Nieuwsbrief. Privacy en bescherming van persoonsgegevens. Inhoud

Transcriptie

1 Juli-Augustus 2012 Jaargang 2 Nieuwsbrief Privacy en bescherming van persoonsgegevens Inhoud -Richtsnoeren CBP voor kopietje paspoort ; te pas en te onpas wordt er een kopie van het paspoort gemaakt. -Wijziging drie besluiten Wbp; Vrijstellingsbesluit Wbp, Meldingsbesluit Wbp en Besluit kostenvergoeding rechten betrokkene Wbp. - Verzuimbedrijf handelde in strijd met de wet door de wijze waarop het bedrijf medische gegevens van zieke werknemers verzamelde ten behoeve van zijn opdrachtgevers. -Europese privacytoezichthouders publiceren opinie over cloud computing. IN DIT NUMMER -CBP richtsnoeren kopie paspoort Wijziging drie besluiten Wbp Verwerken van medische gegevens door verzuimbedrijf in strijd met de wet...7 -Europese opinie over cloud computing....7 Graven Juridisch Advies Bongaertslaan BB Heerlen info@gravenadvies.nl 1

2 Richtsnoeren CBP kopie paspoort Bedrijven en organisaties kopiëren steeds vaker het identiteitsbewijs van bijvoorbeeld klanten en relaties; het kopietje paspoort. Het op grote schaal kopiëren of scannen van identiteitsdocumenten brengt risico s met zich mee voor de persoonlijke levenssfeer van burgers, zoals identiteitsfraude. Mensen kunnen hiervan jarenlang financiële en maatschappelijke schade ondervinden. Een kopie maken van een paspoort, rijbewijs of identiteitskaart is dan ook op enkele uitzonderingen na bij wet verboden. Bedrijven en organisaties in de private sector kunnen in de meeste gevallen voor legitimatie volstaan met de vraag aan klanten om hun paspoort of ander identiteitsdocument te tonen. Om de regels te verduidelijken, heeft het College bescherming persoonsgegevens richtsnoeren opgesteld voor het overnemen van persoonsgegevens en het kopiëren/scannen van identiteitsdocumenten. De richtsnoeren bevatten ter illustratie veelvoorkomende situaties waarbij om een identiteitsbewijs wordt gevraagd, zoals onder meer bij hotels en sportscholen (voorbeelden op bladzijde 3,4 en 5). De richtsnoeren zijn op 12 juli jl. in werking getreden. Bij de vraag of persoonsgegevens van een identiteitsdocument mogen worden overgenomen, gekopieerd of gescand is het volgende van belang: Is het overnemen, kopiëren of scannen toegestaan? Voor het verzamelen en gebruiken van persoonsgegevens, dus ook voor het overnemen, kopiëren of scannen, moet een juridische basis (rechtmatigheidgrondslag) bestaan. Voor het bedrijfsleven is dat in de meeste gevallen een wettelijke verplichting nakomen dan wel een overeenkomst (contract) uitvoeren. Het bestaan van een wettelijke verplichting is relevant in bijvoorbeeld arbeidsrelaties en de financiële dienstverlening. Voor de uitvoering van een overeenkomst zal bij het opstellen van een contract vaak om adresgegevens worden gevraagd, bijvoorbeeld voor de aflevering van een bestelling. In een online situatie is bovendien een adres vereist. Een geboortedatum is voor een bestelling meestal niet nodig, tenzij een product bijvoorbeeld niet voor minderjarigen is bedoeld. Voor de uitvoering van bijvoorbeeld een abonnement of lidmaatschap zijn vaak betalingsgegevens nodig. De grondslag voor het verwerken van persoonsgegevens beperkt zich in deze gevallen tot het overnemen van de meest relevante gegevens. Een kopietje paspoort is in geen van deze gevallen nodig en mag niet worden gevraagd. Een kopie maken van een paspoort, rijbewijs of identiteitskaart is dan ook op enkele uitzonderingen na bij wet verboden. Het betreft hier de categorie verboden persoonsgegevens (BSN en persoonsgegevens betreffende iemands ras; pasfoto). 2

