de Minister van VWS, de heer dr. A. Klink Postbus EJ DEN HAAG Advies inzake Tijdelijke regeling WMG Geachte heer Klink,

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Juliana van Stolberglaan 4-10 TEL FAX INTERNET AAN de Minister van VWS, de heer dr. A. Klink Postbus EJ DEN HAAG DATUM 6 juni 2007 CONTACTPERSOON UW BRIEF VAN 3 oktober 2006 UW KENMERK MC ONDERWERP Advies inzake Tijdelijke regeling WMG Geachte heer Klink, Bij brief van 3 oktober 2006 heeft uw voorganger het College bescherming persoonsgegevens (CBP) gevraagd te adviseren over de Tijdelijke regeling categorieën persoonsgegevens WMG, die op 4 november 2006 in werking is getreden (met terugwerkende kracht tot en met 1 oktober 2006). Hoewel het CBP op grond van artikel 51 lid 2 van de Wet bescherming persoonsgegevens (Wbp) geen adviestaak heeft ten aanzien van ministeriële regelingen, is in een eerder stadium afgesproken dat het CBP om advies zou worden gevraagd over deze regeling. Helaas is de regeling niet aan het CBP voorgelegd voordat deze in werking is getreden. Hiermee samenhangend is, zo blijkt uit bovengenoemde brief, gekozen voor een regeling met een tijdelijk karakter. Na verwerking van het advies van het CBP en de ervaringen van de NZa zal een definitieve regeling in de plaats van de tijdelijke treden. In verband met het voorgaande heeft het CBP besloten aan andere werkzaamheden voorrang te geven, zoals ook op ambtelijk niveau met uw ministerie is gecommuniceerd, zodat eerst nu tot advisering wordt overgegaan. Het CBP concludeert in het als bijlage 1 bij deze brief gevoegde advies dat de voorgelegde tijdelijke regeling op essentiële punten niet voldoet aan de eisen van de Wbp. Het betreft met name het ontbreken van een grondslag voor verschillende verwerkingen van (bijzondere) persoonsgegevens en het ontbreken van een dragende motivering van de noodzaak voor deze verwerkingen. In bijlage 2 bij deze brief besteedt het CBP aandacht aan de motivering van de noodzaak bij een aantal bepalingen uit de regeling. In het advies beoordeelt het CBP niet alleen de regeling die voorligt, maar onvermijdelijk ook de WMG waarop de regeling is gebaseerd. Het CBP gaat ervan uit dat de WMG en de regeling op zo kort mogelijke termijn in overeenstemming met dit advies worden aangepast, teneinde de wet en de regeling in overeenstemming te doen zijn met de Wbp. BIJLAGEN BLAD 1

2 Ik vertrouw erop u hiermee van dienst te zijn en verneem graag uw reactie op dit advies. Hoogachtend, Het College bescherming persoonsgegevens, Voor het College, mw. mr. dr. J. Beuving collegelid BLAD 2

3 Bijlage 1: advies CBP inzake de Tijdelijke regeling categorieën persoonsgegevens WMG Het CBP richt zich bij zijn toetsing van de Tijdelijke regeling categorieën persoonsgegevens WMG (hierna: regeling) op de gevolgen van het voorstel voor de bescherming van persoonsgegevens. In dit advies zal het CBP niet alleen ingaan op de regeling die voorligt. Onlosmakelijk verbonden met deze regeling is de WMG, waarop de regeling is gebaseerd. Het CBP heeft in zijn advies over de WMG 1 meerdere kritische opmerkingen gemaakt over het verwerken van bijzondere persoonsgegevens, welke niet tot wijziging van het wetsvoorstel hebben geleid. De WMG bevat derhalve nog steeds dezelfde onrechtmatigheden, welke ertoe leiden dat ook de regeling zoals thans vorm gegeven niet in stand kan blijven. Het betreft hier met name het ontbreken van een grondslag en het ontbreken van een dragende motivering van de noodzaak om voorgestelde (bijzondere) persoonsgegevens te verwerken. Dit leidt ertoe dat het CBP de Minister adviseert de WMG op een aantal punten aan te passen, teneinde de WMG en de regeling in overeenstemming te brengen met de Wbp. Voorts adviseert het CBP de regeling op onderdelen aan te passen en in de toelichting een dragende motivering te geven voor de noodzaak van de verschillende voorgestelde verwerkingen van (bijzondere) persoonsgegevens. 1. Inhoud van de regeling De onderhavige regeling is de regeling als bedoeld in artikel 65 WMG, waarin de Minister dient aan te geven: a. welke van de in artikel 60 WMG onderscheiden categorieën van persoonsgegevens noodzakelijk zijn voor de uitoefening van de in de regeling aangewezen taken en bevoegdheden van de zorgautoriteit; b. welke van de in artikel 60 WMG onderscheiden categorieën van persoonsgegevens de zorgautoriteit mag verstrekken aan de in artikel 70 WMG genoemde instanties ten behoeve van de uitvoering van hun taken en bevoegdheden. 2. Juridisch kader De regeling dient te voldoen aan artikel 8 EVRM alsmede aan de Wbp, welke uitvoering geeft aan Richtlijn 95/46/EG, en aanverwante wetgeving zoals de Wet inzake de Geneeskundige Behandelingsovereenkomst, opgenomen in het Burgerlijk Wetboek (BW), waarin het medisch beroepsgeheim is verankerd. Het opvragen van persoonsgegevens, het gebruiken en verstrekken aan derden van deze persoonsgegevens vallen alle onder de reikwijdte van het begrip verwerken van persoonsgegevens in de zin van de Wbp. Voor het verwerken van persoonsgegevens is onder meer een grondslag als bedoeld in artikel 8 Wbp vereist, waarbij moet zijn voldaan aan de eisen van noodzakelijkheid en doelbinding. Deze houden kort gezegd in dat persoonsgegevens slechts 1 Advies van 13 april 2005, kenmerk: z BLAD 3

