Privacyregulering in theorie en praktijk

Privacyregulering in theorie en praktijk Tweede druk Onder redactie van Prof. mr. J.EJ. Prins en prof. mr. J.M.A. Berkvens Met bijdragen van A.A.L. Beers J.M.A. Berkvens P. Blok G.P. van Duijvenvoorde B.M.A. van Eck R.E. van Esch B.M. Gamier R.J.M. van der Horst J.J.C. Kabel EA.M. van der Klaauw-Koops P.J.M. Kolkman R.W. van Kralingen F. Kuitenbrouwer L.L.F.M. Mutsaers J. Nouwt J.E.J. Prins A.E. Schilder E. Schreuders A.J.J.T. Singewald J.H.J. Terstegge A.H. Vedder A.E.B.M. van der Ven D.W.F. Verkade G.J. Zwenne 2000 Kluwer - Deventer

Inhoud Lijst van gebruikte afkortingen XIX 1. INLEIDING 1 Prof. mr. J.E.J. Prins en prof. mr. J.M.A. Berkvens 1.1. Regelgeving 1 1.2. Informatietechnologie 2 1.3. Maatschappelijke discussies 3 1.4. Tweede druk 4 2. PRIVACY IN ONTWIKKELING 5 Mr. P. Blok en mr. A. Vedder 2.1. Inleiding 5 2.2. De conceptuele kern van privacy 7 2.3. De conventionele invulling van het begrip 'persoonlijke levenssfeer' 11 2.4. Ontwikkelingen in de theorie 13 2.5. De uitbreiding van de persoonlijke levenssfeer 18 2.6. De relativering van de bescherming van de persoonlijke levenssfeer 20 2.7. Conclusie: twee uitwegen 23 2.8. Bibliografie 26 3. PRIVACY: EEN HISTORISCH-VERGELIJKEND OVERZICHT 33 Mr. F. Kuitenbrouwer 3.1. Inleiding 33 3.2. De Staatscommissie-Koopmans 33 3.3. Lijdensweg 35 3.4. De ontwikkeling van privacywetgeving in Europa 37 3.5. Internationale afspraken 42

3.6. De privacywet van 1988 45 3.7. Fraude en koppeling 47 3.8. WPRenWbp 51 3.9. De Registratiekamer 52 3.10. Nieuwe uitdagingen 54 4. DE ONTWIKKELING VAN BESCHERMING VAN PERSOONS- GEGEVENS IN DE RECHTSPRAAK 57 Prof. mr. D. WE Verkade 4.1. Inleiding 57 4.2. Redelijk doel van de persoonsregistratie (art. 4 WPR; art. 7 Wbp) 60 4.3. Opneming slechts van rechtmatig verkregen persoonsgegevens (art. 5 lid 1 WPR; art. 7 Wbp) 65 4.4. Gebruik van de gegevens moet met het doel van de registratie verenigbaar zijn (art. 6 lid 1 WPR; art. 7 en 9 Wbp) 65 4.5. Beperkingen op verstrekking aan derden (art. 11-14 en 18 WPR; art. 8 Wbp) 66 4.5.1. Ad (1) Doelverband 66 4.5.2. Ad (2) Aanwezigheid wettelijk voorschrift 67 4.5.3. Ad (3) Afwezigheid van toestemming van de geregistreerde 68 4.6. Inzage- en correctierecht (art. 29-31 WPR; art. 35 e.v. Wbp) 69 4.7. Besluit 74 5. DE WET BESCHERMING PERSOONSGEGEVENS 77 Prof. mr. J.E.J. Prins en prof. mr. J.M.A. Berkvens 5.1. Inleiding 77 5.2. VanWPRnaarWbp 77 5.3. Overzicht van de belangrijkste overeenkomsten en wijzigingen 80 5.4. Reikwijdte Wbp en definities 83 5.4.1. Reikwijdte 83 5.4.2. De verantwoordelijke 87 5.5. Materiele normen en verwerkingsgronden 90 5.5.1. Algemeen 90 5.5.2. Bijzondere gegevens 91 5.5.3. Toestemmingsvereiste 92 5.6. Rechten van betrokkenen 93 5.6.1. Algemeen 93 VI

