Vergroot contrast

Artikel 9 lid 1 Wbp

Wbp Naslag > Hoofdstuk 2 > Artikel 9.1

 

WETTEKST
 
1. Persoonsgegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.

 

  

TOELICHTING
 
Doelbinding
Artikel 9 bevat het sluitstuk van het doelbindingsvereiste. Dit artikel schrijft het doel waarvoor de gegevens zijn verkregen als uitgangspunt en toetsingskader voor voor iedere vorm van (verdere) gegevensverwerking. Gegevens mogen niet worden verwerkt op een wijze die onverenigbaar is met die doeleinden. Gegevens mogen dus wel worden gebruikt voor andere doeleinden dan waarvoor zij zijn verzameld. Doch dit andere doel dient verenigbaar te zijn met het oorspronkelijke. (II, nr. 3, blz. 79)
 
De geoorloofdheid van het gebruik van persoonsgegevens hangt immers af van de samenhang tussen enerzijds het doel waarvoor de gegevens oorspronkelijk zijn vergaard en anderzijds het doel waarvoor de gegevens vervolgens worden gebruikt (het doelbindingsprincipe). Volgens deze algemeen aanvaarde gedachtegang is het doel van de gegevensverwerking het ankerpunt van de normering van het verdere gebruik. Dit vloeit reeds voort uit het Verdrag van 1981 van de Raad van Europa en de daarop gebaseerde huidige wet- en regelgeving zoals de Wpr. Zij is ook in overeenstemming met de intentie van de richtlijn. (II, nr. 6, blz. 14)
 
Verenigbaar gebruik
De eis van het verenigbaar gebruik geldt zowel binnen als buiten de organisatie van de verantwoordelijke.[...] Binnen de organisatie van de verantwoordelijke, ongeacht of dit één of meer ondernemingen zijn, het om één rechtspersoon dan wel meerdere rechtspersonen gaat, kunnen gegevens worden gebruikt voor andere doeleinden dan waarvoor zij zijn vergaard, zolang deze andere doeleinden verenigbaar zijn met het oorspronkelijk doel waarvoor zij worden verwerkt. Buiten de organisatie van de verantwoordelijke, tegenover derden, gelden dezelfde regels. (II, nr. 3, blz. 89/90)
 
Het gaat om een begrip dat uiteindelijk in de jurisprudentie van het Europese Hof van Justitie te Luxemburg nadere precisering zal krijgen. (II, nr. 7, blz. 7)
 
Koppeling
Een vorm van gebruik is het koppelen van persoonsgegevens. Zowel de juridische als de sociaal-wetenschappelijke evaluatie bepleiten bijzondere regels te stellen voor situaties waarbij bijzondere gevaren voor de persoonlijke levenssfeer ontstaan. Wij hebben afgezien van een aparte bepaling over koppeling. In de praktijk is het geen eenduidig begrip. De algemene regels over het verenigbaar gebruik zijn op gegevensverwerkingen van toepassing die als koppeling worden aangemerkt. (II, nr. 3, blz. 93)
 
De ontwikkelingen in de informatietechnologie leiden tot verruimde mogelijkheden tot koppeling en van de maatschappelijke acceptatie ervan. Er is daarom van afgezien strikte bepalingen op dit punt te handhaven of voor te stellen. Ook wordt het onderscheid tussen de private en de publieke sector opgeheven. Daar waar koppeling tot vergaande consequenties dreigt te leiden is er de mogelijkheid om de norm van het verenigbaar gebruik op een op de desbetreffende sector toegespitste wijze invulling te geven via een jurisprudentiële concretisering of een nadere uitwerking in bij voorbeeld gedragscodes. (II, nr. 3, blz. 93-94)
 