4 mogen worden verwerkt indien én voor zover dit noodzakelijk is om het beoogde doel te bereiken alsmede dat het verder verwerken van persoonsgegevens slechts is toegestaan indien die verdere verwerking niet onverenigbaar is met de doeleinden waarvoor de persoonsgegevens zijn ontvangen (artikelen 8 en 9 Wbp). Het verwerken van bijzondere persoonsgegevens is aan strengere regels gebonden. De Wbp verbiedt het verwerken van bijzondere persoonsgegevens (artikel 16 Wbp), tenzij sprake is van een van de in de Wbp opgesomde ontheffingen van dat verbod (artikel 17 t/m 23 Wbp). Bijzondere persoonsgegevens zijn onder meer persoonsgegevens betreffende de gezondheid (hierna: medische persoonsgegevens) en strafrechtelijke persoonsgegevens en persoonsgegevens over onrechtmatig of hinderlijk gedrag in verband met een opgelegd verbod naar aanleiding van dat gedrag (hierna gezamenlijk aan te duiden als: strafrechtelijke persoonsgegevens). Medische persoonsgegevens mogen slechts worden verwerkt indien een ontheffing wordt gevonden in artikel 21 Wbp dan wel artikel 23 Wbp en strafrechtelijk persoonsgegevens mogen slechts worden verwerkt indien een ontheffing wordt gevonden in artikel 22 of 23 Wbp. Mogelijk kan voor het verwerken van medische persoonsgegevens in het kader van de WMG soms een ontheffing worden gevonden in artikel 21, eerste lid, sub a of b Wbp. Voor het verwerken van strafrechtelijke persoonsgegevens in het kader van de WMG kan mogelijk soms een ontheffing worden gevonden in artikel 22, eerste lid, Wbp. Voor zover de bijzondere persoonsgegevens worden verwerkt met uitdrukkelijke toestemming van de betrokkene, is de ontheffing gelegen in artikel 23 lid 1 sub a Wbp. In de meeste, zo niet alle gevallen waarin bijzondere persoonsgegevens worden verwerkt bij de uitvoering van de WMG, is echter een ontheffing op grond van artikel 23 lid 1 sub e Wbp nodig. Dit artikellid bepaalt dat het verbod om bijzondere persoonsgegevens te verwerken niet van toepassing is voor zover dit noodzakelijk is met het oog op een zwaarwegend algemeen belang, passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer, en dit bij wet wordt bepaald. 2 Bij de implementatie van artikel 8 lid 4 van Richtlijn 95/46 EG in artikel 23 lid 1 sub e Wbp is er uitdrukkelijk voor gekozen dat de grondslag moet worden gecreëerd bij wet in formele zin. De grondslag dient mede gelet op artikel 8 EVRM en artikel 10 Grondwet voldoende specifiek te zijn. Ook dient de noodzakelijkheid van de verwerking door de formele wetgever te worden onderbouwd en moeten passende waarborgen worden geboden ter bescherming van de persoonlijke levenssfeer. Dit is in het bijzonder van belang indien de bepaling er tevens op is gericht het medisch beroepsgeheim te doorbreken. De bepaling moet de hulpverleners verplichten om nader bepaalde medische gegevens te verstrekken, opdat hulpverleners hun beroepsgeheim mogen doorbreken. Bij besluit of ministeriële regeling mag slechts de uitvoering van de bepaling nader worden geregeld. 3. Beoordeling regeling 2 De in artikel 23 lid 1 sub e Wbp genoemde mogelijkheid dat het College ontheffing verleent is in dit kader niet aan de orde en ook niet mogelijk. BLAD 4

5 Het CBP heeft er reeds in zijn advies over de WMG 3 op gewezen dat voor verwerking van bijzondere persoonsgegevens een specifieke grondslag in een wet in formele zin, in dit geval de WMG, noodzakelijk is. Daarbij dient de formele wetgever de noodzakelijkheid van deze verwerking van persoonsgegevens te onderbouwen. Een algemene maatregel van bestuur (AMvB) of ministeriële regeling kan geen zelfstandige grondslag bieden voor het verwerken van bijzondere persoonsgegevens. Wel kunnen binnen het door de formele wetgever aangegeven kader bij AMvB of ministeriële regeling regels worden gesteld omtrent uitvoeringsaspecten die samenhangen met een dergelijke verwerking. Dit betekent dat, voor zover geen van de ontheffingen uit de artikelen 21 en 22 Wbp van toepassing is op het verwerken van bijzondere persoonsgegevens bij de uitvoering van de WMG, deze verwerking een voldoende specifieke grondslag moet hebben in de WMG zelf, en dat in de regeling slechts regels kunnen worden gesteld omtrent uitvoeringsaspecten met betrekking tot deze verwerking. Ook bij lagere regelgeving dient de noodzaak voor het verwerken van (bijzondere) persoonsgegevens, als de regelgeving daarop is gericht, dragend te worden gemotiveerd. Niet kan worden volstaan met een globale redengeving. Het CBP zal hieronder in de punten 3.1 tot en met 3.6 ingaan op gebreken die het in de bestaande grondslagen constateert. In de punten 3.7 en 3.8 zal worden ingegaan op het gebrek aan motivering van de noodzaak in de voorliggende regeling. 3.1 De grondslag in artikel 2 van de regeling Het CBP maakt uit de toelichting op dat aangenomen wordt dat de artikelen 65 jo. 60 en 61 WMG een grondslag bieden voor het verwerken van bijzondere persoonsgegevens, die in de voorliggende regeling nader wordt ingevuld door een limitatieve opsomming te geven van de (bijzondere) persoonsgegevens die ter uitvoering van verschillende artikelen in de WMG noodzakelijk zijn. 4 De artikelen 65 jo. 60 WMG, en artikel 61 WMG bieden echter geen voldoende grondslag voor de verwerking van bijzondere persoonsgegevens, aangezien deze bepalingen hiervoor niet voldoende specifiek zijn en ook de noodzaak van die verwerking niet is onderbouwd. Voor de verschillende in de regeling genoemde bepalingen uit de WMG moet dan ook (zoals volgt uit het juridisch kader) worden bekeken: - of voor de verwerking van bijzondere persoonsgegevens op grond van deze bepalingen een ontheffing op grond van artikel 21 of 22 Wbp aanwezig is; dan wel - of de WMG (in andere artikelen dan de artikelen 65 jo. 60 en 61) een specifieke grondslag biedt voor het verwerken van (bepaalde) bijzondere persoonsgegevens ter uitvoering van deze verschillende artikelen. Voorts dient voor deze verwerking de noodzaak dragend gemotiveerd te worden. Van geval tot geval is een beoordeling van de noodzakelijkheid en een belangenafweging nodig. 3 Advies van 13 april 2005, kenmerk: z Toelichting. Algemeen. Doel van de regeling. BLAD 5

