Staatsblad van het Koninkrijk der Nederlanden Jaargang 2001
250 Besluit van 7 mei 2001, houdende aanwijzing van verwerkingen van persoonsgegevens die zijn vrijgesteld van de melding bedoeld in artikel 27 van de Wet bescherming persoonsgegevens (Vrijstellingsbesluit Wbp) Wij Beatrix, bij de gratie Gods, Koningin der Nederlanden, Prinses van Oranje-Nassau, enz. enz. enz. Op de voordracht van Onze Minister van Justitie van 19 januari 2001, nr. 5075630/01/6; Gelet op artikel 29, eerste en tweede lid, van de Wet bescherming persoonsgegevens; De Raad van State gehoord (advies van 27 maart 2001, nr. W03.01.0048/I); Gezien het nader rapport van Onze Minister van Justitie 27 april 2001, nr. 5095178/01/6; Hebben goedgevonden en verstaan:
HOOFDSTUK 1. INLEIDENDE BEPALINGEN Artikel 1. Begripsbepaling In dit besluit wordt verstaan onder wet: de Wet bescherming persoonsgegevens. Artikel 2. Vrijgestelde verwerkingen Artikel 27 van de wet is niet van toepassing op de in hoofdstuk 2 van dit besluit bedoelde verwerkingen van persoonsgegevens door of ten behoeve van één verantwoordelijke.
HOOFDSTUK 2. CATEGORIEEN VAN VERWERKINGEN
Paragraaf 1. Lidmaatschap en begunstiging Artikel 3. Verenigingen, stichtingen en publiekrechtelijke beroepsorganisaties 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van verenigingen, stichtingen of publiekrechtelijke beroepsorganisaties
Staatsblad 2001
250
1
betreffende hun leden of begunstigers, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de activiteiten die gelet op de doelstelling van de vereniging, stichting of publiekrechtelijke beroepsorganisatie gebruikelijk zijn of die door de ledenvergadering zijn goedgekeurd; b. het verzenden van informatie aan de betrokkenen; c. het berekenen, vastleggen en innen van contributies en giften, waaronder begrepen het in handen van derden stellen van vorderingen, alsmede andere activiteiten van intern beheer; d. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige leden of begunstigers; d. gegevens betreffende het lidmaatschap of de begunstiging, waaronder begrepen de aard daarvan, alsmede de functie binnen en de deelname aan de activiteiten van de vereniging, de stichting of publiekrechtelijke beroepsorganisatie; e. gegevens met het oog op het berekenen, vastleggen en innen van contributies en giften. 4. De persoonsgegevens worden slechts verstrekt aan: a. de leden of begunstigers; b. de ouders, voogden of verzorgers van minderjarige leden of begunstigers; c. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; d. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; e. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het lidmaatschap is beëindigd of de betrokkene te kennen heeft gegeven dat hij niet langer als begunstiger wil worden beschouwd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 4. Genootschappen op geestelijke grondslag 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van kerkgenootschappen of andere genootschappen op geestelijke grondslag betreffende de daartoe behorende personen en hun gezinsleden of begunstigers, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de activiteiten die het betrokken genootschap volgens zijn statuut uitoefent; b. het verzenden van informatie aan de betrokkenen; c. het berekenen, vastleggen en innen van bijdragen en giften,
Staatsblad 2001
250
2
waaronder begrepen het in handen van derden stellen van vorderingen, alsmede andere activiteiten van intern beheer; d. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens betreffende het lidmaatschap of de begunstiging, waaronder begrepen de aard daarvan, alsmede de functie binnen en de deelname aan de activiteiten van het genootschap; d. gegevens met het oog op het berekenen, vastleggen en innen van bijdragen en giften; e. andere dan de onder a tot en met d bedoelde gegevens waarvan de verwerking wordt vereist ingevolge het statuut van het betrokken genootschap; f. gegevens betreffende godsdienst of levensovertuiging van de gezinsleden, tenzij het betrokken gezinslid daartegen schriftelijk bezwaar heeft gemaakt. 4. De persoonsgegevens worden slechts verstrekt aan: a. de tot het genootschap behorende personen en hun gezinsleden of de begunstigers; b. de ouders, voogden of verzorgers van minderjarige leden of begunstigers; c. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; d. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het lidmaatschap of het contact met het betrokken gezinslid is beëindigd, dan wel de betrokkene te kennen heeft gegeven dat hij niet langer als begunstiger wil worden beschouwd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Paragraaf 2. Arbeid en pensioen Artikel 5. Sollicitanten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die hebben gesolliciteerd om werkzaam te zijn in dienst van of ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de beoordeling van de geschiktheid van betrokkene voor een functie die vacant is of kan komen; b. de afhandeling van de door de sollicitant gemaakte onkosten; c. de interne controle en de bedrijfsbeveiliging; d. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats;
Staatsblad 2001
250
3
d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige sollicitanten; e. gegevens betreffende gevolgde en te volgen opleidingen, cursussen en stages; f. gegevens betreffende de functie waarnaar gesolliciteerd is; g. gegevens betreffende de aard en inhoud van de huidige dienstbetrekking, alsmede betreffende de beëindiging ervan; h. gegevens betreffende de aard en inhoud van de vorige dienstbetrekkingen, alsmede betreffende de beëindiging ervan; i. andere gegevens met het oog op het vervullen van de functie, die door de betrokkene zijn verstrekt of die hem bekend zijn; j. andere dan de onder a tot en met i bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. Indien betrokkene aan een medische of psychologische keuring, dan wel aan een assessment wordt onderworpen, worden aan de keurende arts, de psycholoog of degene die is belast met het assessment slechts die persoonsgegevens verstrekt die noodzakelijk zijn met het oog op de keuring of het assessment. 6. De persoonsgegevens worden verwijderd op een daartoe strekkend verzoek van betrokkene en in ieder geval uiterlijk vier weken nadat de sollicitatieprocedure is geëindigd, tenzij de persoonsgegevens met toestemming van de betrokkene gedurende een jaar na beëindiging van de sollicitatieprocedure worden bewaard. Artikel 6. Uitzendkrachten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van uitzendondernemingen betreffende personen die beschikbaar zijn voor uitzending naar een opdrachtgever, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de beoordeling van de geschiktheid van betrokkene voor een terbeschikkingstelling bij een opdrachtgever; b. het uitzenden van betrokkenen naar een opdrachtgever; c. de afhandeling van de door de betrokkene gemaakte onkosten; d. de interne controle en de bedrijfsbeveiliging; e. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; f. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige uitzendkrachten; e. gegevens betreffende gevolgde en te volgen opleidingen, cursussen en stages; f. gegevens betreffende de functie waarnaar betrokkene een voorkeur heeft;
Staatsblad 2001
250
4
g. gegevens betreffende de aard en inhoud en opdrachtgever van een lopende terbeschikkingstelling, alsmede betreffende de beëindiging ervan; h. gegevens betreffende de aard en inhoud van de vorige terbeschikkingstellingen, alsmede betreffende de beëindiging ervan; i. andere gegevens betreffende de werkervaring van de betrokkene; j. andere gegevens die van belang zijn in het kader van de terbeschikkingstelling van betrokkene, voor zover deze door hem zijn verstrekt of hem bekend zijn; k. andere dan de onder a tot en met j bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. een opdrachtgever die een aanvraag voor een uitzendkracht heeft gedaan met het oog op een mogelijke plaatsing van de betrokkene, voor zover in dat kader noodzakelijk; c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. Indien betrokkene aan een medische of psychologische keuring, dan wel aan een assessment wordt onderworpen, worden aan de keurende arts, de psycholoog of degene die is belast met het assessment slechts die persoonsgegevens verstrekt die noodzakelijk zijn met het oog op de keuring of het assessment. 6. De persoonsgegevens worden verwijderd op een daartoe strekkend verzoek van betrokkene, en in ieder geval uiterlijk twee jaren na de dag van inschrijving dan wel na de dag waarop betrokkene voor het laatst op grond van de inschrijving werkzaam is geweest, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 7. Personeelsadministratie 1. Artikel 27 van de wet is niet van toepassing op verwerkingen in het kader van de personeelsadministratie betreffende personen in dienst van of werkzaam ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het geven van leiding aan de werkzaamheden van betrokkene; b. de behandeling van personeelszaken; c. het vaststellen en doen uitbetalen van salarisaanspraken; d. het regelen van aanspraken op uitkeringen in verband met de beëindiging van een dienstverband; e. de opleiding van betrokkene; f. de bedrijfsmedische zorg voor betrokkene; g. het bedrijfsmaatschappelijk werk; h. de verkiezing van de leden van een bij wet geregeld medezeggenschapsorgaan; i. de interne controle en de bedrijfsbeveiliging; j. de uitvoering van een voor de betrokkene geldende arbeidsvoorwaarde; k. het verlenen van ontslag; l. de administratie van de personeelsvereniging en van de vereniging van oud-personeelsleden; m. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van die vorderingen; n. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; o. de overgang van de betrokkene naar of diens tijdelijke tewerkstelling
Staatsblad 2001
250
5
bij een ander onderdeel van de groep, bedoeld in artikel 2:24b van het Burgerlijk Wetboek waaraan de verantwoordelijke is verbonden; p. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige werknemers; e. gegevens betreffende gevolgde en te volgen opleidingen, cursussen en stages; f. gegevens betreffende de functie of de voormalige functie, alsmede betreffende de aard, de inhoud en de beëindiging van het dienstverband; g. gegevens met het oog op de administratie van de aanwezigheid van de betrokkenen op de plaats waar de arbeid wordt verricht en hun afwezigheid in verband met verlof, arbeidsduurverkorting, bevalling of ziekte, met uitzondering van gegevens over de aard van de ziekte; h. gegevens die in het belang van de betrokkenen worden opgenomen met het oog op hun arbeidsomstandigheden; i. gegevens, waaronder begrepen gegevens betreffende gezinsleden en voormalige gezinsleden van de betrokkenen, die noodzakelijk zijn met het oog op een overeengekomen arbeidsvoorwaarde; j. gegevens met oog op het organiseren van de personeelsbeoordeling en de loopbaanbegeleiding, voor zover die gegevens bij de betrokkenen bekend zijn; k. andere dan de onder a tot en met j bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. een vakbond of een vakcentrale met het oog op het overleg met haar leden over de samenstelling van de kandidatenlijst ten behoeve van een wettelijk geregelde verkiezing van de leden van een medezeggenschapsorgaan binnen de organisatie van de verantwoordelijke, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40, eerste lid, van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het dienstverband of de werkzaamheden van de betrokkene ten behoeve van de verantwoordelijke zijn beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 8. Salarisadministratie 1. Artikel 27 van de wet is niet van toepassing op verwerkingen in het kader van de salarisadministratie betreffende personen in dienst van of werkzaam ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het berekenen, vastleggen en betalen van salarissen, vergoedingen
Staatsblad 2001
250
6
en andere geldsommen en beloningen in natura aan of ten behoeve van betrokkene; b. het berekenen, vastleggen en betalen van belasting en premies ten behoeve van betrokkene; c. een voor de betrokkene geldende arbeidsvoorwaarde; d. de personeelsadministratie; e. het regelen van aanspraken op uitkeringen in verband met de beëindiging van een dienstverband; f. de overgang van de betrokkene naar of diens tijdelijke tewerkstelling bij een ander onderdeel van de groep, bedoeld in artikel 2:24b van het Burgerlijk Wetboek waaraan de verantwoordelijke is verbonden; g. het verlenen van ontslag; h. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van vorderingen; i. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; j. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige werknemers; e. gegevens met het oog op het berekenen, vastleggen en betalen van salarissen, vergoedingen en andere geldsommen en beloningen in natura aan of ten behoeve van de in het eerste lid bedoelde personen; f. gegevens met het oog op het berekenen, vastleggen en betalen van belasting en premies ten behoeve van betrokkene; g. gegevens, waaronder begrepen gegevens betreffende gezinsleden en voormalige gezinsleden van de betrokkenen, die noodzakelijk zijn met het oog op een overeengekomen arbeidsvoorwaarde; h. andere dan de onder a tot en met g bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het dienstverband of de werkzaamheden van de betrokkene ten behoeve van de verantwoordelijke zijn beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 9. Uitkering bij ontslag 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende de aanspraken van personeelsleden en oud-personeelsleden van de verantwoordelijke op uitkeringen in verband met de beëindiging van een dienstverband, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de berekening, de vastlegging en de betaling van de in het eerste lid bedoelde uitkeringen aan of ten behoeve van de betrokkenen;
Staatsblad 2001
250
7
b. de berekening, de vastlegging of de afdracht van belasting en premies ten behoeve van de betrokkenen; c. een voor de betrokkene geldende arbeidsvoorwaarde; d. de personeelsadministratie; e. de salarisadministratie; f. de vereniging van oud-personeelsleden; g. de overgang van de betrokkene naar of diens tijdelijke tewerkstelling bij een ander onderdeel van de groep, bedoeld in artikel 2:24b van het Burgerlijk Wetboek waaraan de verantwoordelijke is verbonden; h. het verlenen van ontslag; i. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van vorderingen; j. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; k. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige personeelsleden en oud-personeelsleden; e. gegevens, waaronder begrepen gegevens betreffende gezinsleden en voormalige gezinsleden van de betrokkenen, met het oog op de vaststelling van de hoogte van de aanspraak aan of ten behoeve van de in het eerste lid bedoelde personen; f. gegevens met het oog op het berekenen, vastleggen en betalen van belasting en premies ten behoeve van de in het eerste lid bedoelde personen; g. gegevens, waaronder begrepen gegevens betreffende gezinsleden en voormalige gezinsleden van de betrokkenen, die noodzakelijk zijn met het oog op een overeengekomen arbeidsvoorwaarde; h. andere dan de onder a tot en met g bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de in het eerste lid bedoelde aanspraken zijn beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 10. Pensioen en vervroegde uittreding 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende de aanspraken van personen jegens de verantwoordelijke op pensioen of uitkering in verband met vervroegde uittreding, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de vaststelling van de hoogte van de aanspraak van de betrokkene; b. het berekenen, vastleggen en innen van premies; c. de berekening, de vastlegging en de betaling van de in het eerste lid bedoelde uitkering aan of ten behoeve van de betrokkenen;
Staatsblad 2001
250
8
d. de berekening, de vastlegging of de afdracht van belasting en premies ten behoeve van de betrokkenen; e. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van vorderingen; f. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; g. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a, het tijdstip waarop gegevens over de betrokkene in de administratie zijn opgenomen, een verwijzing naar de werkgever door wiens tussenkomst de in het eerste lid bedoelde aanspraak tot stand is gekomen en een verwijzing naar de betrokken bedrijfstak; c. nationaliteit en geboorteplaats; d. gegevens, waaronder begrepen gegevens betreffende andere begunstigden dan de betrokkene, met het oog op de vaststelling van de hoogte van de aanspraak van de betrokkene; e. gegevens met het oog op het berekenen, vastleggen en innen van premies; f. gegevens met het oog op het berekenen, het vastleggen en het betalen van de in het eerste lid bedoelde uitkering aan of ten behoeve van de betrokkene; g. andere dan de onder a tot en met f bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. een vereniging van oud-personeelsleden ten behoeve van het overleg en de organisatie van een medezeggenschapsorgaan van gepensioneerden bij pensioenregelingen, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40, eerste lid, van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de in het eerste lid bedoelde aanspraak is beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Paragraaf 3. Goederen en diensten Artikel 11. Abonnementen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende abonnees van kranten, tijdschriften of andere publicaties van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het verzenden of bezorgen van de publicaties waarop het abonnement betrekking heeft en van andere informatie ten behoeve van de abonnees; b. het berekenen, vastleggen en innen van abonnementsgelden,
Staatsblad 2001
250
9
waaronder begrepen het in handen van derden stellen van vorderingen, alsmede andere activiteiten van intern beheer; c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens, niet zijnde gegevens als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet, betreffende opleiding, functie of beroep, lidmaatschappen en interessegebieden, die met het oog op de aard van de publicatie redelijkerwijs van belang zijn; d. gegevens betreffende het abonnement, waaronder begrepen de aard van het abonnement; e. gegevens met het oog op het berekenen, vastleggen en innen van de abonnementsgelden; f. een aanduiding betreffende de reden van beëindiging van het abonnement. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren na de beëindiging van het abonnement, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 12. Debiteuren en crediteuren 1. Artikel 27 van de wet is niet van toepassing op verwerkingen, anders dan bedoeld in de artikelen 3 tot en met 11, betreffende debiteuren of crediteuren van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. Het eerste lid is niet van toepassing op verwerkingen met het oog op: a. de financiële dienstverlening door banken, verzekeringsmaatschappijen en andere instellingen voor financiële dienstverlening; b. het doen van uitkeringen, het heffen of invorderen van belasting, niet zijnde leges of rechten welke worden geheven als tegenprestatie voor een bepaalde dienst, of het heffen of invorderen van premies door organisaties en instellingen belast met de uitvoering van sociale zekerheidswetten. 3. De verwerking geschiedt slechts voor: a. het berekenen en vastleggen van inkomsten en uitgaven; b. het doen van betalingen of het innen van vorderingen, waaronder begrepen het in handen van derden stellen daarvan; c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; d. het onderhouden van contacten door de verantwoordelijke met de debiteuren en de crediteuren; e. de uitvoering of toepassing van een andere wet.
Staatsblad 2001
250
10
4. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen; d. gegevens met het oog op het onderhouden van contacten met de debiteuren en crediteuren; e. andere dan de onder a tot en met d bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 5. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het derde lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het vierde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 6. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de desbetreffende vordering is voldaan, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 13. Afnemers en leveranciers 1. Artikel 27 van de wet is niet van toepassing op verwerkingen, anders dan bedoeld in de artikelen 3 tot en met 12, betreffende afnemers of leveranciers van de verantwoordelijke of personen die tot hem in een soortgelijke relatie staan, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het doen van leveringen en bestellingen of het verlenen van diensten; b. het berekenen en vastleggen van inkomsten en uitgaven en het doen van betalingen; c. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van die vorderingen alsmede andere activiteiten van intern beheer; d. het verzorgen van het transport van te leveren goederen en diensten naar de betrokkenen; e. het onderhouden van contacten door de verantwoordelijke met de afnemers of leveranciers; f. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; g. het verlenen van medewerking aan de heffing of invordering van gemeentelijke, provinciale en waterschapsbelastingen; h. de uitvoering of de toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene;
Staatsblad 2001
250
11
b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met het oog op het doen van leveringen en bestellingen of het verlenen van diensten; d. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen; e. gegevens voor het onderhouden van contacten met de afnemers of leveranciers; f. gegevens betreffende iemands gezondheid als bedoeld in artikel 16 van de wet met het oog op het uitvoeren van een dienstverleningsovereenkomst; g. andere dan de onder a tot en met e bedoelde gegevens waarvan de verwerking is vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de desbetreffende transactie is afgehandeld, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 14. Huur en verhuur 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op de huur of verhuur van roerende of onroerende zaken door de verantwoordelijke, waaronder begrepen het aanvragen en verstrekken van huursubsidie, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de uitvoering van de huurovereenkomst; b. het berekenen en vastleggen van inkomsten en uitgaven en het doen van betalingen; c. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van die vorderingen; d. het aanvragen en verstrekken van huursubsidie; e. het onderhoud en de reparatie van de te huren en verhuren roerende en onroerende zaken; f. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; g. activiteiten van intern beheer; h. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de huurder of verhuurder; b. gegevens als bedoeld onder a, van de voormalig huurder en van medehuurders of medebewoners; c. een administratienummer dat geen andere informatie bevat dan bedoeld onder a;
Staatsblad 2001
250
12
d. gegevens die noodzakelijk zijn voor de uitvoering van de huurovereenkomst; e. gegevens ten behoeve van de aanvraag en verstrekking van huursubsidie; f. gegevens met het oog op het onderhoud en de reparatie van de gehuurde onroerende en roerende zaken; g. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen; h. andere dan de onder a tot en met g bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de huur is geëindigd, met dien verstande dat de gegevens met betrekking tot de aanvraag en verstrekking van huursubsidie worden verwijderd uiterlijk vijf jaar nadat de huursubsidie is geëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 15. Juridische dienstverleners en accountants 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van notarissen, advocaten of andere rechtshulpverleners, alsmede van registeraccountants en Accountants-Administratieconsulenten met het oog op de juridische onderscheidenlijk financiële dienstverlening aan cliënten, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de juridische of financiële dienstverlening en advisering aan een cliënt; b. het berekenen en vastleggen van inkomsten en uitgaven; c. het doen van betalingen en het innen van vorderingen, waaronder begrepen het in handen stellen van derden daarvan; d. het behandelen van geschillen, waaronder begrepen het voeren van procedures; e. het doen uitoefenen van accountantscontrole dan wel andersoortige controle; f. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokken cliënt; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a, c. gegevens als bedoeld onder a, van ouders, voogden of verzorgers van minderjarige cliënten; d. gegevens als bedoeld onder a, van de wederpartij of derden;
Staatsblad 2001
250
13
e. gegevens met het oog op de behandeling de zaak of de beslechting van het geschil; f. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen; g. andere gegevens, dan bedoeld onder a tot en met f, waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd nadat de bewaartermijn op grond van toepasselijke gedrags- en beroepsregels is verstreken, dan wel bij gebreke daarvan, uiterlijk twee jaren na de beëindiging van de behandeling van de zaak, de uitvoering van de controle of de beslechting van het geschil, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Paragraaf 4. Zorg en welzijn Artikel 16. Individuele gezondheidszorg 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van beoefenaren van individuele beroepen in de gezondheidszorg, als bedoeld in de Wet op de beroepen in de individuele gezondheidszorg, betreffende hun patiënten, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het uitoefenen van het beroep in de individuele gezondheidszorg; b. het berekenen, vastleggen en innen van de vergoeding voor de behandeling, waaronder begrepen het in handen van derden stellen van vorderingen; c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; d. het verrichten van wetenschappelijk of statistisch onderzoek. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokken patiënt; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van minderjarige patiënten; d. gegevens als bedoeld onder a, van de gezins- of familieleden van de patiënt alsmede anderen die over het welzijn en de gezondheid van de patiënt worden ingelicht; e. gegevens betreffende de gezondheidstoestand van de patiënt en, ingeval van erfelijke aandoeningen, diens gezins- en familieleden; f. andere bijzondere gegevens, als bedoeld in artikel 16 van de wet, met het oog op de goede behandeling of verzorging van de patiënt; g. gegevens betreffende de gevolgde en te volgen behandeling van de patiënt alsmede de verstrekte medicamenten of voorzieningen; h. gegevens betreffende het berekenen, vastleggen en innen van de vergoeding; i. gegevens betreffende de verzekering van de patiënt;
Staatsblad 2001
250
14
j. andere gegevens noodzakelijk met het oog op de uitoefening van het beroep. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen die rechtstreeks betrokken zijn bij de uitvoering van de behandeling van de patiënt alsmede degenen die optreden als vervanger van de voor de verwerking verantwoordelijke, voor zover de verstrekking noodzakelijk is voor de door hen in dat kader te verrichten werkzaamheden; b. onderzoekers, als bedoeld in artikel 7:458 van het Burgerlijk Wetboek; c. zorgverzekeraars voor zover noodzakelijk met het oog op de verplichtingen uit de verzekeringsovereenkomst; d. derden die zijn belast met het innen van vorderingen, voor zover de verstrekking daarvoor noodzakelijk is en geen medische gegevens betreft; e. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d. 5. De persoonsgegevens worden verwijderd nadat de wettelijke bewaartermijn is verstreken en bij het ontbreken daarvan uiterlijk vijf jaar na beëindiging van de behandeling. Artikel 17. Verzorgingshuizen en verpleeghuizen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van instellingen, als bedoeld in artikel 1, onderdeel d, van de Algemene wet bijzondere ziektekosten, betreffende de personen aan wie zij duurzaam verblijf en verzorging verschaffen, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het verlenen van huisvesting en de met de woonfunctie direct samenhangende voorzieningen; b. het kunnen functioneren als contactadres voor familieleden, curatoren, mentoren en naaste betrekkingen; c. het berekenen en vastleggen van inkomsten en uitgaven en het doen van betalingen; d. het innen van vorderingen, waaronder begrepen het in handen van derden stellen van die vorderingen; e. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; f. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens die betrekking hebben op het verlenen van huisvesting en de met de woonfunctie direct samenhangende; d. gegevens als bedoeld onder a, van degene die functioneert als contactadres, als bedoeld in het tweede lid, onderdeel b; e. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen; f. verzekeringsgegevens; g. gegevens met betrekking tot de arts van betrokkene; h. andere dan de onder a tot en met h bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken;
Staatsblad 2001
250
15
b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk vijf jaren nadat de verlening van zorg is geëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 18. Kinderopvang 1. Artikel 27 van de wet is niet van toepassing op verwerkingen ten behoeve van het verlenen van kinderopvang door of vanwege de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het organiseren van de opvang en de begeleiding van het kind; b. het onderhouden van contacten met de ouders, voogden en verzorgers van de kinderen; c. het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen of het innen van vorderingen die samenhangen met de opvang, waaronder begrepen het in handen van derden stellen van vorderingen; d. het aanvragen van subsidie; e. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; f. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van het kind; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens als bedoeld onder a, alsmede bank- en girorekeningnummer van de ouders, voogden of verzorgers van het kind; d. gegevens die noodzakelijk zijn met het oog op de gezondheid of het welzijn van het kind; e. gegevens betreffende de godsdienst of levensovertuiging van het kind voor zover die noodzakelijk zijn met het oog op de opvang; f. gegevens betreffende de organisatie van de opvang, de deelname aan activiteiten en het verstrekken of ter beschikking stellen van leermiddelen; g. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen vorderingen in het kader van de opvang, de leermiddelen en activiteiten; h. andere dan de onder a tot en met g bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die leiding geven aan of belast zijn met de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de opvang is beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Staatsblad 2001
250
16
Paragraaf 5. Onderwijs Artikel 19. Leerlingen, deelnemers en studenten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van instellingen voor onderwijs betreffende hun leerlingen, deelnemers of studenten, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de organisatie of het geven van het onderwijs, de begeleiding van leerlingen, deelnemers of studenten, dan wel het geven van studieadviezen; b. het verstrekken of ter beschikking stellen van leermiddelen; c. het berekenen, vastleggen en innen van inschrijvingsgelden, schoolen lesgelden en bijdragen of vergoedingen voor leermiddelen en buitenschoolse activiteiten, waaronder begrepen het in handen van derden stellen van vorderingen; d. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; e. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van leerlingen, deelnemers of studenten; e. gegevens die noodzakelijk zijn met het oog op de gezondheid of het welzijn van de betrokkene; f. gegevens betreffende de godsdienst of levensovertuiging van de betrokkene, voor zover die noodzakelijk zijn voor het onderwijs; g. gegevens betreffende de aard en het verloop van het onderwijs, alsmede de behaalde studieresultaten; h. gegevens met het oog op de organisatie van het onderwijs en het verstrekken of ter beschikking stellen van leermiddelen; i. gegevens met het oog op het berekenen, vastleggen en innen van inschrijvingsgelden, school- en lesgelden en bijdragen of vergoedingen voor leermiddelen en buitenschoolse activiteiten; j. andere dan de onder a tot en met i bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die leiding geven aan of belast zijn met de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de studie is beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Staatsblad 2001