De eis van verenigbaar gebruik brengt met zich mee dat persoonsgegevens kunnen worden gekoppeld wanneer ten minste aan de eis is voldaan dat de doeleinden waartoe de gegevens oorspronkelijk zijn verzameld, met elkaar verenigbaar zijn. In technische zin wordt daaronder soms ook de on-line consultatie verstaan. Dan gaat het om raadpleging van een databank met het oog op de mogelijke aanvulling van de gegevens omtrent personen die reeds bij degeen die consulteert bekend zijn. Dit kan nodig zijn om de gegevens up to date te houden, terwijl het oogmerk ontbreekt om als gevolg van deze consultatie een nieuwe groep van personen naar een bepaald criterium in beeld te brengen. Een dergelijke technische voorziening kan echter ook worden gebruikt voor de vergelijking van twee verschillende bestanden met het oogmerk om te zien welke personen in beide voorkomen. Deze laatste vorm behoeft vanuit het gezichtspunt van het verenigbaar gebruik bijzondere aandacht. De bijzondere aandacht voor koppeling ligt ook ten grondslag aan artikel 24 over identificerende nummers. Deze dienen in de praktijk immers in hoofdzaak als koppelingsinstrument. (II, nr. 3, blz. 93)
 
Koppelen van bestanden van één of van meerdere verantwoordelijken
De te koppelen bestanden kunnen gegevensverwerkingen betreffen met eenzelfde doelstelling, doch onder beheer van verschillende verantwoordelijken, dan wel gegevensverwerkingen van eenzelfde verantwoordelijke, doch met elkaar onverenigbare doelstellingen. Zeer uiteenlopende casusposities kunnen zich voordoen. In het algemeen zal gelet op de toepasselijkheid van de eis van verenigbaar gebruik vooral gezocht moeten worden naar zodanige vormen van verwerking dat de mogelijk vast te stellen gegevens niet buiten de kring van de personen bekend worden dan ten behoeve van wie de koppeling heeft plaatsgevonden. Zo is denkbaar dat twee bestanden van twee verschillende verantwoordelijken tegen elkaar moeten worden afgedraaid om te zien of er dubbelen in zitten, zonder dat één van de verantwoordelijke daarmee komt te beschikken over alle gegevens van de ander. Technisch kan de vergelijking van de gegevens als het ware in een 'black box' plaatsvinden, waarbij mogelijke treffers aan één van beide verantwoordelijken worden meegedeeld. (II, nr. 3, blz. 93)
 
Black box
Een voorbeeld is de vergelijking van het gedetineerdenbestand en het bestand van de ontvangers van een sociale uitkering. Wanneer geen aanspraak bestaat op een uitkering in geval van detentie, kunnen beide bestanden worden vergeleken met als resultaat dat eventuele treffers worden bekend gemaakt aan het desbetreffende uitvoeringsorgaan van de sociale zekerheid. Het is daartoe niet nodig dat penitentiaire inrichtingen kennis nemen van het bestand van uitkeringsgerechtigden of de uitvoeringsorganen van de sociale zekerheid kennis nemen van de gehele gedetineerdenadministratie. Dit dient dan door technische en organisatorische maatregelen te worden voorkomen. De verstrekking van treffers aan het desbetreffende uitvoeringsorgaan vindt in dat geval zijn rechtvaardiging in de opdracht de criteria voor de toekenning van een uitkering toe te passen. In dit geval vertoont het doel van de koppeling een zodanig nauwe verwantschap met het oorspronkelijke doel waarvoor het uitvoeringsorgaan de gegevens heeft verkregen dat - mede gelet op de voorzieningen die zijn getroffen om de verspreiding van de gegevens te beperken tot het noodzakelijke minimum - sprake is van verenigbaar gebruik. Anders ligt de situatie wanneer gekoppeld wordt voor een doel dat relatief ver verwijderd ligt van het doel waarvoor de gegevens zijn vergaard. In dat geval zal - los van de koppelingen die hun grondslag kunnen vinden in artikel 43 - veel eerder sprake zijn van onverenigbaar gebruik. (II, nr. 3, blz. 94)
 