6 Voor zover er geen ontheffing in de Wbp en geen specifieke grondslag in de WMG aanwezig is, is verwerking van medische en strafrechtelijke persoonsgegevens in strijd met de Wbp en kan deze niet in de regeling worden opgenomen. Het CBP adviseert in dat geval om voor de verwerking van deze bijzondere persoonsgegevens alsnog een wettelijke grondslag in de WMG te creëren (overeenkomstig de voorwaarden die artikel 23 lid 1 sub e Wbp daaraan stelt), indien het wel de bedoeling is ter uitvoering van de betreffende bepalingen deze persoonsgegevens te verwerken. 3.2 De grondslag in artikel 3 van de regeling Het CBP maakt uit het algemeen deel van de toelichting op dat aangenomen wordt dat de uitwisseling van bijzondere persoonsgegevens in het kader van artikel 70 WMG kan plaatsvinden op grond van de artikelen 70 jo. 65 WMG. Het CBP wijst er echter op dat artikel 70 WMG niet spreekt over en dus geen grondslag biedt voor het verstrekken van medische en strafrechtelijke persoonsgegevens, en dat deze grondslag ook niet in artikel 70 jo. 65 WMG kan worden gevonden. Ook kan artikel 3 van de regeling geen zelfstandige basis bieden voor het verwerken van deze bijzondere persoonsgegevens; zoals in het juridisch kader is beschreven is dat in strijd met de Wbp. Artikel 70 WMG voldoet dan ook niet aan de voorwaarden die artikel 23 lid 1 sub e Wbp stelt aan een wettelijke bepaling die een ontheffing van het verbod op het verwerken van bijzondere persoonsgegevens geeft. Het CBP adviseert om daarom te onderzoeken of voor de verstrekking van bijzondere persoonsgegevens bij de uitvoering van artikel 70 WMG een ontheffing op grond van artikel 21 of 22 Wbp aanwezig is. Voor zover dat niet het geval is, is de verwerking van medische en strafrechtelijke persoonsgegevens onrechtmatig en kan deze ook niet worden opgenomen in artikel 3 van de regeling. Indien het de bedoeling is om, in de gevallen waarin geen ontheffing van artikel 21 of 22 Wbp aanwezig is, wel bijzondere persoonsgegevens te verwerken, zal artikel 70 WMG daartoe moeten worden aangepast overeenkomstig de voorwaarden die artikel 23 lid 1 sub e Wbp daaraan stelt. 3.3 De grondslag doorbreken geheimhoudingsplicht a. Artikel 67 WMG bepaalt dat voor degene die op grond van de WMG gegevens en inlichtingen ontvangt, dezelfde wettelijke voorschriften inzake geheimhouding van die gegevens en inlichtingen gelden als voor degene die ze heeft verstrekt. 5 Deze bepaling is met name van belang bij het verstrekken van persoonsgegevens van consumenten, afkomstig van zorgaanbieders, door de NZa. Zorgaanbieders zijn onderworpen aan het medisch beroepsgeheim. Dit beroepsgeheim geldt niet alleen voor medische persoonsgegevens, maar voor alle persoonsgegevens van patiënten. Ingevolge artikel 67 WMG geldt voor de NZa een even strikte geheimhoudingsplicht als voor de zorgaanbieders. Deze geheimhoudingsplicht kan slechts worden doorbroken door een wettelijke 5 Zie ook het advies van het CBP inzake de WMG van 13 april 2005, kenmerk: z , p.11. BLAD 6

7 bepaling die de NZa verplicht om nader bepaalde persoonsgegevens betreffende de gezondheid te verstrekken. Noch artikel 70 WMG, noch artikel 3 van de regeling voldoet hier aan. Het CBP adviseert aan dit aspect aandacht aan te besteden bij het aanpassen van de WMG en de regeling. b. Een ontvangende instantie mag persoonsgegevens slechts verwerken voor de uitvoering van de taak of bevoegdheid waarvoor deze de gegevens heeft ontvangen, of verder verwerken voor een taak of bevoegdheid die niet onverenigbaar is met de taak of bevoegdheid waarvoor de instantie de gegevens heeft ontvangen (artikel 9 Wbp). Tegen deze achtergrond is het niet duidelijk waarom artikel 67 lid 2 WMG alleen van toepassing is op lid 2 van artikel 70 WMG, en niet ook op lid 1 van dat artikel. Het ligt volgens het CBP voor de hand artikel 67, tweede lid, WMG ook van toepassing te laten zijn op artikel 70, eerste lid, WMG. Zolang dat niet het geval is, geldt in ieder geval het algemene uitgangspunt van artikel 9 Wbp. Het CBP adviseert dit in de toelichting bij de regeling uitdrukkelijk op te nemen. Terzijde merkt het CBP op dat artikel 9 Wbp ook geldt voor artikel 69, lid 2, WMG. Op 15 juni 2005 hebben medewerkers van het CBP met betrokken ambtenaren van het Ministerie van VWS besproken dat deze bepaling slechts zou kunnen blijven bestaan indien deze geen betrekking zou hebben op persoonsgegevens Formulering grondslag in de regeling a. Het verwerken van persoonsgegevens is op grond van de Wbp alleen toegestaan indien en voor zover dit noodzakelijk is. De formulering in artikel 2, aanhef, van de regeling voldoet niet aan dit vereiste, nu dit bepaalt dat ter uitvoering van de daar aangegeven artikelen de daarbij vermelde gegevens noodzakelijk kunnen zijn. Deze bepaling dient daarom restrictiever te worden geformuleerd. Voorts heeft de zinsnede de daarbij vermelde identificerende gegevens en overige categorieën van persoonsgegevens geen onderscheidende betekenis. Artikel 60 van de WMG zelf onderscheidt drie soorten persoonsgegevens en volstaan kan worden met een verwijzing daarnaar. Het CBP adviseert artikel 2, aanhef, van de regeling als volgt te wijzigen: Voor de uitvoering van de hieronder aangegeven artikelen van de wet worden de daarbij vermelde persoonsgegevens als bedoeld in artikel 60 van de wet verwerkt indien en voor zover zij voor de uitvoering van de desbetreffende artikelen van de wet noodzakelijk zijn. b. Hetgeen in onderdeel a over de formulering in artikel 2, aanhef, is gezegd, geldt in gelijke mate voor artikel 3, aanhef. Dit artikel gaat eveneens over persoonsgegevens, waaronder bijzondere persoonsgegevens. Het CBP adviseert om artikel 3, aanhef, eveneens aan te passen aan de eisen van de Wbp. 6 Zie ook het advies van het CBP inzake de WMG van 7 juli 2005, kenmerk: z BLAD 7

