd verlaten. In de plaatst kwam een opsomming van twaalf machtigingen, met aan de kop deze van Europese origine en aan de staart deze van Belgische origine.

4345

december 2003

Handboek Privacy

- als de verwerking ervan noodzakelijk was voor het naleven van arbeidsrechtelijke verplichtingen. Zo kon de werkgever o.m. een werknemer registreren die vrijaf nam voor de priesterwijding van zijn/haar zoon, hoewel daaruit de godsdienst van die werknemer kan afgeleid worden; - indien de betrokkene in de fysieke of juridische onmogelijkheid was om zijn/haar wil uit te drukken, maar de verwerking nodig was voor de bescherming van vitale belangen van hem/haarzelf of van een andere persoon; - als de verwerking ervan gebeurde door verenigingen en stichtingen in het kader van hun eigen ledenadministratie. Een politieke partij kon dus verder haar ledenbestand behouden ook al bleek daaruit de politieke opvatting van de geregistreerden; - indien de betrokkene deze gegevens uitdrukkelijk had bekend gemaakt. Zo was bijvoorbeeld de godsdienstige overtuiging van een kardinaal een gegeven dat verwerkt mocht worden, omdat dit voor niemand een geheim meer vormde; - als de verwerking gebeurde in het kader van de gezondheidszorg door beroepsbeoefenaars gebonden door het beroepsgeheim; - als de verwerking ervan gebeurde in het kader van o.m. de bestrijding van sommige seksuele misdrijven, de verdediging van de mensenrechten en de toepassing van de sociale zekerheid. 7.15 Laatste stand van zaken timing inwerkingtreding Koninklijk besluit nr. 16 van 22 mei 1996 verschoof, zoals reeds gezegd, de datum waarop de verantwoordelijken voor de verwerking zich moesten voegen naar de plicht vervat in artikel 18, lid 4 van de wet van 8 december 1992 om het identificatienummer van de verwerking op elk stuk dat gebruik maakt van gegevens uit de verwerking, te vermelden. (1) 7.16 Nieuwe richtlijnen gerechtelijke en aanverwante gegevens Koninklijk besluit nr. 17, gepubliceerd in het Belgisch Staatsblad van 11 december 1992, wijzigde de regels vervat in koninklijk besluit nr. 8 over de verwerking van gerechtelijke en (1) Uitgebreid hierover de hoofdstukken 8 en 9, infra.

Handboek Privacy

december 2003

4346

aanverwante gegevens. Artikel 8 van de wet van 8 december 1992 bepaalt dat de verwerking van dergelijke gegevens in principe verboden is, behalve voor doeleinden die een wet of een Koninklijk Besluit zijn bepaald. Zoals gezien, werden deze doeleinden vastgesteld en verduidelijkt in het koninklijk Besluit nr. 8 van 7 februari 1995. Hoewel de Europese richtlijn van 24 oktober 1995 geen gedetailleerde bepalingen bevat over de verwerking van deze gegevens, achtte de minister het toch opportuun, om naar aanleiding van en tezamen met koninklijk besluit nr. 14, enkele kleine wijzigingen door te voeren. Koninklijk besluit nr. 17 bracht daarom drie wijzigingen aan in de bestaande wetgeving over de verwerking van gerechtelijke gegevens. De belangrijkste wijziging handelde over de verwerking van de rechtspraak. In het bestaande Koninklijk Besluit van 7 februari 1995 was een bepaling opgenomen die de verwerking van gerechtelijke gegevens toeliet voor het opmaken van een staat van de rechtspraak. Dit liet bijvoorbeeld toe om vonnissen en arresten ter beschikking te stellen via cd-rom of online-databanken. Die uitzondering sloeg echter alleen op strafrechtelijke beslissingen en gold niet voor burgerlijke of administratieve rechtspraak. Nochtans werden arresten van de Raad van Justitie en zelfs van het Europees Hof van de Rechten van de Mens meestal gepubliceerd zonder weglating van de naam van de partijen. ’Dit is een zo courante praktijk, die dus de Belgische grenzen overstijgt, dat het moeilijk kan verboden worden’, aldus de minister in zijn verslag aan de Koning bij het nieuwe koninklijke besluit nr. 17. ’Bovendien is het niet erg zinvol om een uitzondering toe te staan voor strafrechtelijke uitspraken maar niet voor deze van de burgerlijke of administratieve rechter’. Daarom voorzag artikel 1 van het nieuwe koninklijk besluit dat voortaan ook vonnissen en arresten van burgerlijke of administratieve aard ter beschikking konden worden gesteld voor een overzicht op bijvoorbeeld cd-rom of via online-databanken. De tweede wijziging betrof de afschaffing wachttijd voor verwerking. Tot dan moest de verantwoordelijke voor de verwerking om gerechtelijke gegevens te verwerken, 1 maand wachten nadat hij de toestemming had gevraagd aan de persoon van wie hij gerechtelijke gegevens wou verwerken (cf. art. 3 K.B. nr. 8). Artikel 2 van het nieuwe koninklijk besluit, schafte deze termijn af. De termijn werd niet-nuttig geacht, daar het vaak de betrokkene zelf was die erop aan-

4347

december 2003

Handboek Privacy

drong dat zijn dossier zo snel mogelijk behandeld werd, bijv. bij het aanvragen van een verzekeringspolis. De derde wijziging betrof de afschaffing van de verplichting om de namenlijst ter beschikking te houden van alle personeelsleden die met gerechtelijke gegevens in aanraking kwamen (art. 4 K.B. nr. 8). Artikel 3 van het nieuwe koninklijk besluit, schafte deze verplichting eenvoudigweg af, met als argument dat de vrijwel alle personeelsleden werkzaam bij het Ministerie van Justitie, de hoven en rechtbanken, de politie en de rijkswacht, de banken en de verzekeringsmaatschappijen, op een of andere manier in aanraking kwamen met gerechtelijke gegevens, zodat de verplichting erg zwaar woog op deze organisaties en de lijst bijgevolg aan dagelijkse wijzigingen onderhevig was. In een dergelijke situatie was het niet zinvol aan elke belangstellende persoon de mogelijkheid te bieden om de identiteit de personeelsleden van die organisaties op te vragen. Het prive´-leven van die personen kon hierdoor zelfs in het gedrang worden gebracht, aldus de minister in zijn verslag bij het nieuwe besluit. De lijst moest, volgens het nieuwe besluit, daarom enkel ter beschikking gehouden worden van de Commissie voor de bescherming van de persoonlijke levenssfeer, als die erom verzocht.

8. De complexe timing van inwerkingtreding van de WVP (oud) 8.1 De inwerkingtreding volgens de wet: gedifferentieerd en aangepast Zoals aangegeven komen we op de complexe timing van inwerkingtreding van de WVP (oud) terug in een aparte paragraaf. Immers deze wet is niet in eéń keer in werking getreden. Een eerste reeks bepalingen trad in werking op 1 april 1993. De inwerkingtreding van de andere bepalingen was complexer en overspande een periode tot midden 1996. Het bepalen van de datum van inwerkingtreding van de bepalingen van de wet werd aan de Koning overgelaten. De wetgever had in de wet van 8 december 1992 alleen een uiterste grensdatum vastgelegd en creeërde alzo de mogelijkheid om de bepalingen van de wet niet allen tezamen in werking te laten treden. Alzo werd de Koning de mogelijkheid geboden binnen een zekere marge de datum van inwer-

Handboek Privacy

december 2003

4348

kingtreding uit te stellen en dit via koninklijke besluiten. Dit systeem moest de Koning de tijd geven om de nodige uitvoeringsmaatregelen uit te vaardigen m.b.t. de betrokken artikelen, zodat de verantwoordelijken voor de verwerking van een bestand bij de aanpassing van hun verwerkingen onmiddellijk met deze uitvoeringsmaatregelen rekening konden houden (1) De concrete data komen in een volgende paragraaf aan bod. Artikel 52, eerste lid, van de wet van 8 december 1992 machtigt de Koning ertoe om voor elke afzonderlijke bepaling de datum van inwerkingtreding vast te leggen. De wet voorziet wel in een zeker tijdschema: mocht de Koning voor een aantal bepalingen geen datum van inwerkingtreding vastleggen, dan treden zij zonder verder koninklijk ingrijpen in werking op 1 september 1994. Deze datum treft men niet aan met zoveel woorden in de wet, maar bekomt men door enig rekenwerk. Artikel 52 van de wet schrijft voor dat de bepalingen van de wet inwerking treden ’uiterlijk de eerste dag van de achttiende maand volgend op die waarin de wet in het Belgisch Staatsblad is bekendgemaakt’. De wet is op 18 maart 1993 in het Belgisch Staatsblad verschenen (blz. 5801). Rekent men vanaf 1 april 1993 achttien maanden erbij, dan bekomt men de ’magische’ datum van 1 september 1994. Midden 1994, met nog slechts twee maanden in zicht, werd artikel 52 van de wet aangepast door een wet van 30 juni 1994. (2) Voortaan heette het dat de wet definitief inwerking zou treden ’uiterlijk de eerste dag van de vierentwintigste maand volgend op die waarin de wet in het Belgisch Staatsblad is bekendgemaakt’. De oorspronkelijke termijn van 18 maanden bepaald in artikel 52, eerste lid, werd alzo op 24 maanden gebracht. Voortaan was de magische datum van definitieve inwerkingtreding van de wet van 1 maart 1995. De precieze geschiedenis van de inwerkingtreding van de bepalingen van de wet in de periode voortaan liep van 18 maart 1993 (datum van publicatie van de wet in het Staatsblad) tot 1 maart 1995 is vrij complex. We zagen hoger dat artikel 52, eerste lid van de wet de Koning machtigt om zelf

(1) Vgl. Commissie voor de bescherming van de persoonlijke levenssfeer, advies nr. 13/93 van 22 september 1993, B.S., 28 februari 1995, 4473. (2) Wet van 30 juni 1994 houdende wijziging van artikel 52 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens. B.S. 18 augustus 1994, 20839.