250
17
Artikel 20. Leerplicht 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende leerplichtigen ter uitvoering van de Leerplichtwet 1969 door de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de uitvoering en toepassing van de Leerplichtwet 1969; b. de behandeling van geschillen. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de leerplichtige; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. nationaliteit en geboorteplaats; d. gegevens als bedoeld onder a, van de ouders, voogden of verzorgers van de leerplichtige; e. gegevens met betrekking tot de inschrijving of afschrijving van de leerplichtige; f. gegevens ten aanzien van het schoolverloop, het schoolverzuim en van het beroep op een vrijstelling van de leerplicht; g. andere dan de onder a tot en met f bedoelde gegevens waarvan de verwerking is vereist ingevolge of noodzakelijk is met het oog op de toepassing van de Leerplichtwet 1969 of een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. de hoofden van scholen binnen en buiten de gemeente; c. de Arbeidsinspectie; d. in de gemeente werkzame schoolartsen; e. de Minister van Onderwijs, Cultuur en Wetenschappen; f. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; g. anderen, in de gevallen bedoeld in artikel 8, onder e, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40, eerste lid, van de wet uit te oefenen. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat de leerplicht is geëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 21. Leerlingenvervoer 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op het verstrekken door de verantwoordelijke van de vergoeding van de kosten verbonden aan het leerlingenvervoer, als bedoeld in de Wet op het primair onderwijs en de Wet op de expertisecentra, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het verstrekken van vergoedingen voor het leerlingenvervoer; b. het organiseren van het leerlingenvervoer; c. het berekenen en vastleggen van inkomsten en uitgaven; d. het doen van betalingen en het innen van vorderingen; e. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan:
Staatsblad 2001
250
18
a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de ouders, voogden of verzorgers van de leerling, b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met het oog op het toekennen van de vergoeding, waaronder begrepen financiële gegevens van de ouders, voogden of verzorgers van de leerling; d. gegevens ten behoeve van de identificatie en de begeleiding van de leerling; e. gegevens met betrekking tot de uitvoering van het leerlingenvervoer; f. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren na afloop van het schooljaar waarop de verstrekking van de vergoeding betrekking heeft, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Paragraaf 6. Overheid Artikel 22. Vergunning en melding 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op het door de verantwoordelijke ingevolge een wettelijk voorschrift verlenen van vergunningen, ontheffingen of machtigingen, dan wel met het oog op een wettelijk voorgeschreven melding bij de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het voorbereiden of nemen van, dan wel het adviseren over besluiten die op grond van een wettelijk voorschrift met betrekking tot de vergunning, ontheffing of machtiging dan wel de melding worden genomen; b. het toezicht op de naleving van de wettelijke voorschriften op grond waarvan de vergunning, ontheffing of machtiging is verleend dan wel de melding moet worden gedaan; c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, van de personen die bij de verantwoordelijke een verzoek om verlening van een vergunning, ontheffing of machtiging hebben ingediend of aan wie deze is verleend, dan wel op wie ingevolge een wettelijk voorschrift een meldingsplicht rust, alsmede hun bank- en girorekeningnummer; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens betreffende de aard, het tijdstip van afgifte en de geldigheidsduur van de vergunning, ontheffing of machtiging, de beperkingen waaronder deze is verleend en de voorschriften die daaraan zijn verbonden, alsmede gegevens betreffende de aard van de melding;
Staatsblad 2001
250
19
d. andere dan de onder a tot en met c bedoelde gegevens waarvan de verwerking is vereist ingevolge of noodzakelijk is met het oog op de toepassing van een op de vergunning, ontheffing of machtiging of de melding betrekking hebbend wettelijk voorschrift. 4. Persoonsgegevens als bedoeld in hoofdstuk 2, paragraaf 2 van de wet, worden niet verwerkt behoudens voor zover de verwerking van zodanig gegeven voortvloeit uit de aard van de vergunning, ontheffing, machtiging of de melding. 5. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waar onder begrepen derden, die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 6. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het betrokken verzoek om verlening van een vergunning, ontheffing of machtiging door de betrokkene is ingetrokken, de desbetreffende vergunning, ontheffing of machtiging is ingetrokken of de geldigheidsduur daarvan is verlopen, dan wel de desbetreffende verplichting tot melding is vervallen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 23. Decentrale belastingen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende belastingplichtigen met het oog op de heffing of invordering van belastingen door de verantwoordelijke op grond van de Gemeentewet, de Provinciewet of de Waterschapswet, dan wel met het oog op de uitvoering door de verantwoordelijke van de Wet waardering onroerende zaken, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het heffen en invorderen van belastinggelden; b. het waarderen van onroerende zaken; c. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; d. de uitvoering en toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met betrekking tot de grondslag van de heffing en invordering; d. gegevens met het oog op het berekenen en vastleggen van heffingen en invorderingen, het doen van betalingen en het innen van vorderingen; e. gegevens met betrekking tot de waardering van onroerende zaken; f. andere dan de onder a tot en met e bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan:
Staatsblad 2001
250
20
a. degenen die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk tien jaar nadat de desbetreffende vordering is voldaan, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 24. Reisdocumenten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op de afgifte door de verantwoordelijke van reisdocumenten als bedoeld in de Paspoortwet, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de afgifte van reisdocumenten in het kader van de uitvoering van de Paspoortwet; b. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; c. het voorraadbeheer. 3. Geen andere persoonsgegevens worden verwerkt dan: a. geslachtsnaam, voornamen, geboortedatum, geboorteplaats, geboorteland, geslacht, woonplaats, adres en lengte van de houder van het reisdocument; b. de geslachtsnaam van de echtgenoot of echtgenote dan wel van de gewezen echtgenoot of echtgenote van de houder van het reisdocument; c. geslachtsnaam, voornamen, geboortedatum, geboorteplaats en geslacht van een minderjarige, jonger dan zestien jaren, die in het reisdocument van de onder a bedoelde houder van het reisdocument is bijgeschreven; d. het sociaal-fiscaal nummer; e. datum van verstrekking en het einde van de geldigheidsduur, alsmede de territoriale geldigheid; f. nationaliteit van de houder dan wel diens verblijfsstatus; g. het documentnummer; h. de gegevens die bij de aanvraag van het reisdocument zijn overgelegd; i. foto en de handtekening van de houder; j. gegevens betreffende ingehouden of vermiste reisdocumenten, k. gegevens inzake de leges; l. gegevens met betrekking tot de instantie die het reisdocument heeft afgegeven; m. gegevens met betrekking tot het voorraadbeheer; n. andere dan de onder a tot en met m genoemde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van de Paspoortwet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten; b. de tot afgifte van reisdocumenten bevoegde instanties; c. ambtenaren van de politie, in de gevallen bedoeld in artikel 8, onder e, van de wet; d. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk vijf jaren nadat het afgegeven reisdocument is ingeleverd of ongeldig is geworden of na het overlijden van betrokkene, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Staatsblad 2001
250
21
Artikel 25. Grafrechten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die bij de verantwoordelijke een recht hebben op een begraafplaats, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het administreren van de in gebruik zijnde graven en de daarvoor verschuldigde grafrechten; b. het administreren van de rechthebbenden; c. het berekenen en vastleggen van inkomsten en uitgaven en het doen van betalingen; d. het innen van vorderingen, daaronder begrepen het in handen van derden stellen van vorderingen, ten behoeve van grafrechten; e. activiteiten van intern beheer; f. het behandelen van geschillen en het doen uitoefenen van accountantscontrole; g. de uitvoering of toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de rechthebbende op het graf, diens partner of nagelaten betrekkingen; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met betrekking tot de in gebruik zijnde graven; d. gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven en het doen van betalingen en het innen vorderingen in verband met de rechten op een graf; e. andere dan de onder a tot en met d bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het recht op het graf is vervallen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 26. Naturalisatie 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die bij de verantwoordelijke een naturalisatieverzoek hebben gedaan in het kader van de Rijkswet op het Nederlanderschap, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de behandeling van naturalisatieverzoeken ter uitvoering van de Rijkswet op het Nederlanderschap; b. het behandelen van geschillen; c. de uitvoering of toepassing van de Rijkswet op het Nederlanderschap of een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor
Staatsblad 2001
250
22
communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met betrekking tot de verklaringen tot verkrijging en afstand van het Nederlanderschap; d. gegevens met betrekking tot familierechtelijke relaties; e. andere dan de onder a tot en met d bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van de Rijkswet op het Nederlanderschap of een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken, alsmede de Minister van Justitie; b. ambtenaren van de politie en burgemeesters van andere gemeenten, in de gevallen bedoeld in artikel 8, onder e, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd indien de betrokkene de Nederlandse nationaliteit heeft verkregen of, indien het verzoek is afgewezen, uiterlijk twee jaren na de afwijzing van het verzoek, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 27. Naamswijziging 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die bij de verantwoordelijke een verzoek om (geslachts)naamswijziging hebben gedaan, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de behandeling van verzoeken tot geslachtsnaamwijziging; b. het behandelen van geschillen. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens met betrekking tot het voor de wijziging van de geslachtsnaam verschuldigde recht; d. andere dan de onder a tot en met c bedoelde gegevens met het oog op de behandeling van de verzoeken om geslachtsnaamwijziging. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten en de Minister van Justitie; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat op het verzoek tot geslachtsnaamwijziging is beslist, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 28. Dienstplicht 1. Artikel 27 van de wet is niet van toepassing op verwerkingen binnen een gemeente ter uitvoering van de Kaderwet dienstplicht door de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts met betrekking tot ingeschrevenen
Staatsblad 2001
250
23
voor de dienstplicht met het oog op de uitvoering van de Kaderwet dienstplicht. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de betrokkene; b. een registratienummer; c. gegevens als bedoeld onder a, van de gezinsleden van de betrokkene of diens werkgever; d. keuringsgegevens met betrekking tot de (on)geschiktheid van betrokkene voor het vervullen van de werkelijke dienst; e. gegevens met betrekking tot de persoonlijke onmisbaarheid en tot de aanwezigheid van bijzondere omstandigheden van betrokkene, waaronder mede begrepen gegevens met betrekking tot de werkgever van betrokkene; f. gegevens met betrekking tot de arbeidsomstandigheden van betrokkene; g. gegevens met betrekking tot uitstel, ontheffing of vrijstelling van de dienstplicht; h. andere dan de onder a tot en met g bedoelde gegevens, waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken, alsmede de Minister van Defensie; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat betrokkene niet meer is ingeschreven voor de dienstplicht als bedoeld in de Kaderwet dienstplicht, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Paragraaf 7. Archieven en onderzoek Artikel 29. Archiefbestemming 1. Artikel 27 van de wet is niet van toepassing op verwerkingen die uitsluitend een archiefbestemming hebben, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het archiefbeheer; b. het behandelen van geschillen; c. het verrichten van wetenschappelijk, statistisch of historisch onderzoek. 3. Geen andere persoonsgegevens worden verwerkt dan de gegevens die deel uitmaken van archiefbescheiden. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan het archiefbeheer, door de verantwoordelijke zijn belast met het behandelen van geschillen, dan wel wetenschappelijk, statistisch of historisch onderzoek verrichten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, van de wet. 5. De persoonsgegevens worden verwijderd zodra zij hun belang voor de archiefbestemming hebben verloren.
Staatsblad 2001
250
24
Artikel 30. Wetenschappelijk onderzoek en statistiek 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van organisaties voor wetenschappelijk onderzoek of statistiek die uitsluitend ten dienste staan van door hen te verrichten of verricht onderzoek, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor het verzamelen, verwerken en controleren van de gegevens ten behoeve van een bepaald onderzoek of een bepaalde statistiek. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een informatieloos administratienummer; c. andere dan de onder a en b bedoelde gegevens, die ten behoeve van een bepaald onderzoek of een bepaalde statistiek zijn verkregen. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De in het derde lid onder a bedoelde persoonsgegevens, met uitzondering van geslacht, woonplaats en geboortejaar, worden verwijderd uiterlijk zes maanden nadat de in dat lid onder c bedoelde gegevens omtrent de betrokkene zijn verkregen.
Paragraaf 8. Beheer en beveiliging Artikel 31. Documentenbeheer 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op de registratie van de ontvangst, de behandeling en de afdoening van documenten door de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het organiseren van de ontvangst en verzending van de documenten; b. de behandeling, de aanmaak, de afdoening en archivering van documenten; c. intern beheer; d. het behandelen van geschillen. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de afzender of geadresseerde van het betrokken document; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. een aanduiding van het onderwerp waarop het betrokken document betrekking heeft en de naam en het zakelijk adres van degene die met de behandeling daarvan is belast; d. andere gegevens dan bedoeld onder a tot en met c met het oog op de organisatie van de behandeling van de documenten. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen die belast zijn met de in het tweede lid bedoelde activiteiten, met dien verstande dat verstrekking aan derden slechts geschiedt met het oog op het behandelen van geschillen; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet.
Staatsblad 2001
250
25
5. De persoonsgegevens worden verwijderd uiterlijk vijf jaren nadat de betrokken gegevens werden opgenomen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 32. Netwerksystemen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen in verband met het aanbieden van faciliteiten of diensten op een netwerk aan personen die in dienst zijn van of werkzaam zijn ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. Het eerste lid is niet van toepassing op openbare telecommunicatienetwerken als bedoeld in artikel 1.1, onder g, van de Telecommunicatiewet en de openbare telecommunicatiediensten als bedoeld in artikel 1.1, onder f, van de Telecommunicatiewet. 3. De verwerking geschiedt slechts voor: a. het faciliteren van de communicatie met de aansluitpunten van het netwerk; b. het onderhoud en het beheer van het netwerk; c. interne controle en beveiliging; d. het behandelen van geschillen. 4. Geen andere persoonsgegevens worden verwerkt dan: a. gegevens ten behoeve van identificatie van en communicatie met de gebruikers binnen het netwerk; b. gegevens met betrekking tot bevoegdheden van de gebruiker en de netwerkbeheerder met het oog op de aangeboden faciliteiten en diensten van het netwerk; c. gegevens met betrekking tot de verrichtingen van de gebruikers en de netwerkbeheerder; d. gegevens met betrekking tot elektronische berichten afkomstig van of bestemd voor de gebruikers. 5. De persoonsgegevens worden slechts verstrekt aan: a. degenen die belast zijn met de in het tweede lid bedoelde activiteiten, met dien verstande dat verstrekking aan derden slechts geschiedt met het oog op het behandelen van geschillen; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 6. De persoonsgegevens worden verwijderd uiterlijk 6 maanden nadat zij zijn verkregen dan wel twee jaren nadat het dienstverband of de werkzaamheden van betrokkene ten behoeve van de verantwoordelijke zijn beëindigd. Artikel 33. Computersystemen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen die uitsluitend zijn gericht op het onderhoud, het beheer, de beveiliging, het gebruik en de goede werking van computersystemen of computerprogramma’s binnen de organisatie van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de controle op en de beveiliging van de computersystemen of computerprogramma’s; b. de ondersteuning van de goede werking van de computersystemen of computerprogramma’s; c. het sorteren en herstellen van (tussen)bestanden; d. het aanmaken van reservekopieën van (tussen)bestanden; e. het beheer van de systemen of programma’s. 3. Geen andere persoonsgegevens worden verwerkt dan: a. gegevens met betrekking tot het gebruik van de programmatuur;
Staatsblad 2001
250
26
b. technische en besturingsgegevens; c. gegevens ter bevordering van een goede werking; d. historische gegevens; e. gebruikersgegevens. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan het systeem-, gegevensbeheer of applicatiebeheer of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk 6 maanden nadat zij zijn verkregen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 34. Communicatieapparatuur 1. Artikel 27 van de wet is niet van toepassing op verwerkingen in verband met het gebruik van communicatieapparatuur die ter beschikking wordt gesteld aan personen die in dienst zijn van of werkzaam zijn ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het tot stand brengen van de verbinding tussen de afzender en de geadresseerde; b. het verzenden van mondelinge, schriftelijke of elektronische boodschappen; c. de interne controle en beveiliging; d. het behandelen van geschillen. 3. Geen andere persoonsgegevens worden verwerkt dan: a. de voor de communicatie benodigde gegevens; b. gegevens met betrekking tot de datum en het tijdstip waarop de communicatie tot stand is gebracht en beëindigd. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten, met dien verstande dat verstrekking aan derden slechts geschiedt met het oog op het behandelen van geschillen; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk 6 maanden nadat zij zijn verkregen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 35. Toegangscontrole 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op het geven van toegang tot gebouwen of informatiesystemen van de verantwoordelijke, dan wel onderdelen daarvan aan personen die in dienst zijn van of werkzaam zijn ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het verlenen van toegang tot gebouwen of informatiesystemen, dan wel onderdelen daarvan; b. het toekennen van toegangsbevoegdheden; c. de interne controle en bedrijfsbeveiliging. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de betrokkene, waaronder gegevens met betrekking tot het zakelijk adres;
Staatsblad 2001
250
27
b. een informatieloos administratienummer; c. gegevens met betrekking tot de aan betrokkene verleende bevoegdheden tot het betreden van ruimtes of toegang tot onderdelen van de informatiesystemen en gegevens met betrekking tot het tijdvak waarbinnen deze bevoegdheden bestaan; d. gegevens met betrekking tot het feitelijke gebruik van de verleende bevoegdheden, alsmede gegevens met betrekking tot het gebruik van wachtwoorden; e. voor zover het toegangscontrole tot gebouwen betreft, een afbeelding van betrokkene ten behoeve van de uitreiking van een toegangspas. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. ambtenaren van de politie bij incidenten ingevolge artikel 8, onder e, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk zes maanden nadat het recht op toegang van betrokkene is vervallen, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 36. Overig intern beheer 1. Artikel 27 van de wet is niet van toepassing op verwerkingen, anders dan bedoeld in de artikelen 3 tot en met 35, betreffende personen die in dienst zijn van of werkzaam zijn ten behoeve van de verantwoordelijke, uitsluitend ten dienste van het interne beheer van de betrokken organisatie, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het interne beheer; b. de bedrijfsbeveiliging. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, waaronder gegevens met betrekking tot het zakelijk adres, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. feitelijke gegevens betreffende de functie en de taak binnen de organisatie van de verantwoordelijke; d. feitelijke gegevens betreffende de door de betrokkene verrichte of te verrichten werkzaamheden; e. gegevens betreffende de aanwezigheid van de betrokkene op de plaats waar de arbeid wordt verricht en de afwezigheid in verband met ziekte, verlof of arbeidsduurverkorting; f. gegevens betreffende de aan de betrokkene beschikbaar gestelde werk- en bedrijfsruimte, gereedschappen, machines, kantoorbehoeften en ander materiaal of kleding, alsmede andere voorzieningen die met het oog op de werkzaamheden zijn verstrekt. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet.
Staatsblad 2001
250
28
5. De persoonsgegevens worden verwijderd uiterlijk zes maanden nadat de betrokkene de organisatie van de verantwoordelijke heeft verlaten of diens werkzaamheden ten behoeve van de organisatie heeft beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 37. Bezoekersregistratie 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die de organisatie van de verantwoordelijke bezoeken of hebben bezocht, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het interne beheer; b. de bedrijfsbeveiliging. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de bezoeker, waaronder gegevens met betrekking tot de organisatie waartoe de bezoeker behoort; b. gegevens betreffende de persoon of de afdeling die de betrokkene wenst te bezoeken; c. gegevens betreffende de reden van het bezoek; d. gegevens betreffende de datum en het tijdstip van de aankomst en het vertrek van de bezoeker; e. gegevens inzake het identiteitsbewijs van betrokkene; f. een administratienummer dat geen andere informatie bevat dan bedoeld onder a. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, daaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken, alsmede de persoon of de afdeling die het bezoek ontvangt; b. ambtenaren van de politie in geval van incidenten ingevolge artikel 8, onder e, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk zes maanden na de datum van het bezoek, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 38. Videocameratoezicht 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op de beveiliging van personen, gebouwen, terreinen, zaken en productieprocessen, die zijn toevertrouwd aan de zorg van de verantwoordelijke, door middel van het gebruik van duidelijk zichtbare videocamera’s, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. Het eerste lid is niet van toepassing op verwerkingen met het oog op de handhaving van de openbare orde. 3. De verwerking geschiedt slechts voor: a. de bescherming van de veiligheid en gezondheid van een of meer natuurlijke personen; b. de beveiliging van de toegang tot gebouwen en terreinen; c. de bewaking van zaken die zich in gebouwen of op terreinen bevinden; d. de controle op een productieproces; e. het vastleggen van incidenten. 4. Geen andere persoonsgegevens worden verwerkt dan:
Staatsblad 2001
250
29
a. video-opnamen van de gebouwen en terreinen en zich daarop bevindende personen en zaken, waarover de zorg van de verantwoordelijke zich uitstrekt; b. gegevens met betrekking tot het tijdstip, de datum en de plaats waarop de video-opnamen zijn gemaakt. 5. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het derde lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. ambtenaren van de politie in geval van incidenten, ingevolge artikel 8, onder e, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 6. De persoonsgegevens worden verwijderd uiterlijk 24 uren nadat de opnamen zijn gemaakt, dan wel na afhandeling van de geconstateerde incidenten.
Paragraaf 9. Overige verwerkingen Artikel 39. Bezwaarschriften, klachten en gerechtelijke procedures 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende personen die een bezwaarschrift of klacht hebben ingediend bij de verantwoordelijke dan wel ten aanzien waarvan een gerechtelijke procedure aanhangig is bij een rechterlijk college, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. de behandeling van het bezwaarschrift, de klacht of de gerechtelijke procedure; b. het intern beheer; c. het behandelen van geschillen; d. de uitvoering en toepassing van een andere wet. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de indiener van het bezwaarschrift, de klacht of beroepsschrift; b. een administratienummer dat geen andere informatie bevat dan onder a; c. gegevens met betrekking tot de feiten en omstandigheden waarop het bezwaarschrift, de klacht of de gerechtelijke procedure betrekking heeft, alsmede gegevens betreffende degenen tegen wie de klacht of procedure is gericht, voor zover deze bij de betrokkenen bekend zijn; d. andere gegevens dan bedoeld onder a tot en met c met het oog op de organisatie van de behandeling van het bezwaarschrift, de klacht of het beroepsschrift; e. andere dan de onder a tot en met d bedoelde gegevens waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd uiterlijk twee jaar nadat het bezwaarschrift, de klacht of de gerechtelijke procedure is afgehandeld, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.
Staatsblad 2001
250
30
Artikel 40. Registers en lijsten 1. Artikel 27 van de wet is niet van toepassing op verwerkingen ten behoeve van registers of lijsten betreffende personen die over een bepaalde hoedanigheid beschikken, of die voor een hoedanigheid of prestatie in aanmerking willen komen en die in verband daarmee op hun verzoek of krachtens een wettelijk voorschrift in het register of op de lijst zijn opgenomen, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het actueel houden van het register of de lijst; b. het nakomen van een wettelijke verplichting; c. het aanbieden van een voorziening; e. de uitvoering of toepassing van een andere wet; f. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens betreffende de hoedanigheid van betrokkene; d. gegevens betreffende een gewenste hoedanigheid of een te leveren prestatie en de mate waarin betrokkene aan de voorwaarden daartoe voldoet; e. andere gegevens, dan bedoeld onder a tot en met d, waarvan de verwerking wordt vereist ingevolge of noodzakelijk is met het oog op de toepassing van een andere wet. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet; c. anderen, in de gevallen bedoeld in artikel 8, onder e en f, van de wet, voor zover het slechts gegevens betreft als bedoeld in het derde lid, onder a, en de grond tot opneming in het register of op de lijst geen bijzonder gegeven betreft als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet, en nadat het voornemen daartoe aan de betrokkene of diens wettelijk vertegenwoordiger is medegedeeld en deze gedurende een redelijke termijn in de gelegenheid is geweest het recht als bedoeld in artikel 40 of 41 van de wet uit te oefenen. 5. De persoonsgegevens worden uit het register of van de lijst verwijderd uiterlijk twee jaar nadat de betrokken hoedanigheid is vervallen, de gewenste hoedanigheid is verkregen of de gewenste prestatie is geleverd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht. Artikel 41. Oud-leden en oud-leerlingen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen betreffende oud-leden, oud-personeelsleden, oud-leerlingen, oud-deelnemers of oud-studenten van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor: a. het onderhouden van contacten met de betrokkenen; b. het verzenden van informatie aan de betrokkenen; c. het berekenen, vastleggen en innen van bijdragen en giften,
Staatsblad 2001
250
31
waaronder begrepen het in handen van derden stellen van vorderingen, alsmede andere activiteiten van intern beheer; d. het behandelen van geschillen en het doen uitoefenen van accountantscontrole. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens, alsmede bank- en girorekeningnummer van de betrokkene; b. een administratienummer dat geen andere informatie bevat dan bedoeld onder a; c. gegevens betreffende de aard en de duur van het lidmaatschap van de oud-leden, de functie waarin en de periode gedurende welke het oud-personeelslid voor de verantwoordelijke werkzaam is geweest, of de aard van de studie en de periode gedurende welke de oud-leerling, oud-deelnemer of de oud-student de opleiding heeft gevolgd; d. gegevens met het oog op het berekenen, vastleggen en innen van bijdragen en giften. 4. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 5. De persoonsgegevens worden verwijderd op een daartoe strekkend verzoek van de betrokkene of bij diens overlijden. Artikel 42. Communicatiebestanden 1. Artikel 27 van de wet is niet van toepassing op verwerkingen, anders dan bedoeld in de artikelen 3 tot en met 41, van voor communicatie benodigde gegevens, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen. 2. De verwerking geschiedt slechts voor; a. de communicatie met betrokkenen; b. het verzenden van informatie over de producten en diensten van de organisatie van de verantwoordelijke; c. het bijhouden van een overzicht van de verzonden informatie; d. het onderhouden van het contact met betrokkenen. 3. Geen andere persoonsgegevens worden verwerkt dan: a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens van de betrokkene, waaronder begrepen diens zakelijk adres; b. gegevens met betrekking tot de te verzenden en verzonden informatie; c. andere gegevens dan bedoeld onder a en b die noodzakelijk zijn met het oog op het onderhouden van het contact met betrokkenen. 4. Uit de verwerking vloeien geen bijzondere gegevens voort als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet. 5. De persoonsgegevens worden slechts verstrekt aan: a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de communicatie met betrokkene of die daarbij noodzakelijk zijn betrokken; b. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, en artikel 9, derde lid, van de wet. 6. De persoonsgegevens worden verwijderd op verzoek van betrokkene of uiterlijk een jaar nadat de relatie tussen betrokkene en de organisatie van de verantwoordelijke is verbroken.