8 3.5 De grondslag in artikel 2, sub n, regeling Artikel 2 sub n van de regeling bepaalt dat, indien dit voor de uitvoering van artikel 61 WMG noodzakelijk is, identificerende, medische en strafrechtelijke persoonsgegevens mogen worden verwerkt, voor zover die gegevens worden gebruikt voor de uitvoering van de onder a tot en met m en o tot en met r genoemde artikelen en de categorie van persoonsgegevens daarbij is vermeld. Het is niet duidelijk wat deze bepaling toevoegt aan artikel 2, sub a tot en met m en o tot en met r van de regeling, waarnaar deze verwijst. Ook is niet duidelijk wat artikel 61 WMG in dit verband toevoegt. In zijn advies over de WMG 7 heeft het CBP opmerkingen gemaakt over het huidige artikel 61 WMG. De strekking van deze opmerkingen was dat dit artikel geen vangnetbepaling mag zijn, waarmee bedoeld wordt dat dit artikel geen zelfstandige grondslag voor de verwerking van persoonsgegevens kan geven. De reden daartoe is dat deze bepaling te ruim is geformuleerd en het de NZa daarmee de mogelijkheid zou geven alle mogelijke gegevens op te vragen bij een ieder. Ook het feit dat de bepaling uitgaat van de gegevens die redelijkerwijs van belang zijn en niet van gegevens die noodzakelijk zijn, één van de primaire eisen uit de Wbp, betekent dat deze bepaling geen betrekking kan hebben op persoonsgegevens. Artikel 61, tweede tot en met zesde lid, WMG heeft hoofdzakelijk betrekking op de wijze van verstrekking van gegevens en inlichtingen. Het is onduidelijk waartoe het eerste lid van dit artikel precies dient, nu dit artikellid namelijk verplicht tot het verstrekken van gegevens en inlichtingen, boeken, bescheiden en andere gegevensdragers of de inhoud daarvan. Het CBP neemt aan dat het de bedoeling is in artikel 61, eerste lid, WMG te bepalen dat (persoons)gegevens die op grond van de andere bepalingen van de WMG moeten worden verstrekt, kosteloos moeten worden verstrekt; en dat een ieder de NZa de beschikking moet geven over zijn boeken, bescheiden en andere gegevensdragers of de inhoud daarvan, wanneer dat noodzakelijk is voor de uitvoering van de WMG door de NZa en er een grondslag is voor de verstrekking van de daarin vervatte (persoons)gegevens en inlichtingen aan de NZa. Op grond van het bovenstaande adviseert het CBP artikel 61, eerste lid, WMG zodanig aan te passen dat daaruit duidelijk de bedoeling van deze bepaling naar voren komt en eveneens duidelijk wordt dat artikel 61, eerste lid, WMG geen vangnetbepaling is. De bepaling zou als volgt kunnen komen te luiden: Indien en voor zover bij of krachtens deze wet de verplichting bestaat om (persoons)gegevens en inlichtingen te verstrekken aan de zorgautoriteit: a. dienen deze (persoons)gegevens en inlichtingen kosteloos te worden verstrekt; en b. houdt deze verplichting tevens in de verplichting de boeken, bescheiden en andere gegevensdragers of de inhoud daarvan, waarin deze (persoons)gegevens en inlichtingen zich bevinden, aan de zorgautoriteit ter beschikking te stellen. 7 Advies van 13 april en 7 juli 2005, kenmerk: z BLAD 8

9 3.6 De grondslag - artikel 2, sub o, regeling Op grond van artikel 2, sub o, regeling jo. artikel 62 WMG kan de NZa regels stellen, inhoudende welke gegevens en inlichtingen regelmatig moeten worden verstrekt. Hieronder vallen ook identificerende persoonsgegevens betreffende zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars en, in geval van een experiment (artikel 58 WMG), id entificerende en medische persoonsgegevens van consumenten. Volgens de toelichting geldt de verplichting van artikel 62 WMG voor zover dat past binnen de doeleinden en strekking van de WMG en binnen de taken en bevoegdheden van ( ) degenen die belast zijn met de uitvoering van de WMG. De gegevens en inlichtingen die op grond van de artikelen 61 en 62 van de WMG zijn verkregen dienen dus tot uitvoering van de andere wetsartikelen die in de opsomming in artikel 2 van de onderhavige regeling zijn genoemd. 8 Het CBP wijst erop dat de NZa in haar beleidsregels geen nieuwe grondslag voor het verstrekken van persoonsgegevens kan geven en neemt aan dat bovengenoemde passage in de toelichting dat ook beoogt te zeggen. Het is dan echter onduidelijk waarom artikel 2, sub o, regeling, categorieën van persoonsgegevens noemt die de NZa in haar beleidsregels kan opnemen. De NZa is hierbij immers, net als in artikel 2, sub n, regeling, gebonden aan de categorieën van persoonsgegevens die bij de verschillende artikelen genoemd staan, en kan slechts regelen welke gegevens daarvan regelmatig moeten worden verstrekt. Op grond van het bovenstaande kan worden geconcludeerd dat artikel 2, sub o, van de regeling niets toevoegt. Het CBP adviseert daarom artikel 2, sub o, regeling te laten vervallen. Voorts adviseert het CBP, om misverstanden te voorkómen, artikel 62, eerste lid, WMG te wijzigen, bijvoorbeeld als volgt: 1. De zorgautoriteit kan regels stellen met betrekking tot de frequentie waarin de verstrekking van (persoons)gegevens en inlichtingen op grond van andere artikelen van deze wet dient te geschieden. 3.7 Motivering van de noodzaak In de toelichting wordt opgemerkt dat de regeling geen uitputtende opsomming van situaties omvat waarvoor het verwerken van de verschillende categorieën persoonsgegevens noodzakelijk is. De reden die daarvoor wordt gegeven is dat dit niet mogelijk is gezien het oneindige aantal verschillende situaties in de praktijk. 9 Nagegaan is of het denkbaar is dat het verwerken van persoonsgegevens in enige situatie noodzakelijk is voor het uitoefenen van bepaalde taken. Als dat het geval is, is de betreffende categorie persoonsgegevens in de regeling opgenomen. De Wbp vereist niet dat alle mogelijke praktijksituaties aan bod komen in de toelichting bij de regeling. Wel moet in (de toelichting bij) de regeling worden onderbouwd waarom bepaalde persoonsgegevens noodzakelijk zijn bij de uitvoering van een bepaling, noodzakelijk om een bepaald doel te bereiken. Het CBP merkt op dat in de regeling de noodzakelijke persoonsgegevens zeer globaal zijn weergegeven. In de toelichting wordt slechts summier aangegeven voor welk doel de gegevens 8 Toelichting. Algemeen. Context algemene informatieplicht. 9 Toelichting. Algemeen. Selectie. BLAD 9