4349

december 2003

Handboek Privacy

voor de wettelijke einddatum afzonderlijke bepalingen inwerkingtreding te laten treden en dit bij koninklijk besluit. Op 18 maart 1993, dezelfde dag als deze waarop de wet gepubliceerd werd, maakte de Koning zo’n officieel tijdschema voor alle wetsbepalingen bekend. Dat schema stond in koninklijk besluit nr. 1 van 28 februari 1993 tot vaststelling van de datum van inwerkingtreding van de bepalingen van de wet van 8 december 1992. (1) De meeste bepalingen, aldus het besluit, treden in werking op 1 april 1993 (art. 1 K.B. n° 1). Daarnaast voorzag het besluit nog andere data voor enkele andere bepalingen. (2) 8.2 Geen enkele termijn werd gehaald Niet lang daarna, diende men vast te stellen dat bijna geen enkele nagestreefde termijn gehaald werd. In zijn Verslag aan de Koning bij koninklijk besluit nr. 6 stak de Minister van Justitie een beschuldigende vinger uit naar de burgers. Hij kon de belangrijke artikelen 6 (gevoelige gegevens), 8 (gerechtelijke gegevens) en 9 (kennisgevingplicht) (3)) niet in werking laten treden op 1 september 1993 (zoals voorzien in artikel 2 van K.B. nr. 1), omdat uit het maatschappelijke leven te weinig signalen opdoken over hoe deze bepalingen dienden geı¨mplementeerd te worden rekening houdend met ’de goede werking van het sociaal-economisch leven alsook van de openbare instellingen’. De Minister had immers bij de officie¨le bekendmaking van de wet van 8 december 1993 aan (1) B.S. van 18 maart 1993, 5816. (2) In het Verslag aan de Koning bij het besluit rechtvaardigde de Minister van Justitie dit als volgt: ″De bepalingen van onderhavig van koninklijk besluit zijn in vier categoriee¨n onderverdeeld. Iedere reeks van bepalingen treedt in werking zes maanden na de vorige reeks (...). Een dergelijke onderverdeling van de wetsbepalingen in vier categoriee¨n is gerechtvaardigd door de behoefte om die bepalingen zo spoedig mogelijk in werking te stellen en toch rekening te houden met overwegingen van praktische aard, die de onmiddellijke inwerkingtreding van verscheidene bepalingen in de weg staan″. Cf. Verslag aan de Koning bij K.B. n° 1, B.S. 18 maart 1993, 5815. Een overweging van praktische aard, aldus nog steeds het Verslag aan de Koning, is dat de artikelen m.b.t. de bijzondere gegevens (artt. 6, 7, 8) slechts op behoorlijke wijze kunnen worden toegepast indien tevens diverse uitvoeringsbepalingen worden uitgevaardigd. Andere bepalingen, zoals artikel 4 (kennisgeving van de verzameling aan de betrokkene) en 16 (organiseren van veiligheidsmaatregelen), konden dan weer, aldus het Verslag, slechts in werking treden na een termijn die voldoende lang moet zijn om aan de verantwoordelijke voor de verwerking de mogelijkheid te bieden de maatregelen te treffen die voor de inachtneming ervan nodig zijn. (3) Respectievelijk betrekking hebbend op het verbod op registratie van gevoelige en gerechtelijke gegevens en de kennisgevingplicht.

Handboek Privacy

december 2003

4350

de Belgische verantwoordelijken voor de verwerking verzocht binnen een bepaalde termijn voorstellen terzake in te sturen, (1) maar ogenschijnlijk hebben deze al te lang getalmd met het geven van signalen. (2) Het strakke tijdschema van koninklijk besluit nr. 1 diende dan ook te worden versoepeld door twee koninklijke besluiten, een eerste van 13 september 1993 (K.B. nr.6) (3)) en een tweede van 14 maart 1994 (K.B. nr.11) (4) De datum van inwerkingtreding van de artikelen 6, 8 en 9 werd naar later verschoven via een blanco bepaling: Elk van de artikelen 6, 8 en 9 (...) treedt in werking op de dag van de inwerkingtreding van het eerste koninklijke besluit tot uitvoering ervan (art. 3 K.B. nr. 6). Ook 1 maart 1994 werd niet gehaald. Op deze dag zouden de artikelen 17 en 18 van de wet inwerking treden. Deze bepalingen hebben respectievelijk betrekking op de verplichting tot voorafgaande aangifte van geautomatiseerde verwerking en het aanleggen van een register van de geautomatiseerde verwerkingen. De Commissie voor de bescherming van de persoonlijke levenssfeer kreeg de praktische modaliteiten voor de toepassing van deze artikelen niet rond (5) Een maand te laat, m.n. op 12 april 1994, verscheen in het Staatsblad een koninklijk besluit dat via een blanco-bepaling, de datum van inwerkingtreding van deze artikelen onbepaald verdaagde. (6)

(1) Cf. de drie adviezen die in het Belgisch Staatsblad na de teksten van de wet en de koninklijke besluiten nrs. 1 en 2, blz. 5884 en 5885, werden gepubliceerd. (2) Cf. het Verslag aan de Koning bij besluit nr. 6: ″Ten einde in dit verband aan Uwe Majesteit bepalingen op dit stuk te kunnen voorleggen, heb ik in het Belgisch Staatsblad van 18 maart 1993 tegelijkertijd met de wet van 8 december 1992, drie berichten doen publiceren waarin aan de houders van bestanden wordt gevraagd hun behoeften en suggesties mee te delen. Het bleek immers nodig om de werkelijke toestand van de gegevensverwerking in Belgie¨ te kennen alvorens reglementen ter zake vast te stellen. Spijtig genoeg heb ik binnen de in de berichten gestelde termijn nog geen enkele suggestie ontvangen. Slechts in de daaropvolgende weken heb ik suggesties ontvangen. De uitwerking van de ontwerpen van koninklijk besluit tot vaststelling van de afwijkingen op de artikelen 6, 8 en 9 van de wet van 8 december 1992 is derhalve aangevat met een aanzienlijke vertraging op het door mij vastgestelde tijdschema″. (3) B.S. van 25 september 1993, 21262. (4) B.S. van 12 april 1994, 9649. (5) ″De Commissie heeft vooraf vaak met vertegenwoordigers van de houders van bestanden overleg moeten plegen en heeft derhalve tot op heden de maatregelen nodig voor de ontvangst en de inschrijving van de aangiften, alsmede die betreffende de organisatie van voornoemd openbaar register nog niet kunnen uitwerken″ (uit het Verslag aan de Koning bij K.B. nr. 11, B.S., 12 april 1994, 9649). (6) ″Elk van de artikelen 17 en 18 (...) treedt in werking op de dag van de inwerkingtreding van het eerste koninklijke besluit tot uitvoering ervan (art. 2 K.B. nr. 11).

4351

december 2003

Handboek Privacy

8.3 De laatste kaap: inwerkingtreding van de artikelen 6, 8, 9, 17 en 18 We zagen dat de datum van inwerkingtreding van de artikelen 6, 8, 9, 17 en 18 onbepaald werd verdaagd via besluiten. Wel bepaald, was de definitieve datum van inwerkingtreding voorzien in artikel 52 van de wet van 8 december 1992, m.n. 1 september 1994 (zie hoger). Reeds schreven we dat deze datum via een wet van juni 1994 verschoven werd naar 1 maart 1995) en dit om de verantwoordelijke Minister nog zes maanden adempauze te geven bij het formuleren van de uitvoeringsbesluiten bij de artikelen 6, 8, 9, 17 en 18. (1) Volgens de Memorie van Toelichting bij de wet van 30 juni, waren deze zes extra maanden noodzakelijk omdat de uitvoeringsbesluiten bij de vijf overgebleven artikelen uitbleven, wat te maken had met de complexiteit van de te volgen procedure en het vele overleg dat dit meebracht. (2) De artikelen 6, 8, 9, 17 en 18 zouden uiteindelijk op 1 maart 1995 in werking treden. Dit was de datum voorzien in artikel 52, eerste lid van de wet. Het was tevens de datum waarop de uitvoeringsbesluiten bij de vier eerstgenoemde artikelen (resp. K.B.’s 7, 8, 9 en 12) in werking traden. (3) Eindelijk waren alle bepalingen van de WVP (oud) in werking getreden. (1) De overige bepalingen van de wet waren midden 1994 allen reeds in werking getreden. Koninklijk besluit nr.1, zoals gewijzigd bij de koninklijke besluiten nrs. 6 en 11, voorzag rekening houdend met de wet van 30 juni 1994, in het volgende schema: -1 april 1993: de artikelen 1 tot 3, 5, 16, par.1, 1°, 21 tot 33, 34, eerste lid, 35 tot 37, 38 (voor zover het de overtreding van artikel 16, par.1, 1° strafbaar stelt), 39, 3° (voor zover het de overtreding van artikel 5 strafbaar stelt) en 11°, 12° en 13°, 40 tot 45, 48 en 49, 51 en 52; -1 september 1993: de artikelen 4, 7, eerste tot derde lid, 10 tot 15, 16, par.1, 3°, 38 (voor zover het de overtreding van de artikelen 15 en 16, par.1, 3°), 39, 1°, 2°, 3° (voor de nummers 2° en 3° en voor zover het de overtreding van artikel 7 strafbaar stelt), 5° en 6°, 46, 47 en 50); -1 maart 1994: de artikelen 16, par. 1,2°, 19, 20, 34 tweede lid, 38 (voor zover het de overtreding van artikel 16, par. 1, 2° strafbaar stelt) en 39, 10°; -1 september 1994 : de artikelen 7, vierde en vijfde lid, en 16, par. 1, 4° en 5°, par. 2 en 3, alsook artikel 38 (voor zover het de overtreding van artikel 16, par. 1, 4° en 5° strafbaar stelt) -op een nader te bepalen datum (uiterlijk 1 maart 1995): de artikelen 6, 8, 9, 17 en 18, de artikelen 38 en 39 in de mate dat ze hun schending bestraffen. De strafbepalingen van artikel 38 en 39 traden in werking naarmate de bepalingen waarvan zij de overtreding strafbaar stellen van kracht werden. (2) Gedr. St. Kamer, 1993-94, nr. 1464/1, 1 en nr. 1464/2, 3. (3) De besluiten verschenen in het Staatsblad van 28 februari 1995, met uitzondering van K.B. nr. 12 dat op 14 maart 1995 verscheen en met terugwerking in de tijd uitwerking werd gegeven. Het uitvoeringsbesluit bij artikel 18 van de wet is in voorbereiding.

Handboek Privacy

december 2003

4352

8.4 Beoordeling Was de complexe inwerkingtreding van de wet die we zonet beschreven hebben wel echt nodig? Waarom een wet klaarstomen en deze pas drie jaar na publicatie in het Staatsblad volledig laten inwerkingtreden? Natuurlijk, de bescherming van de persoonlijke levenssfeer is gebaat bij een zo snel mogelijke inwerkingtreding van de wet en daarom is het goed dat de Koning zich een strak tijdschema oplegde om reeds voor 1 september 1994 de meeste bepalingen in werking te doen treden. De hele ontstaansgeschiedenis wijst er evenwel op dat Belgie¨ in 1992 nog niet klaar was met zijn wetgeving. Was wachten niet verkieselijk geweest? De Schengenakkoorden van 1985 en van 1990 lieten de verantwoordelijke Minister geen keuze. (1) Wou ons land tot de Schengengemeenschap toetreden, dan diende het te beschikken over een algemene wetgeving inzake de bescherming van de persoonlijke levenssfeer tegenover geautomatiseerde bestanden. Snelheid was dus geboden om tegemoet te komen aan de internationale druk. Door de uitgestelde inwerkingtreding kon dan weer tegemoet gekomen worden aan de eigen achterstand en de eigen gegevensverwerkende bevolking die tijd nodig had om zich aan te passen aan het nieuwe wettelijke kader. In een volgende hoofdstuk zullen we zien dat de wetgever, zichzelf, de verantwoordelijke Minister en de eigen bevolking, voorzag van nog een tweede ’snelheidsbegrenzer’.

