POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Prins Clauslaan 20 TEL FAX INTERNET AAN Bedrijf A DATUM 4 oktober 2002 CONTACTPERSOON UW BRIEF VAN UW KENMERK ONDERWERP Ambtshalve onderzoek door CBP; bevindingen Bij brief van 3 december 2001 heeft het College bescherming persoonsgegevens (CBP) u op de hoogte gesteld van ingesteld onderzoek naar de verwerking van persoonsgegevens door uw bedrijf dat verwantschapstests met genetisch materiaal via internet aanbiedt (hierna Bedrijf A). Op 7 januari 2002 ontving het CBP uw brief waarin u antwoord geeft op de door het CBP in zijn brief gestelde vragen. Op verzoek van het CBP heeft u aanvullend uitleg gegeven over de wijze waarop de uitslag van een vaderschapstest wordt gerapporteerd aan de aanvrager. Een dergelijke test wordt door Bedrijf A bedrijfsmatig uitgevoerd. Omdat meerdere bedrijven met soortgelijke bedrijfsvoering als Bedrijf A bij het ambtshalve onderzoek betrokken zijn heeft de afronding van het onderzoek extra tijd gevergd. Bij brief van 20 juni 2002 deelde het CBP u zijn voorlopige bevindingen mee. Uitgangspunt was de door u toegezonden informatie, de informatie die beschikbaar is op uw website en de telefonisch door u verstrekte informatie. Op 4 augustus 2002 heeft u schriftelijk gereageerd op de voorlopige bevindingen. U geeft in uw reactie aan uw bedrijfsvoering aan te zullen passen aan de aanbevelingen van het CBP. De aanbevelingen door het CBP in de brief van 20 juni 2002 zijn echter juridisch verder strekkend dan de door u geformuleerde aanpassingen. Het CBP gaat er van uit dat u ook de aanbevelingen die niet aan bod komen in uw reactie zult opvolgen en wijst u voor de volledige uiteenzetting van de gedane aanbevelingen naar het onderstaande. In de conclusie van deze brief staan de aanbevelingen nogmaals overzichtelijk opgesomd onder het subkopje aanbevelingen. U kunt als u wilt de formulering zoals die door het CBP gebruikt is in de conclusie, overnemen in de verklaring die u aan de aanvragers zult toesturen. Op die manier kunt u er vanuit gaan dat het door u opgestelde, juridisch gezien van dezelfde betekenis is als hetgeen door het CBP is aanbevolen om de verwerking van gegevens door Bedrijf A in overeenstemming te brengen met wettelijke normen. Mocht u hieromtrent vragen hebben dan staat het CBP u graag te woord. Indien u de aanbevelingen niet volledig zult overnemen dan verwacht het CBP daaromtrent uw schriftelijke reactie. Het CBP ziet voorts met belangstelling het resultaat van de door u gemaakte aanpassingen tegemoet. BIJLAGEN BLAD 1

2 Het CBP ziet in uw reactie geen aanleiding om zijn voorlopige bevindingen inhoudelijk te wijzigen en komt in deze brief dan ook tot bevestiging daarvan. In de conclusie heeft het CBP een enkele verhelderende aanpassing op de formulering gemaakt. Relevante feiten Bedrijf A is een bedrijf dat onder andere via internet verwantschapstests aanbiedt. Een aanvraag voor een verwantschapstest kan worden gedaan via internet, per post of telefoon. Op een aanvraagformulier vult men enkele persoonsgegevens in. Ook het overige contact met de aanvrager verloopt via , post en/of telefoon. Ten behoeve van de bedrijfsvoering wordt lichaamsmateriaal(wangslijm) van cliënten doorgestuurd naar en getest in het laboratorium C om met grote zekerheid verwantschap tussen verschillende personen aan te tonen of dit met zekerheid uit te sluiten. In de meeste gevallen gaat het daarbij om vaderschapstests. Laboratorium C is mede eigenaar van Bedrijf A. Op aanvraag van een dergelijke test worden in beginsel testkits toegezonden aan de aanvrager waarmee wangslijm kan worden afgenomen bij degenen die zullen deelnemen aan de test. Van het lichaamsmateriaal worden door het laboratorium DNA-profielen afgeleid op basis waarvan de verwantschapsbepaling wordt gedaan. De uitslagen van de tests worden door het laboratorium gestuurd aan de aanvragers. De testrapporten