op overheidshandelen toezicht moet kunnen houden. Dat dit serieus wordt
genomen blijkt uit het feit dat de Europese Commissie niet lang geleden een proce
dure voerde tegen Duitsland, omdat men meende dat de toezichthouder daar - in
strijd met de richtlijn - onder overheidstoezicht stond. Het Europees Hof van Justitie
oordeelde in maart 2010 dat Duitsland inderdaad geen toezicht op de toezichthou
der mocht houden.7 Om deze redenis in Nederland gekozen voor een zelfstandig
bestuursorgaan. Dat is een bestuursorgaan op het niveau van de centrale overheid,
maar niet hiërarchisch ondergeschikt aan de minister (van Veiligheid enjustitie).
De richtlijn voorziet ook in de instelling van een samenwerkingsverband van de toe
zichthoudende organen in de verschillende lidstaten, naar de betreffende bepaling
de 'artikel 29 Werkgroep' genoemd. Deze groep heeft een adviserende taak. Sinds
2010 is de voorzitter van het CBP, Jacob Kohnstamm, ook voorzitter van deze groep.
Onafhankelijkheid
is uiteraard altijd relatief
Onafhankelijkheid is uiteraard altijd relatief. Zo moet ook het CBP opereren binnen
een bepaald budget, dat in 2011 7,6 miljoen bedroeg. In datzelfde jaar was de perso
neelsomvang 80,5 fte. De minister van Justitie Veiligheid en Justitie beschikt over
een inlichtingenrecht, benoemt de leden, keurt het bestuursreglement goed en heeft
de bevoegdheid om beleidsregels te stellen met betrekking tot de door het CBP op te
leggen bestuurlijke boetes. De regeling van de rechtspositie van de leden van het CBP
gebeurt bij algemene maatregel van bestuur.
Persoonsgegevens, verwerkingen, doelbinding en bewaartermijn
De Wbp is de Nederlandse implementatie van de richtlijn en deze wet legt dus de
(vooral) elektronische verwerking van persoonsgegevens aan banden.8 Onder per
soonsgegeven wordt - kortweg - verstaan: elk gegeven dat iets zegt over een nog
levende natuurlijke persoon. Een verwerking is feitelijk alles wat men met persoons
gegevens zou kunnen doen, zoals: verzamelen, opslaan, bewerken, doorgeven en
openbaar maken. Er zijn (nog) striktere regels voor de zogenaamde bijzondere per
soonsgegevens, gegevens die iets zeggen over godsdienst of levensovertuiging, ras,
politieke gezindheid, gezondheid, seksueel leven en strafrechtelijke zaken. Op een
aantal punten houdt de Wbp rekening met de eisen die deugdelijk archiveren stelt.
Zo kent de wet het principe van de 'doelbinding': gegevens mogen niet voor een doel
verwerkt worden dat onverenigbaar is met het doel waarvoor ze in eerste instantie
zijn verzameld. Verdere verwerking van gegevens voor historische, statistische of
wetenschappelijke doeleinden wordt echter niet als onverenigbaar beschouwd, als
de verantwoordelijke (in casu de archiefbeheerder) voorzieningen heeft getroffen om
te verzekeren dat de verdere verwerking ook alleen ten behoeve van genoemde doel-
einden geschiedt.9 Een andere uitzondering betreft de bewaartermijn. Een belangrijk
principe in de privacybescherming is dat gegevens niet langer dan nodig bewaard
mogen blijven. Ook de Wbp gaat hiervan uit, maar met de toevoeging dat persoons
gegevens langer mogen worden bewaard voor zover dat voor historische, statistische
of wetenschappelijk doeleinden is. Ook hier moet de verantwoordelijke voorzienin
gen treffen om er voor te zorgen dat de gegevens alleen voor genoemde doeleinden
gebruikt worden.10
Melding van verwerkingen
Voor verwerkingen geldt in principe een meldingsplicht bij het CBP of bij de zoge
naamde functionaris voor de gegevensbescherming, de 'FG', waarover later meer.11
De achtergrond van deze meldingsplicht is om de verwerking van persoonsgegevens
transparant te maken: elke burger zou in het openbare register van meldingen kun
nen nagaan waar en hoe zijn gegevens werden verwerkt, om dan vervolgens eventu
eel van zijn informatie- of correctierecht gebruik te kunnen maken. Men hoopte ook
te bereiken dat verantwoordelij ken door deze meldingsplicht gedwongen zouden zijn
meer aandacht te schenken aan hun verwerkingen. Het niet voldoen aan deze admi
nistratieve verplichting kan door het CBP beboet worden met maximaal 4500.
Het is allemaal niet zo gelopen als gehoopt: van transparantie is nauwelijks sprake,
en de meldplicht blijkt niet of nauwelijks bij te dragen aan de bescherming van
persoonsgegevens. Meldingen die bij de eerder genoemde FG zijn gedaan zijn al hele
maal niet eenvoudig naspeurbaar. Verder is het zo dat de melding, in tegenstelling tot
wat men zou verwachten, geen vervolg krijgt: het CBP geeft geen oordeel over de
gemelde verwerking. Het CBP geeft inmiddels geen prioriteit meer aan het controle
ren van meldingen. Later in deze bijdrage kom ik terug op de meldingsplicht, die op
de nominatie staat te worden afgeschaft.
Desalniettemin: moeten verwerkingen in de archiefsector worden aangemeld? Er is
een besluit dat uitzonderingen geeft: het idee daarachter is dat verwerkingen die
weinig risico met zich mee brengen van melding vrij gesteld kunnen zijn. Daaronder
vallen ook verwerkingen die verband houden met een archiefbestemming.12 Als men
op deze uitzondering een beroep wil doen moet aan een aantal eisen zijn voldaan. De
verwerking mag alleen plaatsvinden met het oog op archiefbeheer, de behandeling
van geschillen en het verrichten van wetenschappelijk, statistisch of historisch
onderzoek. Verder mogen er alleen persoonsgegevens worden verwerkt die deel
uitmaken van de archiefbescheiden; de persoonsgegevens mogen slechts worden
verstrekt aan degenen (waaronder derden) die zijn belast met of leiding geven aan
het archiefbeheer, door de verantwoordelijke zijn belast met het behandelen van
geschillen, dan wel wetenschappelijk, statistisch of historisch onderzoek verrichten
of die daarbij noodzakelij k zijn betrokken; en aan anderen alleen voor zover de wet
daarin voorziet. 'Traditionele' archiefhandelingen hoeven dus niet gemeld te
worden; zodra echter archiefbescheiden met daarin persoonsgegevens in ruime
kring beschikbaar worden gesteld, treedt men strikt genomen buiten deze vrijstelling
en moet men de betreffende verwerking melden, tenzij de verwerking onder een
andere vrijstelling gebracht kan worden.
HET BESTEL
6 Kamerstukken II, 1997-1998, 25892, nr. 3 p. 26 (memorie van toelichting).
7 Hof van Justitie EU 9 maart 2010, Commissie tegen Duitsland, C-518/07.
8 Zie voor een praktische handleiding: A. Beunen en T.A. Schiphof, Juridische Wegwijzer Archieven en Musea
online, Taskforce Archieven/Museumvereniging, 2006. Downloadbaar op http://www.taskforce-archieven.
nl/projects/juridischewegwijzer.
160
TJEERD SCHIPHOF HET COLLEGE BESCHERMING PERSOONSGEGEVENS ALS TOEZICHTHOUDER
9 Wbp, artikel 9.
10 Wbp, artikel 10.
11 Wbp, artikel 27.
12 Wbp, artikel 29, vrijstellingsbesluit.
161
