|
1. Inleiding
In de particuliere
sector is de behoefte aan privacybescherming juist met
betrekking tot de activiteiten van informatiebureaus al
vroeg gevoeld, met name bij het verzamelen van
inlichtingen op het gebied van kredietwaardigheid en
solvabiliteit. In Amerika en de Scandinavische landen
was wetgeving in de particuliere sector dan ook
allereerst daarop gericht. Het gaat immers om de harde
kern van privacy inbreuk: het verzamelen en verstrekken
aan derden van meestal gevoelige informatie die bedoeld
is om beslissingen over personen mogelijk te maken en
die doorgaans buiten betrokkene om wordt verwerkt.
Aanvankelijk lag het daarom in de bedoeling een
afzonderlijk wetsvoorstel in te dienen. [1]
De Wet
persoonsregistraties bevatte een bijzondere regeling in
de wet zelf (art. 13). Voor deze laatste oplossing is
aanvankelijk ook gekozen in andere Europese landen die
een voorziening voor informatiebureaus kennen. [2]
De nieuwe Wet
bescherming persoonsgegevens (Wbp) kent echter geen
afzonderlijke regeling meer. Wel bestaan er
afzonderlijke informatieplichten voor verantwoordelijken
die gegevens buiten betrokkene om verwerken, is er thans
een regeling in de wet zelf voor bijzondere (voorheen
gevoelige) gegevens en dient het College voor de
bescherming van persoonsgegevens (CPB, de voormalige
Registratiekamer) voorafgaande aan de verwerking door
informatiebureaus van strafrechtelijke gegevens of
gegevens over onrechtmatig of hinderlijk gedrag een
onderzoek in te stellen, indien die bureaus gaan werken
zonder vergunning op grond van de Wet particuliere
beveiligingsorganisaties en recherche bureaus. Tevens
wordt de Gedragscode voor Handelsinformatiebureaus
aangescherpt. [3] In
het navolgende wordt, nu specifieke regels in de Wbp
ontbreken, herhaaldelijk teruggegrepen op het systeem en
de voorgeschiedenis van de bijzondere regeling voor
handelsinformatiebureaus in artikel 13 van de Wpr. Omdat
de desbetreffende praktijken niet altijd vallen onder
het regime van de Wbp, is het ook nodig te bezien wat
het gewone recht oplevert.
2. Situatie vóór
de Wet persoonsregistraties
Inbreuk op privacy door
activiteiten van informatiebureaus kon vóór de
inwerkingtreding van de Wpr worden beoordeeld op grond
van het gewone recht (art. 1401 BW oud; thans art. 6:162
BW). Het standaardarrest is Van der Velde v.
Groninger Financieringsbank [4]
inzake een waarschuwingssysteem tussen
kredietinstellingen. De Hoge Raad beoordeelde daarin de
plaatsing op een zwarte lijst van de huurkoper van een
auto ook nadat tussen hem en de financieringsinstelling
een schikking was getroffen. De vraag of de
financieringsinstelling verplicht is om maatregelen te
treffen die ertoe kunnen leiden dat de naam van de
huurkoper van de zwarte lijst verdwijnt, moet beoordeeld
worden naar de omstandigheden van het geval. Als de
doorgegeven waarschuwing betrekking heeft op een
vordering waarvan achteraf blijkt dat deze de
financieringsinstelling niet toekwam, kan de instelling
verplicht zijn die maatregelen te nemen. In dit geval
had de huurkoper nog niet geheel aan zijn verplichtingen
uit de schikking voldaan en mocht zijn naam op de lijst
geplaatst blijven.
De onrechtmatigheid van
de verstrekking wordt dus bepaald door de mogelijke
onjuistheid van de gegevens. Bij de vraag naar de
juistheid van de geregistreerde gegevens, kunnen alle
relevante gegevens in aanmerking worden genomen. Wie in
het kader van een faillissementsakkoord finale kwijting
voor een geldlening is verleend, kan geen aanspraak
maken op verwijdering van een A5 Code [5]
bij het Bureau Krediet Registratie, indien vaststaat dat
hij nimmer stipt en steeds uiterst moeizaam heeft
betaald, er rechtsmaatregelen nodig waren om hem tot
betaling te dwingen en de kwijting is geschied in het
kader van een dwangakkoord. [6]
Wie van de andere kant als gevolg van gewijzigde
levensomstandigheden niet in staat is een plankrediet
naar behoren af te lossen, maar zich, na tien jaar stipt
betaald te hebben, tijdig tot de bank wendt, en met deze
tegen finale kwijting betaling van een lager bedrag
overeenkomt, kan wèl aanspraak maken op verwijdering
van de belastende A5 codering. [7]
Deze genuanceerde rechtspraak behoudt zijn geldigheid;
aan het begrip 'juistheid' van de gegevens is immers
door de wetgever in de Wet persoonsregistraties, noch in
de Wet bescherming persoonsgegevens een beperkende
interpretatie gegeven. Aangenomen mag worden dat de Wbp
geen negatieve reflexwerking heeft en dat dus acties uit
onrechtmatige daad niet zijn uitgesloten.
3. Wetshistorie en
andere (rechts)bronnen
Achtergronden en ratio
van het voormalige artikel 13 Wpr zijn neergelegd in het
Eindrapport van de Staatscommissie Koopmans. [8]
Deze passages zijn indertijd door de Regering aangemerkt
als "een op hoofdlijnen nog steeds actuele
beschrijving van deze sector." [9]
De latere parlementaire behandeling van de wet heeft
daaraan nauwelijks iets toegevoegd. Het op het
Eindrapport gebaseerde voorstel voor artikel 13 heeft
ongeschonden de eindstreep gehaald. Blijkens de
toelichting volgt het artikel de rechtspraak [10]
terzake en bevat het in aanvulling daarop verscherpte
eisen.
