Ike handeling telt
ARCHIEFDIENSTEN
en de WET BESCHERMING PERSOONSGEGEVENS
1
juridische zaken
BB2
juridische zaken
In verband met vastlegging en verstrekking
van persoonsgegevens beschermt de Wbp de
persoonlijke levenssfeer. Het terrein van de eer
biediging van die persoonlijke levenssfeer is ech
ter ruimer, hetgeen duidelijk wordt als we het
recht op privacy omschrijven in de klassieke
definitie 'The right to be Iet alone'.121 Het blijft
dan ook zinvol dat de Archiefwet 1995 het,
naast de Wbp, mogelijk maakt de openbaarheid
van archiefbescheiden te beperken met het oog
op "de eerbiediging van de persoonlijke levens
sfeer" (artikel 15, eerste lid, onder avan de
Archiefwet 1995). Er zijn ook openbaarheidsbe
perkingen te formuleren die verder gaan dan
bescherming van persoonsgegevens volgens de
Wbp: ter eerbiediging van de privacy of met het
oog op de (in artikel 15, eerste lid, onder b en c,
genoemde) belangen van de Staat of zijn bond
genoten of "het anderszins voorkomen van on
evenredige bevoordeling of benadeling van
betrokken natuurlijke personen of rechtsperso
nen danwel van derden." Zo kan ik mij voorstel
len dat archiefwettenjke beperking van de open
baarheid van bepaalde persoonsgegevens die
overledenen betreffen (die niet vallen onder de
Wbp), nodig is met het oog op de privacy (dan
wel ter voorkoming van onevenredige benade
ling) van (in de stukken zelf niet eens voorko
mende!) levende personen. Over juridische en
ethische vraagstukken die daar verband mee
houden heb ik al vaker geschreven'31: nu gaat
het om de Wet bescherming persoonsgegevens.
Gegevens over overleden personen zijn geen per
soonsgegevens in de zin van de Wbp. Hoewel
het voor archiefdiensten vaak lastig of onmoge
lijk is vast te stellen of de persoon op wie de
gegevens betrekking hebben al of niet is overle
den, mogen we er van uitgaan dat in bescheiden
van 110 jaar en ouder geen gegevens over thans
levende personen voorkomen[4]. Zij vallen dus
niet onder de Wbp. Dit heeft als consequentie
dat de archiefdienst persoonsgegevens in
archiefbescheiden jonger dan 110 jaar moet aan
merken als gegevens van nog levende personen,
tenzij vaststaat dat de betrokkene(n) overleden
is (zijn).
Aan de verwerking van dergelijke gegevens
bindt de wet strikte voorwaarden. Verwerking
houdt in ieder geval in: het verzamelen, vastleg
gen, ordenen, bewaren, bijwerken, wijzigen,
opvragen, raadplegen, gebruiken, verstrekken
door middel van doorzending, verspreiding of
enige andere vorm van terbeschikkingstelling,
samenbrengen, met elkaar in verband brengen,
maar ook het afschermen, uitwissen of vernieti
gen van gegevens. Dus alle handelingen van een
archiefdienst met betrekking tot persoonsgege
vens aangaande levende personen (zowel het
bewaren in het depot, het toegankelijk maken,
het ter beschikking stellen, enz.), ongeacht of
deze vóór of na de inwerkingtreding van de
Wbp zijn verworven, zijn een verwerking in de
zin van de Wbp.
Op de (geheel of gedeeltelijk) geautomatiseerde
verwerking van persoonsgegevens is de Wbp
zonder meer van toepassing. De niet geautomati
seerde verwerking valt slechts onder de Wbp
voor zover het gaat om gegevens die in een
bestand zijn opgenomen of die daarvoor
bestemd zijn. Onder 'bestand' verstaat de wet:
elk gestructureerd geheel van persoonsgegevens
dat volgens bepaalde criteria toegankelijk is en
betrekking heeft op verschillende personen.
