PRIVACYREGLEMENT VLUCHTELINGENWERK
Privacyreglement voor de verwerking van cliëntgegevens door regionale afdelingen VluchtelingenWerk mei 2003
Inleiding De Wet bescherming persoonsgegevens (WBP) is op 1 september 2001 in de plaats gekomen van de Wet persoonsregistraties (WPR). Het belangrijkste verschil tussen de WBP en de WPR is dat de WBP de verwerking van persoonsgegevens betreft en niet uitsluitend de registratie daarvan. Belangrijke uitgangspunten voor de WBP zijn dat persoonsgegevens alleen mogen worden verzameld voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden en persoonsgegevens alleen verder mogen worden verwerkt voor doeleinden die daarmee verenigbaar zijn. De informatieplicht voor degene die gegevens verwerkt, is versterkt en bijzondere persoonsgegevens (zoals ras en medische gegevens) worden beter beschermd. Het modelprivacyreglement dat VluchtelingenWerk sinds 1991 kende is met de nieuwe wet verouderd. Voorliggend privacyreglement is een uitwerking van de belangrijkste bepalingen van de Wet bescherming persoonsgegevens. Op grond van de Wet bescherming persoonsgegevens moet de verwerking van persoonsgegevens vooraf worden gemeld aan het College bescherming persoonsgegevens (voorheen de Registratiekamer). Voor deze melding is van VluchtelingenWerk een op de VluchtelingenWerkpraktijk toegesneden handleiding verschenen (mei 2003). Er bestaat een nauwe samenhang tussen de te verrichte melding en het privacyreglement. De melding gebeurt aan de hand van speciale formulieren. In deze formulieren komt te staan wat de doelstellingen van de gegevensverwerkingen zijn, wie de verantwoordelijke is en aan wie welke gegevens worden verstrekt. Deze formulieren kunnen vervolgens de bijlagen vormen van dit reglement waar in artikel 2 van dit reglement op wordt gedoeld. Door het toevoegen van deze bijlagen en het invullen van de datum en de naam van de VluchtelingenWerkorganisatie bij het slotartikel (artikel 24) wordt het reglement gecomplementeerd. Wanneer in de toekomst nieuwe meldingen van gegevensverwerkingen noodzakelijk zijn, bijvoorbeeld bij het opzetten van een aparte cliëntregistratie voor een project, dan moet dit meldingsformulier eveneens bij het reglement worden gevoegd. Daarmee wordt het privacyreglement actueel gehouden. Meer informatie over de Wet bescherming persoonsgegevens is te verkrijgen bij het College bescherming persoonsgegevens, Postbus 93374, 2509 AJ te Den Haag, telefoon: 070 3811300 en op hun website www.cbpweb.nl. Op deze website is ook een handleiding voor verwerkers van persoonsgegevens geplaatst.
2
Artikel 1 Begripsbepaling In dit reglement wordt in aansluiting bij en in aanvulling op de Wet bescherming persoonsgegevens (Staatsblad 2000, 302) verstaan onder: - de wet: de Wet bescherming persoonsgegevens; - persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon; - bijzondere persoonsgegevens: persoonsgegevens als bedoeld in artikel 16 van de wet; - verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens; - bestand: elk gestructureerd geheel van persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen; - verantwoordelijke: het bestuur van een afdeling, afdelingslid of regionaal lid van de Vereniging VluchtelingenWerk Nederland. - beheerder: degene die onder verantwoordelijkheid van de verantwoordelijke is belast met de dagelijkse zorg voor de verwerking van cliëntgegevens, voor de juistheid van de ingevoerde gegevens, alsmede voor het bewaren, verwijderen en verstrekken van gegevens - organisatie: de afdeling, het afdelingslid of regionaal lid van de Vereniging VluchtelingenWerk Nederland. - betrokkene: de cliënt van de afdeling, het afdelingslid of regionaal lid van de Vereniging VluchtelingenWerk Nederland - cliënt: De vluchteling, asielzoeker of migrant die gebruik maakt van de diensten van VluchtelingenWerk. Toelichting: De wet: De Wet bescherming persoonsgegevens (WBP) is op 1 september 2001 in de plaats gekomen van de Wet persoonsregistraties (WPR). Het belangrijkste verschil tussen WBP en WPR is dat de WBP de verwerking van persoonsgegevens betreft en niet uitsluitend de registratie daarvan. Bij verwerking gaat het om elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, al dan niet uitgevoerd met behulp van geautomatiseerde procédés. Het omvat het gehele proces dat een gegeven doormaakt vanaf het moment van verzamelen tot het moment van vernietiging. Persoonsgegeven: Als gegevens informatie bevatten over een bepaalde persoon (direct of indirect) en die persoon identificeerbaar is (direct of indirect), dan is sprake van persoonsgegevens. Voorbeelden van persoonsgegevens zijn: naam, adres, foto, telefoon-, sofi- of gironummer, loginnummer of -naam, telefoonregistraties, video-opnamen, geboortedatum en geslacht, mits deze gegevens gekoppeld of te koppelen zijn aan een bepaalde persoon. Of gegevens informatie bevatten over een bepaalde persoon blijkt meestal uit de aard van de gegevens. Gegevens die mede bepalend zijn voor de wijze waarop iemand in het maatschappelijk verkeer wordt beoordeeld of behandeld zijn ook persoonsgegevens: de waarde van een auto zegt bijvoorbeeld iets over het inkomen van de eigenaar van de auto. Gegevens die van de naam van de betreffende persoon zijn ontdaan, kunnen in combinatie met andere gegevens of door spontane herkenning toch weer tot de betreffende persoon leiden. In dat geval is de persoon identificeerbaar en zijn de gegevens persoonsgegevens. Bijzondere persoonsgegevens: Dit zijn alle gegevens die informatie kunnen verschaffen over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, lidmaatschap van een vakvereniging en strafrechtelijke persoonsgegevens. Daarbij geldt dat de term 'ras' breed wordt uitgelegd, daaronder valt ook huidskleur, afkomst en nationale of etnische afstamming. Bij de verwerking van de persoonsgegevens van vluchtelingen is dus al snel sprake van dergelijke