worden in het laboratorium bewaard met de gegevens van de betreffende aanvragers. Deze dossiers worden op dit moment minimaal 5 jaar bewaard. Op korte termijn wil men de dossiers gaan bewaren volgens ISO standaarden voor laboratoria. Het verkregen lichaamsmateriaal wordt door Laboratorium C bewerkt op naam en direct na afloop van de test vernietigd. Voor een vaderschapstest is het voldoende als alleen de vermeende vader en het kind lichaamsmateriaal afstaan voor de test. Dit komt dan ook regelmatig voor. Maar ook de situatie waarbij zowel de vermeende vader, het kind als de moeder deelnemen aan de test komt geregeld voor. De website bevat uitgebreide informatie. Evenwel is de informatie betreffende de omgang met persoonsgegevens summier en in algemene bewoording. In een privacystatement is opgenomen dat samples na de test worden vernietigd en dat ze niet worden gebruikt voor andere tests. Tevens zou na betaling de naam van de aanvrager worden omgezet in een nummer. Elders op de site wordt aangegeven dat al het testmateriaal en informatie na de test wordt vernietigd. Wat nu precies bedoeld en welke werkwijze gehanteerd wordt, is onduidelijk, mede omdat uit telefonisch contact met u blijkt dat testresultaten op naam worden bewaard bij Laboratorium C in de dossiers van de betreffende aanvragers. Toetsing aan wettelijk kader Op de verwerking van persoonsgegevens door Bedrijf A, en in opdracht van Bedrijf A door Laboratorium C is de Wet bescherming persoonsgegevens (WBP) van toepassing. Bedrijf A en Laboratorium C verwerken volgens het CBP als mede-verantwoordelijken persoonsgegevens die in een al dan niet geautomatiseerd bestand zijn opgenomen of daarin worden opgenomen. De verwerking dient derhalve plaats te vinden in overeenstemming met alle toepasselijke, bij WBP gestelde regels. BLAD 2

3 Het CBP beschouwt lichaamsmateriaal als een bron van persoonsgegevens betreffende erfelijke eigenschappen. Het ontsluiten van celmateriaal en in het verlengde daarvan het maken van DNAprofielen kan worden gezien als verkrijging of verdere verwerking van (persoons)gegevens betreffende erfelijke eigenschappen. In hoeverre deze gegevens persoonsgegevens zijn hangt af van de context van de verwerking. Gegevens betreffende erfelijke eigenschappen zijn identificerend vanaf het moment dat er een referentiemogelijkheid is of ze samengebracht worden met andere persoonsgegevens. In casu wordt het lichaamsmateriaal onder naam bewerkt. Er vindt dus een verkrijging van persoonsgegevens betreffende erfelijke eigenschappen plaats, en vervolgens een verdere verwerking. Ook de testrapporten die op naam door het laboratorium worden opgesteld bevatten persoonsgegevens betreffende erfelijke eigenschappen. Deze rapporten worden tezamen met het, mede onder verantwoordelijkheid van Bedrijf A, door Laboratorium C bijgehouden dossier van cliënten bewaard. Gegevens betreffende erfelijke eigenschappen vallen onder het bijzondere regime van de WBP. Paragraaf 2 van hoofdstuk 2 van de WBP is daarom van toepassing op de verwerking van deze gegevens. In deze paragraaf vallen erfelijkheidsgegevens, onverminderd het specifiek bepaalde in artikel 21 lid 4 WBP, onder de gegevens betreffende iemands gezondheid. Verwerking van gezondheidsgegevens is op grond van artikel 21 lid 1 WBP voorbehouden aan met name genoemde categorieën van instellingen of personen, voor bepaalde omschreven taken. Bedrijf A valt niet onder deze limitatief genoemde categorieën. Voorzover verwerking van die gegevens overigens is toegelaten, rekening houdend met het bepaalde in artikel 21 lid 4, vindt men daartoe een grondslag in artikel 23 WBP. Artikel 21 lid 4 stelt dat erfelijkheidsgegevens slechts verwerkt mogen worden voorzover deze verwerking plaatsvindt met betrekking tot de betrokkene bij wie de betreffende gegevens zijn verkregen tenzij van in dat lid omschreven uitzonderingsgevallen sprake is. Van