Onder deze definitie vallen eigenlijk alle archief
bestanden voor zover gestructureerd toeganke
lijk (door ordening of door een index) op naam
of op een ander persoonsgegeven. Let wel, ook
gegevens over een onderneming, transacties van
woningen, kentekens van auto's, postcodes met
huisnummers en herkenbare (video) afbeeldin
gen kunnen persoonsgegevens zijn. Ja, zelfs de
vermelding van personen of functionarissen in
bijvoorbeeld notulen is een persoonsgegeven;
wel moeten de notulen dan gestructureerd op
naam toegankelijk zijn. Wat telt is of het gege
ven bepalend kan zijn voor de wijze waarop de
betrokken persoon in het maatschappelijk ver
keer wordt beoordeeld.[5] Is een collectie foto's
of advertenties, briefhoofden enz. of de stam
boeken op naam of op een ander persoonsgege
ven over een levende persoon toegankelijk, dan
betekent dat voor de archiefdienst o.m. dat de
collectie een bestand in de zin van de Wbp is.
Het feit dat een onderzoeker in een niet op
naam toegankelijke fotocollectie wel personen
kan identificeren, maakt die collectie nog niet
tot een bestand waarin persoonsgegevens zijn
opgenomen.
"Iedere verwerking van persoonsgegevens die
deel uitmaken van archiefbescheiden als
bedoeld in de Archiefwet 1995 valt onder artikel
8, onder c en e, van de Wbp. Binnen de daar
gestelde randvoorwaarden is het mogelijk zoda
nige persoonsgegevens te verwerken" (MvT,
blz. 43).
Volgens art. 8 mogen persoonsgegevens slechts
worden verwerkt in één van de volgende geval
len, namelijk indien:
a de betrokkene voor de verwerking zijn
ondubbelzinnige toestemming heeft ver
leend;
b de gegevensverwerking noodzakelijk is voor
de uitvoering van een overeenkomst waarbij
de betrokkene partij is, of voor het nemen
van precontractuele maatregelen naar aanlei
ding van een verzoek van de betrokkene en
die noodzakelijk zijn voor het sluiten van een
overeenkomst;
c de gegevensverwerking noodzakelijk is om
een wettelijke verplichting na te komen waar
aan de verantwoordelijke onderworpen is;
d de gegevensverwerking noodzakelijk is ter
vrijwaring van een vitaal belang van de
betrokkene;
e de gegevensverwerking noodzakelijk is voor
de goede vervulling van een publiekrechtelij
ke taak door het desbetreffende bestuursor
gaan dan wel het bestuursorgaan waaraan de
gegevens worden verstrekt;
f de gegevensverwerking noodzakelijk is voor
de behartiging van het gerechtvaardigde
belang van de verantwoordelijke of van een
derde aan wie de gegevens worden verstrekt,
tenzij het belang of de fundamentele rechten
en vrijheden van de betrokkene, in het bij
zonder het recht op bescherming van de per
soonlijke levenssfeer, prevaleert.
Verder is, onder bepaalde voorwaarden, gege
vensverwerking voor historische, wetenschappe
lijke of statistische doeleinden toegelaten (zie
stappen 6 en 7).
Art. 13 eist passende technische en organisatori
sche maatregelen om persoonsgegevens te
beveiligen tegen verlies of tegen enige vorm van
onrechtmatige verwerking. Rekening houdend
met de stand van de techniek en de kosten van
Zelfs de vermelding
van personen
of functionarissen
in bijvoorbeeld
notulen is een
persoonsgegeven.
18
archievenblad
19
Waarschijnlijk per 1 september
a.s. treedt de Wet bescherming
persoonsgegevens in werking en
wordt de Archiefwet 1995 met
een nieuw artikel 2a aangevuld.
De Wbp regelt niet, zoals de
oude Wet persoonsregistraties,
de registratie van persoonsgege
vens, maar veel ruimer de verwer
king ervan: elke handeling of elk
geheel van handelingen met
betrekking tot persoonsgegevens.
De wet geldt zowel voor
de overheid als voor particulieren
die persoonsgegevens verwerken.
Een persoonsgegeven is elk
gegeven dat een geïdentificeerde
of identificeerbare natuurlijke
persoon betreft; gegevens over
overleden personen zijn geen
persoonsgegevens in de zin van
de Wbp. De meeste persoonsge
gevens in een archiefbewaar
plaats zullen dan ook niet onder
de Wbp vallen. Verder valt
verwerking door een archiefdienst
van persoonsgegevens (aangaan
de levende personen) in archief
bescheiden, onder de door de
Wbp toegelaten verwerking, aldus
de Memorie van toelichting
(MvT)'11, blz. 43.
Bij die verwerking is men evenwel
gebonden aan de wettelijke rand
voorwaarden, evenals bij de ver
werking van persoonsgegevens
van bezoekers enz.