Koppelen van publiek- en privaatrechtelijke bestanden
Naar aanleiding van artikel 9 is gevraagd of het gebruik van persoonsgegevens vergaard ter uitvoering van de sociale zekerheidswetgeving door verzekeraars voor het doen van commerciële aanbiedingen als onverenigbaar met het oorspronkelijk doel moet worden beschouwd. Gegevens die op grond van een publiekrechtelijke verplichting zijn vergaard, kunnen niet zonder meer worden gebruikt voor privaatrechtelijke doeleinden. Dit is in beginsel onverenigbaar met het oorspronkelijk doel waarvoor zij zijn vergaard. Dit sluit niet uit dat in sectorspecifieke wetgeving bijzondere voorzieningen, omgeven met passende waarborgen, worden getroffen. Daarbij kan enerzijds meer ruimte worden gegeven, zoals in de artikelen 99 en 100 van de Wet gemeentelijke basisadministratie persoonsgegevens. Anderzijds kan dergelijke wetgeving, indien het om gevoelige gegevens gaat, ook bepalen dat zelfs de toestemming van de betrokkene geen rechtvaardigingsgrond voor verwerking kan zijn. Artikel 8, tweede lid, onder a, van de richtlijn laat een dergelijk verdergaande beperking toe. Wanneer daarentegen een verzekeraar op louter civielrechtelijke basis een verzekeringscontract heeft gesloten en in dat verband persoonsgegevens verkrijgt, kan hij commerciële aanbiedingen over met dat contract verwante producten doen aan zijn klanten zolang deze op de mogelijkheid worden gewezen om bezwaar te maken en zij van deze mogelijkheid geen gebruik hebben gemaakt. Voor zover het gaat om medische gegevens, gelden de striktere regels van artikel 21. (II, nr. 9, blz. 3/4)
 
Het gebruik van publiekrechtelijke gegevens voor commerciële doeleinden [...] is een gebruik dat in beginsel onverenigbaar is met het oorspronkelijke doel waarvoor de gegevens zijn verkregen. Zoals in de vraag terecht wordt opgemerkt is dat een helder uitgangspunt. Er zijn echter situaties denkbaar waarin vanwege de aard van de gegevens of in verband met compenserende waarborgen die kunnen worden getroffen, van dit uitgangspunt kan worden afgeweken. Deze waarborgen kunnen al naar gelang de omstandigheden verschillende vormen aannemen. Het kan zijn dat de betrokkene over het voorgenomen gebruik wordt geinformeerd, dan wel - een stap verder - in de gelegenheid wordt gesteld om zijn zienswijze hieromtrent te geven. De meest vergaande variant zou zijn indien aan de betrokkene voor het betreffende gebruik om toestemming wordt gevraagd.[..] De hier geschetste benadering ligt overigens in het verlengde van het eerder door ons geschrapte artikel 9, tweede lid. (NB inmiddels weer ingevoegd) Hierin werd bepaald dat bij de beoordeling of een verwerking onverenigbaar is met het oorspronkelijke doel, onder meer rekening moest worden gehouden met «de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen. (II, nr. 13, blz. 7)
 
Verenigbaarheid en gebruik voor DM
Meer toegespitst op direct marketing betekent artikel 9 geenszins [...]dat een ontvanger van direct marketing berichten, steeds vooraf toestemming moet geven om dergelijke berichten te ontvangen. De betekenis van de verenigbaarheidstoets voor de direct marketing branche is nader uitgewerkt in artikel 41. Slechts voor gevoelige gegevens geldt het systeem van uitdrukkelijke toestemming vooraf. Verder is toestemming vooraf nodig in geval van automatische oproepsystemen en faxen. Dit is neergelegd in sectorale wetgeving, te weten artikel 11.7, eerste lid, van de Telecommunicatiewet. (II, nr. 6, blz. 14)
 