Gelet op het voorgaande
mag worden aangenomen dat de passages in het Eindrapport
van groot belang zijn voor de uitleg van de toenmalige
regeling en ook van dienst kunnen zijn voor de situatie
zoals die na de invoering van de Wet bescherming
persoonsgegevens is ontstaan. Ondanks het belang van het
onderwerp heeft art. 13 als zodanig niet veel aandacht
in de literatuur gehad. [11]
Informatiebureaus zijn voorwerp geweest van een
EG-studie. [12]
De uitgebreide en
bijwijlen wel zeer abstracte toelichting op de Wet
bescherming persoonsgegevens rept met geen enkel woord
van de reden om geen afzonderlijke regeling meer voor
informatiebureaus te geven. Dit mag toch op zijn minst
opmerkelijk genoemd worden, nu die regeling blijkens de
wetshistorie van de Wpr zo onomstreden is gebleken en
er, zoals ik hieronder (par. 4) zal aantonen,
deugdelijke argumenten zijn aan te geven voor een
afzonderlijke regeling. Het is ook bepaald onhandig voor
de burger om niet te kunnen zien wat de precieze
wijzigingen in dit opzicht nu zijn. Er zit bij de
toelichting ook geen transponeringstabel, zodat men
althans nog zou kunnen zien waar artikel 13 Wpr gebleven
was. Ook de paragraaf over de verhouding tussen Wbp en
Wpr biedt geen enkele opheldering op dit punt. [13]
4. Ratio voor een
afzonderlijke regeling
Als ratio voor een
afzonderlijke en aangescherpte regeling vermeldt het
Eindrapport van de commissie Koopmans [14]
dat in de werkzaamheden van informatiebureaus gevaren
schuilen die met de (door de commissie voorgestelde)
algemene regeling niet te ondervangen zouden zijn. Deze
gevaren worden met name gezien in de volgende punten: [15]
- de verzameling van
gegevens bevat altijd een zekere foutenmarge vanwege
de noodzaak gevraagde diensten snel en goedkoop te
leveren; aansprakelijkheid voor foutieve gegevens
wordt dan ook vaak uitgesloten;
-
standaardvoorwaarden verplichten de afnemer van
informatie om de verkregen inlichtingen vertrouwelijk
te houden en met name deze niet aan betrokkene bekend
te maken op straffe van aansprakelijkheid van de
afnemer tegenover het informatiebureau voor door het
bureau te lijden schade; het doorbreken van die
vertrouwelijkheid is schadelijk voor de continuïteit
van de activiteiten van informatiebureaus;
- bij
informatiebureaus gaat het doorgaans om een combinatie
van twee factoren die voor privacybescherming van
gewicht zijn, t.w. het verzamelen van gevoelige
gegevens en de verstrekking van gegevens aan derden;
- inlichtingen van
een informatiebureau dienen er bij uitstek toe om
beslissingen omtrent de bevraagde personen mogelijk te
maken. De geregistreerde heeft dus een groot belang
bij een juiste indruk naar buiten toe op basis van die
gegevens èn bij kennisneming van de inhoud ervan.
Bovengenoemde gevaren
hebben, mede vanwege het ontbreken van een
vestigingsregeling voor informatiebureaus en vanwege de
lage organisatiegraad in de sector, een argument gevormd
voor een afzonderlijke regeling. Daarnaast is de
commissie zich bewust geweest van de maatschappelijke
functie die aan informatiebureaus kan worden toegekend,
zeker en vooral als het gaat om kredietinformatie, waar
immers de wetgever er zelf van uitgaat dat de
kredietgever verplicht is zich voldoende te informeren
over de kredietwaardigheid van betrokkene. [16]
Hof Amsterdam heeft in
dit verband het bestand van het Bureau
Kredietregistratie (BKR) uitdrukkelijk gekwalificeerd
als maatschappelijk verantwoord door te overwegen dat
"het stelsel van registratie van verstrekte
kredieten en van de afwikkeling daarvan, zoals deze bij
het BKR binnen het kader van haar statutaire
doelstelling plaatsvindt, een belangrijke bijdrage
levert aan een maatschappelijk verantwoorde
dienstverlening op financieel terrein en zowel in het
belang van kredietgevers als van kredietnemers bijdraagt
aan het beperken van risico's bij het verstrekken van
kredieten." [17]
De lage organisatiegraad in de sector is blijkens de
inwerking treding van de gedragscode van de Nederlandse
Vereniging van Handelsinformatiebureaus (NVH) [18]
verbeterd. De activiteiten van organisatiebureaus voor
werving en selectie, verenigd in de Organisatie van
Adviesbureaus voor Werving en Selectie (OAWS), zijn
nader gereguleerd in de eerste code die is goedgekeurd
door de Registratiekamer, de OAWS-Privacy Code. [19]
Daarmee zijn ook de activiteiten van zgn. headhunters
van een privacy gedragscode voorzien. Hetzelfde geldt
voor het georganiseerde marktonderzoek door de
goedkeuring van de Privacy-gedragscode markt- en
opinieonderzoek. [20]
Als gevolg van een wijziging van de Wet op de
weerkorpsen, zijn particuliere recherchebureaus
verplicht zich aan te melden bij de Minister van
Justitie. [21]
Erkenning van het maatschappelijk belang van bepaalde
informatiebureaus heeft tenslotte ook wettelijk zijn
beslag gekregen: voor de activiteiten van de Stichting
Rai Data Centrum (autogegevens) door de aanwijzing van
de Stichting als belangenbehartiger van deze
automobielbranche in het kader van de verstrekking van
gegevens uit het kentekenregister en het gebruik van die
gegevens, [22] en
voor de activiteiten van het Bureau Kredietregistratie
door de uit art. 14 lid 3 van de Wet op het
consumentenkrediet voortvloeiende aansluitingsplicht
voor kredietverlenende instellingen bij het BKR.
Ondanks deze
voorbeelden van een gereguleerde branche organisaties,
komt het in de praktijk nog vaak voor dat informatie
buiten betrokkenen om wordt verhandeld door min of meer
ongeorganiseerde handelsinformatie bureaus en
particuliere recherchebureaus; het gaat daarbij vaak ook
om betrekkelijk gevoelige informatie die soms afkomstig
is uit politiedossiers of -registraties, soms van
particuliere instanties. [23]
Daarnaast circuleren in bepaalde branches zwarte
lijsten, bijvoorbeeld de kliklijsten in de bouw die
waarschuwen voor verkeerde opdrachtgevers of werknemers,
[24] of de wat
subtieler georganiseerde lijsten op internet die de
mogelijkheid verschaffen te weten te komen of in een
bepaalde buurt een pedofiel woonachtig is.
5. Typische
kenmerken van informatiebureaus
Het typische kenmerk
van een informatiebureau is dat, vaak buiten medeweten
van betrokkenen, gegevens worden verzameld teneinde die
aan derden te verstrekken. Ingevolge het Eindrapport van
de Commissie Koopmans kon dan ook niet als een
informatiebureau worden beschouwd een bureau dat de
gegevens niet met het oog op verstrekking bedrijfsmatig
heeft verzameld, maar dat beschikt over inlichtingen
"uit eigen ervaring". De verzameling van
gegevens moet dus gericht zijn op de verstrekking ervan
aan derden. Dit is vooral van belang voor deurwaarders
en incassobureaus die uit eigen ervaring beschikken over
gegevens van dubieuze debiteuren. Als echter een
incassobureau geen informatiebureau is, maar wel
gegevens verstrekt aan particulieren, dan valt, aldus de
Commissie Koopmans het bureau als een informatiebureau
te beschouwen en moet met name worden bezien in hoeverre
het aanvaardbaar is dat gegevens die voor het ene doel
zijn verkregen, voor een ander doel worden gebruikt. [25]
Dat laatste gegeven kan bijvoorbeeld dienstig zijn voor
de kwalificatie van randgevallen zoals die van
PTT-Telecom die regelmatig een update van haar
basisbestand (in de uitoefening van haar eigen
activiteiten verkregen adresgegevens en telefoonnummers
van contractanten alsmede de postcodegegevens) op
verzoek aan PTT-Post verstrekt, die deze op haar beurt
ten behoeve van direct marketing activiteiten van derden
verhandelt. Het is dus mede van de oorspronkelijke
doelstelling van een verwerking afhankelijk, of bepaalde
vormen van verwerking kunnen worden beschouwd als die
van een informatiebureau.
