De begrippen

WBP
De Wet bescherming persoonsgegevens (WBP) geeft regels voor het verwerken van persoonsgegevens. De WBP is in werking getreden op 1 september 2001, als opvolger van de Wpr (Wet persoonsregistraties). De belangrijkste bepalingen uit de WBP over het-rechtmatig omgaan met persoonsgegevens kunnen als volgt worden samengevat:

1. Persoonsgegevens mogen alleen in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier worden verwerkt.
2. Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens alleen verder worden verwerkt voor doeleinden die daarmee verenigbaar zijn.
3. Degene over wie gegevens worden verwerkt moet ten minste op de hoogte zijn van de identiteit van de verantwoordelijke en van het doel van de verwerking waarvoor de gegevens zijn bestemd.
4. De gegevensverwerking moeten op een passende manier worden beveiligd. Voor bijzondere gegevens, zoals over ras, gezondheid en geloofsovertuiging, gelden extra strenge regels.

De integrale tekst van de WBP is beschikbaar. Om de WBP voor verwerkers van persoonsgegevens toegankelijk te maken is er, in opdracht van het ministerie van Justitie, een 'Handleiding voor het verwerken van persoonsgegevens' geschreven. Beide zijn te vinden op deze website.

CBP
Op de naleving van de WBP wordt toegezien door het College Bescherming Persoonsgegevens (CBP). Onder de Wpr heette het CBP de Registratiekamer. Het CBP is een onafhankelijk orgaan dat toezicht houdt op de verwerking van persoonsgegevens. Ook adviseert het CBP over wettelijke regelingen die betrekking hebben op de verwerking van persoonsgegevens.

Persoonsgegevens
Een persoonsgegeven is volgens de WBP elk gegeven over een geïdentificeerde of identificeerbare natuurlijke persoon. Een gegeven is dus een persoonsgegeven als het informatie bevat over een natuurlijke persoon en die persoon identificeerbaar is.

Natuurlijke personen waarvan gegevens worden verwerkt zijn bijvoorbeeld identificeerbaar als hun NAW-gegevens (naam, adres, woonplaats) bekend zijn. In principe zijn alle gegevens die over identificeerbare personen worden verwerkt persoonsgegevens, denk aan:

• naam-, adres-, postcodes, woonplaatsgegevens, telefoon- en faxnummers, e-mailadressen
• leeftijd, opleiding, werkervaring, gezondheid
• schulden, vorderingen, kenmerken/kentekens van eigendommen, videobeelden

In het algemeen zijn uitkomsten van statistisch onderzoek niet terug te voeren tot identificeerbare personen, en dus geen persoonsgegevens. Ze vallen derhalve buiten de reikwijdte van de WBP. Gegevens over een rechtspersoon (een BV of een vereniging bijvoorbeeld) zijn in het algemeen ook geen persoonsgegevens.

De verantwoordelijke moet weten wat voor persoonsgegevens hij verwerkt. Het aantal verwerkte gegevens kan afhankelijk van de situatie variëren van minder dan tien tot een veelvoud daarvan.

Verwerken
Onder het verwerken verstaat de WBP elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens. Dit is dus een zeer ruim begrip. Handelingen die er volgens de WBP in ieder geval onder vallen, zijn het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, doorzenden, verspreiden, beschikbaar stellen, samenbrengen, met elkaar in verband brengen, afschermen, uitwissen en vernietigen van gegevens. Een verwerking kan uit één of meer van deze handelingen bestaan. Verwerkingshandelingen die in het maatschappelijk verkeer als een eenheid worden beschouwd, worden gezien als één gegevensverwerking. Vrijwel altijd zullen gegevens worden verwerkt binnen een groter geheel van verwerkingen dat functioneel als een eenheid kan worden beschouwd, zoals een personeelsadministratie, een klachtenregistratie of een regelmatige verstrekking van persoonsgegevens aan derden. Een dergelijk geheel kan in één melding worden opgenomen.

Handmatige verwerking
Handmatige verwerkingen zijn niet-geautomatiseerde verwerkingen. Louter handmatige verwerkingen hoeven in beginsel niet te worden gemeld. Daaraan ligt de gedachte ten grondslag dat handmatige vormen van gegevensverwerking in de regel minder bedreigend zijn voor de persoonlijke levenssfeer. Voor zover handmatige verwerkingen wel bedreigend zijn, zijn zij onderworpen aan voorafgaand onderzoek en dienen zij te worden gemeld bij het CBP.