10 noodzakelijk zijn, 10 maar niet wordt aangegeven waaróm de betreffende persoonsgegevens voor dat doel noodzakelijk zijn. In de toelichting is de afweging niet zichtbaar gemaakt. Om te kunnen beoordelen of de noodzaak daadwerkelijk bestaat, waarbij de beginselen van proportionaliteit en subsidiariteit een rol spelen, is een expliciete onderbouwing van de noodzaak eventueel per onderdeel van een artikel noodzakelijk. Het CBP acht het noodzakelijk de toelichting wat betreft de onderbouwing van de noodzaak aan te vullen. 3.8 Verwerken van identificerende persoonsgegevens a. Reikwijdte In de regeling wordt voor de invulling van de term identificerende gegevens verwezen naar artikel 60, lid 1, sub a, jo. lid 2, WMG. Daar wordt onder identificerende persoonsgegevens verstaan: a. naam, adres, woonplaats, postadres; b. geboortedatum en geslacht; c. administratieve gegevens, zoals nummers van bank-, giro- en creditcard, inschrijvingsgegevens van de gemeentelijke basisadministratie en registratie ingevolge de Wet op de beroepen in de individuele gezondheidszorg. De zeer ruime formulering van lid 2, sub c, administratieve gegevens, zoals, betekent dat de vraag wat onder administratieve gegevens valt door verantwoordelijken zelf kan worden ingevuld. De reikwijdte van deze bepaling, en daarmee ook van de regeling, is daarmee op voorhand onbepaald. De Wbp vereist dat een grondslag voor het verwerken van persoonsgegevens voldoende specifiek moet zijn. Het CBP concludeert dat de regeling op dit punt niet aan de Wbp voldoet en adviseert daarom in de regeling een limitatieve opsomming te geven van gegevens die onder het begrip administratieve gegevens vallen. b Noodzaak In de toelichting bij artikel 2 van de regeling staat: Bij de uitvoering van alle taken en bevoegdheden verwerkt de NZa identificerende gegevens. Dat behoeft geen verdere toelichting. Het is naar het oordeel van het CBP echter niet vanzelfsprekend dat alle in artikel 60, lid 1, sub a, jo. lid 2, WMG onderscheiden identificerende persoonsgegevens altijd noodzakelijk zijn voor alle taken en bevoegdheden van de NZa. Het CBP illustreert dit met het voorbeeld van artikel 2, sub a van de regeling. Op grond van artikel 18 WMG kunnen in geval van (mogelijke) samenloop van bevoegdheden van de NZa en de NMa identificerende persoonsgegevens betreffende zorgaanbeiders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars worden verwerkt. Het CBP ziet in dat de naam van deze personen (in combinatie met NAWgegevens van de instelling, hetgeen in geval van een eenmansbedrijf ook persoonsgegevens zijn) noodzakelijk kan zijn om te kunnen bepalen of het om één en dezelfde belanghebbende gaat. Dit geldt niet zonder meer voor andere persoonsgegevens als bedoeld in artikel 60, tweede lid, WMG, zoals adres, woonplaats, postadres, geboortedatum, geslacht en administratieve gegevens. Dit 10 Overigens dekt het doel niet altijd de lading van het bijbehorende artikel! BLAD 10

11 betekent dat niet op voorhand vaststaat dat voor alle taken en bevoegdheden van de NZa alle identificerende persoonsgegevens noodzakelijk zijn, dat verwerking van die persoonsgegevens daarmee niet ter zake dienend en bovenmatig (artikel 11, eerste lid, Wbp) zou kunnen zijn, en dat dit uitgangspunt niet in overeenstemming is met de Wbp. Het CBP acht het daarom nodig dat in de toelichting dragend wordt gemotiveerd waarom voor bepaalde taken bepaalde categorieën identificerende persoonsgegevens van cliënten en/of van (bestuurders en medewerkers van) zorgaanbieders en ziektekostenverzekeraars noodzakelijk zijn. Het CBP acht het daarnaast nodig dat in de regeling zelf, indien aan de orde, de categorieën van identificerende persoonsgegevens worden beperkt. Het CBP adviseert om de gehele regeling vanuit deze noodzakelijkseis te toetsen en aan te passen aan de Wbp. Ter illustratie en ondersteuning van dit punt gaat het CBP in bijlage 2 nader in op een aantal artikelen van de regeling. Zonder volledigheid na te streven geeft het CBP daarbij aan waarom het de huidige motivering van de noodzaak om bepaalde categorieën persoonsgegevens te verwerken ontoereikend vindt. 4. Overige opmerkingen ten aanzien van de regeling a. College voor Zorgverzekeringen (CVZ) Op grond van artikel 3 sub a van de regeling mag de NZa aan het CVZ onder meer identificerende persoonsgegevens betreffende consumenten verstrekken. De noodzaak voor deze verstrekking is niet onderbouwd in de toelichting. Het CBP heeft in dit kader in zijn advies over de WMG 11 reeds opgemerkt dat identificerende persoonsgegevens over consumenten niet mogen worden verwerkt voor de uitvoering van de risicoverevening, noch op enigerlei wijze mogen worden gekoppeld aan de bestanden met gegevens die worden verwerkt voor de uitvoering van risicoverevening, waardoor de gegevens in deze bestanden mogelijk alsnog herleidbaar worden tot de betreffende consumenten. Het CBP adviseert om in de toelichting dragend te motiveren voor welk doel het noodzakelijk is identificerende persoonsgegevens betreffende consumenten te verstrekken aan het CVZ. Voor zover die noodzaak niet kan worden aangetoond, is verstrekking van deze persoonsgegevens in strijd met de Wbp. b. Reikwijdte artikel 3 regeling Artikel 3 van de regeling stelt regels over de gegevens die de NZa aan andere instanties mag verstrekken. De bepaling ziet daarmee niet op de gegevensverstrekking van de genoemde instanties in artikel 70, lid 1, WMG, aan de NZa en aan elkaar. Het CBP gaat er daarom vanuit dat deze andere instanties aan elkaar en de NZa geen (bijzondere) persoonsgegevens verstrekken, indien daarvoor in (andere) wetgeving geen wettelijke grondslag is gecreëerd 11 Advies d.d. 13 april 2005, kenmerk: z BLAD 11