9. Eveneens complex: de inwerkingtreding van de plichten van de WVP (oud) 9.1 Een bevoegdheid voor de Koning om de toepassing van de wet te vertragen De tactiek van de gespreide inwerkingtreding van de bepalingen van de wet, moest de Koning de tijd geven om de praktische uitvoeringsmodaliteiten van de wet in koninklijke besluiten te gieten. Pas op 1 maart 1995 was deze hele com(1) Verslag namens de Commissie voor de Justitie uitgebracht door de heer Vandenberghe bij het ontwerp van wet tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, Gedr. St., Senaat, 1991-1992 (B.Z.), 445- 2, 107.

4353

december 2003

Handboek Privacy

plexe operatie rond en traden alle bepalingen in werking. Daarmee was de kous niet af. De wetgever bouwde zoals gezegd een tweede ’veiligheidsklep’ in. (1) Telkens een wetsbepaling met een concrete verplichting voor de verantwoordelijken voor de verwerking in werking trad, kregen de verantwoordelijken voor de verwerking immers bijkomende tijd om zich aan deze bepaling aan te passen. Aan de Koning werd daartoe de ’bevoegdheid’ gegeven te bepalen hoeveel tijd de verantwoordelijken voor de verwerking in concreto voor het zich conformeren aan elke bepaling zouden kregen. Opnieuw vormt artikel 52 van de wet onze richtsnoer: De Koning bepaalt de termijn binnen welke de houder van een bestand zich naar de bepalingen van deze wet dient te schikken voor de verwerkingen die op het ogenblik van hun inwerkingtreding bestaan (art. 52 lid 2 WVP). Ditmaal was geen uiterste datum voorzien. De Koning beschikte alzo over de bevoegdheid om de toepassing van de wet onbeperkt uit te stellen. De door hem opgelegde termijnen konden bovendien via een eenvoudig koninklijk besluit verdaagd worden ’indien er een probleem zou rijzen’ bij de verantwoordelijken voor de verwerking’. (2) We zullen onmiddellijk zien dat de Koning dit inderdaad ook gedaan heeft. Eerst nog even dit: de veiligheidsklep werd alleen voorzien voor verantwoordelijken voor de verwerking van reeds bestaande verwerkingen. Geen veiligheid werd ingebouwd voor nieuwe of nog op te starten verwerkingen. Voor dergelijke verwerkingen moesten de inwerking getreden bepalingen ab initio nageleefd worden. 9.2 Koninklijk besluit nr. 2 creeërt ademruimte voor de verantwoordelijke voor de verwerking Koninklijk besluit nr. 2 tot vaststelling van de termijn binnen welke de verantwoordelijke voor de verwerking zich moet schikken naar de bepalingen van de wet van 8 december 1992 ’met betrekking tot de verwerkingen die op het tijdstip van de inwerkingtreding bestaan’ werd tezamen met de wet van 8 december 1992 en het koninklijk besluit nr. 1. in het Staatsblad van 18 maart 1993 gepubliceerd. Zoals uit het op(1) Term gebruikt bij de bespreking van artikel 52 WVP (toen nog artikel 50) in de Kamercommissie (Verslag namens de Commissie voor de Justitie uitgebracht door Mevr. Merckx-Van Goey, Gedr. St., Kamer, 1991-1992 (B.Z.), 413/12, 77). (2) Idem.

Handboek Privacy

december 2003

4354

schrift blijkt, strekte het besluit ertoe de verantwoordelijken voor de verwerking de gelegenheid te bieden binnen een bepaalde termijn de bestaande verwerkingen met een aantal wetsbepalingen in overeenstemming te brengen.Het besluit voorzag in drie termijnen met een looptijd van drie, zes of negen maanden, afhankelijk van de datum van inwerkingtreding van de bepalingen waarop zij betrekking hebben. De idee was zoals gezegd de volgende. Achtte de Koning de tijd rijp om een bepaling van de wet inwerking te laten rijpen, dan hadden de verantwoordelijken voor de verwerking drie, zes of negen maanden (afhankelijk van de bepaling) om zich te schikken naar die bepaling. Luidens het besluit dienden de verantwoordelijken voor de verwerking zich op 30 september 1993 te schikken naar artikel 5 (termijn van zes maanden met ingang van 1 april 1993); op 30 december 1993 naar artikel 16, par. 1, 1° (termijn van negen maanden met ingang van 1 april 1993); op 30 mei 1995 naar artikel 7, eerste tot derde lid (termijn van negen maanden met ingang van 1 september 1994) en op 30 november 1995 naar de artikelen 6, 8, 9 en 17 van de wet (termijn van negen maanden met ingang van 1 maart 1995). M.b.t. artikel 18 van de wet werkt het besluit een bijzondere regeling uit. (1) Niet de ingang van de datum waarop artikel 18 in werking trad, was de richtsnoer, maar wel de datum van de toekenning door de Commissie voor de bescherming van de persoonlijke levenssfeer van het identificatienummer van de verwerking aan de verantwoordelijke voor de verwerking. (2) 9.3 Opnieuw problemen met de naleving van de artikelen 6, 8, 9 en 17 WVP (oud) Opnieuw zorgde de naleving van de bepalingen 6, 8, 9 en 17 WVP (oud) voor problemen. We zagen dat deze bepalingen op 1 maart 1995 in werking treden. Verwerkingen opgestart na deze datum dienen deze bepalingen volledig uit te voe(1) Cf artikel 3 van K.B. nr. 2. (2) ″De houder van een bestand voor de geautomatiseerde verwerking van persoonsgegevens onderworpen aan de toepassing van dezelfde wet, moet zich schikken naar artikel 18, vierde lid, van die wet binnen een termijn van drie maanden te rekenen van de toekenning, door de Commissie voor de bescherming van de persoonlijke levenssfeer van het identificatienummer van die verwerking in het door voornoemde Commissie gehouden register, zulks voor de verwerkingen die reeds bestonden op het tijdstip van de inwerkingtreding van dat artikel 18″ (art. 3 K.B. nr. 2).

4355

december 2003

Handboek Privacy

ren. K.B. nr. 2 voorzag dat de verantwoordelijke voor de verwerking van een verwerking die op 1 maart 1995 reeds bestond, over een termijn van 9 maanden beschikte om zich naar deze bepalingen te richten. 30 november 1995 was de richtdatum. Een nieuw koninklijk besluit nr. 2bis dat een maand voor deze datum gepubliceerd werd in het Staatsblad, voegde aan deze ’uitsteldatum’ nog zes maand toe. 30 mei 1996 was voortaan de laatste dag waarop verantwoordelijke voor de verwerking van reeds bestaande verwerkingen zich rekenschap moest geven van de wet. Een dag later, vanaf 1 juni 1996, dienden de artikelen 6, 8, 9 en 17 van de wet volledig nageleefd te worden. (1) Voor deze verlengingen gaf de Minister in zijn verslag bij het nieuwe koninklijke besluit 2bis een aantal argumenten. Centraal stond bij hem een grote bezorgdheid voor de praktische problemen van de verantwoordelijken voor de verwerking bij de toepassing van de wet. (2) Primo waren er, aldus de Minister, problemen met de artikelen 6 en 8 van de wet. Gevoelige en gerechtelijke gegevens kunnen krachtens deze bepalingen slechts verwerkt voor doeleinden die in een wet of een koninklijk besluit worden bepaald. Op 7 februari 1995 vaardigde de Koning 2 koninklijke besluiten uit (K.B. nr. 7 en 8), waarin een aantal toegelaten doeleinden werden vastgesteld. Deze besluiten waren evenwel geenszins allesomvattend. Wetenschappelijke doeleinden werden niet in overweging genomen, omdat de Koning hieraan aparte besluiten wou besteden, besluiten die evenwel voor 1 maart 1996 niet klaar geraakten. (3) Die achterstand stelde een bijzonder probleem: ″Zo zou het vanaf 1 december 1995 niet meer toegelaten zijn om gevoelige en gerechtelijke persoonsgegevens te verwerken voor wetenschappelijke doeleinden″. (4) Een verlenging van zes maanden moest toelaten de genomen uitvoeringsbesluiten opnieuw te evalueren en tevens voor het specifieke probleem van het wetenschappelijke onderzoek een oplossing te vinden. Opvallend is dat de Minister niet repte over nog een andere ’vergeten’ sector, m.n. die van de pers. Ook journalisten zouden zonder een op

(1) Koninklijk besluit nr. 2bis van 29 september 1995 tot wijziging van het koninklijk besluit nr. 2, B.S., 7 november 1995. (2) Verslag aan de Koning bij K.B. nr. 2bis, B.S., 7 november 1995, 28542. (3) ″Voor deze situaties werden specifieke koninklijke besluiten in het vooruitzicht gesteld, maar gelet op de complexiteit van de problemen, is het niet mogelijk om hierover voor 1 december 1995 de nodige besluiten in werking te laten treden″ (Idem). (4) Idem.

Handboek Privacy

december 2003

4356

maat gemaakt besluit in principe geen gevoelige en gerechtelijke persoonsgegevens kunnen verwerken. Secundo was er een probleem met de toepassing van de artikelen 9 en 17. De toepassing van deze artikelen in combinatie met K.B. nr. 2 verplichte de verantwoordelijken voor de verwerking tegen 1 december 1995 (respectievelijk) tot het verwittigen van alle personen die in hun verwerkingen waren opgenomen en tot het aangeven van al hun geautomatiseerde verwerkingen bij de Commissie voor de bescherming van de persoonlijke levenssfeer. De Minister gaf in het verslag bij K.B. br. 2bis niet duidelijk aan waar de praktische problemen op dit punt schuilden, maar uit de preambule van het besluit valt op te maken dat hij niet erg gelukkig was met de uitvoeringsbesluiten van zijn voorganger (respectievelijk K.B. nr. 9 en 12). Nieuwe besluiten werden in het vooruitzicht gesteld. (1) Al deze toepassingsproblemen brachten de nieuwe Minister er toe om de termijnen aan te passen. Voortaan dienen de artikelen 6, 8, 9 en 17 van de wet pas vanaf 1 juni 1996 volledig nageleefd te worden. De overige termijnen in K.B. nr. 2 werden ongemoeid gelaten. (2) 9.4 Eveneens problemen met de naleving van artikel 18 WVP (oud) Het verhaal is niet ten einde. Bepaalde geautomatiseerde verwerkingen moeten luidens artikel 17 van de wet aangegeven worden bij de Commissie voor de bescherming van de persoonlijke levenssfeer. Deze registreert de aangegeven verwerking in een register en kent daarbij een nummer toe. Artikel 18, lid 4, bepaalt dat de verantwoordelijke voor de verwerking dit register- of identificatienummer moet vermelden op ieder stuk waarvoor de verwerking in kwestie is gebruikt.

