Bekendmaking Goedkeuring Gedragscode voor Onderzoek en Statistiek

Het College bescherming persoonsgegevens (CBP) heeft een aanvraag ontvangen tot het afgeven van een verklaring in de zin van artikel 25, eerste lid, van de Wet bescherming persoonsgegevens (Wbp) dat het CBP kan instemmen met de Gedragscode voor Onderzoek en Statistiek.

Hieronder volgen het besluit en een kennisgeving van de terinzagelegging van de stukken.

Besluit

Het College bescherming persoonsgegevens (CBP),

Gelet op artikel 25, eerste lid, van de Wet bescherming persoonsgegevens (Staatsblad 2000, 302);

Gezien het schriftelijk verzoek van 19 november 2009 van de Marktonderzoeksassociatie (MOA), de Vereniging voor Beleidsonderzoek (VBO) en de Vereniging voor Statistiek en Onderzoek (VSO) tot het afgeven van een verklaring als bedoeld in artikel 25, eerste lid, van de Wet bescherming persoonsgegevens (Wbp) met betrekking tot de Gedragscode voor Onderzoek en Statistiek (Gedragscode);

Overwegende ten aanzien van representativiteit en ontwerpbesluit:

dat de MOA, VBO en VSO tezamen kunnen worden aangemerkt als voldoende representatief voor de sector onderzoek en statistiek en dat deze sector in de Gedragscode voldoende nauwkeurig is omschreven;

dat het CBP op 26 april 2010 een ontwerpbesluit heeft genomen houdende het voornemen te verklaren dat de Gedragscode een juiste uitwerking vormt van de Wbp en andere wettelijke bepalingen betreffende de verwerking van persoonsgegevens;

dat het ontwerpbesluit en het verzoek van de aanvragers alsmede de Gedragscode op grond van afdeling 3.4 van de Algemene wet bestuursrecht gedurende zes weken ter inzage hebben gelegen bij het CBP en dat hiervan is kennis gegeven in de Staatscourant van 3 mei 2010 (2010, nr. 6743);

dat belanghebbenden binnen die termijn geen gebruik hebben gemaakt van de gelegenheid om opmerkingen te maken;

Overwegende dat de Gedragscode:

in beperkte mate is aangepast ten opzichte van de Gedragscode voor Onderzoek en Statistiek uit 2004 waarvoor het CBP op 18 februari 2004 een goedkeurende verklaring heeft afgegeven en dat deze verklaring gedurende een periode van vijf jaar heeft gegolden;

op onderdelen een nadere uitwerking van, dan wel aanvulling op, de materiële bepalingen van de Wbp vormt en daarbij een praktische uitwerking bevat in de vorm van ‘de tien gouden regels voor onderzoek & statistiek en gegevensbescherming’;

voorzien is van een standaard geheimhoudingsverklaring;

een uitwerking geeft van de begrippen ‘verantwoordelijke’ en ‘bewerker’ en hierbij aansluit bij de verschillende rollen die onderzoeksorganisaties en opdrachtgevers in kunnen nemen en dat de toelichting bij de Gedragscode dit verduidelijkt met verschillende praktische voorbeelden;

regels bevat voor de wijzen waarop persoonsgegevens mogen worden verkregen;

aangeeft voor welke doeleinden persoonsgegevens mogen worden verwerkt en voorziet in een nadere invulling van bewaartermijnen;

nadere invulling geeft aan de rechten van betrokkenen, en de verplichting om de betrokkenen uit eigen beweging te informeren over de verwerking van de betrokkene betreffende persoonsgegevens;

de verantwoordelijke en bewerker verplicht tot het treffen van passende technische en organisatorische maatregelen, zodat persoonsgegevens slechts rechtmatig kunnen worden verwerkt;

voor de behandeling van klachten en geschillen voorziet in een onafhankelijke geschillenregeling en dat deze geschillenregeling naar het oordeel van het CBP voorziet in toereikende waarborgen met betrekking tot de onafhankelijkheid van de leden van de Beroepscommissie, aangezien de leden, plaatsvervangers en voorzitter van de Beroepscommissie geen deel uit maken van de leden van de MOA, VBO of VSO dan wel van werknemers van deze leden;

Besluit te verklaren:

dat de Gedragscode, gelet op de bijzondere kenmerken van de sector, een juiste uitwerking vormt van de Wbp en andere wettelijke bepalingen betreffende de verwerking van persoonsgegevens.