3 Leeftijdscontroles voor (sterke) drank Voor de naleving van de leeftijdsverificatie is het gerechtvaardigd dat bij twijfel over de leeftijd om een identiteitsdocument wordt gevraagd. Voor een controle op leeftijd kan worden volstaan met het tonen van een geldig identiteitsdocument. Het is niet noodzakelijk om persoonsgegevens te noteren of daarvan een kopie te maken. Leeftijdscontrole kan achterwege blijven als een klant of bezoeker evident ouder of jonger is dan de vereiste minimumleeftijd. Registratie van hotelgasten Hotels en andere nachtverblijven zijn op grond van het Wetboek van Strafrecht verplicht enkele gegevens van hun gasten te registreren aan de hand van een geldig identiteitsdocument. De verplicht te registreren gegevens betreffen het type identiteitsdocument, de naam van de gast, diens beroep of betrekking, zijn woonplaats en de dag van aankomst en vertrek. Deze gegevens moeten op aanvraag aan de politie kunnen worden getoond. Een kopie is daarvoor niet noodzakelijk. Arbeidsrelaties Een werkgever is op grond van de Wet op de Loonbelasting verplicht om bij indiensttreding van een nieuwe werknemer diens identiteit te controleren aan de hand van een geldig identiteitsdocument met uitzondering van een rijbewijs en dit op echtheid te controleren (verificatieplicht). De identiteit mag niet aan de hand van een kopie van een identiteitsdocument worden gecontroleerd! Na deze controle is de werkgever verplicht om een kopie van het gecontroleerde document inclusief burgerservicenummer (BSN) en pasfoto in zijn loonadministratie op te nemen en te bewaren (bewaarplicht). Dit ontslaat de individuele werknemer echter niet van zijn toonplicht als er een arbeidsinspectie op de werkvloer plaatsvindt. De werkgever dient ervoor te zorgen dat alle werknemers een geldig identiteitsdocument kunnen tonen (zorgplicht), bijvoorbeeld door opbergkluisjes aan werknemers ter beschikking te stellen. Identiteitscontrole bij financiële dienstverlening Sinds 1 augustus 2008 zijn de Wet identificatie bij (financiële) dienstverlening (Wid) en de Wet melding ongebruikelijke transacties (Wet MOT) samengevoegd in de Wet ter voorkoming van witwassen en financiering van terrorisme (WWFT). De WWFT gaat uit van een risicogeoriënteerde benadering: een financiële instelling moet zelf inschatten in hoeverre een financiële transactie risico s met zich meebrengt. Hoe groter dat risico, hoe meer onderzoek naar de (identiteit van de) cliënt wordt vereist. De financiële instelling kan als bewijs van de identificatieverplichting (reconstructieplicht) daarbij ook een afschrift (lees: kopie) van het gecontroleerde identiteitsdocument vastleggen en gedurende vijf jaar bewaren.. Lidmaatschap van een (sport) vereniging Een nieuw lid van een sportschool wordt bij zijn inschrijving gevraagd om verschillende persoonsgegevens, zoals zijn NAW-gegevens en betalingsgegevens om het lidmaatschapsgeld automatisch te kunnen afschrijven. In aanvulling hierop wordt vaak ook een geldig identiteitsdocument van het nieuwe lid gescand. Voorbeelden 3

4 4 Dit betreft vaak een voorwaarde om lid te kunnen worden. Dit is echter geen toelaatbare voorwaarde, omdat met het scannen van een identiteitsdocument ook het BSN wordt verwerkt. Dat is zonder wettelijke grondslag verboden en overigens ook niet noodzakelijk om lid te worden. Leveranciers of verkopers staat het in beginsel vrij om aan hun dienst of product voorwaarden te verbinden. Voordat een overeenkomst wordt aangegaan zeker als het kostbare producten betreft, langer lopende abonnementen of een koop op afstand zal een ondernemer (meer) zekerheid willen hebben over met wie hij zaken doet om (toekomstige) betalingen veilig te stellen. Daarvoor kan de ondernemer aanvullende informatie verlangen of voorwaarden stellen om bijvoorbeeld fraude te voorkomen of snel te laten opsporen. Dat betekent overigens niet dat het kopiëren of scannen van identiteitsdocumenten zomaar als voorwaarde gesteld kan worden. Kopiëren van identiteitsdocumenten door telecom en internetbedrijven Om enige zekerheid te hebben over de betaling van abonnementsgelden, kan een telecomaanbieder een kredietwaardigheidsonderzoek doen naar een potentiële nieuwe klant. Daarvoor heeft de ondernemer enkele persoonsgegevens nodig zoals NAW-gegevens en de leeftijd van de klant in geval van een minderjarige en kan hij de klant vragen om een geldig identiteitsdocument te tonen om diens identiteit deugdelijk vast te stellen. Zo nodig kan de ondernemer de aard van het identiteitsdocument en het documentnummer noteren. Het maken van een kopie of scan van zo n document is echter niet toegestaan; het BSN mag niet door een telecomaanbieder worden verwerkt en ook de pasfoto en andere gegevens op het document zijn voor zo n kredietwaardigheidsonderzoek niet noodzakelijk. In plaats van een kredietwaardigheidsonderzoek wordt ook wel de bankpas gecontroleerd en gevraagd om 0.01 te pinnen om aan te tonen dat de betaalrekening van de nieuwe klant actief is. Het kopiëren of scannen van de bankpas is niet noodzakelijk; door de betaling beschikt de ondernemer immers al over de nodige betaalgegevens, zoals het rekeningnummer en de tenaamstelling van de betaalrekening. Kopiëren van identiteitsdocumenten bij het huren of tijdelijk meenemen van een auto Voertuigenverhuurbedrijven die lid zijn van brancheorganisatie BOVAG kunnen bij de verhuur van een auto of voorafgaand aan een proefrit kopieën van identiteitsdocumenten maken. Voertuigenverhuurders worden regelmatig geconfronteerd met onwenselijke (criminele) gedragingen van huurders van onder meer auto s en motoren. Om deze voertuigcriminaliteit tegen te gaan, heeft BOVAG de bestaande zwarte lijst van de brancheorganisatie ELENA Waarschuwingssysteem uitgebreid met de mogelijkheid een kopie van de identiteitspapieren van de huurder te maken. Deze uitbreiding is opgenomen met als doel verbetering van het opsporen en vervolgen van verduistering van huurauto s. Binnen de Stichting Aanpak Voertuigcriminaliteit zijn hierover tussen de deelnemers waaronder BOVAG en het Openbaar Ministerie afspraken gemaakt. Deze afspraken zijn neergelegd in een circulaire van 11 februari 2009, die is vastgesteld in de Board Opsporing van de Raad van Hoofdcommissarissen.