(1) Deze zullen er komen op 12 maart 1996 en een aanzienlijke versoepeling van het systeem bewerkstelligen. K.B. nr. 12bis zal K.B. nr. 12 wijzigen. De tarieven van de bedragen die de houders aan de Commissie dienen te betalen telkens ze een verwerking aangeven, wordt gevoelig verlaagd. K.B. nr. 15 gaat K.B. nr. 9 versoepelen. Voor de houders wordt het gemakkelijker artikel 9 van de wet na te leven. (2) Artikel 5 van de wet dient bijgevolg op 1 oktober 1993 volledig nageleefd te worden; artikel 16, par. 1, 1° op 1 januari 1994; artikel 7, eerste tot derde lid op 1 juni 1995 en artikel 18, vierde lid binnen een termijn van drie maanden te rekenen van de toekenning van het identificatienummer van de verwerking in het openbaar register door de Commissie voor de bescherming van de persoonlijke levenssfeer.

4357

december 2003

Handboek Privacy

Deze bepaling was het resultaat van een amendement (1) dat een verhoogde transparantie beoogde voor de burger geconfronteerd met stukken waarop zijn persoonsgegevens figureren (bijv. geadresseerde mailings). De verplichte vermelding van het identificatienummer op zo’n mailing moest de geregistreerde helpen de oorsprong van zijn gegevens terug te vinden en gaf m.a.w. antwoord op de vraag ’Hoe komt een persoon of een instelling aan mijn gegevens?’. Wie ongevraagd een gepersonaliseerd publicitair aanbod kreeg via de post, kon dus nagaan met welke verwerking de afzender de mailing had verricht. In de loop van 1996 werd duidelijk dat ook de toepassing van artikel 18, vierde lid van de wet op vele problemen bij de verantwoordelijken voor de verwerking stuitte. Opnieuw greep de nieuwe Minister van Justitie in en hij verving de termijn van drie maanden door een termijn van achttien maanden. (2) Niet minder dan argumenten aangevoerd. (3) 9.5 Vier bezwaren tegen artikel 18 WVP (oud) Het kostenargument stond centraal. De verplichting van artikel 18 van de wet vergde een aanpassing van de informaticasystemen, wat, aldus de Minister, ’niet zelden gepaard gaat met hoge kosten’. Belgie¨ was bovendien het enige land van de Europese Unie dat de identificatieplicht van verwerkingsstukken oplegde. De verplichting werd ook niet opgelegd door de Europese richtlijn van 24 oktober 1995, zodat het te verwachten was, aldus de Minister, dat alleen Belgie¨ de plicht zou opleggen. Dit zou een economische belasting zijn voor Belgische verantwoordelijken voor de verwerking daar verantwoordelijken voor de verwerking zonder vaste vestiging in ons land deze kost niet dienden te maken (4) De Minister (1) Parl.St., Senaat, B.Z., 1991-92, 445/10. (2) Koninklijk besluit nr. 16 van 22 mei 1996 tot wijziging van het koninklijk besluit nr. 2, B.S., 30 mei 1996. (3) Cf. Verslag aan de Koning bij K.B. nr. 16, B.S., 14534 ev. (4) De Minister geeft nog een subsidiair argument, ditmaal ter verdediging van de houders zonder vaste vestiging in Belgie¨: ″Velen van hen zijn momenteel onderworpen aan de toepassing van de Belgische wet (art. 3, par. 1,2°) en dus ook aan de aangifteplicht, maar zullen dat niet meer zijn na de omzetting van de Europese richtlijn. Deze laatste bevat namelijk andere criteria voor het bepalen van het territoriaal toepassingsgebied (art. 4 van de richtlijn). Deze houders zullen de hogervermelde investeringen moeten doen voor een korte periode. Men kan zich afvragen of dat wel gerechtvaardigd is″ (Verslag aan de Koning bij K.B. nr. 16, B.S., 14535).

Handboek Privacy

december 2003

4358

gaf dan ook in het verslag bij het besluit te kennen, dat artikel 18, lid 4 van de wet, waarschijnlijk afgevoerd zou worden bij een wetsherziening als gevolg van de richtlijn. (1) De overige argumenten tegen artikel 18, lid 4 waren gebaseerd op praktische en doeltreffendheidargumenten. We zetten de argumenten, voor wat ze waard zijn, op een rijtje: Primo, de identificatie via het nummer was niet nodig omdat de te identificeren verantwoordelijke voor de verwerking ’vrijwel in alle gevallen’ de afzender zelf was. Deze zou alleen zijn identificatienummer vermelden en dat van een eventuele andere verantwoordelijke voor de verwerking, van wie de afzender de persoonsgegevens verkregen had, ’uiteraard’ niet vermelden. ″Het is dus via het identificatienummer niet mogelijk om de oorsprong van de gegevens te achterhalen″ Secundo, alleen bepaalde verwerkingen waren krachtens de wet onderworpen aan de aangifte- en nummervermeldingplicht. De vermelding van het nummer op een stuk behoudt om die reden een signaalfunctie, m.n. dat het gaat ’om een verwerking waarvan gezegd kan worden dat ze kennelijk geen gevaar oplevert op het gebied van de bescherming van de persoonlijke levenssfeer’. Deze signaalfunctie, aldus de Minister, is nuttig, ’maar werd echter niet door de wetgever beoogd’. Tertio, de nummervermeldingplicht helpt de ongeoefende burger geen stap verder zonder bijkomende indicaties over het nut van het nummer. Quarto, de plicht kan niet altijd nageleegd worden omdat meer en meer commercie¨le contacten via telefoon, EDI en Internet verlopen. In dergelijke gevallen is er geen sprake van een ’stuk’ om het nummer op aan te brengen. Tenslotte, gebeurt het dat voor een stuk meerder verwerkingen gebruikt dienen te worden. ″Indien men de wet correct wil toepassen, moeten in dergelijk geval de nummers van alle gebruikte verwerkingen op het stuk vermeld worden″. (2)

(1) ″In de derde plaats bestaat onzekerheid over de vraag of de verplichting opgelegd door artikel 18, lid 4, in de wet van 8 december 1992 zal behouden worden n.a.v. de omzetting van de Europese richtlijn 95/46/EG van 24 oktober 1995″ (Verslag aan de Koning bij K.B. nr. 16, B.S., 14535). (2) In de preambule van K.B. nr. 16 staat volgende gevolgtrekking te lezen: ″Overwegende dat, ook al zou de verplichting gehandhaafd blijven, in elk geval nadere uitvoeringsmodaliteiten vereist zijn voor een zinvolle toepassing van artikel 18, vierde lid van de wet″.

4359

december 2003

Handboek Privacy

9.6 De bezwaren nader bekeken Niet alle bezwaren tegen artikel 18 van de wet overtuigen. Niet duidelijk is waarom de vermelding van het identificatienummer via EDI en Internet op praktische bezwaren zou stuiten eenmaal contact gelegd werd. De vermelding is o.i. ook mogelijk bij telefonisch contact wanneer dit via glasvezelverbinding verloopt. Het begrip ’stuk’ had in een uitvoeringsbesluit in deze zin toegelicht kunnen worden. Het derde argument laten we voor wat het is. Elke vorm van rechtsbescherming vergt een zekere kennis van de burger, die zich desnoods in geval van conflict kan laten bijstaan door een deskundige. Het tweede argument is het meest manke. Niet de minst gevaarlijke verwerkingen, maar integendeel de meest gevaarlijke verwerkingen worden onderworpen aan de plichten van artikel 17 en 18. Alleen minder risicovolle verwerkingen worden vrijgesteld van de aangifteplicht bedoeld in artikel 17 van de wet. De aanwezigheid van een identificatienummer op een stuk wijst dus op een risicovolle verwerking, wat o.i. een nuttige signaal is dat strookt met de opzet van de wetgever. Het eerste argument glijdt dan weer nogal snel over controlemogelijkheden van het identificatienummer. We laten de vooronderstelling dat de verantwoordelijke voor de verwerking van een stuk ’vrijwel in alle gevallen’ de afzender zelf is, voor wat ze is. Het identificatienummer is een sluitende controletechniek. De afzender van het stuk die de door hem gebruikte persoonsgegevens niet zelf vergaard heeft, dient in het bezit te zijn van het identificatienummer van de verantwoordelijke voor de verwerking die aan de oorsprong van de gegevens ligt. Alleen in de gevallen dat de wet door een gegevensschakel in de ketting niet is nageleefd is het onmogelijk via het identificatienummer niet achter de oorsprong van de gegevens te komen. Het laatste bezwaar, m.n. over stukken waarvoor meerdere verwerkingen gebruikt zijn, lijkt ons bij de haren getrokken. Inderdaad vergt een correcte wetstoepassing dat het stuk de nummers van alle gebruikte verwerkingen vermeldt. Zoniet is het systeem niet sluitend. Vraag is in hoeveel gevallen deze logica dwingt tot de vermelding van een excessief aantal nummers en in hoeveel gevallen een ’stuk’ te klein zou zijn om al deze nummers te vermelden. Het lijkt erop dat vooral kostenargumenten de ratio vormden van koninklijk besluit nr. 16. Dat Belgie¨ een zelf ontworpen waarborg laat sneuvelen, omdat deze Europees niet wordt opgelegd, geeft een

Handboek Privacy

december 2003

4360

realistisch beeld van de prioriteitenschaal die gehanteerd werd onder het beleid van toenmalig Minister van Justitie Stefaan De Clerck.