Bij informatiebureaus
moet allereerst worden gedacht aan registraties die
worden gehouden door ten behoeve van het bedrijfsleven
werkzame informatiebureaus. Ook databanken waarmee wordt
beoogd aan een breed publiek informatie te verschaffen
en die rechtstreeks toegankelijk zijn voor de abonnees,
kunnen echter worden beschouwd als informatiebureaus,
uiteraard voorzover er sprake is van verwerking van
persoonsgegevens. [26]
Te denken valt aan het 0900-8008-informatiebestand van
PTT-Telecom. Informatiebureaus in de overheidssector en
incassobureaus vallen eveneens onder het bereik van de
Wbp. [27]
6. Uitgezonderde
verwerkingen
Wij behandelen hier
uitsluitend de activiteiten van informatiebureaus die
onder het regime van de Wet bescherming persoonsgegevens
vallen. Allereerst moet worden bedacht dat deze wet niet
van toepassing kan zijn op de verwerking van gegevens
waarop de wet in het algemeen niet van toepassing is
(vgl. art. 2 Wbp). Als zodanig zijn hier vooral van
belang verwerkingen als bedoeld in art. 2 lid 2 en
artikel 3 Wbp. In vergelijking met de Wpr betekent deze
niet toepasselijkheid dat mogelijk commercieel te
exploiteren informatiediensten, zoals het verkrijgen en
het leveren van gegevens uit het handelsregister of uit
het kadaster thans, anders dan vroeger, wel onder het
bereik van de Wbp vallen. [28]
Datzelfde geldt voor informatiediensten op het terrein
van pers en omroep en in het algemeen voor verwerking
voor journalistieke, artistieke en literaire doeleinden,
zij het dat voor die laatste vormen van verwerking
alleen een aantal algemene regels van de Wbp van
toepassing zijn. De enige uitzonderingen op de
toepasselijkheid die thans nog bestaan zijn voor zover
relevant verwerkingen ten behoeve van de uitvoering van
de Wet op de Inlichtingen- en veiligheidsdiensten, ten
behoeve van de politietaak als omschreven in artikel 2
van de Politiewet, de verwerking geregeld bij of
krachtens de Wet gemeentelijke basisadministratie, die
ten behoeve van de uitvoering van de Wet justitiële
documentatie en die ten behoeve van de uitvoering van de
Kieswet.
De Wpr was voorts niet
van toepassing op registraties die voorlopig van
toepasselijkheid waren uitgezonderd op grond van het
Besluit tot aanwijzing van voorlopig niet onder de Wpr
vallende persoonsregistraties. [29]
Als zodanig is relevant het kentekenregister. De
materile regeling voor dat register sloot echter zoveel
mogelijk aan bij de regeling van artikel 13 Wpr. [30]
Het register valt thans wel onder de Wbp.
7. Verwerking van
losse gegevens
Het oude artikel 13 Wpr
was niet van toepassing op het verzamelen van losse
gegevens die niet in een registratie worden
ondergebracht. De Commissie Koopmans had al vroeg oog
voor het argument dat bij veel kleinere bureaus gegevens
niet worden vastgelegd en impliciet voor een (moderne)
'processing' opvatting gepleit. [31]
Die opvatting is thans uiteraard in de Wbp terug te
vinden, omdat deze niet langer van het begrip
registratie uitgaat, maar van het begrip verwerking. Rb.
Maastricht kon overigens onder de oude wet zonder
toepassing van de Wpr een oordeel geven over de
activiteiten van een privé-detectivebureau dat alleen
met waarneming en rapportage daarvan aan de
opdrachtgever werkte. [32]
Onder de Wbp zou in zo'n geval sprake kunnen zijn van
verwerking van persoonsgegevens, wanneer het zo is dat
de desbetreffende gegevens bestemd zijn om in een
bestand te worden opgenomen. Wanneer dat niet zo is,
blijft de Wbp ook in zo'n geval echter buiten toepassing
(zie artikel 2 lid 1 Wbp) en is het gewone recht van
toepassing. [33]
8. Verwerking van
gegevens over rechtspersonen
Voor de
toepasselijkheid van de regeling maakt het volgens het
Eindrapport van de Commissie Koopmans niet uit of een
informatiebureau ook met gegevens over rechtspersonen
werkt. [34] Van die
moderne opvatting heeft de wetgever echter zeer bewust
afgezien. [35] Wat
zulks betekent voor informatiebureaus die voor het
merendeel handelen in gegevens over bedrijven (zoals de
Kamers van Koophandel) is niet helemaal duidelijk. Zoals
bekend kunnen als persoonsgegevens wèl worden
aangemerkt gegevens omtrent eenmansbedrijven en kleine
ondernemingen, maatschappen of vennootschappen onder
firma die geen rechtspersoon zijn c.q. niet als zodanig
worden beschouwd. In ieder geval staat vast dat geen
onderscheid behoeft te worden gemaakt tussen zakelijke
en privé-informatie omtrent personen. Het Eindrapport
achtte een dergelijk onderscheid tussen
handelsinformatie en informatie over particulieren al
overbodig. [36] De
wetgever van de Wpr sloot in dit verband aan bij de
Duitse wetgeving die 'personenbezogenen Daten'
omschrijft als: "Einzelangaben über persönlichen
oder sachlichen (curs. K.) Verhältnisse einer
bestimmten oder bestimmbaren natürlichen
Personen." [37]
In de toelichting op de Wbp is hieromtrent niet te
vinden zodat mag worden aangenomen dat ook
handelsinformatie die betrekking heeft op een natuurlijk
persoon als een onder de wet vallend persoonsgegeven mag
worden beschouwd.
9. Verwerking van
objectgegevens
Ten aanzien van zgn.
objectgegevens (bijv. het kenteken van een voertuig)
verwijs ik naar de richtinggevende beschouwingen
daaromtrent in de wetgevingstukken bij de behandeling
van het wetsvoorstel voor de Wpr in de Eerste Kamer. [38]
Doorslaggevend voor de kwalificatie als persoonsgegeven
is, aldus die beschouwingen, het antwoord op de vraag of
de desbetreffende gegevens bepalend kunnen zijn voor de
wijze waarop de betrokken personen in het
maatschappelijk verkeer worden beoordeeld of behandeld.
De Memorie van toelichting bij de Wbp herhaalt dat
uitgangspunt nog eens. [39]
Dat wil dus in beginsel zeggen dat zuivere
objectgegevens buiten de Wbp vallen. Die constatering is
van belang voor instellingen die dergelijke gegevens
verzamelen en aan derden leveren, zoals geo-informatie
bureaus e.d. Nochtans zijn in een aantal adviezen van de
Registratiekamer, overigens mede afhankelijk van de
context van het geval, telefoonnummers, kentekens van
auto's en postcodes met huisnummers gekwalificeerd als
een persoonsgegeven. [40]
Anderzijds kwalificeert de Memorie van toelichting als
zuivere objectgegevens gegevens die onroerende zaken of
andere registergoederen identificeren, omdat via de
registratie daarvan in het kadaster het niet mogelijk is
op persoon te zoeken. Levert het kadaster wel
aanvullende informatie die zulks mogelijk maakt, dan is
de wet uiteraard van toepassing.