Dat de goedkeurende verklaring geldig is voor een periode van vijf jaar na de datum van bekendmaking in de Staatscourant.

Den Haag, 21 juni 2010

M.W. McLaggan-van Roon,

Collegelid.

Terinzagelegging van de stukken

Het besluit en de op het besluit betrekking hebbende stukken waaronder de Gedragscode en het schriftelijk verzoek aan het CBP om de verklaring af te geven, liggen tot zes weken na deze publicatie, maandag tot en met vrijdag tussen 10.00 en 16.00 uur, ter inzage bij het CBP, Juliana van Stolberglaan 4–10 te Den Haag. U dient hiervoor een afspraak te maken. Telefoonnummer CBP: 070-8888500

Een belanghebbende kan op grond van de Algemene wet bestuursrecht (Awb) tegen dit besluit beroep instellen bij de sector bestuursrecht van de rechtbank. Een afschrift van dit besluit moet worden bijgevoegd. De termijn voor het indienen van beroep bedraagt zes weken en vangt aan met ingang van de dag na die waarop het besluit overeenkomstig artikel 3:44, eerste lid, Awb ter inzage is gelegd.

Bij het indienen van beroep is voorts het volgende van belang. Artikel 6:13 Awb bepaalt dat geen beroep kan worden ingesteld bij de rechter door een belanghebbende aan wie redelijkerwijs kan worden verweten dat hij geen zienswijze (als bedoeld in artikel 3:15 Awb) naar voren heeft gebracht. Alleen een belanghebbende die een zienswijze heeft ingediend, kan beroep in stellen en dan nog uitsluitend voor zover het de onderdelen van het besluit betreft waartegen zijn zienswijze zich richtte. Die beperking geldt niet voor zover in het definitieve besluit wijzigingen zijn aangebracht ten opzichte van het ter inzage gelegde ontwerpbesluit.

Het besluit en de Gedragscode zijn ook gepubliceerd op de website van het CBP: www.cbpweb.nl

BIJLAGE GEDRAGSCODE VOOR ONDERZOEK & STATISTIEK

Gedragscode op basis van artikel 25 Wet bescherming persoonsgegevens

1. Considerans

De VBO, Vereniging voor Beleidsonderzoek,

De VSO, Vereniging voor Statistiek en Onderzoek en

De MOA, MarktOnderzoekAssociatie.nl,

overwegende:

• dat de VBO, VSO en MOA als belangenbehartiger voor onderzoekers en onderzoeksorganisaties de bescherming van persoonsgegevens van groot belang achten;

• dat de normen en bepalingen in de Wet bescherming persoonsgegevens dienen te worden nageleefd bij het verwerken van persoonsgegevens;

• dat de Wet bescherming persoonsgegevens voor onderzoek specifieke normen en bepalingen kent;

• dat in deze gedragscode de normen en bepalingen uit de Wet bescherming persoonsgegevens bij elkaar zijn gebracht en nader zijn uitgewerkt;

• dat deze gedragscode geldt voor onderzoek voor alle media, schriftelijk, elektronisch of telefonisch;

• dat zorgvuldig dient te worden omgegaan met betrokkenen, de zogeheten Respondenten aan onderzoek;

• dat Respondenten een mogelijkheid moeten hebben, naast de mogelijkheden in de Wet bescherming persoonsgegevens, om de naleving van de gedragscode en de omgang met persoonsgegevens voor onderzoek te laten toetsen door een onafhankelijke commissie;

• dat de gedragsode voorziet in onafhankelijke Commissie;

• dat de gedragscode op 18 februari 2004 door het College bescherming persoonsgegevens is voorzien van goedkeuring voor 5 jaar;

• dat de gedragscode is geëvalueerd en is herzien;

• dat de herziene versie op datum X is voorgelegd aan het College bescherming persoonsgegevens en dat deze op x datum is voorzien van goedkeuring voor 5 jaar;

  hebben de volgende gedragscode vastgesteld:

2. Begripsbepaling

• 1. Persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;

• 2. Verwerking van Persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot Persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van Persoonsgegevens;

• 3. Bestand: elk gestructureerd geheel van Persoonsgegevens, ongeacht of dit geheel van gegevens gecentraliseerd is of verspreid is op een functioneel of geografisch bepaalde wijze, dat volgens bepaalde criteria toegankelijk is en betrekking heeft op verschillende personen;

• 4. Verantwoordelijke: de natuurlijke persoon, rechtspersoon of het bestuursorgaan dat, alleen of tezamen met anderen, het doel van en de middelen voor de verwerking van Persoonsgegevens vaststelt

• 5. Bewerker: degene die ten behoeve van de Verantwoordelijke Persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen;

• 6. Opdrachtgever: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat zelf Onderzoek uitvoert of opdracht verleent aan een Onderzoeksorganisatie om Onderzoek uit te voeren;

• 7. Respondent: degene op wie een Persoonsgegeven betrekking heeft;

• 8. Toestemming van de Respondent: elke vrije, specifieke en op informatie berustende wilsuiting waarmee de Respondent aanvaardt dat hem betreffende Persoonsgegevens worden verwerkt;

• 9. Verzamelen van Persoonsgegevens: het verkrijgen van Persoonsgegevens;

• 10. Bijzondere gegevens: Persoonsgegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede Persoonsgegevens betreffende het lidmaatschap van een vakvereniging, strafrechtelijke Persoonsgegevens en Persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag;

• 11. Onderzoek: iedere vorm van kwantitatief en/of kwalitatief onderzoek met gebruikmaking van statistische of andere wetenschappelijke methodes waarmee wordt beoogd om over doelgroepen of populaties uitspraken te doen op niet-individueel identificeerbaar niveau.

• 12. Onderzoeksorganisatie: de organisatie of onderdeel van de organisatie die feitelijk belast is met het uitvoeren van het Onderzoek

• 13. Ontkoppelingsprocedure: de technische of organisatorische maatregelen die, bij herhaald onderzoek, worden getroffen om na het verzamelen van persoonsgegevens deze gegevens niet identificeerbaar te maken terwijl deze gegevens wel steeds betrekking hebben gedurende het Onderzoek op dezelfde persoon;

• 14. Wbp: Wet bescherming persoonsgegevens, Staatsblad 2000, nr 302;

• 15. Vrijstellingsbesluit Wbp: Het Vrijstellingbesluit Wbp, Staatsblad 2001, nr 250;

• 16. Beroepscommissie: de instantie die belast is met de behandeling van klachten tussen een Respondent en Onderzoeksorganisatie inzake de naleving van deze Gedragscode.

3. Omschrijving van de sector en toepassingsgebied

Deze gedragscode is van toepassing op natuurlijke of rechtspersonen, die zijn aangesloten bij de Vereniging voor beleidsonderzoek, Vereniging voor statistiek en onderzoek of de Marktonderzoekassociatie. Deze gedragscode richt zich zowel tot natuurlijke en/of rechtspersonen die in opdracht van een Opdrachtgever Onderzoek verrichten als tot de Opdrachtgever zelf indien deze zelf Onderzoek verricht.

4. Onderzoeksorganisatie als Bewerker en als Verantwoordelijke

• 1. De Onderzoeksorganisatie die Onderzoek in opdracht van een Opdrachtgever verricht met een bestand van de Opdrachtgever, wordt aangemerkt als Bewerker tenzij uit de aard van de dienstverlening of de inhoud van de uitbestedingsovereenkomst anders blijkt.

• 2. De Onderzoeksorganisatie die Onderzoek verricht, al dan niet in opdracht, met een eigen bestand, wordt zelf aangemerkt als Verantwoordelijke.

• 3. De Onderzoeksorganisatie die Onderzoek in opdracht verricht en voor de uitvoering van dat Onderzoek een bestand aanschaft doet dit voor rekening van de Opdrachtgever. De Opdrachtgever wordt aangemerkt als Verantwoordelijke tenzij uit de aard van de dienstverlening of de inhoud van de uitbestedingsovereenkomst anders blijkt.