Staatsblad 2001
250
32
Artikel 43. Combinaties van verwerkingen 1. Artikel 27 van de wet is niet van toepassing op verwerkingen die een combinatie vormen van twee of meer verwerkingen bedoeld in de artikelen 3, 11 en 13, mits ten aanzien van elk van de onderdelen van de combinatie wordt voldaan aan de daarvoor in de betrokken artikelen vermelde eisen. 2. Artikel 27 van de wet is niet van toepassing op verwerkingen die een combinatie vormen van twee of meer verwerkingen bedoeld in de artikelen 5, 6, 7, 8 en 9, mits ten aanzien van elk van de onderdelen van de combinatie wordt voldaan aan de daarvoor in de betrokken artikelen vermelde eisen. 3. Artikel 27 van de wet is niet van toepassing op verwerkingen die een combinatie vormen van een verwerking als bedoeld in artikel 40 met een verwerking als bedoeld in de artikelen 14, 16, 17, 18 en 19, mits ten aanzien van elk van de onderdelen van de combinatie wordt voldaan aan de daarvoor in de betrokken artikelen vermelde eisen. 4. Artikel 27 van de wet is niet van toepassing op verwerkingen die een combinatie vormen van twee of meer verwerkingen bedoeld in de artikelen 32, 33, 34 en 35, mits ten aanzien van elk van de onderdelen van de combinatie wordt voldaan aan de daarvoor in de betrokken artikelen vermelde eisen.
HOOFDSTUK 3. SLOTBEPALINGEN Artikel 44. Gegevensverkeer met landen buiten de Europese Unie Hoofdstuk 2 van dit besluit is ook van toepassing, indien persoonsgegevens worden doorgegeven naar een land buiten de Europese Unie, mits: a. Onze Minister overeenkomstig artikel 78, tweede lid, onder b, van de wet heeft bepaald dat het betrokken land een passend beschermingsniveau waarborgt; b. het een geval betreft als bedoeld in artikel 77, eerste lid, onder a en e, van de wet. Artikel 45. Voorafgaand onderzoek Hoofdstuk 2 van dit besluit is niet van toepassing op verwerkingen die zijn onderworpen aan voorafgaand onderzoek. Artikel 46. Vrijwillige aanmelding Hoofdstuk 2 van dit besluit is niet van toepassing op verwerkingen waarvan de verantwoordelijke te kennen heeft gegeven ten aanzien daarvan te willen voldoen aan de verplichting ingevolge artikel 27 van de wet. Artikel 47. Inwerkingtreding Dit besluit treedt in werking op het tijdstip waarop de Wet bescherming persoonsgegevens in werking treedt. Artikel 48. Citeertitel Dit besluit kan worden aangehaald als: Vrijstellingsbesluit Wbp.
Staatsblad 2001
250
33
Het advies van de Raad van State is openbaar gemaakt door terinzagelegging bij het Ministerie van Justitie. Tevens zal het advies met de daarbij ter inzage gelegde stukken worden opgenomen in het bijvoegsel bij de Staatscourant van 10 juli 2001, nr. 130.
Lasten en bevelen dat dit besluit met de daarbij bijbehorende nota van toelichting in het Staatsblad zal worden geplaatst en dat daarvan afschrift zal worden gezonden aan de Raad van State. ’s-Gravenhage, 7 mei 2001 Beatrix De Minister van Justitie, A. H. Korthals
Uitgegeven de twaalfde juni 2001 De Minister van Justitie, A. H. Korthals
STB6382 ISSN 0920 - 2064 Sdu Uitgevers ’s-Gravenhage 2001
Staatsblad 2001
250
34
NOTA VAN TOELICHTING 1. Inleiding
Algemeen Met dit besluit wordt uitvoering gegeven aan artikel 29, eerste en tweede lid, van de Wet bescherming persoonsgegevens (hierna: Wbp). Deze bepalingen strekken op hun beurt tot implementatie van artikel 18, tweede en vierde lid, van Richtlijn 95/46/EG van het Europees Parlement en de Raad van de Europese Unie betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (hierna: de richtlijn), PbEG L281). Ingevolge het eerste lid van artikel 29 van de Wbp kan bij algemene maatregel van bestuur worden bepaald dat daarbij aan te geven verwerkingen van gegevens waarbij de inbreuk op de fundamentele rechten en vrijheden van betrokkene onwaarschijnlijk is, zijn vrijgesteld van de melding, bedoeld in artikel 27 van de wet. In het tweede lid van artikel 29 wordt bepaald dat in de algemene maatregel van bestuur worden vastgesteld de doeleinden van de verwerking, de verwerkte gegevens of categorieën van verwerkte gegevens, de categorieën van betrokkenen, de ontvangers of categorieën van ontvangers aan wie de gegevens worden verstrekt en de periode gedurende welke de gegevens worden bewaard. De algemene maatregel van bestuur dient derhalve een duidelijke beschrijving te geven van verwerkingen die voor de vrijstelling van de meldingsverplichting in aanmerking komen. Het gevolg van de in dit besluit te treffen regeling is dat ten aanzien van de hierin aangewezen en beschreven verwerkingen van persoonsgegevens een vrijstelling van de meldingsverplichting bij het College bescherming persoonsgegevens, bedoeld in artikel 51 van de wet, (hierna: het Cbp) of de functionaris, bedoeld in artikel 62 van de wet (hierna: de functionaris), geldt. Met de regeling in artikel 29, eerste en tweede lid van de Wbp is in navolging van de richtlijn beoogd, een evenwichtige afweging te maken tussen enkele moeilijk te verenigen doeleinden: enerzijds de transparantie omtrent de verwerkingen van persoonsgegevens die wordt gediend met de aanmeldingsplicht en anderzijds het vermijden van onnodige administratieve lasten voor bedrijfsleven en overheid, en het bevorderen van efficiënte, en daardoor uitvoerbare, uitoefening van toezicht en handhaving door de toezichthouder. Dat evenwicht is te bereiken door die verwerkingen vrij te stellen van de aanmeldingsplicht waarbij een inbreuk op de rechten en vrijheden van betrokkenen door die verwerkingen onwaarschijnlijk is. Dat houdt in dat, zoals is geformuleerd in de memorie van toelichting op de Wbp met betrekking tot artikel 29, eerste lid, «een zodanige inbreuk bij de vrij te stellen verwerkingen en met inachtneming van de aan de vrijstelling te verbinden voorwaarden onwaarschijnlijk dient te zijn» (kamerstukken II, 1997/98, 25 892, nr. 3, blz. 140). In dit besluit worden de eisen geformuleerd waaraan de verwerkingen moeten voldoen, wil de vrijstelling van de meldingsverplichting daadwerkelijk gelden. Deze eisen geven de buitengrenzen aan van de verwerkingen om voor de vrijstelling in aanmerking te komen. Een en ander zal hieronder nader worden toegelicht. Begin 1997 is aan een groot aantal instellingen en organisaties in de maatschappij van de zijde van het Ministerie van Justitie het verzoek gedaan voorstellen te doen van vormen van gegevensverwerking welke binnen hun organisatie voorkomen en in aanmerking zouden kunnen komen voor vrijstelling op grond van artikel 29 van de Wbp. Een dergelijk verzoek is in juli 1997 herhaald. De aldus ontvangen suggesties en
Staatsblad 2001
250
35
opmerkingen zijn van grote waarde geweest voor de totstandkoming van dit besluit. De voorstellen zijn beoordeeld aan de hand van de criteria die zijn ontwikkeld ter nadere invulling van de norm van artikel 29, eerste lid, van de Wbp. Aan de naar voren gebrachte wensen is zoveel mogelijk tegemoet gekomen. Dit heeft geleid tot een verdubbeling van het aantal artikelen en daarmee vrijstellingen ten opzichte van het huidige Besluit genormeerde vrijstelling (hierna: het Bgv). Ook is het bereik van een aantal reeds bestaande vrijstellingen uitgebreid. Het betreft de artikelen 3, 5, 6, 14 tot en met 21, 23 tot en met 28, 32 tot en met 35, 37 tot en met 39, alsmede de artikelen 40 en 42. Een ontwerp van dit besluit is vervolgens op 10 juni 1999 overeenkomstig artikel 37, derde lid, van de Wet persoonsregistraties (hierna: Wpr) voor advies voorgelegd aan de Registratiekamer. Daarnaast is advies gevraagd van wederom een groot aantal instellingen en organisaties. De Registratiekamer heeft vervolgens op 7 juni 2000, kenmerk 99.A.0539.02, advies uitgebracht.
Verhouding tot het Besluit genormeerde vrijstelling In het onderhavige besluit zijn er in het systeem van vrijstellingen vergeleken met het Besluit genormeerde vrijstelling (hierna: het Bgv), enige veranderingen aangebracht. Deze veranderingen hangen samen met de wettelijke grondslag waar het besluit op rust. De Wpr kent een open systeem van nader aan vrij te stellen registraties te verbinden voorwaarden. Er zijn in de Wpr geen beperkingen aan de nadere normen die bij algemene maatregel van bestuur voor de vrijgestelde registraties kunnen worden vastgesteld. Op grond van de Wbp is het strikt genomen niet meer mogelijk dergelijke nadere normen te stellen. In de Wbp worden vaste criteria gegeven waaraan een verwerking moet voldoen om vrijgesteld te worden. De uitputtende opsomming van vaste criteria bestaat uit: de doeleinden, de aard van de gegevens, categorieën betrokkenen, de verstrekking en de bewaartermijnen. Er is sprake van deregulering in die zin dat de regering wordt gebonden aan een aantal limitatief omschreven criteria die kunnen worden gebruikt om de vrij te stellen gegevensverwerkingen te omschrijven. De regering is niet bevoegd om in het vrijstellingsbesluit criteria te geven die buiten deze opsomming vallen. Er is aan de andere kant minder souplesse in die zin dat ten aanzien van de vrij te stellen categorieën, deze criteria ook alle aan de orde moeten komen. Theoretisch gaat het hierbij niet om een nadere normering, maar om een aanduiding van de omvang van de vrijstelling. In de praktijk werkt evenwel deze indirecte weg toch normerend.
Vereenvoudigde aanmelding Artikel 29 van de Wbp vloeit voort uit artikel 18 van de richtlijn. In dit artikel is eveneens voorzien in de mogelijkheid voor de Lid-Staten een systeem van vereenvoudigde aanmelding in hun wetgeving op te nemen. Ook in de reactie van de Raad van de Centrale Ondernemingsorganisaties (hierna: het RCO) op een eerder concept van dit besluit wordt hier op gewezen. In de lijn van artikel 29 van de Wbp bevat dit besluit echter enkel basis voor een vrijstelling van de aanmeldingsplicht voor nader te omschrijven categorieën van verwerkingen. In het belang van de eenvoud en de overzichtelijkheid van de aanmeldingssystematiek is er van afgezien in de Wbp een systeem van vereenvoudigde aanmeldingen op te nemen. De behoefte daaraan wordt ook minder groot geacht gezien de voorziening in artikel 27, eerste lid, van de wet. Daarin is namelijk de mogelijkheid opgenomen de verwerking aan te melden bij een functionaris voor de gegevensbescherming in plaats van het College bescherming persoonsgegevens.
Staatsblad 2001
250
36
Daarnaast moet opgemerkt worden dat ook binnen het nu gekozen systeem mogelijkheden bestaan om de aanmelding te vereenvoudigen. Daarbij kan gedacht worden aan de mogelijkheid dat de verantwoordelijke door middel van per diskette aangereikte software wordt ondersteund bij het beantwoorden van de vraag of het Vrijstellingsbesluit van toepassing is én bij het samenstellen van de aanmelding. De Registratiekamer is doende het een en ander te ontwikkelen.
Doel van het melden of vrijstellen van de meldingsplicht Zowel artikel 18 van de richtlijn als artikel 29 van de Wbp gaan uit van het systeem van in beginsel aanmelden tenzij de categorie van gegevensverwerking is vrijgesteld ingevolge dit besluit. Het RCO pleit daarentegen in haar reactie op een eerdere versie van dit besluit voor een systeem van genormeerde aanmelding. Zij bedoelt daarmee een systeem van in beginsel vrijstellen tenzij het betreft een verwerking met een bijzonder risico voor de betrokkene in de zin van artikel 20, eerste lid, van de richtlijn. Ook de VAZ (Vereniging Academische Ziekenhuizen), het GGZ (Geestelijke Gezondheidszorg) Nederland en de NVZ (Vereniging van ziekenhuizen) stellen dit voor in hun advies. Dit systeem staat haaks op de tekst van artikel 18 van de richtlijn en artikel 29 van de Wbp. Dit uitgangspunt is, zo blijkt uit de reactie van het RCO, gebaseerd op de veronderstelling dat de meldingsplicht dient om de geboden bescherming ten aanzien van de gegevensverwerking te verhogen. Deze veronderstelling is onjuist. De meldingsplicht dient de transparantie van de gegevensverwerking voor de betrokkene. Het maakt de gegevensverwerking voor hem controleerbaar. Als verwerkingen die geen risico opleveren van een inbreuk op de rechten en vrijheden van betrokkenen zijn vrijgesteld van de aanmeldingsplicht, is het Cbp beter in staat toezicht uit te oefenen op de gegevensverwerkingen waarbij een dergelijke risico niet bij voorbaat is. De meldingsplicht heeft mede tot doel dat de verantwoordelijke geprikkeld wordt om zich rekenschap te geven van de doeleinden waarvoor hij persoonsgegevens wil verwerken en verslag te doen van de overwegingen welke persoonsgegevens noodzakelijk zijn voor het bereiken van het doel en van het gebruik van de gegevens in verband met dat doel. Deze functies blijven behouden doordat de doelstelling, de aard van de gegevens en de verstrekkingen in de vrijstelling worden beschreven. De beantwoording van de vraag naar het doel van de verwerking ligt dan besloten in de toets van de verantwoordelijke of wel of niet moet worden aangemeld. De veronderstelling van het RCO in haar reactie als zou de meldingsplicht enkel gelden ten aanzien van gegevensverwerkingen waarvan de geboden bescherming, ondanks de werking van de Wbp, toch nog onvoldoende wordt geacht, is derhalve onjuist.
Categorieën van vrijgestelde verwerkingen Met het onderhavige besluit wordt beoogd de lasten in verband met de uitvoering van de meldingsplicht zoveel mogelijk te beperken voor de particuliere sector alsmede de (semi-)overheid. Basis voor dit besluit vormt de vrijstellingsregeling onder de Wpr. In het Bgv worden een twintigtal persoonsregistraties vrijgesteld van de aanmeldings- of reglementsverplichting. Deze komen terug in het onderhavige besluit zij het dat de terminologie is aangepast aan de nieuwe wet. Daarnaast is rekening gehouden met opgedane ervaringen met het Bgv en zijn vrijstellingen toegevoegd die reeds onder het regime van het Wpr wenselijk waren. Voorts is een aantal verwerkingen toegevoegd op verzoek van het bedrijfsleven en de overheid.
Staatsblad 2001
250
37
2. De vrijstelling
2.1 Onderwerp van de vrijstelling De Wbp voorziet in regels ter bescherming van de persoonlijke levenssfeer in verband met de verwerking van persoonsgegevens. De Wbp bevat in hoofdstuk 2 inhoudelijke normen, die in onderlinge samenhang het kader vormen waarbinnen de afwegingen rondom de verwerking van persoonsgegevens moeten worden gemaakt. Deze inhoudelijke normen zijn algemene voorschriften. Met het oog op hun toepassing in de praktijk behoeven zij nadere uitwerking en concretisering. De verantwoordelijkheid voor die nadere uitwerking en concretisering is in de Wbp in belangrijke mate bij de verantwoordelijke voor de verwerking van persoonsgegevens zelf gelegd. De Wbp bevat daartoe in artikel 27 de verplichting tot aanmelding van de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens. Deze aanmelding heeft tot doel dat de belangen van de verantwoordelijke enerzijds en van de betrokkene anderzijds op een gestructureerde en daarmee controleerbare wijze worden afgewogen. Daarin komt een van de uitgangspunten van de wet, de transparantie van de gegevensverwerking, tot uiting. In artikel 28 van de wet is omschreven hoe de aanmelding er uit moet zien. De aanmelding bevordert aldus de transparantie van de gegevensverwerking. Indien aan de meldingsplicht onverkort de hand zou worden gehouden, zou afbreuk gedaan worden aan de daarmee beoogde transparantie. Er zouden vele gegevensverwerkingen worden aangemeld waarvan het bestaan evident is. Het gevolg zal slechts zijn, dat de gegevensverwerkingen waarvan het wel nodig is dat zij in beeld worden gebracht, ondersneeuwen. Het is daarom nodig de bekende, veel voorkomende vormen van gegevensverwerkingen waarvan het bestaan in het algemeen bekend mag worden verondersteld, van de meldingsplicht vrij te stellen. Daarop heeft de onderhavige algemene maatregel van bestuur betrekking. Ten aanzien van de in deze algemene maatregel van bestuur vrijgestelde verwerkingen van persoonsgegevens geldt derhalve niet de meldingsplicht van artikel 27 van de Wbp. Voor het overige is de Wbp evenwel als gebruikelijk van toepassing. Indien voor een verwerking van persoonsgegevens een vrijstelling geldt, heeft dat niet tot gevolg dat die verwerking verder geheel buiten het bereik van de wet blijft. Op de vrijgestelde verwerking zijn alle overige bepalingen van de Wbp onverkort van toepassing. Meer concreet betekent dit dat de regels in hoofdstuk 2 over de voorwaarden voor de rechtmatigheid van de verwerking van persoonsgegevens normaal van toepassing zijn. Deze zijn in de algemene maatregel van bestuur voor bepaalde categorieën van verwerkingen nader uitgewerkt en geconcretiseerd. Ook de in de Wbp vervatte regels over de rechten van de betrokkene op kennisneming en verbetering blijven geheel van toepassing. Hieruit volgt dat ook de verantwoordelijke van een vrijgestelde verwerking binnen zijn organisatie de nodige maatregelen en voorzieningen zal moeten treffen om aan deze wettelijke bepalingen uitvoering te geven.
2.2 Doelgroep van de vrijstelling Doel van de aanmelding is de openbaarmaking van het doel van de gegevensverwerking en van de belangrijkste kenmerken daarvan. Hierdoor is het mogelijk dat de verwerking van persoonsgegevens kan worden getoetst aan de wettelijke bepalingen. Echter ter vermijding van een inadequate administratieve belasting voor de verantwoordelijke bieden de richtlijn en de Wbp de mogelijkheid om die verwerkingen van
Staatsblad 2001
250
38
persoonsgegevens waarvan de inbreuk onwaarschijnlijk is vrij te stellen van deze meldingsverplichting. Deze verwerkingen moeten dan wel in overeenstemming zijn met dit besluit, waarin de grenzen van een en ander zijn aangeven. Uitgangspunt is derhalve of de inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. Daarvan is sprake bij verwerkingen waarvan het bestaan «evident» is. Van een verwerking waarvan het bestaan evident is, kan in het licht van het voorgaande worden gesproken als zowel het bestaan als de aard van de verwerking voor betrokkenen kenbaar en bijna vanzelfsprekend is, en als verwerkingen die afwijken van de standaard gemakkelijk te onderkennen zijn. Dat is het geval bij gegevensverwerkingen die veel voorkomen, die standaard zijn en waarvan het algemeen bekend is dat zij plaatsvinden. Betrokkenen zullen vaak weten of redelijkerwijs kunnen weten dat gegevens over hem worden verwerkt en voor welke doeleinden. Vaak zal sprake zijn van een onderliggende rechtsverhouding zoals een overeenkomst, waarbij de verwerking van gegevens aanknoopt en die voor die verwerkingen een herkenbaar kader biedt. Zo zal een lid van een sportvereniging in het algemeen wel op de hoogte zijn dat er gegevens over hem worden vastgelegd in een ledenadministratie, die worden gebruikt voor het innen van contributie, het organiseren van verenigingsactiviteiten en het verzenden van een clubblad. Dat die verwerking eventueel ook bijzondere gegevens in de zin van hoofdstuk 2, paragraaf 2, van de Wbp omvat, behoeft aan de vrijstelling niet in de weg te staan. Artikel 8 van de richtlijn opent reeds uitdrukkelijk die mogelijkheid voor verwerkingen van stichtingen en verenigingen op politiek, levensbeschouwelijk of vakbondsgebied, mits die voldoen aan de daar opgenomen voorwaarden. Er is geen reden waarom die mogelijkheid niet zou bestaan voor andere verwerkingen die bijzondere gegevens omvatten, mits die aan dezelfde criteria voldoen. Een voorbeeld hiervan is de vrijstelling van verwerkingen door beroepsbeoefenaren in de individuele gezondheidszorg ofwel de patiëntenadministratie. Die verwerkingen omvatten per definitie ook bijzondere gegevens. Het gaat hierbij om veel voorkomende verwerkingen van algemene bekendheid die voor betrokkenen in hoge mate vanzelfsprekend zijn. De aanknoping van de verwerking bij de geneeskundige behandelingsovereenkomst schept bovendien waarborgen tegen inbreuk op de rechten en vrijheden van betrokkenen. Die constellatie van omstandigheden brengt met zich mee dat hier gesproken kan worden van verwerkingen waarbij een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. Bij bepaalde verwerkingen van persoonsgegevens door de overheid kan eveneens aanleiding bestaan voor een vrijstelling voor de aanmeldingsplicht. Bij dergelijke verwerkingen is sprake van een bijzondere onderliggende rechtsverhouding, die tussen bestuursorgaan en burger. Die biedt echter slechts een algemeen kader, waaruit concrete gegevensverwerkingen niet zonder meer kenbaar worden. De wettelijke regeling die aan de verwerking ten grondslag ligt, vult de aard van de verwerking verder in. Die is daarmee echter niet zonder meer evident, ook niet als die verwerking op grote schaal plaatsvindt, zoals bijvoorbeeld bij de uitvoering van de Algemene Kinderbijslagwet of de Wet Studiefinanciering. Niet zozeer de massaliteit van een verwerking als wel het veelvuldig voorkomen van de steeds op gelijke wijze ingerichte, niet al te complexe, verwerking op basis van een wettelijke regeling geeft dan reden om de onwaarschijnlijkheid van inbreuk op rechten en vrijheden van betrokkenen aan te nemen. De reeds eerder genoemde factoren, zoals de algemene bekendheid en de mate van vanzelfsprekendheid van bepaalde verwerkingen, het standaardkarakter daarvan, en de aanwezigheid van waarborgen die algemeen worden geaccepteerd, zijn dan van toepassing. Het doel dat met de vrijstellingen wordt beoogd, administratieve
Staatsblad 2001
250
39
lastenverlichting voor verantwoordelijken en toezichthouder, is slechts bij veel voorkomende verwerkingen aan de orde. De verwerkingen, voorzien in de artikelen 22 tot en met 28, zijn voorbeelden van dergelijke verwerkingen. Ook ingeval van verwerkingen die niet – of niet rechtstreeks – gerelateerd zijn aan een onderliggende rechtsverhouding, kan het zijn dat inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. Omdat daarbij geen sprake is van een onderliggende rechtsverhouding die een kader biedt voor de kenbaarheid van de verwerkingen die plaatsvinden, zal die onwaarschijnlijkheid vooral afhankelijk zijn van andere factoren, zoals het feit dat dergelijke verwerkingen veel voorkomen en op een gestandaardiseerde wijze plaatsvinden, dat met betrekking tot aard en doel van dergelijke verwerkingen in de maatschappij een communis opinio bestaat en dat het plaatsvinden en de reikwijdte van de verwerkingen aan de betrokkenen bekend is of aan hen bekend worden gemaakt. Bij verwerkingen die geschieden buiten medeweten van de betrokkenen om, geldt in beginsel niet dat een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. Dit geldt eveneens voor de meer complexere verwerkingen dan de standaard en gebruikelijke verwerkingen, omdat het voor betrokkenen in dergelijke gevallen onvoldoende duidelijk is voor welke doeleinden de gegevens worden verwerkt en welke gegevens worden verwerkt. Dergelijke verwerkingen zijn minder transparant en dienen derhalve te worden gemeld. Daarbij komt dat dergelijke verwerkingen veelal zo zijn toegesneden op het specifieke gebruik door een bepaalde verantwoordelijke, dat van een standaardkarakter geen sprake is. De afbakening van de verwerkingen waarvoor de vrijstelling geldt, vertoont grote overeenkomst met de vrijstellingsregeling onder de Wpr. De vrijstellingen van het Bgv zijn gehandhaafd. Daarnaast zijn andere standaard en veel voorkomende verwerkingen die iedereen kent, eraan toegevoegd. Die toevoegingen zijn het resultaat van de opgedane ervaringen met het Bgv en van verzoeken van het bedrijfsleven en de overheid. Het voor de vrijstelling in het onderhavige besluit gehanteerde criterium, dat het daarbij moet gaan om verwerkingen waarbij een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is, sluit qua uitwerking nauw aan bij de al in het Bgv gehanteerde vuistregels, namelijk dat de vrijstelling bedoeld is voor «eenvoudige, typische doorsneeregistraties; persoonsregistraties die veel voorkomen en daardoor een zeker standaard-karakter hebben, die betrekkelijk eenvoudig van opzet zijn en waarvan het bestaan en de werking bij de geregistreerden doorgaans wel bekend is (paragraaf 2.2 van de nota van toelichting op het Bgv). In zoverre kan er dan ook gesproken worden van een grote mate van continuïteit voor wat betreft de vrijstelling van de aanmeldingsplicht.