die uitzonderingsgevallen is in het geval van Bedrijf A geen sprake. Uit artikel 23 WBP volgt nu in samenhang met artikel 21 lid 4 WBP, voorzover van toepassing op Bedrijf A, dat erfelijkheidsgegevens slechts verwerkt mogen worden met betrekking tot de betrokkene bij wie de betreffende gegevens zijn verkregen wanneer het bedrijf daarvoor tevens uitdrukkelijke toestemming van die betrokkene heeft. Uit de gang van zaken, zoals die hierboven onder relevante feiten is beschreven, blijkt niet dat Bedrijf A zich van deze bijzondere restrictie ten aanzien van lichaamsmateriaal bewust is. Bedrijf A laat de noodzakelijke inspanningen achterwege om zich, voorzover dit binnen haar vermogen ligt, er van te vergewissen dat het bijzondere voorschrift van artikel 21 lid 4 WBP wordt nageleefd. De meest vergaande werkwijze hierbij zou zijn dat het lichaamsmateriaal ten behoeve van de test onder toezicht van Bedrijf A wordt afgenomen. Daar deze werkwijze waarschijnlijk op grote praktische bezwaren zal stuiten, betekent dit dat naar een oplossing moet worden gezocht die het karakter van dienstverlening door middel van zelftests niet aantast, maar het dwingende karakter van de bijzondere bepaling met betrekking tot het verwerken van erfelijkheidsgegevens niettemin recht doet. Het CBP adviseert wat dit punt betreft een werkwijze waarbij de aanvrager op passende wijze over het wettelijke regime wordt geïnformeerd en hij uitdrukkelijk verklaart dat het door hem ingezonden lichaamsmateriaal van hem afkomstig is. BLAD 3

4 In het kader van het toestemmingsvereiste is het van belang dat al diegenen die uitdrukkelijke toestemming moeten verlenen voldoende en juist geïnformeerd zijn. Toestemming kan immers pas uitdrukkelijk gegeven worden, wanneer iemand over alle relevante informatie beschikt die van invloed kan zijn op het geven van de toestemming. Ten overvloede wijst het CBP u erop dat informatie juist dient te zijn, en er enige mate van continuïteit moet zijn in de praktijk waarop die informatie betrekking heeft. Uiteraard zijn aanpassingen in de werkwijze ten gunste van de bescherming van persoonsgegevens mogelijk. Er mag echter niet ten nadele worden afgeweken van een door u ten opzichte van een aanvrager onderstelde werkwijze, waarop de toestemming van die aanvrager mogelijk mede gebaseerd is. Bovendien is het in dit kader van belang dat er regelmatig minderjarige kinderen onder de betrokkenen zijn. In plaats van de toestemming van een betrokkene onder 16 jaren is die van zijn wettelijk vertegenwoordiger vereist op grond van artikel 5 WBP. Die wettelijk vertegenwoordiger kan in beginsel elke met gezag belaste ouder of voogd zijn. In geval van gezamenlijke gezagsuitoefening is op grond van 1:253 i Burgerlijk Wetboek (BW) één ouder alleen bevoegd het kind te vertegenwoordigen, mits van bezwaren van de andere ouder niet gebleken is. Het gaat in het kader van deze zelftests vaak om vaststelling van het biologische vaderschap. Juist in deze situaties kan niet aangenomen worden dat wanneer een van de ouders toestemming verleent voor zijn kind om een verwantschapstest uit te voeren, de andere ouder daar altijd mee instemt. Het is zeer wel voorstelbaar dat de andere ouder bezwaar zou hebben tegen een verwantschapstest. Mede in het licht van artikel 6 WBP, dat stelt dat persoonsgegevens op behoorlijke en zorgvuldige wijze verwerkt worden, is het voor een juiste toepassing van artikel 5 WBP in casu volgens het CBP noodzakelijk dat niet van bezwaar van een andere gezaghebbende ouder of voogd gebleken is, bij de uitvoering van een dergelijke test. Om bezwaar te kunnen uiten zal iemand echter op de hoogte moeten zijn. Omdat Bedrijf A niet kan controleren wie er op de hoogte zijn van de uitvoering van een bepaalde test, zal zij in voorkomende gevallen een schriftelijke verklaring moeten verlangen van de wettelijke vertegenwoordiger waarin deze verklaart dat de