10. Verwerking
buiten medeweten van betrokkenen
Typerend voor de
activiteiten van informatiebureaus is als gezegd het
feit dat zij vaak persoonsgegevens verzamelen buiten
medeweten van betrokkenen. Wij behandelen hier dan ook
allereerst niet die gevallen waarin met de
uitdrukkelijke toestemming van betrokkenen gegevens
worden verzameld en aan derden geleverd. Dat noopt
intussen wel tot een nadere omschrijving van het
toestemmingsbegrip die mede geënt is op de wetshistorie
van de bijzondere regeling voor informatiebureaus in
artikel 13 van de Wpr.
Informatie aan
betrokkene door de verantwoordelijke houder of door
anderen over de verwerking van zijn gegevens bij een
informatiebureau of het bekend zijn van betrokkene met
die verwerking, is in het algemeen niet voldoende om van
toestemming te kunnen spreken. Medeweten van of
instemming met de verwerking van gegevens kan geen
toestemming opleveren, ook niet indien het aan
geregistreerde is toe te rekenen dat een schijn van
instemming is gewekt.
De toestemmingseis
bevat echter tevens inhoudelijke voorwaarden. Ingevolge
artikel 12 van de Wpr kon toestemming voor de
verstrekking van persoonsgegevens uit een registratie
slechts schriftelijk worden gegeven en moest deze
betrekking hebben op één geval of op een beperkte
categorie van gevallen en in het geschrift nauwkeurig
zijn omschreven. De toestemming kon voorts steeds
schriftelijk worden ingetrokken. Door die eis vielen
globale, schriftelijke toestemmingen voor verstrekking
aan derden buiten de boot. De wetsgeschiedenis van de
Wpr bevat geen aanwijzingen voor de vraag of de aldus
geconcretiseerde schriftelijke toestemming onderdeel kan
uitmaken van algemene voorwaarden. Gelet op het systeem
van artikel 13 lid 4 sub b. Wpr (verstrekking moet in
concreto door de houder beoordeeld worden op
overeenstemming met het doel van de aanvrager) en c.
(verstrekking mag naar het oordeel van de houder in
concreto de persoonlijke levenssfeer van geregistreerde
niet onevenredig schaden) moet het er naar het systeem
van de Wpr voor worden gehouden dat de concrete belangen
afweging waarvan in die artikel-onderdelen sprake is,
voorafgaande standaardisering van die belangenafweging
in de weg staat. Informatiebureaus die met schriftelijk
geconcretiseerde maar gestandaardiseerde toestemmingen
van geregistreerden werken, vielen dus niet
noodzakelijkerwijs buiten het regime van artikel 13. [41]
De wet sloot niet uit dat de toestemmingsverklaring
tegenover een ander dan het informatiebureau wordt
afgelegd, bijvoorbeeld tegenover een kredietverlenende
instelling die gegevens verstrekt aan het Bureau Krediet
Registratie welke gegevens op haar beurt door andere
instellingen kunnen worden geraadpleegd bij het Bureau.
Zoals bekend wordt de
eis van schriftelijke toestemming niet langer gesteld en
geldt deze eis niet meer als een afzonderlijke eis voor
verstrekking van gegevens aan derden. [42]
Toestemming voor de verwerking van gewone gegevens dient
ondubbelzinnig te zijn, voor de verwerking van
bijzondere gegevens dient zij uitdrukkelijk te zijn. De
betekenis van de laatste term wordt niet in de
toelichting uitgelegd. [43]
Aangenomen moet worden dat de toestemming voor de
verwerking van gevoelige gegevens expliciet door
betrokkene zelf gegeven moet zijn; voor de gewone
verwerking kan de toestemming als ondubbelzinnig worden
gekwalificeerd, indien zij uit andere gedragingen van
betrokkene is af te leiden (invullen van een formulier,
bevestiging van een electronische dienstverlening door
een muisklik, e.d.).
Deze enge invulling van
het toestemmingsbegrip betekent dat informatiebureau
doorgaans geacht zullen worden zonder toestemming van
betrokkene gegevens te verwerken. Dat betekent dat zij
voor wat betreft de verwerking van bijzondere gegevens
vallen onder het verbodssysteem met enkele limitatief
opgesomde uitzonderingen van de artikelen 16-24 Wbp en
voor de verwerking van gewone gegevens onder de algemene
verwerkingsvoorwaarde van artikel 8 sub f. van de Wbp.
Wat de informatie betreft die de bureaus aan betrokkenen
dienen te verschaffen zal doorgaans het regime van
artikel 34 Wbp (persoonsgegevens niet bij betrokkene
verkregen) van toepassing zijn.
12. Toetsing van de
doeleinden van de gegevensverwerking bij
informatiebureaus
Ingevolge art. 7 van de
wet mogen gegevens slechts worden verzameld voor
welbepaalde, uitdrukkelijk omschreven en
gerechtvaardigde doeleinden. Onder de Wpr gold dat de
toetsing van het belang van de houder bij de aanleg van
een artikel 13 bestand aan zwaardere eisen kan worden
onderworpen dan die welke voor andere bestanden golden.
Als relevante toetsingsfactoren zijn genoemd: de inhoud
en aard van de te registreren gegevens, de bron(nen)
waaruit deze worden verkregen, de wijze van verkrijging,
de instemming van de betrokkene, de verwerkingsprocessen
in de zin van verzameling, "verrijking" of
"profilering", d.w.z. de toegevoegde waarde
van het systeem van gegevensverwerking, het gebruik
binnen de organisatie van de houder, de verstrekking aan
derden alsmede de betekenis van de beschikbaarheid van
informatie in het maatschappelijk verkeer, mede bezien
in het licht van het belang van de houder en de aan het
gebruik hiervan voor de betrokkene verbonden
consequenties. [44]
Art. 13 bestanden waren aldus de enige bestanden in de
particuliere sector die nog eens afzonderlijk konden
worden getoetst op de vraag of zij eigenlijk wel mochten
worden aangelegd.
Van een enkel art. 13
bestand stond vast dat daarmee een maatschappelijk
legitiem doel werd gediend. [45]
Aan de andere kant verplichtte het Besluit gevoelige
gegevens [46] tot een
zwaardere toetsing dan voorheen van de praktijk van
particuliere recherche- en beveiligingsbureaus, althans
voorzover deze werkten met persoonsregistraties waarin
gegevens van strafrechtelijke of tuchtrechtelijke aard
voorkomen. Ingevolge de artt. 6 en 7 van dat besluit,
mochten deze gegevens immers in beginsel slechts
voorkomen in een limitatief opgesomd aantal registraties
waar die van particuliere recherchebureaus buiten
vielen. De uitzonderingscategorieën van artikel 8 BGG
lieten registratie door een ander dan degene tegenover
wie de strafbare feiten zijn of dreigen te worden
gepleegd (het eventuele slachtoffer), slechts toe indien
er sprake was van een opdracht aan de derde door het
eventuele slachtoffer en van de aanwezigheid van een
gewichtig belang van de laatste. [47]
De door de Registratiekamer geaccordeerde Gedragscode
van de Nederlandse Vereniging van
Handelsinformatiebureaus staat in artikel 4 lid 2
uitdrukkelijk toe dat gegevens aangaande
financieel-economische delicten mogen worden opgenomen,
voorzover hun vastlegging noodzakelijk is voor een
verantwoorde uitoefening van het
handelsinformatiebedrijf en geen onevenredige schade
toebrengt aan de persoonlijke levenssfeer van de
geregistreerde. [48]
Een doelstelling als
deze moet inderdaad voor het verwerken van gegevens
aanwezig zijn. Het verwerken van gegevens kan op zich
zelf niet als gerechtvaardigd worden beschouwd, omdat
anders toetsing of het gebruik wel gerechtvaardigd is,
onmogelijk is. Opslag van gegevens door een particulier
recherchebureau zonder concrete onderzoeksopdracht
louter terwille van een eventuele toekomstige opdracht,
is dan ook niet toegestaan. Dat geldt ook voor die
gevallen waarin het bewaren van gegevens geen nut meer
heeft, gelet op de situatie waarvoor die gegevens werden
verzameld. In de regel moet dan ook een rechtvaardiging
voor gegevensverwerking aanwijsbaar zijn in de
individuele persoon over wie gegevens worden vergaard.
