Vergroot contrast

Artikel 33 en 34 Wbp

TOELICHTING

 

Informatieplicht: uitwerking transparantiebeginsel
De artikelen 10 en 11 van de richtlijn bevatten een regeling voor de informatieverstrekking aan de betrokkene in verband met de verkrijging van gegevens al dan niet bij de betrokkene zelf. Het wetsvoorstel voert deze bepalingen uit in de artikelen 33 en 34. Deze bepalingen vormen een uitwerking van het transparantiebeginsel en van het in artikel 6 neergelegde beginsel van "fair processing": behoudens uitzonderingen is de gegevensverwerking slechts "behoorlijk" in de zin van artikel 6, indien de betrokkene daarvan overeenkomstig de regels van de artikelen 33 of 34 op de hoogte wordt gebracht. (II, nr. 3, blz. 149-150)

Achtergrond van de artikelen 33 en 34
De verplichting van de verantwoordelijke op eigen initiatief de betrokkene op de hoogte te stellen van het bestaan van de gegevensverwerking is een belangrijk instrument om het gegevensverkeer transparant te maken. De ratio van de informatieverplichting is dat de verwerkingen van de verantwoordelijke voor de betrokkene aanspreekbaar zijn in rechte. De betrokkene is in staat te volgen hoe gegevens over hem worden verwerkt en bepaalde vormen van verwerking of onrechtmatig gedrag van de verantwoordelijke in rechte aan te vechten. De omvang van de informatieplicht hangt af van wat nodig is om een "fair processing" te waarborgen. (II, nr. 3, blz. 149-150)

De artikelen 33 tot en met 45 beogen de betrokkene in staat te stellen greep te houden op de gegevens die omtrent hem circuleren (consumer empowerment). Afhankelijk van zijn persoonlijke privacybeleving kan hij dan zaken op hun beloop laten dan wel optreden. (II, nr. 6 pag. 5)

Zo is transparantie voor de klanten van essentiële betekenis. Zij zullen moeten worden geïnformeerd over het feit dat hun gegevens voor bedrijfsdoeleinden - voor zover de wet zulks toestaat - worden gebruikt, tenzij betrokkene reeds op de hoogte is. (II, nr. 6, blz. 16)

Tijdens de plenaire behandeling in de Eerste Kamer geeft de Minister aan dat de informatieverplichtingen uit de artikelen 33 en 34 van de Wbp in alle gevallen gelden. Hierdoor zal een betrokkene in beginsel altijd op de hoogte zijn van het feit dat zijn gegevens worden verwerkt, door wie zijn gegevens worden verwerkt en voor welke doeleinden zijn gegevens worden verwerkt (EK 34, blz. 34-1627).

Gevolg van niet-informeren is onrechtmatigheid van de verwerking
De omstandigheid dat de onderhavige regeling een uitwerking vormt van het beginsel dat in artikel 6 is neergelegd heeft tot gevolg, dat overtredingen van de informatieplicht zullen leiden tot onrechtmatige verwerkingen. Daarnaast kan het zijn, dat onder omstandigheden verdergaande informatie geboden is om "een eerlijke verwerking" te
waarborgen. De richtlijn brengt dit tot uitdrukking door de woorden "ten minste" in de aanhef van beide artikelen. (II, nr. 3, blz. 149-150)

Verder wijst de Registratiekamer op de situatie dat een verantwoordelijke bijvoorbeeld via Internet persoonsgegevens uit een derde land verzamelt. Zodra de verantwoordelijke over persoonsgegevens macht kan uitoefenen omdat hij deze voor zich heeft opgeslagen, is de wet van toepassing. Het is niet van belang van op welke wijze hij deze persoonsgegevens heeft verkregen. Dat betekent dat ook betrokkenen die zich bijvoorbeeld bevinden in de Verenigde Staten, wanneer hun persoonsgegevens worden vergaard, daarover behoren te worden geïnformeerd in de zin van de artikelen 33 en 34 van het wetsvoorstel. Zou zo iemand op enigerlei wijze bemerken dat met overtreding van dit voorschrift persoonsgegevens over hem zijn verwerkt, bijvoorbeeld doordat hij specifiek op hem gerichte reclame ontvangt, dan kan hij in Nederland de rechtsmiddelen aanwenden die deze wet hem toekent. (II, nr. 3, blz. 193)

