Ministerie van Verkeer en Waterstaat. Advies over concept-wetsvoorstel tot wijziging van de Wegenverkeerswet 1994

Transcriptie

1 POSTADRES Postbus 93374, 2509 AJ Den Haag BEZOEKADRES Juliana van Stolberglaan 4-10 TEL FAX INTERNET AAN Ministerie van Verkeer en Waterstaat DATUM 28 juni 2006 ONS KENMERK z CONTACTPERSOON UW BRIEF VAN 24 april 2006 UW KENMERK HDJZ/AWW/ ONDERWERP Advies over concept-wetsvoorstel tot wijziging van de Wegenverkeerswet 1994 Bij brief van 24 april 2006 heeft het Ministerie van Verkeer en Waterstaat het College bescherming persoonsgegevens (CBP) gevraagd, op grond van het bepaalde in artikel 51, tweede lid van de Wet bescherming persoonsgegevens (WBP), te adviseren over het concept-wetsvoorstel tot wijziging van de Wegenverkeerswet 1994 (hierna: Wvw). Het CBP voldoet hiermee aan het verzoek. Inhoud van het concept-wetsvoorstel Wvw De adviesaanvraag betreft de voorgenomen wijzigingen van de Wvw in verband met: 1. De aanwijzing van het kentekenregister als basisregister dat zijn grondslag vindt in het zogenoemde programma Stroomlijning Basisgegevens. Uitgangspunt van dit programma is dat er een verbetering van de gegevenshuishouding bij de overheid kan worden bereikt door het invoeren van een stelsel van basisregisters. 2. De herziening van de gegevensverstrekking uit het kentekenregister. Mede op grond van de toegenomen aandacht voor de bescherming van de persoonlijke levenssfeer en de zorgvuldige verwerking van persoonsgegevens wordt een herziening van het verstrekkingenregime noodzakelijk geacht. In het kader van het nieuwe verstrekkingenbeleid wordt een aantal uitgangspunten gehanteerd dat betrekking heeft op de aard van de gegevens alsmede de te onderscheiden categorieën van ontvangers van gegevens. Samenvatting van het advies 1. Het kentekenregister als basisregister Het CBP ziet het belang van de in het wetsvoorstel beoogde doelstelling en heeft, behoudens het hierna genoemde punt, geen aanleiding tot het maken van op- en of aanmerkingen. In het voorstel lijken voldoende waarborgen te zijn getroffen. Ook voor de rechtsbescherming is aandacht nu artikel 43e, tweede lid, Wvw voorziet in de mogelijkheid van bezwaar en beroep. BIJLAGEN 1 BLAD 1

2 DATUM 28 juni 2006 ONS KENMERK z In het advies over het wetsvoorstel Kadaster heeft het CBP een opmerking gemaakt over de verhouding tussen het recht van herstel (hier geregeld in artikel 43e, eerste lid, Wvw) en het correctierecht als bedoeld in artikel 36 WBP. Het is het CBP niet duidelijk of het recht van herstel een bijzondere procedure is als bedoeld in artikel 36, vijfde lid, WBP. Het CBP verzoekt u daarom in de Memorie van Toelichting met betrekking tot het recht van herstel als bedoeld in artikel 43e, eerste lid, Wvw duidelijkheid te verschaffen over deze procedure in relatie tot het correctierecht als bedoeld in artikel 36, eerste lid, WBP. 2. Herziening van de gegevensverstrekking Het CBP heeft met instemming kennis genomen van de beëindiging van de gegevensverstrekking uit het kentekenregister aan de automobielbranche voor commercieel gebruik. De waarborgen ten aanzien van de controle en toezicht op het gebruik van de gegevens lijken, op een aantal in het advies genoemde punten, adequaat. Het CBP adviseert u de bepalingen voor gegevensverstrekking indachtig de opmerkingen in de bijlage aan te passen dan wel op te nemen. Graag verneemt het CBP of en op welke wijze u gevolg geeft aan het advies. Ook ziet het CBP graag de AMvB s, die nadere invulling geven aan de Wvw, ter advisering tegemoet. Het volledige advies treft u in de bijlage aan. Het CBP vertrouwt er op u hiermee voldoende te hebben geïnformeerd. Uiteraard is het CBP tot nadere toelichting bereid. Hoogachtend, Het College bescherming persoonsgegevens, Voor het College, mw. mr. dr. J. Beuving collegelid BLAD 2

