Besluit van 5 maart 2012, houdende wijziging van het Besluit kostenvergoeding rechten betrokkene Wbp, het Meldingsbesluit Wbp en het Vrijstellingsbesluit Wbp in verband met vermindering van administratieve lasten

Wij Beatrix, bij de gratie Gods, Koningin der Nederlanden, Prinses van Oranje-Nassau, enz. enz. enz.

Op de voordracht van de Staatssecretaris van Veiligheid en Justitie van 12 december 2011, nr. 5719197/11/6;

Gelet op de artikelen 28, vijfde lid, 29, eerste en tweede lid, en 39, eerste en derde lid, van de Wet bescherming persoonsgegevens;

De Afdeling advisering van Raad van State gehoord (advies van 3 februari 2012, nr. W03.11.0526/II);

Gezien het nader rapport van de Staatssecretaris van Veiligheid en Justitie van 27 februari 2012, nr. 5725744/12/6;

Hebben goedgevonden en verstaan:

ARTIKEL I

Het Besluit kostenvergoeding rechten betrokkene Wbp wordt als volgt gewijzigd:

A

Artikel 2 komt te luiden:

Artikel 2

  • 1. De vergoeding voor de kosten van de mededeling, bedoeld in artikel 35 van de wet, bedraagt € 0,23 per pagina tot een maximumbedrag van € 5,– voor elke afzonderlijke mededeling.

  • 2. De verantwoordelijke mag voor de kosten van de mededeling die op een andere gegevensdrager dan papier wordt verstrekt een redelijke vergoeding in rekening brengen, met dien verstande dat deze ten hoogste € 5,– bedraagt.

B

Artikel 3 komt te luiden:

Artikel 3

In afwijking van artikel 2 mag de verantwoordelijke een redelijke vergoeding in rekening brengen, met dien verstande dat deze ten hoogste € 22,50 bedraagt in het geval dat:

  • a. de mededeling bestaat uit meer dan honderd pagina’s;

  • b. de mededeling bestaat uit een afschrift van een, vanwege de aard van de verwerking, moeilijk toegankelijke gegevensverwerking;

  • c. de mededeling bestaat uit afdrukken van één of meer röntgenfoto’s.

ARTIKEL II

Het Meldingsbesluit Wbp wordt als volgt gewijzigd:

A

Artikel 1 komt te luiden:

Artikel 1

In dit besluit wordt verstaan onder wet: de Wet bescherming persoonsgegevens.

B

Artikel 2 wordt als volgt gewijzigd:

1. Voor de tekst wordt de aanduiding «1.» geplaatst.

2. Er wordt een lid toegevoegd, luidende:

  • 2. Indien de melding, bedoeld in de artikelen 27 en 28 van de wet, betrekking heeft op verwerkingen door of ten behoeve van meer dan één verantwoordelijke, deze verantwoordelijken allen deel uitmaken van een groep als bedoeld in artikel 24b van Boek 2 van het Burgerlijk Wetboek, en de doeleinden van de verwerkingen rechtstreeks ten dienste staan van de groep, kan de melding geschieden door één van deze verantwoordelijken, mede namens alle andere verantwoordelijken die deel uitmaken van de groep. De verantwoordelijke die de melding doet, doet daarbij mededeling van de identiteit van alle verantwoordelijken namens wie de melding mede wordt gedaan.

ARTIKEL III

Het Vrijstellingsbesluit Wbp wordt als volgt gewijzigd:

A

Artikel 3 wordt als volgt gewijzigd:

1. In het tweede lid worden de onderdelen c en d geletterd d en e.

2. In het tweede lid wordt een onderdeel ingevoegd, luidende:

  • c. het bekend maken van informatie over betrokkenen en activiteiten van de vereniging, stichting of publiekrechtelijke beroepsorganisatie na instemming van de ledenvergadering, voorzover aanwezig, op de eigen website;

3. In het derde lid wordt onderdeel e geletterd f.

4. In het derde lid wordt een onderdeel ingevoegd, luidende:

  • e. foto’s en videobeelden met of zonder geluid van activiteiten van de vereniging, stichting of publiekrechtelijke beroepsorganisatie;

4. Onder vernummering van het vijfde tot zevende lid, wordt twee leden ingevoegd, luidende:

  • 5. Gegevens op de website van de vereniging, stichting of publiekrechtelijke beroepsorganisatie worden slechts verstrekt aan:

    • a. de leden of begunstigers;

    • b. de ouders, voogden of verzorgers van minderjarige leden of begunstigers;

    • c. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijkerwijs zijn betrokken, voor zover zij daartoe door het bestuur zijn geautoriseerd.

  • 6. De verantwoordelijke draagt zorg voor een adequate toegangsbeveiliging van de website, alsmede voor een afdoende bescherming van persoonsgegevens voor verdere verwerking door zoekmachines.

5. Aan het zevende lid (nieuw) wordt een volzin toegevoegd, luidende:

De gegevens op de website worden onverwijld verwijderd wanneer de betrokkene of diens wettelijk vertegenwoordiger daarom verzoekt.

B

Artikel 6 wordt als volgt gewijzigd:

1. Het opschrift komt te luiden:

Artikel 6. Arbeidsbemiddeling

2. In het eerste lid wordt «voor uitzending naar een opdrachtgever» vervangen door: voor arbeidsbemiddeling.

3. In het tweede lid, onderdeel a, wordt «een terbeschikkingstelling bij een opdrachtgever» vervangen door: arbeidsbemiddeling.

4. Het tweede lid, onderdeel b, komt te luiden:

  • b. de bemiddeling van betrokkenen naar arbeid;

5. In het derde lid, onderdeel d, wordt «minderjarige uitzendkrachten» vervangen door: een minderjarige.

6. In het derde lid, onderdeel g, wordt «terbeschikkingstelling» vervangen door: arbeidsbemiddeling.

7. In het derde lid, onderdeel h, wordt «terbeschikkingstellingen» vervangen door: arbeidsbemiddelingen.

8. In het derde lid, onderdeel j, wordt «terbeschikkingstelling» vervangen door: arbeidsbemiddeling.

9. In het vierde lid wordt «opdrachtgever die een aanvraag voor een uitzendkracht heeft gedaan» vervangen door: opdrachtgever die een aanvraag voor arbeidsbemiddeling heeft gedaan.

C

In artikel 7, tweede lid, wordt, onder verlettering van de onderdelen k tot en met p tot l tot en met q een lid ingevoegd, luidende:

  • k. het opstellen van een lijst van data van verjaardagen van betrokkenen en andere feestelijkheden en gebeurtenissen;

D

Artikel 13 wordt als volgt gewijzigd:

1. Het opschrift komt te luiden:

Artikel 13. Afnemers en leveranciers van goederen en diensten en cliënten- en gastenadministraties

2. Het eerste lid komt te luiden:

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen, anders dan bedoeld in de artikelen 3 tot en met 12 en 14 tot en met 21, betreffende afnemers, leveranciers, cliënten en gasten van de verantwoordelijke of personen die ten aanzien van levering van goederen of het verlenen van diensten tot hem in een soortgelijke relatie staan, voor zover de verwerkingen voldoen aan de in dit artikel vermelde eisen.

E

Artikel 15 wordt als volgt gewijzigd:

1. Het opschrift komt te luiden:

Artikel 15. Juridische en financiëledienstverleners

2. Het eerste lid, komt te luiden:

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen met het oog op de juridische, onderscheidenlijk financiële dienstverlening aan cliënten van notarissen, advocaten of andere rechtshulpverleners, van gerechtsdeurwaarders voorzover het hun ambtelijke praktijk betreft, registeraccountants en Accountants-Administratieconsulenten en werknemers en andere natuurlijke personen die zich onder verantwoordelijkheid van een financiëledienstverlener rechtstreeks bezighouden met het verlenen van financiële diensten, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen.

F

Artikel 16, tweede lid, onder a, komt te luiden:

  • a. het uitoefenen van het beroep in de individuele gezondheidszorg, individueel of in samenwerkingsverband, mits dit samenwerkingsverband niet meer dan zes personen telt;

G

Artikel 17 wordt als volgt gewijzigd:

1. Het opschrift komt te luiden:

Artikel 17. Instellingen gezondheidszorg

2. In het eerste lid wordt «als bedoeld in artikel 1, onderdeel d, van de Algemene wet bijzondere ziektekosten, betreffende personen aan wie zij duurzaam verblijf en verzorging verschaffen» vervangen door: als bedoeld in artikel 1, eerste lid, onderdeel e, van de Algemene Wet Bijzondere Ziektekosten en artikel 1, onderdeel m, van de Zorgverzekeringswet, betreffende personen aan wie zij verblijf, verzorging en zorg verschaffen.