5.6.2. 5.6.3. 5.6.4. 5.6.5. 5.6.6. 5.6.7. 5.7. 5.8. 5.9. 5.9.1. 5.9.2. 5.10. Limitering rechten Kennisgeving Kennisneming Correctie Verzet Geautomatiseerde beslissingen Zelfregulering Handhaving De internationale dimensie Export naar derde landen Toepasselijk recht Conclusie 93 94 95 96 96 97 98 98 100 100 101 103 6. DE WET BESCHERMING PERSOONSGEGEVENS, GEVOLGEN VOOR DE ORGANISATIE EN DE AUTOMATISERING 105 R.J.M. van der Horst 6.1. 6.2. 6.3. 6.4. 6.5. 6.6. 6.6.1. 6.6.2. Inleiding Begrippen Onderwerpen Organisatie en beveiliging Ethiekcommissie Tot slot Praktisch stappenplan uitvoering Wet bescherming persoonsgegevens Stappen 105 106 108 112 113 114 114 115 7. PRIVACYREGULERING EN DE AWB 117 Mr. A.E. Schilder 7.1. Inleiding 117 7.2. Privacy en rechtsbescherming 117 7.3. Privacy en handhaving 124 7.3.1. De positie van het College Bescherming Persoonsgegevens 125 7.3.2. Toezichthoudende bevoegdheden van het College 127 7.3.3. Sanctie-instrumenten van het College 128 7.3.4. De functionaris voor de gegevensbescherming 133 7.4. Slot 134 VII

8. OVERZICHT WET POLITIEREGISTERS 135 Mr. drs. A.E.B.M. van der Veen 8.1. 8.2. 8.2.1. 8.2.2. 8.2.3. 8.2.4. 8.3. 8.3.1. 8.3.2. 8.3.3. 8.3.4. 8.3.4.1. 8.3.4.2. 8.3.4.3. 8.3.5. 8.3.6. 8.3.7. 8.3.8. 8.4. 8.4.1. 8.4.2. 8.4.2.1. 8.4.2.2. 8.5. Inleiding Reikwijdte Persoonsgegevens en persoonsregistraties Politieregister: persoonsregistratie voor de politietaak Meldpunt ongebruikelijke transacties Bijzondere opsporingsdiensten Overzicht van de wet Aanleg van registers Inhoud van een register Reglementsplicht Bijzondere politieregisters Tijdelijke registers Register zware criminaliteit Voorlopig register Gesloten verstrekkingenregime Beveiliging Rechten van de geregistreerde College Bescherming Persoonsgegevens Betekenis van de Wbp voor de Wpolr Vervallen van de WPR Wbp naast de Wpolr Informatische relaties tussen politie en andere instanties Wbp en Wpolr binnen de politie Epiloog: de Wbp voor de politietaak? 135 136 136 136 137 138 140 140 141 142 143 143 145 146 147 148 149 150 151 151 154 154 155 157 9. DE GEMEENTELIJKE BASISADMINISTRATIE PERSOONSGEGEVENS 161 Mr. drs. L.L.EM. Mutsaers 9.1. Inleiding 161 9.2. Geschiedenis 161 9.3. Hoe zit het GBA-systeem in elkaar? 163 9.3.1. Despelers 163 9.3.1.1. De burger 163 9.3.1.2. Degemeente 164 9.1.3.3 Het ministerie van Binnenlandse Zaken en Koninkrijksrelaties 165 9.3.1.4. De gebruikers en het gebruikersoverleg 165 9.3.1.5. Het College Bescherming Persoonsgegevens (CBP) 166 VIII

