Vrijwillige verstrekking aan politie en justitie van persoonsgegevens door telecommunicatieaanbieders Dit informatieblad is bestemd voor de verantwoordelijke, dat is degene die voor eigen doeleinden persoonsgegevens van anderen gebruikt. DIT INFORMATIEBLAD GAAT IN OP DE VOLGENDE VRAGEN:
Voor wie is dit informatieblad bedoeld? In welke gevallen is vrijwillige verstrekking van gegevens mogelijk? Welke afwegingen moet de telecomaanbieder maken als politie of justitie hem vragen vrijwillig persoonsgegevens te verstrekken? Welke informatie moet het OM aan de telecomaanbieder geven? Mogen gegevens worden verstrekt bij aangifte van fraude? Moeten telecomaanbieders gegevens bewaren voor politie en justitie? Wat zijn de gevolgen van het in strijd met de wettelijke voorschriften verstrekken van gegevens door de telecomaanbieder? Wat kan de betrokkene doen bij vragen of klachten?
Nummer 29, februari 2007 De gecursiveerde titels vindt u tevens op www.cbpweb.nl en www.mijnprivacy.nl.
Ten behoeve van de opsporing van strafbare feiten hebben politie en justitie de bevoegdheid van aanbieders van telefoondiensten en internettoegang persoonsgegevens te vorderen. Telecommunicatieaanbieders zijn in zulke gevallen verplicht de gevorderde gegevens te verstrekken. Naast deze wettelijke verplichting is in een beperkt aantal gevallen nog ruimte voor aanbieders van openbare telecommunicatiediensten en -netwerken om op vrijwillige basis gegevens te verstrekken aan politie en justitie. In dit informatieblad worden de mogelijkheden daarvoor geschetst en wordt aangegeven welke regels daarbij gelden. Hierbij gaat het niet om het verstrekken van algemene informatie over de inrichting van netwerken en/of diensten. Op het verstrekken van dergelijke informatie, die geen betrekking heeft op individuele personen, is de Wet bescherming persoonsgegevens (Wbp) niet van toepassing. Voor wie is dit informatieblad bedoeld? Dit informatieblad richt zich tot bedrijven die vaste en mobiele telefonie dan wel internettoegang aanbieden aan het publiek. Internetcafés, Trusted Third Parties (TTP’s) of aanbieders van informatiediensten zijn doorgaans niet aan te merken als aanbieders van openbare telecommunicatiediensten. Gebruikers van dit informatieblad worden uitgenodigd ervaringen over vrijwillige verstrekkingen door te geven aan het CBP, via het e-mailadres
[email protected]. Deze opmerkingen kunnen relevant zijn voor een volgende versie. Welke mogelijkheden bestaan er (nog) voor vrijwillige verstrekking? Vrijwillige verstrekking is uitgesloten als het gaat om een gegeven dat door politie/justitie op grond van een wettelijke bevoegdheid kan worden gevorderd. Met de inwerkingtreding van de Wet vorderen gegevens telecommunicatie (Staatsblad 2004, 105), de Wet vorderen gegevens (Staatsblad 2005, 390) en de Wet Computercriminaliteit II (Staatsblad 2006, 300) zijn bevoegdheden gecreëerd tot het vorderen van de meest voorkomende soorten gegevens, zoals de inhoud van het communicatieverkeer, verkeersgegevens en gegevens omtrent de gebruiker. Een overzicht van deze bevoegdheden is opgenomen in Bijlage 1 bij dit informatieblad. De basis voor het verplicht verstrekken van persoonsgegevens is artikel 8, onderdeel c van de Wet bescherming persoonsgegevens (Wbp) en artikel 11.13 van de Telecommunicatiewet (Tw). Ook andere instanties dan politie en justitie kunnen belang hebben bij het verkrijgen van gegevens van telecommunicatiebedrijven. Voorbeelden daarvan zijn in Bijlage 2 opgenomen.