Dat kan soms anders zijn: voor een bedrijf dat met
stelselmatige fraude wordt geconfronteerd, kan het
noodzakelijk zijn gegevens te verwerken van alle
betrokkenen (klanten, werknemers). [49]
In eerste instantie
ligt de afweging of een bepaald doeleinde
gerechtvaardigd is bij de verantwoordelijke zelf. Indien
een informatiebureau gegevens verwerkt op grond van
eigen waarneming zonder betrokkene daarvan op de hoogte
te stellen, dan dient zodanige verwerking vooraf te
worden gecontroleerd door het College (artikel 31 sub b.
Wbp). Hetzelfde geldt voor de werkzaamheden van bureaus
die zonder vergunning op grond van de Wet particuliere
beveiligingsorganisaties en recherchebureaus ten behoeve
van derden strafrechtelijke gegevens of gegevens over
onrechtmatig of hinderlijk gedrag verwerken. De laatste
verwerkingen moeten door het College bovendien ter
kennis van de Europese Commissie worden gebracht en het
bureau kan niet beginnen voordat het College een
verklaring heeft afgegeven over de rechtmatigheid van de
verwerking. [50] De
toelichting kwalificeert deze verklaring als niet
bindend; [51] wel is
de verantwoordelijke totdat het onderzoek is afgerond
verplicht zijn werkzaamheden op te schorten. Het niet
bindende karakter betekent in ieder geval dat wanneer
het College beslist heeft om niet tot een nader
onderzoek over te gaan, zulks nog niet ten gevolge heeft
dat de desbetreffende gegevensverwerking ook rechtmatig
is. Datzelfde geldt waarschijnlijk ook voor een
verklaring in positieve zin. Dat ook een negatieve
verklaring niet bindend is, volgt uit de mogelijkheid
daartegen administratief beroep aan te tekenen. Het
spreekt vanzelf dat het volgens deze regels noodzakelijk
is dat de desbetreffende verwerking wordt aangemeld bij
het College. Het systeem van de privacyfunctionaris
werkt hier niet. [52]
13. Het regime van
artikel 13 Wpr en de Wbp
Het regime van artikel
13 Wpr was te beschouwen als een aangescherpte regeling
ten opzichte van de algemene regels van de wet (met name
ten opzichte van art. 5, tweede lid, en de artt. 11 en
12 Wpr). Overtreding van dit regime leidde niet alleen
tot aansprakelijkheid van de houder; de aldus verstrekte
gegevens waren bovendien niet rechtmatig verkregen in de
zin van art. 5 lid 1 van de Wpr en mochten dan ook niet
worden opgeslagen in de registratie van de afnemers van
het bureau. Het regime liet uiteraard de overige
verplichtingen van de wet onverlet, zoals de voor
informatiebureaus eveneens geldende zgn. spontane
mededelingsplicht van art. 28, [53]
de aanmeldingsplicht [54]
en de plichten welke voortvloeien uit de rechten van
geregistreerden. Nu een bijzonder regime voor
informatiebureaus in de nieuwe wet ontbreekt, is het
zinnig te bezien op welke wijze de bijzondere waarborgen
van artikel 13 Wpr in de nieuwe wet zijn terug te
vinden.
13.1. Verwatering
van de onderzoeksplicht met betrekking tot de juistheid
van de op te nemen gegevens
Eiste artikel 5, tweede
lid van de Wpr dat de houder voorzieningen treft ter
bevordering van de juistheid van de opgenomen gegevens,
artikel 13, tweede lid Wpr bepaalde dat slechts
persoonsgegevens mogen worden opgenomen, die op hun
juistheid zijn onderzocht. Deze onderzoekszorgplicht
hield niet een resultaatsverplichting in om in te staan
voor de juistheid van de opgenomen gegevens. [55]
Afhankelijk van de aard van de betreffende gegevens en
van de belangen die daarbij voor de geregistreerde in
het geding kunnen zijn, diende het onderzoek meer of
minder diepgaand te zijn. [56]
De wet repte niet van een onderzoek door de houder zelf.
De houder kon dus gegevens opnemen die door derden of
door bewerkers op hun juistheid zijn onderzocht. Deze
uitbesteding van het juistheidsonderzoek ontsloeg de
houder echter niet van zijn zorgplicht. Afhankelijk van
bovenvermelde factoren (aard gegevens en belangen
geregistreerde) kon aan de zorgplicht soms voldaan zijn
door een steeksproefgewijze controle op de methode van
onderzoek die door de derde wordt gehanteerd; in andere
gevallen dienden waarborgen te worden getroffen voor een
meer diepgaand onderzoek dat betrekking heeft op de
juistheid van gegevens in een concreet geval. De
onderzoeksplicht kon tot problemen leiden in systemen
waarin het informatiebureau voor de controle op de
juistheid volledig afhankelijk was van zijn
participanten die de gegevens aanleverden en op hun
beurt weer verkregen. De in de toelichting op de Wpr
genoemde afwegingsfactoren boden hiervoor geen
oplossing. Deze informatiebureaus moesten hun
aansprakelijkheid dus contractueel afwentelen op de
participanten.
De Wbp bepaalt thans in
artikel 11 lid 2 dat de verantwoordelijke de nodige
maatregelen treft opdat de persoonsgegevens, gelet op de
doeleinden waarvoor zij worden verwerkt, juist en
nauwkeurig zijn. Het gaat hier, de toelichting meldt het
uitdrukkelijk, om een inspanningsverplichting. Er is
geen verplichting om gegevens die door derden zijn
verschaft te verifiëren op hun juistheid, althans niet
voor die gevallen waarin de verantwoordelijke verplicht
is om dergelijke gegevens op te nemen. [57]
Het systeem van de Wbp is dat van artikel 5 lid 2 van de
Wpr; er geldt dus geen bijzondere onderzoeksplicht meer
naar de juistheid van de op te nemen gegevens voor
informatiebureaus.