3 Bijlage bij de brief van het College bescherming persoonsgegevens van 28 juni 2006 Advies van het College bescherming persoonsgegevens (CBP) over het concept-wetsvoorstel tot wijziging van de Wegenverkeerswet 1994 (Wvw) in verband met het aanmerken als basisregister van het kentekenregister en de herziening van het verstrekkingenbeleid uit het kentekenregister. De adviesaanvraag betreft een wijziging van de Wegenverkeerswet 1994 (hierna: Wvw) in verband met: 1. het aanmerken van het kentekenregister als basisregister en 2. een herziening van de gegevensverstrekkingen uit het kentekenregister. Met het navolgende advies voldoet het CBP aan het verzoek. 1. Kentekenregister als basisregistratie Het wetsvoorstel De aanwijzing van het kentekenregister als basisregistratie vindt zijn grondslag in het zogenoemde programma Stroomlijning Basisgegevens. Uitgangspunt van dit programma is dat er een verbetering van de gegevenshuishouding kan worden bereikt door het invoeren van een stelsel van basisregisters. Het kentekenregister fungeert eigenlijk al als basisregister, immers het kentekenregister is binnen de overheid (politie, justitie, belastingdienst) gezaghebbende bron van (persoons-) gegevens betreffende het kenteken, het voertuig en de houder. De voorgenomen wijziging van de Wvw regelt de wettelijke verankering van dit basisregister. Voor een basisregister wordt één beheerder (in dit geval de Dienst Wegverkeer (hierna: de RDW)) als verantwoordelijke aangewezen en overheidsorganen kunnen - zonder nader onderzoek - van de juistheid van bepaalde gegevens in het basisregister uitgaan. Burgers hoeven deze gegevens in principe slechts éénmaal te verstrekken en overheidsorganen moeten deze gegevens verplicht gebruiken. In artikel 42a, tweede lid, Wvw worden de zogeheten authentieke gegevens benoemd (dit zijn de gegevens zoals nu op het kentekenbewijs staan vermeld). Bij AMvB kunnen andere (categorieën van) authentieke gegevens worden aangewezen (artikel 42a, derde lid, Wvw). In artikel 43c Wvw is een regeling getroffen voor de gevallen waarin een overheidsorgaan gerede twijfel heeft over de juistheid van een authentiek gegeven. Bij de RDW rust de plicht onderzoek te doen en zonodig correctie(s) toe te passen en hiervan mededeling te doen aan de kentekenhouder. Artikel 43e, Wvw treft een voorziening voor het geval de belanghebbende gegronde reden heeft om aan te nemen dat de weergave van een authentiek gegeven in het kentekenregister onjuist is en om correctie/aanpassing verzoekt. De RDW beslist over een dergelijk verzoek en bericht de belanghebbende daarover. Voornoemde beslissing is aan te merken als een besluit in de zin van de Algemene wet bestuursrecht. Beoordeling: In lijn met de eerdere advisering van het CBP met betrekking tot de aanwijzing van het kadaster als basisregistratie, komt het CBP tot het volgende oordeel (z , advies van 5 september 2005 betreffende de wijziging Kadasterwet, gepubliceerd op de website van het CBP:

4 In de Memorie van Toelichting ( MvT, p.1) staat vermeld dat door het beginsel van verplicht gebruik door overheidsorganen de gegevens dienen te voldoen aan hoge - bij wet vast te stellen - kwaliteitseisen voor wat betreft de betrouwbaarheid en de actualiteit. Daarbij moet ook aandacht worden besteed aan de rechtsbescherming en de aansprakelijkheid van de beheerder voor de kwaliteit van de gegevens en de bescherming van persoonsgegevens. In het voorstel lijken voldoende waarborgen te zijn getroffen. Ook voor de rechtsbescherming is aandacht nu artikel 43e, tweede lid, Wvw voorziet in de mogelijkheid van bezwaar en beroep. In het advies over het wetsvoorstel Kadaster heeft het CBP een opmerking gemaakt over de verhouding tussen het recht van herstel (hier geregeld in artikel 43e, eerste lid, Wvw) en het correctierecht als bedoeld in artikel 36 WBP. In de MvT (p.6) is vermeld dat in zijn algemeenheid de Wet bescherming persoonsgegevens (WBP) voor wat betreft de verstrekking en het gebruik van gegevens van toepassing is. Het is het CBP echter niet duidelijk of het recht van herstel een bijzondere procedure is als bedoeld in artikel 36, vijfde lid, WBP of dat naast dit recht ook het recht van correctie als bedoeld in artikel, 36, eerste lid, WBP kan worden uitgeoefend. Artikel 36, vijfde lid, WBP bepaalt namelijk dat de artikelen 36, lid een tot en met vier, WBP buiten toepassing blijven indien de wet (waarbij het openbare register is ingesteld) voorziet in een bijzondere procedure voor de verbetering, aanvulling, verwijdering of afscherming van gegevens. Het CBP verzoekt u hier in de MvT duidelijkheid over te verschaffen. 2. Verstrekkingenregime Voorgeschiedenis De RDW verstrekt gegevens uit het kentekenregister aan partijen die hiertoe bij regeling of besluit van de minister van Verkeer en Waterstaat zijn aangewezen. Daartoe behoren ook een viertal belangenbehartigers van de automobielbranche. Deze organisaties mogen de gegevens gebruiken voor commerciële doeleinden (direct marketing). Eind 2001 is besloten aan deze verstrekking een einde te maken, met een overgangstermijn, per 1 maart Het CBP heeft ook aangedrongen op beëindiging van de verstrekking voor commerci?ële doeleinden. Het wetsvoorstel De voorgenomen wijzigingen van de Wvw hebben betrekking op de herziening van het huidige beleid ten aanzien van het verstrekken van gegevens uit het kentekenregister. In de MvT (p. 8 e.v.) wordt vermeld dat: (mede) op grond van de toegenomen aandacht voor de bescherming van de persoonlijke levenssfeer en de zorgvuldige verwerking van persoonsgegevens conform de WBP aanleiding is geweest tot de aankondiging van de Minister van Verkeer en Waterstaat om de verstrekking van naam-, adres- en woonplaatsgegevens voor commerci?ële doeleinden stop te zetten. Het belang van de strikte scheiding tussen publiek en privaat is mede van invloed op de wijze waarop gegevens die voor publiekrechtelijke doeleinden worden verzameld en beheerd, door de overheid verder zouden kunnen worden gebruikt. In het kader van het nieuwe verstrekkingenbeleid wordt een aantal uitgangspunten gehanteerd. Deze hebben vooral betrekking op de aard van de gegevens alsmede de te onderscheiden categorieën ontvangers van gegevens. De aard van de te verstrekken gegevens: Uitgangspunt bij de herziening van het verstrekkingenbeleid is dat de in het kentekenregister opgenomen gegevens in beginsel vrij beschikbaar zijn, tenzij deze beschikbaarstelling een (onevenredige) in breuk maakt op de rechten van betrokkenen. In het wetsvoorstel wordt daarom

