Met dit wetsvoorstel wordt een reductie beoogd van de administratieve lasten en nalevingskosten die voortvloeien uit de Wet bescherming persoonsgegevens (Wbp). Daarnaast worden enige wetgevingstechnische gebreken hersteld en enkele andere wijzigingen in de Wbp aangebracht.
Het verminderen van regeldruk, administratieve lasten en nalevingskosten staat hoog op de agenda van dit kabinet. Bedrijven, burgers en instellingen moeten in staat worden gesteld hun tijd, inspanningen en financiële middelen te richten op de deelnemers in het primaire proces. Zij moeten geen onevenredig deel van hun tijd kwijt zijn aan overbodige of onnodig ingewikkelde bureaucratische verplichtingen. Daarnaast is het van belang dat bedrijven niet onnodig worden geconfronteerd met administratieve lasten en nalevingskosten. De overheid is verantwoordelijk voor kaderstelling, de instellingen zijn zelf verantwoordelijk voor de wijze waarop zij binnen deze kaders werken. Professionals moeten de ruimte krijgen om hun activiteiten vorm te geven en uit te voeren op de wijze die zij daarvoor adequaat achten. Het gaat hierbij om samenhangende doelstellingen: minder regels en minder administratieve lasten en nalevingskosten.
Regeldruk, administratieve lasten en nalevingskosten worden ook ondervonden bij de uitvoering van de Wbp.
Er zijn inmiddels verschillende onderzoeken gedaan naar de administratieve lasten en nalevingskosten die voortvloeien uit de Wbp. Achtereenvolgens betreft het:
a. het onderzoek naar de administratieve lasten voortvloeiend uit de regelgeving van het ministerie van Justitie (Sira Consulting, januari 2004);
b. Administratieve lasten in het privacydomein; reductievoorstellen nader bekeken (EIM, september 2006);
c. Verschillen tussen de Wbp en Richtlijn 95/46/EG en de invloed op de administratieve lasten- en regeldruk (TILT, juni 2006);
d. De eerste fase evaluatie Wet bescherming persoonsgegevens, literatuuronderzoek en knelpuntenanalyse, van het Centrum voor Recht in de Informatiemaatschappij, en de Afdeling Staats- en bestuursrecht van de Universiteit Leiden en Duthler Associates, Den Haag, 2007 (brief van de minister van Justitie van 25 mei 2007 aan de voorzitter van de Tweede Kamer der Staten-Generaal, Kamerstukken II 2006/07, 31 051, nr. 1). De tweede fase van de evaluatie van de Wbp is van start gegaan op 1 januari 2008. In dit vervolgonderzoek op het literatuuronderzoek en de knelpuntenanalyse van de eerste fase, staat de werking van de Wbp in de praktijk centraal. Op deze wijze vormen de beide delen van de evaluatie gezamenlijk een wetsevaluatie waarin aandacht is geschonken aan theorie, literatuur en praktijk.
e. Meten is Weten II, Handleiding voor het definiëren en meten van administratieve lasten voor het bedrijfsleven (Regiegroep regeldruk, 2008).
f. Nulmeting administratieve lasten bedrijven 2007, ministerie van Justitie (Capgemini, EIM, Deloitte en RambOll, 31 juli 2008)
Daarnaast is reeds in de brief van de minister van Financiën en de staatssecretaris van Economische Zaken aan de voorzitter van de Tweede Kamer der Staten-Generaal van 3 oktober 2005 (Kamerstukken II, 2005/06, 29 515, nr. 94) aangegeven dat de beleefde administratieve lasten en de ergernissen van ondernemers over wettelijke informatieverplichtingen, aan de orde zijn gekomen in het project Modelbedrijven. In dit project is in een representatieve steekproef van zeven sectoren van het bedrijfsleven (Chemie, Horeca, Glastuinbouw, Metaalbedrijven, Podiumkunsten, Uitzendbranche en Ziekenhuizen) geïnventariseerd wat de knelpunten in het naleven van deze verplichtingen zijn. Uit dit traject Modelbedrijven blijkt verder dat er sprake is van veel misverstanden ten aanzien van de privacywetgeving. Deze knelpunten en voorstellen zijn veelal terug te voeren op inmiddels niet meer geldende verplichtingen, dan wel afspraken die niet door de overheid worden opgelegd, maar bijvoorbeeld voortvloeien uit afspraken of verplichtingen binnen de bedrijven zelf of het gevolg zijn van verplichtingen vanuit bijvoorbeeld CAO’s en instellingen van sociale partners. Het grote aantal knelpunten dat door ondernemers ten onrechte aan de overheid wordt toegeschreven duidt er op dat veel te winnen valt door duidelijk(er) te communiceren wanneer bepaalde verplichtingen zijn vervallen, welke verplichtingen een wettelijke grondslag hebben en welke niet.
Mede naar aanleiding hiervan is in het voorjaar van 2006 door mijn ambtsvoorganger toegezegd een wetsvoorstel in te dienen tot wijziging van de Wbp (brief van de minister van Justitie aan de voorzitter van de Tweede Kamer der Staten-Generaal van 24 april 2006, Kamerstukken II, 2005/06, 29 515, nr. 136). Het lag in de bedoeling in het toen aangekondigde wetsvoorstel zo veel mogelijk voorstellen te doen tot reductie van de administratieve lasten op het terrein van de privacy. Een aantal van deze reductievoorstellen is, na onderzoek en overleg met betrokken partijen (waaronder het College bescherming persoonsgegevens (Cbp) en VNO-NCW), niet haalbaar gebleken. Oorzaak daarvan is dat deze hetzij geen daadwerkelijke vermindering van de administratieve lasten bleken op te leveren, hetzij niet konden rekenen op voldoende draagvlak bij het bedrijfsleven dan wel in strijd bleken met richtlijn nr. 95/46/EG van het Europees Parlement en de Raad van de Europese Unie van 24 oktober 1995 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens (PbEG L 281) (hierna: privacyrichtlijn). Met name deze laatste omstandigheid legt beperkingen in de weg aan het realiseren van veel voorstellen tot reductie van administratieve lasten en nalevingskosten.
Eerste ondergetekende heeft dit bij brief van 24 april 2006 aan de voorzitter van de Tweede Kamer der Staten-Generaal bericht (Kamerstukken II 2005/06, 29 515, nr. 136). In nauw overleg met de vak- en brancheorganisaties is vervolgens verder gewerkt aan de nadere concretisering van de in laatstbedoelde brief genoemde reductiemaatregelen en aanpassingen van de uitvoeringspraktijk. Hierbij is, zoals hiervoor reeds is aangegeven, nadrukkelijk rekening gehouden met het feit dat de wijzigingen moeten gebeuren binnen de grenzen van de richtlijn.
Het Cbp heeft bij brief van 7 december 2004 tien voorstellen gedaan voor reductie van de administratieve lasten voortvloeiend uit de Wbp. Het Adviescollege toetsing administratieve lasten (Actal), VNO-NCW en het Cbp hebben voorts gezamenlijk bij brief van 10 november 2006 benadrukt dat deze organisaties invoering van deze reductievoorstellen van belang achten. Een deel van de deze voorstellen behoeft slechts aanpassing van de uitvoeringspraktijk. De voorstellen die nopen tot aanpassing van de Wbp zijn in het voorliggende wetsvoorstel opgenomen. Daarnaast zullen op korte termijn het Vrijstellingenbesluit Wbp en het Meldingsbesluit Wbp worden aangepast.
De brief van 7 december 2004 bevatte de volgende voorstellen:
a. De uitbreiding van het aantal vrijstellingen in het vrijstellingsbesluit Wbp.