Aangescherpte informatieplicht
De informatieverplichtingen van de houder tegenover de betrokkene - d.w.z. degene over wie de gegevens worden verwerkt - worden uitgebreid, zij het dat belangrijke uitzonderingen mogelijk blijven. Het bestanddeel "redelijkerwijs kan weten" van artikel 28 WPR valt weg.
De verantwoordelijke dient de betrokkene "op de hoogte te stellen", behoudens in eenlimitatief omschreven aantal uitzonderingsgevallen. (II, nr. 3, blz. 16)

De regeling leidt ten opzichte van de WPR tot een verbetering van de rechtsbescherming. In de WPR is naast het principe van rechtmatige verkrijging alleen sprake van een mededelingsplicht wanneer over de betrokkene voor de eerste keer gegevens in een register worden opgenomen. In het licht van de sterk toegenomen mogelijkheden tot vergaring van persoonsgegevens bestaat reeds behoefte aan transparantie in het stadium waarin de gegevens worden verkregen. (II, nr. 3, blz. 149-150)

Een voorbeeld is de aanscherping van de informatieverplichting van de verantwoordelijke op grond van de artikelen 10 en 11 van de richtlijn. De informatieverplichting van de verantwoordelijke vervalt op grond van de Wpr indien hij kan aannemen dat de betrokkene redelijkerwijs op de hoogte kan zijn. In de Wbp daarentegen dient de verantwoordelijke de betrokkene te informeren ten zij deze daarvan reeds op de hoogte is. Het oorspronkelijke voorschrift van de Wpr kon niet worden overgenomen in de Wbp omdat dit buiten de bandbreedte zou vallen: een dergelijke afzwakking van de richtlijnvoorschriften gaat beneden de minimumgrens. (I, nr. 92c, blz. 3)

De informatieverstrekking aan de betrokkene is aangescherpt. De oude regel dat van informatieverstrekking kan worden afgezien indien de betrokkene redelijkerwijs kan weten dat zijn gegevens worden verwerkt, zal niet langer gelden. Nieuw is dat de betrokkene steeds zal moeten worden geïnformeerd tenzij hij feitelijk reeds op de hoogte is. Daarnaast zal van informatieverstrekking verder kunnen worden afgezien als de gegevens van derden zijn verkregen en de mededeling aan de betrokkene een onevenredige inspanning zou vergen. Bij de vraag naar de evenredigheid dient mede acht te worden geslagen op de inspanningen van de verantwoordelijke om de gegevensverwerking transparant te doen zijn. [..] De informatieverstrekking aan de betrokkenen is een van de belangrijke aanscherpingen. (I, 34-1632)
(zie ook hiervoor onder: Achtergrond van de artikelen 33 en 34)

De Wbp gaat duidelijk verder dan de WPR. De informatieverstrekking aan de betrokkene is aangescherpt. De oude regel dat van informatieverstrekking kan worden afgezien indien de betrokkene redelijkerwijs kan weten dat zijn gegevens worden verwerkt, zal niet langer gelden. Nieuw is dat de betrokkene steeds zal moeten worden geïnformeerd tenzij hij feitelijk reeds op de hoogte is. Daarnaast zal van informatieverstrekking verder kunnen worden afgezien als de gegevens van derden zijn verkregen en de mededeling aan de betrokkenen een onevenredige inspanning zou vergen. Bij de vraag naar de evenredigheid dient mede acht te worden geslagen op de inspanningen van de verantwoordelijke om de gegevensverwerking transparant te doen zijn (EK 34, blz. 34-1632).