12 Het CBP adviseert de beschreven beperkte reikwijdte van artikel 3 van de regeling in de toelichting tot uitdrukking te brengen. c Artikel 2, onderdeel p, regeling jo. artikel 66 WMG Artikel 66 WMG verplicht zorgaanbieders en ziektekostenverzekeraars tot het verstrekken van persoonsgegevens aan de NZa en de FIOD-ECD. Dit artikel maakt niet duidelijk wanneer deze gegevens moeten worden verstrekt. Het CBP adviseert aan artikel 66, eerste lid, WMG toe te voegen dat een zodanige verplichting slechts bestaat wanneer de NZa of de FIOD-ECD daarom verzoekt. d. Artikel 3 regeling jo. artikel 17 WMG Op grond van artikel 17 WMG dienen de daarin genoemde instanties afspraken te maken met het oog op een effectieve en efficiënte besluitvorming over de behandeling van aangelegenheden van wederzijds belang en het daartoe verzamelen van informatie. Deze afspraken behelzen in ieder geval dat een bestuursorgaan aan derden geen informatie vraagt indien een van de andere genoemde bestuursorganen deze informatie kan verstrekken. Dit artikel stelt slechts eisen aan de onderlinge afspraken en biedt geen grondslag voor de feitelijke informatie-uitwisseling. Die grondslag is gelegen in artikel 70 WMG. Teneinde op dit punt misverstanden te voorkómen adviseert het CBP artikel 17 WMG niet te noemen in de aanhef van artikel 3 van de regeling, en in de toelichting bij dit artikel 3 dit punt duidelijk te maken. 5. De AO/IC-regeling Ten behoeve van een rechtmatige gegevensverwerking in verband met de AO/IC heeft het CBP recent een brief gezonden aan de vorige Minister van VWS. 12 Het CBP adviseert de Minister bij de aanpassing van de regeling en de toelichting rekening te houden met de betreffende brief van het CBP. 6. Conclusie Het CBP concludeert dat de voorgelegde tijdelijke regeling niet voldoet aan de eisen van de Wbp. Het betreft met name het ontbreken van een grondslag voor verschillende verwerkingen van (bijzondere) persoonsgegevens en het ontbreken van een dragende motivering van de noodzaak voor deze verwerkingen. Het is noodzakelijk de WMG en de regeling op punten aan te passen, teneinde deze in overeenstemming te doen zijn met de Wbp. 12 Brief van 14 februari 2007, kenmerk: z / z BLAD 12

13 Bijlage 2: motivering van de noodzaak In deze bijlage wordt ingegaan op de motivering van de noodzaak bij een aantal bepalingen uit de regeling. Deze bijlage is niet uitputtend bedoeld. Derhalve kan niet worden volstaan met het verwerken van onderstaande opmerkingen; tegen de achtergrond van het advies en onderstaande opmerkingen zal de gehele regeling nogmaals moeten worden bekeken en aangepast. Dit geldt niet alleen voor artikel 3, waarop in deze bijlage niet nader wordt ingegaan, maar tevens voor artikel 2 dat in deze bijlage wel nader wordt besproken. In zijn algemeenheid geldt dat in de toelichting de noodzaak voor het verwerken van bepaalde persoonsgegevens dragend gemotiveerd dient te worden en dat de regeling specifieker dient aan te geven welke (bijzondere) persoonsgegevens noodzakelijk zijn. In ieder geval in de onderstaande gevallen acht het CBP de noodzaak onvoldoende gemotiveerd. 1. Artikel 2, sub b, van de regeling Artikel 19 WMG bepaalt dat de NZa het oordeel van het Staatstoezicht op de Volksgezondheid moet volgen voor wat betreft de kwaliteit van zorgverlening. De toelichting bij dit artikel meldt dat de NZa, als het zich een oordeel wil vormen over de prijs-kwaliteit verhouding van zorgaanbieders, het oordeel van de IGZ over de kwaliteit dient te volgen. 13 Tegen deze achtergrond wijst het CBP erop dat in dit artikel niet de grondslag voor het rapporteren door het Staatstoezicht ligt, maar dat deze grondslag te vinden is in artikel 70, eerste lid, van de WMG. Het CBP acht het daarom niet nodig voor artikel 19 WMG categorieën van persoonsgegevens aan te wijzen. Wel dient artikel 3 van de regeling op dit punt te worden aangepast (zie ook: punt 3.2 van het advies). 2. Artikel 2, sub c, van de regeling Artikel 20 WMG heeft betrekking op het geven van voorlichting door de NZa en op het vaststellen van (beleids)regels, beschikkingen en besluiten en het ter inzage leggen, ter beschikking stellen en in de Staatscourant publiceren hiervan. Volgens de toelichting zijn de identificerende persoonsgegevens nodig om gericht voorlichting te kunnen geven en om op beschikkingen te vermelden. Gezien de aard van taken van de NZa in dit artikel is het voor het CBP niet op voorhand evident dat ook identificerende persoonsgegevens van consumenten nodig zijn. Als dat al zo zou zijn, acht het CBP het niet aannemelijk dat álle in artikel 60, tweede lid, WMG genoemde identificerende persoonsgegevens van consumenten ter uitvoering van dit artikel noodzakelijk zijn. Voorts wijst het CBP erop dat identificerende persoonsgegevens van bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars noodzakelijk kunnen zijn, maar dat ook hier niet op voorhand vaststaat dat alle in artikel 60, tweede lid, WMG genoemde identificerende persoonsgegevens noodzakelijk zijn. 13 Kamerstukken II 2004/05, , nr. 3, blz. 56. BLAD 13

