Zwarte lijsten 
 

Op een zwarte lijst staan vaak strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag, soms ook met de bedoeling deze gegevens uit te wisselen met anderen. Het doel van een zwarte lijst is dus dat bedrijven, organisaties of instellingen over gegevens beschikken waarmee zij kunnen beoordelen of zij met een bepaalde persoon een overeenkomst willen aangaan.

Interne en bedrijfstakbrede zwarte lijst
Een zwarte lijst kan alleen voor intern gebruik bestemd zijn, bijvoorbeeld als een winkelier een zwarte lijst aanlegt van klanten die zijn veroordeeld voor winkeldiefstal (‘deze klant komt mijn winkel niet meer in’). Een zwarte lijst kan echter ook beschikbaar worden gesteld voor derden, bijvoorbeeld binnen een bedrijfstak. Denk aan een zwarte lijst voor de hotelbranche van gasten die overlast veroorzaken, voor luchtvaartmaatschappijen van lastige passagiers of voor financiële instellingen van frauderende klanten en medewerkers.

Voorwaarden zwarte lijst
Bent u als bedrijf, organisatie of instelling van plan een zwarte lijst aan te leggen, dan moet u aannemelijk kunnen maken:

• Dat er een gerechtvaardigd belang is voor een dergelijke lijst. Het verwerken van gegevens moet vervolgens noodzakelijk zijn voor dit gerechtvaardigd belang.
• Dat u het doel, bijvoorbeeld preventie van personeelsfraude, niet op een andere manier kan bereiken, die minder ingrijpend is voor de betrokkenen (zoals werknemers, klanten of leveranciers).
• Waarom uw (bedrijfs)belang zwaarder weegt dan het privacybelang van de betrokkenen. U dient te kijken naar de ernst van de vergrijpen versus de consequenties voor de betrokkenen van een plaatsing op de zwarte lijst.

Wilt u de zwarte lijst beschikbaar stellen aan derden (bijvoorbeeld binnen uw bedrijfstak), dan zijn deze voorwaarden nog strikter. Er moet dan een zwaarwegend belang zijn dat een zo grote inbreuk op de privacy van de betrokkenen rechtvaardigt. Omdat een dergelijk systeem verstrekkende gevolgen voor de betrokkenen heeft, moet u zwaardere waarborgen instellen om een zorgvuldig gebruik te garanderen en de rechten van de betrokkenen te beschermen. Dat betekent onder andere dat u de criteria voor plaatsing op de zwarte lijst moet aanscherpen.

Met welke toetsingspunten u nog meer rekening moet houden, kunt u lezen in de Checklist zwarte lijsten.

Meldingsplicht bij het CBP
Bent u van plan een zwarte lijst te gaan gebruiken, dan moet u dit vooraf melden bij het College bescherming persoonsgegevens (CBP). Dit geldt voor alle situaties waarin sprake is van het gebruik een zwarte lijst:

• u wilt een zwarte lijst aanleggen voor intern gebruik;
• u wilt een zwarte lijst aanleggen die u beschikbaar stelt aan derden (bijvoorbeeld binnen uw bedrijfstak);
• u wilt deelnemen aan een bestaande zwarte lijst.

Zie verder het informatieblad Melden en vrijstellingen.

Voorafgaand onderzoek
In de situatie dat uw voorgenomen zwarte lijst niet alleen bestemd is voor intern gebruik maar u deze wilt delen met derden, moet u bij het melden een voorafgaand onderzoek aanvragen. Tijdens het voorafgaand onderzoek toetst het CBP of de zwarte lijst voldoet aan de eisen uit de Wet bescherming persoonsgegevens (Wbp). Let op: voordat het voorafgaand onderzoek is afgerond, mag u de zwarte lijst nog niet gebruiken.

Een voorafgaand onderzoek is in deze situatie nodig omdat dit vereist is vanuit de Wbp bij een beperkt aantal (risicovolle) verwerkingen van persoonsgegevens. Hieronder valt de verwerking van strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag ten behoeve van derden. Bij zwarte lijsten is vrijwel altijd sprake van deze gegevens. Stelt u een zwarte lijst vervolgens breder beschikbaar dan alleen voor intern gebruik, dan is er ook sprake van gegevensverwerking ten behoeve van derden.

Zie verder het informatieblad Voorafgaand onderzoek.

Let op: wilt u deelnemen aan een bestaande zwarte lijst waarvoor het CBP al een rechtmatigheidsverklaring heeft afgegeven? Dan hoeft u sinds 9 februari 2012 geen voorafgaand onderzoek meer aan te vragen. Hierover leest u meer bij Deelname aan een bestaande zwarte lijst.

Rechten van betrokkenen
Voor een ieder is het van belang te weten of hij of zij op een zwarte lijst geplaatst is en zo ja, welke gegevens geregistreerd zijn. Zodra u gegevens over iemand verzamelt, moet u die persoon dan ook informeren over uw naam en adres en het doel van het verzamelen. Vaak moet u daarbij ook andere bijzonderheden vermelden, zodat de betrokkene weet op welke wijze u zijn of haar gegevens gebruikt. U kunt deze informatieverstrekking slechts achterwege laten als de betrokkene daarvan al op de hoogte is of als dat noodzakelijk is om strafbare feiten te voorkomen of op te sporen.

Naast het recht op informatie hebben betrokkenen inzagerecht en correctierecht. U dient voldoende (organisatorische) maatregelen te treffen om betrokkenen gebruik te kunnen laten maken van hun inzage- en correctierecht. Ook moet u duidelijk vastleggen in bijvoorbeeld een protocol hoe lang de vermelding op de zwarte lijst blijft bestaan.

Zie verder het informatieblad Rechten van de betrokkene.

Vragen of klachten van betrokkenen
Betrokkenen moeten met vragen of klachten altijd eerst naar u komen. Meent een betrokkene dat u zijn of haar persoonsgegevens onrechtmatig gebruikt en reageert u niet of niet naar tevredenheid op het verzoek of de klacht, dan kan de betrokkene naar de rechter gaan met een beroep op de rechtsbescherming die de Wbp biedt. De betrokkene kan de rechter dan bijvoorbeeld vragen om een verbod, herstel van de (nadelige) gevolgen of een schadevergoeding.

Ook kan de betrokkene een signaal afgeven bij het CBP. Het CBP gebruikt de informatie uit signalen voor het maken van keuzes bij het toezichthouden. Het CBP doet dit op basis van een risicoanalyse. De ernst van de overtreding en het aantal mensen dat hierdoor wordt geraakt, zijn hierbij belangrijke criteria. Het CBP kan naar aanleiding van een signaal een onderzoek starten.