Deze wijziging van het Vrijstellingsbesluit Wbp is op het moment in voorbereiding.
b. Verduidelijking van het Vrijstellingsbesluit Wbp zodat het aantal onnodige meldingen zal worden teruggedrongen.
Ook deze wijziging van het Vrijstellingsbesluit Wbp is op het moment in voorbereiding.
c. Harmonisatie van de melding voor bedrijven met meerdere vestigingen in de EU.
De artikel 29 werkgroep heeft nog geen standaard meldingsformulier ontwikkeld. Meer informatie hierover is te vinden in het rapport van de artikel 29 werkgroep van 18 januari 2005 (10211/05, WP 106) te raadplegen op ec.europa.eu/justice_home/fsj/privacy/workinggroup/index_en.htm.
d. Gestandaardiseerde aanpak voor voorafgaande onderzoeken.
Het Cbp heeft een informatieblad vastgesteld waar de procedure voor het instellen van een voorafgaand onderzoek duidelijk is uiteengezet. (Informatieblad voorafgaand onderzoek, 15 november 2007, te raadplegen op www.cbpweb.nl).
e. Fijnmaziger invullen van de uitzonderingen op het verbod van de verwerkingen van strafrechtelijke gegevens en de verplichting van voorafgaand onderzoek.
Dit voorstel is opgenomen in artikel I, onderdelen B en F, van het voorliggende wetsvoorstel.
f. Uitleg over de uitzonderingsgronden van artikel 26 van de privacyrichtlijn.
Artikel 26 van de privacyrichtlijn bevat de uitzonderingen op het verbod van het doorverstrekken van persoonsgegevens naar derde landen zonder een passend beschermingsniveau. In artikel I, onderdeel N van het voorliggende wetsvoorstel is voorzien in een uitzondering op dit verbod wanneer er sprake is van een besluit van de Europese Commissie of de Raad van de Europese Unie dat zegt dat in het betreffende derde land sprake is van een passend beschermingsniveau. Daarnaast heeft het Cbp een informatieblad doorgifte naar derde landen opgesteld waarin te volgen procedure nauwkeurig uiteen is gezet (Informatieblad doorgifte naar derde landen, november 2004, te raadplegen op ww.cbpweb.nl).
g. Vrijstelling van de vergunningsplicht voor de doorgifte van persoonsgegevens naar derde landen indien gebruik wordt gemaakt van modelcontracten.
Dit voorstel is opgenomen in artikel I, onderdeel N, van het voorliggende wetsvoorstel.
h. De doorgifte van gegevens op grond van Binding Corporate Rules.
De artikel 29 werkgroep heeft voor een deel reeds Binding Corporate Rules vastgesteld. Daarnaast zijn andere Binding Corporate Rules in ontwikkeling. Meer informatie hierover kan worden gevonden op de website van de artikel 29 werkgroep (ec.europa.eu/justice_home/fsj/privacy/workinggroup/index_en.ht m).
i. Beperking van de informatieverplichtingen in het kader van direct marketing.
Dit voorstel is opgenomen in artikel I, onderdeel I, van het voorliggende wetsvoorstel.
j. Concretisering van de open normen bij informatieverplichtingen.
De informatieplicht zoals deze is neergelegd in de artikelen 33, vierde lid, Wbp en 34, vierde lid, Wbp vloeit voort uit de artikelen 10 en 11 van de richtlijn. De richtlijn bepaalt in beide artikelen dat informatie moet worden verstrekt voor zover dat met inachtneming van de specifieke omstandigheden nodig is om tegenover de betrokkene een eerlijke verwerking te waarborgen. Een nadere invulling van deze open norm uit de richtlijn leidt ertoe dat de richtlijn op dit punt niet goed zou zijn geïmplementeerd. Overigens heeft het Cbp in februari 2007 een informatieblad gepubliceerd waarin de regels omtrent de informatieplicht duidelijk worden toegelicht (Informatieblad nummer 14, februari 2007, te raadplegen op www.cbpweb.nl).
Voorts heeft op 20 november 2006 een overleg plaatsgevonden tussen een kabinetsdelegatie en het Cbp. Aanleiding voor dit overleg was een afspraak terzake in de Catshuissessie over regeldruk van 20 maart 2006. Doel van het gesprek was het voeren van overleg over de vermindering van de regeldruk en administratieve lasten in het kader van de Wbp (brief van de minister-president van 10 april 2006 aan de voorzitter van de Tweede Kamer der Staten-Generaal, Kamerstukken II 2005/06, 29 362 en 29 515, nr. 85). In dat overleg is onder meer afgesproken dat een beperkt voorstel tot wijziging van de Wbp, strekkend tot vermindering van lasten die samenhangen met deze wet zou worden voorbereid.
Verder heeft op 22 november 2007 een algemeen overleg plaatsgevonden tussen de minister van Justitie en de vaste commissie voor Justitie van de Tweede Kamer der Staten-Generaal over het hierboven genoemde rapport Eerste fase evaluatie Wet bescherming persoonsgegevens. In dat overleg is door de minister van Justitie aangekondigd dat de nodige wettelijke maatregelen zouden worden genomen om de lastendruk voortvloeiend uit de privacywetgeving zo veel mogelijk terug te dringen (Kamerstukken II, 2007/08, 31 051, nr. 2).
Voorts is in 2008 een nieuwe nulmeting administratieve lasten gedaan. Deze nieuwe nulmeting komt voort uit de doelstelling van het Kabinet om de lasten van wet- en regelgeving deze kabinetsperiode met nog eens 25% netto te verlagen. Daartoe is een Plan van Aanpak Regeldruk Bedrijven opgesteld dat in de zomer van 2007 aan de Tweede Kamer is verzonden (Kamerstukken II, 2006/07, 29 515, nr. 202). De nieuwe nulmeting is uitgevoerd aan de hand van een verbeterde methodiek, waarbij vooral ook aandacht is besteed aan de beleving van lasten door bedrijven. Dit moet er voor zorgen dat er nog meer gerichte informatie beschikbaar is aan de hand waarvan merkbare vereenvoudigingsmaatregelen kunnen worden geformuleerd.
3. Inhoud van het wetsvoorstel
Het voorliggende wetsvoorstel is het resultaat van deze gezamenlijke inspanningen en betreft onder meer:
1. Een uitzondering op de verplichting van een voorafgaand onderzoek, als bedoeld in artikel 31 van de wet;
2. het verlagen van de frequentie en het waar mogelijk laten vervallen van de inlichtingenplicht ten aanzien van het recht op verzet bij verwerking van persoonsgegevens met het oog op direct marketing;
3. het vervallen van de vergunningplicht voor doorgifte van gegevens naar derde landen zonder passend beschermingsniveau wanneer gebruik wordt gemaakt van door de Europese Commissie goedgekeurde modelcontracten;
4. diverse technische en tekstuele vereenvoudigingen of verhelderingen.
Dit wetsvoorstel staat niet op zichzelf. Naast aanpassing van de Wbp zullen door aanpassing en verduidelijking van het Vrijstellingsbesluit Wbp en het Meldingsbesluit Wbp alsmede door actievere voorlichting de (gepercipieerde) lasten en ergernis over de Wbp aanzienlijk worden verminderd. In paragraaf 2 van deze memorie van toelichting is de achtergrond van dit voornemen reeds geschetst. Een helder en toegankelijk Vrijstellingsbesluit Wbp zal het aantal onnodige meldingen en daarmee onnodige lasten terugbrengen. Zoveel mogelijk gelijktijdig met het onderhavige wetsvoorstel wordt dan ook een voorstel tot wijziging van het Vrijstellingsbesluit Wbp en het Meldingsbesluit Wbp gedaan. Tenslotte streeft het kabinet, in samenwerking met het Cbp, VNO-NCW en andere relevante brancheorganisaties, naar een grotere bekendheid bij met name het bedrijfsleven met het doel, de tekst en de inhoud van de Wbp en het Vrijstellingsbesluit Wbp.