Door F.C.J. Ketelaar
Zoals het er nu uitziet treedt per 1 september 2000
de Wet bescherming persoonsgegevens in werking
en wordt de Archiefwet 1995 met een nieuw artikel
2a aangevuld. Wat betekent dit voor het beheer van
archiefbewaarplaatsen die onder de Archiefwet
1995 vallen? En op welke manier krijgen de catego
riale archiefbeherende instellingen, bedrijfsarchief
diensten en registratuur met het nieuwe artikel te
maken? Een toelichting.
Stap 1: Persoonsgegevens, bestanden, verwerking
Levende personen
CHECKLIST VOOR ARCHIEFDIENSTEN
1 Stel vast in welke bestanden (in de zin van de Wbp)
(kunnen) voorkomen
a. persoonsgegevens inzake levende personen; b. bij
zondere persoonsgegevens inzake levende personen:
die welke iemands godsdienst of levensovertuiging,
ras, politieke gezindheid, gezondheid, seksuele leven
betreffen. Ook strafrechtelijke persoonsgegevens en
die betreffende het lidmaatschap van een vakvereni
ging; c. persoonsgegevens inzake bezoekers en andere
klanten.
2 Voor de onder ia bedoelde persoonsgegevens gelden
de stappen 5, 6, 7, 9, 10, 11, 12, 15.
3 Voor de onder ïb bedoelde persoonsgegevens gelden
de stappen 5, 8, 9, 10, 11, 12, 15.
4 Voor de onder ie bedoelde persoonsgegevens gelden
de stappen 5, 9, 10, 11, 12, 13, 14, 15.
5 Neem maatregelen ter beveiling: blokkering in
ABS/Archeion, invoering van een onderzoekersverkla
ring (zie onder 7), beveiliging van depots, controle op
de genomen maatregelen enz.
6 Tref voorzieningen die verzekeren dat de verstrekking
aan en de raadpleging door derden van de onder ia
bedoelde gegevens uitsluitend geschiedt ten behoeve
van historische, statistische of wetenschappelijke
doeleinden.
7 In verband met 6 moet de onderzoeker die de per
soonsgegevens wil raadplegen een verklaring (verge
lijkbaar met de gebruikelijke onderzoekersverklaring)
ondertekenen.
8 De verstrekking aan en de raadpleging door derden
van de onder ïb bedoelde gegevens is alleen toege
staan ten behoeve van wetenschappelijk onderzoek
voor zover:
dit een algemeen belang dient,
de verwerking voor het betreffende onderzoek of
de betreffende statistiek noodzakelijk is,
het vragen van uitdrukkelijke toestemming onmo
gelijk blijkt of een onevenredige inspanning kost en
bij de uitvoering is voorzien in zodanige waarbor
gen dat de persoonlijke levenssfeer van de betrok
kene niet onevenredig wordt geschaad.
In verband met het vorenstaande moet de onder
zoeker die de bijzondere persoonsgegevens wil
raadplegen een speciale verklaring ondertekenen;
uit zo'n verklaring moet blijken dat en hoe aan de
genoemde voorwaarden is voldaan.
9 Stel vast welke geautomatiseerde verwerking van per
soonsgegevens niet valt onder de vrijstellingen: meld
deze bij het College of bij de functionaris voor de
gegevensbescherming.
10 Bepaal de procedure van en wie beslist op verzoeken
om onjuiste persoonsgegevens te corrigeren en hoe u
van een correctie kennis geeft aan derden aan wie de
gegevens tevoren zijn verstrekt.
11 Bepaal de procedure van en wie beslist op verzoeken
van een betrokkene om mee te delen of over hem per
soonsgegevens worden verwerkt.
12 Leg als verwerking van persoonsgegevens aan derden
is uitbesteed, in een contract o.m. de beveiligings
maatregelen schriftelijk vast.
13 Stel een reglement voor de bezoekersregistratie vast,
dat o.m. de doeleinden van de registratie, de herkomst
en het gebruik van de gegevens regelt.
14 Zorg dat iedere bezoeker bij registratie een exemplaar
van het reglement ontvangt.
15 Maak, bijvoorbeeld in het relatiebeheer en bij de archief
inspectie, de overheidsorganen duidelijk dat de Wbp niet
verplicht tot vernietiging van persoonsgegevens.
Bestanden
Toegelaten gegevensverwerking
Stap 5: Beveiliging
Maatregelen
mei 2000
archievenblad