Geen onderzoeksplicht voor betrokkene; toelichting
Voor een nader begrip van de reikwijdte van de informatieplicht, kan aansluiting worden gezocht bij bestaande noties die in het Nederlands privaatrecht tot ontwikkeling zijn gekomen. Artikel 6:228, tweede lid, BW bepaalt dat iemand zich bij het sluiten van een overeenkomst niet kan beroepen op dwaling, indien deze zijn oorsprong vindt in omstandigheden die volgens de in het verkeer geldende opvattingen voor rekening van de dwalende behoren te blijven. De bepaling geeft uitdrukking aan het beginsel dat bij de totstandkoming van een overeenkomst in het algemeen een balans bestaat tussen de informatieplicht van de één en de onderzoeksplicht van de ander. Naar welke kant de balans in een concreet geval doorslaat, is afhankelijk van omstandigheden zoals de deskundigheid van betrokkenen en de wetenschap
die men bij elkaar mag veronderstellen. Een dergelijke balans doet zich ook voor in situaties waarin geen sprake is van een overeenkomst.[...] Onder het regime van dit wetsvoorstel zal de verantwoordelijke zich echter pas ontslagen mogen achten van zijn informatieplicht, als hij weet dat de betrokkene op de hoogte is. De artikelen 33 en 34 van dit wetsvoorstel gaan ervan uit dat er geen onderzoeksplicht van de betrokkene is. De hieraan ten grondslag liggende gedachte is die van een ongelijkwaardigheid van partijen. Vanuit het gezichtspunt van een hoog niveau van consumentenbescherming, zoals neergelegd in het mede aan de richtlijn ten grondslag liggende artikel 100A, derde lid van het EG-Verdrag, is het evenwicht van de balans verlegd ten gunste van de betrokkene, zijnde de in het algemeen maatschappelijk zwakkere partij. Dit betekent geenszins dat de verantwoordelijke in alle gevallen dat hij gegevens vergaart bij de betrokkene of bij een derde, zich van de bewustzijnsinhoud van de betrokkene hoeft te vergewissen. Het "op de hoogte zijn" mag de verantwoordelijke op uiteenlopende wijze, afhankelijk van de omstandigheden, aannemen. Beschikt de betrokkene over de informatie, bijvoorbeeld omdat deze hem is overhandigd of toegezonden, dan is hij daarmee op de hoogte, ongeacht of hij het initiatief heeft genomen de informatie ook tot zijn bewustzijn te brengen. (II, nr. 3, blz. 150-151)

Omvang onderzoeksplicht verantwoordelijke
Hoewel de verantwoordelijke dus niet zonder meer ervan mag uitgaan dat de betrokkene in een bepaalde situatie wel kan weten of weet dat, door wie en hoe de gegevens worden verwerkt, kunnen ook bepaalde gedragingen of verklaringen van de verantwoordelijke aanleiding geven tot het gerechtvaardigde vermoeden dat de betrokkene daarvan op de hoogte is. Het gaat om gedragingen of verklaringen die in het maatschappelijk verkeer de betrokkene kunnen worden toegerekend als blijk van het feit dat hij op de hoogte is. Het is de gedachte die ook ten grondslag ligt aan artikel 3:36 BW. De verantwoordelijke mag uitgaan van de zin die onder de gegeven omstandigheden aan een verklaring of een gedraging van de betrokkene redelijkerwijze mocht worden toegekend. Artikel 3:59 BW verklaart deze bepaling van toepassing buiten het vermogensrecht, voor zover de aard van de rechtsbetrekking zich daartegen niet verzet. Dit laatste is hier niet het geval. De stelling van de Registratiekamer in haar advies dat de verantwoordelijke enkel mag afgaan op een gedraging van betrokkene waarvan de strekking onmiskenbaar duidelijk is, kan daarmee niet worden onderschreven. Deze legt immers een te zware onderzoeksverplichting op de verantwoordelijke. Als de betrokkene middels een gedraging laat blijken op de hoogte te zijn van de informatie en deze gedraging in het maatschappelijk verkeer ook als zodanig mag worden opgevat, kan van de verantwoordelijke geen verdergaande actie ten aanzien van zijn informatieplicht worden gevergd. De betrokkene kan dan worden toegerekend dat zijn gedraging op die wijze door de verantwoordelijke wordt geïnterpreteerd. Mocht hij een andere bedoeling hebben gehad met zijn gedraging dan heeft hij een hem verwijtbaar risico geschapen van een misverstand met de verantwoordelijke. (II, nr. 3, blz. 150-151)