3
bijzondere gegevens. De bescherming van bijzondere gegevens gaat zover dat de WBP de verwerking van deze gegevens verbiedt, behoudens een aantal uitzonderingen. Deze uitzonderingen zijn in artikelen 17 tot en met 22 per onderwerp apart geformuleerd en hebben betrekking op de organisaties of instellingen voor wie het toegestaan is en onder welke voorwaarden. Voor VluchtelingenWerk geldt dat zij onder geen van de genoemde uitzonderingen valt. Dit betekent dat de verwerking van bijzondere gegevens op grond van art. 23 WBP alleen mag met uitdrukkelijke toestemming van de cliënt. Bestand: De gegevens moeten een onderlinge samenhang vertonen. Daarnaast moet het bestand zo zijn ingericht dat het systematisch toegankelijk is. Een ongestructureerd handmatig dossier valt niet onder de WBP, een op enige wijze gesystematiseerde dossierkast wel. De handmatige verwerking van gegevens om deze in een bestand op te nemen valt ook onder de WBP. Verantwoordelijke Op grond van de wet is de verantwoordelijke de natuurlijke of rechtspersoon die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt. Op hem rust een groot aantal verplichtingen waaraan hij, afhankelijk van de soort gegevensverwerking, moet voldoen. De belangrijkste plicht is de zorgplicht: de verantwoordelijke moet er zorg voor dragen dat de verwerking op een behoorlijke en zorgvuldige wijze plaatsvindt. Dat betekent onder meer dat in principe alle verwerkingen in alle openheid geschieden, dat de gegevens niet gebruikt worden voor andere doeleinden dan waarvoor ze zijn verkregen, dat de gegevens niet langer bewaard blijven dan gelet op het doel nodig is en dat niet meer gegevens worden verwerkt dan voor het doel noodzakelijk is. In de Memorie van Toelichting van de WBP is benadrukt dat het gaat om degene die formeel-juridisch de bevoegdheid heeft om doel en middelen van de gegevensverwerking vast te stellen. Bij een afdeling, afdelingslid of regionaal lid van de Vereniging VluchtelingenWerk Nederland is dat het bestuur van de afdeling. Beheerder: De wet kent de term beheerder niet meer, en legt alle verantwoordelijkheden bij de verantwoordelijke. In de praktijk ligt het echter meer voor de hand bepaalde verantwoordelijkheden bij een beheerder te leggen zoals bijvoorbeeld de zorg voor de juistheid van de gegevens. Zie voor de andere verantwoordelijkheden van de beheerder artikelen 6, 8, 9, 15, 17, en 18. Overigens voert de beheerder deze taken uit onder verantwoordelijkheid van de verantwoordelijke. Blijft de beheerder in gebreke dan kan dus ook de verantwoordelijke daarop aangesproken worden. De wet kent wel de term bewerker, maar deze term heeft onder de nieuwe wet een andere betekenis gekregen. Het betreft alleen nog degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt zonder aan zijn rechtstreekse gezag te zijn onderworpen (bijvoorbeeld een administratiekantoor). Betrokkene: Op grond van de wet is een betrokkene degene op wie een persoonsgegeven betrekking heeft. In de VluchtelingenWerkpraktijk zijn dit de cliënten van de betreffende VluchtelingenWerk organisatie. Cliënt: Het reglement heeft betrekking op alle cliënten waarvan persoonsgegevens in een cliëntregistratie van een VluchtelingenWerkorganisatie zijn opgenomen, dus zowel asielzoekers, vluchtelingen als andere migranten. Cliëntgegevens: Persoonsgegevens die betrekking hebben op een cliënt van een VluchtelingenWerkorganisatie.
Artikel 2 Reikwijdte van het reglement Dit reglement is van toepassing op alle geheel of gedeeltelijk geautomatiseerde verwerkingen van persoonsgegevens van cliënten van de organisatie voor zover de Wet bescherming persoonsgegevens van toepassing is. Dit reglement is voorts van toepassing op de niet geautomatiseerde verwerking van cliëntgegevens van de afdeling, afdelingslid of regionaal lid die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen voor zover de Wet bescherming persoonsgegevens van toepassing is.
4
De afzonderlijke verwerkingen dan wel samenhangende verwerkingen zijn in de bijlagen beschreven. Deze bijlagen maken deel uit van dit reglement. Toelichting: De oude wet had betrekking op persoonsregistraties die gehouden werden. De nieuwe wet heeft betrekking op verwerking van persoonsgegevens. Uit bovenstaande (wettelijke) omschrijving blijkt dat veel handelingen met persoonsgegevens onder de WBP vallen. Uitgesloten zijn wel activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden (zoals het bijhouden van een agenda) alsmede verwerking voor uitsluitend journalistieke, artistieke of literaire doeleinden. Dit privacyreglement heeft betrekking op de verwerking van cliëntgegevens. Het is denkbaar dat binnen een organisatie er sprake is van één samenhangende verwerking, maar meestal zullen meerdere verwerkingen te onderscheiden zijn. Dit geldt in ieder geval voor de situatie wanneer zowel maatschappelijke als trajectbegeleiding wordt uitgevoerd. Gezien de verschillende doeleinden gaat het hier om gescheiden verwerkingen. Ook is denkbaar dat bijvoorbeeld voor een werkgelegenheidsproject een aparte gegevensverwerking wordt opgezet. Voor de bijlagen kan gebruik worden gemaakt van de van toepassing zijnde meldingsformulieren. Op grond van art. 27 WBP moet iedere geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens alvorens met de verwerking wordt gestart worden aangemeld bij het College bescherming persoonsgegevens. Deze melding gebeurt met speciale meldingsformulieren. Door het invullen van het meldingsformulier ontstaat per afzonderlijke gegevensverweking een omschrijving zoals voor dit reglement is beoogd. Daarin komt de doelstelling(en), de verantwoordelijke en aan wie welke gegevens wordt verstrekt te staan. Voor het doen van een melding bij het College is een speciale handleiding van VluchtelingenWerk verschenen (mei 2003).