9.3.2. 9.3.3. 9.3.4. 9.4. 9.4.1. 9.4.2. 9.4.3. 9.4.4. 9.5. 9.5.1. 9.5.2. 9.5.2.1. 9.5.2.2. 9.5.2.3. 9.5.2.4. 9.5.3. 9.5.4. 9.5.5. 9.6. 9.6.1. 9.6.2. 9.6.3. 9.7. 9.8. 9.8.1. 9.8.2. 9.8.3. 9.8.4. 9.8.5. 9.9. Toepasselijk recht De financiering Het vestigingsregister De inhoud van de GBA Welke gegevens worden opgenomen? Van wie worden de gegevens opgenomen? Hoe gescheidt de in- en uitschrijving? Wat zijn de bronnen van de persoonsgegevens? Het gebruik van de GBA Afnemers Derden Verplichte derden Bijzondere derden Vrije derden De basisadministraties in de Nederlandse Antillen en Aruba De ingeschrevene zelf Verplicht gebruik Grenzen aan het gebruik Toezicht, handhaving en rechtsbescherming Toezicht Periodieke audit Rechtsbescherming Andere registers Ontwikkelingen De kwaliteit Homohuwelijk en homoadoptie Een loket voor vreemdelingen Koppeling overheidsprestaties aan een juiste inschrijving in de GBA Toekomstdiscussie GBA Slotbeschouwing 166 167 167 168 168 170 170 172 175 176 177 179 180 181 182 183 184 185 187 187 187 188 190 191 191 191 192 193 194 194 10. PRIVACY EN WET OPENBAARHEID VAN BESTUUR 197 Mr. A.A.L. Beers 10.1. Inleiding 197 10.2. Privacybescherming als geheimhoudingsgrond 199 10.2.1. Reikwijdte van persoonlijke levenssfeer 201 10.2.2. Procedurele waarborgen 202 10.2.3. Toegestane inbreuken op privacy 204 10.2.4. Niet-toegestane inbreuken op privacy 207 IX

10.3. Verhouding tot andere informatieverstrekkingsregels 210 10.3.1. Wet bescherming persoonsgegevens 211 10.3.1.1. Art. 8, onderc, Wbp 211 10.3.1.2. Art. 8, onder e, Wbp 212 10.3.1.3. Art. 35 Wbp 213 10.3.2. Art. 67AWR 214 10.3.3. Wet politieregisters 215 10.3.4. Wet op de inlichtingen-en veiligheidsdiensten 216 10.4. Conclusies 218 1 1. PRIVACYREGULERING IN THEORIE EN PRAKTIJK: BELASTINGHEFFING 221 Mr. G.J. Zwenne 11.1. Belastingheffing 221 11.2. De taken van de Belastingdienst 221 11.3. Het verzamelen van informatie door de Belastingdienst 223 11.3.1. Welke informatie mag de belastingdienst opvragen? 224 11.3.2. Over wie mag de belastingdienst informatie opvragen? 227 11.3.3. Informatieplichten op te leggen aan overheden 228 11.4. Verschoningsrechten van informatieplichtigen 228 11.5. De informatieverstrekking door de Belastingdienst 230 11.6. Sofinummer 232 11.7. Ter afsluiting 232 12. PRIVACYREGULERING IN THEORIE EN PRAKTIJK: SOCIALE ZEKERHEID 235 Mr. B.M.A. van Eck 12.1. De sector sociale zekerheid 235 12.2. Gemeenschappelijke privacybeginselen 237 12.2.1. Rechtmatige gegevensverwerking 237 12.2.2. Doelbinding 238 12.2.3. Transparantie 239 12.2.4. Rechten van de betrokkene 239 12.3. Specifieke wetgeving 240 12.3.1. Algemene bijstandswet 240 12.3.2. Organisatiewet sociale verzekeringen 1997 245 12.4. Nieuwe ontwikkelingen 248