9.7 De dood van artikel 18 WVP (oud) De termijn waarbinnen verantwoordelijken voor de verwerking artikel 18, lid 4 moesten toepassen werd verlengd met vijftien maanden. De verantwoordelijke voor de verwerking kreeg krachtens K.B. nr. 16 achttien maanden de tijd na de toekenning van het identificatienummer om al zijn ’stukken’ te voorzien van dit nummer. Wat betekende dit nu in concreto? (1) We zagen dat vanaf 1 juni 1996 artikel 17 van de wet volledig nageleefd diende te worden. Ten laatste op 30 mei 1996 moest de verantwoordelijke voor de verwerking zijn geautomatiseerde bestanden aangeven bij de Commissie. De Commissie doet binnen drie werkdagen een ontvangstbewijs van de aangifte geworden (artikel 17 par. 2 WVP) met vermelding van het identificatienummer van de aangegeven verwerking. (2) Rekenen we bij donderdag 30 mei 1996 drie werkdagen dan belanden we op dinsdag 4 juni 1996. Luidens K.B. nr. 16 beschikte de verantwoordelijke voor de verwerking die tot de laatste dag gewacht heeft om zijn verwerkingen aan te geven over achttien maanden om het identificatienummer op al zijn stukken te vermelden. Vanaf 5 december 1997 diende artikel 18, lid 4 van de wet volledig nageleefd te zijn. Op die magische datum zou de laatste van de 52 bepalingen van de wet van 8 december 1992 volledig toegepast dienen te worden. Volledig? Niet helemaal. In een volgend hoofdstuk bespreken we een laatste aspect van het moeilijke verhaal van de implementatie van de wet van 8 december 1992.

(1) Het koninklijk besluit vervangt de nalevingstermijn van drie maanden door een termijn van 18 maanden. Met in het achterhoofd de wetenschap dat de Minister zinnens is binnen die periode de wet te wijzigen en artikel 18, lid 4, af te schaffen, begrijpen we dat hij hier betracht via koninklijke besluit de toepassing van een wetsbepaling tegen te houden. (2) DUMORTIER, J., ’De verplichtingen van de houder van het bestand’, in Persoonsgegevens en privacybescherming, Brugge, Die Keure, 1995, 115. Merken we op dat de wet niet over de inhoud van het ontvangstbewijs van de Commissie rept.

4361

december 2003

Handboek Privacy

10. De retroactieve werking van de WVP (oud) 10.1 Argumenten voor de retroactieve toepassing van artikel 9 WVP (oud) Gegevensverwerking is dertig jaar oud. Pas in 1992 vaardigde de Belgische wetgever terzake een wet uit. Naıëf zou men kunnen aannemen dat de wet op dezelfde wijze van toepassing is op de op 8 december 1992 bestaande verwerkingen en op al de verwerkingen die na de inwerkingtreding van de wet het daglicht zien. Immers wat voor zin heeft het om bijvoorbeeld de wapenwet alleen maar te laten gelden voor wapens die na de verschijningsdatum van de wet verkocht worden? Zo eenvoudig was het blijkbaar niet bij de toepassing van de wet van 8 december 1992. Stippen we alvast aan dat deze wet geen regeling bevatte voor het overgangsrecht, een vergetelheid die vroeg om toepassingsproblemen. Deze doken dan ook op naar aanleiding van de vraag hoe artikel 9 van de wet diende uitgevoerd te worden. Artikel 9 van de wet verplicht de verantwoordelijke voor de verwerking alle personen te verwittigen die hij in zijn verwerking opgenomen heeft. Deze bepaling werd uitgevoerd door koninklijk besluit nr. 9 van 7 februari 1995. (1) In de rand van dit besluit ontspon zich een discussie tussen minister Wathelet en de Commissie voor de bescherming van de persoonlijke levenssfeer over de vraag ’Hoever werkt artikel 9 van de wet terug?’ en ’Is artikel 9 van de wet van toepassing op de verwerkingen die bestaan op de datum van inwerkingtreding ervan of alleen op de meer recente?’ De Minister, en vreemd genoeg niet de Commissie, verdedigde het retroactieve standpunt: artikel 9 van de wet was ook op bestaande verwerkingen van toepassing en niet alleen op verwerkingen van persoonsgegevens van personen die voor het eerst geregistreerd werden na de datum van inwerkingtreding van artikel 9 van de wet. Er bestond geen twijfel over dat retroactiviteit, t.t.z. het laten doorwerken van de wet op bestaande verwerkingen, zou leiden tot een hoger niveau

(1) Koninklijk besluit nr. 9 van 7 februari 1995 betreffende het verlenen van vrijstellingen van de toepassing van artikel 9 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens en tot vaststelling van een procedure van collectieve informatieverstrekking aan de personen op wie bepaalde verwerkingen betrekking hebben, B.S., 28 februari 1995, 4473.

Handboek Privacy

december 2003

4362

van bescherming van de geregistreerden. (1) Ook de vroeger geregistreerden en niet alleen de recent geregistreerden zouden op die wijze worden beschermd, wat gezien de late totstandkoming van de wet niet onbelangrijk was. 10.2 Praktisch belang van het debat en tegenargumenten Het debat was niet van praktisch belang gespeend. Artikel 9 van de wet zou in werking treden op 1 maart 1995. De zienswijze van de Minister bracht met zich mee dat de verplichting tot kennisgeving van de eerste registratie ook van toepassing zou zijn op registraties die voor het eerst geschieden voor de datum van inwerkingtreding van artikel 9 van de wet. De verantwoordelijke voor de verwerking van een reeds bestaande verwerking moest m.a.w. te rekenen vanaf 1 maart 1995, binnen een termijn van negen maanden de personen van wie voor die datum gegevens waren geregistreerd, daarvan in kennis te stellen. (2) Tegen het standpunt van de toenmalige Minister, dat gedeeld werd door de Raad van State in haar adviezen bij de uitvoeringsbesluiten, werden zowel juridische als kostengeı¨nspireerde argumenten aangevoerd en dit zowel door de Commissie voor de bescherming van de persoonlijke levenssfeer als de minister De Clerck (opvolger van Wathelet) in zijn verslag aan de Koning bij een later uitvoeringsbesluit. Opvallend beperkte de nieuwe Minister zich uitsluitend tot juridische argumenten, terwijl de Commissie ook het kostenargument bij naam durfde noemen: ″Bovendien dreigt de verplichting, in hoofde van de verantwoordelijken voor de verwerking van een bestand, om alle personen geregistreerd voor de datum inwerkingtreding hiervan individueel in kennis te stellen, aanleiding te geven tot aanzienlijke kosten voor de verantwoordelijken voor de verwerking en een overspoelen van de geregistreerden met kennisgevingsberichten, waarbij de aandacht voor de berichten verzwakt″. (3) In wat volgt overlopen we de meer juridische argumenten pro en contra de retroactiviteit.

(1) Vgl. Commissie voor de bescherming van de persoonlijke levenssfeer, advies nr. 13/93 van 22 september 1993, B.S., 28 februari 1995, 4473. (2) Verslag aan de Koning bij K.B. nr. 9, B.S., 28 februari 1995, 4460-4461. (3) Advies nr. 13/93, l.c., 4473. Zie ook advies nr. O2/96 van 10 januari 1996, B.S., 15 maart 1996, 5827.

4363

december 2003

Handboek Privacy

10.3 Het debat over de retroactiviteit nader bekeken Volgens de Commissie voor de bescherming van de persoonlijke levenssfeer vloeide de retroactieve werking van artikel 9 van de wet geenszins voort uit de tekst van de wet en strookte ze ook niet met de doelstellingen van de wetgever. (1) Zowel de Commissie als minister De Clerck schoven ook een tekstargument naar voor, dat ze putten uit artikel 9 van de wet ″wanneer een persoon voor het eerst in een bepaalde verwerking wordt geregistreerd, moet hem daarvan onverwijld kennis worden gegeven″. De term ’onverwijld’ wees erop dat artikel 9 niet terugwerkte. Immers, ″enkel personen, die na de datum van inwerkingtreding van artikel 9 van de wet in een verwerking worden opgenomen, kunnen onverwijld in kennis worden gesteld wanneer zij voor de eerste keer in de verwerking worden geregistreerd″ (2) De Commissie trad zowel in 1993 als in 1996 met deze bezwaren naar voor. In zijn verslag aan de Koning bij koninklijk besluit nr. 9 gaf minister Wathelet verscheidene argumenten ten antwoord om artikel 9 van de wet toch op bestaande verwerking toepasselijk te achten. Zo was z.i. een andere lectuur van artikel 9 van de wet mogelijk. ″De woorden voor het eerst van artikel 9 kunnen immers zeer goed worden opgevat in de zin van voor het eerst na de inwerkingtreding van artikel 9″. (3) De doctrine inzake de regels van het overgangsrecht leerde bovendien dat een nieuwe wet onmiddellijk werking heeft en niet alleen toekomstige situaties regelt maar ook de reeds bestaande die onder de gelding van de nieuwe wet verdere

(1) Cf. advies nr. 09/93 van 6 augustus 1993, B.S., 28 februari 1995, 4465-4466, pt. III.A. Omdat ze zich met haar stellingname in een nogal vreemde positie had gemanoeuvreerd - haar naam niet echt waardig - koppelde de Commissie aan haar analyse een oproep aan de houders van reeds bestaande verwerkingen om de betrokken personen op eigen iniatief op de hoogte brengen. Vraag is of de hele stellingname van de Commissie en de wat gratuite oproep tot vrijwillige kennisgeving eer doet aan een Commissie die bestaat ’voor de bescherming van de persoonlijke levenssfeer’. In haar advies van 10 januari 1996 gaat de Commissie zelfs zover de nieuwe Minister aanbevelingen te doen om een eventueel retroactiviteits-achterpoortje te dichten. De nieuwe Minister had een bepaling klaar om de retroactiviteit formeel uit te sluiten. Deze bepaling was evenwel niet sluitend, wat door de Commissie ’niet wenselijk werd geacht’ daar via het achterpoortje ’de kennisgevingplicht zijn geldingskracht zou herwinnen’ (B.S., 15 maart 1996, 5827). (2) Verslag aan de Koning bij K.B. nr. 15, B.S., 15 maart 1996, 5821. (3) Verslag aan de Koning bij K.B. nr. 9, B.S., 28 februari 1995, 4460.