Verhouding van artikel 9 tot artikel 41
De verhouding tussen de artikelen 41 en 9 van het wetsvoorstel kan mede worden verduidelijkt in het licht van artikel 5, onder b, van het Verdrag van Straatsburg uit 1981, waaraan de richtlijn mede invulling beoogt te geven. Dat artikel bevat het verbod op onverenigbaar gebruik. Onder de gronden in artikel 9 van het Verdrag die dit verbod kunnen opheffen, komt direct marketing niet voor. Een uitspraak van de regering in de toelichting als zou direct marketing in alle gevallen verenigbaar zijn met het oorspronkelijk doel waarvoor gegevens zijn verzameld, zou het risico in zich dragen van een desaveu van internationale jurisprudentie. Het lijkt ons juister geen ongerechtvaardigde verwachtingen te wekken. Dat daarmee een vage norm ontstaat in plaats van een duidelijk gedragsvoorschrift, vloeit voort uit het karakter van het wetsvoorstel dat in een wegens allerlei informatietechnische ontwikkelingen turbulente samenleving op veel punten slechts kristallisatiepunten voor nadere rechtsvorming kan bieden.Om meer houvast te bieden verwachten wij dat (Europese) jurisprudentie ertoe zal leiden dat direct marketing van producten of diensten die door eenzelfde concern op de markt worden aangeboden, tenzij sprake is van een zo gevarieerd aanbod van producten of diensten dat de gemiddelde klant een onderling verband niet herkent, als verwant kunnen worden beschouwd. (II, nr. 6, blz. 14)
 
Uitzondering (zie ook wetsgeschiedenis artikel 43)
Tot slot zij er op gewezen dat indien er geen sprake is van verenigbaar gebruik, de verwerking in uitzonderlijke omstandigheden toch rechtmatig kan zijn uit hoofde van artikel 43.( II, nr. 3, blz. 92)
 
 
 
 
JURISPRUDENTIE

Grondslag voor vrijwillige verstrekking aan opsporingsinstantie
Indien beelden van bewakingscamera´s verstrekt zijn op eigener beweging en vrijwillige basis is geen vordering art. 126nd Sv vereist. Artikel 8, aanhef en e Wbp is de grondslag voor overdracht door het ene bestuursorgaan aan het andere. Voor ter beschikking stelling door een niet bestuursorgaan kan aan art. 43 jo. Art 9 Wbp een grondslag worden ontleend.
HR 27 november 2012, LJN: BY0215

 
Onrechtmatige verstrekking van verbruiksgegevens water en energie aan gemeente
Verstrekking van gegevens over het energieverbruik en waterverbruik van betrokkene in zijn recreatiewoning aan de gemeente is onrechtmatig wegens het ontbreken van een geldige grondslag ex artikel 8 Wbp. Het niet bijhouden van de data waarop de gegevens zijn verstrekt aan derden is in strijd met artikel 35 Wbp.
Gerechtshof Arnhem 29 maart 2011, 200.049.638
 
Bestandkoppeling Waterproof
De inbreuk op het recht op respect voor het privéleven is proportioneel met het met de gegevensuitwisseling te dienen  doel. Aan het vereiste van subsidiariteit is voldaan, nu er geen ander passend, minder ingrijpend middel ter beschikking stond. Door een voorselectie te maken kan aan het vereiste van proportionaliteit worden voldaan.
CRvB 27 april 2010, LJN: BM3881
 
Fraudebestrijding via bestandkoppeling (Waterproof) rechtmatig
Bestandskoppeling dient in beginsel als een ingrijpende maatregel te worden beschouwd, maar gelet op o.a. het controle- en verificatiebelang wordt met het opvragen van waterverbruiksgegevens niet een zodanige inbreuk op de persoonlijke levenssfeer gemaakt dat dat het gebruik van dat controlemiddel ontoelaatbaar moet worden geacht.
Rechtbank Utrecht 9 juni 2008, LJN: BD6227
 