• 4. Als de Onderzoeksorganisatie behoort tot de organisatie van de Opdrachtgever, blijft de Opdrachtgever Verantwoordelijke voor het bestand.

• 5. De Verantwoordelijke zorgt voor melding bij het College bescherming persoonsgegevens van de gegevensverwerking, tenzij deze is vrijgesteld op basis van het Vrijstellingsbesluit Wbp.

5. Principes gegevensverwerking voor Onderzoek

• 1. Er worden niet meer Persoonsgegevens verzameld bij het uitvoeren van Onderzoek dan noodzakelijk voor het Onderzoek.

• 2. Persoonsgegevens worden niet langer dan noodzakelijk is in identificeerbare vorm verwerkt voor het Onderzoek.

• 3. Persoonsgegevens worden niet voor andere doelen verwerkt dan de doelstelling of doelstellingen van het Onderzoek waarvoor deze zijn verzameld.

• 4. De rapportage van Onderzoek zal nimmer gegevens bevatten die een individuele natuurlijke persoon kunnen identificeren, tenzij de ondubbelzinnige toestemming van de respondent hiervoor is verkregen. De respondent dient hierbij te worden geïnformeerd voor welke doelen welke, categorieën van, persoonsgegevens op identificerend niveau in de rapportage zullen worden opgenomen.

• 5.

  • 1. Indien gegevens rechtstreeks worden verzameld bij de Respondent zal worden medegedeeld:

    • a) wat het doel is van het Onderzoek is;

    • b) wie de Onderzoeksorganisatie is; en

    • c) als de Onderzoeksorganisatie een ander is dan de Opdrachtgever, desgevraagd, de naam van de Opdrachtgever.

  • 2. Indien de Respondent daarom verzoekt wordt medegedeeld waar nadere informatie over het Onderzoek kan worden verkregen.

• 6. De Respondent wordt vooraf geïnformeerd over het gebruik van video- of audioapparatuur bij het uitvoeren van het Onderzoek, tenzij de Respondent reeds op de hoogte is of wanneer het gaat om het vastleggen van gegevens als persoonlijke werkaantekeningen noodzakelijk voor de uitvoering van het Onderzoek en het opstellen van de rapportage. Opnamen gemaakt met video- of audioapparatuur zullen nimmer onderdeel vormen van de rapportage, tenzij met ondubbelzinnige toestemming van de Respondenten van wie opnamen zijn gemaakt of wanneer de opnamen zodanig zijn bewerkt dat identificatie van een individuele natuurlijke persoon niet mogelijk is.

• 7. Indien de Opdrachtgever zelf of via een Onderzoeksorganisatie voornemens is om Persoonsgegevens te verzamelen op grond van eigen observatie zonder de Respondent daarvan op de hoogte te stellen, met uitzondering van eigen persoonlijke werkaantekeningen, zal de Opdrachtgever overeenkomstig artikelen 31 en 32 Wbp tijdig een voorafgaand onderzoek verzoeken door het College bescherming persoonsgegevens. Een dergelijk onderzoek kan niet starten voordat het College bescherming persoonsgegevens de verwerking rechtmatig heeft verklaard.

• 8. Bij langlopend Onderzoek naar dezelfde personen dient gebruik te worden gemaakt van ontkoppelingsprocedure om identificatie van individuele Respondenten bij rapportage te voorkomen tenzij dezelfde personen hun ondubbelzinnige toestemming hebben verleend voor hun deelname aan het langlopend Onderzoek.

6. Verwerking van Bijzondere gegevens

Het verwerken van Bijzondere gegevens voor Onderzoek is toegestaan indien zich een van de onderstaande situaties voordoet:

• 1. Het uitvoeren van Onderzoek waarbij Bijzondere gegevens worden verwerkt is toegestaan als de Respondenten hun uitdrukkelijke toestemming daarvoor hebben gegeven.