Handboek Privacy

december 2003

4364

gevolgen zullen hebben. Dit geldt des te meer wanneer de wet betrekking heeft op een grondrecht (1) De Minister hanteerde tevens een aantal principie¨le argumenten. Het standpunt van de Commissie zou ertoe leiden dat de personen geregistreerd voor 1 maart 1995 niet en deze na 1 maart 1995 wel beschermd zouden worden, waardoor het door de Grondwet gewaarborgde gelijkheidsbeginsel zou worden geschonden. (2) ″Op grond van de interpretatie van de Commissie zou een van de belangrijkste rechten die de wet van 8 december 1992 hen toekent, aan de betrokken personen worden ontnomen, en uitoefening van hun andere rechten in grote mate afzwakken, aangezien zij onwetend zouden blijven omtrent het bestaan van verwerkingen ten opzichte waarvan voornoemde rechten kunnen worden uitgeoefend. De doelstelling die deze wet nastreeft, zouden, derhalve slechts na tal van jaren volledig worden bereikt″ (3) Het is opvallend dat noch de Commissie, noch de latere minister De Clerck op geen enkel ogenblik in hun argumentatie, ingingen op deze principie¨le bezwaren. Ze bleven bij het tekstargument en het kostenargument. De nieuwe Minister speelde in 1996 zelfs met de idee om de verantwoordelijken van bestaande verwerkingen door een bepaling in koninklijk besluit nr. 15 uitdrukkelijk vrij te stellen van de kennisgevingplicht voor registraties verricht voor 1 maart 1995. Hij zou uiteindelijk toch zover niet gaan, maar wel in het verslag de stelling verdedigen dat artikel 9 van de wet niet retroactief diende toegepast te worden. Het tekstargument tegen de retroactiviteit werd opnieuw bovengehaald, alsmede een analyse van artikel 8a van Verdrag nr. 108 van de Raad van Europa, dat door ons land door de wet van 17 juni 1991 geratificeerd was (hoger). Minister Wathelet had op basis van deze bepaling geargumenteerd dat het recht op kennisgeving niet beperkt kon worden op grond van de datum van de registratie, daar dergelijke beperking niet door artikel 8

(1) De Minister verwijst naar DE PAGE, Traite´ e´le´mentaire de droit civil, deel 1, 335; ROUBIER, P., Le droit transitoir, 1960, 340 ev.; FALYS, J., Introduction aux sources et principes du droit, 1973, 138 ev. (2) In dezelfde zin: Raad van State, advies van 26 februari 1996 bij K.B. nr. 15, B.S., 15 maart 1996, 5824. ″Afgezien daarvan geeft een regeling op basis van zulk criterium van tijd, met dermate duidelijke verschillen voor de onderscheiden houders van bestanden en voor de daarin vermelde personen, in het licht van de artikelen 10 en 11 van de Grondwet, aanleiding tot een zeer groot voorbehoud (...)″. (3) Verslag aan de Koning bij K.B. nr. 9, B.S., 28 februari 1995, 4461.

4365

december 2003

Handboek Privacy

van het verdrag voorzien was. (1) Inderdaad laat deze verdragsbepaling geen uitzonderingen toe op de kennisgevingplicht en kon dus staande gehouden worden dat de nationale wet bij twijfel geı¨nterpreteerd diende te worden aan de hand van deze duidelijke verdragsbepaling. (2) De nieuwe Minister zou het verdragsargument wegschuiven aan de hand van de toelichting van de Raad van Europa bij het verdrag. ″In de tekst van de toelichting bij deze bepaling (nr. 51) staat dat deze bepaling verwijst naar diverse regelingen in de Lid-Staten van de Raad van Europa, zoals een publiek register of, als dat niet bestaat, de regel dat dezelfde informatie aan de betrokkene moet verstrekt worden ″op diens verzoek″. (3) Uiteindelijk zag hij daarom af van een expliciete vrijstelling van de kennisgevingplicht ten behoeve van de verantwoordelijken van bestaande verwerkingen. Het probleem werd m.a.w. gelaten voor wat het is. Misschien was dat niet geheel onverstandig. Het laatste woord inzake wetsinterpretatie komt klassiek niet aan de uitvoerende macht toe, maar aan de rechterlijke macht. Een rechter had de discussie kunnen beslechten door zich uit te spreken over het lot van de voor 1 maart 1995 geregistreerde personen. Evenwel kwam het nooit zo ver. 10.4 Europa geeft Wathelet gelijk, doch De Clerck trekt geen conclusies Inderdaad, de Europese richtlijn van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrij verkeer van die gegevens (4) zou op korte termijn de Belgische wetgever dwingen een standpunt in te nemen over (1) Verslag aan de Koning bij K.B. nr. 9, B.S., 28 februari 1995, 4461. Artikel 8a van het verdrag luidt dat Een ieder dient in staat te worden gesteld kennis te nemen van het bestaan van een geautomatiseerd bestand van persoonsgegevens, de voornaamste doeleinden hiervan, alsmede de identiteit en de gewone verblijfplaats of hoofdvestiging van de houder van een bestand. (2) Zie ook het advies van de Raad van State bij K.B. nr. 15 (B.S., 15 maart 1996, 5824) waarin gewezen wordt op de rechtstreekse werking in de interne rechtsorde die door de Franse Raad van State aan het verdrag gekoppeld wordt. (3) Verslag aan de Koning bij K.B. nr. 15, B.S., 15 maart 1996, 5821. (4) Richtlijn 95/46/EG van 24 oktober 1995 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens. Pu. E.G., 23 november 1995, nr. L 281, 31-50.

Handboek Privacy

december 2003

4366

de retroactiviteit van kennisgevingplicht. Artikel 11 van de richtlijn is een bepaling die analoog is aan het huidige artikel 9 van de Belgische wet, maar bevat evenwel geen termen zoals ’onverwijld’ of ’voor het eerst’. Het tekstargument tegen de retroactiviteit kon onder het regime van de richtlijn dus niet worden ingeroepen. Bovendien legt artikel 11 van de richtlijn niet alleen een kennisgevingplicht op wanneer de gegevens buiten het weten van de betrokkene worden geregistreerd, maar ook wanneer verstrekking van gegevens aan een derde wordt overwogen. (1) De verstrekking van persoonsgegevens uit een reeds bestaande verwerking aan een derde, zonder kennisgeving aan de betrokkene werd door de richtlijn alzo expliciet gesanctioneerd. Minister De Clerck accepteerde deze gevolgtrekking uit de richtlijn, maar weigerde evenwel er consequenties aan te verbinden voor het heden. Plots had hij oog voor de natuurlijke beperkingen van de uitvoerende macht in een rechtstaat (wat hij voor het overige nooit zou hebben). De uitvoerende macht, aldus de Minister, kan niet zonder tussenkomst van de wetgevende macht anticiperen op een nog om te zetten richtlijn. (2) Stippen we nog aan, dat de Raad van State in de richtlijn nog meer argumenten vond die in de richting gaan van een retroactieve kennisgevingplicht. De retroactieve lectuur van het huidig artikel 9 van de Belgische wet was, aldus de Raad van State, conform met artikel 32 van de richtlijn. (3) Deze bepaling verbiedt een onbeperkte vrijstelling van de kennisgevingplicht te geven aan de verantwoordelijken van bestaande verwerkingen. Nadat de richtlijn geı¨mplementeerd is, dienen deze binnen de drie jaar aan de wet aangepast te worden. (4)

(1) Artikel 11 van de richtlijn luidt: ″De Lid-Staten bepalen dat wanneer de gegevens niet bij de betrokkene zijn verkregen de voor de verwerking verantwoordelijke of diens vertegenwoordiger, op het moment van de registratie van de gegevens of wanneer verstrekking van gegevens aan een derde wordt overwogen, aan de betrokkene uiterlijk op het moment van de eerste verstrekking van de gegevens ten minste de volgende informatie moet verstrekken (...)″. (2) Verslag aan de Koning bij K.B. nr. 15, B.S., 15 maart 1996, 5821. (3) Raad van State, advies van 26 februari 1996 bij K.B. nr. 15, B.S., 15 maart 1996, 5823. (4) Artikel 32, lid 2, eerste alinea van de Europese richtlijn luidt: ″... dragen (de LidStaten) er zorg voor dat de verwerking die reeds bezig is op de datum waarop de ter uitvoering van deze richtlijn vastgestelde nationale bepalingen in werking treden, binnen een termijn van drie jaar te rekenen vanaf die datum wordt aangepast aan die bepalingen″.

4367

december 2003

Handboek Privacy

10.5 Evaluatie Het hele debat over de retroactiviteit van de kennisgevingplicht laat in het licht van de rechtsbescherming van de geregistreerde een wrange nasmaak na. Jarenlang kon in Belgie¨ ongestoord persoonsgegevens worden verwerkt, zonder een ernstig wettelijk kader. Wanneer er uiteindelijk wetgeving komt (midden 1995) worden de gevolgtrekkingen geneutraliseerd op grond van een kostenargument. De verbetenheid van de minister De Clerck en de Commissie voor de bescherming van de persoonlijke levenssfeer in dit debat verbazen tot op heden. Het eigen gelijk werd verdedigd, tegen Europa in. De omstandige argumenten van minister Wathelet werden halfslachtig beantwoord. De belangrijke principie¨le argumenten (het gelijkheidsbeginsel, het belang van de grondrechten, de doctrine inzake het overgangsrecht) werden ontweken. Wat er ook van zij, wat de toenmalige Minister van Justitie in 1995 bevroedde is werkelijkheid geworden: ″Op grond van de interpretatie van de Commissie zou een van de belangrijkste rechten die de wet van 8 december 1992 hen toekent, aan de betrokken personen worden ontnomen, en uitoefening van hun andere rechten in grote mate afzwakken, aangezien zij onwetend zouden blijven omtrent het bestaan van verwerkingen ten opzichte waarvan voornoemde rechten kunnen worden uitgeoefend. De doelstelling die deze wet nastreeft, zouden, derhalve slechts na tal van jaren volledig worden bereikt″. (1) We besluiten dit hoofdstuk dan ook met de vaststelling dat de implementatie van de wet van 8 december 1992, als gevolg van de impasse rond artikel 9 van de wet, nog jarenlang zou worden uitgesteld.

11. De wet van 11 december 1998 tot wijziging van de wet van 8 december 1992 11.1 De aanleiding tot een wetswijziging De wet van 8 december 1992 zou het jaar tweeduizend wellicht niet halen. De Europese richtlijn van 24 oktober 1995 (PB., L 281/31 van 23 november 1995) verplichtte omzeggens alle lidstaten van de Europese Gemeenschap tot aanpassing (1) Verslag aan de Koning bij K.B. nr. 9, B.S., 28 februari 1995, 4461.

