Voor een beperkt aantal categorieën verwerkingen van persoonsgegevens vereist de Wet bescherming persoonsgegevens (Wbp) dat er een onderzoek plaatsvindt voordat u met de verwerking start. Dit heet het voorafgaand onderzoek.
Risicovolle verwerkingen van persoonsgegevens
Het gaat daarbij om gegevensverwerkingen die naar hun aard specifieke risico’s met zich meebrengen voor de privacy van de betrokkenen:
Persoonsnummers verwerken voor ander doel
U bent van plan persoonsnummers te verwerken voor een ander doel dan waarvoor ze specifiek bestemd zijn, om deze in verband te kunnen brengen met gegevens die een andere verantwoordelijke verwerkt.
NB. Is deze verwerking bij wet geregeld, dan hoeft u geen VO aan te vragen.
Een persoonsnummer is een unieke code die aan een individu wordt toegekend, zoals het burgerservicenummer (BSN). Met persoonsnummers kunnen eenvoudig koppelingen worden gemaakt met andere bestanden met persoonsgegevens. Hierdoor bestaat het risico dat persoonsgegevens gebruikt worden voor een ander doel dan waarvoor ze oorspronkelijk zijn verkregen.
Persoonsgegevens verwerken zonder informeren
U bent van plan persoonsgegevens te verwerken die u door eigen waarneming hebt verkregen en u informeert de betrokkenen niet. Hiervan is bijvoorbeeld sprake als u (camera)observatie gebruikt zonder dat de geobserveerden dit weten.
Strafrechtelijke gegevens verwerken
U bent van plan strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag te verwerken ten behoeve van derden. U heeft daarbij geen vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus.
Strafrechtelijke gegevens zijn in de eerste plaats gegevens over een veroordeling van een betrokkene. De rechter heeft strafbaar gedrag vastgesteld en hierover een veroordeling uitgesproken. Daarnaast gaat het om verdenkingen. Tegen een betrokkene bestaan concrete aanwijzingen dat hij of zij een strafbaar feit heeft gepleegd. Bij onrechtmatig of hinderlijk gedrag kunt u denken aan het overtreden van huisregels voor de orde en veiligheid. Onder derden wordt iedereen verstaan die niet binnen hetzelfde bedrijf of concern werkzaam is, zoals bij andere bedrijven binnen een bedrijfstak.
Aanvragen voorafgaand onderzoek (VO)
Als uw voorgenomen gegevensverwerking binnen een (of meer) van bovenstaande categorieën valt, moet er een VO plaatsvinden. Bij uw melding moet u dit expliciet aangeven. De subvragen bij vraag 10 in het meldingsprogramma of -formulier zijn bedoeld als hulpmiddel om te bepalen of een VO nodig is. U moet dus zelf de conclusie trekken dat een VO noodzakelijk is voor uw verwerking.
Constateert het CBP bij de behandeling van uw melding dat uw conclusie waarschijnlijk niet juist is, dan vraagt het CBP u schriftelijk om nadere toelichting of aanpassing van de melding.
Let op: uw melding moet volledig zijn voordat het CBP deze in behandeling neemt. Dit houdt ten eerste in dat u het meldingsprogramma of -formulier volledig moet invullen. Daarnaast moet u tegelijk met de melding alle relevante toelichtende informatie meesturen, zoals (voor zover van toepassing) uw toetredingsverklaring, machtiging en protocol. Ontbreken er benodigde stukken, dan krijgt u twee weken de tijd om deze alsnog naar het CBP te sturen.
Als uw melding na deze twee weken nog niet volledig is, neemt het CBP deze definitief niet in behandeling. Als u dan nog steeds wilt starten met de gegevensverwerking, moet u opnieuw een melding doen.
Verbod verwerking persoonsgegevens tijdens voorafgaand onderzoek (VO)
Zolang het VO loopt, geldt een verwerkingsverbod. U mag dan dus nog niet beginnen met de voorgenomen verwerking van persoonsgegevens. U mag hiermee pas beginnen als het VO is afgerond of als u een besluit heeft ontvangen dat het CBP geen nader onderzoek instelt. Begint u tijdens het VO wel met de gegevensverwerking, dan overtreedt u de Wet bescherming persoonsgegevens (Wbp).
Melden en voorafgaand onderzoek voor deelnemers aan een zwarte lijst
Heeft het CBP na een VO het gebruik van een zwarte lijst rechtmatig bevonden, dan kunnen beoogde deelnemers niet direct deelnemen aan de zwarte lijst. De aspirant-deelnemers zijn zelf verantwoordelijke voor hun eigen gegevensverwerking. Vanwege deze eigen (mede)verantwoordelijkheid moet iedere deelnemer zich afzonderlijk bij het CBP melden.
Melden als aspirant-deelnemer zwarte lijst
U kunt uw gegevensverwerking zelf melden bij het CBP of dit namens u door iemand anders laten doen, bijvoorbeeld de (hoofd)verantwoordelijke voor de desbetreffende zwarte lijst. In dat geval moet de vertegenwoordiger een machtiging van u overleggen, waaruit blijkt dat u de vertegenwoordiger heeft gemachtigd tot het melden van de individuele gegevensverwerking bij het CBP.
Meer informatie over melden en hoe u dit doet, vindt u onder Melden verwerking persoonsgegevens.
Voorafgaand onderzoek niet meer nodig
Met ingang van 9 februari 2012 is artikel 31 van de Wet bescherming persoonsgegevens gewijzigd. Volgens lid 3 van dit artikel is de verplichting van een voorafgaand onderzoek niet langer van toepassing op gegevensverwerkingen:
- die reeds door een andere verantwoordelijke voor voorafgaand onderzoek aan het CBP zijn voorgelegd;
- en ten aanzien waarvan het CBP heeft verklaard dat de betreffende verwerking rechtmatig is.
Als u gaat deelnemen aan een zwarte lijst waarvoor het CBP al een rechtmatigheidsverklaring heeft afgegeven, hoeft u dus geen voorafgaand onderzoek meer aan te vragen. In dat geval kunt u volstaan met het melden van de verwerking.