Rechten van betrokkenen
De Wbp kent ook betrokkenen (personen over wie de persoonsgegevens iets zeggen)
rechten toe en legt de verwerkers informatieplichten op. Als een verwerker persoons
gegevens in handen krijgt en deze komen niet van de betrokkene zelf, moet de
verwerker de betrokkene daarvan op de hoogte stellen. Dat hoeft niet als het om een
overbrenging gaat in dezinvan de Archiefwet 1995.13 Burgers hebben het recht om
te verzoeken mee te delen of persoonsgegevens worden verwerkt die hen betreffen.
De verantwoordelijke moet hier binnen vier weken op antwoorden.
Archiefinstellingen zijn hiervan niet uitgezonderd.14 Ook kan de betrokkene vragen
om verbetering, aanvulling, verwijdering of afscherming van zijn persoonsgegevens.
Tegen een weigering kan hij beroep aantekenen. Omdat het CBP hier als toezicht
houder buiten staat ga ik hier niet verder op in.
Als een organisatie meer wil,
dan moet men te biecht bij het CBP
Bijzondere persoonsgegevens
De al genoemde bijzondere persoonsgegevens vormen een aparte categorie.15
Bijzondere persoonsgegevens zijn die gegevens die betrekking hebben op iemands
godsdienst of levensovertuiging, ras, politieke gezindheid, seksuele leven, gezond
heid of op strafrechtelijke aspecten. De wet is hier zeer streng: deze gegevens mogen
alleen verwerkt worden, als de betrokkene (degene op wie de gegevens betrekking
hebben) toestemming voor verwerking heeft gegeven of als de betrokkene de gege
vens zelf willens en wetens naar buiten heeft gebracht. Er is een uitzondering voor
wetenschappelijk onderzoek, maar de criteria daarvoor zijn zwaar. De Archiefwet
1995 kent een bepaling die zegt dat het verbod om bijzondere persoonsgegevens te
verwerken niet geldt voor de volgende 'klassieke' archieftaken: vervanging, overbren
ging, opneming en beheer. Deze verwerkingen zijn dus toegestaan; wat uitdrukkelijk
niet mag is het ter raadpleging of gebruik beschikbaar stellen, ook niet op de studie
zaal.16 Als een organisatie meer wil, dan moet men te biecht bij het CBP dat bevoegd
is om een ontheffing te geven van het verbod op het verwerken van bijzondere
persoonsgegevens en om nadere beperkingen en voorschriften te geven.17 De wet
eist dan dat de verwerking "noodzakelijk [is] met het oog op een zwaarwegend
algemeen belang"Openbaarmaking van bijzondere persoonsgegevens door een
archiefinstelling zal niet snel aan deze voorwaarde voldoen. In 2011 werd slechts
één ontheffing verleend, het jaar daarvoor ook.
Taken en bevoegdheden van het CBP
Het CBP heeft een taak als adviseur bij wetgeving als die raakt aan de bescherming
van persoonsgegevens. Hier ga ik niet verder op in. Relevanter voor deze bijdrage zijn
de bevoegdheden die de toezichthouder heeft om de naleving van de Wbp af te
dwingen. Verantwoordelij ken voor een verwerking hebben - behoudens de vrijstel
lingen - de eerder genoemde meldingsplicht. Bij niet-naleving van deze administra
tieve plicht kan een boete worden opgelegd van maximaal €4500.18 Zoals al eerder
opgemerkt wordt de meldingsplicht praktisch niet meer gehandhaafd. Boetes opleg
gen voor andere overtredingen van de Wbp kan het CBP niet. Het CBP is weer wel
bevoegd tot toepassing van bestuursdwang ter handhaving van de Wbp en de
daaraan verbonden regelingen. Bestuursdwang betekent kortweg dat de overheid
doet of laat doen wat nodig is om de gevolgen van een overtreding ongedaan te
maken. In plaats daarvan mag ook een last onder dwangsom worden opgelegd. Dit
zijn uiterste middelen, waaraan altijd overleg, waarschuwingen en een formeel
besluit vooraf zullen gaan.19
De functionaris voor de gegevensbescherming
Een uitgangspunt van de wet was om zelfregulering en intern toezicht mogelij k te
maken. Vanuit deze optiek is de mogelijkheid geopend voor de verantwoordelijke
voor verwerkingen van persoonsgegevens (de organisatie) om een zogenaamde
functionaris voor de gegevensbescherming aan de stellen. Deze FG ziet toe op een
correcte gang van zaken en hij heeft daarbij een onafhankelij ke positie. Meldingen
van gegevensverwerkingen binnen de organisatie worden bij deze FG gedaan. De aan
wezigheid van zo'n functionaris doet niets af aan de bevoegdheden van het CBP,
maar deze heeft aangegeven terughoudend te zullen optreden als er een FG is.20 Veel
organisaties lijken terug te deinzen voor het aanstellen van een FG, mogelijk omdat
de wet zegt dat deze bij de uitoefening van zijn taken onafhankelijk moet zijn. FG's
genieten ook een verhoogde ontslagbescherming.21 Een lijst van organisaties die een
FG hebben aangesteld is op de website van het CBP te vinden.
Journalistieke, artistieke of literaire verwerkingen
Er is een terrein waar het CBP weinig tot geen zeggenschap heeft: dit is op het punt
van 'verwerkingen voor uitsluitend journalistieke, artistieke of literaire verwerkin
gen'.22 Veel regels van de Wbp zijn niet van toepassing op bijvoorbeeld nieuwsmedia,
voor zover de verwerkingen functioneel met de nieuwsvoorziening te maken hebben.
De achtergrond hiervan is dat het grondrecht van de bescherming van persoons
gegevens op de een of andere manier verzoend moest worden met het grondrecht
van de informatievrijheid. Inmiddels is duidelijk dat de rechter ook online archieven
van nieuwsmedia onder de uitzondering van de journalistieke verwerkingen laat
vallen; het CBP is dezelfde mening toegedaan. De toezichthouder is hier dus prak-
HET BESTEL
13 Wbp, artikelen 34 en 44 lid 2, Archiefwet 1995 (Aw), artikelen 12 en 13.
14 Wbp, artikel 35.
15 Wbp, artikel 16.
16 Aw, artikel 2a.
17 Wbp, artikel 23 lid 1 sub e.
18 Wbp, artikelen 27 en 28 jo 66.
162
TJEERD SCHIPHOF HET COLLEGE BESCHERMING PERSOONSGEGEVENS ALS TOEZICHTHOUDER
19 Wbp, hoofdstuk 10 (sancties).
20 H.B. Winter e.a., Wat niet weet wat niet deert. Een evaluatieonderzoek naar de werking van de Wet bescherming
persoonsgegevens in de praktijk, Den Haag, 2008. p. 98.
21 Voor opzegging van de arbeidsovereenkomst heeft de werkgever in de regel toestemming nodig van de
kantonrechter, Burgerlijk Wetboek, artikel 670a lid 1 sub d.
22 Wbp, artikel 3.
163