3. In het tweede lid wordt, onder verlettering van de onderdelen b tot en f tot c tot en met g een onderdeel ingevoegd luidende:

  • b. het verlenen van zorg;

4. In het derde lid, onderdeel c, wordt na «samenhangende» ingevoegd: voorzieningen.

5. In het derde lid wordt onder verlettering van de onderdelen d tot en met h tot e tot en met i een onderdeel ingevoegd, luidende:

  • d. gegevens die betrekking hebben op het verlenen van zorg;

6. In het derde lid, onderdeel e (nieuw) wordt «onderdeel b» vervangen door: onderdeel c.

H

In artikel 18, eerste lid, wordt na «kinderopvang» ingevoegd:, onderscheidenlijk gastouderopvang als bedoeld in artikel 1.1., eerste lid, van de Wet kinderopvang en kwaliteitseisen peuterspeelzalen.

I

Artikel 19 wordt als volgt gewijzigd:

1. Het eerste lid komt te luiden:

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen van instellingen voor onderwijs of van andere opleidings- of trainingsinstituten betreffende hun leerlingen, deelnemers of studenten en hun docenten en begeleiders, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen.

2. In het tweede lid worden, onder verlettering van de onderdelen c tot en met e tot e tot en met g, twee onderdelen ingevoegd, luidende:

  • c. het bekend maken van informatie over de organisatie en leermiddelen als bedoeld, onder a en b, alsmede informatie over de leerlingen, deelnemers of studenten, bedoeld in het eerste lid, op de eigen website;

  • d. het bekendmaken van de activiteiten van de instelling of het instituut op de eigen website;

3. In het derde lid worden onder verlettering van onderdeel j tot onderdeel l, twee onderdelen ingevoegd, luidende:

  • j. foto’s en videobeelden met of zonder geluid van activiteiten van de instelling of het instituut;

  • k. gegevens van docenten en begeleiders, voor zover deze gegevens van belang zijn voor de organisatie van het instituut of de instelling en het geven van onderwijs, opleidingen en trainingen;

4. In het derde lid, onderdeel l (nieuw) wordt «onder a tot en met i» vervangen door: onder a tot en met k.

5. Onder vernummering van het vijfde tot zevende lid, worden twee leden ingevoegd, luidende:

  • 5. Persoonsgegevens op de website van de instelling of het instituut worden slechts verstrekt aan:

    • a. degenen, waaronder begrepen derden, die leiding geven aan of belast zijn met de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijkerwijs zijn betrokken;

    • b. anderen, in de gevallen, bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet, voor zover zij daartoe door het bevoegd gezag zijn geautoriseerd.

  • 6. De verantwoordelijke draagt zorg voor een adequate toegangsbeveiliging van de website, alsmede voor een afdoende bescherming van persoonsgegevens tegen verdere verwerking door zoekmachines.

6. Aan het zevende lid (nieuw) wordt een volzin toegevoegd, luidende: De gegevens op de website worden onverwijld verwijderd wanneer de betrokkene of diens wettelijk vertegenwoordiger daarom verzoekt.

J

In artikel 22, tweede lid, onder b, wordt «het toezicht op de naleving» vervangen door: het toezicht op de naleving of de handhaving.

K

In artikel 38, zesde lid, wordt «24 uren» vervangen door: vier weken.

L

Na § 8 Beheer en beveiliging wordt een paragraaf ingevoegd, luidende:

§ 8a ICT-toepassingen

Artikel 38a Intranet

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen binnen een besloten intranet van een verantwoordelijke betreffende personen in dienst van of werkzaam ten behoeve van de verantwoordelijke, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen.

  • 2. De verwerking geschiedt na instemming van de ondernemingsraad, voorzover deze is ingesteld, slechts voor:

    • a. het informeren van betrokkenen over de bedrijfsactiviteiten van de verantwoordelijke;

    • b. het informeren van betrokkenen over de functies en taken van betrokkenen;

    • b. het bekend maken van foto’s en videobeelden, al dan niet met geluid, aan betrokkenen.

  • 3. Geen andere persoonsgegevens worden verwerkt dan:

    • a. naam, voornamen, voorletters, titulatuur, geslacht, geboortedatum, adres, postcode, woonplaats, telefoonnummer en soortgelijke voor communicatie benodigde gegevens;

    • b. gegevens betreffende de functie of de voormalige functie, alsmede betreffende de aard, de inhoud en de beëindiging van het dienstverband;

    • c. gegevens betreffende de aanwezigheid van de betrokkenen op de plaats waar de arbeid wordt verricht en hun afwezigheid in verband met verlof, arbeidsduurverkorting, bevalling of ziekte, met uitzondering van gegevens over de aard van de ziekte;

    • d. gegevens met betrekking tot verjaardagen van betrokkenen en andere feestelijkheden en gebeurtenissen;

    • e. foto’s en videobeelden met of zonder geluid van betrokkenen en activiteiten binnen de onderneming of instelling.

  • 4. De persoonsgegevens worden slechts verstrekt aan:

    • a. degenen, waaronder begrepen derden, die belast zijn met of leiding geven aan de in het tweede lid bedoelde activiteiten of die daarbij noodzakelijk zijn betrokken;

    • b. aan personen in dienst van of werkzaam ten behoeve van de verantwoordelijke;

    • c. anderen, in de gevallen bedoeld in artikel 8, onder a, c en d, of artikel 9, derde lid, van de wet, voor zover zij hiertoe zijn geautoriseerd door de verantwoordelijke.

  • 5. De persoonsgegevens worden verwijderd uiterlijk twee jaren nadat het dienstverband of de werkzaamheden van de betrokkene ten behoeve van de verantwoordelijke zijn beëindigd, tenzij de persoonsgegevens noodzakelijk zijn ter voldoening aan een wettelijke bewaarplicht.

Artikel 38b Persoonlijke websites

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen door individuele personen op hun persoonlijke website, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen.

  • 2. De verwerking geschiedt slechts voor persoonlijke doeleinden.

  • 3. Geen andere persoonsgegevens worden verwerkt dan:

    • a. gegevens van persoonlijke of familiaire aard de verantwoordelijke betreffende;

    • b. meningen en standpunten over gebeurtenissen, feiten en omstandigheden;

    • c. foto’s en videobeelden met of zonder geluid.

  • 4. De persoonsgegevens worden verwijderd na beëindiging van de website.

  • 5. De persoonsgegevens van anderen dan de verantwoordelijke worden op verzoek van de betrokkene onverwijld verwijderd.

M

Artikel 40, eerste lid, komt te luiden:

  • 1. Artikel 27 van de wet is niet van toepassing op verwerkingen ten behoeve van registers of lijsten betreffende personen die over een bepaalde hoedanigheid beschikken, die voor een bepaalde hoedanigheid of prestatie in aanmerking willen komen, of die in aanmerking kunnen komen voor een benoemingsprocedure en die in verband daarmee op hun verzoek of krachtens wettelijk voorschrift in het register of op de lijst zijn opgenomen, voor zover deze verwerkingen voldoen aan de in dit artikel vermelde eisen.

N

Artikel 44 komt te luiden:

Artikel 44 Gegevensverkeer met landen buiten de Europese Unie

Hoofdstuk 2 van dit besluit is ook van toepassing op de doorgifte van persoonsgegevens naar een land buiten de Europese Unie, indien:

  • a. het een land betreft dat partij is bij de op 2 mei 1992 te Oporto totstandgekomen Overeenkomst betreffende de Europese Economische Ruimte (Trb. 1992, 132), tenzij uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie voortvloeit dat deze doorgifte is beperkt of verboden.

  • b. de Commissie van de Europese Gemeenschappen overeenkomstig artikel 25, zesde lid, van richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en het vrije verkeer van die gegevens (PbEG L 281), onderscheidenlijk de Raad van de Europese Unie, heeft vastgesteld dat het derde land waarborgen voor een passend beschermingsniveau biedt;

  • c. het een geval betreft als bedoeld in artikel 77, eerste lid, onder a of e, van de wet;

  • d. de gegevens in overeenstemming met de beschikking van de Commissie van de Europese Gemeenschappen nr. 2000/520/EG van 26 juli 2000 overeenkomstig richtlijn nr. 95/46/EG van het Europees Parlement en de Raad, betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd (PbEG L 215) naar een verantwoordelijke of bewerker gevestigd in de Verenigde Staten worden doorgegeven; of,

  • e. de gegevens worden doorgegeven krachtens een vergunning als bedoeld in artikel 77, tweede lid, van de wet en deze vergunning betrekking heeft op een intern bindende gedragscode voor de verwerking van persoonsgegevens binnen een groep als bedoeld in artikel 24b van Boek 2 van het Burgerlijk Wetboek.