2.3 De vrijstelling in de praktijk Indien een verwerking voldoet aan een van de in dit besluit geformuleerde typeomschrijvingen, dan geldt in beginsel een vrijstelling. Voldoet de verwerking vervolgens aan de voor verwerkingen van het betrokken type gestelde eisen, dan geldt de vrijstelling daadwerkelijk. Daarvoor is geen nadere verklaring van de verantwoordelijke, het Cbp of de functionaris nodig. Het is de verantwoordelijke zelf die in eerste instantie beoordeelt of voor zijn verwerking een vrijstelling geldt. Zou de verantwoordelijke twijfelen over de toepasselijkheid van de vrijstelling, dan doet hij er wijs aan terzake deskundig advies in te winnen, bijvoorbeeld bij het Cbp of de functionaris. Immers, indien de verantwoordelijke ten onrechte
Staatsblad 2001
250
40
zou menen dat voor zijn verwerking een vrijstelling geldt, dan zou hij daardoor ook ten onrechte niet voldoen aan de verplichtingen op grond van de artikelen 27 en 28 van de Wbp tot aanmelding en kan hij op grond van artikel 75 van de Wbp strafrechtelijk worden vervolgd. Hierboven is al aangegeven wat het gevolg is indien voor een verwerking een vrijstelling geldt: ten aanzien van die verwerking behoeft niet te worden voldaan aan de meldingsplicht. Daarbij is er ook op gewezen dat de overige regels van de Wbp gewoon van toepassing zijn. Hieraan zitten twee aspecten die met elkaar verband houden, maar ook goed moeten worden onderscheiden: de behoefte aan heldere afbakening en het effect van de wettelijke normen op de vrijgestelde verwerkingen. In het onderhavige besluit gaat het er om, dat door het aangeven van verwerkingen en het daaraan verbinden van voorwaarden de (buiten)grenzen worden getrokken waarbinnen een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is te achten. Bij die voorwaarden gaat het om de doeleinden van de verwerking, de (categorieën van) verwerkte gegevens, de categorieën van betrokkenen, de (categorieën van) ontvangers aan wie de gegevens worden verstrekt en de periode gedurende welke de gegevens worden bewaard. De grenzen die aldus getrokken worden kunnen globaal van aard zijn echter ook precies zijn in hun formulering. Ten aanzien van verwerkingen die binnen deze grenzen blijven, geldt de vrijstelling. Wijzigen in de loop der tijd bijvoorbeeld de doeleinden van de verwerking en komen die niet langer overeen met die genoemd in dit besluit, dan herleeft de aanmeldingsverplichting. Blijft de verwerking binnen een bepaalde typeomschrijving van een bepaald artikel, dan blijft de vrijstelling behouden. Het is echter onvermijdelijk dat van de geformuleerde criteria in de praktijk niet slechts een beschrijvende maar ook een normerende werking uitgaat. Het overschrijden van de grenzen die de omschrijvingen trekken doet immers de vrijstelling vervallen. Of bij het aangeven van die grenzen termen worden gehanteerd als «precisering» en «omschrijving» of een term als «eisen» leidt voor de praktijk van de vrijstelling eigenlijk niet tot verschillen. Naarmate de vrijstellingen meer ruimte laten voor variatie, wordt de doorwerking van de wettelijke normen op de vrijgestelde verwerkingen relevanter. Deze doorwerking doet zich niet alleen voor bij onderwerpen die in de vrijstellingen onverlet blijven, maar ook waar de vrijstellingen «buitengrenzen» trekken. De wettelijke normen zijn dan niet bepalend voor de vrijstelling, maar wel voor de «binnengrenzen» waaraan vrijgestelde verwerkingen zijn gebonden. Overschrijding van die wettelijke normen leidt tot onrechtmatige – immers strijdig met de Wbp zijnde – verwerkingen. Een voorbeeld moge het een en ander verduidelijken. Artikel 3, vijfde lid, van het onderhavige besluit bevat onder meer de regel dat gegevens over ex-leden van verenigingen uiterlijk twee jaren nadat het lidmaatschap is beëindigd moeten worden verwijderd. Met deze regel is beoogd de mogelijkheid te bieden gegevens te bewaren voor zover dat noodzakelijk is met het oog op het afwikkelen van de (rechts)verhouding na de beëindiging van het lidmaatschap. Overschrijding van de «buitengrens» van twee jaren brengt met zich mee dat de verantwoordelijke de verwerking moet melden op grond van artikel 27 van de Wbp. Deze in zekere zin globale omschrijving wordt echter «nader ingekleurd» door de wettelijke normen. Uit artikel 10, eerste lid, of 11 van de Wbp kan voortvloeien dat bepaalde gegevens op een eerder tijdstip uit de administratie dienen te worden verwijderd. Bij overschrijding van dit eerdere tijdstip is al sprake van een onrechtmatige verwerking, ongeacht of de verantwoordelijke binnen de termijn van artikel 3, vijfde lid, van dit besluit blijft.
Staatsblad 2001
250
41
3. Opzet van de regeling
3.1 Opbouw en structuur Het besluit valt in drie delen uiteen. In hoofdstuk 1 zijn de inleidende bepalingen opgenomen, in hoofdstuk 2 de categorieën van verwerkingen die zijn vrijgesteld en in hoofdstuk 3 de slotbepalingen. Dit besluit bevat voor veertigtal typen gegevensverwerkingen een afzonderlijke vrijstellingsregeling. De vrijstellingsregelingen bestaan uit een type-omschrijving en een op dat type toegesneden eisenpakket. Gekozen is voor een opzet waarbij het eerste lid van artikel 29 van de Wbp («daarbij aan te geven verwerkingen») is uitgewerkt door het telkens in een typeomschrijving aanwijzen van een «geheel van handelingen». In feite gaat het steeds om een categorie van dergelijke «gehelen». Dit heeft tot effect dat in de artikelen de persoonsregistraties die zijn opgenomen in het Bgv, met daarnaast nog een aantal andere, zeer dicht worden benaderd, zij het dat ze door het gebruik van de terminologie uit de Wbp als het ware «ibn werking» worden omschreven. Om zoveel mogelijk typen van gegevensverwerking onder het bereik van dit besluit te brengen, is hoofdstuk 2 in zekere zin gelaagd opgebouwd en zijn de typeomschrijvingen globaal geformuleerd. Daarbij is gepoogd zo min mogelijk afbreuk te doen aan de overzichtelijkheid van het besluit. Met betrekking tot de indeling van hoofdstuk 2 laten zich grofweg de volgende clusters onderscheiden: – verwerking van gegevens van leden en begunstigers (artikel 3 en 4); – verwerking van gegevens ten behoeve van arbeid en pensioen (artikelen 5 tot en met 10); – verwerking van gegevens betreffende goederen en diensten (artikelen 11 tot en met 15); – verwerking van gegevens ten behoeve van zorg en welzijn (artikelen 16 tot en met 18); – verwerking van gegevens ten behoeve van het onderwijs (artikelen 19 tot en met 21); – verwerking van gegevens door de overheid (artikelen 22 tot en met 28); – verwerking van gegevens met het oog op archiveren en onderzoek (artikelen 29 en 30); – verwerkingen ten behoeve van beheer en beveiliging (artikelen 31 tot en met 38); – overige verwerkingen (artikelen 39 tot en met 43). Deze clustering is een leidraad om de weg te vinden in het besluit. De clusters zijn terug te vinden in de onderscheidene paragrafen van hoofdstuk 2 van dit besluit. De verwerkingen die niet in een cluster onder te brengen zijn, zijn bijeen gebracht in paragraaf 9 van hoofdstuk 2. Aan de indeling zijn geen gevolgen verbonden.
3.2 De aangewezen verwerkingen van persoonsgegevens Bij de omschrijving van de in dit besluit aangewezen verwerkingen is waar mogelijk uitgegaan van de onderliggende (rechts)verhouding tussen de verantwoordelijke en de betrokkenen. In de typeomschrijvingen behoort in principe steeds tot uitdrukking te komen in welke verhouding de verantwoordelijke staat tot de betrokkenen. In een aantal gevallen valt daarbij de nadruk op een hoedanigheid van de verantwoordelijke (bijvoorbeeld vereniging of kerkgenootschap), in andere gevallen op die van de betrokkene (bijvoorbeeld sollicitanten of personeelsleden), in weer
Staatsblad 2001
250
42
andere gevallen op het karakter van de activiteiten (bijvoorbeeld kinderopvang of belastingheffing) ten dienste waarvan de verwerkingen plaatsvinden. In alle gevallen, ook indien geen rechtsverhouding ten grondslag ligt aan de verwerking (bijvoorbeeld videocameratoezicht), dient echter de rol is van de verantwoordelijke duidelijk te zijn. In navolging van het advies van de Registratiekamer is er voor gekozen de verwerkingen waarbij sprake is van gedeelde of gezamenlijke verantwoordelijkheid van de vrijstellingsregeling uit te sluiten. Dit komt tot uitdrukking in artikel 2 van dit besluit. In zulke gevallen dient steeds aanmelding plaats te vinden, waarbij de verantwoordelijkheden van de partijen duidelijk worden. Een gebrek aan duidelijkheid op dat punt kan gemakkelijk leiden tot inbreuken op de rechten en vrijheden van betrokkenen. Artikel 2 bepaalt dat de meldingsplicht niet van toepassing is op de verwerkingen van persoonsgegevens die vallen onder dit besluit door of ten behoeve van één verantwoordelijke. De formulering van artikel 2 is zodanig dat mede de verwerkingen door een bewerker ten behoeve van een verantwoordelijke onder de vrijstellingsregeling vallen. De verwijzing naar de (rechts)verhouding biedt zowel de betrokkenen als de verantwoordelijken, die immers in eerste instantie zullen moeten beoordelen of voor hun verwerkingen een vrijstelling geldt, een duidelijk herkenningspunt. De aanwezigheid van een rechtsverhouding geeft in het algemeen waarborgen voor de aanwezigheid van de benodigde transparantie van de gegevensverwerking. Gelet op de (rechts)verhouding tussen de betrokkenen is de verwerking van diens gegevens immers veelal vanzelfsprekend. Voorts is het voor de betrokkenen in het algemeen duidelijk voor welke doeleinde de op hen betrekking hebbende gegevens tijdens het voortduren van de (rechts)verhouding worden gebruikt. Uit de verwijzing in de type-omschrijving naar de actuele (rechts)verhouding tussen de verantwoordelijke en de betrokkene volgt dat de verwerking slechts betrekking mag hebben op personen met wie de verantwoordelijke de bedoelde (rechts)verhouding is aangegaan. Hoewel het bestaan van een (rechts)verhouding een belangrijke indicatie kan zijn voor de vraag of een verwerking voor vrijstelling in aanmerking kan komen, is het is niet zo, dat het ontbreken van een actuele (rechts)verhouding tussen de verantwoordelijke en de betrokkene aan een vrijstelling in de weg behoeft te staan. In een aantal gevallen kan sprake zijn van verwerking van gegevens waarbij een inbreuk op de fundamentele rechten en vrijheden van de betrokkene onwaarschijnlijk is. Het is immers in een aantal gevallen niet ongebruikelijk en zeker niet ongeoorloofd dat gegevens worden verwerkt van personen met wie wordt onderhandeld over het aangaan van een bepaalde rechtsverhouding (bijvoorbeeld sollicitanten) of in gevallen waarin aan een bestaande (rechts)verhouding een einde is gekomen (bijvoorbeeld bij oud-leden of oud-werknemers). Hoewel het geenszins vanzelfsprekend is dat de gegevens na de beëindiging van een (rechts)verhouding in de administratie blijven voorkomen en het voor de betrokkenen in het algemeen niet zonder meer duidelijk is welk gebruik er verder van de administratie en de daarin opgenomen gegevens wordt gemaakt, kan het evenwel noodzakelijk zijn dat de gegevens met het oog op de afwikkeling van een beëindigde (rechts)verhouding nog gedurende een (korte) periode worden verwerkt. De type-omschrijvingen van de aangewezen verwerkingen zijn globaal gehouden. Hierbij moet worden bedacht dat met de onderhavige regeling wordt beoogd de lasten in verband met de uitvoering van de Wbp zoveel als mogelijk en verantwoord is te beperken. Wil deze maatregel ook het beoogde effect sorteren, dan zal het bereik daarvan groot moeten zijn. De ervaring is evenwel dat ook verwerkingen met identieke functies op
Staatsblad 2001
250
43
onderdelen van elkaar plegen te verschillen. Zo verschilt bijvoorbeeld de ledenadministratie van een sportvereniging in diverse opzichten van die van een politieke partij of van een kerkgenootschap. Het is ondoenlijk om al deze verschillen in afzonderlijke typeomschrijvingen tot uitdrukking te brengen. Daarbij komt nog dat het besluit door de opneming van een groot aantal zeer gedetailleerde typeomschrijvingen aan overzichtelijkheid zou inboeten, zeker nu het aantal typeomschrijvingen is verdubbeld in vergelijking tot dat van het Bgv. Met het oog hierop zijn de typeomschrijvingen enigszins beperkt in aantal en – teneinde het bereik van de regeling voldoende groot te doen zijn – globaal van karakter gehouden.
3.3 De eisen Bij de beoordeling of ten aanzien van een type verwerking een vrijstelling geldt, zal de verantwoordelijke niet alleen moeten nagaan of zijn verwerking onder een van de type-omschrijvingen valt, maar zal hij ook zorgvuldig moeten nagaan of de verwerking aan de desbetreffende eisen voldoet. Hieruit blijkt dat voor de verschillende typen verwerkingen gestelde eisen een tweeledige functie hebben. Enerzijds fungeren zij in de praktijk, naast de omschrijvingen, als nadere voorwaarden waaraan voldaan moet zijn wil een vrijstelling daadwerkelijk van toepassing zijn, anderzijds maken zij deel uit van het voor de betrokken gegevensverwerkingsproces geldende normenkader. Bij de hierboven bedoelde beoordeling moet tenslotte worden bedacht dat met de combinatie van type-omschrijvingen en eisen slechts buitengrenzen zijn getrokken, hetgeen blijkt uit het karakter van de opsommingen. Dat wil zeggen dat de vrijstelling niet alleen van toepassing is indien ten aanzien van de betrokken verwerking exact aan de kenmerken wordt voldaan, maar ook wanneer de verwerking van de gegevens minder ver gaat dan ingevolge die eisen mogelijk zou zijn. Zo zal de vrijstelling bijvoorbeeld ook van toepassing zijn op een abonnementsadministratie waarin minder gegevens worden opgenomen of waarvan een beperkter gebruik wordt gemaakt dan ingevolge artikel 11 mogelijk zou zijn. Worden de even bedoelde buitengrenzen overschreden, bijvoorbeeld omdat meer gegevens worden verwerkt of omdat daarvan een verdergaand gebruik wordt gemaakt dan ingevolge de desbetreffende bepaling mogelijk is, dan is de vrijstelling niet van toepassing. In dit laatste geval zijn de verplichtingen in verband met indiening van een formulier van aanmelding onverkort van toepassing. De voor de verschillende typen verwerkingen geformuleerde eisen volgen de indeling van artikel 29, tweede lid, van de wet. In het eerste lid is de beschrijving zelf neergelegd, in het tweede lid de doeleinden van de verwerking, in het derde lid de verwerkte gegevens of de categorieën van verwerkte gegevens en daaruit voortvloeiend de categorieën van betrokkenen, in het vierde lid (veelal) de ontvangers van de gegevens en in het laatste, veelal het vijfde, lid de bewaartermijn van de gegevens. Andere eisen dan die de wet in artikel 29 noemt, zijn niet opgenomen. Voor wat de omwerking van het Bgv onder de Wbp betreft, is zo veel mogelijk geprobeerd de gehanteerde formuleringen te handhaven. Dit met het oog op het benadrukken van de continuïteit van de vrijstellingsregeling alsmede met het oog op het vermijden van interpretatievragen. Wat vroeger onder de vrijstelling viel, valt onder de nieuwe wettelijke regeling ook onder de vrijstelling. Voor zover er inhoudelijk iets is veranderd, zal daarvan in het artikelsgewijs commentaar melding worden gemaakt.
Staatsblad 2001
250
44
4. Andere onderwerpen van algemene aard
4.1 De te verwerken gegevens In dit besluit worden onder meer eisen gesteld betreffende de soorten van gegevens welke mogen worden verwerkt in het desbetreffende type gegevensverwerking. Hoewel deze soorten gegevens voor een belangrijk deel per type verwerking verschillen, zijn er ook overeenkomsten. Zo bevatten vrijwel alle verwerkingen de min of meer gebruikelijke personalia: naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en bank- en girorekeningnummer. De omschrijving van deze gebruikelijke personalia in de diverse vrijstellingsartikelen sluit aan bij de terminologie van het Bgv. Naast de opsomming van deze gegevens kent elk vrijstellingsartikel eveneens de toevoeging «en soortgelijke voor communicatie benodige gegevens». Met deze toevoeging is gewaarborgd dat bij het gebruik van onvoorziene, toekomstige middelen ten behoeve van de communicatie met betrokkenen, om die reden de vrijstelling niet vervalt. Er is van afgezien de term «identificatie» te gebruiken omdat deze term aanleiding kan geven tot de gedachte dat eveneens kopieën van paspoorten en biometrische gegevens kunnen worden verwerkt zonder de vrijstelling in gevaar te brengen. Met de «naam» wordt in beginsel gedoeld op de familienaam die de betrokkene zelf in het maatschappelijk verkeer gebruikt, dat wil zeggen de eigen familienaam of die van de echtgenoot, dan wel beide. Ook andere termen in de hierboven weergegeven opsomming van gegevens ten behoeve van de communicatie met de betrokkene, kunnen een meervoudige betekenis hebben. «Titulatuur» omvat zowel adellijke als academische titels, «adres» omvat zowel straatnaam en huisnummer als andere aanduidingen die het woonadres nader bepalen, zoals een etageaanduiding, de naam van het gebouw, en dergelijke, «woonplaats» omvat zowel de naam van de stad of het dorp waar de betrokkene woont of verblijft als – zo nodig – de naam van de provincie, het land of de staat. Een ander gegeven dat in vrijwel alle bepalingen over de inhoud van de betrokken verwerkingen voorkomt is een administratienummer (steeds in het derde lid, onder b). Dit nummer behoeft niet informatieloos te zijn, maar mag, behoudens een enkele uitzondering, niet meer informatie bevatten dan de bovenbedoelde gegevens ten behoeve van het kunnen communiceren met (ofwel de personalia van) de betrokkene. Met «administratienummer» wordt ook gedoeld op andere soortgelijke aanduidingen, zoals combinaties van letters of andere tekens en combinaties van cijfers en letters. In een aantal gevallen is het wenselijk dat ook gegevens worden vastgelegd van de ouders, voogden of verzorgers van minderjarige betrokkenen, opdat die bij plotselinge ziekte of ongeval kunnen worden gewaarschuwd. Verenigingen, werkgevers, scholen, enz. dragen doorgaans enige verantwoordelijkheid voor het fysieke welzijn van de aan hun zorg toevertrouwde minderjarigen, terwijl zij ook het normale contact met de minderjarigen plegen te onderhouden via hun ouders, voogden of verzorgers. Door de opneming van de voor dit contact benodigde gegevens mogelijk te maken, worden zij tevens in staat gesteld bij ziekte van de minderjarige of bij een ongeval diens ouders, voogden of verzorgers te waarschuwen. Dit is veelal in het derde lid, onder c, van de beschrijving van een type-verwerking neergelegd. Wat betreft het verwerken van gegevens van huisgenoten van meerderjarige personen is overwogen dat de verantwoordelijkheid van verenigingen, werkgevers, enz., voor meerderjarigen doorgaans een andere is dan die voor minderja-
Staatsblad 2001
250
45
rigen en dat dezen niet reeds uit anderen hoofde contact met de huisgenoten van de betrokkenen onderhouden. Daarbij komt dat de bij ziekte of ongeval te waarschuwen personen veelal zijn vermeld in documenten (agenda’s en dergelijke) die de betrokkenen bij zich plegen te dragen. Hierboven is al opgemerkt dat de vrijstellingsregeling niet in de weg behoeft te staan aan het verwerken van bijzondere gegevens, als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet (voorheen de gevoelige gegevens). Of dergelijke gegevens in het concrete geval verwerkt kunnen worden, moet aan de hand van de wet worden vastgesteld. Hier geldt een doorwerking van de voorschriften van paragraaf 2 van hoofdstuk 2 van de Wbp. Afgezien daarvan zijn in het onderhavige besluit zowel expliciete uitsluitingen, als expliciete toelatingen van bijzondere gegevens te vinden. Een voorbeeld hiervan vormt de ledenadministratie. De omstandigheid dat de betrokkene voorkomt in de ledenadministratie van een politieke partij is een gegeven betreffende zijn politieke gezindheid en derhalve een bijzonder gegeven als bedoeld in artikel 19, eerste lid, Wbp. Het is niet nodig om om die reden de toepasselijkheid van de vrijstelling op ledenadministraties uit te sluiten (artikel 3 van dit besluit). Ook in de administraties van leerlingen, deelnemers of studenten, in het bijzonder die van een bijzondere onderwijsinstelling, kunnen gegevens voorkomen betreffende iemands godsdienst of levensovertuiging. Met die mogelijkheid is in artikel 19 expliciet rekening gehouden. In de artikelsgewijze toelichting bij de onderscheidene artikelen wordt nader ingegaan op de mogelijkheid bijzondere gegevens te verwerken. Met betrekking tot de type-verwerkingen waarbij sprake is van een financiële component is steeds gebruik gemaakt van de formulering: «gegevens met het oog op het berekenen en vastleggen van inkomsten en uitgaven, het doen van betalingen en het innen van vorderingen». Voor het overige zijn de te verwerken gegevens in verband te brengen met de achterliggende (rechts)verhouding tussen betrokkene en de verantwoordelijke en zijn zij toegesneden op die specifieke situatie of relatie.
4.2 De betrokkenen De categorieën van betrokkenen worden in de artikelen van dit besluit niet in een afzonderlijk lid vermeld. De omschrijving van de betrokkenen is in beginsel opgenomen in de typeomschrijving, in sommige artikelen aangevuld in het onderdeel dat betrekking heeft op de categorieën van gegevens.
4.3 De ontvangers van gegevens Artikel 29, tweede lid, onder d, van de Wbp vereist dat in dit besluit vastgelegd worden: de (categorieën van) ontvangers aan wie de gegevens worden verstrekt. Ingevolge artikel 1 onder h, van de wet zijn de ontvangers degenen aan wie persoonsgegevens worden verstrekt, dat wil zeggen aan wie persoonsgegevens bekend worden gemaakt of ter beschikking worden gesteld. Er is voor gekozen in dit besluit telkens de formulering «worden verstrekt aan» te hanteren en dus niet aan te sluiten bij de term «ontvanger». Daarmee is geen verschil in betekenis beoogd. Afhankelijk van de type-omschrijving van de gegevensverwerking worden in enkele gevallen concrete ontvangers genoemd. Dit is gebeurd met het oog op het buiten twijfel stellen dat zij gegevens mogen ontvangen zonder dat daardoor de vrijstelling in gevaar komt.
Staatsblad 2001
250
46
De Wbp en derhalve ook dit besluit kennen in tegenstelling tot de Wpr in beginsel niet het onderscheid tussen het verstrekken van gegevens aan personen binnen de organisatie van de verantwoordelijke en aan derden. In het vierde (en soms vijfde) lid van de onderscheidene artikelen wordt omschreven aan welke personen of instellingen de gegevens mogen worden verstrekt. Daarvoor wordt de steeds terugkerende formulering gebruikt: «degenen, waaronder begrepen derden, die zijn belast met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken». Deze toevoeging moet restrictief worden opgevat: het ziet enkel op degenen die, gezien de aard van de activiteiten, er noodzakelijkerwijs bij betrokken moeten worden. Een goede afhandeling van de activiteiten moet met zich meebrengen dat die personen erbij betrokken worden. Hieronder vallen mede degenen die als noodzakelijk vervolg op de bedoelde activiteiten bepaalde gegevens ontvangen. Het verzenden van informatie, het behandelen van geschillen, het doen verrichten van accountantscontrole, het verlenen van ontslag enz. brengen in de regel nu eenmaal mee dat bepaalde derden moeten worden ingeschakeld. De kring van personen die hiertoe gerekend kan worden hangt van de concrete omstandigheden van het geval af. In de praktijk kan het voorkomen dat met betrekking tot de verwerkingen verstrekkingen plaatsvinden die niet specifiek zijn voorzien in het desbetreffende vrijstellingsartikel. Dat gegevens worden verstrekt aan andere personen of instellingen dan genoemd in het vierde (of vijfde) lid van de onderscheidene vrijstellingsartikelen. Het gaat dan om verstrekkingen op één van de gronden, genoemd in artikel 8 van de wet. Verstrekkingen derhalve die afwijken van de doelbinding die in de regel is opgenomen in het tweede lid van de verschillende artikelen. Indien ten aanzien van een dergelijke verstrekking een inbreuk op de rechten en vrijheden van de betrokkene onwaarschijnlijk is te achten (artikel 29, eerste lid, van de wet), zou het in strijd zijn met het uitgangspunt van dit besluit indien een dergelijke verstrekking er toe zou leiden dat de vrijstelling zou komen te vervallen. Afhankelijk van de grond waarop de verstrekking plaats vindt moeten nadere voorwaarden worden gesteld ten einde te verzekeren dat de inbreuk op de fundamentele rechten en vrijheden van de betrokkene bij een dergelijke verstrekking onwaarschijnlijk. Een inbreuk op de rechten en vrijheden van betrokkenen wordt onwaarschijnlijk geacht wanneer de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend (artikel 8, onder a, Wbp), de gegevensverwerking noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke onderworpen is (artikel 8, onder c, Wbp) dan wel de verwerking noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene (artikel 8, onder d, Wbp). Dit is ook het geval wanneer er sprake zou zijn van een verstrekking in strijd met het doel waarvoor de gegevens zijn verzameld, te weten op grond van artikel 43 van de Wbp. Ook ten aanzien van deze verstrekkingen geldt dat in geval ze geschieden met ondubbelzinnige toestemming van de betrokkene (artikel 8, onder a, Wbp), noodzakelijk zijn ter uitvoering van een wettelijke verplichting (artikel 8, onder c, Wbp) dan wel ter vrijwaring van een vitaal belang van de betrokkene (artikel 8, onder d, Wbp), een inbreuk op de rechten en vrijheden van de betrokkene onwaarschijnlijk is te achten en de vrijstelling onverkort blijft gelden. Ten aanzien van de verstrekkingen op grond van artikel 8, onder d, van de wet geldt dat deze geschieden enkel in geval van een dringende medische noodzaak, ter vrijwaring van een vitaal belang van de betrokkene. Een inbreuk op de rechten en vrijheden van de betrokkene kan daarom onwaarschijnlijk worden geacht. Het gaat bij dergelijke verstrekkingen om een zaak van leven of dood.
