R e g i s t r a t i e k a m e r Advocatenkantoor 18 april 2001 mr. R.W.A. Wishaw M.S.070-3811343..'s-Gravenhage, 9 juli 2001.. Onderwerp U heeft de Registratiekamer een aantal vragen gesteld met het verzoek deze te beantwoorden in het kader van de Wet bescherming persoonsgegevens (WBP). De Registratiekamer zal hieronder de vragen beantwoorden met daar waar relevant een korte samenvatting van de vraag. Telefonisch heeft u globaal de antwoorden op de vragen meegedeeld. De schriftelijke beantwoording van de vragen heeft helaas langer geduurd dan gebruikelijk. Mijn excuus daarvoor. Beantwoording van de vragen 1a. antwoord: het betreft in casu het verwerken van persoonsgegevens. Rijbewijsnummers en paspoortnummers zijn persoonsgegevens evenals kentekennummers, telefoonnummers en postcodes met huisnummers. Kortheidshalve wil ik u verwijzen naar de uitsprakenbundel van de Registratiekamer Persoonsgegevens beschermd, uitspraken van de Registratiekamer, tweede druk, SDU, Den Haag, 1999, pagina 1 e.v. 1b. vraag: kan artikel 8, onder f, als grondslag voor verwerking dienen ten behoeve van fraudebestrijding: I. Voor het vergelijken van de ingevoerde NAW-gegevens met de NAW gegevens door KPN beschikbaar gesteld? Antwoord: ja. Het betreft hier het verifiëren van door de betrokkene aangeleverde gegevens met gegevens die zijn verkregen uit openbare bron. Er zullen echter voorzieningen moeten worden getroffen indien o.a. een persoon een niet geregistreerd Prins Clauslaan 20 Uw brief 18 april 2001 Postbus 93374 Bijlagen 2509 AJ 's-gravenhage Contactpersoon mr. R.W.A. Wishaw M.S. Tel. 070-3811300 Doorkiesnummer Fax 070-3811301
Blad 2 of geheim telefoonnummer heeft. Deze komt dan niet voor in de openbare KPN database. Ook indien een persoon alleen over een 06 nummer beschikt kan verificatie lastig worden. II. Het doorgeven van door de betrokkene ingevoerde bankrekeningnummer aan de BGC, en het verifiëren daarvan? Antwoord: ja. Het betreft hier een noodzakelijke check of NAW-gegevens overeenkomen met het opgegeven bankgironummer zodat betalingen correct kunnen verlopen. III. Het door de belastingdienst laten controleren dan wel zelf controleren van het Sofinummer? Antwoord: Het gebruik van het sociaal-fiscaal nummer is aan regels gebonden. Ingevolge artikel 6a, eerste lid, Wet persoonsregistraties wordt een nummer dat ter identificatie van een persoon wettelijk is voorgeschreven, in een persoonsregistratie of bij het verstrekken van gegevens daaruit, slechts gebruikt ter uitvoering van de betrokken wettelijke regeling dan wel ten behoeve van de richtige uitvoering van wettelijke voorschriften waarbij eveneens van dat nummer gebruik kan worden gemaakt. Het nummer kan tevens worden gebruikt in andere gevallen bij of krachtens de wet bepaald. Het tweede lid van artikel 6a bepaalt dat bij algemene maatregel van bestuur gevallen kunnen worden aangewezen waarin een daarbij aan te wijzen nummer als bedoeld in het eerste lid, kan worden gebruikt. Daarbij kunnen nadere voorschriften worden gegeven over het gebruik van een zodanig nummer. De Wet bescherming persoonsgegevens die dit jaar de WPR zal vervangen, bevat een soortgelijke bepaling:
Blad 3 Artikel 24 1. Een nummer dat ter identificatie van een persoon bij wet is voorgeschreven, wordt bij de verwerking van persoonsgegevens slechts gebruikt ter uitvoering van de betreffende wet dan wel voor doeleinden bij de wet bepaald. 2. Bij algemene maatregel van bestuur kunnen andere dan in het eerste lid bedoelde gevallen worden aangewezen waarin een daarbij aan te wijzen nummer als bedoeld in het eerste lid, kan worden gebruikt. Daarbij kunnen nadere regels worden gegeven over het gebruik van een zodanig nummer. Het voorgaande betekent dat voor het rechtmatig gebruik van het sofi-nummer een formeelwettelijke basis vereist is. Op basis van het Besluit gebruik sofi-nummer kan in bepaalde gevallen het gebruik van het sofi-nummer worden toegelaten, anders dan op basis van reeds bestaande wettelijke regelingen. De toestemming van de betrokkene speelt daarbij geen rol. In het kader van de Wet inkomstenbelasting 2001 (Wet IB 2001) dienen bepaalde administratieplichtigen renseignementen over natuurlijke personen eigener beweging en voorzien van sociaal-fiscale nummers aan de rijksbelastingdienst te verstrekken. De wettelijke basis hiervoor is te vinden in de artikelen 53, tweede en derde lid, 47b, tweede lid, en 52a van de Algemene wet inzake rijksbelastingen (AWR) en in artikel 10.8 van de Wet IB 2001. Uw