De informatieplicht van de verantwoordelijke wordt begrensd door de feiten die de betrokkene reeds kent of zou moeten kennen. De informatieplicht van de verantwoordelijke impliceert niet dat de betrokkene geen enkele verantwoordelijkheid draagt. De betrokkene heeft een zekere onderzoeksplicht voor hij een oordeel geeft. Bepalend voor de mate waarin de verantwoordelijke de betrokkene moet informeren dan wel de betrokkene zelf op onderzoek moet uitgaan is wat in het maatschappelijk verkeer redelijkerwijs mag worden verwacht. Dit zal moeten worden bepaald aan de hand van een weging van alle omstandigheden van het concrete geval. Factoren die bij weging een rol kunnen spelen zijn de betreffende soort gegevens, de verwerkingen die verantwoordelijke wil verrichten alsmede de context waarin deze verwerkingen zullen plaatsvinden, de eventuele derden aan wie de gegevens kunnen worden verstrekt enz., maar ook de maatschappelijke positie en onderlinge verhouding tussen de verantwoordelijke en de betrokkene alsmede de wijze waarop zij met elkaar in contact zijn getreden. (II, nr. 3 blz. 36)

Een reisbureau kan ervan uitgaan dat degene die een reis boekt weet dat de gegevens worden verwerkt om de reis daadwerkelijk te kunnen boeken en te zorgen voor de financiële afwikkeling. Het is algemeen bekend dat de boeking van een vliegreis niet kan plaatsvinden zonder dat de persoonsgegevens aan de vliegmaatschappij worden doorgegeven. Een afzonderlijke mededeling van een dergelijke gegevensverwerking zou tot absurde situaties leiden. (II, nr. 3, blz. 150-151)

Bij de verantwoordelijke die zelf de betrokkenen benadert ligt extra verantwoordelijkheid
De omvang van de informatieverplichting is mede afhankelijk van de wijze waarop het contact tot stand komt. In beginsel zal op de verantwoordelijke een extra verantwoordelijkheid tot informeren rusten als hij zelf het initiatief neemt tot het contact met de betrokkene. De betrokkene die de verantwoordelijke zelf benadert, zal veelal reeds op de hoogte zijn van diens identiteit en oogmerken. Dan moet wel nog het concrete doel van de gegevensverwerking en eventueel aanvullende informatie worden verstrekt, terwijl in geval dat redelijkerwijs twijfel mogelijk is, ook de identiteit van de verantwoordelijke dient te worden bekendgemaakt. In de gevallen dat de verantwoordelijke er niet op mag vertrouwen dat de betrokkene op de hoogte is, dient hij ten minste zijn identiteit bekend te maken en de betrokkene te informeren over het doel van de gegevensverwerking. (II, nr. 3 blz. 150 - 151)

Wijze waarop de informatie kan worden verstrekt
Uitgangspunt is dat de informatie zodanig moet worden verstrekt dat de betrokkene daarover daadwerkelijk beschikt. In de praktijk kan dit op velerlei wijze. In een rechtstreeks individueel contact tussen (een vertegenwoordiger van) de verantwoordelijke en betrokkene kan de informatie mondeling of schriftelijk worden verstrekt. Bij interactieve telecommunicatie, wanneer daarbij de mogelijkheid bestaat ook datacommunicatie te doen plaatsvinden, kan de informatie in de vorm van data worden verstrekt. (II, nr. 3 blz. 152)

Informatieverstrekking via privacyverklaring op website
Wanneer de betrokkene persoonsgegevens via de elektronische communicatie verstrekt, dan zal het voor de verantwoordelijke weinig bezwaarlijk zijn om langs dezelfde weg de betrokkene vooraf uitgebreid te informeren over wat er met de gegevens gebeurt. Op het eerste scherm dat na het inloggen verschijnt en waarbij de betrokkene in de gelegenheid wordt gesteld gegevens over zichzelf in te voeren, kan een extra regel op het scherm verwijzen naar bijvoorbeeld via doorklikken beschikbare informatie over de verwerkingen die geschieden met de gegevens. Zolang elektronische communicatie nog niet op alle gebieden in onze maatschappij ingeburgerd is, bijvoorbeeld zolang vliegreizen of theaterreserveringen nog telefonisch worden geboekt, zal evenwel de verantwoordelijke de betrokkene mondeling moeten informeren, indien niet anderszins is voorzien in informatie over hoe de gegevens worden verwerkt. (II, nr. 3 blz. 152)