Staatsblad 2001
250
47
Een inbreuk op de rechten en vrijheden van betrokkenen kan in zijn algemeenheid niet onwaarschijnlijk worden geacht bij verstrekkingen die noodzakelijk zijn voor de goede vervulling van een publiekrechtelijke taak van een bestuursorgaan (artikel 8, onder e, Wbp) of voor de behartiging van een gerechtvaardigd belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt (artikel 8, onder f, Wbp). Dit geldt eveneens voor verstrekkingen in strijd met de doelbinding overeenkomstig artikel 43 Wbp voor zover zij gegrond zijn op artikel 8, onder e of f, van de Wbp. Verstrekkingen op deze gronden zijn immers als minder transparant voor de betrokkene te beschouwen. In de onderscheidene artikelen in dit besluit worden daarom nadere voorzieningen getroffen ten einde te verzekeren dat een inbreuk op de rechten en vrijheden van de betrokkene onwaarschijnlijk is. Afhankelijk van de categorie van verwerking behoeft een dergelijke verstrekking er niet toe te leiden dat de vrijstelling komt te vervallen. Waar een voorziening is opgenomen gelden in de regel een tweetal voorwaarden. Allereerst komt de vrijstelling niet te vervallen indien de verstrekking beperkt blijft tot gegevens ten behoeve van het kunnen communiceren met de betrokkene alsmede diens bank- en girorekeningnummer. Voorts geldt als voorwaarde dat voorafgaand aan een dergelijke verstrekking de betrokkene in de gelegenheid moet zijn gesteld zijn recht van verzet uit te oefenen (artikelen 40 of 41 van de wet). Deze voorwaarden komen niet boven op de voorwaarden die op grond van artikel 29, tweede lid, van de Wbp ten aanzien van de vrijgestelde typeverwerkingen gelden. Zij dienen echter beschouwd te worden als een nadere invulling van die voorwaarden ten aanzien van één bepaalde verwerking. Artikel 29 van de Wbp biedt ruimte om zowel ten aanzien van een geheel van verwerkingen als ten aanzien van één bepaalde verwerking criteria te formuleren die zijn opgenomen in het tweede lid van dat artikel. De omschrijving in het tweede (soms derde) lid van de onderscheidene artikelen in dit besluit geven in algemene zin de doeleinden weer van het geheel van verwerkingen dat in de typeomschrijving wordt aangegeven. Dit laat onverlet dat ten aanzien van een bepaalde verstrekking van nauwkeurig omschreven gegevens nadere voorwaarden worden gesteld. Als die verstrekking wel verenigbaar is met de algemeen gestelde doeleinden en de daarbij gestelde eisen in acht worden genomen, behoeft de vrijstelling niet te vervallen. In geval de verstrekking op grond van artikel 8, onder e of f, van de Wbp niet aan de bovengenoemde voorwaarden voldoet (bijvoorbeeld ze betreft meer gegevens dan enkel gegevens om te kunnen communiceren met de betrokkene) dan wel er bij het onderscheidene vrijstellingsartikel geen voorziening is getroffen voor verstrekkingen op grond van artikel 8, onder e of f, van de Wbp, dient deze verstrekking te worden aangemeld. Een verantwoordelijke die bijvoorbeeld in verband met fraudebestrijding incidenteel gegevens verstrekt op grond van artikel 8, onder e van de Wbp, zal kunnen volstaan met het melden van die enkele verstrekking, hij is dan niet genoodzaakt het geheel van verwerkingen dat voor het overige wel onder de vrijstelling valt, eveneens te melden. Een dergelijke verstrekking wordt in dat geval als een afzonderlijke verwerking aangemeld, terwijl de verwerkingen die binnen de grenzen van de vrijstelling vallen, van die verplichting blijven vrijgesteld. In het geval dergelijke verstrekkingen echter een meer structureel karakter gaan krijgen geldt uiteraard wel een meldingsplicht voor het geheel van verwerkingen. De verstrekkingen noodzakelijk ter uitvoering van een overeenkomst waarbij de betrokkene partij is (artikel 8, onder b, Wbp) zijn reeds nader geconcretiseerd in verschillende vrijstellingsartikelen. Ten aanzien van dergelijke verstrekkingen zijn derhalve geen aparte voorzieningen getroffen.
Staatsblad 2001
250
48
In bepaalde gevallen kan het voorkomen dat verstrekkingen plaatsvinden voor historische, statistische of wetenschappelijke doeleinden. In dergelijke gevallen geldt op grond van artikel 9, derde lid, van de wet de verdere verwerking niet als onverenigbaar met de doeleinden waarvoor de gegevens zijn verkregen. Ook ten aanzien van deze gegevensverwerkingen waarbij de verantwoordelijke op grond van artikel 9, derde lid, van de wet de nodige voorzieningen moet hebben getroffen ten einde te verzekeren dat de verwerking uitsluitend geschiedt ten behoeve van deze specifieke doeleinden, wordt ervan uitgegaan dat een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. De betrokkene wordt met deze verwerkingen immers op geen enkele wijze geconfronteerd; de maatregelen die de verantwoordelijke dient te treffen dienen er ook op gericht te zijn dat de gegevens worden gebruikt voor het nemen van beslissingen of besluiten die tegen een bepaald persoon gericht zijn (kamerstukken II, 1997/98, 25 892, nr. 3, blz. 91–92). Daarbij zij opgemerkt dat al deze verstrekkingen met elkaar gemeen hebben dat de groep van ontvangers niet vooraf nader benoemd kan worden. Zo valt niet te voorzien in welke gevallen voor welke ontvangers betrokkene zijn ondubbelzinnige toestemming zal geven voor verstrekking van zijn gegevens. Ook dient bedacht te worden dat – wil de vrijstelling niet komen te vervallen – wel aan de overige voorschriften van het desbetreffende artikel moet worden voldaan. Zo mogen bijvoorbeeld in dergelijke gevallen geen andere gegevens worden verstrekt dan die genoemd in het derde (en soms vierde) lid van het desbetreffende artikel.
4.4 Verwijderen en bewaren van persoonsgegevens In beginsel dienen de gegevens bij de beëindiging van de desbetreffende (rechts)verhouding daaruit verwijderd te worden. De beëindiging van de (rechts)verhouding heeft evenwel niet steeds tot gevolg dat de relatie tussen de betrokkenen en de verantwoordelijke meteen geheel wordt doorgesneden. Soms blijft er met het oog op de afwikkeling van de formeel beëindigde (rechts)verhouding nog gedurende korte tijd een zekere relatie bestaan, in andere gevallen ontstaat tussen de betrokkenen een geheel nieuwe (rechts)verhouding. Zo wordt bij de opzegging van een abonnement weliswaar de rechtsverhouding tussen uitgever en abonnee verbroken, maar blijft er, zolang de oud-abonnee nog abonnementsgelden verschuldigd is, tussen hen nog een zekere verhouding bestaan. In theorie is het karakter van de relatie uitgever-abonnee veranderd in dat van de relatie crediteur-debiteur. Het is evenwel niet praktisch te verlangen dat in deze gevallen de gegevens van de oud-abonnee steeds worden verwijderd uit de abonnementsadministratie en die vervolgens op te doen nemen in een afzonderlijk debiteurenadministratie. Indien de administratie voldoet aan de vrijstellingsvoorschriften voor een debiteurenadministratie is deze vrijstelling onverkort van toepassing. Om het mogelijk te maken dat de gegevens na de formele beëindiging van de (rechts)verhouding zonder verlies van een vrijstelling nog gedurende korte tijd kunnen worden bewaard, is een voorziening getroffen. In (doorgaans) het vijfde lid is voorzien in een termijn gedurende welke de gegevens kunnen worden bewaard. In de meeste gevallen is dat twee jaar (overeenkomstig het Bgv), in een enkel geval (afhankelijk van de aard van de verwerking en het doel ervan) voor een kortere periode. In beginsel dienen de gegevens zo spoedig mogelijk te worden verwijderd. Uit het bovenstaande volgt dat de gegevens in beginsel na de beëindiging van de desbetreffende (rechts)verhouding dienen te worden verwijderd, doch in elk geval na ommekomst van de in het desbetreffende
Staatsblad 2001
250
49
artikel genoemde termijn. Hiermede zijn de regels inzake het verwijderen en het bewaren van gegevens evenwel nog niet volledig weergegeven. Zo mogen uitsluitend gegevens worden verwerkt voor zover die, gelet op de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt, toereikend, terzake dienend en niet bovenmatig zijn (artikel 11, eerste lid, Wbp). Daarvoor maakt het geen verschil of al dan niet sprake is van een vrijstelling en of de (rechts)verhouding tussen de verantwoordelijke en de betrokkenen al dan niet beëindigd is. In sommige gevallen is het toegestaan gegevens langer te bewaren dan de bovenbedoelde termijn, namelijk wanneer dit noodzakelijk is ter voldoening aan een wettelijke bewaarplicht. Dit betekent dat alleen die gegevens mogen worden bewaard waartoe de wettelijke plicht zich uitstrekt en niet langer dan de plicht vereist. Zo brengt de administratieverplichting opgenomen in artikel 2:10 BW c.q. 3:15a BW met zich mee, dat rechtspersonen en een ieder die een bedrijf of zelfstandig een beroep uitoefent, een administratie moeten voeren waaruit te allen tijde hun rechten en verplichtingen kunnen worden gekend, en de inhoud daarvan zeven jaar moeten bewaren. Deze administraties kunnen verwerkingen van persoonsgegevens omvatten. Daarnaast voorziet de Archiefwet in een bewaarplicht voor archiefbescheiden van de overheid. In de onderscheidene vrijstellingsartikelen is standaard een verwijzing naar dergelijke wettelijke bewaartermijnen opgenomen.
4.5 Uitvoerbaarheid, handhaafbaarheid en bedrijfseffecten Het Vrijstellingsbesluit Wbp sluit nauw aan bij het huidige Bgv. Gegevensverwerkingen die onder het huidige Bgv zijn vrijgesteld zijn ook weer opgenomen in dit besluit. Op dit punt is dus in sterke mate sprake van continuïteit. Met het oog op het verminderen van de administratieve lasten zijn tevens andere verwerkingen die voldoen aan het criterium dat zij «geen inbreuk maken op de rechten en vrijheden van betrokkenen» onder de vrijstellingsregeling gebracht. Het merendeel van deze toevoegingen vindt zijn oorsprong in verzoeken uit de praktijk om opname in het besluit. Grosso modo kan daarmee worden gesteld dat het Vrijstellingsbesluit het leeuwendeel van gegevensverwerkingen die in de praktijk voorkomen, vrijstelt van de aanmeldingsplicht. In opdracht van het Ministerie van Justitie verrichten thans de onderzoeksbureaus KPMG/BEA en EIM een onderzoek naar de administratieve lasten van onder andere de Wet persoonsregistraties en de daaronder resulterende regelgeving (waaronder het Bgv). Dit onderzoek geldt als een zogenaamde nulmeting ten opzichte van een soortgelijk onderzoek dat na de inwerkingtreding van de Wbp zal plaatsvinden naar de administratieve lasten van de Wbp en de daaronder resulterende regelgeving (waaronder het Vrijstellingsbesluit). Hoewel het in de verwachting ligt dat het Vrijstellingsbesluit zal leiden tot een vermindering van de administratieve lasten wordt er in verband met het lopende onderzoek van afgezien op deze plaats een (kwantitatief) overzicht te geven van de bedrijfseffecten die te verwachten zijn naar aanleiding van dit besluit. 5. Artikelsgewijze toelichting Hoofdstuk 1 inleidende bepalingen
Artikel 2 De vrijstellingsregeling is alleen bedoeld voor verwerkingen waarbij sprake is van slechts één verantwoordelijke. In dat geval zijn de verantwoordelijkheden van partijen duidelijk voor de betrokkene. Bij verwerkingen waarbij sprake is van gedeelde of gezamenlijke verantwoorde-
Staatsblad 2001
250
50
lijkheid is het risico dat de verantwoordelijkheden hem minder duidelijk zijn groter en bestaat daarmee een grotere kans op een inbreuk op zijn rechten en vrijheden. Dergerlijke verwerkingen vallen daarom niet onder de regeling. Hoofdstuk 2 Categorieën van verwerkingen
Paragraaf 1 Lidmaatschap en begunstiging Artikel 3 In het eerste lid wordt verwezen naar de rechtsverhouding tussen verenigingen en personen die lid of begunstiger (ook wel: donateur) van die vereniging zijn. Voorts wordt verwezen naar leden van publiekrechtelijke beroepsorganisaties en de begunstigingsverhouding van stichtingen met hun begunstigers. Als voorbeeld van een publiekrechtelijke beroepsorganisatie die onder het bereik van dit artikel kan vallen is de beroepsorganisatie van de advocaten, de notarissen of de accountants. In het tweede lid wordt omschreven wat doeleinden van de verwerking zijn. In het vereiste onder a wordt dit beperkt tot activiteiten waarmee de betrokkenen normaal gesproken bekend kunnen zijn. Dat is het geval bij activiteiten die normaal zijn voor een vereniging, publiekrechtelijke beroepsorganisatie, of stichting met de gegeven doelstelling en bij andere dan de gebruikelijke activiteiten, mits die door ledenvergadering zijn goedgekeurd. Uiteraard dient het gebruik van de gegevens met het doel van de verwerking in overeenstemming te zijn. Voor alle duidelijkheid wordt er nogmaals op gewezen dat met de vrijstellingsregeling slechts grenzen worden getrokken. De verwerkingen die binnen deze grenzen blijven zijn vrijgesteld van de verplichting van artikel 27, maar niet van de verplichting de overige wettelijke regels in acht te nemen. De verwerking mag voorts ertoe dienen de leden te kunnen informeren over relevante ontwikkelingen binnen en buiten de vereniging en voor activiteiten die verband houden met het beheer van de vereniging, beroepsorganisatie of stichting. Daar onder valt ook het verstrekken van ledenlijsten aan de leden voor zover dit gebruikelijk is binnen de vereniging en hiertoe is besloten in de ledenvergadering. In het derde lid wordt aangegeven welke soorten van gegevens kunnen worden verwerkt. Met de opsomming onder d, wordt gedoeld op de gegevens die betrekking hebben op de inhoud van de lidmaatschaps- of begunstigingsverhouding. Gegevens betreffende het lidmaatschap en de aard van het lidmaatschap zijn bijvoorbeeld gegevens als de datum waarop het lidmaatschap een aanvang nam en andere gegevens betreffende de duur van het lidmaatschap, jubilea, of men gewoon lid of erelid is, en dergelijke. Gegevens betreffende de functie binnen en de deelname aan de activiteiten van de vereniging of stichting zijn onder meer de functie waarin de betrokkene deel uitmaakt van het bestuur, het deel uitmaken van of leiding geven aan een bepaald onderdeel (sportteams, werkgroepen, en dergelijke) van de vereniging, de beschikbaarheid voor de activiteiten van de vereniging (verzorgen van verenigingsblad, evenementen, studiedagen, enzovoort). Ten behoeve van de activiteiten die tot het normale verenigingsgebeuren horen mogen de gegevens worden verstrekt aan de leden of de begunstigers dan wel hun ouders, verzorgers of voogden. Indien dit noodzakelijk is om een wettelijke verplichting van de vereniging of stichting na te komen mogen de gegevens eveneens aan anderen worden verstrekt (bijvoorbeeld de belastingdienst). De betrokkene kan ook zijn (ondubbelzinnige) toestemming verlenen aan het verstrekken van zijn
Staatsblad 2001
250
51
gegevens aan anderen dan genoemd in het vierde lid. Door zijn toestemming daaraan te verlenen is de betrokkene op de hoogte van dergelijke verstrekkingen en is een inbreuk op zijn rechten en vrijheden onwaarschijnlijk te achten. Dit geldt niet voor verstrekkingen aan anderen op grond van bijvoorbeeld een gerechtvaardigd belang van de stichting of van een derde (artikel 8 onder f van de wet). Daarbij kan worden gedacht aan het verstrekken van gegevens ten behoeve van direct marketing. In dat geval heeft de betrokkene een (absoluut) recht van verzet op grond van artikel 41 van de wet. Slechts indien hij van dit recht geen gebruik heeft gemaakt nadat hij daartoe in de gelegenheid is gesteld, kunnen de gegevens worden verstrekt zonder dat de vrijstelling vervalt.
Artikel 4 Voor de verwerking door kerkgenootschappen of andere genootschappen op geestelijke grondslag van gegevens van daartoe behorende personen, de gezinsleden van deze personen of de begunstigers, is een afzonderlijke vrijstellingsregeling getroffen. Aanleiding daarvoor is in de eerste plaats de bijzondere positie die deze genootschappen in het maatschappelijk leven hebben, mede tegen de achtergrond van artikel 6 van de Grondwet, en de bijzondere rol die zij vervullen. Hierbij is voorts van belang dat de onderliggende (rechts)verhouding van deze genootschappen met hun leden en begunstigers van zeer specifieke aard is. De in dit artikel vervatte regeling heeft ook betrekking op de verwerking door de zelfstandige onderdelen van kerkgenootschappen. De term «daartoe behorende personen» in het eerste lid is ontleend aan artikel 17, eerste lid, onder a, van de wet. De lidmaatschapsverhouding tussen kerkgenootschap en leden wordt in belangrijke mate bepaald door het statuut van het betrokken genootschap, als bedoeld in artikel 2, Boek 2, van het Burgerlijk Wetboek. Deze vrijstellingsregeling bevat dan ook in het tweede lid een verwijzing naar het statuut. De uitdrukking «leden» dient hier ook steeds te worden begrepen tegen de achtergrond van de aard van de relatie tussen het betrokken genootschap en de betrokkenen. Afhankelijk van hetgeen in die relatie gebruikelijk is, wordt met «leden» derhalve ook gedoeld op doopleden, geboorteleden en dergelijke. In artikel 17, tweede lid, van de wet worden nadere voorwaarden gesteld aan de verwerking van gegevens van de gezinsleden van de tot het genootschap behorende personen. Het verbod om de gegevens van hun gezinsleden te verwerken is alleen niet van toepassing, indien het genootschap uit hoofde van haar doelstelling regelmatige contacten onderhoudt en die gezinsleden daartegen geen schriftelijke bezwaren hebben gemaakt. Alleen in die gevallen waarin het verbod op de verwerking ingevolge artikel 17 niet van toepassing is, kan de verwerking zijn vrijgesteld op grond van dit besluit. In het vierde lid is geregeld wie de gegevens mogen ontvangen zonder dat de vrijstelling vervalt. Aan verstrekking van de gegevens tussen de betrokkenen onderling behoeft geen bezwaar te bestaan. De verstrekking van gegevens van het ene gezinslid aan een ander gezinslid waarmee regelmatig contact wordt onderhouden staat niet aan de vrijstelling in de weg. Wel zal terzake van een noodzaak moeten blijken. Artikel 17, derde lid, van de wet bepaald terzake dat geen persoonsgegevens aan derden worden verstrekt zonder toestemming van de betrokkene. Derden zijn in het kader van artikel 4 van dit besluit degenen die niet tot het genootschap behoren, evenmin een gezinslid zijn met wie regelmatig contact wordt onderhouden dan wel een begunstiger zijn van het genootschap.
Staatsblad 2001
250
52
Het vijfde lid bevat een regeling voor de verwijdering van gegevens uit de onderhavige ledenadministraties. Ook hier is de hoofdregel dat de gegevens in beginsel bij de beëindiging van de relatie tussen het genootschap en de betrokkenen echter in elk geval twee jaar na die beëindiging, moeten worden verwijderd. Het kan evenwel voorkomen dat uit het statuut van het betrokken genootschap en de lidmaatschapsverhouding tussen genootschap en de betrokkenen volgt dat het lidmaatschap niet kan worden opgezegd. In dat geval zal de in het vijfde lid vervatte voorwaarde (beëindiging lidmaatschap) niet kunnen worden vervuld en mogen deze gegevens langer worden bewaard. Zolang deze gegevens worden verwerkt in overeenstemming met artikel 17 van de wet, zal van verwijdering van die gegevens dan ook geen sprake behoeven te zijn. Overigens betekent het verwijderen van de gegevens niet dat deze gegevens ook vernietigd moeten worden. Voldoende is dat de gegevens buiten het bereik van de wettelijke regeling worden gebracht. Voor zover dat noodzakelijk is ter voldoening aan een wettelijke bewaarplicht kunnen de gegevens langer worden bewaard (vijfde lid).
Paragraaf 2 Arbeid en pensioen Artikel 5 In het eerste lid wordt verwezen naar de rechtsverhouding tussen de verantwoordelijke en betrokkene. Het gaat om de situatie dat betrokkene met de verantwoordelijke in contact treedt teneinde in dienst van hem of werkzaam te zijn voor hem. Het gaat om personen die in dienstbetrekking bij de verantwoordelijke werkzaam willen zijn als ook om personen die op andere wijze werkzaam willen zijn voor de verantwoordelijke zoals stagiaires en andere tijdelijke arbeidskrachten. Dat in het kader van een dergelijke sollicitatieprocedure gegevens worden verwerkt is bekend bij betrokkene en heeft een standaard karakter. Deze gegevensverwerking komt derhalve in aanmerking voor een vrijstelling wanneer aan de voorwaarden wordt voldaan van dit artikel. In het tweede lid worden de doeleinden van de verwerking vermeld. Samengevat zijn de doeleinden van de verwerking de sollicitant te beoordelen op zijn kwaliteiten voor de opengevallen functie, de aan de sollicitatie verbonden kosten te vergoeden en de sollicitant toegang te verlenen tot het gebouw van de verantwoordelijke. In het derde lid worden de soorten gegevens vermeld die in het kader van een sollicitatieprocedure kunnen worden verwerkt. Daaronder kunnen ook begrepen zijn bijzondere gegevens als bedoeld in hoofdstuk 2, paragraaf 2, van de wet. Deze gegevens zullen door betrokkene zelf worden verstrekt in het kader van een te voeren voorkeursbeleid met betrekking tot minderheden of de reintegratie van (gedeeltelijk) arbeidsongeschiktheid. Ten einde te voorkomen dat een dergelijke verwerking een inbreuk kan opleveren op de rechten en vrijheden van de betrokkene bepaalt onderdeel i uitdrukkelijk dat de desbetreffende gegevens door hem zijn verstrekt of bij hem bekend zijn. In het vijfde lid is tot uitdrukking gebracht dat gegevens van de sollicitant kunnen worden verstrekt aan een keurende arts, psycholoog of een instantie die is belast met de uitvoering van een assesment. Daarbij dient bedacht te worden dat dit niet geldt voor elke functie. Voor zover het een medische keuring betreft dient rekening te worden gehouden met de Wet op de medische keuringen. Op grond van deze wet mogen sollicitanten slechts gekeurd worden voor zover dat noodzakelijk is voor een bepaalde functie. De keuring kan slechts betrekking hebben op die
Staatsblad 2001
250
53
aspecten van de gezondheid van betrokkene die van belang zijn voor de te vervullen functie. In het zesde lid worden de bewaartermijnen van de gegevens van de sollicitant vermeld. In het algemeen geldt dat de gegevens van de sollicitant moeten worden verwijderd zodra de sollicitatieprocedure is beëindigd. De professionele standaard gebruikelijk bij personeelsfunctionarissen is een termijn van vier weken na beëindiging van de sollicitatieprocedure (artikel 7, derde lid, van de Sollicitatiecode van de Nederlandse Vereniging voor Personeelsbeleid). Deze standaard is in dit artikel overgenomen. Uiteraard kunnen met toestemming van betrokkene de gegevens langer worden bewaard. Een termijn van een jaar is in dat verband redelijk.
Artikel 6 Artikel 6 voorziet in een vrijstelling ten behoeve van het verwerken van persoonsgegevens met het oog op de terbeschikkingstelling van uitzendkrachten door uitzendondernemingen. Het heeft dus slechts betrekking op het proces van uitzenden. Voor zover de verwerkingen betrekking hebben op de behandeling van personeelszaken ten aanzien van de uitzendkrachten, zoals het uitbetalen van salarisaanspraken aan de betrokkene of het uitvoeren van een voor de betrokkene geldende arbeidsvoorwaarde, geldt artikel 7 van dit besluit (personeelsadministraties). Dit artikel ziet eveneens op de gegevensverwerking voor zover noodzakelijk ten behoeve van de facturering door de uitzendonderneming aan de opdrachtgever (artikel 7, tweede lid, onder m). Ingevolge artikel 43 van dit besluit behoeft een combinatie van beide vormen van verwerken niet aan een vrijstelling in de weg te staan. Onder het eerste lid vallen zowel de gegevensverwerkingen met betrekking tot de persoonsgegevens van aspirant-uitzendkrachten (vergl. artikel 3 van de CAO voor Uitzendkrachten 1999–2003) als die van de uitzendkrachten die uitgezonden worden en die reeds uitgezonden zijn naar een of meerdere opdrachtgevers. Het gaat derhalve om personen die beschikbaar zijn voor de uitzending naar een opdrachtgever, daargelaten of deze ook in feite heeft plaatsgehad. Om die reden wordt onder «betrokkene» in dit artikel zowel de uitzendkracht als de aspirantuitzendkracht gedoeld. De vrijstelling is niet bedoeld voor situaties waarbij sprake is van samenwerken in CWI-verband, aangezien deze situaties in de regel te complex zijn. Onder het derde lid, onder i, wordt gedoeld op gegevens betreffende vorige dienstbetrekkingen buiten de terbeschikkingstellingen door de uitzendonderneming om, dan wel werk dat de betrokkene buiten dienstbetrekking heeft gedaan. Onder het derde lid, onder j, worden gegevens bedoeld die voor een opdrachtgever mede belang kunnen zijn voor de terbeschikkingstelling van de betrokkene, bijvoorbeeld of er een subsidieregeling geldt voor terbeschikkingstelling van de betrokkene. Overeenkomstig artikel 5, derde lid, onder i, van dit besluit is ook hier bepaald dat het moet gaan om gegevens die door de betrokkene zijn verstrekt of bij hem bekend zijn. Ingevolge het zesde lid is de uitzendonderneming verplicht de persoonsgegevens van de betrokkene te verwijderen twee jaren na het tijdstip dat de betrokkene zijn laatste terbeschikkingstelling heeft beëindigd dan wel – indien hij niet ter beschikking is gesteld – twee jaren na het moment van inschrijving bij de uitzendonderneming. Indien na de inschrijving geen terbeschikkingstelling volgt leidt dat er dus niet toe dat de gegevens van de betrokkene tot in de lengte van dagen kunnen
Staatsblad 2001
250
54
worden bewaard. Eveneens worden de gegevens verwijderd op verzoek van de betrokkene. Bedacht moet hier worden dat het langer bewaren van bepaalde gegevens noodzakelijk kan zijn ten behoeve van het vervullen van arbeidsrechtelijke verplichtingen door de uitzendonderneming. Dergelijke verwerkingen behoeven de vrijstelling niet aan te tasten indien en voor zover zij vallen binnen het bereik van artikel 6. Het kan dan bijvoorbeeld gaan om die gevallen dat de uitzendonderneming voor het voortduren van de opdracht gedurende een bepaalde termijn tegenover de uitzendkracht instaat en ten aanzien van uitzendkrachten in fasen 3 en 4 (vergl. CAO voor Uitzendkrachten 1999–2003, de zgn. langdurige uitzendkrachten).