ARTIKEL IV

De artikelen van dit besluit treden in werking op een bij koninklijk besluit te bepalen tijdstip, dat voor de verschillende artikelen of onderdelen daarvan verschillend kan worden vastgesteld.

Lasten en bevelen dat dit besluit met de daarbij behorende nota van toelichting in het Staatsblad zal worden geplaatst.histnoot

’s-Gravenhage, 5 maart 2012

Beatrix

De Staatssecretaris van Veiligheid en Justitie, F. Teeven

Uitgegeven de dertiende maart 2012

De Minister van Veiligheid en Justitie, I. W. Opstelten

NOTA VAN TOELICHTING

I. Algemeen

1. Doel van het besluit

Onderhavig besluit strekt tot aanpassing van een aantal op de Wet bescherming persoonsgegevens (hierna: Wbp) gebaseerde algemene maatregelen van bestuur: het Vrijstellingsbesluit Wbp, het Besluit kostenvergoeding rechten betrokkene en het Meldingsbesluit Wbp. De belangrijkste doelstelling van dit besluit is de totstandbrenging van een reductie van de (gepercipieerde) administratieve lasten die voortvloeien uit voornoemde algemene maatregelen van bestuur. Van de gelegenheid wordt gebruik gemaakt om een aantal andere wijzigingen door te voeren. De wijzigingen worden in onderdeel 3 van deze nota van toelichting nader toegelicht.

2. Vermindering administratieve lasten op het terrein van gegevensverwerking

2.1. Achtergrond

In de brief van de Minister van Financiën en de Staatssecretaris van Economische Zaken aan de Voorzitter van de Tweede Kamer der Staten-Generaal van 13 april 2006 (Kamerstukken II 2005/06, 29 515, nr. 135) is een algemene uiteenzetting gegeven over de toenmalige stand van zaken van de rijksbrede aanpak van administratieve lasten en irritaties voor het bedrijfsleven. In het bij die brief gevoegde overzicht is een opsomming gegeven van de destijds voorgenomen maatregelen, met inbegrip van die op het gebied van het Ministerie van Justitie.

Bij brief van de Minister van Justitie aan de Voorzitter van de Tweede Kamer der Staten-Generaal van 24 april 2006 (Kamerstukken II 2005/06, 29 515, nr. 136) zijn deze maatregelen nader toegelicht. Deze maatregelen zouden enerzijds een aantal wijzigingen van de Wbp (vervat in het thans bij de Eerste Kamer aanhangige wetsvoorstel houdende wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten, nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen (Kamerstukken II 2008/09, 31 841, nr. 2) en anderzijds een aantal wijzigingen van het Vrijstellingsbesluit Wbp kunnen omvatten.

Met betrekking tot het Vrijstellingsbesluit Wbp wordt in de brief onder meer gesteld dat door een uitbreiding en verduidelijking de gepercipieerde lasten en ergernis over de Wbp kunnen worden verminderd. Een helder en toegankelijk geformuleerd Vrijstellingsbesluit Wbp draagt bij aan de uitvoerbaarheid hiervan. Verwacht wordt dat als gevolg hiervan het aantal onnodige meldingen – een verplichting op grond van artikel 27 van de Wbp – zal afnemen.

De betrekkelijk lange periode tussen het oorspronkelijke voornemen en de uitvoering daarvan is benut om een aantal nieuwe suggesties van het georganiseerd bedrijfsleven in dit besluit op te nemen. De lange periode tussen de adviesaanvragen in 2009 en de verwerking van de adviezen hangt met de lange duur van het wetgevingstraject van bovengenoemd wetsvoorstel. Dit wetsvoorstel is in juni 2011 door de Tweede Kamer aanvaard. Daarna zijn de werkzaamheden aan het besluit weer ter hand genomen.

Bij brief van 3 november 2009 is het kabinetsstandpunt ten aanzien van de bevindingen van de Adviescommissie Veiligheid en persoonlijke levenssfeer (commissie Brouwer-Korf) alsmede de evaluatierapporten van de Wet bescherming persoonsgegevens (Kamerstukkken II 2009/10 31 051, nr. 5) aan de Tweede Kamer aangeboden. Doelstelling van het toenmalige kabinet was onder meer om de administratieve lasten van burgers en bedrijven zoveel mogelijk terug te dringen. Een van de maatregelen die werd aangekondigd is het voeren van een ruimhartiger vrijstellingsbeleid ten aanzien van meldingsplichten voor gegevensverwerkingen.

De brief van 29 april 2011 (Kamerstukken II 32 761, nr 1) bevat de visie van het huidige kabinet op het privacybeleid. Op het terrein van administratieve lastenverlichting worden de activiteiten van de vorige kabinetten voortgezet.

2.2. Definitie administratieve lasten

Voor de definitie van administratieve lasten wordt in dit besluit uitgegaan van de definitie in het rapport Meten is weten II (Handleiding voor het definiëren en meten van administratieve lasten voor het bedrijfsleven, Regiegroep regeldruk, 2008). Administratieve lasten zijn volgens dit rapport: de kosten voor het bedrijfsleven om te voldoen aan informatieverplichtingen aan de overheid die voortvloeien uit wet- en regelgeving van de overheid. Van administratieve lasten dienen inhoudelijke nalevingskosten onderscheiden te worden. Van inhoudelijke nalevingskosten is sprake indien het informatieverplichtingen aan derden die direct gericht zijn op het realiseren van een inhoudelijk doel betreft. De kosten(vermindering) die gepaard gaat met dit besluit hangt samen met informatieverplichtingen aan een zelfstandig bestuursorgaan en behoort derhalve te worden geschaard onder het begrip administratieve lasten.

2.3. Juridisch kader

Het toepasselijke rechtskader waarbinnen de lastenreductie op het terrein van gegevensverwerking plaats dient te vinden, wordt gevormd door de Wbp en richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrij verkeer van die gegevens (PbEG L 281, hierna: de richtlijn). De richtlijn levert beperkingen op in het kader van het realiseren van reductie van administratieve lasten en nalevingskosten. De verschillende bestuursrechtelijke instrumenten in de Wbp die lastendruk veroorzaken, zoals de meldplicht, zijn direct ontleend aan de privacyrichtlijn. Aanpassingen zijn mogelijk binnen de grenzen van de richtlijn. Op grond van de richtlijn is het niet mogelijk de meldplicht af te schaffen. Wel hebben de lidstaten de nodige vrijheid om die meldplicht nader te regelen. Onderhavig besluit strekt hiertoe.

De afgelopen tijd heeft het denkproces binnen de Europese Unie over administratieve lasten voor het bedrijfsleven die gepaard gaan met de bescherming van persoonsgegevens niet stilgestaan. De Europese Commissie heeft op 4 november 2010 een Mededeling (COM (2010) 609 definitief) doen uitgaan waarin kaders worden geschetst voor een herziening van de privacyrichtlijn (richtlijn nr. 95/46/EG). Tevens kondigde de Commissie bij die gelegenheid voor medio 2011 een uitgewerkt voorstel aan tot herziening van het wettelijk kader voor gegevensbescherming in de EU. In de Mededeling stelt de Commissie voor om het bestaande systeem van de meldplicht te vereenvoudigen en meer te systematiseren, mogelijk door middel van een registratieformulier dat in de hele EU zou kunnen gelden.

In de BNC-fiche (Kamerstukken II 2010/11, 22 112, nr. 1116 1) over de mededeling heeft het kabinet zijn teleurstelling over de keuze van Commissie om afschaffing van de meldplicht niet te overwegen uitgesproken. De meldplicht is een administratieve formaliteit die thans geen redelijk doel meer dient, maar wel administratieve lasten oplevert. Dat acht het kabinet niet geloofwaardig meer, alleen al omdat een meldplicht moeilijk handhaafbaar is door het onafzienbare aantal gegevensverwerkingen dat in beginsel onder de meldplicht valt.

Een commissievoorstel tot herziening van de richtlijn wordt begin 2012 verwacht. De inzet van het kabinet bij de aankomende onderhandelingen over de herziening van de richtlijn zal onverminderd gericht zijn op verdergaande administratieve lastenverlichting voor het bedrijfsleven.