Actal is nauw betrokken geweest bij onderzoek naar de mogelijkheden voor reductie van administratieve lasten die voortvloeien uit de Wbp. Zo is in opdracht van Actal het onderzoeksrapport administratieve lasten in het privacydomein opgesteld en heeft Actal naar aanleiding van dit rapport advies uitgebracht. Dit advies is uiteraard betrokken bij de opstelling van het voorliggende wetsvoorstel en de wijziging van het Vrijstellingsbesluit Wbp. Dit heeft onder meer geleid tot vrijstelling van de vergunningplicht voor de doorgifte van persoonsgegevens naar derde landen bij gebruikmaking van modelcontracten, het opnemen van een uitzonderingen op de verplichting van voorafgaand onderzoek en verduidelijking en uitbreiding van het Vrijstellingsbesluit Wbp.
Actal heeft op 14 december 2007 advies uitgebracht over het voorliggende wetsvoorstel. Actal is van mening dat de gevolgen voor de administratieve lasten te globaal zijn weergegeven en adviseert mede daarom te wachten op de cijfers die zullen voortvloeien uit de nieuwe nulmeting met peiljaar 2007. Ook acht Actal de beperkte omvang van het wetsvoorstel bezwaarlijk. Actal wijst er voorts op dat te weinig aandacht wordt besteed aan de gezamenlijke brief van Actal, VNO-NCW en het Cbp van 10 november 2006. Daarnaast adviseert Actal in te gaan op eventuele incidentele lasten, lasten voor de burger en de bedrijfseffectentoets.
Zoals in paragraaf 2 reeds werd opgemerkt acht het kabinet reductie van administratieve lasten van wezenlijk belang. Voor zover het past binnen de grenzen van de privacyrichtlijn zal alles worden gedaan om de lasten voortvloeiend uit de Wbp tot een minimum te beperken. Het voorliggende wetsvoorstel moet dan ook niet worden gezien als een eindstation. De in paragraaf 2 genoemde evaluatie van de Wbp kan mogelijk leiden tot nieuwe reductievoorstellen. Naar aanleiding van het advies van Actal is in de toelichting vermeld dat het wetsvoorstel geen incidentele lasten en lasten voor de burger met zich meebrengt. Ook is in paragraaf 2 en 3 nader ingegaan op de brief van Actal, VNO-NCW en het Cbp van 10 november 2006 en is aandacht besteed aan de nieuwe nulmeting met peiljaar 2007. Verder is het wetsvoorstel ten behoeve van de bedrijfseffectentoets voorgelegd aan het Meldpunt voorgenomen regelgeving van het ministerie van Economische Zaken. Het Meldpunt heeft ingestemd met de lastenparagraaf en bevestigd dat er geen nalevingskosten voortvloeien uit het wetsvoorstel.
Het wetsvoorstel is voorts voorgelegd aan het Cbp. Het Cbp merkt op zich in grote lijnen te kunnen vinden in het wetsvoorstel. Daarbij plaatst het Cbp onder meer kanttekeningen bij de formulering van de boetebevoegdheid voor overtreding van artikel 79, eerste lid, van de Wbp en de vrijstelling van de verplichting van voorafgaand onderzoek van artikel 31 van de Wbp. Deze opmerkingen van het Cbp zijn verwerkt. Voorts is artikel 27 van de Wbp zodanig aangepast dat geen enkele onduidelijkheid meer kan bestaan over de boetebevoegdheid van het Cbp ten aanzien van overtreding van artikel 79, eerste lid van de Wbp. Een opmerking van het Cbp is niet gevolgd, terwijl een opmerking slechts ten dele is gevolgd. Het betreft het advies tot aanvulling van artikel 21 van de Wbp en het advies tot handhaving van artikel 41, vierde lid, van de Wbp.
Het Cbp adviseert artikel 21 van de Wbp aan te vullen met een onderdeel waarin de bevoegdheid wordt opgenomen voor werkgevers en het CWI om gezondheidsgegevens te verwerken in het kader van het recht van de werkgever om de arbeidsovereenkomst na twee jaar arbeidsongeschiktheid van een werknemer, onder bepaalde voorwaarden, te beëindigen. Deze toevoeging wordt niet noodzakelijk geacht omdat artikel 21, eerste lid, onder f, van de Wbp reeds bepaalt dat het verbod op verwerkingen van medische gegevens niet van toepassing is wanneer deze noodzakelijk zijn met het oog op de uitvoering van regelingen die samenhangen met de gezondheidstoestand van de werknemer.
Daarnaast is het Cbp van mening dat het doen vervallen van artikel 41, vierde lid, van de Wbp in strijd zou zijn met de richtlijn. Artikel 41, vierde lid, van de Wbp bevat de verplichting voor de verantwoordelijke om, indien hij betrokkene rechtstreeks een direct marketing boodschap zendt, betrokkene telkens te wijzen op de mogelijkheid van verzet. Artikel 14, onderdeel b, van de richtlijn schrijft voor dat lidstaten aan betrokkenen het recht toekennen, op verzoek en kosteloos, zich te verzetten tegen een voorgenomen verwerking van hem betreffende persoonsgegevens door een verantwoordelijke met het oog op direct marketing, of aan betrokkenen het recht toekennen te worden ingelicht voordat persoonsgegevens voor de eerste keer aan derden worden verstrekt of voor rekening van derden worden gebruikt voor direct marketing, en het recht uitdrukkelijk ter kennis gebracht krijgen dat hij of zij zich kosteloos kan verzetten tegen deze verstrekking of dit gebruik van gegevens. Daaruit volgt niet dat betrokkene telkens wanneer hij wordt benaderd op de hoogte dient te worden gebracht van de mogelijkheid tot het doen van verzet. Derhalve kan worden volstaan met het voorgestelde derde lid van artikel 41 van de Wbp waarin is bepaald dat de verantwoordelijke die persoonsgegevens verwerkt voor de in het eerste lid bedoelde doelen, passende maatregelen neemt om betrokkenen de mogelijkheden bekend te maken tot het doen van verzet. Naar aanleiding van het advies van het Cbp is de redactie van het derde lid zodanig aangepast zodat duidelijk is dat deze verplichting geldt voor beide doelen uit het eerste lid. Dat wil zeggen zowel ten aanzien van de verwerking van gegevens door een verantwoordelijke in verband met de totstandkoming of de instandhouding van een directe relatie tussen betrokkene en een derde, als de verwerking van gegevens door een verantwoordelijke in verband met de totstandkoming of de instandhouding van een directe relatie tussen betrokkene en verantwoordelijke zelf. Daarmee is artikel 41, vierde lid, van de Wbp materieel slechts gedeeltelijk komen te vervallen.
Het Cbp heeft voorts in een brief d.d. 23 oktober 2008 aan eerste ondergetekende enkele dringende wensen onder de aandacht gebracht. Daarin vraagt het Cbp om analoog aan de uitzonderingsbepaling voor de ombudsman een uitzondering voor het verwerken van bijzondere persoonsgegevens door het Cbp op te nemen. Verder adviseert het Cbp om de aanvankelijk voorgenomen delegatiebepaling op grond waarvan bij algemene maatregel van bestuur categorieën van verwerkingen van strafrechtelijke gegevens vrij kunnen worden gesteld van de verplichting van voorafgaand onderzoek te vervangen door een wettelijke voorziening. Ook vraagt het Cbp om termijnen op te nemen in de artikelen 30, 38 en 41 van de Wbp. Al deze opmerkingen zijn gevolgd. Het Cbp herhaalt verder nogmaals de opmerkingen over de artikelen 21 en 41. Hieraan is hierboven reeds uitgebreid aandacht besteed.