cliënt mag het sofi-nummer slechts gebruiken voor zover dit noodzakelijk is in verband met de renseignering aan de fiscus. Het gebruik van het sofi-nummer voor andere doeleinden dan de renseignering aan de fiscus is niet toegestaan. Hiervan is sprake bij het gebruik van het nummer als intern ordeningsinstrument in de administratie, bij voorbeeld voor het verkrijgen van inzicht of er al een eerdere relatie met een bepaalde klant bestaat, of voor het aggregeren van totaalinformatie over een klant, wanneer er sprake is van een meervoudige klantrelatie. Het zelfstandig gebruik van het Sofi-nummer, zelfs als de klant daar toestemming voor geeft, is niet toegestaan. IV. Toetsing kredietwaardigheid bij het BKR. De verwerking vindt haar grondslag in artikel 8, onder f, WBP. In de MvT (25 892, nr. 3, p. 81) wordt in dit kader over dergelijke onderzoeken het volgende opgemerkt:
Blad 4 Ingevolge de Wet op het Consumentenkrediet (Stb. 1990, 395) dient in bepaalde gevallen voordat consumptieve kredieten kunnen worden verstrekt de schuldenpositie van de kredietaanvrager te worden getoetst. De Stichting Bureau Kredietregistratie toetst deze kredietwaardigheid van particulieren. De gegevensverwerkingen die voortvloeien uit deze toetsingstaak gelden weliswaar als zijnde noodzakelijke precontractuele stappen teneinde een krediet-overeenkomst met de betrokkene te kunnen aangaan maar kunnen bezwaarlijk worden aangemerkt als handelingen die op verzoek van de betrokkene worden verricht. Deze handelingen beogen meer het gerechtvaardigd belang van de bank te dienen enige informatie te hebben over de financiële positie van de betrokkene alvorens met hem bepaalde overeenkomsten te sluiten. De gegevensverwerkingen die in het kader van deze handelingen plaatsvinden worden daarom ook gerechtvaardigd door artikel 8, onder f. De handelingen moeten voorts noodzakelijk zijn teneinde de overeenkomst te kunnen sluiten. 2. Voorafgaand onderzoek Registratiekamer (artikel 31 WBP). Antwoord: Het gebruik van het Sofi-nummer is reeds onder 1 b III uitvoerig besproken. Het nummer van het identiteitsbewijs kan zondermeer via het VIS systeem bij het BKR worden gechecked op validiteit. Het bankrekeningnummer mag ook bij de BGC worden gechecked om na te gaan of NAW overeenkomen met rekeningnummer. Geen voorafgaand onderzoek is nodig in de casus zoals door u geschetst in uw brief. 3. Direct mail (opt-in). Dient de verantwoordelijke bij iedere boodschap de betrokkenen te wijzen op het recht van verzet? Antwoord: De verantwoordelijke dient ingevolge artikel 41, vierde lid, WBP bij iedere boodschap de betrokkene op het recht van verzet te wijzen. Dit kan eenvoudig door een standaard zin in de tekst van de boodschap op te nemen. Subvraag: Is het vragen van toestemming voor toezending van direct mail ter zake van kredieten en verzekeringen vereist? Zo ja, hoe specifiek moet de toestemming zijn? Antwoord: Zoals u in uw toelichting aangeeft, is het van belang om de verwantschap van de producten goed in het oog te houden bij het gebruik van persoonsgegevens bij het toezenden van mailings over andere producten. Het is niet noodzakelijk dat voor het verzenden van mailings vooraf toestemming wordt verkregen indien deze verwant zijn. Ontvangers van de mailing kunnen vervolgens - indien zij geen prijs stellen op verdere mailings - gebruik maken van hun recht op verzet (opt-out). Zij zijn van dit recht op de hoogte gebracht door de opname van de standaard zin die uw cliënt op alle mailings heeft aangebracht. Het kan zijn dat de gedragscode die geldt voor het verzekeringsbedrijf (Staatscourant 1998, 44) van toepassing is.
Blad 5 Tot slot wil ik u erop wijzen dat het gebruik van internet bepaalde inherente risico s in zich houdt. Op grond van artikel 13 WBP dienen deze passend in maatregelen te zijn afgedicht. Ook is een punt van aandacht de uitwisseling van persoonsgegevens met derden zoals (handels)informatiebureaus. Het verdient aanbeveling om met de bureaus duidelijke afspraken te maken over het (verder) verwerken van de persoonsgegevens. Graag wil ik de serie Achtergrondstudies en Verkenning onder uw aandacht brengen. Met name de rapporten Koning Klant, het gebruik van klantgegevens voor marketingdoeleinden en De gewaardeerde klant, privacyregels voor creditscoring kunnen voor u en uw cliënt van waarde zijn. De rapporten zijn ook via onze internetsite beschikbaar (www.registratiekamer.nl). Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, mr. U. van de Pol plv. voorzitter