5 een onderscheid gemaakt tussen gevoelige gegevens en niet-gevoelige gegevens. Tot de gevoelige gegevens behoren: a. persoonsgegevens; b. fraudegevoelige gegevens (zoals het voertuigidentificatienummer) en c. bedrijfsgevoelige gegevens (fabricagegevens). Tot de niet-gevoelige gegevens worden gerekend, alle overige gegevens. Dit zijn veelal technische gegevens die zelfs in combinatie met andere gegevens niet kunnen leiden tot een gevoelig gegeven. De in het kentekenregister opgenomen niet-gevoelige gegevens worden vrijelijk aan een ieder ter beschikking gesteld. De ontvangers van de gegevens: Het huidige systeem van verstrekkingen is neergelegd in de artikelen 42 tot en met 45 van de Wvw, de artikelen 6 tot en met 16 van het Kentekenreglement, een aantal ministeriële regelingen en besluiten en het Privacyreglement kentekenregister In de huidige regeling worden twee categorieën van ontvangers onderscheiden, namelijk autoriteiten enerzijds en belanghebbenden anderzijds. De categorie belanghebbenden is vervolgens weer onderverdeeld in (categorieën van) beroepsbeoefenaren (advocaten, gerechtsdeurwaarders), personen of instanties met een publiekrechtelijke taak en belangenbehartigers van de autobranche. In het voorliggende ontwerp wordt de term autoriteiten vervangen door het bredere begrip overheidsorganen, hieronder zijn nu ook begrepen instanties met een publiekrechtelijke taak (artikel 43, eerste lid, onder a, Wvw) en buitenlandse instanties (artikel 43, eerste lid, onder d, Wvw). Artikel 43, tweede lid, Wvw bepaalt vervolgens dat gevoelige gegevens slechts kunnen worden verstrekt aan bij of krachtens AMvB aangewezen categorieën van derden (nu belanghebbenden genoemd). Aan overheidsorganen worden alle gegevens verstrekt die zij nodig hebben voor de uitoefening van hun publiekrechtelijke taak. Hiermee wordt aangesloten bij het stelsel van basisregisters. Voor wat betreft het toezicht op het gebruik van de verstrekte gegevens voert de RDW alleen een (periodieke) basistoets uit (is de aanvrager een bestuursorgaan). De afnemende instantie is zelf verantwoordelijk voor juist gebruik (passend binnen de publiekrechtelijke taakuitoefening). Ten aanzien van overheidsorganen die op grond van artikel 41a, tweede lid, Wvw zijn aangewezen als een overheidorgaan vindt wel een vorm van toezicht plaats. Deze instanties zijn in de regel organen van privaatrechtelijke rechtspersonen die niet tot de overheid gerekend worden maar aan wie wel publiekrechtelijke taken zijn opgedragen. Vanwege het duale karakter van deze instanties en de taken en belangen die gemoeid kunnen zijn bij het uitvoeren van de publiekrechtelijke taak naast privaatrechtelijke of commerciële belangen, is het gewenst om toezicht te kunnen houden. Het is immers niet de bedoeling dat gevoelige gegevens ook voor commerciële doeleinden worden gebruikt (MvT p.13). Gevoelige gegevens worden alleen verstrekt aan categorieën van derden die bij AMvB worden aangewezen. Wie welke gegevens krijgt hangt af van de aard van de aanvrager en het soort gegevens. Momenteel krijgen bepaalde categorieën van beroepsbeoefenaren (advocaten, stichtingen voor rechtsbijstand, deurwaarders, verzekeringsmaatschappijen alsmede fabrikanten en importeurs van motorrijtuigen) onder meer gevoelige gegevens, een en ander is uitgewerkt in de Regeling gegevensverstrekking Kentekenregister. Onder het nieuwe regime geschiedt verstrekking van persoonsgegevens alleen onder de volgende voorwaarden: - gegevens worden alleen verstrekt voor welbepaalde doeleinden (doelbinding);

