Omvang van de informatieplicht
U moet de betrokkene op de hoogte stellen van uw identiteit en voor welk doel of welke doeleinden u de gegevens verzamelt. In sommige situaties moet u de betrokkene meer informatie geven over het gebruik van zijn persoonsgegevens. U moet daarbij denken aan:
De verwachting van de betrokkene
Indien het gebruik van de persoonsgegevens anders is dan de betrokkene redelijkerwijs kan verwachten, kan dit aanleiding zijn hem nader te informeren. Verwacht een betrokkene bijvoorbeeld niet dat u in incidentele gevallen desgevraagd persoonsgegevens aan de politie verstrekt, dan moet u de betrokkene specifiek over deze mogelijkheid informeren. Meer informatie over verstrekking aan de politie kunt u vinden in het informatieblad Als de politie u vraagt persoonsgegevens te verstrekken.
De omstandigheden waaronder u de gegevens krijgt
Indien u persoonsgegevens van een andere organisatie krijgt, kan de informatieplicht zwaarder voor u uitvallen dan wanneer u de gegevens rechtstreeks van de betrokkene hebt gekregen. De betrokkene is er immers niet altijd van op de hoogte dat die andere organisatie gegevens aan u heeft verstrekt. Denk hierbij bijvoorbeeld aan de situatie dat u gegevens over iemands kredietwaardigheid krijgt van een handelsinformatiebureau.
Het gebruik dat u van de gegevens gaat maken
Afhankelijk van de gevolgen van het gebruik van zijn gegevens voor de betrokkene, kan meer informatie noodzakelijk zijn.
De aard van de gegevens
Hoe gevoeliger de aard van de gegevens die u van de betrokkene gebruikt, hoe meer reden er is om hem hierover gedetailleerd te informeren. Zo kunt u verplicht zijn aan de ouders van een minderjarige patiënt extra informatie te geven.
Tijdstip van informeren
Vóór het moment waarop u de gegevens krijgt, moet u de betrokkene op de hoogte stellen. Dit kunt u uiteraard alleen doen als u de gegevens van de betrokkene zelf krijgt. Van verkrijging bij de betrokkene zelf is bijvoorbeeld sprake wanneer hij op een formulier persoonsgegevens invult en dit formulier aan u toezendt.
Indien u de gegevens van een andere organisatie krijgt, moet u de betrokkene informeren op het moment dat u de gegevens vastlegt. Als u de gegevens alleen verzamelt om aan een derde te verstrekken, moet u de betrokkene informeren uiterlijk op het moment van de eerste verstrekking aan die derde.
Wijze van informeren
U moet de informatie op zodanige wijze geven dat de betrokkene er daadwerkelijk de beschikking over krijgt. Verkrijgt u de gegevens bij de betrokkene zelf, dan kunt u de informatie bijvoorbeeld opnemen op het formulier waarop de betrokkene zijn gegevens invult. Als de betrokkene via uw website zijn persoonsgegevens invult, volstaat een duidelijke verwijzing naar uw privacystatement waarin u aangeeft hoe u omgaat met persoonsgegevens.
Als u de gegevens via derden heeft verkregen en het om een beperkt aantal betrokkenen gaat, dan moet u de betrokkenen persoonlijk informeren. Gaat het om een grote groep, dan mag u de informatie verstrekken via bijvoorbeeld een blad of een tijdschrift. U moet er wel rekening mee houden dat u iedereen van de groep moet bereiken. Niet iedereen ontvangt een landelijk dagblad of een huis-aan-huisblad, dus een advertentie in deze media is niet voldoende.
In de informatievoorziening kunt u ook verwijzen naar de eventuele melding van uw gebruik van persoonsgegevens bij het College bescherming persoonsgegevens (CBP). In een melding moet u onder meer de doeleinden van het gebruik en de ontvangers van de gegevens aangeven. Meldingen zijn te raadplegen in het openbaar Wbp-meldingenregister. Meer informatie over het melden van uw gegevensverwerking vindt u in het informatieblad Melden en vrijstellingen.
Uitzonderingen op de informatieplicht
U hoeft de betrokkene niet te informeren indien deze al op de hoogte is van de informatie die u moet geven. Het is echter niet genoeg dat u vermoedt dat de betrokkene op de hoogte is. U moet weten dat dat het geval is. U mag er echter van uitgaan dat na toezending of uitreiking van de informatie de betrokkene op de hoogte is. U hoeft niet te controleren of de betrokkene de informatie ook daadwerkelijk gelezen heeft.
In de situatie dat u als werkgever aan de arbodienst gegevens over een werknemer verstrekt als hij zich ziek meldt, hoeft u niet bij elke ziekmelding de betrokkene te informeren. U kunt volstaan met een algemene informatiefolder, informatie in het personeelshandboek of informatie bij de aanstelling van de betrokkene.
Niet in alle gevallen waarin u gegevens via een andere weg verkrijgt, hoeft u de betrokkene te informeren. Het kan zijn dat het onevenredig veel inspanning kost om iemand te bereiken, bijvoorbeeld wanneer het een zeer tijdrovende inspanning is om het adres van de betrokkene te achterhalen. In dit geval hoeft u de betrokkene niet te informeren. Wel dient u de herkomst van de gegevens vast te leggen.
U hoeft ook niet aan de informatieplicht te voldoen als dat bijvoorbeeld noodzakelijk is in het belang van de voorkoming, opsporing en vervolging van strafbare feiten of ter bescherming van de rechten en vrijheden van anderen.
Overige rechten van de betrokkene
Naast het recht op informatie heeft een betrokkene recht op inzage in zijn persoonsgegevens, kan hij aanvulling, verbetering, verwijdering of afscherming van zijn persoonsgegevens verzoeken (dit is het correctierecht) en heeft hij het recht verzet aan te tekenen tegen het gebruik van zijn gegevens voor reclamedoeleinden (direct marketing). Zie verder het informatieblad Rechten van de betrokkene.
Vragen of klachten van betrokkenen
Betrokkenen moeten met vragen of klachten altijd eerst naar u komen. Meent een betrokkene dat u zijn of haar persoonsgegevens onrechtmatig gebruikt en reageert u niet of niet naar tevredenheid op het verzoek of de klacht, dan kan de betrokkene naar de rechter gaan met een beroep op de rechtsbescherming die de Wbp biedt. De betrokkene kan de rechter dan bijvoorbeeld vragen om een verbod, herstel van de (nadelige) gevolgen of een schadevergoeding.
Ook kan de betrokkene een signaal afgeven bij het CBP. Het CBP gebruikt de informatie uit signalen voor het maken van keuzes bij het toezichthouden. Het CBP doet dit op basis van een risicoanalyse. De ernst van de overtreding en het aantal mensen dat hierdoor wordt geraakt, zijn hierbij belangrijke criteria. Het CBP kan naar aanleiding van een signaal een onderzoek starten.