De Raad van State heeft op 24 juli 2008 advies uitgebracht over het wetsvoorstel. De Raad onderschrijft de strekking van het wetsvoorstel maar maakt een aantal opmerkingen. Deze opmerkingen zijn grotendeels overgenomen. Naar aanleiding van het advies van de Raad is het wetsvoorstel op een aantal punten gewijzigd. De belangrijkste wijzigingen worden hieronder toegelicht. Aanvankelijk was voorzien in een algemene uitzondering voor het verwerken van bijzondere persoonsgegevens door de ombudsman, toezichthouders en accountantsorganisaties De Raad is van mening dat voor elk van deze organisaties en hun taken de specifiek moet worden onderscheiden welk zwaarwegend algemeen belang uitzondering op het verbod van het verwerken van bijzondere persoonsgegevens rechtvaardigt. De Raad adviseert voorts de betekenis en de inhoud, alsook de toepassingsmogelijkheden van het criterium «noodzakelijk voor de uitvoering van de wettelijke taak» voor elk van de sterk verschillende categorieën nader toe te lichten. Met de Raad zijn wij van mening dat een ombudsman, toezichthouders en accountantorganisaties te verschillend zijn om in een eenduidig criterium te vatten. Daarom is besloten af te zien van het regelen van een algemene uitzonderingsgrond voor toezichthouders en accountantsorganisaties. Eventueel zal op termijn in de voor deze categorieën geldende sectorale wetgeving worden voorzien in een meer specifieke uitzonderingsgrond op het verwerken van bijzondere persoonsgegevens voor concreet bepaalde taken. Ten aanzien van de ombudsman wordt de algemene uitzonderingsgrond gehandhaafd, aangevuld met eenzelfde uitzondering voor het Cbp. Daarbij is in de artikelsgewijs toelichting nader ingegaan op de gevallen waarvoor deze algemene uitzonderingsgrond geldt. Voorts is in de wettekst uitdrukkelijk opgenomen dat sprake moet zijn van een zwaarwegend algemeen belang en dat moet zijn voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Ook meent de Raad dat voor de voorgestelde uitzondering op het verwerken van gezondheidsgegevens moet worden aangesloten bij artikel 23 van de Wbp. Naar aanleiding van dit advies en met het oog op verdere vermindering van regeldruk is besloten de voorgestelde wijziging van artikel 21 van de Wbp te laten vervallen. Verder adviseert de Raad de wijziging van artikel 41 nader te bezien omdat niet duidelijk is hoe bezwaarlijk de administratiefrechtelijke lasten zijn die met deze wijziging worden weggenomen en omdat onduidelijk is of de voorgestelde redactie van artikel 41 wel voldoende waarborgen biedt. Hiervoor zij verwezen naar paragraaf 5 en de artikelsgewijze toelichting.
5. Kwantificering reductie administratieve lasten en nalevingskosten
Reductie van administratieve lasten en nalevingskosten wordt bereikt met de wijziging van artikel 77, tweede lid en artikel 41, derde en vierde lid, van de Wbp.
Voor de berekening van de reductie van administratieve lasten en nalevingskosten die naar verwachting zal voortvloeien uit het voorliggende wetsvoorstel is gebruikt gemaakt van de eerder genoemde nulmeting administratieve lasten ministerie van Justitie uit 2008 (peiljaar 2007) en het EIM rapport uit 2006 (peiljaar 2003). Voor berekeningen die niet zijn opgenomen in deze rapporten is gebruik gemaakt van het Sira rapport van 2004.
Het belangrijkste verschil tussen het rapport uit 2008 en de andere twee rapporten is dat in het rapport uit 2008 gebruik is gemaakt van het standaardkostenmodel uit het rapport Meten is Weten II. Dit standaardkostenmodel aan de hand waarvan lasten worden berekend geeft onder meer een aangescherpte definitie van het begrip administratieve last. Administratieve lasten zijn volgens dit model de kosten voor het bedrijfsleven om te voldoen aan informatieverplichtingen aan de overheid die voortvloeien uit wet- en regelgeving. Daarnaast onderscheid het standaardkostenmodel andere vormen van lasten voor het bedrijfsleven waaronder inhoudelijke nalevingskosten. Inhoudelijke nalevingskosten zijn onder meer kosten voor het bedrijfsleven om te voldoen aan informatieverplichtingen aan derden die voortvloeien uit wet- en regelgeving. Administratieve lasten en nalevingskosten zien dus op verschillende doelen maar leveren beiden een last op voor het bedrijfsleven. Met dit wetsvoorstel wordt beoogd beide vormen van lasten voor het bedrijfsleven voortvloeiende uit de Wbp zoveel mogelijk terug te dringen.
Onder de nieuwe definitie kan de voorgestelde wijziging van artikel 41, derde lid en vierde lid, niet langer worden gezien als administratieve lastenvermindering maar wel als reductie van nalevingskosten. Ook onder de nieuwe definitie levert wijziging van artikel 41, derde en vierde lid dus een lastenbesparing voor het bedrijfsleven op.
Ten aanzien van de wijziging van artikel 77, tweede lid, van de Wbp is in het rapport uit 2008 uitgegaan van een last van € 2 250 per vergunningaanvraag. Daarbij is berekend dat de gemiddelde medewerker tegen een uurtarief van € 45 zo’n 50 uur aan een vergunningaanvraag besteedt. In het rapport is uitgegaan van negentig vergunningaanvragen per jaar. Dat betekent dat deze wijziging maximaal een besparing op zal leveren van (90 x € 2 250) € 202 500. Naar verwachting zal deze besparing in de toekomst zelfs nog hoger zijn aangezien outsourcing van verwerking van gegevens naar bedrijven buiten de Europese Unie steeds vaker plaatsvindt.
Omdat de lasten die voortvloeien uit artikel 41 op grond van het nieuwe standaardkostenmodel niet meer kunnen worden gezien als administratieve lasten is deze bepaling niet opgenomen in het rapport uit 2008. In het EIM rapport is een berekening gegeven van de lastenvermindering die alleen wijziging van het derde lid van artikel 41 van de Wbp zou kunnen opleveren. Ook dit rapport bevat geen cijfers over beperking van het vierde lid van artikel 41 van de Wbp. Omdat in het voorliggende wetsvoorstel niet alleen de verplichtingen uit het derde lid van artikel 41 van de Wbp maar ook de verplichtingen uit het vierde lid van deze bepaling worden beperkt wordt voor de berekening van de vermindering van de lasten als gevolg van beide leden van artikel 41 van de Wbp uitgegaan van de cijfers uit het eerder genoemde Sira rapport. In het Sira rapport is namelijk uitgegaan van de in het voorliggende wetsvoorstel opgenomen beperking van zowel het derde als het vierde lid van artikel 41 van de Wbp. Sira heeft berekend dat beperking van de verplichting uit het derde en vierde lid van artikel 41 een reductie van lasten van 50% zal opleveren. Uitgaande van 50% van 6 800 000 handelingen van gemiddeldéén minuut tegen een uurtarief van € 40,00 zou dat een reductiepotentieel van (50% van 4 533 300=) € 2 266 700 betekenen.