Artikel 3 Beheer van de cliëntgegevens Per afzonderlijke verwerking of samenhangende verwerkingen is in de bijlagen aangegeven wie de verantwoordelijke is en wie de beheerder. Toelichting: Deze bepaling is nodig door het nieuwe onderscheid tussen verantwoordelijke en beheerder. De verantwoordelijke is het bestuur van de organisatie. De beheerder zal over het algemeen de directeur of coördinator zijn.
Artikel 4 Doelstellingen gegevensverwerkingen Per afzonderlijke verwerking of samenhangende verwerkingen zijn in de bijlagen de doelen dan wel de samenhangende doelen geformuleerd. De doelstellingen zijn onderstaande of enkele van onderstaande doelstellingen of daarmee verenigbare doelstellingen: a. het bevorderen dat vluchtelingen in Nederland bescherming geboden wordt door middel van begeleiding asielprocedure; b. het bevorderen dat vluchtelingen in Nederland een volwaardige plaats in de samenleving verwerven door middel van sociaal maatschappelijke begeleiding; c. het ondersteunen van de beleidsontwikkeling van de organisatie; d. het ondersteunen van de beleidsontwikkeling van VluchtelingenWerk Nederland. Toelichting: De eerste twee doelstellingen zijn vastgesteld in de notitie ‘Kerntaken stichtingen VluchtelingenWerk in diverse stadia van toelating en verblijf’ aangenomen in de Verenigingsraad op 21 juni 2000. Daarnaast zullen sommige VluchtelingenWerkorganisaties ook trajectbegeleiding in het kader van inburgering verzorgen. Dit is geen kerntaak van VluchtelingenWerkorganisaties maar wel verenigbaar met de overige doelstellingen. Het verdient wel aanbeveling de verwerkingen van cliëntgegevens ten behoeve van trajectbegeleiding als een aparte verwerking te beschouwen, aangezien de trajectbegeleiding een andere doelstelling heeft dan maatschappelijke begeleiding bij inburgering. Zie hierover ook de notitie Gegevensverstrekking door VluchtelingenWerkgroepen onder de Wet inburgering nieuwkomers van april 2000. Daarnaast zullen veel VluchtelingenWerkorganisaties ook maatschappelijke en/of trajectbegeleiding in het kader van inburgering aan andere migranten bieden. Indien dit het geval is kan dit in de bijlage als aparte doelstelling(en) worden vermeld. Doelstellingen c
5
en d zijn overgenomen uit het vorige privacyreglement. Deze zijn te beschouwen als nevendoelen van a en b en zullen in principe niet tot aparte gegevensverwerkingen leiden. Andere doelstellingen die tot aparte gegevensverwerkingen kunnen leiden zijn bijvoorbeeld werkgelegenheidsprojecten of projecten in het kader van het oudkomersbeleid zijn waarvoor een aparte gegevensverwerking wordt gevoerd.
Artikel 5 Verwerking van cliëntgegevens Cliëntgegevens worden slechts verwerkt indien: a. de cliënt ondubbelzinnige toestemming heeft verleend; b. de gegevensverwerking noodzakelijk is voor de uitvoering van een overeenkomst waarbij de cliënt partij is; c. noodzakelijk voor een wettelijke verplichting van de verantwoordelijke; d. noodzakelijk voor een vitaal belang van de cliënt; e. noodzakelijk voor het gerechtvaardigde belang van de verantwoordelijke, tenzij het belang of de fundamentele rechten en vrijheden van de cliënt, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert. Toelichting: De wet geeft een beperkt aantal grondslagen waarop persoongegevens mogen worden verwerkt. In geval van ondubbelzinnige toestemming stelt de wet een aantal voorwaarden. De toestemming hoeft niet schriftelijk te zijn, maar moet wel buiten twijfel zijn. Een stilzwijgende of impliciete toestemming is onvoldoende. De cliënt moet zijn wil in vrijheid hebben geuit, niet onder druk van de omstandigheden en niet onder druk van de afhankelijkheid ten opzichte van de verantwoordelijke. De toestemming van de cliënt moet gericht zijn op een bepaalde verwerking of een beperkte categorie van gegevensverwerkingen. Hij moet zodanig geïnformeerd zijn dat hij begrijpt waarvoor hij toestemming geeft. Er mag niet van worden uitgegaan dat de cliënt wel weet wat met de gegevens gedaan zal worden. Een eenmaal gegeven toestemming kan altijd worden ingetrokken. Een overeenkomst die een betrokkene afsluit is een toelaatbare grond voor gegevensverwerking omdat de verwachting is dat bij het aangaan van de overeenkomst iemand kan overzien met welke gegevensverwerkingen hij rekening heeft te houden. In de praktijk zullen VluchtelingenWerkorganisaties zelden overeenkomsten afsluiten met cliënten. Wel kan de situatie zich voordoen dat de VluchtelingenWerkorganisatie (indirect) partij is bij een overeenkomst en op grond daarvan gegevens moet verwerken. Bijvoorbeeld bij oudkomersprojecten waarbij cliënt een overeenkomst afsluit met de gemeente en waarin de VluchtelingenWerkorganisatie ook een rol vervult die verwerking van herleidbare persoonsgegevens met zich meebrengt. Het is in deze situaties wel van belang vooraf goede afspraken vast te leggen met de gemeente over de betreffende gegevensverwerkingen. De grondslag wettelijke verplichting betekent dat er sprake moet zijn van een wet of een algemeen verbindend