Handboek Privacy

december 2003

4368

van hun wetgeving op de verwerking van persoonsgegevens, bijvoorbeeld door het toepassingsdomein van het gegevensverwerkingsrecht uit te breiden tot niet-geautomatiseerde verwerkingen en camera’s. Reden genoeg voor de Belgische Minister om een aanpassing van de wet van 8 december 1992 aan te kondigen, temeer daar er in eigen land een stroom van ongenoegen bestond, aldus de Minister, bij de verantwoordelijken voor de verwerking over de wet van 8 december 1992 en ook grote onvrede en onzekerheid over de bestaande uitvoeringsbesluiten. (1) In 1999 volgde de publicatie van de wet tot omzetting van de richtlijn 95/46/EG van 24 oktober 1995 van het Europees Parlement en de Raad betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens aangenomen. (2) Deze wet nam de vorm aan van een wijziging van de wet van 8 december 1992 teneinde ze in overeenstemming te brengen met voormelde richtlijn. (3) Over het waarom van de nieuwe wetswijziging werd veel gespeculeerd. Een begin van antwoord gaf de Europese richtlijn die aan de basis lag van de wetswijziging. De richtlijn heeft tot doel het vrije verkeer van persoonsgegevens binnen de Europese Unie te bevorderen door in alle lidstaten met betrekking tot de verwerking van persoonsgegevens aan natuurlijke personen een hoog niveau van bescherming van de fundamentele rechten en vrijheden te bieden, inzonderheid van het recht op bescherming van de persoonlijke levenssfeer. Het is de vaststelling dat de verschillen inzake het niveau van bescherming van de rechten en vrijheden van personen, inzonderheid de persoonlijke levenssfeer, in verband met de verwerking van persoonsgegevens de uitwisseling van persoonsgegevens tussen de lidstaten kunnen hinderen die aan de basis ligt van de richtlijn. Men vergist zich dan ook niet: ondanks de ronkende verklaringen en de onmiskenbaar positieve aspecten ervan voor (een aspect van) de bescherming van de persoonlijke levenssfeer heeft de richtlijn uitgesproken economische motieven. Zegt een considerans van de richtlijn trouwens niet dat de verschillen “een belemmering kunnen vormen voor de uitoefening van (1) Cf. Beleidsnota Justitie 1995. (2) Wet van 11 december 1998 , B.S., 3 februari 1999. (3) Verder in de tekst wordt naar de oorspronkelijke wet van 8 december 1992 verwezen met de afkorting WVP (oud), terwijl de gewijzigde wet aangeduid wordt als WVP (nieuw).

4369

december 2003

Handboek Privacy

een reeks economische activiteiten op communautaire schaal, de mededeling kunnen vervalsen en de overheid kunnen beletten haar taak ten aanzien van de toepassing van het Gemeenschapsrecht te vervullen”? Om de belemmeringen voor het verkeer van persoonsgegevens op te heffen moet het niveau van bescherming van de rechten en vrijheden van personen op dit vlak in alle lidstaten gelijkwaardig zijn. In termen van Gemeenschapsregelgeving houdt zulks in dat eenmaal de gelijkwaardige bescherming bereikt is de lidstaten het recht op bescherming van de persoonlijke levenssfeer niet langer kunnen inroepen om het vrije verkeer van gegevens te belemmeren. Zoals eerder vermeld kan de richtlijn niet los gelezen worden van artikel 8 EVRM. Deze samenlezing heeft voor gevolg dat de toenadering tussen de wetgeving van de lidstaten er zeker niet toe mag leiden dat de bestaande wetgeving op het vlak van de bescherming die zij biedt, afgezwakt mag worden. De gewijzigde wet behield grotendeels dezelfde structuur als de oorspronkelijke (1) wet van 8 december 1992. Ondanks fundamentele verschillen zijn heel wat principes dezelfde gebleven. Terecht werd erop gewezen dat de omzetting van de richtlijn er alleszins niet toe kon leiden dat de fundamentele uitgangspunten van de WVP op de helling komen te staan, vermits beide teksten de principes van Verdrag nr. 108 verder uitwerken. De verschillen situeren zich op het vlak van: - de gebruikte terminologie en de definities die daarvan gegeven worden; - de uitzonderingen op de toepassing van (sommige bepalingen van) de wet/de richtlijn; (1) ″Oorspronkelijk” staat hier tegenover “gewijzigd” door de wet van 11 december 1998. Er wordt abstractie gemaakt van de kleine wijzigingen die de wet tussen 1992 en 1998 onderging, te weten: -door de wet van 22 juli 1993 houdende fiscale en financie¨le bepalingen (artikelen 89 en 90), B.S., 18 augustus 1994; -door de wet van 30 juni 1994 houdende wijziging van 52 van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, B.S., 18 augustus 1994. Daarnaast is er nog artikel 148 van de wet van 21 december 1994 houdende sociale en diverse bepalingen, B.S., 23 december 1994: “In de artikelen 6, eerste lid, en 8, § 1, van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, dienen de woorden ″ vastgestelde doeleinden ingevolge de wet ″ te worden geı¨nterpreteerd als de machtiging die aan de Koning wordt gegeven om de doeleinden en de omstandigheden vast te stellen binnen welke de persoonsgegevens mogen worden verwerkt, overeenkomstig de andere bepalingen van de wet van 8 december 1992.”

Handboek Privacy

december 2003

4370

- het territoriaal toepassingsgebied; - het uitgangspunt ten aanzien van de rechtmatigheid van de verwerking; - de regeling voor de zogenaamde bijzondere gegevens; - de wijze van kennisgeving; - het recht om zich in bepaalde gevallen tegen een verwerking te verzetten; - de mogelijkheid een ‘aangestelde voor de gegevensbescherming’ aan te duiden. (1) Deze verschillen komen uitgebreid aan bod in de hierop volgende hoofdstukken van Titel II. 11.2 De overgangsperiode Gedurende een overgangsperiode bleef de wet van 8 december 1992 in zijn oorspronkelijke vorm van toepassing op verwerkingen die opgestart werden voor de inwerkingtreding van de nieuwe wet. In de overgangsperiode van de oude naar de nieuwe wet stelde zich de vraag naar de directe werking van (sommige bepalingen van) de richtlijn. De WVP (nieuw) bepaalde dat iedere bepaling van deze wet in werking trad op de datum bepaald door de Koning die tevens de termijn bepaalde binnen dewelke de verantwoordelijke voor de verwerking zich naar de bepalingen van deze wet diende te schikken voor de verwerkingen die op het ogenblik van hun inwerkingtreding bestaan. (2) Anderzijds stelde de Richtlijn o. a. in overweging nr. (69) dat ″(...) de lidstaten een termijn van niet langer dan drie jaar dient te worden gelaten, te rekenen vanaf de datum van inwerkingtreding van de nationale maatregelen waarbij deze richtlijn in nationaal recht wordt omgezet, om hen in de ge-

(1) Zie verslag Justitiecommissie, Gedr. St., Kamer, 1997/98, nr. 1566/10, 12 e.v. (2) Art. 52 WVP 98. De officieuze versie van het uitvoeringsKB bepaalt dat alle bepalingen van de WVP 98 in werking treden op de eerste dag van de vierde maand volgend op deze waarin dit besluit in het Belgisch Staatsblad bekendgemaakt wordt. Het hierboven aangehaalde ontwerp bepaalt verder dat vanaf dezelfde datum de verantwoordelijken voor de verwerking de verplichtingen van de WVP 98 moeten naleven voor alle bestaande en toekomstige verwerkingen. Anders dan het geval was voor WVP 92 wordt ditmaal niet geopteerd voor een gefazeerde inwerkingtreding. Eenzelfde opmerking geldt voor de termijn binnen dewelke bestaande verwerkingen zich naar de nieuwe wet moeten schikken. Dit verschil is te verklaren doordat het gefazeerde systeem als te complex werd ervaren en doordat nu, anders dan toen, de regelgeving niet “ex nihilo” afkomstig is. De gewijzigde en nieuwe verplichtingen zijn niet dermate zwaar dat de verantwoordelijke voor de verwerking de termijnen zouden gegund worden die golden voor de WVP 92.

4371

december 2003

Handboek Privacy

legenheid te stellen op alle reeds lopende gegevensverwerkingen geleidelijk de bovenbedoelde nieuwe nationale voorschriften toe te passen; dat de lidstaten, om een hoge kosteneffectiviteit bij de tenuitvoerlegging van deze bepalingen mogelijk te maken, mogen voorzien in een aanvullende periode, die twaalf jaar na de datum van aanneming van deze richtlijn verstrijkt, om bestaande manuele bestanden met sommige bepalingen van deze richtlijn in overeenstemming te brengen; dat wanneer gegevens in dergelijke bestanden gedurende deze aanvullende overgangsperiode daadwerkelijk handmatig worden verwerkt, de bestanden op het moment van de uitvoering van de verwerking met deze bepalingen in overeenstemming moeten worden gebracht.″ De vraag die praktijkjuristen en rechtsgeleerden dan ook bezig hield was of de diverse betrokken actoren zich reeds voor de inwerkingtreding van de WVP (nieuw) konden beroepen op bepalingen van de Richtlijn die voor hen gunstiger waren. Zulks was mogelijk in de mate dat bepalingen ervan rechtstreekse werking hebben, dat willen zeggen ingeroepen kunnen worden zonder omgezet te zijn in nationaal recht. Voor het antwoord van deze vraag is het onderscheid belangrijk tussen verticale en horizontale rechtstreekse werking. De eerste heeft betrekking op de verhouding burger - overheid, de tweede op deze tussen particulieren onderling. De verticale werking wordt vrij algemeen aanvaard in die zin dat de particulier zich in zijn relaties tot de overheid wel degelijk kan beroepen op niet tijdig , onvolledig of verkeerd omgezette bepalingen van een richtlijn, op voorwaarde dat zij voldoende precies en niet afhankelijk van een discretionaire uitvoeringsmaatregel zijn. De horizontale werking is veel controversie¨ler. Het is immers zo dat ingevolge artikel 189 EEGverdrag richtlijnen enkel een dwingend karakter hebben ten aanzien van Lidstaten. De horizontale werking zou zich dan ook beperken tot volgende aspecten: bepalingen van nationaal recht die strijdig zijn met de richtlijn mogen niet meer toegepast worden zodat een normatief vacuu¨m kan ontstaan, het nationaal recht dient uitgelegd op een wijze die overeenstemt met de richtlijn en de rechtsonderhorige beschikt over een aansprakelijkheidsvorderingsrecht ten aanzien van de Belgische Staat die de richtlijn niet tijdig omgezet heeft. Sommige auteurs wezen er op dat artikel 32.2 van de richtlijn de draagwijdte van de rechtspraak in verband met de directe werking ernstig inperkte. Deze bepaling gaf de verwerkingen die bestonden voor de inwerkingtreding van de

Handboek Privacy

december 2003

4372

nationale bepalingen ter omzetting van de richtlijn een ″gratieperiode″ om zich te schikken naar de WVP (nieuw). Deze termijn zou bepaald worden bij koninklijk besluit. Bijgevolg leek het moeilijk verdedigbaar om op grond van de directe werking van verantwoordelijken voor de verwerking te eisen dat zij zich zouden gedragen naar normen die zij niet noodzakelijkerwijze zouden moeten toepassen onmiddellijk na de inwerkingtreding van de nationale wet. Het was echter niet mogelijk om in abstracto aan te geven of een bepaling al dan niet directe werking heeft. Of een bepaling directe werking had hing steeds af van de concrete omstandigheden van de zaak. Dezelfde bepaling kon in sommige gevallen directe werking hebben en in andere gevallen niet. De beoordeling daarvan komt de rechter toe.