13. PRIVACY EN MEDISCHE INFORMATIE 251 Mr. dr. J. Nouwt 13.1. Inleiding 251 13.2. Het medisch beroepsgeheim 252 13.3. Verwerken van medische persoonsgegevens volgens de Wbp 255 13.4. Medische privacy in het BW 258 13.4.1. Reikwijdte (art. 7:446 BW) 258 13.4.2. Het medisch dossier (art. 7:454 BW) 260 13.4.3. Recht op vernietiging van gegevens (art. 7:455 BW) 261 13.4.4. Recht op inzage en afschrift (art. 7:456 BW) 262 13.4.5. Verstrekking van gegevens aan derden (art. 7:457 BW) 263 13.4.6. Verstrekking van gegevens ten behoeve van wetenschappelijk onderzoek (art. 7:458 BW) 265 13.4.7. Eenzijdig dwingend recht (art. 7:468 BW) 267 13.5. WbpofBW? 268 13.5.1. Overledenen 268 13.5.2. Minderiarigen 269 13.5.3. Medisch-wetenschappelijk onderzoek 269 13.5.4. Bewaartermijnen 269 13.5.5. Correctierecht 270 13.5.6. Informatieplicht 270 13.5.7. Duidelijkheid, eenvoud, rechtszekerheid 271 13.6. Samenvatting 274 14. PRIVACY EN WERKPLEK 275 Drs. J.H.J. Terstegge 14.1. Inleiding 275 14.2. Verhouding tussen privacyrecht en arbeidsrecht 276 14.2.1. De privacy-paradox 276 14.2.2. Effectuering van het recht op privacy 277 14.3. Grenzen aan de gezagsbevoegdheid 278 14.3.1. Het recht op prive-leven 278 14.3.2. Grensgebied prive en werk: controle aan huis 279 14.3.3. Privacy op het werk 279 14.4. Regels voor privacybescherming 281 14.4.1. Interne zelfregulering 282 14.4.2. Externe (zelf)regulering 282 14.4.3. Collectieve arbeidsovereenkomsten 284 XI

14.4.4. Wettelijke regelingen 284 14.4.4.1. Wet bescherming persoonsgegevens (Wbp) 284 14.4.4.2. Ambtenarenwet (Aw) en ARAR 287 14.4.4.3. Wet op de ondernemingsraden (WOR) 287 14.5. Aanstellingskeuringen en ziekteverzuimbeleid 288 14.5.1. Aanstellingskeuringen 288 14.5.2. Ziekteverzuim 290 14.6. Videocamera's 291 14.7. Digitale telefooncentrales, call monitoring en Internet 294 14.7.1. Digitale telefooncentrales en call monitoring 295 14.7.2. E-mail en internet 296 14.8. Slot en aanbevelingen 298 15. PRIVACY EN DIRECT MARKETING 301 Mr. A.J.J.T. Singewald 15.1. Inleiding 301 15.2. Bedrijfssectoren 302 15.3. Gedragscode 302 15.3.1. Privacy-gedragscode DMSA, Nederlandse associatie voor directmarketing, distance selling en sales promotion 302 15.3.2. Mail & telephone preference service 304 15.3.3. Commissie van toezicht, bestandstoezichthouder 305 15.4. De Wet bescherming persoonsgegevens 306 15.4.1. Verenigbaar gebruik en graad van verwantschap 306 15.4.2. Informatieplichtjegens de betrokkene 309 15.4.3. Recht van verzet 310 15.4.4. Recht van verzet en het inserten van folders 312 15.4.5. Bijzondere gegevens 312 15.4.6. Grensoverschrijdend gegevensverkeer 313 15.4.7. Directmarketing van bedrijven gevestigd buiten de Europese Unie 314 15.5. DeBezemwet 314 15.6. Europese ontwikkelingen 315 15.6.1. Raad van Europa 315 15.6.2. Europese Unie 315 15.7. Ter afsluiting 316 XII