Artikel 7 en 8 De regeling in artikel 7 heeft uitsluitend betrekking op de verwerking van gegevens van personeelsleden in dienst van of werkzaam voor de verantwoordelijke. Voor de verwerking van gegevens ten behoeve van salarisaanspraken is een afzonderlijke regeling getroffen in artikel 8. De regelingen in de artikelen 7 en 8 lopen voor een groot deel parallel, maar verschillen toch op enige onderdelen in van elkaar. Zo is de bepaling inzake het ontvangen van gegevens aan de functie van de betrokken administratie aangepast. Voor een geïntegreerde personeels- en salarisadministratie bevat artikel 43, tweede lid, van dit besluit een voorziening. In het eerste lid van beide artikelen wordt gesproken van de verwerking van gegevens van «personen in dienst van of werkzaam ten behoeve van de verantwoordelijke» omdat bij deze verwerkingen niet uitsluitend gegevens worden verwerkt over personen die ingevolge een arbeidsovereenkomst of een aanstelling als ambtenaar in dienst van de verantwoordelijke zijn. Zo moeten ook gegevens kunnen worden verwerkt van personen die niet in dienst van de verantwoordelijke zijn maar die wel feitelijk voor hem werkzaam zijn, zoals uitzendkrachten, personen die vervangende dienstplicht vervullen, stagiaires en dergelijke. In het tweede lid zijn de gebruikelijke doeleinden neergelegd. Artikel 7, tweede lid, onder p, en artikel 8, tweede lid, onder j, waarborgen, dat een doeleinde van de verwerking kan zijn «de uitvoering of toepassing van een andere wet dan de Wbp». Deze – ten opzichte van de artikelen 5 en 6 van het Bgv verruimde formulering – ziet bijvoorbeeld op de situatie dat in het kader van een ontslagprocedure of ontslagaanvraag aan de kantonrechter of de Regionaal Directeur Arbeidsbureau gegevens worden verstrekt van andere werknemers dan degene waarop de procedure of aanvraag betrekking heeft. Een dergelijke verstrekking geldt als voortvloeiend uit het doel van een personeelsadministratie. Hetzelfde kan worden opgemerkt ten aanzien van de verwerkingen die samenhangen met de uitvoering van de Wet SAMEN. Het in het tweede lid van artikel 7, onder o, en artikel 8, onder f, gebruikte begrip «de overgang van de betrokkene naar of diens tijdelijke tewerkstelling bij een ander onderdeel van de groep, bedoeld in artikel 2:24b van het Burgerlijk Wetboek waaraan de verantwoordelijke is verbonden» is ontleend aan artikel 22, vierde lid, onder b, van de wet. In het derde lid, onder c, is steeds voorzien in de mogelijkheid dat de nationaliteit en de geboorteplaats van de betrokkenen worden verwerkt. In de praktijk blijkt dat de verwerking van deze gegevens algemeen gebruikelijk is omdat die noodzakelijk zijn voor de vaststelling van de identiteit van de betrokkene. Het kan ook voorkomen dat met het oog op de arbeidsomstandigheden gegevens over de betrokkene moeten worden vastgelegd in een personeelsadministratie (artikel 7, derde lid, onder h). Hierbij kan het bijvoorbeeld gaan om gegevens van medische aard die
Staatsblad 2001
250
55
noodzakelijk zijn voor het ter beschikking stellen van aangepast meubilair of speciaal gereedschap. De in het derde lid bedoelde verwerking van gegevens over de gezinsleden en de voormalige gezinsleden van de betrokkene kan van belang zijn met het oog op de naleving door de werkgever van de overeengekomen secundaire arbeidsvoorwaarden. Te denken valt aan bijdragen in de studiekosten van inwonende of uitwonende kinderen van de betrokkene, de garantstelling bij hypothecaire leningen, de tegemoetkoming in de ziektekostenverzekering, en dergelijke. De opneming van bepaalde gegevens inzake de gezinsleden kan overigens al noodzakelijk zijn teneinde hen bij ongevallen of ziekte van de betrokkene te kunnen waarschuwen. Indien uit de overeenkomst tussen de betrokkene en de werkgever voortvloeit dat aan de betrokkene een auto ter beschikking wordt gesteld, ook wanneer dat gebeurt door middel van een lease-overeenkomst met een derde, dienen ook hieromtrent gegevens te kunnen worden verwerkt. Het komt vaak voor dat in de personeelsadministratie ook gegevens worden vastgelegd die verband houden met de personeelsbeoordeling of de loopbaanbegeleiding zij het dat inhoudelijke of waarderende gegevens doorgaans niet integraal maar slechts summier worden vastgelegd. De verwerking van dergelijk gegevens in de vrij te stellen personeelsadministratie is beperkt tot de gegevens die reeds bij de betrokkene bekend zijn (derde lid, onder j). Voor zover de administratie inhoudelijke of waarderende gegevens bevat die niet bij de betrokkene bekend zijn, bijvoorbeeld loopbaanuitspraken, is de vrijstelling niet van toepassing omdat dan bezwaarlijk kan worden beweerd dat bij een dergelijke verwerking een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. De regeling in het derde lid, onder b, van de artikelen 7 en 8 sluit niet uit, en behoeft dat ook niet te doen, dat een eigen administratienummer en een ander nummer waarvan de opneming wettelijk verplicht is (derde lid, onder k respectievelijk derde lid, onder h), zoals het Sofi-nummer, naast elkaar in de administratie voorkomen. Artikel 7, vierde lid, onder c, van dit besluit bevat een regeling met betrekking tot de verkiezingen van ondernemingsraden. Ingevolge artikel 9 van de Wet op de Ondernemingsraden dient een werknemersorganisatie (in artikel 20 van de Wbp aangeduid als «vakbond of vakcentrale waarvan die bond een onderdeel vormt») die aan bepaalde voorwaarden voldoet, in de gelegenheid te worden gesteld kandidaten te stellen voor de verkiezing van leden van de ondernemingsraad. Over de samenstelling van de kandidatenlijsten dient de vakbond of vakcentrale waarvan die bond een onderdeel vormt overleg te plegen met haar leden in de betrokken onderneming. Willen zij van het kandidaatstellingsrecht daadwerkelijk gebruik kunnen maken, dan zal zij haar leden in de betrokken onderneming moeten kunnen identificeren. Dit kan in sommige bedrijfstakken een probleem opleveren in verband met bij voorbeeld het frequent wisselen van het dienstverband en onderbreking van de arbeid door perioden van tijdelijke werkloosheid in de desbetreffende bedrijfstak. Met het oog hierop is in het vierde lid, onder c geregeld, dat de werkgever de gegevens, bedoeld in het derde lid, onder a, kan verstrekken aan een vakbond of vakcentrale waarvan die bond een onderdeel vormt. Het gaat hierbij uitsluitend om de gegevens ten behoeve van de identificatie van en communicatie met de betrokkene door een vakbond of vakcentrale waarvan die bond een onderdeel vormt met het oog op het stellen van kandidaten voor de verkiezing van leden van de ondernemingsraad. Het gaat uitdrukkelijk niet om de verstrekking van gegevens betreffende het lidmaatschap van een vakbond door de werkgever. De verwerking van gegevens betreffende iemands lidmaatschap van een vakbond of
Staatsblad 2001
250
56
vakvereniging is een bijzondere verwerking die door artikel 20 van de wet wordt beheerst. Aan de verwerking van die gegevens door de werkgever staat artikel 20 van de wet immers in de weg.
Artikel 9 Het komt wel voor dat werkgevers zich er jegens hun werknemers toe verplichten om hun bij geheel of gedeeltelijk ontslag gedurende een bepaalde periode een uitkering te verstrekken, ter aanvulling van de eventueel toegekende werkloosheidsuitkering. De hiervan te voeren administratie verschilt niet of nauwelijks van de salarisadministratie, zodat ook hiervoor een vrijstellingsmogelijkheid is voorzien.
Artikel 10 In dit artikel wordt verwezen naar de rechtsverhouding van pensioenen spaarfondsen en verzekeringsmaatschappijen met degenen die jegens hen aanspraak maken op pensioen of uitkering in verband met vervroegde uittreding. De term «vervroegde uitkering» verwijst daarbij naar artikel 1, onder l, van het Reglement flexibel pensioen en uittreden (fpu) ter zake van basis-uitkering en aanvullende uitkering van de Stichting Pensioenfonds ABP. Onder pensioen is tevens begrepen het flexibel pensioen, bedoeld in artikel 1.1, onder l, van het Pensioenreglement van de Stichting Pensioenfonds ABP. In veel gevallen wordt de hier bedoelde rechtsverhouding tot stand gebracht door de werkgever van de betrokkene, door wiens tussenkomst ook de premies worden geïnd en afgedragen. Dat doet evenwel niet af aan het feit dat er sprake is van een rechtsverhouding tussen de betrokkene en degene jegens wie de aanspraak op een pensioen of uitkering in verband met vervroegde uittreding bestaat. Het is in deze sector gebruikelijk in het administratienummer een aanduiding te verwerken omtrent de datum waarop de gegevens in de administratie zijn opgenomen. In de administratie moeten ook gegevens kunnen worden vastgelegd over andere personen dan de betrokkene. Daarbij gaat het om gegevens over de eventuele begunstigden van een weduwnaars- of wezenpensioen en over de relatie tussen de betrokkene en die begunstigden. Op grond van de wet is daarvoor voorwaarde dat die gegevens noodzakelijk zijn voor de vaststelling van de hoogte van de aanspraken.
Paragraaf 3 Goederen en diensten Artikel 11 In dit artikel wordt verwezen naar de verhouding tussen de uitgevers van kranten, tijdschriften en andere publicaties en hun abonnees. Met de uitdrukking «abonnees» worden niet alleen de betalende lezers bedoeld, maar ook de niet-betalende lezers die de desbetreffende publicaties gratis toegezonden krijgen, bijvoorbeeld omdat zij een bepaalde opleiding hebben genoten, een bepaald beroep uitoefenen of in een bepaalde sector werkzaam zijn. Met de uitdrukking »publicaties» worden niet alleen de schriftelijke maar ook de elektronische publicaties van de uitgever bedoeld, soms wel aangeduid met de term «E-zines», waar de betrokkene zich op heeft geabonneerd. Met de uitdrukking «andere informatie ten behoeve van de abonnees» in het tweede lid, onder a, wordt gedoeld op gratis informatie, bijvoorbeeld in de vorm van bijsluiters, die ten behoeve van de eigen uitgeverij of van derden onder de lezers wordt verspreid, zonder het adressenbestand aan derden ter beschikking te stellen. Omdat geen sprake is van
Staatsblad 2001
250
57
verstrekking van gegevens van abonnees aan derden is het niet nodig om de informatievoorziening door of door tussenkomst van de verantwoordelijke te beperken tot informatie die verband houdt met de aard van het betrokken abonnement. De in het derde lid onder c bedoelde gegevens zijn onder meer van belang om te kunnen vaststellen of de hierboven bedoelde niet-betalende lezers (nog steeds) in aanmerking komen voor de gratis toezending van bepaalde publicaties. Deze gegevens zullen in de regel door de betrokkene zelf worden verstrekt bij zijn verzoek voor gratis toezending van de betrokken publicatie in aanmerking te komen. Het kan evenwel ook voorkomen dat de hier bedoelde gegevens van derden worden verkregen, zoals bijvoorbeeld van de vereniging ten behoeve waarvan de publicatie wordt verzorgd. Daartegen behoeft in het kader van de onderhavige regeling geen bezwaar te bestaan, mits deze gegevens redelijkerwijs van belang zijn met het oog op de aard van de publicatie. Uitgesloten van de vrijstelling zijn de gevoelige gegevens als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet. Dit voorschrift komt overeen met artikel 4, tweede lid, onder c, van het Bgv. Onder omstandigheden kan het echter zo zijn dat een abonnement uit zijn aard al als een gevoelig gegeven kan worden aangemerkt, bijvoorbeeld in het geval van een abonnement op een politiek tijdschrift. Uiteraard staat hier het derde lid, onder c, niet aan in de weg.
Artikel 12 In dit artikel wordt voorzien in een vrijstelling voor de verwerking van persoonsgegevens van debiteuren en crediteuren. In deze toelichting wordt voor deze verwerkingen de in het algemeen taalgebruik gehanteerde term administraties gebruikt. Daarbij gaat het om eenvoudige financiële administraties, zoals boekhoudingen en soortgelijke administraties van debiteuren en crediteuren van de verantwoordelijke. Zoals eerder in deze toelichting is aangegeven, is de vrijstelling bedoeld voor verwerkingen van het meer eenvoudige type. Voor de in dit artikel beschreven verwerking betekent dat, dat de grote en complexe financiële administraties zich, naar hun aard, niet lenen voor de vrijstelling. Bij de financiële administraties doet zich evenwel het probleem voor dat onder de beschrijving van een eenvoudige administratie ook de evenbedoelde grote en complexe administraties kunnen worden gebracht, mits men die maar op een voldoende hoog abstractieniveau beziet. Met het oog hierop bepaalt het tweede lid dat de in dit artikel geboden vrijstelling niet van toepassing is op bepaalde financiële administraties waarvan de omvang en het bijzondere karakter buiten twijfel staan. Daarbij gaat het in de eerste plaats (tweede lid, onder a) om financiële administraties van instellingen die gespecialiseerd zijn in financiële dienstverlening, zoals banken, verzekeringsmaatschappijen, en dergelijke. Ook in de sfeer van de overheid (waarvoor het begrip «bestuursorgaan» wordt gebruikt in de betekenis van artikel 1:1, eerste lid, van de Algemene wet bestuursrecht) bevinden zich grote en complexe financiële administraties waarvoor deze vrijstellingsregeling niet bedoeld is. Dat zijn ingevolge het tweede lid, onder b, de uitkeringsadministraties van sociale diensten en dergelijke, de administraties die worden gehouden ten behoeve van de inning van premies ingevolge de sociale zekerheidswetgeving, de financiële administraties inzake het betalen van subsidies en de financiële administraties van de fiscus. Uit het bepaalde aan het slot van het tweede lid, onder b, volgt eveneens dat de bij de overheid veel voorkomende verwerkingen met het oog op het heffen of invorderen van leges of rechten welke worden geheven bij wijze van tegenprestatie voor een bepaalde verleende dienst wel onder de vrijstelling vallen. Daarbij gaat het bijvoorbeeld om de leges
Staatsblad 2001
250
58
die betaald moeten worden indien een bouwvergunning wordt aangevraagd, of het zogenaamde precario-recht. Uiteraard kunnen de in het tweede lid bedoelde organisaties en instellingen ook beschikken over meer eenvoudige administraties die niet speciaal met het oog op financiële dienstverlening, het verstrekken van uitkeringen of het innen van belastingen of premies zijn aangelegd, maar veeleer met het oog op het interne beheer. Er is geen aanleiding om dergelijke eenvoudige administraties niet van de vrijstelling te laten profiteren. Daarom wordt in het tweede lid ook gesproken van verwerkingen «met het oog op» financiële dienstverlening dan wel het doen van uitkeringen of het ontvangen van belasting of premies. Ten opzichte van artikel 9 van het Besluit genormeerde vrijstelling zijn twee wijzingen aangebracht. In de eerste plaats is de uitzondering dat tussenpersonen geen gebruik kunnen maken van de vrijstelling komen te vervallen. De verwerkingen van gegevens door tussenpersonen van hun verzekerden kunnen zijn vrijgsteld wanneer deze voldoen aan een van de in dit besluit genoemde type-omschrijvingen. In de praktijk is gebleken dat de verwerkingen van gegevens van verzekerden door tussenpersonen vaak eenvoudig van aard zijn. De tweede wijziging betreft een toevoeging van een doeleinde in het derde lid, onder d, en soorten van gegevens in het vierde lid, onder d: het onderhouden van contacten door de verantwoordelijke met de debiteuren en crediteuren en de verwerking van gegevens in dat verband. Het is alom geaccepteerd dat de verantwoordelijke met zijn debiteur of crediteur contacten onderhoudt en hem informeert over zijn zaak. Een zekere mate van marketing door de verantwoordelijke is geoorloofd zonder dat daardoor de vrijstelling behoeft te komen te vervallen. Onder dit voorschrift valt niet het verwerken van gegevens over betaalgedrag ten behoeve van commerciële doeleinden. Van dergelijke verwerkingen kan immers niet beweerd worden dat een inbreuk op de rechten en vrijheden van de betrokkene onwaarschijnlijk is. Het moet uitdrukkelijk gaan om het onderhouden van contacten door de verantwoordelijke met zijn debiteuren of crediteuren. Deze wijziging is ook toegepast in artikel 13 van dit besluit. Het vijfde lid, onder c, ziet uitdrukkelijk niet op de situatie dat de verantwoordelijke de NAW-gegevens van verzekerden zodanig selecteert dat er zgn. zwarte lijsten ontstaan van verzekerden met betalingsproblemen en deze namen en adressen vervolgens gaat verstrekken. Een dergelijke selectie van NAW-gegevens leidt tot onverenigbaar gebruik en is in strijd met artikel 9, eerste lid, van de wet.
Artikel 13 De regeling in dit artikel is bedoeld voor verwerkingen van gegevens over personen met wie de verantwoordelijke regelmatig contacten onderhoudt betreffende de levering of ontvangst van goederen dan wel het verrichten of ontvangen van diensten. Hierbij kan het gaan om goederen en diensten van uiteenlopende aard. Binnen het bereik van de in het eerste lid gegeven omschrijving vallen bijvoorbeeld de verwerkingen van winkeliers met gegevens over hun vaste klanten, die van bibliotheken met gegevens over hun lezers en die van nutsbedrijven met gegevens over hun afnemers. Het artikel ziet eveneens op de verwerking van gegevens van personen die aan de verantwoordelijke in een soortgelijke relatie staan als afnemers of leveranciers. Uit de omschrijving volgt dat het moet gaan om reeds bestaande relaties. Het kan dan ook personen betreffen die zich voor bepaalde informatie over produkten of diensten tot
Staatsblad 2001
250
59
de verantwoordelijke hebben gewend. Van een soortgelijke relatie kan ook sprake zijn bij deelnemers aan sportieve of sociaal-culturele activiteiten. De in dit artikel bedoelde verwerking vertoont grote gelijkenis met die van artikel 12. Het verschil tussen beide artikelen is dat bij de verwerkingen van artikel 12 het accent wordt gelegd op de aanwezigheid van een financiële component. De verwerking betreft uitsluitend gegevens van afnemers of leveranciers van de verantwoordelijke of personen die tot hem in een soortgelijke relatie staan. Hieruit volgt dat de verwerking, wil die voor de vrijstelling in aanmerking komen, niet het oog kan hebben op het verzamelen en verstrekken van gedetailleerde informatie inzake de ontvangen of geleverde goederen of diensten indien voor de in de het tweede lid genoemde doeleinden kan worden volstaan met meer globale informatie. Dit volgt niet zozeer uit het besluit zelf, maar uit de wet (artikel 11, eerste lid, van de wet). Een wijziging ten opzichte van artikel 10 van het Bgv betreft de mogelijkheid gegevens omtrent iemands gezondheid in een klantenadministratie op te nemen indien dit noodzakelijk is ter uitvoering van een dienstverleningsovereenkomst, zonder dat de vrijstelling vervalt (derde lid, onder f). Het betrfet hier een bijzondere vorm van dienstverlening met het oog waarop het, gezien de aard van de dienstverlening, noodzakelijk is om dergelijke gegevens te verwerken. Gedacht kan worden aan de medische gegevens die bijvoorbeeld door schoonheidsspecialisten, voetverzorgers, opticiën enz. worden verwerkt ten einde hun diensten te kunnen verlenen. Deze gegevens worden door de betrokkene zelf aangeleverd, althans hij geeft voor de verwerking ervan zijn uitdrukkelijke toestemming, en maken onderdeel uit van de overeenkomst die hij heeft met de desbetreffende dienstverlener. De verwerking is daarmee duidelijk kenbaar voor hem; een inbreuk op zijn rechten en vrijheden is onwaarschijnlijk te achten. Daar staat tegenover dat het aanmelden van klantenadministraties een aanmerkelijke administratiebelasting is voor deze dienstverleners. Met betrekking tot het tweede lid, onder e alsmede het derde lid, onder e, geldt overeenkomstig artikel 12 ook hier, dat het uitdrukkelijk moet gaan om het onderhouden van contacten door de verantwoordelijke met zijn afnemers en leveranciers. De mogelijkheid van commercieel gebruik van deze gegevens valt daarmee niet onder de vrijstellingsregeling. De verstrekking op grond van het vierde lid, onder c, mag evenmin leiden tot onverenigbaar gebruik van adresgegevens van klanten (vergl. de opmerkingen bij artikel 12, vijfde lid, onder c). De voorheen in het Bgv opgenomen mogelijkheid (in artikel 10, derde lid, onder e) dat nutsbedrijven, al dan niet geprivatiseerd, medewerking verlenen aan de heffing en de invordering van gemeentelijke en waterschapsbelasting blijft gehandhaafd (tweede lid, onder g). Het vereiste dat dit meeliften op het moment van de inwerkingtreding van dit besluit gebruikelijk moet zijn, komt te vervallen. Deze medewerking heeft tot op heden nog geen wettelijke regeling gekregen.
Artikel 14 In dit artikel wordt voorzien in een vrijstelling voor de gegevensverwerking die plaats vindt in het kader van een (ver)huurovereenkomst. Wat onder huur en verhuur moet worden verstaan volgt uit het Burgerlijk Wetboek. Er moet in ieder geval sprake zijn van wederzijdse prestaties: het betalen van een huursom en het verschaffen van het genot van de zaak.
Staatsblad 2001
250
60
De zaak kan een onroerende zijn zoals een huis, een bedrijfspand, grond of water, maar ook een roerende zaak zoals een auto of gereedschap. Uit de omschrijving volgt dat dit artikel niet ziet op het inhuren van personen. Indien de huurder een aanvraag indient voor huursubsidie met betrekking tot de gehuurde zaak en daartoe gegevens verstrekt, vervalt niet de grond aan de vrijstelling. Dit volgt uit de toevoeging «waaronder begrepen het aanvragen en verstrekken van huursubsidie» in het eerste lid. Artikel 14 ziet eveneens op de situatie dat ten behoeve van de afwikkeling van een dergelijke aanvraag gegevens worden verstrekt door de verhuurder. Uit de aard van de zaak geldt dat de verwerking waar artikel 14 op doelt slechts kan plaatsvinden wanneer de verantwoordelijke zelf optreedt als partij bij de rechtsverhouding in het kader waarvan deze verwerking geschiedt. Daaronder begrepen zijn niet de verwerkingen die naar aanleiding van een dergelijke aanvraag moeten gebeuren door burgemeester en wethouders van de gemeente waar de aanvraag is ingediend en die van het Ministerie van Volkshuisvesting, Ruimtelijke Ordening en Milieubeheer. Deze verwerkingen zijn minder transparant voor de betrokken huurder en voldoen daarmee niet aan het criterium dat «een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is». Bij laatstbedoelde verwerkingen kunnen eveneens gegevens over het vermogen en inkomen alsmede het sofi-nummer van de huurder worden verwerkt, hetgeen niet valt onder de omschrijving van het derde lid, onder e, van dit besluit. In het tweede lid, onder a, alsmede derde lid, onder d, wordt gesproken van «de verwerking van gegevens ten behoeve van de uitvoering van de huurovereenkomst». Hieronder valt uitdrukkelijk niet het aanleggen van waarschuwingslijsten van wanbetalende of overlast veroorzakende huurders door de verhuurder. Dergelijke verwerkingen voldoen immers niet aan het criterium dat een inbreuk op rechten en vrijheden van betrokkenen onwaarschijnlijk is.
Artikel 15 Deze vrijstelling ziet op de vorming van zogenaamde al dan niet elektronische zaakdossiers van notarissen, advocaten en andere rechtshulphulpverleners zoals deze door hen worden aangelegd met oog op de juridische dienstverlening aan hun cliënten. Daaronder worden mede gerekend de met de dossiers onverbrekelijk verbonden kaartsystemen. Andere rechtshulpverleners zijn bijvoorbeeld juridische adviseurs en instelling die zich bezighouden met rechtsbijstand. Niet relevant voor de vrijstelling is of de rechtshulpverlener zelfstandig werkt of in maatschapsverband. Dat is slechts relevant voor de vraag wie moet worden aangemerkt als verantwoordelijke in de zin van artikel 1, onder d, van de wet. De vrijstelling ziet eveneens op de financiële en juridische dienstverlening door Accountants-Administratieconsulenten en registersaccountants, als bedoeld in artikel 393 Boek 2 BW. De verwerkingen die deze dienstverlening met zich mee brengen zijn eenvoudig van aard, dragen een standaard karakter en zijn voor betrokken opdrachtgevers kenbaar. Bij de uitvoering van deze werkzaamheden zijn de accountants gebonden aan wettelijke bepalingen en aan stringente voorschriften in gedrags- en beroepsregels voor accountants. Verwezen kan worden naar de geheimhoudingsverplichting als geregeld in artikel 10 Gedrags- en beroepsregels voor Accountants-Administratieconsulenten en die voor registeraccountants 1994. Een inbreuk op de rechten en vrijheden van betrokkenen is daarom onwaarschijnlijk te achten.