voorschrift gebaseerd op een wet waaruit volgt dat het voor de verantwoordelijke noodzakelijk is bepaalde gegevens te verwerken. Een voorbeeld hiervan is het Centraal Orgaan opvang asielzoekers (COA) dat verplicht is op grond van de Wet COA allerlei gegevens over de opvang van asielzoekers te verstrekken aan de minister van Justitie. Een VluchtelingenWerkorganisatie kan indirect met een wettelijke verplichting te maken krijgen wanneer zij de maatschappelijke begeleiding in het kader van de Wet inburgering nieuwkomers uitvoert. De gemeente is op grond van de wet verplicht de wijze waarop en de frequentie waarmee maatschappelijke begeleiding wordt uitgevoerd te registreren. De VluchtelingenWerkorganisatie moet in dat geval die gegevens aan de gemeente verstrekken. Zie daarvoor ook de notitie Gegevensverstrekking door VluchtelingenWerkgroepen onder de Wet inburgering nieuwkomers van april 2000. Bij gegevensverwerking die noodzakelijk zijn ter vrijwaring van een vitaal belang van de betrokkene moet men denken aan bijvoorbeeld een dringende medische noodzaak. Een cliënt raakt onwel in het kantoor van VluchtelingenWerk, dan mogen zonder toestemming medische gegevens aan de hulpverlener worden verstrekt. Een maatstaf om te beoordelen of er sprake is van een gerechtvaardigd belang (e) is of de activiteiten niet kunnen worden uitgevoerd zonder de gegevensverwerking. Goede bedrijfsvoering kan een
6
gerechtvaardigd belang zijn. Wel geldt dat de gegevensverwerking noodzakelijk moet zijn dat wil zeggen dat er geen minder ingrijpende weg of met minder gegevens hetzelfde resultaat bereikt kan worden. Daarnaast dient uitdrukkelijk een belangenafweging plaats te vinden tussen het gerechtvaardigde belang en het belang van de betrokkene om gevrijwaard te blijven van inbreuken op (onder meer) zijn privacy. Berust de verwerking uitsluitend op deze laatste grondslag, dan kan de cliënt daartegen verzet aantekenen. Zie ook artikel 19. In de praktijk van een VluchtelingenWerkorganisatie zal echter zelden een gegeven worden verwerkt alleen op deze grondslag, omdat bij de gegevensverwerking van vluchtelingen vrijwel altijd sprake is van bijzondere persoonsgegevens (zoals nationaliteit). Daarvoor is voor een VluchtelingenWerkorganisatie altijd ondubbelzinnige toestemming nodig (zie ook de toelichting bij art. 1).
Artikel 6 Soorten van opgenomen gegevens en de wijze van verkrijging 1. Per afzonderlijke verwerking of samenhangende verwerkingen is in de bijlagen aangegeven welke soorten van cliëntgegevens ten hoogste worden verwerkt en op welke wijze deze gegevens worden verkregen. 2. Cliëntgegevens worden zoveel mogelijk verzameld bij de cliënt zelf. 3. Cliëntgegevens worden niet verzameld bij derden zonder de ondubbelzinnige toestemming van de cliënt. 4. Cliëntgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt. 5. Cliëntgegevens worden slechts verwerkt voor zover zij, gelet op de in de bijlagen genoemde doeleinden, toereikend, ter zake dienend en niet bovenmatig zijn. 6. Bijzondere persoonsgegevens worden verwerkt met inachtneming van het bepaalde in de artikelen 16 tot en met 23 van de wet. 7. De beheerder treft de nodige voorzieningen ter bevordering van de juistheid en volledigheid van de cliëntgegevens. Toelichting: Bij soorten van gegevens gaat het onder andere om naw-gegevens (naam, adres, woonplaats),nationaliteit en verblijfsstatus,geboortedatum, burgerlijke staat, gezinsleden, de asiel- of verblijfsrechterlijke procedure, de gezinsherenigingsprocedure, overige materiële rechtspositie procedures, gezondheid, opleiding en werkervaring en inburgeringsprogramma. Dat de cliëntgegevens ‘toereikend’ moeten zijn voor het doel van de verwerking houdt in dat de verantwoordelijke ook niet te weinig gegevens mag verwerken. Alle gegevens die voor het doel noodzakelijk zijn moeten worden verwerkt. Als te weinig gegevens worden verzameld, kan een onvolledig beeld van de cliënt ontstaan. De verwerking van bijzondere persoonsgegevens is in principe verboden. Als bijzondere gegevens worden aangemerkt gegevens over iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, vakbondslidmaatschap alsmede strafrechtelijke gegevens. De wet noemt uitzonderingen op het verbod van verwerking van bijzondere persoonsgegevens. Het is bijvoorbeeld wel toegestaan gegevens over iemands ras te verwerken in het kader van een voorkeursbeleid. En onder bepaalde voorwaarden mogen verzekeraars gegevens verwerken over iemands gezondheid. VluchtelingenWerk valt onder geen van de uitzonderingen en moet dus altijd de ondubbelzinnige toestemming van de cliënt hebben bij verwerking van bijzondere persoonsgegevens.
Artikel 7 Gebruik van cliëntgegevens Cliëntgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor deze zijn verkregen. Daarbij wordt tenminste rekening gehouden met de verwantschap van de doelen, de aard van de gegevens, de gevolgen van de verdere verwerking voor de cliënt, de wijze waarop de gegevens zijn verkregen en de waarborgen ter bescherming van de persoonlijke levenssfeer.