16. INFORMATIEBUREAUS EN BESCHERMING PERSOONSGEGEVENS 317 Prof. mr. J.J.C. Kabel 16.1. Inleiding 317 16.2. Situatie voor de Wet persoonsregistraties 318 16.3. Wetshistorie en andere (rechts)bronnen 319 16.4. Ratio voor een afzonderlijke regeling 320 16.5. Typische kenmerken van informatiebureaus 322 16.6. Uitgezonderde verwerkingen 323 16.7. Verwerking van losse gegevens 324 16.8. Verwerking van gegevens over rechtspersonen 325 16.9. Verwerking van objectgegevens 325 16.10. Verwerking buiten medeweten van betrokkenen 326 16.11. Toetsing van de doeleinden van de gegevensverwerking bij informatiebureaus 328 16.12. Het regime van art. 13 WPR en de Wbp 330 16.12.1. Verwatering van de onderzoeksplicht met betrekking tot de juistheid van de op te nemen gegevens 330 16.12.2. Verval van de plicht alleen op verzoek te verstrekken 331 16.12.3. Strengere controle op verenigbaarheid doeleinden van verstrekker en afnemer 332 16.12.4. Plicht tot belangenafweging behouden 332 16.12.5. Protocolplicht vervallen 333 16.12.6. Informatieplichten afgezwakt, maar ogenschijnlijk minder uitzonderingen 334 16.13. Verwerking van bijzondere gegevens 336 16.14. Zwarte lijsten 338 17. ELECTRONIC COMMERCE 339 Prof. mr. R.E. van Esch 17.1. Inleiding 339 17.2. Persoonsgegeven: algemeen 341 17.3. Persoonsgegevens: anonimiteit/pseudoniem 343 17.4. Het begrip 'verwerking' 345 17.5. Rechtmatigheid verwerking 347 17.5.1. Toestemming 347 17.5.2. Gerechtvaardigd belang verantwoordelijke 349 17.5.3. Verwerking onverenigbaar met doeleinden 350 17.5.4. Bijzondere gegevens 351 XIII

17.6. Verantwoordelijke 352 17.7. Informatieverstrekking aan de betrokkene 354 17.8. Rechten van betrokkene 355 17.9. Gegevensverkeer met landen buiten de Europese Unie 356 17.10. Buitenwettelijke privacyinitiatieven e-commerce 357 17.11. Conclusie 359 17.12. Literatuur 359 18. PRIVACY EN NIEUWE TECHNOLOGIE 363 Drs. P.J.M. Kolkman en dr. mr. R. W. van Kralingen 18.1. Inleiding 363 18.2. Drie voorbeelden 363 18.2.1. De klantenkaart: een voorbeeld van een loyalty toepassing 364 18.2.2. Het gebruik van technieken voor identificatie op netwerken 364 18.2.3. De asielzoekerskaart 366 18.3. Privacybedreigende technieken? 367 18.3.1. Datamining 367 18.3.1.1. Data-warehousing 368 18.3.1.2. Datamining 368 18.3.1.3. Interpretatie 369 18.3.2. Electronic monitoring op internet 371 18.3.3. Biometrie 375 18.4. Privacy enhancing technologies 377 18.5. Tot slot 378 19. TELECOMMUNICATE EN PRIVACY 379 Mr. G.P. van Duijvenvoorde 19.1. Inleiding 379 19.2. Implementatie bijzondere privacyrichtlijn in Telecomrnunicatiewet 380 19.2.1. Privacybescherming in de EG 3 80 19.3. Implementatie in de Nederlandse wetgeving 382 19.3.1. Geen geintegreerde implementatie 382 19.3.2. Reikwijdte van de Wbp 383 19.3.3. Reikwijdte van hoofdstuk 11 Tw 386 19.4. Algemene verplichtingen van aanbieders van openbare netwerken of openbare diensten 388 19.4.1. Een algemene zorgplicht 388 XIV