3. Inhoud van het besluit

3.1 Vrijstellingsbesluit Wbp

Het grootste gedeelte van dit besluit betreft de wijzigingen van het Vrijstellingsbesluit Wbp (artikel III van het onderhavige besluit). Alle voorgestelde wijzigingen zijn gericht op terugdringing van het aantal verplichte meldingen van gegevensverwerkingen en daarmee een verlichting van de (gepercipieerde) administratieve lasten voor het bedrijfsleven. Een melding van een gegevensverwerking aan het Cbp stelt de betrokkene in staat om te zien wat een verantwoordelijke met zijn gegevens doet en of hij zijn uit de Wbp voortvloeiende rechten op inzage, aanvulling en correctie moet uitoefenen. Vrijsteling van de meldplicht is mogelijk indien een inbreuk op de fundamentele rechten en vrijheden van de betrokkenen als bedoeld in artikel 29, eerste lid, van de Wbp onwaarschijnlijk te achten is. Het onderhavige besluit breidt het aantal vrijstellingen op de meldplicht uit. Bij de alsnog vrij te stellen verwerkingen is het voldoende transparant voor de betrokkene dat de gegevensverwerking plaatsvindt.

Ten eerste worden de vrijstellingen van de meldplicht voor juridische en financiële dienstverleners, bureaus voor werving en selectie van personeel, instellingen voor gezondheidszorg, de gastouderopvang en het private onderwijs- en cursusaanbod uitgebreid.

Voorts wordt de regeling in artikel 38 die verantwoordelijken vrijstelt van de verplichting hun gegevensverwerking voor bewakings- en beveiligingsdoeleinden te melden bij het Cbp verruimd. Dit voornemen past in de visie van het kabinet in het regeerakkoord «Vrijheid en verantwoordelijkheid» van 30 september 2010 om krachtig in te zetten op meer cameratoezicht. Op dit moment geldt nog de voorwaarde dat camerabeelden aan een beperkte bewaartermijn van slechts 24 uur onderworpen zijn. Van de uitbreiding van de bewaartermijn gaat een grotere preventieve werking uit. Voorts biedt een langere bewaartermijn burgers en bedrijven ruimere mogelijkheden om te beoordelen of zij deze beelden gebruiken voor het verbeteren van hun eigen veiligheid of voor het doen van aangifte van op de beelden geconstateerde strafbare feiten. De termijn wordt gelijkgetrokken met de bewaartermijn voor camerabeelden uit het publieke domein, te weten vier weken.

De wijziging van de artikelen 38a en 38b strekt tot introductie van een vrijstelling van de meldplicht voor ICT-toepassingen als intranet en persoonlijke websites en weblogs. Persoonsgegevens worden op talloze manieren gepubliceerd op internet. Het arrest van het Hof van Justitie van de Europese Gemeenschappen van 6 november 2003 (C-101/01, Lindqvist, Jur 2003, I – 12971) heeft duidelijk gemaakt dat artikel 3, tweede lid, tweede gedachtestreepje, van de richtlijn, waarin een algemene exceptie is geregeld voor verwerkingen van persoonlijke en huishoudelijke aard, niet te ruim mag worden geïnterpreteerd. Het Hof van Justitie heeft duidelijk overwogen dat die exceptie niet ziet op de verwerking van gegevens van persoonlijke en huishoudelijke aard op internet, onder meer omdat door gebruik van dat publicatiemedium die gegevens onder ogen van een in beginsel onbeperkt aantal derden kan komen. Daaruit volgt dat de meldplicht van artikel 27 Wbp ook van toepassing is op verwerkingen van persoonlijke en huishoudelijke aard, voor zover die op internet plaatsvinden en dat de exceptie van artikel 2, tweede lid, onder a, niet opgaat. De consequenties hiervan zijn vergaand. Veel burgers maken gebruik van persoonlijke websites, weblogs, sociale netwerksites en dergelijke, terwijl het bij deze verwerkingen onwaarschijnlijk is dat daardoor inbreuk wordt gemaakt op de fundamentele rechten en vrijheden van betrokkenen. Tegelijkertijd is er wel sprake van een, voor dit type gevallen, overbodige en inhoudsloze formaliteit in de vorm van een meldplicht. Dergelijke verwerkingen kunnen dan ook zonder meer worden vrijgesteld van de meldplicht.

In artikel 44 van het Vrijstellingsbesluit Wbp de vrijstelling van de meldplicht voor verwerkingen die (mede) zijn bestemd voor doorgifte naar derde landen uitgebreid. Geregeld wordt onder meer dat de vrijstelling van de meldplicht betrekking heeft op derde landen die buiten de Europese Economische Ruimte zijn gelegen. Dat is noodzakelijk, aangezien uit het Besluit van het Gemengd Comité van de EER nr. 83/1999 van 25 juni 1999 tot wijziging van Protocol nr. 37 en bijlage XI (Telecommunicatiediensten) bij de EER-Overeenkomst (PbEG 2000 L 296) voortvloeit dat Noorwegen, IJsland en Liechtenstein in elk geval wat betreft de toepassing van hoofdstuk IV van de richtlijn gelijkgesteld zijn met de landen van de Europese Unie.

Ook wordt geregeld dat verwerkingen niet meer behoeven te worden gemeld wanneer de Europese Commissie op grond van artikel 25, zesde lid, van de richtlijn heeft geoordeeld dat in het desbetreffende derde land waarborgen voor een passend niveau van gegevensbescherming worden geboden. Het betreft hier een eigen bevoegdheid van de Commissie. Tevens wordt de doorgifte van gegevens die overeenkomstig de Safe Harbor Principles plaatsvindt naar een verantwoordelijke of bewerker in de Verenigde Staten vrijgesteld van de meldplicht. Tot slot wordt de vrijstellingsmogelijkheid tot gegevensdoorgifte op grond van een vergunning op basis van artikel 77, tweede lid, van de wet, en die vergunning betrekking heeft op een intern bindende gedragscode in concernverband.

3.2 Meldingsbesluit Wbp

In het Meldingsbesluit Wbp wordt een voorziening getroffen voor een vereenvoudiging van de meldplicht voor grote ondernemingen. Indien er sprake is van een groep in de zin van artikel 24b van Boek 2 van het Burgerlijk Wetboek kan één van de verantwoordelijken die van de groep deel uitmaken een melding doen mede namens de andere rechtspersonen die van die groep deel uitmaken. Er moet echter wel aan een aantal voorwaarden worden voldaan. Zo dienen de doeleinden van alle verwerkingen waarop de melding betrekking heeft ten dienste te staan van de groep. De meldende rechtspersoon zal dit moeten aantonen. Verder zal bij de melding moeten worden aangegeven namens welke andere rechtspersonen uit de groep de melding geschiedt. De vennootschapsrechtelijke jaarverslaggeving kan daarbij behulpzaam zijn. Uiteraard heeft dit tot gevolg dat ook wijzigingen in de melding als gevolg van veranderingen in de groep door de meldende rechtspersoon zullen moeten worden doorgegeven.

3.3 Besluit kostenvergoedingen rechten betrokkenen Wbp

Van de gelegenheid wordt gebruik gemaakt om enkele aanpassingen door te voeren in het Besluit kostenvergoedingen rechten betrokkenen Wbp. Het betreft aanpassingen van de maximumbedragen. Verder wordt een expliciete regeling getroffen voor de vergoeding van afdrukken van röntgenfoto’s toegevoegd.

4. Administratieve lasten en nalevingskosten

Administratieve lastenraming

Het besluit beoogt de (gepercipieerde) administratieve lasten op het terrein van verwerking van persoonsgegevens terug te dringen. Het is niet mogelijk gebleken om de door het besluit beoogde vermindering van administratieve lasten voor het bedrijfsleven eenduidig te kwantificeren. Er bestaat wel inzicht in het aantal daadwerkelijke meldingen op jaarbasis bij het Cbp (in 2010 waren dit er 3720, in 2009 4.559 en in 2008 3.281). Echter een overzicht van het aantal verwerkingen dat potentieel door de meldplicht wordt bestreken, maar ten aanzien waarvan die plicht niet wordt nageleefd, ontbreekt. Evenmin is duidelijk hoeveel verantwoordelijken als gevolg van de formulering van het Vrijstellingsbesluit in twijfel verkeren over de vraag of zij wel of niet onder een vrijstellingsbepaling vallen.

Weliswaar ontvangt het Cbp voortdurend meldingen waarvan het meent dat deze ten onrechte zijn gedaan, maar ten onrechte gedane meldingen zijn geen werkelijk betrouwbare maatstaf voor de aantallen die het werkelijk betreft en de kosten die daarmee zouden kunnen zijn gemoeid. Mede als gevolg van de zeer brede reikwijdte van de Wbp was het voor het Cbp onmogelijk dat aantal precies vast te stellen. Op grond van eerdere ervaringen moet bovendien worden aangenomen dat onderzoek naar deze «dark numbers» geen volledig beeld oplevert van die kosten. (Verwezen wordt naar «Wat niet weet, dat niet deert, een evaluatieonderzoek naar de werking van de Wet bescherming persoonsgegevens in de praktijk» door ProFacto/Rijksuniversiteit Groningen, september 2008, aangeboden aan de Voorzitter van de Tweede Kamer der Staten-Generaal bij brief van de Minister van Justitie van 16 februari 2009, Kamerstukken II 2008/09, 31 051, nr. 4).