Verantwoordelijke
De WBP definieert de verantwoordelijke als degene die het doel en de middelen voor de verwerking van persoonsgegevens vaststelt. De WBP legt aan de verantwoordelijke een aantal verplichtingen op. Er kunnen bij een verwerking meerdere verantwoordelijken zijn.

Bewerker
Een bewerker is een persoon of organisatie aan wie de verantwoordelijke de gegevensverwerking heeft uitbesteed, bijvoorbeeld een administratiekantoor. Een bewerker is niet zelfstandig verantwoordelijk voor de verwerking van de persoonsgegevens, maar heeft wel een aantal afgeleide verplichtingen voor onder meer beveiliging en geheimhouding van de gegevens.

Betrokkene
Een persoon over wie persoonsgegevens worden verwerkt heet in de WBP de 'betrokkene'. Een betrokkene is dus iemand over wie de gegevens informatie bevatten. In de Wpr werd deze persoon aangeduid als de 'geregistreerde'.

Ontvanger
De WBP verstaat onder het begrip ontvanger: degene aan wie de persoonsgegevens worden verstrekt. Dit kan zowel iemand binnen de eigen organisatie zijn als iemand daarbuiten. Het begrip moet ruim worden geïnterpreteerd. Er vallen niet alleen personen, afdelingen of instanties onder die van anderen persoonsgegevens krijgen, maar ook personen die op basis van hun functie toegang hebben tot de persoonsgegevens.

Degenen die belast zijn met de verwerking van de gegevens
Binnen een organisatie hebben bepaalde personen of afdelingen uit hoofde van hun taak toegang tot persoonsgegevens. Doorgaans betreft het de personen die belast zijn met de verwerking van de gegevens. Zo hebben de medewerkers van de afdeling Marketing toegang tot de klantgegevens, de medewerkers op de afdeling Personeelszaken toegang tot de personeelsdossiers, en de beveiligingsmedewerkers toegang tot de beelden van de videocamera's. Als bepaalde medewerkers van een afdeling uit hoofde van hun taak toegang hebben tot persoonsgegevens die onder het beheer van een andere afdeling vallen, geldt dat ook zij vallen onder de categorie 'degenen die belast zijn met de verwerking van de gegevens'.

Leidinggevenden
Leidinggevenden kunnen toegang hebben tot persoonsgegevens voor zover dat noodzakelijk is om hun leidinggevende taak naar behoren uit te oefenen. Doorgaans betreft het de direct leidinggevenden van de personen die aangeduid worden als 'degenen die belast zijn met de verwerking van de gegevens'. Er kan echter ook sprake zijn van andere leidinggevenden.

Derde
Een derde is een ander dan de betrokkene, de verantwoordelijke, de bewerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om persoonsgegevens te verwerken.

Bijzondere persoonsgegevens
De WBP onderscheidt een aantal soorten 'bijzondere' persoonsgegevens. Het verwerken van bijzondere persoonsgegevens is alleen toegestaan in een aantal expliciet in de WBP opgesomde gevallen. Het uitgangspunt is daarbij dat het verbod niet geldt in die situaties waarin het gebruikelijk en algemeen geaccepteerd is dat de desbetreffende bijzondere gegevens verwerkt worden. Zo is het normaal dat artsen en ziekenhuizen medische gegevens verwerken, maar wordt het niet geaccepteerd dat zulke gegevens in een personeelsadministratie worden opgenomen. De precieze details kunt u desgewenst nalezen in de tekst van de WBP.

Bijzondere gegevens zijn gegevens over:

• godsdienst of levensovertuiging
• ras of etniciteit
• politieke gezindheid
• gezondheid
• seksueel leven
• vakbondslidmaatschap
• onrechtmatig of hinderlijk gedrag (het gaat hier uitsluitend over gegevens die worden verwerkt in verband met een verbod dat is opgelegd naar aanleiding van het onrechtmatig of hinderlijk gedrag)

• strafrechtelijke gegevens

De WBP kent een aantal specifieke en een aantal algemene uitzonderingen op het verbod om bijzondere persoonsgegevens te verwerken. Voor gegevens over het seksuele leven en over onrechtmatig of hinderlijk gedrag kent de WBP geen specifieke bepalingen. Verwerking ervan is daarom alleen toegestaan als er sprake is van één van de algemene uitzonderingen.