7
Toelichting: Persoonsgegevens worden verzameld voor een bepaald doel. Ze mogen in beginsel niet gebruikt worden voor een ander doel dan dat waarvoor ze verzameld zijn. Dat mag echter wel als het gebruik voor een ander doel niet onverenigbaar is met het oorspronkelijke doel. Of de verdere verwerking onverenigbaar is hangt af van een aantal factoren. Eén daarvan is de verwachting die de cliënt heeft ten aanzien van het gebruik van zijn persoonsgegevens. Een andere factor is de mate van verwantschap tussen het oorspronkelijke doel en het doel van de verdere verwerking. Hoe dichter de doelen bij elkaar liggen, hoe eerder de verdere verwerking verenigbaar is met het doel waarvoor de gegevens zijn verzameld. Een hanteerbare praktische stelregel om te beoordelen of een bepaald doel verenigbaar is met het oorspronkelijke doel, is dat protest tegen of vragen over het gebruik van het verdere doel wijst op onverenigbaarheid van dat doel met het oorspronkelijke doel. De beide doelen liggen dan tenminste niet zonder meer in elkaars verlengde. Ook de aard van de gegevens is van belang. Hoe gevoeliger de gegevens, hoe minder snel de gegevens ook voor een ander doel gebruikt mogen worden. Gegevens over naam, adres en woonplaats mogen bijvoorbeeld eerder voor een ander doel gebruikt worden dan bijvoorbeeld medische gegevens. De gevolgen van de beoogde (verdere) verwerking voor de cliënt zijn eveneens relevant. Als die bijvoorbeeld tot gevolg heeft dat een bepaalde beslissing over de cliënt wordt genomen, is al snel sprake van onverenigbaarheid. Een ziektekostenverzekeraar die medische gegevens over de betrokkene heeft verkregen, mag die gegevens bijvoorbeeld niet gebruiken om daarop een beslissing te baseren om met betrokkene al dan niet een levensverzekering aan te gaan.
Artikel 8 Toegang tot cliëntgegevens 1. Uitsluitend de beheerder en de door de beheerder aangewezen gebruikers hebben, met het oog op de dagelijkse zorg voor het goed functioneren van de verwerking, rechtstreekse toegang tot cliëntgegevens. 2. De personen, bedoeld in het eerste lid, voor wie niet reeds uit hoofde van ambt, beroep of wettelijk voorschrift een geheimhoudingsplicht geldt, zijn verplicht tot geheimhouding van de cliëntgegevens, waarvan zij kennis nemen, behoudens voor zover enig wettelijk voorschrift hen tot mededeling verplicht of uit hun taak de noodzaak tot mededeling voortvloeit. Toelichting: Essentieel voor de bescherming van de privacy is de toegang tot de gegevens. Wat betreft de rechtstreekse toegang tot cliëntgegevens is het de beheerder die bepaalt welke gebruikers bevoegd zijn bepaalde handelingen met bepaalde cliëntgegevens te verrichten. Voor al deze personen geldt een geheimhoudingsplicht. Ook de verantwoordelijke, bijvoorbeeld in de persoon van de directeur, heeft als zodanig toegang tot cliëntgegevens, maar deze dient de organisatie zo in te richten dat hij niet zonder noodzaak en ongevraagd met die gegevens wordt geconfronteerd. De geheimhoudingsplicht voor medewerkers en vrijwilligers van VluchtelingenWerk is ook te vinden in de Gedragscode van VluchtelingenWerk Nederland.
Artikel 9 Verstrekking van cliëntgegevens 1. Per afzonderlijke verwerking of samenhangende verwerkingen is in de bijlagen aangegeven aan welke personen binnen en buiten de organisatie welke cliëntgegevens kunnen worden verstrekt, gelet op het doel en de grondslag van de verwerking. 2. De verantwoordelijke informeert derden, die op vastgestelde wijze bepaalde cliëntgegevens verwerken, over de daaraan gestelde voorwaarden en beperkingen. Toelichting: In artikel 5 is aangegeven wat de verschillende grondslagen voor gegevensverstrekking kunnen zijn. Voor VluchtelingenWerkorganisaties zal in de meeste gevallen gelden dat voor gegevensverstrekking ondubbelzinnige toestemming noodzakelijk is. Dit betekent niet dat voor iedere brief of telefoontje van cliënt apart toestemming noodzakelijk is. Cliënt kan immers ook toestemming geven voor categorie van gegevensverwerkingen, ook als deze in de toekomst zij gelegen. Het is echter wel van belang dat de cliënt begrijpt waarvoor hij toestemming heeft gegeven. De wettelijke bepalingen zijn van toepassing op zowel mondelinge als schriftelijke gegevensverstrekking.
8
Personen en/of organisaties waaraan gegevens worden verstrekt zijn bijvoorbeeld het landelijk bureau, andere afdelingen, rechtshulpverlening, IND, COA, Vreemdelingendienst, gemeente, gemeentelijke- en welzijnsinstellingen.
Artikel 10 Doorgifte van persoonsgegevens naar landen buiten de Europese Unie De verantwoordelijke geeft geen persoonsgegevens naar een land buiten de Europese Unie, dat geen passend beschermingsniveau heeft, tenzij voldaan is aan tenminste één van de volgende voorwaarden: a. de cliënt daarvoor zijn ondubbelzinnige toestemming heeft verleend; b. de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst waarbij de cliënt partij is of een overeenkomst die tussen de verantwoordelijke en een derde in het belang van cliënt gesloten is; c. de doorgifte noodzakelijk is voor een vitaal belang van de cliënt. Toelichting: De wetgever heeft een speciale bescherming in de wet opgenomen voor doorgifte van persoongegevens aan landen buiten de Europese Unie die geen passend beschermingsniveau hebben. VluchtelingenWerkorganisaties kunnen hiermee te maken hebben bij het verzamelen van gegevens in het kader van begeleiding asielprocedure of bij gezinshereniging. In vrijwel alle gevallen is voor doorgifte van gegevens aan landen buiten de Europese Unie ondubbelzinnige toestemming van cliënt vereist. Bij een overeenkomst zoals bedoeld onder b kan gedacht worden aan een overeenkomst met de Internationale Organisatie voor Migratie (IOM) voor de reis van de gezinsleden bij gezinshereniging.
