tisch uitgeschakeld; maar ook degenen van wie persoonsgegevens worden verwerkt,
hebben het nakijken, want ze hebben geen informatierecht, geen correctierecht en
geen recht van verzet.23
Hoe gaat het CBP om met zijn bevoegdheden en taken?
Per 1 februari 2011 zijn beleidsregels van kracht, die het CBP in acht zegt te nemen
bij zijn handhavingstaak.24 Hierin heeft men uitgangspunten en prioriteringscrite-
ria geformuleerd. Eén van de uitgangspunten is dat verantwoordelijken in de zin van
de Wbp er uit eigen beweging voor moeten zorgen dat verwerkingen rechtmatig zijn.
Daarmee relativeert het CBP zijn adviestaak. Een ander uitgangspunt is dat de burger
eigen rechtsmiddelen ten dienste staan als er in strijd met de Wbp wordt gehandeld.
Daarmee lijkt men aan te geven dat men zich niet verplicht voelt op te treden in
individuele gevallen, als betrokkenen zelf juridische actie kunnen ondernemen.
Om de afweging te kunnen maken hoe het CBP zich zal inzetten bij bemiddelings
verzoeken, handhavingsverzoeken, klachten of ambtshalve onderzoeken, heeft men
criteria vastgesteld. Voorrang krijgt optreden bij ernstige overtredingen; bij structure
le overtredingen; bij overtredingen die veel mensen treffen; en bij overtredingen,
waarbij de inzet van het CBP 'effectief verschil kan maken'. Deze criteria gelden in
principe cumulatief. Een laatste criterium betreft overtredingen die vallen binnen
de aandachtspunten die het CBP zelf (jaarlijks) heeft vastgesteld.
Interessant voor archiefinstellingen
zijn de CBP richtsnoeren
'Publicatie van persoonsgegevens op internet'
Zienswijzen en richtsnoeren
Het CBP is welbereid een zogenaamde 'zienswijze' af te geven. Hiermee neemt men
dan een standpunt in over nieuwe of onopgeloste vragen over de toepassing of uitleg
van de Wbp of over een aanpalende regeling op het gebied van persoonsgegevens.25
Dit houdt verband met het terugtreden van het CBP als adviseur voor individuen,
bedrijven en overheden, waar ik nog op terugkom. De criteria voor het in behande
ling nemen van een verzoek om een zienswijze zijn echter pittig. Zo moet er sprake
zijn van een groot maatschappelijk en/of economisch belang. In 2012 werd slechts
één keer een zienswijze gegeven (over 'cloud computing'), in 2011 twee maal. Verder
stelt het CBPzogenaamde 'richtsnoeren' op, waarin men helderheid probeert te
geven over de regels op een bepaald terrein. De laatst gepubliceerde betreft de beveili
ging van persoonsgegevens (februari 2013). Interessant voor archiefinstellingen zijn
de CBP richtsnoeren 'Publicatie van persoonsgegevens op internet' (december
2007)De Wbp opent ook de mogelij kheid dat de toezichthouder een bemiddelende
rol speelt.26 In 2011 werd 96 maal een verzoek gedaan, waarvan 'het merendeel'
overigens niet werd ingewilligd.
Voorafgaand onderzoek, ontheffingen en sanctiebeleid
In sommige gevallen, zoals bij het gebruik van een identificatienummer, stelt de
Wbp een voorafgaand onderzoek door het CBP verplicht. Daarvan waren er 170 in
2011. Eerder kwam al ter sprake dat het CBP in datzelfde jaar één ontheffing gaf voor
het verwerken van bijzondere persoonsgegevens. Uit het jaarverslag 2011 blijkt
verder dat er in dat j aar geen enkele boete is opgelegd wegens het niet-melden van
een verwerking, en dat er zes maal het instrument van de bestuursdwang (in de
vorm van een last onder dwangsom) is ingezet.
Voorlichting en advisering
Oorspronkelijk handelde het CBP, evenals zijn voorganger, de Registratiekamer,
op basis van een zogenaamd viersporenbeleid. Deze sporen waren het bevorderen
van bewustwording, het bevorderen van normontwikkeling, het op de voet volgen
van technische ontwikkelingen en het in voorkomende gevallen handhavend
optreden. In 2007 heeft het CBP besloten prioriteit te geven aan het laatstgenoemde
spoor. Voorlichting en advisering hadden er volgens het CBP niet toe geleid dat de
wet voldoende werd nageleefd.27 Voor de informatieprofessional in het veld is dit een
ongunstige ontwikkeling, omdat hiermee een mogelijkheid wegvalt om duidelijk
heid over de wet en de wetstoepassing te verkrijgen. Bij de totstandkoming van de
Wbp zei de regering nog:
dat verantwoordelijken in zowel de publieke als de private sector [het CBP]
desgewenst kunnen raadplegen over de wijze waarop de wettelijke normen hun nadere
invulling moeten krijgen of in concrete gevallen moeten worden toegepast.
Het beantwoorden van allerhande vragen over de toepassing van de wet blijft een essenti-
ele activiteit in het kader van de toezichthoudende en uitvoerende taken
van [het CBP]".28
Om dit tekort in de advisering en de voorlichting te dichten beloofde de regering in
zijn reactie op de evaluatie van de Wbp een helpdesk in te richten. Tot op heden is
daar niets meer over gehoord.29 Wel is er nu de CBP-gerelateerde website www.mijn-
privacy.nl, maar die richt zich tot de burger en niet tot de professional.
Kritiek op de Europese richtlijn, de Wbp en het CBP;
voorstellen voor vernieuwing
De richtlijn is vastgesteld in 1995 en de Wbp is van 2000. De manier waarop en de
omstandigheden waaronder persoonsgegevens worden verwerkt, zijn inmiddels
drastisch veranderd. In de volgende paragrafen bespreek ik kritiek op de huidige
regelgeving, toegespitst op de positie van de toezichthouder en voorstellen om een
HET BESTEL
23 T.A. Schiphof, 'De onduidelijke journalistieke exceptie in de Wet bescherming persoonsgegevens' in
Mediaforum (2008) 5, p. 208-211; T.A. Schiphof, 'Annotatie bij Afdeling Bestuursrechtspraak Raad van State
8 september 2010' in Mediaforum (2010) 11/12, p. 376-378.
24 Beleidsregels handhaving door het CBP, 17 januari 2011, Staatscourant 31 januari 2011, nr. 1916.
25 CBP, Regels voor het verzoek om een zienswijze, Staatscourant 11 april 2008, nr. 71.
164
TJEERD SCHIPHOF HET COLLEGE BESCHERMING PERSOONSGEGEVENS ALS TOEZICHTHOUDER
26 Wbp, artikel 47.
27 Winter e.a. 2008, p. 46.
28 Kamerstukken II, 1997-1998, 25 892, nr.3 (memorie van toelichting), p. 178.
29 Kamerstukken II, 2009-2010, 31051, nr. 5, p. 20.
165