13.2. Verval van
de plicht alleen op verzoek te verstrekken
Ongevraagde
verstrekking was onder het regime van artikel 13 Wpr uit
den boze. Verstrekking mocht alleen op verzoek
geschieden (artikel 13 lid 3 Wpr). Dit sloot echter
gestandaardiseerde verstrekking niet uit. Bij
interactieve databanken ligt in het nemen van een
abonnement een verzoek besloten. [58]
Bij deelnemerssystemen waarin vaste, contractuele
relaties bestaan tussen bureau en participant zal het
verzoek eveneens eenmalig deel kunnen uitmaken van de
contractuele relatie tussen bureau en participant.
In de Wbp moeten wij
het op dit punt doen met artikel 8 sub f. voor gewone
gegevens en met de artikelen 16-24 voor bijzondere
gegevens. Artikel 8 sub f. sluit ongevraagde
verstrekking niet uit: de vraag of zo een verstrekking
nodig is, is ter beoordeling aan de verantwoordelijke.
Deze moet in eerste instantie de afweging maken of de
desbetreffende verstrekking noodzakelijk is ter
behartiging van het gerechtvaardigde belang van de derde
aan wie hij de gegevens verstrekt. Ook dit systeem maakt
het mogelijk om te werken met gestandaardiseerde
verzoeken, maar het verplicht de verantwoordelijke niet
langer aan te tonen dat om verstrekking is verzocht.
13.3. Strengere
controle op verenigbaarheid doeleinden van verstrekker
en afnemer
Het gebruiksdoel moest
onder de Wpr bekend zijn bij verstrekker, het mocht niet
maatschappelijk onaanvaardbaar zijn (niet in strijd met
wet, openbare orde of goede zeden) en er diende een
redelijk verband te zijn tussen de aard van de
verstrekte gegevens en het doel: de verstrekking was
verboden indien zij redelijkerwijs niet in
overeenstemming was met het opgegeven gebruiksdoel
(artikel 13 lid 3 en lid 4 Wpr). De term redelijkerwijs
betekende dat vergissingen van de verstrekker op dit
punt niet in alle gevallen tot gevolg behoefden te
hebben dat de gegevens door de ontvanger onrechtmatig
waren verkregen. Dit gevolg diende alleen te worden
verbonden aan verstrekkingen waarover geen misverstand
kon bestaan. [59]
De eis die thans wordt
gesteld, is dat beide doeleinden verenigbaar moeten
zijn. Een informatiebureau kan dus gegevens verstrekken
voor een ander doel dan waarvoor deze zijn verzameld,
mits het doel waartoe de gegevens worden verstrekt
verenigbaar is met het oorspronkelijke doel. Het verband
tussen de aard van de gegevens en het secundaire
gebruiksdoel is verdwenen. Van de andere kant is de eis
van verenigbaarheid strenger. Het oude systeem maakte
het immers mogelijk dat het gebruiksdoel van de
verkrijger niet verenigbaar was met dat van de
verstrekker; de enige controle die de verstrekker diende
uit te oefenen was of de gegevens bij zijn afnemer wel
op zijn plaats waren, gelet op het gebruiksdoel van de
afnemer.
13.4. Plicht tot
belangenafweging behouden
Ook bij het bestaan van
een redelijk verband tussen aard van de verstrekte
gegevens en het doel van de verzoeker, kon verstrekking
niettemin zijn verboden als daardoor de persoonlijke
levenssfeer van geregistreerde onevenredig werd geschaad
(artikel 13 lid 4 Wpr). Zo kon het bijvoorbeeld niet
geoorloofd zijn voor een bescheiden doel, zoals het
innen van een kleine geldvordering, voor betrokkene
bezwarende gegevens te verschaffen die niet opwogen
tegen het belang van de verzoeker. [60]
Deze belangenafweging
is behouden en lijkt enigszins aangescherpt: artikel 8
sub f. verplicht de verantwoordelijke allereerst om te
onderzoeken of de gegevensverwerking wel noodzakelijk is
ten behoeve van het gerechtvaardigd belang van de
afnemer en vervolgens te onderzoeken of, wanneer dat zo
is, niettemin het belang van betrokkene niet moet
voorgaan. [61]
Daarbij dient een zekere proportionaliteitstoets te
worden aangelegd op grond waarvan de verantwoordelijke
mede zou moeten onderzoeken of, gelet op het belang van
de afnemer, dat belang ook niet op een andere wijze zou
kunnen worden gediend dan door verstrekking van bepaalde
gegevens.
13.5.
Protocolplicht vervallen
Elke verstrekking moest
ingevolge artikel 13 lid 5 Wpr tenminste een jaar na
verstrekking vastgelegd worden gehouden, tenzij
redelijkerwijs kon worden aangenomen dat de
geregistreerde daarbij geen belang had. Aangetoond moest
worden dat er geen belang is; ook een gering belang is
een belang en van een afweging van zo'n belang tegenover
dat van de houder was hier geen sprake: de term
redelijkerwijs uit artikel 13 lid 5 Wpr slaat op de
objectieve waarschijnlijkheid van het ontbreken van enig
belang. Het viel niet goed in te zien in hoeverre deze
bepaling de houder nog een mogelijkheid bood om af te
zien van vastlegging van verstrekkingen.
Vermeld dient dat de
toelichting op dit punt soepeler was; daarin werd
vermeld dat de protocolplicht uitzondering lijdt, als
zij kennelijk onevenredig zou zijn met het belang dat de
geregistreerde daarbij heeft. [62]
Die wijze van belangenafweging spoorde met de algemene
protocolplicht van artikel 32 lid 2 Wpr dat een ruimere
marge voor de houder bevatte om af te zien van
vastlegging van verstrekkingen aan derden: volgens dit
artikellid mocht de houder afzien van vastlegging indien
hij redelijkerwijze kon aannemen dat het belang van de
geregistreerde daardoor niet onevenredig werd geschaad.
In dat geval kon worden volstaan met algemene informatie
over de aard van de verstrekking en over de verkrijgers.
Het ging daarbij dan om gevallen waarin bijvoorbeeld
frequent on line raadpleging plaatsvindt en het belang
van geregistreerde door niet vastlegging niet
onevenredig wordt geschaad.
De Wbp kent geen
protocolplicht meer. Dat wil niet zeggen dat betrokkene
niet behoort te worden ingelicht over eventuele
verstrekkingen, maar de faciliteit daarvoor, d.w.z. het
gedurende enige tijd moeten bewaren van een
verstrekkingsprotocol is vervallen.
13.7.
Informatieplichten afgezwakt, maar ogenschijnlijk minder
uitzonderingen
Informatiebureaus
hebben er op zijn zachtst gezegd uiteraard niet altijd
belang bij dat betrokkenen weten dat informatie omtrent
hun handel en wandel wordt verzameld. Niettemin was het
systeem van de Wpr duidelijk: artikel 28 Wpr eiste dat
betrokkenen werd meegedeeld dat een informatiebureau
gegevens over hen opnam in een registratie. Dat moet in
theorie de dood in de pot zijn geweest voor veel
informatiebureaus. Onder de regels van de Wpr kon
mededeling van eerste opname (art. 28 Wpr), een verzoek
tot inzage en inlichtingen over de herkomst (art. 29
Wpr) en een verzoek tot inlichtingen over verstrekking
aan derden (art. 32 Wpr) echter achterwege worden
gelaten of geweigerd voorzover dit noodzakelijk was in
het belang van gewichtige belangen van anderen dan de
verzoeker, de houder daaronder begrepen (art. 30 sub e.