14 3. Artikel 2, sub d, van de regeling In de artikelen 21, derde lid, en 22, derde lid, WMG is bepaald dat de gegevensverstrekking geen betrekking heeft op medische persoonsgegevens. Dit impliceert, naar het CBP aanneemt, dat de WMG in dit kader ruimte laat voor het verwerken van strafrechtelijke persoonsgegevens. In de toelichting is op dit punt niet ingegaan. Voorts acht het CBP het niet evident dat ter uitvoering van beide artikelen op persoonsniveau gegevens verstrekt moeten worden. Artikel 21 WMG spreekt over rapporteren van uitvoerbaarheid, doeltreffendheid en doelmatigheid van voorgenomen beleid en feitelijke ontwikkelingen inzake markten. Artikel 22 spreekt in zijn algemeenheid over uitoefening van ieders taken. Het is onduidelijk welke concrete rapportages en taken voor ogen staan en welke persoonsgegevens daartoe noodzakelijk zijn. 4. Artikel 2, sub e, van de regeling Op grond van artikel 23 WMG kan bij de NZa worden geklaagd over door zorgaanbieders en ziektekostenverzekeraars gebruikte formulieren. Waarschijnlijk zullen dergelijke klachten voornamelijk worden ingediend door consumenten en mogelijk ook door medewerkers van zorginstellingen (behandelaars) die namens cliënten bijvoorbeeld een machtiging aanvragen of middels een formulier bij de ziektekostenverzekeraar aan moeten geven waarom een cliënt in het verkeerde bed ligt (nog opgenomen in een ziekenhuis terwijl de cliënt eigenlijk in een verpleeghuis moet worden opgenomen, bijvoorbeeld). Het CBP ziet in dat NAW-gegevens van consumenten, zorgaanbieders en bestuurders of medewerkers van zorgaanbieders en ziektekostenverzekeraars noodzakelijk kunnen zijn om in het kader van artikel 23 WMG een klacht te kunnen indienen. Het CBP gaat ervan uit dat de klacht zal gaan om het formulier zelf, dus een niet-ingevuld expemplaar. Tegen deze achtergrond is het de vraag of de geboortedatum en allerhande administratieve gegevens hierbij noodzakelijk (kunnen) zijn. Wanneer een consument zijn beklag doet over een formulier zullen daarmee in een aantal gevallen impliciet ook medische gegevens worden verstrekt, aangezien een consument in de meeste gevallen slechts in aanraking komt met bepaalde formulieren wanneer hij een bepaalde behandeling ondergaat of wil ondergaan. De ontheffing van artikel 16 Wbp voor de verwerking van deze medische gegevens kan echter worden gevonden in artikel 23 lid 1 sub a Wbp. 5. Artikel 2, sub f en h, van de regeling Op grond van de artikelen 24 en 28 WMG stuurt de NZa jaarlijks een rapport aan de Minister van VWS en het College voor Zorgverzekeringen (CVZ) over de uitvoering van de Zvw, AWBZ en daarop gebaseerde regelgeving door zorgverzekeraars, AWBZ-verzekeraars en de rechtspersonen, bedoeld in artikel 40 AWBZ. Het CBP vraagt zich af of deze bepalingen uit de WMG alleen een grondslag geven voor het verzenden, of ook voor het (onderzoek dat ten grondslag ligt aan het) opstellen van de rapportages. BLAD 14

15 Bij het onderzoek dat ten grondslag ligt aan het opstellen van de rapportages kunnen identificerende persoonsgegevens van bestuurders of medewerkers noodzakelijk zijn, al is niet zonder meer evident dat daartoe alle in artikel 60, tweede lid, WMG genoemde identificerende persoonsgegevens noodzakelijk zijn. Gezien het doel van de artikelen 24 en 28 WMG ligt de noodzaak van het verwerken van identificerende persoonsgegevens in het rapport zélf niet voor de hand, dit temeer daar deze rapportages openbaar zijn. 6. Artikel 2, sub j, van de regeling - Op grond van artikel 32 WMG onderzoekt de NZa de concurrentieverhoudingen en het marktgedrag op het gebied van de zorg. Deze onderzoeken kunnen gericht zijn op zorgaanbieders en ziektekostenverzekeraars. Het is de vraag of hiervoor alle identificerende persoonsgegevens, bedoeld in artikel 60, tweede lid, WMG, van alle genoemde partijen noodzakelijk zijn. - Op grond van artikel 33 WMG kan de NZa haar bevindingen op grond van het onderzoek van artikel 32 WMG openbaar maken, met uitzondering van gegevens en inlichtingen die naar hun aard vertrouwelijk zijn. In beginsel geldt voor artikel 33 WMG hetzelfde als in de voorgaande alinea is opgemerkt ten aanzien van artikel 32 WMG, waarbij het feit dat de bevindingen openbaar worden gemaakt nog een extra punt van afweging is. Daarbij verdient de vraag of sommige identificerende persoonsgegevens naar hun aard reeds vertrouwelijk zijn nadere bespreking. - Artikel 38, eerste en tweede lid, WMG verplichtingen zorgaanbieders om hun patiënten tijdig te informeren over het tarief dat voor een prestatie in rekening zal worden gebracht en bij het in rekening brengen van het tarief de daarbijbehorende prestatiebeschrijving te noemen. Het lijkt aannemelijk dat bij het verzenden van rekeningen aan patiënten identificerende en medische persoonsgegevens van patiënten worden verwerkt aangezien de combinatie van de prestatiebeschrijving en identificerende persoonsgegevens van consumenten reeds medische persoonsgegevens oplevert. Wat de identificerende persoonsgegevens betreft kan hierbij overigens worden volstaan met de in artikel 60, tweede lid, sub a en b, WMG genoemde persoonsgegevens, en wat de medische persoonsgegevens betreft kan waarschijnlijk worden volstaan met de prestatiebeschrijving. De categorie medische persoonsgegevens van consumenten is in artikel 2, sub j, van de regeling echter niet genoemd. - Het CBP acht het niet aannemelijk dat voor de uitvoering van artikel 38, derde tot en met zevende lid, WMG het verwerken van identificerende persoonsgegevens van consumenten noodzakelijk is. Bij de openbaarmaking van informatie over de tarieven en kwaliteit van aangeboden prestaties en diensten door zorgaanbieders of de NZa (lid 4 en 5) is niet duidelijk waarom het hierbij noodzakelijk zou zijn te specificeren naar individuele medewerkers van een zorgaanbieder. Ook BLAD 15