Gezien het brede bereik van deze vorderingsbevoegdheden is de (rest)categorie van gegevens die op vrijwillige basis kunnen worden verstrekt uiterst beperkt. De volgende mogelijkheden bestaan voor vrijwillige verstrekking door een telecommunicatieaanbieder aan politie en justitie: 1. Het uit eigen beweging, dus zonder daartoe te worden gedwongen, verstrekken van gegevens aan de politie, indien er een evident en dringend opsporingsbelang aanwezig is. Dat kan bijvoorbeeld het geval zijn als aanbieders zelf onrechtmatigheden signaleren. Artikel 43 Wbp biedt daarvoor ruimte. 2. Het verstrekken van gegevens in crisissituaties waarin niet direct een opsporingsbelang aanwezig is, maar wel een dringend beroep wordt gedaan op een communicatieaanbieder voor het verlenen van hulp aan de politie. Te denken valt aan een vermissing, waarbij voor een misdrijf wordt gevreesd, of aan een geval waarin direct handelen van levensbelang is. Verstrekking van gegevens kan dan naast de eventuele strafvordering (mede) ten doel hebben de vrijwaring van een vitaal belang van de betrokkene. In artikel 8, onder d Wbp kan dan een grondslag voor verstrekking worden gevonden. Welke afwegingen moet de telecomaanbieder maken bij een verzoek tot vrijwillige verstrekking van persoonsgegevens? • Allereerst moet hij nagaan of de verzochte gegevens niet zouden moeten worden gevorderd (art. 8c Wbp). Als dat zo is, kan van vrijwillige verstrekking geen sprake zijn. • Indien het verstrekken van gegevens op vrijwillige basis wel mogelijk is, moet vervolgens worden nagegaan of daarvoor een grondslag bestaat als bedoeld in artikel 8 d dan wel 8e Wbp: de verstrekking moet in dat geval noodzakelijk zijn voor de goede vervulling van een publiekrechtelijke taak van het bestuursorgaan waaraan de gegevens worden verstrekt. Zie z2001-1308 van 11 september 2001, en z2002-0594 van 18 juli 2002, Alijda-project. • In artikel 9 Wbp is daarnaast de eis gesteld dat de verdere verwerking van persoonsgegevens verenigbaar moet zijn met de doeleinden waarvoor ze zijn verkregen. Omdat een verstrekking van gegevens aan de opsporingsinstanties doorgaans niet verenigbaar zal zijn met het doel waarvoor de telecommunicatieaanbieder deze heeft verkregen, zal daarnaast een van de uitzonderingen van 43 Wbp moeten gelden. Aan de politie dan wel de officier van justitie kunnen persoonsgegevens worden verstrekt voor zover dit noodzakelijk is in het belang van de voorkoming, opsporing en vervolging van strafbare feiten (artikel 43b Wbp). • Vervolgens dient de noodzaak voor de verstrekking van de gegevens te worden vastgesteld. Het begrip ‘noodzakelijk’ vereist een afweging in het concrete geval aan de hand van de beginselen van proportionaliteit en subsidiariteit. De telecomaanbieder blijft als verantwoordelijke in de zin van de Wbp aansprakelijk voor eventuele schade ten gevolgen van de verstrekking van persoonsgegevens (artikel 49 Wbp). • Omdat het aantal gevallen waarin vrijwillig informatie mag worden verstrekt zeer beperkt is, dienen de beschikbare gegevens ook te beantwoorden aan de dringendheid van de gestelde vraag. Gegevens die niet aan dat doel beantwoorden komen niet voor verstrekking in aanmerking. Gelet op de verantwoordelijkheid van de telecomaanbieder voor de door hem verwerkte persoonsgegevens, zullen alleen die gegevens verstrekt mogen worden die voldoende specifiek, ter zake dienend en niet bovenmatig zijn (artikel 11 Wbp).
Voorbeelden van vrijwillige gegevensverstrekking •Iemand rijdt met zijn auto het water in en kan met zijn mobieltje nog het alarmnummer bellen voor hulp. Hij kan echter niet exact aangeven waar hij zich bevindt. Aanbieders zijn al verplicht om tegelijk met de oproep ook de beschikbare locatiegegevens aan de alarmcentrale te verstrekken. Die locatiegegevens zijn meestal niet voldoende precies. Als de politie vervolgens de aanbieder verzoekt om een nauwkeuriger locatiebepaling, ontbreekt daarvoor een strafvorderlijke bevoegdheid. In een dergelijke zaak van leven of dood waarin terstond noodhulp moet worden verstrekt, heeft de aanbieder de mogelijkheid om op grond van artikel 8d Wbp de noodzakelijke informatie te verstrekken. Als het mogelijk is, met toestemming van de betrokkene. •Een vermoeden dat een zestienjarig meisje met een loverboy is verdwenen is op zichzelf niet voldoende ernstig om de vrijwillige medewerking van telecommunicatieaanbieders te verlangen. Als er echter aanwijzingen bestaan dat sprake is van dwang of van ontvoering, kan gebruik worden gemaakt van strafvorderlijke bevoegdheden. •Het weglopen uit een psychiatrische inrichting na gedwongen opname is als zodanig niet ernstig genoeg om de bijstand van een telecommunicatieaanbieder in te roepen. Als er een afscheidsbrief wordt gevonden