6 - alleen daartoe aangewezen (categorieën van) derden ontvangen persoonsgegevens; - het verstrekken van gevoelige gegevens geschiedt onder nadere voorwaarden; - ontvangers mogen deze gegevens niet doorleveren tenzij noodzakelijk voor het doel waarvoor deze gegevens zijn verstrekt; - de wijze van verstrekken wordt door de RDW bepaald (al dan niet via een online toegang); - alle (categorieën van) derden die gevoelige gegevens ontvangen, vallen onder een bepaalde vorm van toezicht van de RDW. De (categorieën van) derden zullen bij ministeriële regeling worden aangewezen, maar naar verwachting zullen de huidige categorieën van ontvangers blijven bestaan, met uitzondering van de categorie van belangenbehartigers van de autobranche (of zoals in de MvT genoemd: informatieproviders). Vanaf 1 maart 2007 ontvangt de automobielbranche alleen nog delen van gevoelige gegevens voor statistische doeleinden. Doordat in het voorstel de zogenaamde zoeksleutel (zoeken is alleen mogelijk op basis van het opgegeven kenteken) wordt losgelaten is een ruimere toegang tot het kentekenregister mogelijk. In de MvT (p. 14) is vermeld dat de RDW voorschriften van technische aard ter beveiliging van de systemen zal vaststellen. Ook voorschriften over de wijze van aanvraag en verstrekking van de gegevens worden zoveel mogelijk door de RDW vastgesteld. Hiertoe is in artikel 43, vijfde lid, Wvw een delegatiebepaling opgenomen (overigens is op p. 14 van de MvT abusievelijk 43, vierde lid, Wvw vermeld). Grote afnemers kunnen ook een abonnement afsluiten. Beoordeling Geconstateerde tegenstrijdigheden in de MvT: a. In de MvT (p. 12 en 13) is aangegeven dat ten aanzien van overheidsorganen die op grond van artikel 41a, tweede lid, Wvw, zijn aangewezen als een overheidsorgaan -in tegenstelling tot bestuursorganen in de zin van Awb ( zuivere overheidsorganen)- wel een vorm van toezicht zal plaatsvinden. In de paragraaf Toezicht en controle (MvT p. 16 e.v.) wordt echter gesteld dat voor overheidsorganen een passieve vorm van controle geldt. Deze passieve vorm van controle is niet in overeenstemming met de eerder in de MvT gesuggereerde vorm van toezicht. b. In de MvT (p.14) is vermeld dat gevoelige gegevens slechts worden verstrekt aan categorieën van derden die bij AMvB worden aangewezen. Vervolgens wordt in de MvT (p. 15) gesteld dat de aanwijzing van derden en categorieën van derden geschiedt door de minister van Verkeer en Waterstaat. Het CBP verzoekt u over beide punten duidelijkheid te verschaffen. Het voorgenomen verstrekkingenregime lijkt adequaat. Het CBP vraagt zich wel af hoe en met welke frequentie bij de private organisaties met een publiekrechtelijke taak het gebruik gaat worden gecontroleerd (zie verder ook onder controle en toezicht gebruik ). Het CBP neemt met instemming kennis van de beëindiging van de gegevensverstrekking aan de automobielbranche voor commercieel gebruik. Artikel 9, derde lid, WBP biedt voor het verstrekken van persoonsgegevens voor statistische doeleinden een grondslag. Het CBP wijst er wel op dat daarbij wordt vereist dat de verantwoordelijke, i.c. de RDW, de nodige voorzieningen heeft getroffen ten einde te verzekeren dat de verdere verwerking uitsluitend geschiedt ten behoeve van dit specifieke doel. Er moet dus voor worden gewaakt dat niet via deze "achterdeur de gegevens alsnog voor commerciële doeleinden worden gebruikt. Het is dan ook zaak dat de RDW hier met de automobielbranche afspraken over vastlegt in een overeenkomst en dat de naleving van de afspraken (periodiek) wordt gecontroleerd.