Hoewel onverplichte meldingen niet als administratieve lasten kunnen worden gekwantificeerd zal de reductie van deze meldingen naar verwachting in de praktijk wel worden ervaren als vermindering van administratieve lastendruk. Met het oog hierop wordt in deze nota van toelichting steeds gesproken over (gepercipieerde) administratieve lasten(vermindering).

Het Cbp heeft niettemin een schatting gemaakt dat 30% van de meldingen na inwerkingtreding van het onderhavige besluit kan vervallen, Het gaat dan om meldingen die nieuw kunnen worden vrijgesteld, of waarvan door verbeterde formulering duidelijk wordt dat zij zijn vrijgesteld. Het Cbp hanteert een norm van gemiddeld € 38 per melding. Door verduidelijking van het Vrijstellingsbesluit Wbp wordt beoogd deze onverplichte meldingen tegen te gaan. Een vermindering van de meldingen met 30% zou, gerekend met een bedrag van € 38 per melding, resulteren in een vermindering van ongeveer € 46.000 aan onverplichte lasten.

In het in opdracht van Actal in september 2006 door EIM opgestelde rapport getiteld «Administratieve lasten in het privacydomein, reductievoorstellen nader bekeken» wordt uitgegaan van een hogere besparing, te weten € 113 per melding. Dit zou een besparing van € 136.000 op jaarbasis betekenen.

In de nulmeting administratieve lasten bedrijven 2007, ministerie van Justitie (Capgemini, EIM, Deloitte en RambOll, 31 juli 2008) wordt zelfs uitgegaan van een bijgestelde last van € 270 per melding. Dit zou een besparing van de (gepercieerde) lasten kunnen opleveren van € 324.000 op jaarbasis. Het belangrijkste verschil tussen het rapport uit 2008 en eerdere gegevens is dat in het rapport uit 2008 gebruik is gemaakt van het standaardkostenmodel uit het rapport Meten is Weten II.

Het is niet mogelijk gebleken om de lasten voor burgers op het terrein van de persoonsgegevens te kwantificeren. Het Cbp heeft te kennen gegeven geen meldingen van burgers te ontvangen. Wel is het denkbaar dat het besluit, en dan met name de uitbreiding van de bewaartermijn met betrekking tot de vrijstelling voor camerabeelden, gevolgen heeft voor de door burgers gepercipieerde lasten. De uitbreiding van de bewaartermijn biedt immers ook burgers de mogelijkheid om, zonder voorafgaande melding, een langere termijn te hanteren voor het doen van aangifte van een op de camerabeelden geconstateerd strafbaar feit.

Nalevingskosten

Het besluit heeft geen gevolgen voor de nalevingskosten.

Actal-advies

Bij brief van 18 augustus 2009, nr. SvE/FvK/2009/1980/111 heeft Actal te kennen gegeven geen advies uit te brengen over het onderhavige besluit, nu uit de nota van toelichting wordt opgemaakt dat het besluit geen gevolgen voor de gepercipieerde administratieve lasten betreft Het standaardkostenmodel is niet toegesneden op dit specifieke geval, omdat hieruit niet blijkt hoeveel bedrijven twijfelen of zij wel of niet onder een vrijstellingsbepaling vallen. Met betrekking tot de raming van de kosten adviseert ACTAL om van de meest recente gegevens uit te gaan en deze te baseren op de nulmeting administratieve lasten voor bedrijven uit 2008. Naar aanleiding van dit advies zijn de resultaten van het onderzoek uit 2008 in bovenstaande berekening betrokken.

5. Financiële gevolgen

Het besluit heeft geen gevolgen voor de rijksbegroting. De aanpassingen in het meldingenprogramma bij het Cbp worden bekostigd uit het budget voor het reguliere onderhoud. Er worden geen financiële of capacitaire gevolgen voorzien voor het Cbp.

6. Adviezen

Bij brief van de toenmalige Minister van Justitie van 10 mei 2007, no. 5484493/07/6, is een eerste ontwerp van dit besluit, overeenkomstig artikel 51, tweede lid, van de Wbp, gezamenlijk voorgelegd voor advies aan het Cbp. Bij brief van 26 juli 2007, no. z2007-00676, heeft het Cbp advies uitgebracht. Het Cbp heeft in zijn advies een groot aantal raadgevingen en voorstellen ten aanzien van het Vrijstellingsbesluit Wbp en de nota van toelichting gedaan. Die voorstellen zijn vrijwel alle overgenomen, met dien verstande dat enkele adviezen om redenen van wetgevingstechniek anders zijn uitgevoerd dan het Cbp voorstelde. Aangezien in het eerste ontwerp van dit besluit de wijziging van het Meldingsbesluit Wbp en enkele aanvullende wijzigingen in het Vrijstellingsbesluit Wbp en het Besluit kostenvergoeding rechten betrokkenen nog niet waren opgenomen is bij brief van de toenmalige Minister van Justitie van 19 mei 2009, nr. 5602587/09/6, een tweede ontwerp van het besluit voor advies aan het Cbp voorgelegd. Bij brief van 20 juli 2009, no. Z2009-00557 heeft het Cbp opnieuw advies uitgebracht. Het Cbp kan zich in grote lijnen vinden in de voorstellen tot wijziging van het Vrijstellingsbesluit Wbp. Wel heeft het Cbp een aantal opmerking gemaakt over de uitbreiding van de vrijstellingsmogelijkheid voorzover sprake is van een vergunning voor doorgifte die betrekking heeft op een intern bindende gedragscode voor de verwerking van persoonsgegevens binnen concerns. Hierop wordt op de daartoe geëigende plaatsen in deze toelichting ingegaan. Het Cbp heeft bezwaren geuit met betrekking tot de wijzigingen van het Meldingsbesluit. Het betreft ten eerste de vereenvoudiging van de meldplicht voor grote ondernemingen. Het Cbp is van mening dat dit in strijd is met artikel 18, eerste lid, van de richtlijn. Op dit advies wordt nader ingegaan in de artikelsgewijze toelichting. De tweede aanpassing waarin het Cbp zich niet kan vinden betreft de mogelijkheid om verwerkingen in een andere dan de Nederlandse taal te melden bij het Cbp vanwege de gevolgen voor de werkwijze van het Cbp. Dit advies van het Cbp is overgenomen. De wijzigingen van het Besluit kostenvergoeding rechten betrokkenen geven het Cbp geen aanleiding tot commentaar.

Bij brief van de toenmalige Minister van Justitie van 19 mei 2009, nr. 5602587/09/6 is een ontwerp van dit besluit voor consultatie voorgelegd aan VNO/NCW. Bij brief van 21 september 2009 no. 09/11.738/Ban/Kal.033 is een reactie ontvangen, waarin VNO/NCW een aantal suggesties heeft gedaan voor uitbreiding van het aantal vrijstellingen van de meldplicht voor gegevensverwerkingen, die grotendeels niet overgenomen zijn omdat deze niet verenigbaar met het huidige juridische kader in de richtlijn en/of de Wbp worden geacht. Het betreft onder meer de uitbreiding van de werkingssfeer van het Vrijstellingsbesluit tot verwerkingen door meerdere verantwoordelijken, het laten vervallen van bewaartermijnen voor de vrijstelling, vrijstelling voor alle verwerkingen die uitvoering geven aan een wettelijke plicht, vrijstelling bij internationaal gegevensverkeer op basis van modelcontracten, het niet melden van de identiteit van de overige leden van een concern in de melding en het het niet langer vragen naar het verzameldoel van iedere categorie in de melding.

Bij brief van 12 juni 2009 aan de Voorzitter van de Tweede Kamer (Kamerstukken 2008/09, 31 841, nr. 9) is het onderhavige ontwerpbesluit ter informatie toegezonden aan de Voorzitter van de Tweede Kamer der Staten-Generaal. Het ontwerpbesluit heeft niet geleid tot reacties.

Het ontwerpbesluit is op 21 juli 2009 tot en met 31 augustus 2009 via www.internetconsultatie.nl opengesteld voor internetconsultatie. Er zijn geen reacties ontvangen.