Deze berekening van Sira wordt overigens ondersteund door de door EIM gemaakte berekeningen van het reductiepotentieel uitgaande van aanpassing van slechts het derde lid van artikel 41 van de Wbp. EIM gaat daarbij uit van een besparing op advertentiekosten van € 700 per advertentie voor zo’n 2000 tot 3000 bedrijven per jaar. Dit reductiepotentieel van € 1 750 000 euro bij beperking van het derde lid van artikel 41 van de Wbp sluit qua orde van grootte aan bij de berekening van Sira van € 2 266 700 voor zowel het derde als het vierde lid van artikel 41 van de Wbp. Te verwachten valt namelijk dat beperking van zowel het derde als het vierde lid zal leiden tot een besparing van lasten maar dat het reductiepotentieel van het derde lid groter zal zijn dan het reductiepotentieel voortvloeiend uit schrapping het vierde lid. Het feit dat het reductiepotentieel uit de berekening uit het EIM rapport iets meer dan de helft bedraagt van het reductiepotentieel uit de berekening van Sira sluit aan bij deze verwachting.
De totale reductie van administratieve lasten en nalevingskosten voortvloeiend uit dit wetsvoorstel bedraagt derhalve zo’n € 2 700 000.
De overige in dit wetsvoorstel voorziene maatregelen leiden niet tot effecten op de administratieve lasten voor burgers of bedrijven. Evenmin geven de maatregelen aanleiding tot noemenswaardige nalevingskosten.
In nauw overleg met het Cbp is onderzocht hoe de uitzonderingen op het verbod van de verwerking van strafrechtelijke gegevens fijnmaziger kunnen worden ingevuld. Dat heeft ertoe geleid dat aan artikel 22 een uitzondering is opgenomen voor het uitwisselen van strafrechtelijke tussen partijen in publiekrechtelijke samenwerkingsverbanden. Bij een publiekrechtelijke samenwerkingsverband moet worden gedacht aan een samenwerkingsverband dat wordt beheerst door regels van publiekrecht en dat bestaat uit hetzij bestuursorganen hetzij privaatrechtelijke vormgegeven organen die bij of krachtens de wet zijn belast met een publiekrechtelijke taak. Indien deze uitwisseling plaatsvindt op grond van de Wet politiegegevens of de Wet Justitiële en strafvorderlijke gegevens biedt artikel 22, eerste lid, al een uitzondering op het verbod van verwerking van strafrechtelijke gegevens. Er zijn echter ook verwerkingen van strafrechtelijke gegevens door publiekrechtelijke samenwerkingsverbanden mogelijk waarop de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens niet van toepassing zijn. Artikel 20 van de Wet politiegegevens voorziet in verstrekking van politiegegevens door de politie ten behoeve van een samenwerkingsverband van de politie met personen of instanties. Artikel 39f van de Wet Justitiële en strafvorderlijke gegevens ziet op de verstrekking van strafvorderlijke gegevens aan personen of instanties voor de daar genoemde doeleinden. Op grond van het Bjg kan de minister van Justitie aan tal van personen en instanties om de daar genoemde redenen justitiële gegevens verstrekken. Wanneer deze gegevens vervolgens binnen een publiekrechtelijk samenwerkingsverband worden doorverstrekt zijn de Wet politiegegevens en de Wet Justitiële gegevens niet meer van toepassing. Dat is bijvoorbeeld het geval wanneer de politie op grond van artikel 20 van de Wet politiegegevens gegevens verstrekt aan de reclassering en de reclassering in het kader van een publiekrechtelijk samenwerkingsverband deze gegevens wil doorverstrekken aan de gemeente. De voorgestelde uitzondering ziet op dergelijke situaties. Uiteraard is deze uitzondering met waarborgen omkleed: de verwerking moet noodzakelijk zijn voor de uitvoering van de taak van de publiekrechtelijke samenwerkingsverbanden en bij de uitvoering moet zijn voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Dat wil zeggen dat er altijd zal moeten zijn voldaan aan de eisen van proportionaliteit en subsidiariteit, er mogen nooit meer gegevens worden gewisseld dan noodzakelijk voor het kunnen uitoefenen van de taak van het publiekrechtelijke samenwerkingsverband. Ook moeten er binnen het samenwerkingsverband regels worden opgesteld over beveiliging van gegevens en systemen, verwijdering van gegevens enzovoorts.
Naar het oordeel van het Cbp zal deze wijziging leiden tot verlichting van administratieve lasten. Nader onderzoek zal moeten uitwijzen in welke mate verlichting zal kunnen plaatsvinden. Concrete cijfers kunnen derhalve momenteel nog niet worden gegeven.
Op grond van de artikelen 17 tot en met 22 van de Wbp en artikel 8 van de privacyrichtlijn is het verwerken van bijzondere persoonsgegevens, zoals gegevens betreffende iemands godsdienst of levensovertuiging, ras, politieke gezindheid, gezondheid, seksuele leven, alsmede persoonsgegevens betreffende het lidmaatschap van een vakvereniging, in beginsel niet toegestaan. Op dit verbod is op grond van artikel 8, eerste tot en met derde lid, van de privacyrichtlijn (artikel 23 van de Wbp) een aantal uitzonderingen mogelijk. Zo is het verbod op het verwerken van bijzondere persoonsgegevens niet van toepassing wanneer betrokkene hier uitdrukkelijk mee heeft ingestemd. Verder biedt artikel 8, vierde lid, van de privacyrichtlijn de mogelijkheid tot het opnemen van andere uitzonderingen op het verbod mits deze uitzonderingen noodzakelijk zijn met het oog op een zwaarwegend algemeen belang en daarbij passende maatregelen worden geboden ter bescherming van de persoonlijke levenssfeer. Dit voorschrift is geïmplementeerd in artikel 23, eerste lid, onderdeel e, van de Wbp. Ingevolge deze bepaling is inbreuk op het verbod tot het verwerken van bijzondere persoonsgegevens toegestaan mits dit geschiedt ten behoeve van een zwaarwegend algemeen belang, passende maatregelen worden geboden ter bescherming van de persoonlijke levenssfeer en daarvoor een wettelijke grond aanwezig is. De in de artikel B voorgestelde wijziging voorziet in deze wettelijke grondslag.