• 2. Het uitvoeren van Onderzoek zonder uitdrukkelijke toestemming van de Respondent waarbij Bijzondere gegevens worden verwerkt is toegestaan als:

  • 1. het Onderzoek een algemeen belang dient, en

  • 2. de verwerking voor het betreffende Onderzoek noodzakelijk is, en

  • 3. het vragen van uitdrukkelijke toestemming onmogelijk blijkt of een onevenredige inspanning kost, en

  • 4. bij de uitvoering is voorzien van zodanig waarborgen dat de persoonlijke levenssfeer van de Respondent niet onevenredig wordt geschaad.

• 3. Het uitvoeren van Onderzoek zonder uitdrukkelijke toestemming van de Respondent waarbij Bijzondere gegevens worden verwerkt is toegestaan indien deze gegevens op een zodanige wijze worden aangeleverd aan de Onderzoeksorganisatie die het Onderzoek uitvoert, dat de gegevens een individuele natuurlijke persoon niet kunnen identificeren.

7. Bijzondere vormen van verwerking van persoonsgegevens

• 1. Het gebruik van een nummer ter identificatie van een persoon dat bij wet is voorgeschreven, wordt bij de verwerking van Persoonsgegevens slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald.

• 2. Een kind beneden de leeftijd van twaalf (12) jaar, tenzij een kind middelbaar onderwijs volgt, zal nimmer een Respondent zijn bij Onderzoek, tenzij wordt deelgenomen onder toezicht van of met instemming van zijn/haar wettelijk vertegenwoordiger.

8. Beveiliging

De Verantwoordelijke en Bewerker die het Onderzoek verrichten zullen zorgdragen voor het nemen van organisatorische en technische maatregelen ter beveiliging van de verwerking, daarbij rekening houdend met de stand der techniek, de kosten en de aard van de te beschermen Persoonsgegevens.

9. Rechten Respondenten

• 1. Indien een Onderzoeksorganisatie als Bewerker een verzoek ontvangt om inzage, correctie of afscherming van Persoonsgegevens zal hij de Respondent doorverwijzen naar de Verantwoordelijke in casu de Opdrachtgever. Indien een Onderzoeksorganisatie zelf als Verantwoordelijke wordt aangemerkt van het gebruikte bestand dan zal zij zelf dienen zorg te dragen voor de afhandeling van het verzoek.

• 2. De Verantwoordelijke zal voor zover naar redelijkheid en billijkheid kan worden gevergd voldoen aan het verzoek van de Respondent.

• 3. Een Respondent kan met een beroep op bijzondere persoonlijke omstandigheden zijn Persoonsgegevens afschermen tegen verdere verwerking voor Onderzoeksdoeleinden. Indien deze bijzondere persoonlijke omstandigheden van een hoger belang zijn dan de belangen van de Verantwoordelijke zal een dergelijk verzoek worden gehonoreerd door de Verantwoordelijke.

• 4. Een Respondent die niet wenst deel te nemen aan vooraf onaangekondigd Onderzoek per spraak-telefoon kan zich hiertoe aanmelden bij het www.onderzoekfilter.nl.

• 5. Indien de respondent aangeeft in het geheel niet langer te willen worden benaderd voor iedere vorm van vooraf onaangekondigd Onderzoek per telefoon, wordt door de Onderzoeksorganisatie gewezen op www.onderzoekfilter.nl.

• 6. Opdrachtgevers en/of Onderzoeksorganisaties die Onderzoek per spraaktelefoon wensen uit te voeren zonder dat dit vooraf wordt aangekondigd zijn verplicht om het bestand te ontdubbelen met het bestand van personen die hiervoor niet willen worden benaderd.

10. Beroepscommissie

Indien een Onderzoeksorganisatie in strijd handelt met de bepalingen uit deze Gedragscode kan de Respondent over dit handelen of nalaten een Geschil aanhangig maken bij de Beroepscommissie.

De werkwijze van de Beroepscommissie wordt geregeld in het Reglement Beroepscommissie.

11. Overige onderwerpen

Een ieder die bij een Verantwoordelijke voor gegevensverwerking of bij een Bewerker betrokken is bij het verwerken van Persoonsgegevens voor Onderzoek zal een geheimhoudingsverklaring ten aanzien van de betrokken Persoonsgegevens ondertekenen.