In het kader van de, in het kabinetsstandpunt van 3 november 2009 aangekondigde, periodieke beoordeling van het vrijstellingbeleid heeft in 2011 nader overleg plaatsgevonden met het Cbp en georganiseerd bedrijfsleven. Dit overleg heeft geleid tot enkele technische aanpassingen van het Vrijstellingsbesluit Wbp.

II. Artikelsgewijs

Artikel I (Wijziging van de artikelen 2 en 3 Besluit kostenvergoeding rechten betrokkene Wbp)

Artikel I strekt tot aanpassing van de artikelen 2 en 3 van het Besluit kostenvergoeding rechten betrokkene Wbp in terminologisch opzicht. Aangezien artikel 35, tweede lid, van de Wbp niet spreekt van een «bericht», maar van een «mededeling», is de terminologie van de artikel 2 en 3 daaraan aangepast.

Aan de uitzonderingen in artikel 3 wordt een afdruk van een röntgenfoto toegevoegd aan de uitzonderingen van artikel 3. Tot dusverre kon voor het leveren van de afdruk van een röntgenfoto een vergoeding van ten hoogste € 4,50 in rekening worden gebracht. Gelet op de met het vervaardigen van deze afdrukken gemoeide kosten is een hogere vergoeding gerechtvaardigd. Daarom wordt de kostenvergoeding voor röntgenfoto’s overgebracht naar artikel 3 van het Besluit kostenvergoedingen rechten betrokkene Wbp, zodat deze maximaal € 22,50 bedraagt.

Artikel II (Wijziging van de artikelen 1 en 2 Meldingsbesluit Wbp)

In artikel 1 van het Meldingsbesluit Wbp is de begripsomschrijving van «Onze Minister» geschrapt. Dit begrip is reeds omschreven in artikel 1, onder j, van de Wbp. De in artikel 1 van de Wbp gedefinieerde begrippen hebben mede gelding in de op de Wbp berustende gedelegeerde regelgeving en behoeft daarom niet te worden herhaald in het Meldingsbesluit Wbp.

Uit artikel 2 van het Vrijstellingsbesluit Wbp volgt dat een vrijstelling van de meldplicht alleen betrekking kan hebben op de verwerkingen van één verantwoordelijke. In grote ondernemingen is de praktijk dikwijls zo dat verwerkingen feitelijk onder verantwoordelijkheid van één rechtspersoon plaatsvinden, maar dat deze mede plaatsvinden ten behoeve van een of meer andere rechtspersonen die deel uitmaken van dezelfde onderneming. Daaruit volgt dan dat elke rechtspersoon aan wie een deel van de verantwoordelijkheid in de zin van de Wbp kan worden toegerekend is onderworpen aan de meldplicht, terwijl die meldplicht soms betrekking heeft op niet meer dan één verwerking. Dit kan met een praktische oplossing worden gemitigeerd. Anders dan het Cbp ben ik van mening dat de vereenvoudiging van de meldplicht past binnen de ruimte die de richtlijn biedt aan de lidstaten om de meldingsprocedure nader in te richten en niets afdoet aan de verantwoordelijkheid als zodanig. Van strijd met artikel 18, eerste lid, van de richtlijn is mijns inziens geen sprake. De richtlijn schrijft voor dat de voor de verwerking verantwoordelijke of, in voorkomend geval, diens vertegenwoordiger, een melding doet van de gegevensverwerking. De richtlijn schrijft evenwel niet voor door wie of op welke wijze deze melding plaatsvindt. Elk van de verantwoordelijken die in de melding zijn betrokken blijft verantwoordelijk voor de verwerking en blijft ook verantwoordelijk voor alle verplichtingen in de Wbp. Het blijft de verantwoordelijke die inhoud zal moeten geven aan de rechten van de betrokkene op inzage, correctie en verzet. Het zal op de weg van de meldende verantwoordelijke liggen de betrokkene daarbij zonodig te assisteren. De positie van de betrokkene wijzigt niet. De betrokkene blijft dezelfde, hiervoor genoemde rechten op inzage, correctie en verzet houden die thans al voortvloeien uit de Wbp. Van een ondoorzichtige situatie, zoals het Cbp stelt, is mijns inziens dan ook geen sprake.

Artikel III (Wijziging van diverse artikelen van het Vrijstellingsbesluit Wbp)

Artikel 3

De wijziging van artikel 3 van het Vrijstellingsbesluit Wbp strekt ertoe de in paragraaf 3.1 van het algemeen gedeelte van deze nota beschreven uitbreiding van de vrijstelling van de meldplicht voor websites en internettoepassingen uit te strekken tot het domein van het verenigingsleven. Er wordt zoveel mogelijk aangesloten bij nieuwe artikelen 38a en 38b van het Vrijstellingsbesluit Wbp. Er is echter een belangrijk verschil. Bij sportverenigingen en daarmee gelijk te stellen organisaties mag worden aangenomen dat bij de verwerking van persoonsgegevens het element van toestemming een zwaardere rol kan spelen. Daarom is in de wijzigingen van artikel 3 de regel opgenomen dat de gegevens van de site moeten worden verwijderd, wanneer de betrokkene daarom verzoekt.

Aan artikel 3 Vrijstellingsbesluit Wbp worden drie nieuwe onderdelen toegevoegd. In het tweede lid wordt een nieuw onderdeel c ingevoegd. Door dit onderdeel wordt het voor de hier bedoelde organisaties mogelijk gegevens van en over leden of begunstigers op hun eigen website te publiceren zonder de vrijstelling in gevaar te brengen. Een dergelijke publicatie moet wel door de ledenvergadering zijn goedgekeurd. In het derde lid wordt een nieuw onderdeel e toegevoegd dat het mogelijk maakt ook foto’s of video’s van activiteiten van de organisatie te verwerken. Voorwaarde voor de vrijstelling is dat de gegevens beveiligd worden tegen kennisneming door onbevoegden, bijvoorbeeld door middel van een adequate wachtwoordbeveiliging. Hiertoe is een nieuw vijfde lid ingevoegd. Daarnaast wijst het Cbp er terecht op dat het van belang is om de website en de achterliggende database te beveiligen tegen opvraging of openbaarmaking door derden, zoals zoekmachines. Dit vloeit voort uit artikel 13 van de Wbp. Aan het zesde lid is aan het slot een tweede volzin toegevoegd. Deze geeft de betrokkene of diens wettelijk vertegenwoordiger de mogelijkheid om de op hem betrekking hebbende persoonsgegevens te verwijderen. Hiermee wordt invulling gegeven aan het recht van verzet als bedoeld in artikel 40 van de Wbp.

Artikel 6

De wijziging van artikel 6, eerste lid, strekt ertoe het vrijstellingenregime voor arbeidsbemiddeling door uitzendbureaus uit te breiden tot werving- en selectiebureaus en headhunterondernemingen. Deze uitbreiding leidt tot enige terminologische wijzigingen in het tweede, derde en vierde lid.

Artikel 7

De wijziging van artikel 7, tweede lid, betreft een verruiming van het vrijstellingenregime teneinde buiten twijfel te stellen dat in arbeidsverhoudingen zeer veel voorkomende verwerkingen in de vorm van lijstjes van verjaardagen, jubilea en soortgelijke gelegenheden niet onder de meldplicht vallen.

Artikel 13

Door artikel 13 van een nieuw opschrift te voorzien en het eerste lid opnieuw te formuleren wordt duidelijk gemaakt dat de strekking van de in artikel 13 opgenomen vrijstelling aanmerkelijk ruimer is dan vaak wordt aangenomen. Het betreft hier dus geen inhoudelijke verruiming, maar een verduidelijking met de bedoeling onnodige meldingen te voorkomen. Zo bestond er naar het Cbp aangeeft in de desbetreffende sectoren wel eens onzekerheid over de vraag of een gastenbestand van een hotel of het cliëntenbestand van een makelaar in onroerende zaken wel waren vrijgesteld. Dat werd wel beoogd, maar niet altijd goed begrepen.

Artikel 15

De huidige vrijstelling in artikel 15 is beperkt tot advocaten, notarissen en andere rechtshulpverleners. Het betreft een vrijstelling voor de vorming van zaaksdossiers ten behoeve van juridische en financiële dienstverlening. Op advies van het Cbp wordt de vrijstelling uitgebreid tot gerechtsdeurwaarders en financieel adviseurs. Wat betreft de definitie van financieel adviseur wordt aangesloten bij de definitie van financiëledienstverlener in de zin van artikel 1.1 van de Wet op het financieel toezicht. De vrijstelling strekt zich uit tot personen die onder verantwoordelijkheid van een financiëledienstverlener zich rechtstreeks bezighouden met het verlenen van financiële diensten.