Bijzondere persoonsgegevens komen met grote regelmaat binnen bij de Nationale ombudsman en de overige ombudslieden, bedoeld in artikel 9:17 van de Algemene wet bestuursrecht (Awb). Hetzelfde geldt voor het Cbp. De verwerking van bijzondere persoonsgegevens is inherent aan de wettelijke (onderzoeks)taken van deze instanties. Daarom wordt voorgesteld het verbod van verwerking van deze gegevens niet te laten gelden voor de Nationale ombudsman, de overige ombudslieden en het Cbp. De Raad van State adviseert deze uitzondering met meer waarborgen te omkleden. Daarom is in de wettekst geëxpliciteerd dat de Nationale ombudsman, de overige ombudslieden en het Cbp alleen een uitzondering op het verbod op het verwerken van bijzondere persoonsgegevens mogen maken wanneer daarvoor een zwaarwegend algemeen belang bestaat, verwerking van deze gegevens noodzakelijk is voor de uitvoering van de aan hen wettelijk opgedragen taken en is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Daarnaast vraagt de Raad nader in te gaan op het zwaarwegend belang op grond waarvan deze uitzondering wordt opgenomen en een nadere omschrijving te geven van de taken waarbij deze uitzondering zal worden toegepast. Het zwaarwegend algemeen belang voor deze uitzonderingen op het verbod op het verwerken van bijzondere persoonsgegevens door deze instanties wordt gerechtvaardigd door de bijzondere maatschappelijke functie die zij vervullen. Bovendien waarborgt de wijze waarop zowel de Nationale ombudsman en de overige ombudslieden als en het Cbp hun wettelijke taken vervullen, de bescherming van de persoonlijke levenssfeer van betrokkenen. Gezien de aard van hun functies zijn de Nationale ombudsman, de overige ombudslieden en het Cbp bij uitstek in staat te beoordelen of er in een concreet geval sprake is van een zwaarwegend belang. Ook kan hen worden toevertrouwd slechts dan over te gaan tot het verwerken van bijzondere persoonsgegevens wanneer de persoonlijke levenssfeer van betrokkene niet onevenredig wordt geschaad. Dat laatste kan onder meer worden bereikt door ervoor zorg te dragen dat dergelijke gegevens met de grootste vertrouwelijkheid worden behandeld, documenten en bestanden waarin deze gegevens zijn opgenomen goed worden beveiligd en de gegevens niet langer worden bewaard dan strikt noodzakelijk. Ook zijn Nationale ombudsman, de overige ombudslieden en het Cbp gehouden aan de geheimhoudingsplicht zoals neergelegd in artikel 2:5 van de Awb. Overigens is de verwachting dat bij de verwerking van bijzondere persoonsgegevens door deze instanties veelal sprake zal zijn van uitdrukkelijke toestemming van betrokkene. Betrokkene verstrekt deze gegevens doorgaans immers ook zelf voor behandeling door een ombudsman of het Cbp.
Op grond van artikel 9:17 van de Awb wordt onder ombudsman verstaan de Nationale ombudsman of een ombudsman of ombudscommissie ingesteld krachtens de Gemeentewet, de Provinciewet, de Waterschapswet of de Wet gemeenschappelijke regelingen. Een ombudsman doet onderzoek naar de behoorlijkheid van gedragingen van bestuursorganen jegens burgers. Een ombudsman is een onafhankelijk instituut waar burgers terecht kunnen met klachten over de wijze waarop bestuursorganen zich jegens hen hebben gedragen. Daarmee vervult een ombudsman een belangrijke maatschappelijke functie, namelijk door het bijdragen aan (het herstel van) het vertrouwen in de overheid. De Nationale ombudsman en de overige ombudslieden krijgen regelmatig de beschikking over bijzondere persoonsgegevens. Wat betreft de Nationale ombudsman kan bijvoorbeeld worden gedacht aan medische gegevens van de verzekeringsarts van het UWV in geval van klachten over het UWV, strafrechtelijke informatie van de politie bij klachten over de politie of bijzondere persoonsgegevens in dossiers van de Immigratie- en Naturalisatiedienst (IND) als over de IND wordt geklaagd. De ombudsman kan zijn wettelijke taken niet vervullen wanneer hij niet over de bevoegdheid beschikt om de gegevens op basis waarvan hij mede zijn oordeel moet baseren kan verwerken. Dat is evenzeer het geval voor het Cbp. De taken van het Cbp zijn neergelegd in de artikelen 51 en 52 van de Wbp. Het Cbp heeft tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij en krachtens de wet bepaalde. Dat betekent onder meer dat het Cbp toeziet op de naleving van de Wbp, is belast met de behandeling van verzoeken om bemiddeling bij geschillen over de uitoefening van het recht op inzage of correctie van persoonsgegevens of over de uitoefening van het recht op verzet, een ontheffing kan verlenen voor de verwerking van bijzondere persoonsgegevens maar ook op verzoek van een belanghebbende een onderzoek kan instellen naar de naleving van het bepaalde bij of krachtens de Wbp. Daarbij kan bijvoorbeeld worden gedacht aan het de beoordeling van een klacht over het doorverstrekken van medische gegevens aan de werkgever. Ook zal het Cbp strafrechtelijke informatie moeten verwerken bij onderzoek naar de gang van zaken bij de vernietiging van geheimhoudersgesprekken door de landelijke tapkamers van de politie. Bij de beoordeling van de vraag of een gegevensverwerking onterecht bijzondere persoonsgegevens bevat zal het Cbp deze gegevens moeten inzien en verwerken. Gelet op het voorgaande is de noodzaak tot het verwerken van deze gegevens onlosmakelijk verbonden met een goede taakuitoefening van een ombudsman.
Dit zijn slechts enkele voorbeelden van taken van de Nationale ombudsman, de overige ombudslieden en het Cbp waarin zij bijzondere persoonsgegevens zullen (moeten) verwerken. De taken van deze instanties bestrijken een zodanig breed terrein dat het niet mogelijk is op voorhand per specifieke taak en per specifiek bijzonder persoonsgegeven apart uit te werken wanneer aan de voorgestelde uitzondering zal zijn voldaan. De hierboven beschreven waarborgen zien er bovendien op toe dat het ontbreken van deze nadere specificering op adequate wijze wordt ondervangen.
Daarnaast wordt voorgesteld om in artikel 23 van de Wbp een uitzondering op te nemen voor de vrijwaring van een vitaal belang van de betrokkene of een andere persoon en deze niet in staat zijn daartoe toestemming te verlenen. De vrijwaring van een vitaal belang is wel een grondslag voor de verwerking van persoonsgegevens (zie artikel 8, onder d, van de wet), maar doorbreekt niet het verbod uit artikel 16 van de Wbp op het verwerken van bijzondere persoonsgegevens. Het lijkt onwaarschijnlijk dat dit er iemand van zal weerhouden gegevens te verstrekken in gevallen waarin acuut gevaar voor iemands leven of gezondheid dreigt. Niettemin verdient het de voorkeur om deze uitzondering expliciet in artikel 23 van de wet op te nemen. Bovendien bepaalt artikel 8, tweede lid, onderdeel c, van de richtlijn dat het verbod op het verwerken van bijzondere gegevens niet van toepassing is indien de verwerking noodzakelijk is ter verdediging van de vitale belangen van de betrokkene of een andere persoon en deze niet in staat zijn daartoe toestemming te verlenen.
Op grond van artikel 79, eerste lid, dienden gegevensverwerkingen die reeds voor inwerkingtreding van de Wbp plaatsvonden een jaar na inwerkingtreding overeenkomstig artikel 27 van de wet zijn gemeld. Artikel 27 van de Wbp ziet echter op een verplichting tot melding alvorens met verwerking van gegevens wordt aangevangen. De formulering van artikel 27 van de Wbp is zodanig aangepast dat geen twijfel kan bestaan over het feit dat op grond van artikel 79, eerste lid, van de Wbp jo. artikel 27 van de Wbp gegevensverwerkingen die zijn aangevangen voor inwerkingtreding van de Wbp sinds 1 september 2002 (een jaar na inwerkingtreding van de wet) moeten zijn gemeld.
Op grond van artikel 30 van de wet is de verantwoordelijke verplicht desgevraagd inlichtingen te verstrekken over van aanmelding vrijgestelde gegevensverwerkingen. Deze bepaling noemt echter geen termijn waarbinnen aan een dergelijk verzoek dient te worden voldaan. Voorgesteld wordt hiervoor een termijn van vier weken te hanteren. Indien de inlichtingen niet binnen vier weken kunnen worden gegeven, dan stelt de verantwoordelijke de aanvrager daarvan in kennis en noemt hij daarbij een zo kort mogelijke termijn waarbinnen de inlichtingen wel tegemoet kunnen worden gezien.