Artikel 11 Beveiliging De verantwoordelijke legt passende technische en organisatorische maatregelen ten uitvoer om cliëntgegevens te beveiligen tegen verlies of tegen enige vorm van onrechtmatige verwerking. Deze maatregelen garanderen, rekening houdend met de stand van de techniek en de kosten van de tenuitvoerlegging, een passend beveiligingsniveau gelet op de risico’s die de verwerking en de aard van te beschermen gegevens met zich meebrengen. De maatregelen zijn er mede op gericht onnodige verzameling van verdere verwerking van cliëntgegevens te voorkomen. Toelichting: Voor de bescherming van privacy is beveiliging essentieel. De verantwoordelijke is daarom gehouden tot het treffen van de nodige voorzieningen. Zo dient hij een beveiligingsplan op te stellen, inclusief gedragsregels met betrekking tot de omgang met gegevens (papiervernietigers gebruiken, regels opstellen voor het gebruik van de fax en het beantwoorden van telefonische informatieverzoeken en dergelijke). Deze voorzieningen moeten worden uitgewerkt en gecontroleerd door de beheerder.
Artikel 12 Technische werkzaamheden Personen die belast zijn met de uitvoering van technische werkzaamheden zijn gehouden tot geheimhouding van alle cliëntgegevens waarvan zij kennis hebben kunnen nemen. Toelichting: Bij het doen van reparaties aan apparatuur of onderhoudswerkzaamheden bestaat de kans dat de persoon die met deze werkzaamheden is belast kennis neemt van persoonsgegevens. Het verdient aanbeveling in deze gevallen deze persoon een geheimhoudingsverklaring te laten ondertekenen.
Artikel 13 Geheimhouding Cliënt kan aan een medewerker verzoeken om gegevens, zoals ze aan medewerker bekend zijn niet te verwerken.
9
Artikel 14 Informatieplicht 1. Indien de verantwoordelijke cliëntgegevens verkrijgt bij de cliënt zelf, deelt hij de cliënt vóór het moment van verkrijging zijn identiteit mee alsmede het doel van de verwerking waarvoor de gegevens zijn bestemd, tenzij de cliënt hiervan reeds op de hoogte is. 2. Indien de verantwoordelijke cliëntgegevens verkrijgt van een derde of door observatie van de cliënt, deelt de verantwoordelijke de cliënt op het moment van vastlegging zijn identiteit mee alsmede het doel van de verwerking waarvoor de gegevens zijn bestemd. 3. De verantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie op een zodanige wijze dat de cliënt er daadwerkelijk de beschikking over krijgt. 4. De verantwoordelijke draagt ervoor zorg dat gedurende het begeleidingstraject de doelen waarvoor en de manieren waarop cliëntgegevens van cliënt worden verwerkt, evenals de regels die daarvoor gelden en de rechten die cliënt ten aanzien daarvan heeft en hoe cliënt die kan uitoefenen, voldoende duidelijk zijn. Toelichting: Uitgangspunt van de wet is volledige openheid met betrekking tot alle verwerkingen die plaatsvinden. Dit artikel schrijft voor dat, wanneer de cliënten nog niet op de hoogte zijn, zij actief geïnformeerd moeten worden over de doeleinden van de verwerking. De verantwoordelijke mag er na toezending of uitreiking vanuit gaan dat cliënten op de hoogte zijn. Het is onvoldoende dat de cliënten redelijkerwijs op de hoogte hadden kunnen zijn, bijvoorbeeld omdat door onderzoek te achterhalen is wie de verantwoordelijke is en voor welke doeleinden de gegevens worden verwerkt. Ook een expliciete verwijzing door de verantwoordelijke naar elders verkrijgbare informatie is onvoldoende. Nadere informatie moet verschaft worden als dat tegenover de cliënt nodig is om een behoorlijke en zorgvuldige verwerking te waarborgen. Of dat zo is hangt af van de aard van de gegevens, de omstandigheden waaronder deze worden of zijn verkregen en het gebruik dat ervan gemaakt wordt. Hoe gevoeliger de gegevens voor de cliënt, hoe meer reden er is de cliënt gedetailleerd te informeren over de gegevensverwerking. Als de gegevens bij de cliënt zelf worden verkregen, moet de verantwoordelijke de cliënt vóór de verkrijging informeren.
Artikel 15 Rechten van cliënt 1. Iedere cliënt heeft recht op informatie, inzage en correctie (verbetering, aanvulling, verwijdering en/of afscherming) alsmede recht van verzet, zoals geformuleerd in de volgende artikelen van deze paragraaf. 2. Cliënten kunnen zich bij het uitoefenen van die rechten laten bijstaan. 3. De beheerder wijst cliënten op de mogelijkheden van rechtsbescherming en toezicht en op de rol daarin van het College bescherming persoonsgegevens. Artikel 16 Recht op informatie De verantwoordelijke informeert cliënt op diens verzoek tijdig en volledig over de doelen waarvoor en de manieren waarop cliëntgegevens van hem worden verwerkt, over de regels die daarvoor gelden, over de rechten die cliënt ten aanzien daarvan heeft en hoe hij die kan uitoefenen. Daarbij wordt betrokkene ook geïnformeerd over de plaats waar de documenten, waarin bedoelde regels zijn opgenomen, kunnen worden ingezien dan wel opgevraagd. Toelichting: De verantwoordelijke is niet alleen verplicht om ongevraagd informatie te verstrekken, zoals omschreven in artikel 15. Hij is ook verplicht om desgevraagd de cliënt te informeren. De cliënt hoeft op zijn beurt niet af te wachten wanneer de verantwoordelijke hem uit eigen beweging informeert, maar heeft ook het recht om de verlangde informatie zelf op een door hem gewenst moment op te vragen.