Informatieverstrekking bij telefonisch contact
Is informatie over de gegevensverwerking opgenomen in een reisgids of een theaterprogramma waarvan de betrokkene bij een telefonische boeking kennelijk gebruik maakt, dan kan de verantwoordelijke ervan uitgaan dat de betrokkene op de hoogte is. Staat dit niet vast, dan zal in het telefonische contact alsnog de informatie moeten worden verstrekt.
Geeft de betrokkene blijk daarin niet te zijn geïnteresseerd, dan zal de verantwoordelijke zich van zijn informatieplicht verder ontslagen kunnen achten. De bepalingen van het wetsvoorstel strekken niet tot verplichte communicatie tussen verantwoordelijke en betrokkene tegen de verklaarde wil van de laatste in. (II, nr. 3 blz. 152)

Informatieplicht bij verwerkingen van beeld- of geluidsmateriaal (videocamaratoezicht)
Het feit dat langs geautomatiseerde weg geluid- of beeldvergelijking van digitaal vastgelegde informatie over iemand onvergelijkbaar veel sneller en nauwkeuriger kan plaatsvinden dan wanneer dit handmatig zou moeten geschieden, rechtvaardigt een aangescherpt juridisch regime. In de praktijk betekent dit vooral dat betrokkenen op de hoogte moeten worden gesteld van het feit dat van hen opnamen worden gemaakt. De identiteit van de verantwoordelijke kan blijken uit de bevestiging van een videocamera aan een bepaald pand, waarvan de eigenaar, bijvoorbeeld omdat het een winkel betreft, duidelijk is. In andere gevallen zal bijvoorbeeld middels een duidelijke sticker de identiteit van de verantwoordelijke moeten worden kenbaar gemaakt.
Wanneer het in bijzondere gevallen noodzakelijk zou zijn op één van de gronden van artikel 43 af te zien van een dergelijke informatieverstrekking vooraf, kan daarvan uiteraard worden afgezien. Het bovenstaande geldt uiteraard evenzeer voor de vastlegging van gegevens van gedragingen van personen als zij iets, bijvoorbeeld een catalogus van een postorderbedrijf, consulteren op de elektronische snelweg en die tot die personen herleidbaar zijn. (II, nr. 3, blz. 71)

Informatieplicht bij verzameling voor DM-doeleinden
Voor vergaring van persoonsgegevens voor direct marketing-doeleinden zijn dezelfde wettelijke regels van toepassing als voor verwerking van persoonsgegevens voor andere doeleinden. De in hoofdstuk 2 van de wet opgenomen voorwaarden gelden derhalve onverkort voor gegevensverwerking ten behoeve van direct marketing. Voorts geldt dat wanneer gegevens (mede) voor direct marketing worden vergaard, de betrokkene hiervan op grond van artikel 33 of 34 op de hoogte moet worden gesteld. (II, nr. 13, blz. 18)

Uitwerking overgangsrecht voor de informatieplicht
Wat betreft de informatie aan de betrokkene naar aanleiding van de inwerkingtreding van de wet kan in het algemeen worden aangenomen dat geen informatie over de verwerking van persoonsgegevens behoeft te worden verstrekt op grond van de artikelen 33 of 34. Deze bepalingen zien op de "verkrijging van gegevens". De "verkrijging" wordt geregeerd door de wet die geldt op het moment van die verkrijging. (II, nr. 9, blz. 10)

Onderscheid artikel 33 en 34
Het onderscheid vloeit voort uit de richtlijn en bestaat er voornamelijk uit dat de betrokkene op een ander tijdstip wordt geïnformeerd. Artikel 34 volgt in de tijd op artikel 33 en is van toepassing op die gevallen waarop artikel 33 niet van toepassing is. Men dient te bedenken dat in het tweede geval de betrokkene reeds eerder geïnformeerd werd, namelijk ten tijde van de verkrijging van gegevens door de verantwoordelijke bij de betrokkene. Iedere verdere verwerking van gegevens door een ander dan de verantwoordelijke aan wie de betrokkene zijn gegevens heeft medegedeeld, is bovendien slechts toegelaten indien dat voor hetzelfde of een verenigbaar doel gebeurt. Dat wil zeggen dat verdere informatie met name relevant is om op de hoogte te worden gesteld van de identiteit van de nieuwe verantwoordelijke (EK 34 blz. 34-1632).