5 Het CBP heeft na een voorafgaand onderzoek op 16 januari 2011 verklaard de door BOVAG gemelde verwerking van persoonsgegevens rechtmatig te achten. Voordat voertuigenverhuurders overgaan tot het maken van een kopie van een identiteitsdocument, dient een belangenafweging plaats te vinden of de kopie noodzakelijk is. Indien dit het geval is, dient het BSN te worden afgeschermd. Dat geldt ook voor de pasfoto, tenzij de huurder of proefritmaker uitdrukkelijke toestemming geeft voor het maken van een kopie zonder afscherming van de foto. Het bedrijf treft passende technische en organisatorische maatregelen voor het beveiligen van gemaakte kopieën. Zodra de huurder of proefritmaker het voertuig veilig retourneert, worden de kopieën teruggegeven of vernietigd. Voordat voertuigenverhuurders overgaan tot het maken van een kopie van een identiteitsdocument, dient een belangenafweging plaats te vinden of de kopie noodzakelijk is. 5

6 Wijziging drie besluiten Wbp Per 1 juli 2012 zijn drie besluiten die te maken hebben met de Wet bescherming persoonsgegevens op een aantal punten aangepast. Vrijstellingsbesluit Wbp Het Vrijstellingsbesluit Wbp regelt welke verwerkingen van persoonsgegevens zijn vrijgesteld van de wettelijke meldingsplicht bij het CBP of, als een organisatie deze heeft aangesteld, de functionaris voor de gegevensbescherming (FG). De wijzigingen van het Vrijstellingsbesluit Wbp zijn in drie categorieën onder te verdelen: 1.Uitbreiding van het aantal vrijstellingen van de meldingsplicht. Dit houdt in dat enkele van de al bestaande artikelen in het Vrijstellingsbesluit Wbp zijn aangevuld. In het bijzonder de wijziging van artikel 38 Vrijstellingsbesluit Wbp (videocameratoezicht) is van belang. De in het artikel opgenomen bewaartermijn voor camerabeelden van 24 uur is vervangen door vier weken. 2.Aanpassing aan de maatschappelijke (technologische) ontwikkelingen. Door deze wijzigingen in het Vrijstellingsbesluit Wbp worden onnodige belemmeringen in de ontwikkeling van inmiddels algemeen gebruikelijke ICT-toepassingen als intranet en persoonlijke websites en weblogs zo veel mogelijk opgeheven. Het gevolg hiervan is dat twee nieuwe vrijstellingen zijn opgenomen in het Vrijstellingsbesluit Wbp, te weten artikel 38a Intranet en artikel 38b Persoonlijke websites. 3.Verruiming van de vrijstelling van de meldingsplicht voor gegevensverkeer met derde landen. Voortaan zijn ook vrijgesteld van de meldingsplicht (artikel 44): -doorgifte van persoonsgegevens naar een land binnen de Europese Economische Ruimte; -doorgifte aan de Verenigde Staten in overeenstemming met de zogeheten Safe Harbor Principles; -doorgifte met een vergunning die betrekking heeft op een intern bindende gedragscode (BCR). Meldingsbesluit Wbp In het nieuwe tweede lid van artikel 2 van het Meldingsbesluit Wbp is een voorziening getroffen voor vereenvoudiging van de meldingsplicht voor grote ondernemingen. Onder bepaalde voorwaarden kan een melding die betrekking heeft op verwerkingen door of voor meer dan één verantwoordelijke geschieden door één van deze verantwoordelijken. Besluit kostenvergoeding rechten betrokkene Wbp Het besluit leidt tot aanpassing van de maximumbedragen van de vergoeding die een verantwoordelijke op grond van artikel 39 Wbp aan de betrokkene kan vragen wanneer deze een inzageverzoek heeft gedaan. Verder is een expliciete regeling getroffen voor de vergoeding van afdrukken van röntgenfoto s. 6