Alijda-project, zwarte lijst strafrechtelijke gegevens
Zwarte lijst van risicopanden en huiseigenaren. Noodzakelijke gegevensverwerking op grond van artikel 8, aanhef en onder e Wbp voor wat betreft de verwerking van gewone persoonsgegevens. Geen grondslag voor verwerking strafrechtelijke gegevens. Door onduidelijke criteria voor plaatsing op de lijst bestaat het risico op willekeur. Onvoldoende waarborgen tegen verstrekking aan onbevoegden.
ABRvS 4 juli 2007, LJN: BA8742
 
Overdracht Arbo-dossiers
Informatie, waarop het medische beroepsgeheim van de bedrijfsarts niet rust, mag niet aan de opvolgende arbodienstverlener overdragen, zonder toestemming van de betrokken werknemer. De gegevens die wel vallen onder het medisch beroepsgeheim mogen alleen worden overgedragen als die gegevens noodzakelijk zijn voor de verzuimbegeleiding.
CBP 18 juni 2007, z2006-00918
 
Bestandskoppeling “Waterproof”
Waterproof is een bestandskoppeling waarbij aan de hand van de verbruikcijfers van de waterbedrijven en woongegevens en vervuilingseenheden van de waterschappen de woonsituaties van bijstandsgerechtigden is gecontroleerd. De bestandskoppeling is onrechtmatig, omdat daar geen aanleiding in de vorm van een vermoeden van fraude dan wel een uitgewerkt risicoanalyse aan ten grondslag lag.
CBP 29 mei 2007, z2006-00476 
 
Verstrekken van informatie door werkgever A aan werkgever B
Door het verstrekken van informatie over de studieovereenkomst van werkgever A aan B is gehandeld in strijd met de Wbp. De informatieverstrekking was echter nodig om te voorkomen dat een onjuiste voorstelling van zaken in stand zou blijven. Werknemer heeft daardoor geen recht op schadevergoeding.
Hof 's-Gravenhage 16 februari 2007, LJN: BA1567
 
Verstrekking personalia en adresgegevens teneinde een dwangsom te kunnen opleggen is onverenigbaar met het doel
Verzoek van de gemeente aan de RDW om de personalia en adresgegevens van een kentekenhouder te verstrekken teneinde een dwangsom op te kunnen leggen. Volgens de RvS zijn er andere, minder ingrijpende middelen ter beschikking. Ook al hebben deze middelen niet het door de gemeente gewenste effect.
ABRvS 12 mei 2004, LJN: AO9207
 

Bruto-netto specificaties van bankafschriften
Op de bankafschriften kan onder de omschrijving de bruto-netto specificatie van de uitkering vermeld worden als de gegevensverwerking noodzakelijk is voor de goede vervulling van de publiekrechtelijke taak. Deze werkwijze is noodzakelijk en efficiënt, met name met het oog op een adequate informatieverstrekking aan de betrokkene.
Rechtbank Maastricht 5 december 2003, LJN: AO0044

Onrechtmatige mailing door apotheek op basis van centraal medicatiebestand
Mailing (reclamezending aan pilgebruiksters) eigen cliënten niet verenigbaar met aard gegevens en doel medicatiebestand: kan in strijd komen met artikel 9 Wbp. Tevens moet gelet worden op artikel 21 Wbp. Geen rekening gehouden met de bijzondere aard van de gegevens. Tevens is de verwerking van persoonsgegevens van cliënten van andere apotheken in strijd met het op de apotheker rustende beroepsgeheim. Voor het doorbreken van het beroepsgeheim is geen grond aanwezig.
CBP 9 mei 2002, z2002-01085
 

Informatieverstrekking over kredietwaardigheid door banken
Onrechtmatige daad, art. 6:162 BW. Zo de bank over informatie omtrent de credietwaardigheid van haar cliënt (een BV) beschikt, die zij niet aan de derde wenst te openbaren, zal zij zich in het algemeen ervan moeten onthouden welke informatie dan ook te verstrekken.
HR 10 december 1993, NJ 1994, 667, LJN: ZC1178