Staatsblad 2001
250
61
In het tweede lid, onder a, wordt een algemene omschrijving van een doeleinde van de verwerking van gegevens genoemd. Juridische dienstverlening en advisering dient breed opgevat te worden. Daarbij gaat het niet allen om de behandeling van juridische geschillen, maar ook om allerlei juridische handelingen. Daarbij dient dan te worden gedacht aan het opmaken van brieven, akten en pleitnotities. Ook kan gedacht worden aan incasso-activiteiten ten behoeve van de cliënt. Bij notarissen kan worden gedacht aan de dossiervorming bij de aan- en verkoop van onroerende zaken, met betrekking tot de huwelijkse voorwaarden of samenlevingscontracten en inzake wilsbeschikkingen en testamenten. Voor de dienstverlening door de advocaat, notaris of de rechtshulpverlener zal de cliënt een vergoeding moeten betalen. Dat met het oog daarop gegevens worden verwerkt is evident. Wat betreft de registeraccountants kan gedacht worden aan allerlei soorten van advies aan opdrachtgevers. In het tweede lid, onder e, wordt gesproken van het uitvoeren van een accountantscontrole en het verrichten van andersoortige controle. Met het laatste wordt de derden-controle bedoeld. Een voorbeeld daarvan vormt de boekhoudverordening 1998 voor advocaten (Stcrt. 1998, 207). Op grond van deze verordening bestaat voor advocaten geen verplichting om een accountantscontrole uit te laten voeren. Wel bestaat de verplichting voor advocaten om voor hun stichting derdengelden een verklaring te overleggen. Deze verklaring wordt opgesteld door de accountant en is te beschouwen als het verwerken van gegevens in de zin van de Wbp. De afgegeven verklaring is echter niet te beschouwen als een typische accountantscontrole. Er is sprake van een rapport van feitelijke bevindingen, een soort samenstellings- of beoordelingsopdracht. In verband met de financiële en juridische dienstverlening aan een cliënt zullen in het algemeen ook gegevens worden verwerkt van derden of de wederpartij. Het derde lid, onder d, bepaalt dat deze gegevens mogen worden verwerkt zonder dat de vrijstelling daardoor komt te vervallen. Onder e is bepaald dat gegevens over de behandeling van de zaak of de beslechting van het geschil kunnen worden verwerkt zonder dat de vrijstelling daardoor komt te vervallen. Afhankelijk van de aard van de zaak kan het gaan om een grote variëteit en hoeveelheid van gegevens. Een nauwkeurigere omschrijving is derhalve niet mogelijk. Ten aanzien van het vierde lid wordt hier opgemerkt dat de advocaat, notaris of de andere rechtshulpverlener alsmede accountants rekening dienen te houden met een mogelijke geheimhoudingsplicht uit hoofde van ambt, beroep of wettelijk voorschrift.
Paragraaf 4 Zorg en welzijn Artikel 16 Dit artikel voorziet in een vrijstelling voor de veel voorkomende en algemeen bekende verwerkingen van gegevens van patiënten door beoefenaren van beroepen in de individuele gezondheidszorg. Voor de vraag wat daaronder wordt verstaan wordt verwezen naar artikel 3 en de algemene maatregel van bestuur op grond van 34 van de Wet op de beroepen in de individuele gezondheidszorg. Op grond van artikel 3 gaat het om artsen, tandartsen, apothekers, gezondheidszorgpsychologen, psychotherapeuten, fysiotherapeuten, verloskundigen en verpleegkundigen. De algemene maatregel van bestuur die is gebaseerd op artikel 34 heeft betrekking op onder meer diëtisten, ergotherapeuten, logopedisten en orthoptisten. De vrijstelling ziet op de gegevensverwerking door de individuele beroepsbeoefenaren. Indien gegevens door die beroeps-
Staatsblad 2001
250
62
beoefenaar in het kader van een behandeling worden doorgegeven aan de administratie van de zorginstelling (bijvoorbeeld een ziekenhuis) waar hij werkzaam is, dan is de vrijstelling op de instellingsadministratie niet van toepassing aangezien deze niet transparant genoeg is voor de betrokkene. In het tweede lid, onder a, wordt als doeleinde voor de verwerking genoemd: het uitoefenen van het beroep in de individuele gezondheidszorg. Dit dient breed opgevat te worden. Daaronder vallen alle handelingen die door de beroepsbeoefenaar worden gedaan ten aanzien van de patiënt. Dat kan naast de behandeling van de patiënt – afhankelijk van de aard van het beroep – ook zijn het opstellen van een behandelingsplan, het uitoefenen van preventieve en curatieve zorg, het doen van keuringen en het bewaken van de medicatie van de patiënt. Op de gegevensverstrekking in het kader van het in het tweede lid, onderdeel d, bedoelde wetenschappelijk of statistisch onderzoek, zijn de artikelen BW:457 en 458 van toepassing. In het derde lid wordt een opsomming gegeven van de soorten van gegevens die mogen worden verwerkt. Het merendeel daarvan behoeft geen nadere toelichting. In het derde lid, onder d, wordt een voorziening getroffen om NAW-gegevens van anderen dan die van de patiënt te verwerken. Het informeren van anderen over de gezondheidstoestand van de patiënt kan slechts met diens toestemming. In het derde lid, onder e en f, is aangegeven dat bijzondere gegevens als bedoeld in artikel 16 van de wet mogen worden verwerkt. Daarbij dient dan wel rekening te worden gehouden met hetgeen is bepaald in artikel 21, derde lid, van de wet: het verbod om andere persoonsgegevens als bedoeld in artikel 16 te verwerken is niet van toepassing voor zover dit noodzakelijk is in aanvulling op de verwerking van persoonsgegevens betreffende iemands gezondheid met het oog op een goede behandeling of verzorging van betrokkene noodzakelijk is. Bij de gegevens van het derde lid, onder j, kan gedacht worden aan gegevens met betrekking tot het tijdstip van een afspraak met de patiënt of over een verwijzing naar een specialist. Het vierde lid regelt de verstrekking van gegevens. De hier gekozen regeling is die van de Wet op de geneeskundige behandelingsovereenkomst (boek 7:457 en 458 van het Burgerlijk Wetboek). Op de hier bedoelde beroepsbeoefenaren rust een geheimhoudingsverplichting. De hier gegeven verstrekkingsregeling sluit daarbij aan. Met betrekking tot de in het vijfde lid genoemde bewaartermijnen kan het volgende worden opgemerkt. Voorzover er sprake is van een behandelingsovereenkomst in de zin van de Wet op de geneeskundige behandelingsoverkomst is er een termijn van tenminste tien jaar voorgeschreven. Met termijn wordt hier zowel de termijn van tien jaar bedoeld als de mogelijke verlenging op grond van het criterium: zoveel langer als redelijkerwijs uit de zorg van een goed hulpverlener voortvloeit (BW 7:454, derde lid). Indien de patiënt vraagt om vernietiging van zijn gegevens, zal de arts hieraan in beginsel binnen drie maanden moeten voldoen (artikel 7:455 BW). Voorzover er geen wettelijk voorgeschreven bewaartermijn is, is voor de vrijstelling gekozen voor een termijn van vijf jaar na beëindiging van de behandeling.
Staatsblad 2001
250
63
Artikel 17 In dit artikel wordt voorzien in een vrijstelling voor de verwerking van persoonsgegevens door instellingen in de zin van artikel 1, onderdeel d, van de Algemene wet bijzondere ziektekosten (i.h.b. verpleeg- en verzorgingshuizen). Het onderhavige artikel voorziet uitsluitend in een vrijstelling voor de verwerking van gegevens van bewoners door de betrokken instellingen zelf; de verwerking door anderen (zoals ziekenfondsen of het College voor zorgverzekeringen) valt niet onder dit artikel. In het tweede lid worden de doeleinden van de verwerking genoemd. Deze kunnen grofweg worden onderverdeeld in verwerkingen van gegevens met het oog op min of meer huishoudelijke doeleinden en in verwerkingen met het oog op de nakoming van wettelijke verplichtingen. Bij verwerking van gegevens met het oog op de huisvesting en met de woonfunctie direct samenhangende voorzieningen (tweede lid, onder a) gaat het niet alleen om gegevens als naam, leeftijd, familie e.d., maar ook om gegevens m.b.t. het dieet (bijv. suikervrij, vegetarisch) rolstoelvoorziening e.d.). Het gaat daarbij echter niet om gegevens die betrekking hebben op de medische behandeling, medicijngebruik of, in het algemeen, om de verlening van medische zorg. Bij verwerking van gegevens op grond van een wettelijke verplichting (tweede lid, onder f) kan worden gedacht aan het voorzien in de geestelijke zorg (artikel 3 van de Kwaliteitswet zorginstellingen). In dat verband kunnen gegevens worden verwerkt over de godsdienst of levensovertuiging van de bewoner. Daarbij dient dan wel de norm van artikel 17, eerste lid, onder c, van de wet in acht worden genomen: de verwerking dient achterwege te blijven wanneer betrokkene daartegen schriftelijk bezwaar heeft gemaakt. In het tweede lid, onder b, wordt als doeleinde genoemd dat familieleden en andere personen kunnen functioneren als contactadres en kunnen worden geïnformeerd over het welzijn en de gezondheid van de bewoner. Dit kan uiteraard alleen wanneer betrokkene hiertegen geen bezwaren heeft. Met betrekking tot het derde lid, onder g, wordt in eerste instantie gedacht aan de huisarts of regulier behandelend specialist van de betrokkene.
Artikel 18 In dit artikel wordt een vrijstelling geregeld voor verwerkingen van persoonsgegevens door instellingen die zich bezig houden met kinderopvang dan wel gelegenheid bieden voor kinderopvang. Het doel van de verwerking is het organiseren van kinderopvang en het innen van een vergoeding daarvoor. In dat verband moeten de gegevens van de ouders, verzorgers of voogden van de kinderen worden verwerkt. Dat is ook nodig om deze te waarschuwen bij bijvoorbeeld ziekte. Onder de gegevens bedoeld in het derde lid, onder c, kunnen dan ook begrepen worden het zakelijke adres en telefoonnummer van de ouders, verzorgers of voogden. Omdat ook bij de kinderopvang het noodzakelijk kan zijn dat bijzondere gegevens worden verwerkt zijn onderdelen d en e in het derde lid opgenomen. Dit kan ingevolge artikel 23, eerste lid, onder a, van de wet uitsluitend geschieden met de uitdrukkelijke toestemming van betrokkene.
Staatsblad 2001
250
64
Paragraaf 5 Onderwijs Artikel 19 In dit artikel wordt verwezen naar de relatie tussen instellingen voor onderwijs en hun leerlingen en studenten. De uitdrukking «leerlingen en studenten» heeft hier een ruime betekenis en omvat dan ook mede toehoorders en extraneï. De term «deelnemers» is opgenomen met het oog op de Wet educatie en beroepsonderwijs. Ook in de hier bedoelde administraties zijn de nationaliteit en geboorteplaats van de betrokkenen noodzakelijk met het oog op hun identificatie. De gegevens betreffende de ouders, voogden of verzorgers van minderjarige leerlingen of studenten zijn van belang om de contacten met hen te kunnen onderhouden over de vorderingen van de minderjarige en om hen ingeval van ongeval of ziekte te kunnen waarschuwen. Voorts kan het noodzakelijk zijn dat gegevens over de gezondheid en het welzijn van betrokkene (gegevens van medische of sociale aard dus) worden verwerkt, bijvoorbeeld omdat deze bijzondere verzorging of aandacht behoeft. Het kan zijn dat het met het oog op het welzijn van de betrokkene, de aard van het onderwijs of de organisatie van het onderwijs noodzakelijk is ook gegevens vast te leggen betreffende de godsdienst of levensovertuiging van de betrokkenen. Dat doet zich niet alleen voor bij de onderwijsinstellingen waarvan de grondslag daartoe aanleiding geeft. Zo kan het nodig zijn dat zodanige gegevens worden vastgelegd met het oog op de begeleiding van de betrokkenen of met het oog op het organiseren of geven van godsdienstonderwijs. Voor het opnemen van dergelijke gegevens bieden de onderdelen e, g en h, van het derde lid reeds de ruimte. Het voorkomen van dergelijke gegevens in de administratie van leerlingen en studenten is, binnen de grenzen van de artikelen 17, eerste lid, en 21, eerste en derde lid, van de wet dan ook niet prohibitief voor de toepasselijkheid van de vrijstelling. Teneinde te vermijden dat hieromtrent in de praktijk twijfel bestaat, is in artikel 19, derde lid, onder e en f, van dit besluit echter nog uitdrukkelijk bepaald dat in die administratie gegevens betreffende de gezondheid, het welzijn en de godsdienst of levensovertuiging van de betrokkene kunnen worden opgenomen. Of die gegevens in het concrete geval verwerkt kunnen worden wordt aan de hand van artikel 21, eerste lid, onder c, van de wet bepaald, waarbij vooral van belang is, de vraag of die verwerking noodzakelijk is.
Artikelen 20 en 21 Deze artikelen voorzien in een vrijstelling voor de in elke gemeente voorkomende verwerkingen van persoonsgegevens van leerplichtigen ter uitvoering van de Leerplichtwet 1969 en ter uitvoering van het leerlingenvervoer als bedoeld in de Wet op het primair onderwijs en de Wet op de expertisecentra. Het zijn verwerkingen die plaatsvinden in het kader van de uitvoering van wettelijk aan de burgemeester en wethouders van de gemeente opgedragen taken. Uit de uitvoering van deze wettelijk opgedragen taken vloeit voort welke persoonsgegevens kunnen worden verwerkt. In artikel 20, vierde lid, worden de ontvangers van gegevens genoemd. Onder b worden de hoofden van scholen binnen en buiten de gemeente genoemd. De hoofden van scholen spelen een belangrijke rol bij de uitvoering van de Leerplichtwet 1969. Zij kunnen derhalve gegevens ontvangen. Dat het ook kan gaan om hoofden van scholen buiten de gemeente heeft te maken met de feitelijke situatie dat de leerplichtige ingeschreven kan zijn bij een school die buiten de gemeente ligt waarin hij woonachtig is. Dat er ook gegevens kunnen worden ontvangen door de
Staatsblad 2001
250
65
arbeidsinspectie houdt verband met die gevallen waarin de leerplichtige arbeid verricht en dat niet is toegestaan. In het kader van het leerlingenvervoer kan het nodig zijn dat degene die het vervoer verzorgt gegevens verkrijgt over de leerling. Artikel 21, derde lid, onder d, biedt een voorziening opdat de daarop betrekking hebbende gegevens van de leerling kunnen worden verwerkt. Daarbij kan het ook gaan om gegevens als bedoeld in artikel 21 van de wet. Het verwerken van deze gegevens kan ingevolge artikel 23, eerste lid, onder a, van de wet in deze gevallen slechts plaatsvinden met de uitdrukkelijke toestemming van betrokkene of diens wettelijk vertegenwoordiger.
Paragraaf 6 Overheid Artikel 22 De in dit artikel geboden vrijstellingsregeling is bedoeld voor de meer eenvoudige verwerkingen betreffende personen aan wie een vergunning, ontheffing of een machtiging is verleend door overheidsinstanties of die aan een meldingsverplichting hebben voldaan en die vooral een interne functie hebben. Daarbij gaat het voor een deel om de verwerking die nodig is om de voortgang van de behandeling van verzoeken om een vergunning, een ontheffing, een machtiging of een melding te kunnen beheersen. De in het derde lid onder c bedoelde soorten van gegevens zijn hoofdzakelijk van feitelijke aard. Ingevolge artikel 22 van de wet is het niet uitgesloten dat in het kader van de vergunningenverlening e.d. strafrechtelijke gegevens worden verwerkt. Wanneer de wet de verwerking van deze gegevens toelaat, dan behoeft er geen bezwaar te bestaan tegen de vrijstelling.
Artikel 23 In dit artikel wordt een vrijstelling gegeven voor de verwerkingen ten behoeve van belastingen die decentraal worden geheven door gemeenten, waterschappen en provincies. Daarbij kan gedacht worden aan de verwerking van gegevens in het kader van de onroerende zaakbelasting, hondenbelasting, toeristenbelasting en afvalstoffenheffing. Deze belastingen worden geheven ter uitvoering van wettelijke voorschriften. De gegevens die daarbij worden verwerkt zijn veelal beperkt in aantal en de verwerkingen bij de bestuursorganen hebben een standaardkarakter. Er is geen reden aanwijsbaar om deze verwerkingen niet onder een vrijstelling te laten vallen.
Artikel 24 Dit artikel stelt de verwerkingen van persoonsgegevens van personen aan wie reisdocumenten worden afgegeven, vrij. Welke gegevens kunnen worden verwerkt met betrekking tot de reisdocumenten vloeit rechtstreeks voort uit artikel 3 van de Paspoortwet. Deze gegevens zijn in het derde lid van het artikel opgenomen. In het vierde lid, onder c, van artikel 23 is bepaald dat gegevens kunnen worden ontvangen door de politie. Het komt in de dagelijkse praktijk voor dat de politie voor de uitvoering van haar werkzaamheden een kopie van de pasfoto van betrokkene nodig heeft. Ofschoon hier terughoudendheid op zijn plaats is, moet een dergelijke verstrekking geen beletsel vormen voor de vrijstelling.
Staatsblad 2001
250
66
Artikel 25 Dit artikel voorziet in een vrijstelling voor het verwerken van persoonsgegevens van personen die recht hebben op een begraafplaats. Deze verwerking geschiedt in het merendeel van de gevallen door burgemeester en wethouders van een gemeente. De verwerking heeft voornamelijk een financiële component: er moet betaald worden voor het graf van de overledene en het onderhoud van de begraafplaats. Vanwege het bijzondere karakter van de prestatie die door de verantwoordelijke wordt geleverd is een afzonderlijke vrijstelling voor deze verwerking gemaakt naast die van artikel 12 en 13 van dit besluit. Voor alle duidelijkheid zij hier vermeld dat gegevens met betrekking tot overleden personen geen persoonsgegevens zijn in de zin van de wet.
Artikel 26 en 27 Deze artikelen regelen een vrijstelling voor de verwerking van persoonsgegevens van personen die een naturalisatieverzoek hebben gedaan of een verzoek om (geslachts)naamwijziging. De aard van de verzoeken bepalen welke gegevens in dat verband moeten worden verwerkt.
Artikel 28 Dit artikel voorziet in een vrijstelling voor de in elke gemeente voorkomende verwerking van persoonsgegevens van ingeschrevenen voor de dienstplicht. Op 1 mei 1997 is de Dienstplichtwet vervangen door de Kaderwet dienstplicht. Ingevolge artikel 71, derde lid, van de Kaderwet dienstplicht is een deel van deze wet opgeschort. Hieronder behoren onder meer de bepalingen in paragraaf 3 van hoofdstuk 1 inzake de keuring en de bepalingen in paragraaf 5 van hoofdstuk 1 inzake uitstel, ontheffing en vrijstelling van de verplichtingen tot het vervullen van de werkelijke dienst. De gegevens, vermeld in het derde lid van artikel 28, hebben op die onderwerpen betrekking. Het gaat derhalve om gegevens, welke zijn verwerkt voor de opschorting van de dienstplicht of om gegevens die zouden kunnen worden verwerkt in geval de dienstplicht weer zou kunnen worden gereactiveerd. De artikelen 3 en 4 van de Kaderwet dienstplicht bepalen welke personen door welke gemeente moeten worden ingeschreven en op welk moment. Uit de uitvoering van de Kaderwet dienstplicht vloeit voort welke soorten van gegevens kunnen worden verwerkt. Deze zijn in het derde lid vermeld. Vooral in de gevallen waarin er bijzondere omstandigheden zijn met betrekking tot de dienstplichtige kan het nodig zijn dat er gegevens worden verwerkt over de werkgever van de dienstplichtige en diens arbeidsomstandigheden. In onderdeel c, e en f is daarmee rekening gehouden. Artikel 28 ziet niet op het GBA-berichtenverkeer, dat plaatsvindt ten behoeve van de ingevolge artikel 71, derde lid, Kaderwet dienstplicht niet opgeschorte inschrijving voor de dienstplicht. Op grond van artikel 2, tweede lid, onder d, van de Wbp is de Wbp en de daarop gebaseerde regelgeving niet van toepassing op verwerkingen die zijn geregeld bij of krachtens de Wet gemeentelijke basisadministratie persoonsgegevens. Wel is overigens voor wat betreft de verwijderingstermijn van de in artikel 28 genoemde gegevens aangesloten bij het moment dat het op de ingeschrevene voor de dienstplicht betrekking hebbende GBA-berichtenverkeer stopt, namelijk uiterlijk twee jaren hierna. Dit wordt in het vijfde lid van artikel 28 aldus uitgedrukt dat de gegevens uiterlijk dienen te worden verwijderd twee jaar nadat betrokkene niet meer is ingeschreven voor de dienstplicht als bedoeld in de Kaderwet dienstplicht.
Staatsblad 2001
250
67
Paragraaf 7 Archieven en onderzoek Artikel 29 In de onderscheidene artikelen van dit besluit is met betrekking tot het bewaren van gegevens voor de doeleinden in dat artikel genoemd, een concrete termijn opgenomen. Eveneens wordt verwezen naar de mogelijkheid de gegevens langer te bewaren indien dat noodzakelijk is ter voldoening aan een wettelijke bewaarplicht (zie bijvoorbeeld artikel 2:10 BW c.q. 3:15a BW). Daarnaast voorziet de Archiefwet in een bewaarplicht voor archiefbescheiden van de overheid. Het betreft dan verwerkingen die uitsluitend een archiefbestemming hebben. Ingevolge het vijfde lid dienen de gegevens te worden verwijderd wanneer zij hun belang voor de archiefbestemming hebben verloren.
Artikel 30 Dit artikel voorziet in een eenvoudige vrijstellingsregeling voor verwerkingen van persoonsgegevens door instellingen of diensten voor wetenschappelijk onderzoek of statistiek met het oog op het verzamelen en verwerken van wetenschappelijke en statistisch relevante gegevens. Er is voor gekozen de bewaartermijn van artikel 18, vijfde lid, van het Bgv te handhaven. Dit houdt in dat na afloop van een termijn van zes maanden nadat de gegevens van de betrokkene zijn verkregen, een aantal direct indentificerende gegevens moeten worden verwijderd. Of de alsdan nog aanwezige gegevens nog als persoonsgegevens kunnen worden aangemerkt hangt af van de aanwezigheid van kenmerken die indirecte identificatie mogelijk maken. Dat is voor de vrijstelling niet relevant: na verwijdering van de in het derde lid, onder a, bedoelde gegevens met uitzondering van geslacht, woonplaats en geboortejaar, herleeft niet een meldingsplicht voor de verantwoordelijke.
Paragraaf 8 Beheer en beveiliging Artikel 31 De in dit artikel getroffen vrijstellingsregeling heeft betrekking op een wel zeer veelvuldig voorkomende verwerking, te weten de interne verwerking van inkomende en uitgaande documenten. De hier bedoelde verwerkingen bevatten weinig informatie en hebben een strikt interne functie. Het gaat om verwerkingen die uitsluitend een administratief doel dienen. Hieronder kunnen ook integrale verwerkingen van documenten vallen, zoals het scannen van de stukken bij binnenkomst in de organisatie, mits dit doeleinde maar niet overschreden wordt en evenmin er meer gegevens worden verwerkt dan omschreven in het derde lid. Het begrip documenten dient ruim opgevat te worden. Het kan gaan om zowel papieren documenten, maar ook om elektronische documenten.
Artikel 32 Dit artikel voorziet in een vrijstelling van verwerking van persoonsgegevens in verband met het aanbieden van faciliteiten en diensten op een netwerk aan de personeelsleden van de verantwoordelijke. Bijna elk bedrijf of instelling werkt met een netwerksysteem en stelt aan zijn personeelsleden een computer ter beschikking voor hun werkzaamheden. Deze computers bevinden zich in de regel binnen een netwerk. In het tweede lid is expliciet bepaald dat het systeem een gesloten karakter moet hebben. Het gaat daarbij niet alleen om netwerken «binnen de muren» van de verantwoordelijke, de zgn. LAN’s, maar eveneens om netwerken die weliswaar geografisch gespreid zijn maar in feite een gesloten
Staatsblad 2001
250
68
systeem vormen, de zgn. WAN’s. Openbare telecommunicatienetwerken als bedoeld in artikel 1.1, onder g, van de Telecommunicatiewet en de openbare telecommunicatiediensten als bedoeld in artikel 1.1, onder f, van de Telecommunicatiewet vallen uitdrukkelijk niet onder deze vrijstellingsregeling. In het derde lid zijn de doeleinden van de verwerkingen opgenomen. Primair is het doel van het gebruik van netwerksystemen dat de medewerkers van de verantwoordelijke met elkaar kunnen communiceren. Zij werken gezamenlijk aan documenten, tabellen enz. Zij wisselen met elkaar berichten uit bijvoorbeeld met behulp van een E-mail programma. Zij raadplegen archiefbestanden. Daarnaast wordt ook rekening gehouden met de mogelijkheid dat vanuit het interne netwerk gecommuniceerd wordt met andere netwerken. Deze communicatie behoeft aan een vrijstelling niet in de weg te staan (derde lid, onder a, en vierde lid, onder d). In het derde lid, onder c, wordt gesproken van de mogelijkheid gegevens te verwerken ten behoeve van de interne controle. Als voorbeeld kan worden genoemd de controle van het elektronisch berichtenverkeer van de werknemers. Een dergelijke verwerking dient wel binnen de grenzen van de wet te geschieden: de ondernemingsraad dient zijn instemming te hebben verleend aan een dergelijke vorm van controle. De betrokkenheid van de ondernemingsraad wordt als een zodanige waarborg beschouwd dat aan het criterium voor vrijstelling wordt voldaan. Het wordt niet nodig geacht naast het instemmingsrecht van de ondernemingsraad een meldingsplicht aan het College bescherming persoonsgegevens voor te schrijven. De termen «identificatie» en communicatie» in het vierde lid, onder a, hebben in deze context een specifieke betekenis. De betrokkene zal een eigen «user-name» hebben. Daarnaast zal in veel gevallen een toegangscode moeten worden ingevoerd, wil gecommuniceerd kunnen worden op het netwerk. Wat elke gebruiker mag is veelal geregeld door middel van autorisaties. Dat in dat verband gegevens mogen worden verwerkt is tot uitdrukking gebracht in het vierde lid, onder b.