10
Artikel 17 Recht op inzage 1. De beheerder deelt een cliënt op diens verzoek, zo spoedig mogelijk, maar uiterlijk binnen vier weken na ontvangst van het verzoek, schriftelijk mee of gegevens die hem betreffen worden verwerkt. 2. Indien dat het geval is, verstrekt de beheerder de verzoeker desgewenst, zo spoedig mogelijk, maar uiterlijk binnen vier weken na ontvangst van het verzoek, schriftelijk een volledig overzicht daarvan met informatie over het doel of de doelen van de gegevensverwerking, de gegevens of categorieën van gegevens waarop de verwerking betrekking heeft, de ontvangers of categorieën van ontvangers van de gegevens alsmede de herkomst van de gegevens. 3. De verzoeker kan desgevraagd een afschrift ontvangen van de ter inzage gegeven gegevens. De organisatie kan voor het verstrekken van dergelijke afschriften een vergoeding van maximaal de kostprijs verlangen. 4. Indien een gewichtig belang van de verzoeker dit eist, voldoet de verantwoordelijke aan het verzoek in een andere dan schriftelijke vorm, die aan dat belang is aangepast. 5. De beheerder draagt zorg voor een deugdelijke vaststelling van de identiteit van de verzoeker. 6. De beheerder kan weigeren aan een verzoek te voldoen, indien en voor zover dit noodzakelijk is in verband met: a. de opsporing en vervolging van strafbare feiten; b. gewichtige belangen van anderen dan de verzoeker, de verantwoordelijke daaronder begrepen. Toelichting: De cliënt mag te allen tijde, uiteraard met redelijke tussenpozen, verzoeken kennis te nemen van de eigen cliëntgegevens. Een dergelijk verzoek wordt ingediend bij de beheerder. Op grond van uitzonderlijke omstandigheden kan de verlangde inzage (deels) worden geweigerd, bijvoorbeeld omdat door inzage de privacy van anderen wordt geschonden of omdat in het kader van een opsporingsonderzoek inzage op dat moment niet wenselijk is. Als een schriftelijke mededeling wordt ook beschouwd een mededeling per e-mail. De beheerder doet dit, zoals alles, onder verantwoordelijkheid van de verantwoordelijke. Blijft de beheerder in gebreke, dan kan dus ook de verantwoordelijke daarop worden aangesproken
Artikel 18 Recht op correctie: verbetering, aanvulling, verwijdering en/of afscherming 1. Op schriftelijk verzoek van een cliënt gaat de beheerder over tot verbetering, aanvulling, verwijdering en/of afscherming van de met betrekking tot de verzoeker verwerkte cliëntgegevens, indien en voor zover deze gegevens feitelijk onjuist, voor het doel van de verwerking onvolledig, niet ter zake dienend of bovenmatig zijn, dan wel anderszins in strijd met een wettelijk voorschrift worden verwerkt. Het verzoek behelst de aan te brengen wijzigingen. 2. De beheerder deelt de verzoeker zo spoedig mogelijk, maar uiterlijk binnen vier weken na ontvangst van het verzoek, schriftelijk mee of hij daaraan voldoet. Indien hij daaraan niet of niet geheel wil voldoen, omkleedt hij dat met redenen. 3. De beheerder draagt er zorg voor dat een beslissing tot verbetering, aanvulling, verwijdering en/of afscherming zo spoedig mogelijk wordt uitgevoerd. 4. De beheerder informeert in geval van verbetering, aanvulling, verwijdering en/of afscherming derden daarover en verzekert zich ervan dat die derden hun bestanden dienovereenkomstig aanpassen. De beheerder deelt de verzoeker mee aan welke derden hij die informatie heeft verstrekt. Toelichting: Correctie houdt behalve verbeteren, aanvullen en verwijderen ook in: afschermen of op een andere manier ervoor zorgen dat de onjuiste gegevens niet langer worden gebruikt. Als het technisch niet mogelijk is de gegevens te verbeteren, bijvoorbeeld doordat deze zijn opgeslagen op een Cd-rom, kan de beheerder bijvoorbeeld een bestand met aanvullingen en verbeteringen opnemen.
11
De beheerder doet dit, zoals alles, onder verantwoordelijkheid van de verantwoordelijke. Blijft de beheerder in gebreke, dan kan dus ook de verantwoordelijke daarop worden aangesproken.
Artikel 19 Recht van verzet 1. Indien de rechtmatige grondslag voor een bepaalde verwerking is gelegen in het gerechtvaardigde belang van de verantwoordelijke, kan de cliënt bij de beheerder te allen tijde bezwaar aantekenen tegen die verwerking in verband met zijn bijzondere persoonlijke omstandigheden. 2. Binnen vier weken na ontvangst van het bezwaar beoordeelt de verantwoordelijke of dit verzet gerechtvaardigd is. 3. De beheerder beëindigt de verwerking terstond, indien de verantwoordelijke het verzet gerechtvaardigd acht. Verzet tegen de verwerking voor commerciële of charitatieve doelen is altijd gerechtvaardigd. Toelichting De cliënt kan in een aantal gevallen bezwaar maken tegen een gegevensverwerking. De WBP noemt dat het recht van verzet. De cliënt heeft een relatief recht van verzet als het verwerken van zijn cliëntgegevens plaatsvindt op de grondslag dat de verwerking noodzakelijk is voor een gerechtvaardigd belang van de verantwoordelijke. Dat verzet dient te worden gehonoreerd indien bijzondere persoonlijke omstandigheden van de cliënt zwaarder moeten wegen dan het belang van de verantwoordelijke. De cliënt heeft een absoluut recht van verzet als het verwerken van zijn cliëntgegevens plaatsvindt voor direct marketingdoelen. In dat geval moet de verwerking zonder meer worden beëindigd.