Artikel 16

Op advies van het Cbp is de administratie van andere samenwerkingsverbanden van medische beroepbeoefenaren dan maatschappen eveneens onder de vrijstellingsregeling in artikel 16 gebracht. Er is een in de toepassingspraktijk van het Cbp gegroeid maximum van zes beroepsbeoefenaren per samenwerkingsverband gehanteerd.

Artikel 17

De wijziging van artikel 17 strekt ertoe om de vrijstelling voor zorginstellingen te verruimen. De vrijstelling zal naast zorginstellingen die AWBZ-zorg verlenen, ook betrekking hebben op instellingen die andere zorg verlenen (zoals ziekenhuizen of instellingen voor GGZ-zorg, waar patiënten ook langer kunnen verblijven). Een tweede uitbreiding is dat de vrijstelling zich niet beperkt tot de verwerking ten behoeve van huisvesting en de met de woonfunctie direct samenhangende voorzieningen, maar zich ook uitstrekt tot de verleende zorg en de medische behandeling. Omdat het een feit van algemene bekendheid is, en daarmee voldoende transparant voor de betrokkene, dat instellingen een zorgadministratie voeren, wordt een inbreuk op de rechten van betrokkenen onwaarschijnlijk geacht. Tot slot wordt in het derde lid, onderdeel c, een omissie hersteld.

Artikel 18

De wijziging in artikel 18 betreft het herstel van een omissie. Ten onrechte waren verwerkingen ten behoeve van de kinderopvang in de vorm van gastouderopvang niet onder het vrijstellingenregime begrepen. De verwijzing naar de Wet kinderopvang is aangepast aan de nieuwe citeertitel van deze wet.

Artikel 19

Het betreft enkele wijzigingen van de vrijstellingsregeling voor verwerkingen ten behoeve van leerlingen-, studenten- en cursistenbestanden. Veel onderwijsinstellingen maken gebruik van internetvoorzieningen om met hun leerlingen, deelnemers of studenten te communiceren over de instelling, het onderwijs en de georganiseerde activiteiten. Voorbeelden daarvan zijn lesroosters, de docenten en begeleiders en hun bereikbaarheid. Omdat in dat geval ook gegevens worden verwerkt over de docenten en begeleiders zijn deze personen toegevoegd aan artikel 19, eerste lid, van het Vrijstellingsbesluit Wbp. Welke gegevens over hen mogen worden verwerkt is opgenomen in het derde lid in het nieuwe onderdeel k.

Aan artikel 19, tweede lid, Vrijstellingsbesluit Wbp worden na onderdeel b twee nieuwe onderdelen c en d toegevoegd om de verwerking van persoonsgegevens op de eigen website van de instelling als subdoelstellingen van de verwerking mogelijk te maken voor het behouden van de vrijstelling.

Het nieuwe onderdeel j van het derde lid maakt het mogelijk dat ook foto’s en video’s worden verwerkt. Op advies van het Cbp is de voorwaarde toegevoegd dat de gegevens beveiligd worden tegen kennisneming door onbevoegden, bijvoorbeeld door middel van een wachtwoord. Voorzover het gaat om gegevens die alleen van belang zijn voor de direct betrokken leerling of student, mag de informatie alleen voor die persoon toegankelijk zijn, door middel van een individuele toegangsbeveiliging. Daarvoor is een nieuw vijfde lid ingevoegd. Als een leerling of diens wettelijk vertegenwoordiger bezwaar maken tegen opname van de persoonsgegevens op de website, dienen de gegevens onmiddellijk verwijderd te worden. Een voorziening hiervoor is opgenomen in het nieuwe zesde lid, tweede volzin. Dit geeft de betrokkene of diens wettelijk vertegenwoordiger de mogelijkheid om de op hem betrekking hebbende persoonsgegevens te verwijderen. Hiermee wordt invulling gegeven aan het recht van verzet, bedoeld in artikel 40 van de Wbp.

Artikel 22

In artikel 22 is vastgelegd dat de verwerkingen door bestuursorganen ten behoeve van het toezicht op de naleving van wettelijke voorschriften ook zijn vrijgesteld wanneer diezelfde verwerkingen worden benut ten behoeve van de handhaving, uiteraard voor zover het desbetreffende bestuursorgaan bij of krachtens de wet is belast met die taak.

Artikel 38

In artikel 38 wordt een voorziening getroffen om de vrijstelling van verwerkingen in de vorm van camerabeelden gemaakt met zichtbaar aangebrachte particuliere beveiligingscamera’s uit te breiden. Tot dusverre mochten deze beelden niet langer dan 24 uur na vervaardiging worden bewaard, tenzij zich binnen die termijn een incident voordeed dat zichtbaar was op die beelden en dat rechtvaardigde dat die beelden langer werden verwerkt ten behoeve van de afwikkeling van het incident.

Van cameratoezicht gaat een preventieve werking uit. Net als bij gemeentelijk cameratoezicht heeft de inzet van cameratoezicht in het particuliere domein een preventieve functie, waaronder het voorkomen van schade aan de gezondheid of veiligheid van natuurlijke personen, gebouwen en terreinen. Deze preventieve functie wordt versterkt als de beelden worden vastgelegd en enige tijd bewaard blijven. Het gevolg hiervan is dat de beelden gedurende die periode kunnen worden doorverstrekt voor de opsporing van een strafbaar feit. De Wet bescherming persoonsgegevens biedt daartoe de mogelijkheid via artikel 43. De wetenschap dat de beelden gedurende een bepaalde periode kunnen worden doorverstrekt, kan personen ervan weerhouden door middel van het plegen van strafbare feiten of anderszins de veiligheid van anderen of andermans zaken in gevaar te brengen op plekken waar particuliere camera’s hangen. Op grond van artikel 151c Gemeentewet geldt een bewaartermijn van ten hoogste vier weken voor de beelden die zijn gemaakt met camera’s ten behoeve van de handhaving van de openbare orde. Deze termijn werd nodig geacht in het kader van de preventieve functie van het cameratoezicht voor de openbare orde handhaving (Kamerstukken II 2004/2005, 29 440, nr. 16, blz. 2). Bij de vrijstelling in artikel 38 van het Vrijstellingsbesluit Wbp voor videocameratoezicht wordt bij deze bewaartermijn aangesloten.

Een langere bewaartermijn biedt tevens mogelijkheden om de beelden, zonder de administratieve last van de melding, op ruimere schaal in te zetten om de opsporing van strafbare feiten te ondersteunen. Het komt regelmatig voor dat strafbare feiten niet direct ontdekt worden. Of dat pas later blijkt dat de opnames kunnen bijdragen aan de opsporing van een strafbaar feit. Ook komt het voor dat de politie een langere periode nodig heeft om aangiften te verwerken en te selecteren voor opsporingsonderzoek. Een periode van vier weken zal doorgaans voldoende zijn om de aangifte rond te krijgen.

Het vastleggen van camerabeelden voor de in artikel 38 van het Vrijstellingsbesluit genoemde doelen en het bewaren van de beelden voor een periode van ten hoogste vier werken betreft een verwerking waarbij een inbreuk op de fundamentele rechten en vrijheden van de betrokkene onwaarschijnlijk is. Cameratoezicht is een veelvoorkomende en maatschappelijk aanvaarde vorm van gegevensverwerking. Het bestaan van particulier cameratoezicht en de vastlegging van de beelden mag algemeen bekend worden verondersteld. Het Vrijstellingsbesluit vereist bovendien dat de camera’s zichtbaar moeten zijn.

Artikelen 38a en 38b

Het nieuwe artikel 38b van het Vrijstellingsbesluit Wbp strekt ertoe een vrijstelling te introduceren op de meldplicht voor verwerkingen van persoonlijke en huishoudelijke aard, voor zover die op internet plaatsvinden. Dit naar aanleiding van eerdergenoemd arrest van het Hof van Justitie EU.

Ook voor de verwerking van persoonsgegevens via intranetten of websites die niet een persoonlijk of huishoudelijk doel dienen zijn er in de praktijk zijn talloze toepassingen die geen inbreuk maken op de fundamentele rechten en vrijheden van betrokkenen. Er zijn uit het oogpunt van bescherming van persoonsgegevens doorgaans wel enige relevante verschillen te maken tussen persoonlijke websites en weblogs en intranettoepassingen. Een verwerking met behulp van intranet gebeurt meestal binnen het raam van een arbeidsverhouding of het lidmaatschap van een sportvereniging of club. De rechtvaardiging van het verwerken van persoonsgegevens op deze wijze, berust meestal niet of niet uitsluitend op de toestemming van de betrokkene. Dat betekent dat het stellen van een aantal voorwaarden aan het verlenen van de vrijstelling noodzakelijk is.