Het verbod op het verwerken van strafrechtelijke gegevens van artikel 16 van de Wbp kan worden doorbroken indien die strafrechtelijke gegevens ten behoeve van derden worden verwerkt mits passende en specifieke waarborgen zijn getroffen en de procedure van artikel 31 van de Wbp is gevolgd. Deze procedure houdt in dat het Cbp een zogenaamd voorafgaand onderzoek instelt naar de betreffende verwerking. De achtergrond daarvan is dat de «passende en specifieke waarborgen» in het belang van de betrokkene een toets door het Cbp behoeven (Kamerstukken II 1997/98, 25 892, nr. 3, p. 121–122). Op deze wijze worden bijvoorbeeld de zogenaamde zwarte lijsten beoordeeld door het Cbp. Het Cbp heeft bij brief van 12 juli 2005 erop gewezen dat het regelmatig voorkomt dat een voorafgaand onderzoek wordt aangevraagd terwijl dat niet nodig zou hoeven zijn. Dat is het geval bij de zwarte lijsten voor de detailhandel. Vaak worden dergelijke lijsten beheerd door een overkoepelende brancheorganisatie. De bedrijven die zijn aangesloten bij deze brancheorganisatie leveren daarbij gegevens aan. Het beheren van de zwarte lijst maar ook het aanleveren van de gegevens is een vorm van gegevensverwerking. Dat betekent dat zowel de brancheorganisatie als de individuele bedrijven ieder een voorafgaand onderzoek moeten doorlopen voor dezelfde gegevensverwerking. Het is niet nodig dat dezelfde gegevensverwerking door elk van de verwerkers afzonderlijk wordt voorgelegd voor voorafgaand onderzoek. In artikel 31 wordt daarom voorgesteld de verplichting van een voorafgaand onderzoek niet van toepassing te laten zijn op gegevensverwerkingen die reeds door een andere verantwoordelijke voor voorafgaand onderzoek zijn voorgelegd en ten aanzien waarvan het Cbp heeft verklaard dat de betreffende verwerking rechtmatig is.
Daarnaast is het eerste lid van artikel 31 aangepast. Het Cbp heeft namelijk talrijke signalen ontvangen dat het begrip «eigen waarneming» in de praktijk tot verwarring leidt. Vaak is onduidelijk wat hiermee precies wordt bedoeld. De voorgestelde wijziging beoogt deze onduidelijkheid weg te nemen door beter tot uitdrukking te brengen dat het informatie betreft die niet wordt verkregen van een andere verantwoordelijke. De voorgestelde omschrijving omvat onder meer observeren, posten en gericht burenonderzoek (bijvoorbeeld informatie vragen bij buren en vervolgens een rapport terzake opstellen).
Op grond van artikel 38 van de wet is de verantwoordelijke verplicht om derden aan wie gegevens zijn verstrekt, te informeren over de correctie van deze gegevens. Deze bepaling noemt echter geen termijn waarbinnen aan het verzoek dient te worden voldaan. Voorgesteld wordt hiervoor een termijn van vier weken te hanteren. Indien de kennisgeving niet binnen vier weken kan worden gedaan, stelt de verantwoordelijke de derde daarvan in kennis en noemt hij daarbij een zo kort mogelijke termijn waarbinnen de inlichtingen wel tegemoet kunnen worden gezien, tenzij kennisgeving onmogelijk blijkt of een onevenredige inspanning vergt.
Artikel 35, tweede lid, van de wet, spreekt niet van een «bericht» maar van een «mededeling». Met het oog op het hanteren van uniforme terminologie wordt artikel 39 van de Wbp hierop aangepast.
Artikel 41, eerste lid, Wbp waarborgt de mogelijkheid van kosteloos verzet voor de betrokkene bij de verwerking van gegevens in verband met de totstandbrenging of de instandhouding van een directe relatie tussen de verantwoordelijke of een derde en betrokkene met het oog op werving voor commerciële of charitatieve doelen. Artikel 41, tweede lid, van de wet, schrijft voor dat de verantwoordelijke terstond gehoor dient te geven aan verzet tegen verwerking met het oog op werving voor commerciële of charitatieve doeleinden. Een verzoek tot beëindiging van de verwerking van gegevens van een burger in geval van direct marketing dient de eerstvolgende keer dat tot verwerking van gegevens wordt overgegaan te zijn geëffectueerd. In beginsel kan dan niet tot verwerking van gegevens worden overgegaan zolang niet alle verzoeken tot beëindiging zijn verwerkt.
Door het ontbreken van de verplichting voor de verantwoordelijke om de betrokkene op de hoogte te stellen welke maatregelen zijn genomen en op welk moment, is in de praktijk onduidelijk wanneer de termijn aanvangt waarbinnen de betrokkene een verzoekschrift kan indienen bij de rechtbank of het Cbp als de verantwoordelijke het verzoek tot beëindiging van de verwerking van gegevens niet inwilligt (artikel 46 van de wet). In deze leemte wordt thans voorzien door in het tweede lid de mogelijkheid op te nemen voor betrokkene om de verantwoordelijke te verzoeken hem te berichten welke maatregelen, wanneer zijn genomen. De verantwoordelijke dient daarbij binnen vier weken aan de betrokkene opgave te doen van de genomen maatregelen. Indien de kennisgeving niet binnen vier weken kan worden gedaan, dient de verantwoordelijke uiterlijk vier weken na de datum van ontvangst van het verzoek mede te delen binnen welke termijn de kennisgeving alsnog kan worden gedaan.
Op de wijziging van het derde een vierde lid, van artikel 41 is in het algemeen deel van deze toelichting reeds uitgebreid aandacht besteed.
Zoals reeds opgemerkt onder C bepaalt artikel 79, eerste lid, van de Wbp dat gegevensverwerkingen die reeds voor inwerkingtreding van de Wbp plaatsvonden een jaar na inwerkingtreding van deze wet in overeenstemming hiermee moesten zijn en overeenkomstig artikel 27 van de wet moesten zijn gemeld. Abusievelijk was daarbij verzuimd deze bepaling op te nemen in de boetebepaling van artikel 66 van de Wbp en de strafbepaling van artikel 75 van de Wbp zodat overtreding van artikel 79, eerste lid, van de Wbp niet kon worden beboet respectievelijk bestraft.
In haar uitspraak van 21 september 2005, zaaknummer 200504372/1, stelde de Afdeling bestuursrechtspraak van de Raad van State vast dat artikel 79, eerste lid, van de Wbp een zelfstandige norm stelt voor verwerkingen die op het moment van inwerkingtreding van de Wbp reeds bestonden. De enkele verwijzing in artikel 79, eerste lid, van de Wbp naar artikel 27 van die wet bracht niet met zich mee dat bij het achterwege blijven van de vereiste melding, artikel 27 van de Wbp als zodanig was overtreden. De Afdeling wees erop dat die bepaling, gelet op de tekst daarvan, alleen betrekking kon hebben op nieuwe gegevensverwerkingen. Dientengevolge was het Cbp niet bevoegd een bestuurlijke boete op te leggen op grond van artikel 66, eerste lid, van de Wbp voor het niet melden van verwerkingen die waren aangevangen voor inwerkingtreding van de wet.
Naar aanleiding daarvan is in de Reparatiewet II Justitie (Stb. 2006, 24) in artikel 66 van de Wbp een verwijzing naar artikel 79 van de wet opgenomen zodat overtreding van artikel 79, eerste lid, voortaan beboetbaar zou zijn. Daarbij is echter verzuimd ook in artikel 75 van de Wbp een verwijzing naar 79, eerste lid, van de wet op te nemen. In het voorliggende wetsvoorstel worden de artikelen 27 en 75 van de Wbp zodanig aangepast dat geen twijfel meer kan bestaan over de bevoegdheid tot het opleggen van een bestuurlijke- dan wel strafrechtelijke boete voor het overtreden van artikel 79, eerste lid, van de wet.