De algemene uitzonderingen luiden als volgt. Het verbod op verwerking van bijzondere persoonsgegevens geldt niet in de onderstaande gevallen:

• de persoon in kwestie
  • heeft uitdrukkelijk toestemming gegeven; of
  • heeft de gegevens duidelijk openbaar gemaakt
• de verwerking van de gegevens is noodzakelijk:
  • in het kader van een gerechtelijke procedure;
  • om aan een volkenrechtelijke verplichting te voldoen;
  • met het oog op een zwaarwegend algemeen belang en dit bij wet wordt bepaald danwel het CBP ontheffing heeft verleend.

Verwerking van bijzondere persoonsgegevens is eveneens toegestaan voor wetenschappelijke of statistische doeleinden, mits er een algemeen belang wordt gediend, de verwerking noodzakelijk is, toestemming vragen ondoenlijk is en de privacy niet te zeer geschonden wordt.

Meldingsplicht en Vrijstellingsbesluit
De WBP bepaalt dat de verantwoordelijke zijn geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens moet melden aan het CBP. Een handmatige verwerking van persoonsgegevens hoeft alleen te worden gemeld indien die is onderworpen aan een voorafgaand onderzoek door het CBP.

De meldingen zorgen voor openheid rond de verwerking van persoonsgegevens. Zij stellen de betrokkenen in staat om na te gaan hoe met hun persoonsgegevens wordt omgegaan en zo nodig gebruik te maken van hun rechten. Ook maken de meldingen een effectief toezicht door het CBP mogelijk. Van een aantal veel voorkomende verwerkingen van persoonsgegevens is het onwaarschijnlijk dat de privacy van de betrokkenen daardoor wordt geschaad. Zij zijn daarom van de meldingsplicht vrijgesteld. Om welke verwerkingen het gaat, is geregeld in het Vrijstellingsbesluit.

Voor alle duidelijkheid: als een verwerking is vrijgesteld van melding zijn de overige bepalingen van de WBP onverminderd van toepassing!

Door wie wordt de melding gedaan?
De melding dient te geschieden door of namens de verantwoordelijke. Zijn er meer verantwoordelijken, dan moet de melding geschieden door of namens elk van de betrokken verantwoordelijken. Dit betekent dat de melding door de bewerker of een derde kan plaatsvinden mits dit geschiedt namens de verantwoordelijke. De bewerker of de derde zal door de verantwoordelijke moeten zijn gemachtigd.

Bij wie wordt de melding gedaan, CBP of functionaris voor de gegevensbescherming?
De melding dient te worden gedaan bij het CBP. Als door de verantwoordelijke of de organisatie waarbij verantwoordelijken zijn aangesloten een functionaris voor de gegevensbescherming (FG) is aangesteld, kan een melding bij de FG plaatsvinden.
De FG is een interne toezichthouder als bedoeld in artikel 62 tot en met 64 WBP. Hij mag zijn taken uitvoeren als hij door de verantwoordelijke(n) is aangemeld bij het CBP. Het CBP houdt een register van aangemelde FG-en bij. Wilt u weten of er voor een bepaalde organisatie een FG is aangesteld, klik dan op Openbare registers/Functionarissen. De website bevat overigens meer informatie over de taken en bevoegdheden van de FG, zijn profiel en positie binnen de organisatie, en de voordelen van het aanstellen van een FG. Klik hiervoor op de brochure of het informatieblad. Voor het doen van een melding bij een FG kan het beste bij de betreffende FG geïnformeerd worden wat daarvoor de meest geschikte wijze is.

De melding moet echter (al dan niet via de FG ) bij het CBP worden gedaan als de verwerking is onderworpen aan voorafgaand onderzoek.

Doel of doeleinden van de verwerking
Het doel van een gegevensverwerking speelt een belangrijke rol. Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens alleen verder worden verwerkt voor doeleinden die daarmee verenigbaar zijn. Een precieze en duidelijke omschrijving van het doel (of de doeleinden) van de verwerking is van belang, omdat aan de hand van het doel van de verwerking de hoeveelheid, de soort, de kwaliteit en de bewaartermijn van de gegevens wordt getoetst.