andere gezaghebbende ouder of voogd geen bezwaar heeft tegen uitvoering van de test bij het kind. De exoneratieclausule op de webpagina van Bedrijf A, waarin gesteld wordt dat de opdrachtgever verantwoordelijk is voor toesturen van het juiste lichaamsmateriaal, kan hooguit een extra aansprakelijkheid voor de opdrachtgever in het leven kan roepen, en is volgens het CBP geen oplossing om aan de verplichtingen die voor Bedrijf A volgen uit artikel 21 lid 4, artikel 23 in samenhang met artikel 5 en artikel 6 WBP te voldoen. Voor de rechtmatigheid van een bepaalde verwerking is het overigens ook van belang dat persoonsgegevens niet langer worden bewaard dan noodzakelijk voor het doel van de verwerking. De vraag die daarbij in casu speelt is of het noodzakelijk is dat gegevens over betrokkenen na afronding van de tests en afhandeling van de rapportage aan de cliënt nog langer (identificerend) worden bewaard. Passende maatregelen zijn verder noodzakelijk om de veiligheid van deze bijzondere persoonsgegevens bij de verwerking (het bewaren valt daar in de WBP ook onder) te waarborgen. BLAD 4

5 Conclusie Bedrijf A spant zich onvoldoende in om de naleving van artikel 21 lid 4 WBP (erfelijkheidsgegevens mogen slechts worden verwerkt met betrekking tot de betrokkene bij wie de betreffende gegevens zijn verkregen) te waarborgen. Daarnaast is in de door Bedrijf A gevolgde procedure niet gebleken van uitdrukkelijke toestemming van alle betrokkenen bij wie de betreffende gegevens zijn verkregen voor de verwerking van hun bijzondere persoonsgegevens. Niet gebleken is bovendien dat Bedrijf A deze betrokkenen voldoende en eenduidige informatie verschaft die nodig is voor het verlenen van uitdrukkelijke toestemming. Evenmin voorziet de procedure in de voorgeschreven toestemming bij deelname van personen onder de 16 jaren door een wettelijk vertegenwoordiger. Aanbevelingen Om te voldoen aan deze verplichtingen beveelt het CBP u aan om voor de uitvoering van elke verwantschapstest een verklaring te laten ondertekenen door de aanvrager(s) en alle andere betrokkenen bij de test van 16 jaren of ouder, waarin zij uitdrukkelijk verklaren dat het wangslijm dat zij insturen van henzelf afkomstig is en dat zij toestemming verlenen tot deelname aan deze test. Wanneer een test wordt aangeboden waaraan kinderen onder de 16 jaren zullen deelnemen, dan zal tevens een schriftelijke verklaring nodig zijn van een wettelijk vertegenwoordiger waarin die toestemming verleent voor de deelname door dat kind en verklaart dat het ingestuurde materiaal van het kind afkomstig is. In die verklaring zou tevens tot uitdrukking gebracht moeten worden of er andere met het gezag beklede wettelijk vertegenwoordigers zijn, en zo ja dan zal aanvrager moeten verklaren dat deze geen bezwaar hebben tegen de uitvoering van de test, alvorens deze door Bedrijf A in behandeling genomen kan worden. Daarnaast zal Bedrijf A op gepaste wijze de betrokkenen moeten informeren (over de wijze waarop Bedrijf A omgaat met persoonsgegevens en over het wettelijk regime), zodat men over alle informatie beschikt die nodig is om tot uitdrukkelijke toestemming en weloverwogen afgifte van hiervoor beschreven verklaringen te kunnen komen. Tevens vraagt het CBP u zich te beraden over de bewaartermijn van persoonsgegevens, aan de hand van het hierboven, onderaan pagina 4, daarover gestelde. Tot slot heeft u de persoonsgegevensverwerking door Bedrijf A, voorzover het CBP heeft kunnen nagaan, nog niet gemeld bij het CBP. Op grond van artikel 27 WBP in samenhang met artikel 79 WBP was u verplicht de gegevensverwerking (opnieuw) te melden voor 1 september Het CBP dringt er bij u op aan de melding zo spoedig mogelijk alsnog te doen. Op de website van het CBP vindt u verdere informatie over de wijze van melding. Het CBP vertrouwt erop u voldoende te hebben geïnformeerd. Hoogachtend, mr. U. van de Pol Collegelid BLAD 5