16 is niet aannemelijk dat het in dit kader noodzakelijk is identificerende persoonsgegevens van bestuurders te verwerken. Hetzelfde geldt voor het verwerken van identificerende percoonsgegevens als bedoeld in artikel 60, tweede lid, sub b en c, van de WMG. - Bij de uitvoering van artikel 44 WMG zijn hooguit de persoonsgegevens noodzakelijk die voor de uitvoering van de in artikel 44 WMG genoemde bepalingen noodzakelijk zijn. De artikelen 39 en 41 tot en met 43 WMG worden niet genoemd in de regeling, zodat op gelijke voet ook voor de uitvoering van die bepalingen door de in artikel 44 genoemde derden geen persoonsgegevens mogen worden verwerkt. 7. Artikel 2, sub k en l, van de regeling Artikel 50 WMG heeft betrekking op een verzoek van zorgaanbieder en ziektekostenverzekeraar aan de NZa om een tarief vast te stellen. Daarvoor zullen NAW-gegevens en geslacht van zorgaanbieders en de namen en het geslacht van bestuurders en medewerkers van zorgaanbieders en ziektekostenverzekeraars noodzakelijk zijn. Het CBP ziet op voorhand geen noodzaak tot het verwerken van overige identificerende persoonsgegevens van deze personen. Dezelfde opmerking is van toepassing op de artikelen 52 tot en met 56 WMG. Er kan, zo begrijpt het CBP, geen aanvraag worden gedaan voor een in een individueel geval (een consument) in rekening te brengen tarief. Het CBP ziet daarom niet waarom het noodzakelijk is identificerende persoonsgegevens van consumenten te verwerken. De zorgaanbieder dient dit vastgestelde tarief op grond van artikel 50, tweede lid, WMG weliswaar te gebruiken bij het declareren van de kosten voor een geleverde prestatie bij ziektekostenverzekeraars of patiënten, maar de grondslag daarvoor is gelegen in artikel 38 WMG. Het CBP wijst in dit verband in het bijzonder nog op artikel 53, vierde lid, WMG. In het laatste geval is het aannemelijk dat identificerende gegevens van de consument noodzakelijk zijn. De vraag is of hierbij niet tevens sprake zou kunnen zijn van medische persoonsgegevens van consumenten. 8. Artikel 2, sub m, van de regeling De experimenten waarover artikel 58 WMG spreekt, strekken tot afwijking van bestaande beleidsregels in bijzondere gevallen. Die afwijking kan betrekking hebben op een categorie van of een beperkt aantal zorgaanbieders, ziektekostenverzekeraars, patiënten of prestaties. De beleidsregels hebben, voor zover het CBP kan beoordelen, geen betrekking op identificeerbare patiënten. Hiervoor hoeven dan ook geen identificerende en medische persoonsgegevens van consumenten te worden verwerkt. Wellicht zullen de namen van enkele zorgaanbieders worden genoemd, zoals uit de toelichting bij dit artikel blijkt. 14 Volgens de toelichting op dit artikelonderdeel van de regeling zijn medische persoonsgegevens noodzakelijk voor het rapporteren over experimenten. Dit spreekt niet voor zich, aangezien de 14 Kamerstukken II 2004/05, , nr. 3, blz (destijds betrof het artikel 51 WMG). BLAD 16

17 rapportage aan de minister van VWS voor wat consumenten betreft op niet-herleidbare wijze zal kunnen plaatsvinden. Overigens kan het CBP zich voorstellen dat ter evaluatie een noodzaak tot het verwerken van identificerende en medische persoonsgegevens door de NZa zou kunnen bestaan. In de toelichting is deze noodzaak niet benoemd, en ook overigens niet uitgesplitst per lid van artikel 58 WMG. 9. Artikel 2, sub q, van de regeling Op grond van artikel 74 WMG heeft de NZa een meldpunt voor het ontvangen van gegevens en inlichtingen omtrent feiten en omstandigheden die mogelijk niet in overeenstemming zijn met het bij of krachtens de wet bepaalde. Opvallend is dat in artikel 74 WMG wordt gesproken over de wet en niet over deze wet, waardoor de reikwijdte van deze bepaling heel ruim is. Anders dan in de toelichting bij dit artikel is vermeld, 15 is het CBP van mening dat dit artikel alleen een grondslag geeft voor het ontvangen van gegevens en inlichtingen door het meldpunt, niet voor andere vormen van het verwerken daarvan. De grondslag daarvoor is naar het oordeel van het CBP gelegen in artikel 69, tweede lid, WMG. Opvallend is dat in artikel 2, sub q, van de regeling strafrechtelijke gegevens van zorgaanbieders en medewerkers of bestuurders van zorgaanbieders, ziektekostenverzekeraars en rechtspersonen als bedoeld in artikel 40 AWBZ ontbreken. Deze zijn wel opgenomen in artikel 2, sub p, van de regeling, waarin artikel 69 WMG aan de orde is. De reden voor het ontbreken van genoemde categorie persoonsgegevens is voor het CBP niet duidelijk. 10. Artikel 2, sub r, van de regeling - De artikelen 76 tot en met 103 WMG hebben betrekking op het geven van aanwijzingen, het opleggen van bestuursdwang, last onder dwangsom en bestuurlijke boete door de NZa. Hiervoor zal de NZa in ieder geval de NAW-gegevens en het geslacht van zorgaanbieders, en de namen en het geslacht van medewerkers of bestuurders van zorgaanbieders of ziektekostenverzekeraars moeten verwerken. Bij artikel 76 WMG gaat het om de handhaving van het bepaalde bij of krachtens een aantal artikelen van de WMG. Bij die handhaving zal de NZa ook de persoonsgegevens moeten verwerken die worden verwerkt op grond van de betreffende artikelen. Dit blijkt niet uit de regeling. Op gelijke wijze zal moeten worden bekeken hoe de andere in artikel 2, sub r, van de regeling genoemde bepalingen zich verdragen met dit artikelonderdeel. - Bij de uitvoering van artikel 92 tot en met 100 WMG maakt de NZa een rapport op van een overtreding, waarbij sprake kan zijn van strafrechtelijke gegevens. Hierover wordt in de toelichting niets gezegd. - Indien niet voor alle artikelen (76 tot en met 103 WMG) dezelfde persoonsgegevens noodzakelijk zijn, zal in artikel 2, sub r, van de regeling een onderscheid gemaakt moeten worden 15 Kamerstukken II 2004/05, , nr. 3, blz. 79. BLAD 17

18 tussen deze artikelen en de verschillende soorten categorieën persoonsgegevens die voor de uitvoering van deze onderscheiden artikelen noodzakelijk zijn, en zal tevens de noodzaak daarvan dragend dienen te worden gemotiveerd. BLAD 18