7 . Gegevens van zieke werknemers Het CBP heeft na onderzoek geconcludeerd dat het verzuimbedrijf Verzuimreductie in strijd met de wet handelde door de wijze waarop het bedrijf medische gegevens van zieke werknemers verzamelde ten behoeve van zijn opdrachtgevers, de werkgevers. Uit het onderzoek blijkt dat zogeheten casemanagers van het verzuimbedrijf allerhande medische persoonsgegevens opvroegen en daarbij verder gingen dan noodzakelijk was voor de verzuimbegeleiding van de zieke werknemers. Bovendien is gebleken dat de verzamelde medische informatie vaak ook toegankelijk was voor de werkgevers. Een werkgever - of een in zijn opdracht werkend verzuimbureau - mag in het kader van de verzuimbegeleiding van zieke werknemers een beperkt aantal noodzakelijke medische persoonsgegevens verwerken. Dit betreft onder meer gegevens over de verwachte duur van het verzuim en de mate waarin een werknemer arbeidsongeschikt is. Het CBP heeft geconcludeerd dat Verzuimreductie meer medische gegevens verzamelde dan noodzakelijk is voor de verzuimbegeleiding en re-integratie van de zieke werknemer. Dat is in strijd met de wet. Medische gegevens zijn bijzondere persoonsgegevens en voor het verwerken daarvan gelden extra wettelijke eisen. Zorgvuldige omgang met medische gegevens is een van de speerpunten van het CBP in De Europese privacytoezichthouders, verzameld in de Artikel 29 werkgroep, hebben een opinie over cloud computing aangenomen. Cloud computing is de verzamelnaam voor technologieën en diensten die gericht zijn op het gebruik van IT-applicaties, rekenkracht en opslag op afstand via internet. In de opinie analyseren de Europese privacytoezichthouders alle relevante privacykwesties rondom het gebruik van cloud computing. De opinie adresseert daarbij zowel de verantwoordelijke bedrijven en organisaties die persoonsgegevens (laten) verwerken als de aanbieders van clouddiensten met klanten die opereren in de Europese Economische Ruimte (EER). Bedrijven en (overheids) organisaties die gebruik willen maken van cloud computing zouden moeten beginnen met het maken van een uitgebreide risicoanalyse, zo luidt de belangrijkste conclusie in de opinie. Alle aanbieders die clouddiensten aanbieden in de EER moeten hun klanten goed informeren zodat deze de voor- en nadelen van cloud computing kunnen afwegen voordat zij besluiten hiervan gebruik te maken. Beveiliging, transparantie en rechtszekerheid voor de klant zijn essentiële elementen van de informatie die wordt gegeven bij het aanbieden van clouddiensten. Europese opinie over cloud computing 7

8 Graven Juridisch Advies is een zelfstandig en onafhankelijk adviesbureau op het gebied van privacy en bescherming van persoonsgegevens. Voor meer informatie neem contact op met mr. Charlotte Graven op of stuur een naar Opdrachtgevers privacy gemeenten - Gemeente Sittard-Geleen - Gemeente Valkenburg aan de Geul - Gemeente Maastricht - Gemeente Vaals - Gemeente Venlo - Gemeente Simpelveld - Regionale Sociale Dienst Pentasz Mergelland - Gemeente Eijsden-Margraten - Gemeente Gulpen-Wittem - ISD BOL (Intergemeentelijke Sociale Dienst Brunssum Onderbanken Landgraaf) - Gemeente Beek - Gemeente Roermond - RIEC Limburg - Gemeente Onderbanken - Gemeente Brunssum - Gemeente Stein - Gemeente Maasgouw - Gemeente Weert - Gemeente Nederweert Graven Juridisch Advies Bongaertslaan BB Heerlen Telefoonnummer: of adres: info@gravenadvies.nl 8 Disclaimer: De inhoud van deze Nieuwsbrief is van informatieve aard en kan niet worden beschouwd als een juridisch advies in welke vorm dan ook. Ondanks de zorgvuldige samenstelling van de inhoud van deze nieuwsbrief kan Graven Juridisch Advies geen enkele aansprakelijkheid aanvaarden voor schade, direct dan wel indirect, ten gevolge van eventuele fouten of vergissingen. Dit geldt zowel ten aanzien van de eigen content als ten aanzien van de door Graven Juridisch Advies aangeboden content die afkomstig is van derden.