In arbeidsverhoudingen is de instemming van de ondernemingsraad, voorzover deze is ingesteld, noodzakelijk. De Wet op de ondernemingsraden verplicht een ondernemer een ondernemingsraad in te stellen wanneer ten minste 50 personen in een onderneming werkzaam zijn. Niet bij elke verantwoordelijke die een intranettoepassing hanteert zal hier sprake van zijn. Verder dient de toegang tot de informatie adequaat te zijn afgebakend tot de direct betrokkenen en leidinggevenden, mits voorzien is in autorisatie, bijvoorbeeld door middel van een wachtwoordbeveiliging. In het nieuwe artikel 38a zijn deze voorwaarden opgenomen.

Artikel 40

De wijziging van artikel 40 betreft een verruiming van het vrijstellingenregime, op advies van het Cbp, voor registers, wachtlijsten en dergelijke tot verwerkingen ten behoeve van benoemingsprocedures van elke denkbare aard.

Artikel 44

De wijziging van artikel 44, onder a, hangt samen met de wijziging van artikel 76, tweede lid, van de Wbp zoals voorgesteld in het gewijzigd voorstel van wet houdende wijziging van de Wet bescherming persoonsgegevens in verband met de vermindering van administratieve lasten, nalevingskosten, wijzigingen teneinde wetstechnische gebreken te herstellen en enige andere wijzigingen (Kamerstukken I 2010/11, 31 841, A)..Geregeld wordt dat de vrijstelling van de meldplicht betrekking heeft op derde landen die buiten de Europese Economische Ruimte zijn gelegen. Dat is noodzakelijk, aangezien uit het Besluit van het Gemengd Comité van de EER nr. 83/1999 van 25 juni 1999 tot wijziging van Protocol nr. 37 en bijlage XI (Telecommunicatiediensten) bij de EER-Overeenkomst (PbEG 2000 L 296) voortvloeit dat Noorwegen, IJsland en Liechtenstein in elk geval wat betreft de toepassing van hoofdstuk IV van de richtlijn gelijkgesteld zijn met de landen van de Europese Unie. In het besluit van het Gemengd Comité is overigens wel een uitzondering gemaakt op de regel van een geheel vrij gegevensverkeer binnen de EER. Hoewel Noorwegen, IJsland en Liechtenstein op grond van het besluit inhoudelijk volledig betrokken worden bij de voorbereiding van beslissingen die de Europese Commissie of de Raad van de Europese Unie kunnen nemen over de beoordeling van het niveau van gegevensbescherming in derde landen, maakt dit als gevolg van de verhouding tussen Europese Unie en EER nog geen einde aan de mogelijkheid dat elk van deze drie landen nog zelfstandig een beslissing neemt over de passendheid van het niveau van gegevensbescherming in een derde land. Daarmee blijft het in theorie mogelijk dat die beslissingen in concrete gevallen inhoudelijk afwijken van de beslissingen die de Europese instellingen terzake nemen. Er zou door Noorwegen, IJsland of Liechtenstein een besluit kunnen worden genomen dat gegevensdoorgifte uit een van die landen naar een derde land toelaat, onder aanvaarding van een lager beschermingsniveau dan de Europese Unie bereid is accepteren ten aanzien van dat derde land. Op die manier zou afbreuk kunnen worden gedaan aan het hoge beschermingsniveau dat de richtlijn beoogt te bieden. In het besluit van het Gemengd Comité wordt daarom de mogelijkheid opengehouden dat bij een dergelijke afwijking de gegevensdoorgifte naar Noorwegen, IJsland en Liechtenstein moet kunnen worden beperkt of verboden, overeenkomstig de procedures van de richtlijn. Daarmee wordt in artikel 44, onderdeel a, op dezelfde wijze als in artikel 76, tweede lid, van de Wbp, rekening gehouden door toevoeging van de zinsnede «tenzij uit een besluit van de Commissie van de Europese Gemeenschappen of de Raad van de Europese Unie voortvloeit dat deze doorgifte is beperkt of verboden. De wijziging strekt ertoe ondubbelzinnig te regelen dat persoonsgegevens, behoudens de waarborgen van hoofdstuk 2 van de Wbp, zonder aanvullende garanties aan de desbetreffende landen kunnen worden doorgegeven. Aangezien de procedure tot vaststelling door de Commissie al de nodige garanties biedt, is er geen reden in Nederland ook nog garanties te verlangen in de zin van een meldplicht of vergunningvereiste.

De regeling in artikel 44, onder b, strekt tot vrijstelling van de meldplicht als uit een besluit van de Raad van Ministers van de Europese Unie voortvloeit dat in een derde land waarborgen voor een passend niveau van gegevensbescherming bestaan. Dergelijke besluiten vinden hun grondslag niet in de richtlijn, maar in de artikel 37 van het Verdrag betreffende de Europese Unie (voorheen artikelen 24 en 38 van het Verdrag betreffende de Europese Unie). Een voorbeeld van een dergelijk besluit is besluit nr. 2008/651/GBVB/JBZ van de Raad van de Europese Unie van 30 juni 2008 betreffende de ondertekening, namens de Europese Unie, van een overeenkomst tussen de Europese Unie en Australië inzake de verwerking en overdracht van persoonsgegevens van passagiers (PNR-gegevens) uit de Europese Unie door luchtvaartmaatschappijen aan de Australische douane (PbEU L 213). De nieuwe regeling sluit aan bij de voorgestelde wijziging van artikel 78 van de Wbp, opgenomen in artikel I, onderdeel K, van het voornoemde voorstel van wet.

Onderdeel c van artikel 44 van het Vrijstellingsbesluit Wbp is ongewijzigd.

In artikel 44, onder d, wordt geregeld dat wanneer persoonsgegevens in overeenstemming met de beschikking van 26 juli 2000, nr. 2000/520/EG, overeenkomstig Richtlijn 95/46/EG van het Europees Parlement en de Raad, betreffende de gepastheid van de bescherming geboden door de Veiligehavenbeginselen voor de bescherming van de persoonlijke levenssfeer en de daarmee verband houdende Vaak gestelde vragen, die door het ministerie van Handel van de Verenigde Staten zijn gepubliceerd (PbEG L 215) (hierna: Safe Harbor Principles) aan een verantwoordelijke of bewerker in de Verenigde Staten worden overgedragen, evenmin nog een melding van die specifieke verwerking noodzakelijk is. Genoemde beschikking bevat immers de nodige waarborgen, zodat er geen noodzaak is in Nederland nog aanvullende garanties in de vorm van een meldplicht te verlangen.

Ook onderdeel e is nieuw. Al geruime tijd gaan grote multinationale ondernemingen ertoe over om intern bindende gedragscodes met betrekking tot de verwerking van persoonsgegevens voor hun onderneming vast te stellen. Dergelijke codes, Binding Corporate Rules geheten, moeten op basis van artikel 26, tweede lid, van de richtlijn door de toezichthouder van de lidstaat waar de aanvraag wordt gedaan, worden goedgekeurd, uiteraard in samenspraak met de toezichthouders van de andere EU-lidstaten die het mede aangaat. In Nederland is de grondslag van een dergelijke goedkeuring een vergunning als bedoeld in artikel 77, tweede lid, van de Wbp. Grondslag en procedure van het onderzoek door de betrokken toezichthouders zijn gedetailleerd vastgelegd in de documenten WP 74,  107, 108 en 155 van de Werkgroep als bedoeld in artikel 29 van de richtlijn. Deze documenten zijn bekendgemaakt op website van de Werkgroep (www.ec.europa.eu/justice_home.fsj/privacy/workinggroup/wpdocs/2009_en.htm ). Anders dan het Cbp ben ik van mening dat een dergelijk onderzoek in combinatie met een vergunningprocedure voorziet in zodanig sterke waarborgen dat een meldplicht geen toegevoegde waarde meer heeft waar het de bescherming van de persoonlijke levenssfeer betreft.

Artikel IV

Gekozen is voor inwerkingtreding bij koninklijk besluit met de mogelijkheid om wat betreft het tijdstip van inwerkingtreding te differentiëren tussen de artikelen en onderdelen daarvan. Verwacht wordt dat het Cbp enige tijd voor het aanpassen van de meldprocedures nodig heeft.

De Staatssecretaris van Veiligheid en Justitie, F. Teeven

XHistnoot
histnoot

Het advies van de Afdeling advisering van de Raad van State wordt met de daarbijbehorende stukken openbaar gemaakt door publicatie in de Staatscourant.

Naar boven