7 In de MvT (p. 11) is aangegeven dat het bovenstaande bij AMvB nader zal worden uitgewerkt, het CBP ziet graag te zijner tijd de concept-amvb ter advisering tegemoet. Controle en toezicht gebruik In de MvT (p. 16. e.v.) wordt ingegaan op de controle en toezicht op een juist gebruik van de uit het kentekenregister verstrekte gegevens. In de huidige wet is daar niets over geregeld. In het wetsvoorstel wordt voorzien in een uitwerking van het toezicht door de RDW. Er wordt voorgesteld om bepaalde categorieën van ontvangers aan een actiever toezicht te onderwerpen en bij geconstateerde overtreding passende maatregelen te treffen. Er wordt in het voorstel een onderscheid gemaakt tussen: a. een passieve vorm van controle bij overheidsorganen (inclusief (categorieën van) personen of instanties met een publiekrechtelijke taak). Deze controle houdt in dat er een basistoets plaatsvindt bij de eerste aanvraag: gaat het om een overheidsorgaan en gaat het om de uitoefening van een publiekrechtelijke taak. Verdere controle vindt alleen plaats na signaal uit de uitvoeringspraktijk. Het stoppen met gegevensverstrekking aan overheidsorganen - ingeval van onjuist gebruik wordt niet wenselijk geacht in het licht van het verplichte gebruik van de betrokken gegevens. De RDW zal wel bij geconstateerde onregelmatigheden het betrokken overheidsorgaan aanspreken. In voorkomende gevallen zal het CBP worden ingeschakeld (MvT p.18); b. een actieve vorm van toezicht bij derden: bij de eerste aanvraag wordt de identiteit van de aanvrager getoetst, daarnaast wordt vastgesteld onder welke voorwaarden de ontvanger gerechtigd is de gevoelige gegevens te ontvangen en voor welk doel. Bij of krachtens AMvB worden nadere verstrekkingsvoorwaarden vastgelegd. Het voornemen bestaat hier ook in op te nemen dat de ontvanger van gegevens maatregelen treft ter voorkoming van misbruik. De te nemen maatregelen dienen in overeenstemming te zijn met de risico s van onrechtmatige verwerking (artikel 13 WBP). De ontvanger van gegevens (in bulk) op basis van een abonnement wordt verplicht jaarlijks een EDP(Electronic Data Processing)-verklaring te overleggen, waarin een onafhankelijke auditor verklaart dat de ontvanger in overeenstemming met de voorwaarden heeft gehandeld. De RDW zal periodieke steekproeven bij ontvangers van gevoelige informatie houden. Bij misbruik is het mogelijk om de gegevensverstrekking te beëindigen (artikel 45a, vierde lid, Wvw). Beoordeling Controlemaatregelen klemmen des te meer nu het systeem van het bevragen op kenteken wordt losgelaten en het mogelijk wordt om in bulk gegevens op te vragen. Gelet op het vorengaande lijkt het er op dat er afdoende maatregelen worden getroffen om mogelijk misbruik te voorkomen. Voor de ontvangers van gegevens in bulk zal via de EDP-verklaring de nodige zekerheid worden verkregen. Het CBP vraagt zich echter af of de periodieke controles door de RDW bij overige afnemers afdoende zijn (hoe realistisch is het om bijv advocaten te controleren?). Advocaten ontvangen alleen persoonsgegevens uit het kentekenregister ten behoeve van eigendomsgeschillen, gerechtelijke procedures of in geval van faillissement, maar deze gegevens zijn waarschijnlijk ook zeer interessant in bijv. echtscheidingsprocedures. Aan dit aspect dient aandacht te worden besteed in de te nemen controlemaatregelen. Het CBP ziet graag de bij of krachtens AMvB vast te stellen verstrekkingsvoorwaarden te zijner tijd voor advisering tegemoet.