Artikel 33 Dit artikel regelt een vrijstelling voor de verwerkingen van persoonsgegevens die uitsluitend zijn gericht op het onderhoud, beheer, de beveiliging, het gebruik en de goede werking van computerprogramma’s of computersystemen binnen de organisatie van de verantwoordelijke. Dit artikel onderscheidt zich van het vorige artikel dat de verwerking van gegevens hier niet zozeer is gericht op personen, maar op de goede werking van applicaties, programmatuur en systemen. Dit onderscheid wordt tot uitdrukking gebracht in zowel de doeleinden van de verwerking (lid 2) en de soorten van gegevens (lid 3) die worden verwerkt. De verwerking geschiedt veelal zonder dat de verantwoordelijke zich hiervan bewust is. Naast de gevallen, bedoeld in artikel 8, onder a, c en d, en 9, derde lid, kunnen de gegevens slechts verstrekt worden aan degenen die zijn belast met of leiding geven aan het systeem-, gegevensbeheer of applicatiebeheer.
Artikel 34 Dit artikel bevat een vrijstelling voor de verwerkingen van persoonsgegevens vanwege het gebruik van communicatieapparatuur die ter beschikking worden gesteld aan de personeelsleden van de verantwoordelijke. Daarbij dient gedacht te worden aan de verwerking van persoons-
Staatsblad 2001
250
69
gegevens door een telefooncentrale of een fax. De huidige communicatieapparatuur biedt allerlei faciliteiten om de handelingen die daarmee worden of zijn verricht vast te leggen. De vrijstelling ziet niet op de gevallen waarin deze verwerkingen worden gebruikt met het oog op bijvoorbeeld personeelsbeoordeling of prestatiemetingen.
Artikel 35 Dit artikel regelt een vrijstelling voor de verwerking van persoonsgegevens met het oog op het geven van toegang tot gebouwen of informatiesystemen, of onderdelen daarvan, van de verantwoordelijke aan personen die in dienst zijn van of werkzaam zijn voor de verantwoordelijke. Een dergelijke verwerking van gegevens is veel voorkomend en gebruikelijk. Een verwerking in verband met toegangscontrole kan zowel betrekking hebben op eigen werknemers als op bezoekers. Voor bezoekers is een afzonderlijke vrijstelling geregeld in artikel 37 van dit besluit. Aparte aandacht eist het derde lid, onder e. Namens de organisatie worden aan de toegangsgerechtigden vaak toegangsbewijzen verstrekt, al of niet voorzien van een afbeelding van betrokkene, en waarvan de organisatie zelf kopieën bewaart. Het plaatsen van een afbeelding op een toegangsbewijs betekent dat een bijzonder gegeven, namelijk ras, wordt verwerkt. Artikel 18, onder a, van de wet bepaalt dat persoonsgegevens betreffende iemands ras mogen worden verwerkt voorzover dit met het oog op de identificatie van betrokkene onvermijdelijk is. Bij toegangscontrole zal van bedoelde noodzaak vaak sprake zijn. Voor de duidelijkheid wordt nog opgemerkt dat toegangscontrolesystemen met biometrische identificatiemethoden (bijvoorbeeld handpalm, vingerafdruk, irisscope en stem) niet onder het derde lid, onderdeel e, vallen. Deze zijn dus niet vrijgesteld van de aanmeldingsplicht.
Artikel 36 In dit artikel wordt voorzien in een vrijstelling voor verwerkingen van persoonsgegevens die uitsluitend worden gehouden ten dienste van het interne beheer van de organisatie van de verantwoordelijke. Hierbij gaat het om diverse alledaagse verwerkingen die in vrijwel elke organisatie geschieden: interne telefoon- of adreslijstjes, voortgangsoverzichten, taakverdelingen, planningssystemen, lijsten met verlofdagen van medewerkers, de verdeling van kantoormachines, -meubilair, kleding en aanverwante zaken, enzovoort. De bepaling spreekt overigens voor zichzelf. Het derde lid, onder e, spreekt van «gegevens betreffende de aanwezigheid van de betrokkene op de plaats waar de arbeid wordt verricht». Het gaat dan bijvoorbeeld om de werktijden van de betrokkene of diens afwezigheid in verband met vergaderingen elders. Voor zover het gaat om het verwerken van gegevens met betrekking tot de aan de betrokkene verleende bevoegdheden tot het betreden van ruimten en de verwerking geschiedt ten behoeve van de toegangscontrole, is de vrijstellingsregeling van artikel 35 van dit besluit van toepassing.
Artikel 37 Dit artikel voorziet in een vrijstelling voor verwerkingen van persoonsgegevens van personen die de organisatie van de verantwoordelijke bezoeken of hebben bezocht. Uit de aard van deze verwerking volgt dat het overzicht van de bezoekers wordt gehouden in het kader van het beheer en de beveiliging
Staatsblad 2001
250
70
van de organisatie van de verantwoordelijke. Daarbij kan niet alleen gedacht worden aan het verifiëren van het doel van een bezoek, maar ook aan het voorhanden hebben van een overzicht ingeval van een calamiteit. De omschrijving van de reden van het bezoek kan onder omstandigheden gegevens inhouden, bedoeld in hoofdstuk 2, paragraaf 2 van de wet. Hierbij is met name gedacht aan verwerkingen omtrent bezoek aan medici, het bezoek aan een advocaat. Of dergelijke gegevens verwerkt kunnen worden dient te worden beoordeeld aan de hand van de desbetreffende bepalingen van de wet. Vanzelfsprekend dient volstaan te worden met een zo globaal mogelijke aanduiding van het bijzondere gegeven in de bezoekersadministratie. In het vierde lid is aangegeven door wie de gegevens worden ontvangen. Het gaat in de eerste plaats om de bedrijfsbeveiliging. Hiermee wordt gedoeld op een persoon of afdeling binnen de organisatie van de verantwoordelijke die belast is met het uitoefenen van het toezicht op bezoekers van de organisatie. Daartoe moet deze persoon zonodig kunnen beschikken over gegevens van bezoekers. Dat kan van belang zijn ingeval een bepaalde bezoeker niet (meer) welkom is. Vaak wordt de controle op bezoekers en de toegang tot de organisatie in handen gelegd van een derde die zich toelegt op bedrijfsbeveiliging. Deze verwerkt dan feitelijk de gegevens bedoeld in het derde lid. Zo lang de bedrijfsbeveiliging geen zeggenschap over de verwerking heeft en niet het doel en de middelen voor de verwerking van persoonsgegevens ter beschikking stelt, kan de bedrijfsbeveiliging zelf niet als verantwoordelijke worden aangemerkt. De bedrijfsbeveiliging is dan een bewerker als bedoeld in artikel 1 van de wet. Ingevolge het vijfde lid worden gegevens maximaal zes maanden bewaard. Deze termijn is voldoende met het oog op het doel van de verwerking. Vaak worden de gegevens uit voorzorg voor een bepaalde periode bewaard, bijvoorbeeld om na calamiteiten nog te kunnen nagaan wie in de organisatie aanwezig was op het betreffende tijdstip.
Artikel 38 Het gebruik van videocameratoezicht (VCT) ter bewaking van personen, gebouwen, terreinen, zaken en productieprocessen, die zijn toevertrouwd aan de zorg van de verantwoordelijke, is in dit artikel vrijgesteld, indien het aan een aantal eisen voldoet. Allereerst dient het te gaan om de verwerking van persoonsgegevens. Bij het gebruik van camera’s die slechts «meelopen» en niets vastleggen (ook wel monitoren genoemd) is geen sprake van verwerking. Dit gebruik valt derhalve niet onder de wet. Deze vorm van videocameratoezicht behoeft dus ook niet te worden aangemeld op grond van artikel 27 van de wet. De wet is, blijkens artikel 2, eerste lid, alleen van toepassing indien de persoonsgegevens op geheel of gedeeltelijk geautomatiseerde wijze worden verwerkt, dan wel in een bestand (zullen) worden opgenomen. Bij digitale camera’s is uit de aard van de gebruikte digitale techniek reeds sprake van een geheel of gedeeltelijke geautomatiseerde verwerking van persoonsgegevens. Dit is anders bij de analoge techniek. Bij het gebruik van analoge camera’s kan alleen sprake zijn van de verwerking van persoonsgegevens indien de beelden volgens specifieke persoonscriteria gestructureerd worden vastgelegd en kunnen worden geraadpleegd. Dat is vaak niet het geval. Grosso modo heeft artikel 42 dus met name betekenis voor het gebruik van digitale camera’s. Voor zover op het gebruik van camera’s door opsporingsdiensten artikel 2, tweede lid, onderdelen b en c, van de wet van toepassing is, bestaat er evenmin een meldingsplicht op grond van artikel 27 van de wet. Voor zover videocamera’s door andere organisaties worden ingezet ter handhaving van de openbare orde is in het tweede lid expliciet bepaald
Staatsblad 2001
250
71
dat artikel 38 van dit besluit niet van toepassing is. Van deze verwerkingen kan bezwaarlijk worden gesteld dat een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is. In hoeverre het gebruik noodzakelijk is, wordt ook bepaald door de vraag wat precies in beeld wordt gebracht. Noodzakelijk is slechts datgene in beeld te brengen waarvoor de rechthebbende verantwoordelijk is, waarover zijn zorg zich uitstrekt. Tenzij dit onvermijdelijk is, mag de camera van de verantwoordelijke dus geen gebouwen, terreinen en zaken van anderen of de openbare weg in beeld brengen. Dit vereiste is tot uitdrukking gebracht in het vierde lid, onder a. Het gebruik van camera’s moet kenbaar zijn. De inbreuk op de fundamentele rechten en vrijheden van burgers door videocameratoezicht kan alleen onwaarschijnlijk worden geacht ingeval van het niet-heimelijk gebruik van camera’s voor bewakingsdoeleinden (veiligheid van lijf en goederen). Heimelijk, dat wil zeggen: niet of moeilijk zichtbaar gebruik van camera’s. Het kenbaarheidsvereiste is in het eerste lid uitdrukkelijk vastgelegd door te bepalen dat het moet gaan om duidelijk zichtbaar aanwezige videocamera’s. Verder is het gebruik van camera’s alleen vrijgesteld indien bewaking en beveiliging van lijf en goederen daarvan het doel is. Dat de verwerking uitsluitend met het oog daarop kan plaatsvinden is neergelegd in het derde lid. Zo kan een camera worden gebruikt voor de bescherming van de veiligheid en de gezondheid van een of meerdere personen (derde lid, onder a). Te denken valt bijvoorbeeld aan het gebruik van een camera bij de kassa van een benzinestation. Een ander doel is de bewaking van de toegang tot gebouwen en terreinen (derde lid, onder b) en de bewaking van zaken (derde lid, onder c). Met nadruk wordt gesteld dat het doel van het cameragebruik niet mag betreffen de voortdurende of gerichte controle van natuurlijke personen. Derhalve zal om voor vrijstelling in aanmerking te kunnen komen, het gebruik van een camera moeten worden beperkt tot het in beeld brengen van de te bewaken zaken. Het is daarbij onvermijdelijk dat natuurlijke personen in beeld kunnen komen en er dus sprake is van verwerking van persoonsgegevens, maar het gebruik van een camera mag niet primair gericht zijn op de controle van deze personen. Tenslotte kan het gebruik van camera’s worden vrijgesteld die tot doel hebben de controle op productieprocessen waarbij er een hoge mate van risico is voor de veiligheid of de gezondheid van natuurlijke personen of zaken of voor de controle op technisch gecompliceerde en in hoge mate gemechaniseerde productieprocessen (vergelijk de formulering van het Hof ’s-Hertogenbosch, 2 juli 1986, NJ 1987, 451 in de zaak Koma-FNV). Videocameratoezicht wordt voornamelijk gedaan met het oog op de bewaking en beveiliging van natuurlijke personen en de bewaking van zaken. Bij incidenten, bijvoorbeeld bij een mishandeling of inbraak, moeten de door de videocamera verwerkte gegevens aan de politie kunnen worden verstrekt. Dit is in het vijfde lid, onder b, opgenomen.
Paragraaf 9 Overige verwerkingen
Artikel 39 De in dit artikel geboden vrijstellingsregeling is bedoeld voor verwerkingen van persoonsgegevens van personen die een bezwaarschrift of
Staatsblad 2001
250
72
een klacht hebben ingediend bij de verantwoordelijke. Bijna elk bestuursorgaan behandelt bij hem ingediende bezwaarschriften. Dit dient te gebeuren overeenkomstig de bepalingen van de Algemene wet bestuursrecht. Deze wet bepaalt ook voor een groot gedeelte welke gegevens op welke wijze in dat verband kunnen worden verwerkt. Voorts hebben vele bedrijven, instellingen en bestuursorganen een klachtenregeling. Soms is deze klachtregeling vrijwillig in het leven geroepen, maar deze kan ook wettelijk voorgeschreven zijn (bijvoorbeeld Wet klachtrecht cliënten zorgsector). De klachtenregelingen bieden in beginsel voldoende waarborgen dat de gegevens op een zorgvuldige wijze worden verwerkt. Ook de verwerkingen door rechterlijke instanties ten behoeve van de behandeling van de bij ingediende beroepsschriften en tuchtrechtinstanties ten behoeve van de behandeling van de aan hun voorgelegde geschillen valt onder dit vrijstellingsartikel. De gegevens worden verwijderd uiterlijk twee jaar nadat het bezwaarschrift of de klacht definitief is afgehandeld.
Artikel 40 In dit artikel wordt verwezen naar de verwerking van gegevens ten behoeve van het bijhouden van registers en lijsten. Een breed scala van dit type verwerkingen valt onder deze regeling. Er dient dan gedacht te worden aan personen die zich laten plaatsen op een wachtlijst voor een huur- of koopwoning bij een woningbouwvereniging of een makelaar. Ook kan het gaan om een wachtlijst voor een verzorgingstehuis of een wachtlijst voor kinderopvang. Bij de gemeentelijke overheid kan gedacht worden aan de personen die in aanmerking wensen te komen voor een standplaats. Voorts betreft het lijsten van personen die de verantwoordelijke bijhoudt om te kunnen voldoen aan een al dan niet wettelijke verplichting. Dat kan dan een lijst betreffen van gemeentelijke lijkschouwers, ambtenaren van de burgerlijke stand of medewerkers rampenbestrijding, maar ook lijsten van toezichthouders en aandeelhouders op grond van het Burgerlijk Wetboek. Het gemeenschappelijke element bij een register of een lijst is dat de personen die daarin zijn opgenomen een gemeenschappelijke hoedanigheid of kwaliteit hebben of eenzelfde prestatie of voorziening van de verantwoordelijke verlangen. Bij de aandeelhouders is het gemeenschappelijke kenmerk dat zij aandeelhouder zijn; bij wachtlijsten voor een woning is dat betrokkenen een woning zoeken. Wanneer dit gemeenschappelijke kenmerk ontbreekt bij de betrokkenen dan valt de desbetreffende lijst of register niet onder de hier bedoelde vrijstelling. Het gaat steeds om lijsten of registers waar personen op hun verzoek dan wel krachtens wettelijk voorschrift op voorkomen. Daarbuiten vallen uitdrukkelijk waarschuwings- of signaleringslijsten. Het betreft hier verwerkingen, bedoeld in artikel 22, tweede lid, van de Wbp; verwerkingen in het kader van de zogenaamde «zwarte lijsten» die een verantwoordelijke bijhoudt ter bescherming van zichzelf. Artikel 22, tweede lid, voorziet in de mogelijkheid voor de verantwoordelijke strafrechtelijke gegevens te verwerken ter beoordeling van een verzoek van de betrokkene (onderdeel a) of ter bescherming van zijn belangen i.v.m. strafbare feiten die jegens hem zijn gepleegd of mogelijk zullen worden gepleegd (onderdeel b). Het zijn van wanbetaler of overlastveroorzaker is een hoedanigheid in de zin van artikel 40 van dit besluit. Door de toevoeging «op hun verzoek of krachtens een wettelijk voorschrift» worden deze lijsten en registers waarbij een inbreuk op rechten en vrijheden van betrokkenen allerminst onwaarschijnlijk is, uitgesloten.
Staatsblad 2001
250
73
In het vierde lid worden de soorten van gegevens genoemd die kunnen worden verwerkt om voor de vrijstelling in aanmerking te komen. Vanwege het beoogde ruime toepassingsbereik van dit artikel is de omschrijving van de soorten gegevens vrij algemeen gehouden. Uit de aard van registers en lijsten kunnen in elk geval de personalia van betrokkenen worden opgenomen. Maar het brengt ook mee dat die gegevens die betrokkenen gemeenschappelijk hebben om in een register te worden op genomen of op een lijst te worden geplaatst worden verwerkt. Dat kan hun hoedanigheid zijn, maar ook de gewenste prestatie. Met betrekking tot onderdeel e wordt opgemerkt dat om te kunnen beoordelen of betrokkene voor een bepaalde prestatie of voorziening in aanmerking komt hij allerlei gegevens moet overleggen. Bijvoorbeeld een woningzoekende dient informatie te verstrekking over zijn gezinssamenstelling en zijn inkomen. Gelet op het proportionaliteitsbeginsel kunnen in dat verband niet meer gegevens worden verwerkt dan noodzakelijk voor de beoordeling van het verzoek van betrokkene. Onder omstandigheden kan het gaan om bijzondere gegevens als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet. Te denken valt bijvoorbeeld aan een wachtlijst van personen die lijden aan een bepaalde ziekte, of aan een lijst van deelnemers aan een project voor verstrekking van methadon of gratis injectiespuiten. Verstrekking van de namen en adressen van personen op een dergelijke lijst impliceert de verstrekking van het gegeven dat zij beschikken over een bepaalde hoedanigheid. Dergelijke verstrekkingen voldoen niet aan het criterium dat een inbreuk op de rechten en vrijheden van de betrokkene onwaarschijnlijk is. Om deze reden is het bereik van het vierde lid, onder c, van dit besluit beperkt tot de situaties waarin de grond tot opneming op de lijst geen bijzondere gegevens in de zin van paragraaf 2 van hoofdstuk 2 van de wet betreft.
Artikel 41 Dit artikel voorziet in een vrijstelling voor verwerkingen van persoonsgegevens van oud-leden, oud-personeelsleden oud-leerlingen, oud-deelnemers en oud-studenten van de verantwoordelijke die contact met de verantwoordelijke en elkaar willen blijven onderhouden. Voorts is het niet ongebruikelijk dat aan deze personen nog informatie wordt toegezonden of dat activiteiten worden georganiseerd waaraan zij – eventueel tegen betaling – kunnen deelnemen. Dergelijke verwerkingen zijn in wezen vergelijkbaar met die bedoeld in artikel 3 betreffende leden. Een afzonderlijke vrijstellingsregeling is getroffen omdat deze contacten niet steeds in het verband van een vereniging plegen te worden onderhouden.
Artikel 42 In deze bepaling wordt voorzien in een vrijstelling voor verwerkingen van voor communicatie benodigde gegevens. In vergelijking met artikel 21 van het Bgv is de huidige vrijstelling verruimd in die zin dat meer gegevens kunnen worden verwerkt dan onder het regime van het Bgv mogelijk was. Het gaat hier om verwerkingen van gegevens van relaties van de verantwoordelijke. Evenals in artikel 21 van het Bgv is niet van belang of er al dan niet sprake is van een bestaande relatie. Overeenkomstig artikel 13 van dit besluit kan het hier ook gaan om personen die zich voor bepaalde informatie over producten of diensten tot de verantwoordelijke hebben gewend. Het is heel gebruikelijk dat instellingen hun relaties bijvoorbeeld een jaarverslag sturen en dat dit wordt vastgelegd. Dit artikel voorziet nu in een vrijstelling voor dergelijke verwerkingen van relatiegegevens. Deze verwerkingen zijn in eerste instantie gericht op het
Staatsblad 2001
250
74
onderhouden van contacten met betrokkene echter zullen eveneens het karakter van direct marketing kunnen vertonen. De verantwoordelijke zal de betrokkene immers op de hoogte willen houden van nieuwe producten of diensten ten einde zijn interesse daarvoor op te wekken. De bestaande uitsluiting van bijzondere gegevens, genoemd in artikel 21, derde lid, van het Bgv, is gehandhaafd. Dit betekent dat de verwerking geen bijzondere gegevens als bedoeld in paragraaf 2 van hoofdstuk 2 van de wet mag betreffen noch dat deze gegevens uit de verwerking mogen voortvloeien. Dat laatste is bijvoorbeeld het geval bij het verwerken van doelgroepen met een gemeenschappelijk kenmerk dat een bijzonder gegeven betreft. Alsdan herleeft dus de aanmeldingsplicht.
Artikel 43 Waar dit zinvol en uit het oogpunt van de bescherming van de persoonlijke levenssfeer verantwoord lijkt, wordt in dit artikel voorzien in een vrijstelling voor bepaalde combinaties van eerder in dit besluit vermelde verwerkingen. Zo voorziet het eerste lid in een vrijstelling voor combinaties van de verwerkingen van persoonsgegevens van leden, van abonnees en afnemers en leveranciers. Het tweede lid voorziet in een vrijstelling van een combinatie van verwerkingen van persoonsgegevens van sollicitanten, uitzendkrachten, personeelsleden, salarisaanspraken en aanspraken op uitkeringen in verband met de beëindiging van een dienstverband. Het derde lid voorziet in een vrijstelling voor een combinatie van verwerkingen van persoonsgegevens van personen die op een (wacht)lijst staan, met die van verwerkingen met het oog op de huur en verhuur van onroerende en roerende zaken, of die van bewoners van verzorgingshuizen, die ten behoeve van kinderopvang of ten behoeve van de individuele gezondheidszorg in zijn algemeenheid dan wel ten behoeve van het onderwijs. Het vierde lid voorziet in een vrijstelling voor een combinatie van verwerkingen van persoonsgegevens in verband met faciliteiten of diensten op een netwerk, het beheer van computersystemen of computerprogramma’s, dan wel in verband met het gebruik van communicatieapparatuur of de toegangscontrole. Dergelijke combinaties zijn in depraktijk niet ongebruikelijk, zoals bijvoorbeeld het verwerken van verkeersgegevens die samenhangen met «video-conferencing». Met betrekking tot de combinaties van verwerkingen, genoemd in artikel 43, geldt dat ten aanzien van de verschillende onderdelen van de verwerkingen dient te worden voldaan aan de eisen die in de daarop betrekking hebbende artikelen zijn geformuleerd, wil van een vrijstelling sprake zijn. Het criterium dat een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is heeft daarbij niet slechts betrekking op de onderdelen van de verwerkingen maar ook op de combinaties als zodanig. Bij de in dit artikel genoemde combinaties, die elk de in elkaar overvloeiende stadia weergeven van een doorlopende relatie tussen betrokkenen en een verantwoordelijke, is in beginsel aan dit criterium voldaan. Daarbij doen zich echter wel verschillen voor. Zo is er bij een combinatie van verwerkingen betreffende leden, abonnees en afnemers sprake van een grote samenloop tussen de kring van betrokkenen en hun relatie met de verantwoordelijke. Bij verwerkingen betreffende sollicitanten, uitzendkrachten, personeelsleden enz. is die samenloop naar zijn aard wat minder. Dat geldt nog sterker voor de combinatie van verwerkingen betreffende personen die wel en die niet op een wachtlijst staan. Indien er echter steeds sprake is van één verantwoordelijke (artikel 2 van dit besluit) en deze zich houdt aan de beperkingen die ten aanzien van de verschillende doelgroepen gelden, behoeft tegen het vrijstellen van de combinatie als zodanig geen bezwaar te bestaan.
Staatsblad 2001
250
75
Hoofdstuk 3 Slotbepalingen
Artikel 44 Het kan voorkomen dat ten aanzien van verwerkingen die in beginsel zijn vrijgesteld van de meldingsplicht op grond van één van de artikelen van dit besluit, gegevens worden verstrekt naar een land buiten de Europese Unie. De vraag rijst dan of deze verstrekking er toe leidt dat de meldingsplicht herleeft. Ook hier geldt weer als uitgangspunt dat dit niet het geval behoeft te zijn indien bij deze vorm van gegevensverwerking inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk is te achten. Dit is het geval indien dat derde land een passend beschermingsniveau kan waarborgen. Maar dit is niet voldoende. Verstrekkingen die op grond van artikel 76 van de wet plaatsvinden zijn immers moeilijk controleerbaar voor de betrokkene en daarom minder transparant. Het is de verantwoordelijke zelf die in eerste instantie beoordeelt of het desbetreffende land een passend beschermingsniveveau waarborgt. Om die reden is de reikwijdte van artikel 45 van dit besluit beperkt tot (verstrekkingen aan) die landen waarvan de Minister van Justitie op grond van artikel 78, tweede lid, onder b, van de wet heeft vastgesteld dat er een passend beschermingsniveau wordt gewaarborgd. Het ligt in het verlengde van hetgeen onder paragraaf 4.3 van deze toelichting is opgemerkt ten aanzien van verstrekkingen in de gevallen, bedoeld in artikel 8, onder a, c, en d, en 9, derde lid, van de wet, òòk ten aanzien van verstrekkingen, bedoeld in artikel 77, eerste lid, onder a en e, van de wet te bepalen dat deze de vrijstelling niet aantasten. Gegevensverkeer naar landen binnen de EU doet een aanwezige vrijstelling niet vervallen. Omdat in die landen het niveau van bescherming in principe gelijk is, blijft een inbreuk op de rechten en vrijheden van betrokkenen onwaarschijnlijk.
Artikel 45 De vrijstellingsregeling dient niet van toepassing te zijn op verwerkingen die onderworpen zijn aan voorafgaand onderzoek in de zin van artikel 31 van de Wbp. Dergelijke verwerkingen houden immers een bijzonder risico in voor de persoonlijke rechten en vrijheden van betrokkene. Artikel 45 sluit uitdrukkelijk een samenloop tussen een vrijstelling en dergelijke verwerkingen uit.
Artikel 46 Het kan zijn dat de verantwoordelijke van een vrijgestelde verwerking er om verschillende redenen de voorkeur aan kan geven toch aan de verplichting van artikel 27 van de wet te voldoen. Dit artikel biedt daarvoor de mogelijkheid. Dit betekent dat deze artikelen niet van toepassing zijn in het geval dat de verantwoordelijke van de verwerking uitdrukkelijk te kennen heeft gegeven te willen voldoen aan de verplichting van artikel 27 van de wet. Van zo’n uitdrukkelijke kennisgeving is sprake wanneer de verantwoordelijke een aanmelding indient bij het Cbp of de functionaris. De verantwoordelijke is in dat geval gehouden aan de gegevens die hij in dat verband heeft overgelegd. Dat zullen de gegevens zijn die hij verplicht is te melden op grond van artikel 28 van de wet. De Minister van Justitie, A. H. Korthals
Staatsblad 2001
250
76