19.4.2. Beveiliging 389 19.5. Verwerking van gegevens over often behoeve van de communicatie 390 19.5.1. Verkeersgegevens 390 19.5.2. Telefoongidsen en informatiediensten 392 19.6. Faciliteiten voor abonnees 394 19.6.1. Gespecificeerde nota's 394 19.6.2. Verhindering van doorschakeling 394 19.6.3. Automatische oproepsystemen 394 19.6.4. Nummeridentificatie 395 19.7. Toezicht 398 19.8. Vooruitblik 398 19.9. Enkele afsluitende opmerkingen 399 20. PRIVACYREGELS EN DE WBP OP HET INTERNET 401 Mr. E. Schreuders en mr. P. Blok 20.1. Inleiding 401 20.2. De virtuele samenleving van en op het internet 403 20.2.1. Kenmerken van het internet 403 20.2.1.1. Kenbaarheid en automatisering 403 20.2.1.2. Deterritorialisering 405 20.2.2. De partijen op het internet 406 20.3. Wat off line geldt, moet ook on line gelden 407 20.4. Het recht op privacy als grondrecht 407 20.5. De Internationale normen voor gegevensbescherming 409 20.6. De Wet bescherming persoonsgegevens 410 20.6.1. Doel en karakter van de Wbp 410 20.6.2. Definities en toepasselijkheid 411 20.6.2.1. Persoonsgegevens 412 20.6.2.2. Verwerken, verantwoordelijke en doorvoer 414 20.6.3. De reikwijdte 416 20.6.4. Conclusie over definities en toepasselijkheid 418 20.7. Materiele normen 419 20.8. Conclusies ten aanzien van de Wbp op het Internet 421 20.9. Slot 421 XV

21. PRIVACY EN MEDEDINGING 425 Mr. G.P. van Duijvenvoorde 21.1. Inleiding 425 21.2. Gebrek aan harmonisatie belemmert de mededinging 426 21.2.1. Internationale richtsnoeren 426 21.2.2. Harmonisatie door EG-regelgeving 427 21.3. Toepassing van privacywetgeving beperkt de mededinging 430 21.4. Mededingingsregels en privacy 431 21.4.1. De mededingingsregels - algemeen 431 21.4.2. Afspraken inzake de uitwisseling van persoonsgegevens 433 21.4.2.1. Algemeen toetsingskader 433 21.4.2.2. Toetsing door de NMa 435 21.4.3. Misbruik van machtspositie 438 21.4.3.1. Algemeen toetsingskader 438 21.4.4. Toetsing door de NMa 439 21.4.5. Het mededingingsrecht als vangnet 440 21.5. Privacy van rechtspersonen 441 21.5.1. Een informationeel zelfbestemmingsrecht voor rechtspersonen? 441 21.5.2. Herleidbaarheid van gegevens over rechtspersonen 443 21.5.3. De toepassing van de mededingingsregels 446 21.6. Afsluiting 447 22. INTERNATIONALE PRIVACYREGULERING: BELANGEN, PROBLEMEN EN MOGELIJKHEDEN 449 Mr. EA.M. van der Klaauw-Koops en prof mr. J.E.J. Prins 22 A. Inleiding 449 22.2. Internationale aandacht voor privacy 450 22.3. De OESO 451 22.4. De Raad van Europa 453 22.4.1. Het verdrag van Straatsburg 453 22.4.1.1. Inhoud en belangrijkste kenmerken van het Verdrag van Straatsburg 455 22.4.1.2. De minimumgrondbeginselen 456 22.4.1.3. Grensoverschrijdend verkeer van gegevens 457 22.4.2. De aanbevelingen 458 22.4.3. De raad van Europa en internet 459 22.4.4. De Nederlandse situatie in relatie tot het verdrag 460 22.5. De Europese Unie 460 XVI

22.6. De situatie in de Verenigde Staten 464 22.6.1. De Amerikaanse visie op privacybescherming 464 22.6.2. De positie van de VS ten opzichte van de Europese Unie 467 22.6.3. De overeenkomst als instrument 470 22.6.4. Techniek als instrument 471 22.7. De toekomst van internationale privacybescherming 472 23. ON LINE INFORMATIE OVER PRIVACY 475 B.M. Gamier Bijlagen 483 1. Wet bescherming persoonsgegevens 503 2. Richtlijn 97/46/EG 525 3. Richtlijn 97/66/EG Trefwoordenregister 535 XVII