Artikel 20 Verwijdering van opgenomen cliëntgegevens 1. Cliëntgegevens die niet langer voor het doel noodzakelijk zijn worden zo spoedig mogelijk verwijderd. 2. Na beëindiging van de begeleidingsrelatie worden de gegevens nog maximaal vijf jaar bewaard, tenzij deze gegevens in verband met wettelijke verplichtingen langer bewaard moeten blijven. 3. Verwijdering impliceert vernietiging of een zodanige bewerking dat het niet meer mogelijk is de persoon te identificeren. Toelichting: Het oude modelreglement van VluchtelingenWerk kende de gebruikelijke bewaartermijn van twee jaar na beëindiging van de hulpverleningsrelatie. Bij dit reglement is gekozen voor een langere termijn daar de Vreemdelingenwet 2000 uitgaat van vergunningverlening voor bepaalde tijd waarna de juridische procedure weer kan herleven. Ook bij de naturalisatieaanvraag kunnen oude verblijfsrechterlijke gegevens van groot belang zijn. Bovendien zijn soms in het kader van oudkomersbeleid oude gegevens weer nodig. Voor het definitief verwijderen van de gegevens verdient het aanbeveling cliënt hiervan op de hoogte te stelen en een termijn te geven waarop hij de gegevens kan verkrijgen.
Artikel 21 Klachtenprocedure 1. Elke cliënt heeft het recht bij de verantwoordelijke een klacht in te dienen a. tegen een beslissing op een verzoek als bedoeld in de artikelen 13, 17, 18 en 19; b. tegen een beslissing naar aanleiding van de aantekening van verzet als bedoeld in artikel 19; alsmede c. tegen de wijze waarop de verantwoordelijke of de beheerder de in dit reglement opgenomen regels uitvoert. 2. De verantwoordelijke reageert zo spoedig mogelijk, maar uiterlijk binnen zes weken na ontvangst, schriftelijk en met redenen omkleed op de klacht. 3. Cliënt kan zich bij de indiening en behandeling van zijn klacht laten bijstaan. 4. De verantwoordelijke kan het advies van het College bescherming persoonsgegevens inwinnen.
12
5. De verantwoordelijke kan tot het oordeel komen dat de klacht onterecht is dan wel geheel of gedeeltelijk terecht. 6. Indien de verantwoordelijke de klacht niet of slechts gedeeltelijk honoreert, kan de cliënt een klacht indienen bij het College bescherming persoonsgegevens. De verantwoordelijke informeert de cliënt, wiens klacht hij niet of slechts gedeeltelijk honoreert, over die mogelijkheid en over het adres van het College. 7. Indien de verantwoordelijke oordeelt dat de klacht geheel of gedeeltelijk terecht is, beslist hij om: a. (indien de klacht zich richt tegen een beslissing als bedoeld in lid 1 onder a.:) het verzoek van cliënt alsnog geheel of gedeeltelijk te honoreren; b. (indien de klacht zich richt tegen een beslissing als bedoeld in lid 1 onder b.:) het verzet van cliënt alsnog te honoreren; c. (indien de klacht zich richt tegen de wijze van uitvoering als bedoeld in lid 1 onder c.:) alsnog uitvoering te geven aan de in het reglement opgenomen regels, hetgeen kan inhouden een handelen of een nalaten, waaronder begrepen een herstellen of een stoppen; d. de schade die cliënt heeft geleden, waaronder eventuele immateriële schade, te vergoeden, tenzij de verantwoordelijke kan aantonen dat de schade hem niet kan worden toegerekend. Toelichting: Het oude privacyreglement kende een wat meer uitgebreide klachtenregeling met een Commissie van Toezicht, waarop overigens nooit een beroep op is gedaan. Dit is een meer eenvoudige regeling waarbij ook de mogelijke rol van het College bescherming persoonsgegevens is meegenomen. De betrokken cliënt die schade lijdt doordat de verantwoordelijke in strijd handelt met de WBP en/of dit reglement, kan deze schade op de verantwoordelijke verhalen, ook eventuele immateriële schade, tenzij de verantwoordelijke kan aantonen dat de schade hem niet kan worden toegerekend. In het uiterste geval, wanneer de betrokken cliënt zich genoodzaakt ziet zich tot de rechter te wenden, kan de rechter de VluchtelingenWerkorganisatie een schadevergoeding en/of een verbod of gebod opleggen. In spoedeisende gevallen, bijvoorbeeld bij dreigende schade, kan cliënt zich direct tot de rechter wenden. Die kan bijvoorbeeld de verantwoordelijke verbieden bepaalde gegevens aan een derde te verstrekken of hem gebieden bepaalde gegevens uit zijn systeem te verwijderen. Informatie over de behandeling van een klacht door het College bescherming persoonsgegevens is te vinden op de website van het College. Het College beschouwt een klacht tegen een beslissing als bedoeld in lid 1 onder a en b formeel als een 'verzoek om bemiddeling' Een klacht tegen de wijze van uitvoering als bedoeld in lid 1 onder c beschouwt zij formeel als een 'verzoek om een onderzoek' daarbij gaat het bijvoorbeeld om een klacht tegen verstrekking van cliëntgegevens aan derden of een klacht over het ontbreken van adequate beveiligingsmaatregelen. Uiteraard beperken de bemoeienissen van het College zich tot klachten over overtredingen van bepalingen die ter uitvoering van de wet zijn vastgesteld.
Artikel 22 Onvoorzien In gevallen waarin het reglement niet voorziet beslist de verantwoordelijke. Artikel 23 Publicatie Dit reglement wordt voor belanghebbenden ter inzage gelegd bij de afdeling die het beheer voert over de verwerking. Artikel 24 Inwerkingtreding en citeertitel 1. Dit reglement treedt in werking op ____________________ (datum van inwerkingtreding). 2. Dit reglement kan worden aangehaald als Privacyreglement _______________________________________________________ (naam organisatie).
13