Wpr). De uitzondering moest restrictief worden
geïnterpreteerd. Als gewichtige belangen konden niet
worden aangemerkt overwegingen met betrekking tot kosten
of doelmatigheid (administratieve rompslomp, e.d.). [63]
Het belang van een goede loopbaanontwikkeling van
werknemers in een bedrijf mocht worden aangemerkt als
(overigens het enige, tijdens de parlementaire
behandeling concreet genoemde) gewichtig
(bedrijfs)belang. [64]
Op deze uitzondering is
bijvoorbeeld gebaseerd art. 12 lid 2 en lid 4 van de
door de Registratiekamer geaccordeerde OAWS-Gedragscode,
waarin wordt bepaald dat mededeling van eerste opneming
en inzage door bureaus voor werving en selectie
achterwege kan worden gelaten, indien de
loopbaanontwikkeling van geregistreerde in het bedrijf
waar hij werkzaam is door de mededeling wordt geschaad,
of door de mededeling in het bedrijf van geregistreerde
problemen zijn te verwachten op het gebied van
management en personeelsvoorziening. Dergelijke gevaren
zijn reëel: 'name dropping', het tippen van potentiële
opvolgers in een bedrijf kan dodelijk zijn voor
betrokkenen. Voorts kon ingevolge hetzelfde artikel
mededeling van eerste opneming achterwege worden
gelaten, indien de gegevens uit openbare bronnen waren
verkregen, de gegevens gelet op het doel van de
registratie slechts een voorlopig karakter hadden of de
geregistreerde redelijkerwijs kan weten dat een
dergelijke opname heeft plaatsgevonden. Tenslotte kon
een verzoek tot inzage worden geweigerd, indien door de
mededeling de persoonlijke levenssfeer van anderen dan
de geregistreerde onevenredig dreigde te worden
geschaad.
Het voorstel van de
Commissie voor Consumentenaangelegenheden van de SER tot
het creëren van een wettelijke verplichting om bij een
weigering, resp. het aanbieden van een krediet of
verzekering onder bijzondere, bezwarende voorwaarden de
gronden mee te delen, waarop die weigering, resp. de
aanbieding onder bezwarende voorwaarden berust en,
indien de desbetreffende gegevens van een
informatiebureau afkomstig zijn, de naam en het adres
van het informatiebureau, [65]
is indertijd door de Commissie Koopmans aangemerkt als
een nadere overweging waard, maar door de wetgever niet
overgenomen, waarschijnlijk omdat zulks, zoals de
commissie zelf al aangaf, in de Amerikaanse praktijk tot
allerlei verwarring aanleiding bleek te geven bij
geregistreerden. [66]
Daarmee staat vast dat de afnemer van gegevens van het
informatiebureau kan worden verplicht de herkomst geheim
te houden, ook als het om voor de geregistreerde
negatieve gegevens gaat en uiteraard voorzover de
wettelijke uitzondering van toepassing kan worden
geacht. Vermelding in dit verband verdient dat de
Gedragscode van de Nederlandse Vereniging van
handelsinformatiebureaus terzake van het achterwege
laten van inlichtingen aan geregistreerde niet meer
bevat dan de letterlijke tekst van art. 30 sub e. Wpr.
Informatie aan
betrokkene dient ingevolge artikel 34 lid 1 sub b. van
de Wbp niet op het moment van verzameling of opslag,
maar pas uiterlijk op het moment van eerste verstrekking
te worden verschaft, wanneer het gaat om, zoals bij
informatiebureaus doorgaans het geval zal zijn, gegevens
die niet bij de betrokkene zelf zijn verkregen en die
bestemd zijn om aan derden te worden verstrekt. De
informatie die moet worden gegeven bestaat uit de
identititeit van het informatie bureau, het doel
waarvoor de gegevens worden verwerkt en "nadere
informatie voorzover dat gelet op de aard van de
gegevens, de omstandigheden waaronder zij worden
verkregen of het gebruik dat ervan wordt gemaakt, nodig
is om tegenover de betrokkene een behoorlijke en
zorgvuldige verwerking te waarborgen." (art. 34 lid
3 Wbp). Wanneer mededeling van die informatie aan
betrokkene onmogelijk blijkt of een onevenredige
inspanning kost, hoeft die informatie niet te worden
verschaft, maar dient tenminste de herkomst van de
gegevens vast te worden gelegd.
De rechtvaardiging voor
deze zwakke informatieplicht, zou zijn dat de
verantwoordelijke, indien gegevens buiten betrokkene om
worden verkregen, niet altijd in staat zou zijn om
contact met de betrokkene te leggen. Dat betekent dus
dat wanneer wel bekend is waar betrokkene te bereiken is
– en bij handelsinformatiebureaus zal dat nu juist
vaak het geval zijn, ook al wordt de informatie buiten
betrokkene om verzameld – de betrokkene dus moet
worden geïnformeerd, ook al heeft nog geen verstrekking
aan derden plaatsgevonden. [67]
Dat wordt nogal eens over het hoofd gezien
Is aan de ene kant het
informatieregime dus afgezwakt, aan de andere kant
lijken de uitzonderingen minder ruim. Hoewel ingevolge
de toelichting dit uitzonderingsregime aansluit bij dat
van artikel 30 van de Wpr, is dit regime toch anders
geformuleerd en is een aanscherping beoogd. [68]
De zinsnede "gewichtige belangen van anderen dan de
verzoeker, de houder daaronder begrepen" is
vervallen; de enige relevante uitzondering op dit punt
is nu geformuleerd als: "de bescherming van
betrokkene of van de rechten en vrijheden van
anderen." (artikel 43 sub e. Wbp). Een recht is
iets anders dan een belang. Er moet dus een duidelijk
geformuleerd recht aan te wijzen zijn en het moet
bovendien, zo volgt uit de aanhef van artikel 43,
noodzakelijk zijn, om op grond van dat recht informatie
achterwege te laten. De formulering 'rechten en
vrijheden' sluit aan bij die van artikel 8 EVRM. De
rechtspraak van het Hof zal dus relevant zijn bij de
nadere invulling van deze termen. Een economische
invulling van dat vrijheidsbegrip is in het licht van
artikel 8 lid 2 van het EVRM overigens niet uitgesloten.
Onder 'anderen' wordt uitdrukkelijk ook de
verantwoordelijke zelf begrepen. [69]
De praktijk die bij het
Bureau Krediet Registratie en bij RDC Datacentrum BV
wordt gevolgd ten aanzien van de mededeling van eerste
opname is die van een algemeen geformuleerde, publieke
mededeling (advertenties, folders, e.d.). [70]
Het BKR systeem vereist bij negatieve registratie een
waarschuwing vooraf.
14. Verwerking van
bijzondere gegevens
De verwerking van
bijzondere (voorheen: gevoelige) gegevens door
particuliere informatiebureaus is uitsluitend toegestaan
op basis van een wettelijke regeling. De artikelen 16-22
bevatten die regeling. De desbetreffende bepalingen
sluiten in beginsel de verwerking uit door
informatiebureaus uit van gegevens betreffende iemands
godsdienst of levensovertuiging, betreffende iemands
ras, politieke gezindheid, lidmaatschap van een vakbond
of gezondheid. Dergelijke gegevens mogen voorzover hier
van belang eigenlijk allen maar worden verwerkt, wanneer
zij uitdrukkelijk door betrokkene eigener beweging
openbaar zijn gemaakt. Verplichte en anderszins
onvrijwillige openbaarmaking valt daar niet onder.