kan dat anders zijn, maar ook dan is denkbaar dat eerst andere wegen worden bewandeld voordat het mobieltje van de betrokkene op verzoek van politie of justitie wordt uitgepeild, zoals het proberen telefonisch contact met betrokkene zelf op te nemen en het doen van navraag naar betrokkene in zijn kennissenkring. Welke informatie moet het OM aan de telecomaanbieder verschaffen? Om tot een verantwoorde afweging te kunnen komen heeft de aanbieder informatie nodig van het openbaar ministerie. Mag de operator afgaan op wat het OM zegt? De wet stelt geen eisen aan de vorm waarin een verzoek tot vrijwillige gegevensverstrekking wordt gedaan. Voor het bewijs dat de juiste afwegingen zijn gemaakt, is het echter nodig om bij mondelinge of telefonische verzoeken tevens een schriftelijk verzoek te verlangen, dat datum, naam, en handtekening van de bevoegde functionaris bevat. Een verzoek om vrijwillig gegevens te verstrekken zal daarnaast in elk geval moeten voldoen aan de volgende voorwaarden: • Het verzoek moet (zo nauwkeurig mogelijk) de omstandigheden toelichten die de noodzaak in het concrete geval aantonen. • Wanneer justitie de achterliggende informatie niet in zijn geheel kan meedelen - op grond van belangen van opsporing of bijvoorbeeld rechten van derden die bekendmaking verhinderen - mag de telecomaanbieder (tot op zekere hoogte) vertrouwen op de beoordeling daarvan door justitie, wanneer uit het verzoek blijkt dat onderzoek naar de noodzaak heeft plaatsgevonden en er geen andere mogelijkheid (bv. strafvorderlijke bevoegdheid) aanwezig is om aan de gegevens te komen. De telecomaanbieder moet op grond van de verstrekte achtergrondinformatie en de motivering van het verzoek kunnen beoordelen of sprake is van de vereiste noodzaak. • Het verzoek moet ernstige gevallen betreffen, zoals misdrijven van ernstige aard dan wel gebeurtenissen van ernstige aard die een directe actie noodzakelijk maken, terwijl de benodigde informatie niet tijdig of alleen met grote inspanning op een andere wijze kan worden verkregen. Het betreft hier bijvoorbeeld levensbedreigende situaties of situaties waarin geen strafvorderlijke vorderingsbevoegdheden kunnen worden gebruikt, maar die daar dicht tegen
aan liggen. De noodzaak zal moeten opwegen tegen de inbreuk op de persoonlijke levenssfeer van de betrokkene. Naarmate het gegeven gevoeliger is, zal de inbreuk op de persoonlijke levenssfeer van de betrokkene groter zijn en behoeft deze meer rechtvaardiging. Zie RGK 91.C.002.05 Het verstrekken van gegevens bij aangifte van fraude Mogen verkeersgegevens worden verstrekt bij het doen van aangifte van fraude? In het Wetboek van Strafrecht (Sr) is het onbevoegd verstrekken van bepaalde inlichtingen aan derden door aanbieders van openbare telecommunicatie strafbaar gesteld. Zie artikel 371 Sr dat betrekking heeft op inlichtingen over communicatieverkeer en artikel 273d Sr dat met name ziet op de inhoud van overgedragen berichten. Het CBP maakt onderscheid tussen een telecombedrijf dat zelf slachtoffer is van fraude – dat mag verkeersgegevens bijvoegen bij het doen van aangifte - en een telecombedrijf dat zelf niet de benadeelde is – dat moet gegevens laten vorderen (RGK 99.V.043101 van 23 juli 1999). Bewaren om te verstrekken? Er zijn telecommunicatiebedrijven die menen dat ze gegevens dienen te bewaren ten behoeve van politie en justitie. Dat is in de meeste gevallen onjuist. Alleen voor vooruitbetaalde (prepaid) mobiele telefonie verplicht de wet tot het bewaren van een beperkte set gegevens ( art. 13.4 lid 2 Tw en Besluit). Buiten dat geval dienen pas wanneer de EU-richtlijn voor dataretentie (Richtlijn 2006/24/EG van 15 maart 2006) is omgezet in de Nederlandse wetgeving wel gegevens ten behoeve van de opsporing bewaard te blijven. Aansprakelijkheid Hiervoor is uitgelegd welke mogelijkheden bestaan voor vrijwillige verstrekkingen en welke voorschriften daarbij in acht moeten worden genomen. Indien iemand schade lijdt doordat een telecommunicatieaanbieder op vrijwillige basis gegevens heeft verstrekt aan politie en justitie maar daarbij in strijd met de wettelijke voorschriften heeft gehandeld, kan hij de verantwoordelijke telecommunicatieaanbieder daarvoor aansprakelijk stellen. (Art. 49 Wbp). Vragen en klachten van de betrokkene Met vragen en klachten over een bepaalde gegevensverstrekking moet de betrokkene zich eerst wenden tot de telecommunicatieaanbieder. Indien dit niet leidt tot een oplossing kan de betrokkene zijn vraag of klacht voorleggen aan het CBP. Zie voor informatie over het behandelen van klachten door het CBP het informatieblad Klachtenbehandeling door het CBP. Het CBP kan ook besluiten tot ambtshalve onderzoek naar gegevensverstrekkingen en het toepassen van bestuursdwang.