Gelet op artikel 16 van de Grondwet, artikel 7 van het EVRM en artikel 1 van het Wetboek van Strafrecht brengt het beginsel van nulla poena sine lege overigens mee dat overtreding van artikel 79, eerste lid, van de Wbp slechts kan worden beboet voor gegevensverwerkingen die reeds waren aangevangen voor inwerkingtreding van de Wbp en na inwerkingtreding van de Reparatiewet II Justitie nog steeds niet waren gemeld. Voorts kan bestraffing van deze overtreding slechts plaatsvinden voor gegevensverwerkingen die reeds waren aangevangen voor inwerkingtreding van de Wbp en na inwerkingtreding van dit wetsvoorstel nog steeds niet zijn gemeld.
De hoogte van de bestuurlijke boetes die op grond van artikel 66 van de Wbp kunnen worden opgelegd en de hoogte van de strafrechtelijk boetes die op grond van artikel 75 van de Wbp kunnen worden opgelegd lopen uit de pas. Daarom wordt voorgeteld de boetecategorieën in artikel 75, eerste en tweede lid te verhogen.
Van de voorgestelde verhogingen van de boetecategorieën zal naar verwachting een preventieve werking uitgaan. Ook op tal van andere (verwante) terreinen heeft de wetgever inmiddels bewust relatief hoge boetebedragen vastgesteld. Immers, indien niet werkelijk zware geldboetes kunnen worden opgelegd en ook regelmatig opgelegd worden, achten velen het geregeld begaan van (economische getinte) delicten met het risico van een lichte straf, zakelijk beschouwd, voordeliger dan het zorgvuldig nakomen van de voorschriften. Ook voor de verantwoordelijken geldt dat met de maatregelen die zij geacht worden te nemen teneinde aan hun meldplicht te kunnen voldoen, tijd en geld gemoeid gaan. De voorgestelde verhogingen van de boetebedragen zullen voor de verantwoordelijke een belangrijke financiële prikkel geven om zijn wettelijke verplichting na te leven. Meldingen van gegevensverwerkingen zorgen voor openheid en daarmee controleerbaarheid voor de personen van wie gegevens worden gebruikt. De meldingen stellen betrokkenen in staat om zo nodig gebruik te maken van hun rechten. Ook maken de meldingen een effectiever toezicht mogelijk omdat via de melding gecontroleerd kan worden of een verantwoordelijke gegevens verwerkt overeenkomstig de doeleinden die vóór de verwerking zijn geformuleerd. Om de betrokkene effectief in staat te stellen zijn rechten te verwerkelijken, moet hij dus op de hoogte zijn van de verwerking van hem betreffende gegevens. De bedreiging van de persoonlijke levenssfeer in onze huidige, steeds complexer wordende, en ook in toenemende mate virtuele informatiemaatschappij, bestaat echter juist uit de vele mogelijkheden om persoonsgegevens buiten medeweten van de betrokkene te verwerken.
Gelet op de toegenomen complexiteit van onze informatiemaatschappij, de versterkte bedreiging die daarvan uitgaat voor de persoonlijke levenssfeer, en de daardoor toegenomen noodzaak tot openheid en controleerbaarheid, zijn ondergetekenden van mening dat het dringend gewenst is om de bedragen van de geldboetes, die in het kader van een strafrechtelijke procedure kunnen worden opgelegd als een gegevensverwerking niet is gemeld, als een verwerking onjuist of onvolledig is gemeld of als wijzigingen niet (tijdig) zijn doorgegeven, te verhogen.
Als een derde land geen passend beschermingsniveau heeft, zijn er twee mogelijkheden om toch gegevens naar een dergelijk land te mogen doorgeven. Zo is doorgifte mogelijk op basis van een vergunning van de minister van Justitie. Aan een dergelijke vergunning worden nadere voorwaarden verbonden die als waarborg voor de bescherming van persoonsgegevens dienen. Daarnaast is doorgifte aan een derde land dat niet beschikt over een passend beschermingsniveau mogelijk indien er sprake is van een de uitzonderingen zoals genoemd in artikel 77, eerste lid, van de Wbp. Voorbeelden hiervan zijn het geval dat de betrokkene zijn ondubbelzinnige toestemming heeft gegeven voor doorgifte van zijn gegevens, de doorgifte noodzakelijk is voor de uitvoering van een overeenkomst tussen de betrokkene en de verantwoordelijke en wanneer de doorgifte noodzakelijk voor de vaststelling, de uitvoering of de verdediging in rechte van enig recht. Deze lijst met uitzonderingen wordt uitgebreid met de mogelijkheid van het gebruik van modelcontracten die goedgekeurd zijn door de Europese Commissie. Voorwaarde daarbij is uiteraard dat deze modelcontracten ongewijzigd worden overgenomen. Zowel het Cbp als Actal heeft er op gewezen dat een vergunning niet nodig is wanneer gebruikt wordt gemaakt van deze modelcontracten. Ook in het rapport Eerste fase evaluatie Wet bescherming persoonsgegevens is opgemerkt dat het vergunningvereiste bij gebruikmaking van modelcontracten wordt ervaren als een knelpunt (Rapport Eerste fase evaluatie Wet bescherming persoonsgegevens, p. 89 en p. 114–115).
De Europese Commissie heeft inmiddels twee modelcontracten goedgekeurd: een modelcontract voor doorgifte tussen twee verantwoordelijken waarvan de één gevestigd is in een EU-lidstaat en de ander buiten de EU (2004/915/EG, kennisgeving geschied onder nummer C(2004) 5271 (PbEU L 385, 29.12.2004, 74–84)), en 2) en een modelcontract voor doorgifte naar een bewerker in een derde land (2001/497/EG (PbEU L 181, 04.07.01, 19–31) en 2002/16/EG (PbEU L 6, 10.01.02, 52–62)). Informatie over de modelcontracten van de EC en het passend beschermingsniveau in derde landen is te vinden op de website van de Europese Unie.
Overeenkomstig de artikelen 25 en 26 van de richtlijn moeten de lidstaten van de Europese Unie bepalen dat persoonsgegevens slechts naar een derde land mogen worden doorgegeven indien dat land een passend beschermingsniveau waarborgt en de wetgeving van de lidstaat die is vastgesteld ter uitvoering van de andere bepalingen van deze richtlijn al vóór de doorgifte wordt nageleefd.
Het gegevensbeschermingsniveau dient te worden beoordeeld met inachtneming van alle omstandigheden waarin doorgifte van gegevens of categorieën van gegevens plaatsvindt en in het bijzonder dient rekening te worden gehouden met een aantal elementen die van belang zijn voor de doorgifte en in artikel 25, tweede lid, van de richtlijn zijn opgenomen. De Europese Commissie of de Raad van de Europese Unie kan vaststellen dat een derde land waarborgen voor een passend beschermingsniveau biedt. In dat geval kunnen persoonsgegevens zonder aanvullende garanties door de lidstaten worden doorgegeven. Gelet hierop heeft Nederland besloten om alle besluiten van de Europese Commissie of de Raad van de Europese Unie dat in een derde land sprake is van een passend beschermingsniveau zonder meer te erkennen.
De doorgifte van persoonsgegevens aan derde landen, waarvan de Europese Commissie of de Raad van de Europese Unie op enig moment heeft vastgesteld dat deze landen waarborgen voor een passend beschermingsniveau bieden, kan onder omstandigheden (en al dan niet tijdelijk) worden opgeschort.