Overigens geldt ook voor de uitdrukkelijk openbaar
gemaakte gegevens, dat de verwerking ervan van de
algemene regel van artikel 8 sub f. Wbp. [71]
Voor de verwerking van
voor informatiebureaus doorgaans belangrijke
strafrechtelijke gegevens biedt artikel 22 Wbp echter
een soepeler regime. De verantwoordelijke zelf mag deze
gegevens verwerken, indien dat geschiedt ten behoeve van
de bescherming van zijn belangen voorzover het gaat om
strafbare feiten die jegens hem of in zijn dienst zijn
of mogelijk zullen worden verricht. Het uitbesteden van
deze activiteiten aan anderen is niet uitgesloten:
verwerking mag plaatsvinden door informatiebureaus die
werkzaam zijn op grond van een vergunning van de Wet
particuliere beveiligingsorganisaties en
recherchebureaus dan wel indien passende en specifieke
waarborgen zijn getroffen en de procedure van artikel 31
Wbp (voorafgaand onderzoek door het College) is gevolgd.
Dat laatste sluit bijvoorbeeld niet uit dat op branche
niveau met zwarte lijsten wordt gewerkt, mits uiteraard
maar in de genoemde waarborgen is voorzien en de
algemene regels van de wet worden gevolgd. [72]
Bij de opzet van dit soort lijsten op branche niveau is
voorafgaand onderzoek door het College verplicht; dat
geldt niet voor individuele bedrijven die met zwarte
lijsten werken. In het laatste geval is de consument,
aldus de parlementaire stukken, immers vrij om een ander
bedrijf te kiezen. Concurrentie op de markt zou dan
maatschappelijke uitsluiting tegen kunnen gaan. [73]
De verwerking van strafrechtelijke gegevens mag verder
worden aangevuld met andere, bijzondere
persoonsgegevens, voorzover dat noodzakelijk is gelet op
het doel waartoe die strafrechtelijke gegevens worden
verwerkt. Dat geldt uitdrukkelijk ook voor gegevens
betreffende een door de rechter opgelegd verbod naar
aanleiding van onrechtmatig of hinderlijk gedrag.
Op deze verwerking
blijven uiteraard de algemene regels van de Wbp van
toepassing. Zulks impliceert onder meer dat de
desbetreffende gegevens slechts door particulieren mogen
worden verwerkt voor zover in het individuele geval
tussen verantwoordelijke en betrokkene een bijzondere
relatie bestaat of kan gaan bestaan. Het verzamelen van
strafrechtelijke gegevens door bijvoorbeeld openbare
terechtzittingen bij te wonen, is in die optiek uit den
boze. [74] Dat
betekent ook dat de desbetreffende gegevens rechtmatig
moeten zijn verkregen. Daar ontbreekt het nogal eens
aan. Uit een door de Registratiekamer ingesteld
onderzoek naar de praktijken van een
handelsinformatiebureau, [75]
bleek bijvoorbeeld dat op onrechtmatige wijze gegevens
zijn verstrekt die afkomstig zijn uit
persoonsregistraties waarvoor een geheimhoudingsplicht
geldt dienstplichtgegevens, belastinggegevens, gegevens
over sociale uitkeringen en bankgegevens). Het gebruik
van op deze wijze verkregen gegevens is aan te merken
als onrechtmatig nu het voor het bureau duidelijk is,
dan wel duidelijk had moeten zijn gezien de aard van de
gegevens, dat deze in strijd met de hiervoor geldende
regels zijn verstrekt. Door deze gegevens vervolgens aan
te wenden voor de rapportage handelt dit bedrijf dan ook
onrechtmatig jegens betrokkene. Volgens de Kamer rust
ook op een opdrachtgever van een rapportage over een
burger een plicht om, juist vanwege het discrete
karakter van deze gegevens, de werkwijze en de
rechtmatigheid van de verkrijging van informatie te
onderzoeken.
15. Zwarte lijsten
Zwarte lijsten zijn
lijsten met persoonsgegevens die door een bedrijf of
door een branche organisatie of belangenvereniging
worden aangelegd met het doel degenen die op de lijst
vermeld staan uit te sluiten van een overeenkomst dan
wel met hen een overeenkomst onder andere voorwaarden
dan gebruikelijk aan te gaan. De reden daarvoor is
doorgaans men slechte ervaringen heeft met betrokkene,
vooral op het punt van betaling van vorderingen. Het zal
dus doorgaans niet om bijzondere, bijvoorbeeld
strafrechtelijke gegevens gaan, maar om
civielrechtelijke. De wettelijke voorwaarden voor het
gebruik van bijzondere gegevens, zijn dan ook meestal
niet van toepassing. Is een lijst door een organisatie
of vereniging aangelegd, dan hebben gewoonlijk de leden
van die organisatie toegang tot de lijst.
De Registratiekamer
heeft een aantal criteria opgesteld waarin het houden
van dergelijke lijsten moet voldoen, willen zij in
overeenstemming zijn met de bescherming van de
informationele privacy. [76]
Het hanteren van zwarte lijsten is op zichzelf niet
ontoelaatbaar. Mede vanwege de ernstige gevolgen die het
plaatsen op een zwarte lijst voor betrokkenen kan
hebben, dient het hanteren van die lijsten echter op een
zorgvuldige wijze te geschieden. Ingevolge het advies
van de Registratiekamer is plaatsing van een persoon op
een zwarte lijst geoorloofd wanneer aan de volgende
voorwaarden is voldaan:
- Op grond van
afweging van de omstandigheden van het gegeven geval
heeft de houder in redelijkheid kunnen besluiten een
debiteur van een (aantal) deelnemer(s) op de zwarte
lijst te plaatsen. Dit betekent ten eerste dat de
toegebrachte schade aan de deelnemer(s) onevenredig
is in verhouding tot de schade voor de debiteur als
gevolg van de plaatsing op de zwarte lijst. Ten
tweede moet het nagestreefde doel (voorkomen van
verdere schade) niet op een voor de debiteur minder
ingrijpende wijze kunnen worden bereikt.
- De houder heeft
zorggedragen voor een zo groot mogelijke openheid en
zorgvuldigheid tegenover de geregistreerde debiteur.
De geregistreerde heeft bij het aangaan van de
overeenkomst kunnen weten of redelijkerwijs kunnen
weten in welke gevallen tot plaatsing op de zwarte
lijst zal worden overgegaan. Op het moment van
wanprestatie is de geregistreerde medegedeeld dat na
niet-betaling tot plaatsing zal worden overgegaan.
En bij plaatsing op de zwarte lijst is de
geregistreerde hiervan in kennis gesteld. Ten slotte
wordt aan de geregistreerde medegedeeld dat geen
overeenkomst met hem wordt aangegaan indien die
beslissing - mede - op grond daarvan is genomen.
dinsdag
15 februari 2000
|