BIJLAGEN 1. De belangrijkste bepalingen in het Wetboek van Strafvordering (Sv) voor telecommunicatieaanbieders: Voorop staan specifieke bevoegdheden tot het vorderen van gegevens van communicatieaanbieders (Boek 1, Titel IVA, zevende afdeling Sv). Artikel 126m Sv: aftappen, dat wil zeggen met een technisch hulpmiddel opnemen van niet voor het publiek bestemde communicatie alsmede het medewerking verlenen aan het ontsleutelen van gegevens. Artikel 126n Sv: verkeersgegevens, dat wil zeggen historische en toekomstige gegevens over een gebruiker van een communicatiedienst en het communicatieverkeer met betrekking tot die gebruiker, mits bij amvb aangewezen. Artikel 126na Sv: identificerende gegevens, dat wil zeggen gegevens ter zake van naam, adres, postcode, woonplaats, nummer en soort dienst van een gebruiker van een communicatiedienst. Indien die gegevens niet bij de aanbieder bekend zijn kan de verplichting bestaan die gegevens te achterhalen en te verstrekken. Artikel 126nb Sv: identificerende nummers, met behulp van apparatuur als bedoeld in artikel 3.10 Telecommunicatiewet het nummer waarmee de gebruiker van een communicatiedienst kan worden geïdentificeerd. Aanvullend kunnen verplichtingen voor communicatieaanbieders bestaan tot verstrekking van andere gegevens, te weten opgeslagen of vastgelegde identificerende gegevens (artikel 126nc), overige gegevens (artikel 126nd) en toekomstige gegevens (artikel 126ne). Zie artikel 126ng Sv: andere gegevens dan die gevorderd kunnen worden op grond van de artikelen 126n en 126na Sv, met inbegrip van gegevens die zijn opgeslagen in een geautomatiseerd werk van de aanbieder en voor deze bestemd of van deze afkomstig zijn. Aldaar opgeslagen gegevens die niet voor de aanbieder bestemd of van deze afkomstig zijn kunnen alleen worden gevorderd voor zover afkomstig van of bestemd voor verdachte of betrekking hebbend op strafbaar feit e.d. Artikel 126ni kent nog het bevriezingsbevel, dat de verplichting geeft tot bewaring en beschikbaar houden voor 90 dagen van gegevens die in het bijzonder vatbaar zijn voor verlies of wijziging. Heeft het bevel betrekking op vluchtige verkeersgegevens dan is de aanbieder tevens verplicht zo snel mogelijk de gegevens te verschaffen die nodig zijn om de identiteit van andere bij de communicatie betrokken aanbieders te achterhalen. In aanvulling daarop kan voorts nog een verplichting bestaan berichten uit te leveren ter inbeslagneming, dan wel mee te werken aan een doorzoeking ter vastlegging van gegevens. Artikel 100 Sv: uitlevering ter inbeslagneming van berichten die aan een telecommunicatieaanbieder zijn toevertrouwd afkomstig of bestemd voor verdachte of betrekking hebbend op strafbaar feit e.d. Artikel 125la Sv: doorzoeking ter vastlegging van gegevens is mogelijk bij een aanbieder van een openbaar telecommunicatienetwerk of een openbare telecommunicatiedienst, zij het dat ook hier de categorie van gegevens op vergelijkbare manier is beperkt. Tenslotte kan nog worden gewezen op de verplichting tot het ontoegankelijk maken van gegevens met betrekking tot welke of met behulp waarvan het strafbare feit is gepleegd (artikel 125o Sv).
2. Vorderingen van andere instanties Bestuursorganen hebben soms eigen bevoegdheden tot het vorderen van gegevens van telecommunicatieaanbieders. Zie bijvoorbeeld voor de bevoegdheid van de Onafhankelijke Post en Telecommunicatie Autoriteit (OPTA) tot het vorderen van inlichtingen artikel 18.7 van de Telecommunicatiewet (Tw). Waar dergelijke bevoegdheden ruim zijn geformuleerd, dienen deze duidelijk te worden afgegrensd, terwijl aanvullende waarborgen worden geboden tegen ongerechtvaardigde inbreuken op de persoonlijke levenssfeer. Zie bijvoorbeeld Informatiegaring door de fiscus, Registratiekamer, A&V nr. 8, 1998. Slachtoffers van strafbare feiten of ander onrechtmatig gedrag kunnen zich tot de rechter wenden om gegevens van internetproviders of andere telecommunicatieaanbieders te verkrijgen. Zie Hoge Raad 25 november 2005, LJ AU4019 (Lycos) Voor slachtoffers van plaaggedrag geeft artikel 11.11 Tw een procedure.