12. Het uitvoeringsbesluit bij de WVP (nieuw) 12.1 Situering Op 13 maart 2001 werd het koninklijk besluit van 13 februari 2001 ter uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens in het Belgisch Staatsblad gepubliceerd. (1) Voó´r de omzetting van de Europese richtlijn door de WVP (nieuw) bestonden zoals gezien een vijftiental uitvoeringsbesluiten. Dit groot aantal uitvoeringsbesluiten bevorderde geenszins heeft de transparantie van de reglementering. Daarom werd nu gekozen voor eéń enkel besluit, zoniet een beperkt aantal koninklijke besluiten. Het besluit hief alle eerder uitgevaardigde koninklijke besluiten op. Het nieuwe besluit zou enkel nog aangevuld worden met sommige specifieke koninklijke besluiten (bijv. om de verwerking van persoonsgegevens door het Europees Centrum voor vermiste en seksueel misbruikte kinderen (Child Focus) te regelen. Het koninklijk besluit trad in werking de eerste dag van de zesde maand die volgt op de maand waarin het gepubliceerd wordt in het Belgisch Staatsblad. (1) Koninklijk besluit van 13 februari 2001 ter uitvoering van de wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer ten opzichte van de verwerking van persoonsgegevens, B.S., 13 maart 2001.

4373

december 2003

Handboek Privacy

12.2 Nieuwe ingredie¨nten Hoewel het Koninklijk Besluit voor een belangrijk deel bestaat uit bepalingen die uit de reeds bestaande Koninklijke Besluiten worden overgenomen, bevat het toch enkele nieuwe regelingen. Het koninklijk besluit voert het begrip «gecodeerde» of «niet-gecodeerde gegevens» in. «Gecodeerde persoonsgegevens» zijn persoonsgegevens die slechts door middel van een code in verband kunnen worden gebracht met een geı¨dentificeerd of identificeerbaar persoon.De andere persoonsgegevens zijn niet-gecodeerd (artikel 1,3). Het koninklijk besluit voert tevens het begrip «anonieme gegevens» in. Dit zijn gegevens die niet met een geı¨dentificeerd of identificeerbaar persoon in verband kunnen worden gebracht en derhalve geen persoonsgegevens zijn (artikel 1, 4). Ook voert het besluit het belangrijke regels in over de verwerking van persoonsgegevens voor historische, statistische of wetenschappelijke doeleinden. De WVP 98 maakt in uitvoering van de Europese richtlijn sommige afwijkingen mogelijk wanneer persoonsgegevens voor deze doeleinden worden verwerkt. Zo mogen bijv. onder bepaalde voorwaarden gezondheidsgegevens over patie¨nten in ziekenhuizen achteraf gebruikt worden voor wetenschappelijk onderzoek. Dergelijke verwerkingen zijn alleen mogelijk als de voorwaarden van het ontwerp worden nageleefd. Volgens deze voorwaarden moet de verdere verwerking voor wetenschappelijke doeleinden, als het kan, met anonieme gegevens verricht worden. Als dat niet mogelijk is, moeten de persoonsgegevens versleuteld worden zodat aan de onderzoekers de identiteit van de betrokkenen niet meegedeeld wordt. Als ook deze beperking onmogelijk is in het kader van het onderzoek, kan met niet-gecodeerde persoonsgegevens worden gewerkt. Dan is echter “informed consent” van de betrokkene vereist. Hoofdstuk II van het besluit geeft tal van verduidelijkingen over de latere verwerking van persoonsgegevens voor historische, statistische of wetenschappelijke doeleinden, waarvan bekend is dat ze in de praktijk zeer talrijk zijn. Het koninklijk besluit stelt in principe dat de latere verwerking van persoonsgegevens voor historische, statistische of wetenschappelijke doeleinden plaatsvindt aan de hand van anonieme gegevens (artikel 3). Indien een latere verwerking van anonieme gegevens niet de mogelijkheid biedt de historische, statistische of wetenschappelijke doeleinden te verwezenlijken, mag de verantwoordelijke voor de latere verwerking voor historische, statistische of wetenschappelijke doeleinden gecodeerde persoonsgegevens verwerken (artikel 4). Bo-

Handboek Privacy

december 2003

4374

vendien moet de verantwoordelijke van de bewerking een hele informatieprocedure volgen en wordt die latere verwerking onderworpen aan diverse inperkingen en waarborgen (artikelen 5 tot 24). Het besluit van 13 februari 2001 bevat tevens bijzondere regels over de uitoefening van het recht op verzet tegen een voorgenomen verwerking van persoonsgegevens voor directmarketingdoeleinden.

12.3 Hernemen van oudere bepalingen Het besluit van 13 februari 2001 herneemt, zoals reeds vermeld, voor een groot deel de bepalingen van oudere uitvoeringsbesluiten. Dat is bijvoorbeeld het geval voor de bepalingen over de plicht tot aangifte van geautomatiseerde verwerkingen van persoonsgegevens. De bijdragen die bij deze aangifte aan de Commissie voor de bescherming van de persoonlijke levenssfeer moeten worden betaald en de talrijke vrijstellingen die voor de aangifteplicht gelden, zijn dezelfde als degene die momenteel gelden. Dit betekent dat de meest voorkomende verwerkingen van persoonsgegevens, zoals loonadministratie, boekhouding, bezoekersregistratie, e.a. vrijgesteld worden van de aangifteplicht als ze binnen bepaalde grenzen blijven. Het ontwerp bevestigt uitdrukkelijk dat de aangiften die reeds gedaan werden geacht worden te voldoen aan de nieuwe regels. Een nieuwe aangifte moet dus niet worden gedaan. De regeling van de verwerking van gevoelige gegevens (ras, geslacht, politieke voorkeur, gezondheid, enz.) wordt met zeer veel zorg behandeld. We onthouden in het bijzonder artikel 26: «Indien de verwerking van persoonsgegevens bedoeld in de artikelen 6 en 7 van de wet uitsluitend is toegestaan op grond van de schriftelijke toestemming van de betrokken persoon, moet de verantwoordelijke voor de verwerking hem, naast de gegevens overeenkomstig artikel 9 van de wet, vooraf de redenen van die verwerking mededelen, alsmede de lijst van de categoriee¨n van personen die toegang hebben tot de persoonsgegevens.” Artikel 27 vult trouwens deze regeling aan: in dat geval is de verwerking niettemin verboden wanneer de verantwoordelijke voor de verwerking de huidige of potentie¨le werkgever is van de betrokkene of wanneer de betrokkene zich in een afhankelijke positie bevindt tegenover de verantwoordelijke voor de verwerking, wat hem belet vrij zijn toestemming te

4375

december 2003

Handboek Privacy

verlenen. Dat verbod wordt opgeheven wanneer de verwerking erop gericht is de betrokken persoon een voordeel te verstrekken. 12.4 Modernisering en actualisering Het recht op toegang is gemoderniseerd, aangezien het voortaan mag worden uitgeoefend met elk telecommunicatiemiddel. “Eenieder die zijn identiteit bewijst, heeft het recht om onder de voorwaarden gesteld bij de wet kennis te krijgen van de in artikel 10 van de wet vermelde informatie, zulks op ondertekend en gedagtekend verzoek dat ter plaatse wordt overhandigd, of over de post of met een telecommunicatiemiddel wordt toegezonden”(artikel 32). De aangifte bij de Commissie is eveneens gemoderniseerd, aangezien er een verschil wordt gemaakt in de procedure en de kosten naargelang de overhandiging op papier of elektronisch plaatsvindt. Sommige verwerkingen zijn van die aangifte vrijgesteld. Zo zijn, met uitzondering van de paragrafen 4 en 8, de bepalingen van artikel 17 van de wet niet van toepassing op verwerkingen van persoonsgegevens die uitsluitend betrekking hebben op de administratie het personeel in dienst van of werkzaam ten behoeve van de verantwoordelijke voor de verwerking, indien die gegevens uitsluitend worden gebruikt voor de loonadministratie, alleen aan de bestemmelingen worden meegedeeld die er recht op hebben en niet langer worden bewaard dan nodig is voor de doeleinden van de verwerking (artikel 52). Een min of meer gelijksoortige regeling geldt voor de uitsluitend boekhoudkundige verwerkingen (artikel 53). 12.5 Nabeschouwing Richtlijn 95/46/EG bepaalt in artikel 33 een evaluatieprocedure die in juni 2001 zou startten, meer bepaald om met de ontwikkelingen van de informatietechnologie rekening te houden. Deze evaluatie is inmiddels achter de rug en heeft concreet niet geleid tot ideee¨n om nieuwe bepalingen in te lassen. Het ziet er dus niet naar uit dat de WVP (nieuw) in de toekomst veel zal worden gewijzigd.

Handboek Privacy

december 2003

4376

HOOFDSTUK 3 Het toepassingsgebied van de wet ratione materiae Bij het persoonlijk toepassingsgebied nemen we de gelegenheid te baat om op deze plaats enkele belangrijke definities van bij de verwerking van persoonsgegevens betrokken actoren onder de loepe te nemen en toe te lichten. Het gaat om de houder van het bestand (WVP (oud)) of de verantwoordelijke voor de verwerking (WVP (nieuw)), de bewerker (WVP (oud)) of de verwerker (VWP (nieuw)), de ontvanger en de derde, twee begrippen die enkel in de nieuwe wet worden gedefinieerd. Een laatste actor die hier vermeld dient te worden, de zgn. aangestelde voor de gegevensbescherming, wordt besproken in Hoofdstuk 7.

De verantwoordelijke voor de verwerking 1. De wvp (oud) In de oorspronkelijke wet van 1992 stond niet de notie ‘verantwoordelijke voor de verwerking’, maar de notie ‘houder van het bestand’ centraal. Artikel 1, § 6 WPV (oud) bepaalt dat onder de “houder van het bestand” verstaan wordt de natuurlijke persoon of de rechtspersoon of de feitelijke vereniging die bevoegd is om te beslissen over het doel van de verwerking of over de soorten gegevens die erin moeten voorkomen. Bespreking De wet is van toepassing op elke persoon die persoonsgegevens verwerkt, ongeacht of het een natuurlijke p ersoon, rechtspersoon of feitelijke vereniging betreft en ongeacht deze persoon zijn activiteiten in de publieke, dan wel in de private sector uitoefent (1). Centraal in de bewoordingen van de wet staat de ‘be-

(1) Uit deze omschrijving blijkt afdoende dat de rechtsvorm van de houder geen belang heeft. Dat zulks bepaald is geworden om het ontduiken van de dwingende bepalingen van de wet te vermijden behoeft geen betoog.

44

december 2003

Handboek Privacy

HANDBOEK PRIVACY. Geachte abonnee, Voor u ligt de elfde aanvulling voor het Handboek Privacy

Recommend Documents