Vergroot contrast

Informatie Beheer Groep handelde in strijd met eigen privacyreglement

Samenvatting De IB-Groep heeft gegevens uit het Centraal Register Hoger Onderwijs (CRIHO) verstrekt aan een marktonderzoekbureau. Dit bureau hield in opdracht van een uitgever een telefonische enqute onder studerenden over de kwaliteit van Universiteiten en Hogescholen. Het gaat om de volgende gegevens: achternaam + voorletters, 4 cijfers postcode, studierichting, geslacht en instelling van onderwijs. Een student vroeg de Registratiekamer of het verstrekken van zijn gegevens door de IB-Groep zonder zijn toestemming aan een marktonderzoekbureau in overeenstemming is met de regelgeving op het gebied van privacybescherming.

Vaststaat dat persoonsgegevens uit een persoonsregistratie (CRIHO) aan een derde (marktonderzoekbureau) zijn verstrekt. Deze verstrekking dient getoetst te worden aan de in artikel 11 Wet persoonsregistraties (Wpr) voorkomende algemene regeling voor het verstrekken van persoonsgegevens aan een derde en aan het door de IB-Groep voor de betreffende registratie vastgestelde Privacyreglement CRIHO.

De IB-Groep stelt dat zij de verstrekking ziet als een verstrekking als bedoeld in artikel 11, tweede lid, Wpr. Deze bepaling staat - voor zover hier relevant - de verstrekking van persoonsgegevens toe (bevoegdheid, geen verplichting) voor zover deze wordt gevraagd ten behoeve van wetenschappelijk onderzoek of statistiek en de persoonlijke levenssfeer van de geregistreerden daardoor niet onevenredig wordt geschaad. Het gaat hier om een afweging die in beginsel alleen van geval tot geval, in het licht van de concrete omstandigheden van het geval, kan worden gemaakt. Over artikel 11, tweede lid, Wpr wordt in de Memorie van Antwoord II het volgende gezegd: "De vraag of van onevenredige schade sprake is, zal mede afhangen van de aard van de gegevens en de beschikbare mogelijkheden om op andere wijze in de bestaande informatiebehoeften te voorzien. Wetenschappelijk onderzoek en statistiek worden hierbij apart genoemd, omdat deze in de regel leiden tot niet op de persoon herleidbare resultaten, zodat eventuele bezwaren tegen gegevensverstrekking hier over het algemeen geringer zullen zijn. Bovendien zijn personen die zich met deze werkzaamheden bezighouden veelal onderworpen aan gedragsregels die mede strekken tot bescherming van de persoonlijke levenssfeer van de geregistreerden." De IB-Groep stelt dat zij alleen in zee gaat met onderzoekbureaus die de gedragscode voor marktonderzoek hebben ondertekend.

Het Privacyreglement CRIHO geeft in artikel 10 aan welke gegevensverstrekkingen uit het CRIHO aan derden mogelijk zijn. In het kort komt het, op grond van artikel 10, eerste lid, Privacyreglement CRIHO neer op verstrekking op rechterlijk bevel, ingevolge een wettelijk voorschrift, voortvloeiend uit het in het Privacyreglement omschreven doel, met toestemming van de geregistreerde, aan een andere instantie met een publiekrechtelijke taak of op basis van een dringende en noodzakelijke reden die voortvloeit uit de wet. Naar het oordeel van de Registratiekamer kan een verstrekking aan het marktonderzoekbureau niet op grond van het eerste lid plaatsvinden. Dit heeft tot gevolg dat het tweede en derde lid niet van toepassing zijn en dat mogelijk het vierde lid een basis kan geven aan de verstrekking. Lid 4 vermeldt twee mogelijkheden: "Gegevens kunnen slechts aan andere personen of instanties dan bedoeld in het tweede lid worden verstrekt indien: a. de geregistreerde gegevens op zodanige wijze zijn bewerkt dat de te verstrekken informatie direct noch indirect tot de persoon herleidbaar is, dan wel b. de geregistreerde daarmee schriftelijk heeft ingestemd." De onder a bedoelde mogelijkheid doet zich naar het oordeel van de Registratiekamer niet voor. De gegevensset die door de IB-Groep is verstrekt bevat informatie die direct en indirect tot de persoon herleidbaar is. Dat blijkt alleen al uit het feit dat de betrokken geregistreerden telefonisch zijn benaderd door het onderzoekbureau. Evenmin is sprake van schriftelijke toestemming van de geregistreerde.
De Registratiekamer komt daardoor tot de conclusie dat de verstrekking aan het marktonderzoekbureau onrechtmatig is.

Om mogelijk misverstand te voorkomen vermeldt de Registratiekamer verder dat met deze conclusie geen algemeen oordeel geveld wordt over de zorgvuldigheid die de IB-Groep betracht bij het omgaan met persoonsgegevens. Evenmin is voor dit punt relevant hoe het marktonderzoekbureau omgaat met gegevens die in het kader van onderzoeken verzameld worden. De verstrekking aan het marktonderzoekbureau is strijdig met de door de IB-Groep aan zichzelf in het Privacyreglement opgelegde handelwijze.

De Registratiekamer begrijpt uit de antwoorden van de Minister van Onderwijs, Cultuur en Wetenschappen op kamervragen over het meezenden van reclamemateriaal door de IB-Groep (zie Aanhangsel van de Handelingen Vergaderjaar 1997-1998, nr.514, pag.1051-1052) dat hij, gezien de afhankelijkheidspositie van studenten ten opzichte van de IB-Groep, het gebruik van hun gegevens zo zuiver mogelijk wil houden. De minister wilde de IB-Groep geen toestemming geven voor eerdergenoemde activiteit, waarbij overigens aan derden geen adresgegevens verstrekt werden. In dit licht bezien lijkt het verstrekken van adresbestanden van studenten aan derden, dat een grotere inbreuk op de persoonlijke levenssfeer met zich meebrengt, al gauw in strijd met de opvatting van de minister. Als het privacyreglement van de IB-Groep de bevoegdheid zou bieden om persoonsgegevens aan marktonderzoekbureaus te verstrekken, dan staat voor de Registratiekamer niet op voorhand vast dat het gebruiken van die bevoegdheid in overeenstemming zal zijn met de opvatting van de minister.

24 januari 2000, z1999-00695

Publicaties