Doorgifte van persoonsgegevens binnen de Europese Unie
Doorgifte van persoonsgegevens binnen de Europese Unie is toegestaan omdat alle lidstaten een vergelijkbaar beschermingsniveau bieden.

Doorgifte van persoonsgegevens naar landen buiten de Europese Unie
Persoonsgegevens mogen in beginsel slechts worden doorgegeven aan een land buiten de EU als dat land een passend niveau van privacybescherming waarborgt. De verantwoordelijke moet zelf beoordelen of het desbetreffende land buiten de Europese Unie een passend beschermingsniveau biedt. De verantwoordelijke moet daarvoor eerst nagaan of de Minister van Justitie heeft bepaald dat een bepaald land buiten de Europese Unie een passend beschermingsniveau heeft. Dan is doorgifte immers toegestaan.

De Minister van Justitie stelt, naar aanleiding van het besluit van de Europese Commissie hieromtrent, vast in welke landen buiten de Europese Unie een passend beschermingsniveau aanwezig is. Indien de verantwoordelijke persoonsgegevens doorgeeft aan deze landen, is de doorgifte toegestaan. Aangezien de lijst van landen met een passend beschermingsniveau voortdurend aan verandering onderhevig is, wordt de samenstelling van deze lijst hier niet weergegeven. Voor meer informatie over de landen die op de lijst staan wordt hier verwezen naar de desbetreffende bladzijde op deze website.

Indien de verantwoordelijke persoonsgegevens doorgeeft aan een land dat geen lid is van de Europese Unie en dat geen passend beschermingsniveau waarborgt, is doorgifte aan strikte voorwaarden gebonden. De doorgifte is in dat geval in principe alleen toegestaan indien:

• De betrokkene daarvoor zijn ondubbelzinnige toestemming heeft gegeven, of
• De doorgifte noodzakelijk is voor de voorbereiding, de sluiting of uitvoering van een overeenkomst, of
• De doorgifte noodzakelijk is vanwege een zwaarwegend algemeen belang of in het kader van een gerechtelijke procedure, of
• De doorgifte noodzakelijk is ter vrijwaring van een vitaal belang van de betrokkene, of
• De doorgifte plaatsvindt vanuit een register dat bij wettelijk voorschrift is ingesteld en aan de wettelijke voorwaarden voor raadpleging is voldaan, of
• De verantwoordelijke beschikt over een vergunning van de Minister van Justitie.

Voorafgaand onderzoek
Voor een beperkt aantal categorieën van gegevensverwerkingen vereist de WBP dat er, voordat de verantwoordelijke met de verwerking start, een onderzoek plaatsvindt: het voorafgaand onderzoek. Het gaat daarbij om gegevensverwerkingen die specifieke risico's meebrengen voor de rechten en vrijheden van de betrokkenen.

Als de gegevensverwerking is onderworpen aan een voorafgaand onderzoek moet de verantwoordelijke de gegevensverwerking melden. Bij de melding moet expliciet aangegeven worden dat het gaat om de melding van een gegevensverwerking die aan een voorafgaand onderzoek is onderworpen.

Een voorafgaand onderzoek is vereist als:

• De verantwoordelijke van plan is om een nummer ter identificatie van personen te gebruiken voor een ander doel dan waarvoor dat nummer specifiek bestemd is, om gegevens in verband te brengen met gegevens van een andere verantwoordelijke (te koppelen), zonder dat dat wettelijk is toegestaan.
• De verantwoordelijke van plan is om gegevens vast te leggen op grond van eigen waarneming zonder de betrokkene daarvan op de hoogte te stellen. Het onderzoek is niet vereist als het een openbaar register betreft dat bij wet is ingesteld.
• De verantwoordelijke van plan is om ten behoeve van derden strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag van personen te verwerken zonder in het bezit te zijn van een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus.

De wetgever of de regering kunnen ook andere gegevensverwerkingen aanwijzen die zijn onderworpen aan een voorafgaand onderzoek.

begrippen		terug
inleiding	voorvragen	overzichtsscherm	algemene vereisten	vrijgestelde categorieën	vrijgestelde combinaties	einde