maandag 29 augustus 2016

Over bewaartermijn, bescherming persoonsgegevens en de Archiefwet

Ik heb daarna de hele uitspraak eens gelezen en ik geloof dat het op zich nog wel meevalt. Als ik het goed lees zijn er twee punten waar de rechter moeite mee heeft:

1. Verwerking van bijzondere persoonsgegevens door IGZ terwijl dat niet mag. Bijzondere persoonsgegevens (oa over gezondheid) mogen alleen verwerkt worden als het gaat om de uitvoering van wettelijke voorschriften die
voorzien in aanspraken die afhankelijk zijn van de gezondheidstoestand van de betrokkene. Mede gelet op de toelichting in de MvT (pagina’s 113-114) ziet deze bepaling op de verwerking van gegevens omtrent gezondheid in de sfeer van de sociale zekerheid, zoals aanspraken op uitkeringen, verstrekkingen of voorzieningen in verband met de gezondheidstoestand van de betrokkene. Daar is in onderhavig geval geen sprake van.
Hieruit volgt dat de verwerking onrechtmatig is en de betrokkene dus op grond van artikel 36.1 van de WBP kan vragen om de gegevens te laten verwijderen.

2. Op basis van artikel 33 van de WBP moet degene die persoonsgegevens verkrijgt, vantevoren de betrokkene informeren over de doeleinden van de verwerking van de gegevens. Daar hoort blijkbaar ook de bewaartermijn van de gegevens bij. Het probleem is hier dan niet dat de IGZ die persoonsgegevens heeft om de klacht te behandelen (of niet), maar dat de persoonsgegevens 10 jaar bewaard worden in verband met toekomstige meldingen. Daar had de IGZ de klaagster over moeten informeren:
De rechtbank overweegt voorts dat eiseres haar gegevens aan verweerder heeft verstrekt met als doel dat haar klacht zou worden onderzocht en behandeld door de IGZ. Door eiseres is onweersproken gesteld dat zij er bij het verstrekken van haar gegevens niet van op de hoogte was dat verweerder alle gegevens gedurende tien jaar zou bewaren. Ter zitting is namens verweerder erkend dat eiseres conform de informatieplicht van artikel 33 van de Wbp geïnformeerd had dienen te worden over het verwerken van haar gegevens. Verweerder verbindt hieraan echter niet de conclusie dat sprake is van verwerken van gegevens in strijd met een wettelijk voorschrift, op grond waarvan kan worden verzocht om de gegevens te verwijderen, zoals bedoeld in artikel 36, eerste lid, van de Wbp.
De rechtbank overweegt dat, door het niet of onvolledig informeren zoals vereist in artikel 33 van de Wbp, eiseres niet in de gelegenheid is gesteld om af te wegen of zij haar gegevens wilde verstrekken indien die standaard gedurende tien jaar zouden worden bewaard. […] Anders dan verweerder is de rechtbank derhalve van oordeel dat het feit dat verweerder eiseres niet heeft geïnformeerd dat haar gegevens gedurende tien jaar zullen worden bewaard in verband met eventuele toekomstige meldingen, tot gevolg heeft dat het bewaren van deze gegevens een verwerking is in strijd met de artikelen 6 en 33 van de Wbp.
Dit is volgens mij de doelbinding waar het in privacy-zaken vaker over gaat. En ook hieruit volgt dat de persoonsgegevens verwijderd moeten worden als een betrokkene erom vraagt, omdat de verwerking onrechtmatig is. Ik weet niet precies of het feit dat de melding door de IGZ niet in behandeling is genomen, hier ook nog een rol bij speelt.

Over de Archiefwet en de selectielijst zegt de rechter trouwens:
De rechtbank stelt voorop dat verweerder is gehouden om persoonsgegevens te verwerken in overeenstemming met de vereisten van de Wbp, ongeacht de bepalingen in de Archiefwet en het beleid in het BSD. De verplichtingen op grond van de Archiefwet en het beleid op grond van het BSD zijn derhalve niet van toepassing voor zover die toepassing zou leiden tot strijd met de Wbp. Verweerder heeft dit ter zitting erkend. Het aanhalen van deze regelgeving in het bestreden besluit kan derhalve niet dienen als onderbouwing van verweerders standpunt dat de verwerking van persoonsgegevens in overeenstemming is met de Wbp.
Persoonsgegevens zijn geen archiefstukken, lijkt de hieraan ten grondslag liggende redenering te zijn. De uitspraak van de rechter gaat ook alleen over het verwijderen van de (bijzondere) persoonsgegevens, niet over het vernietigen van de archiefbescheiden. (Want de informatie mag – zonder de persoonsgegevens – best 10 jaar bewaard blijven om later in verband te brengen met andere klachten.)

Dus, de onrechtmatige verwerking is hier de crux en daarmee denk ik dat deze uitspraak niet betekent dat overheden en archieven nu allerlei gedoe met het bewaren of vernietigen van persoonsgegevens krijgen. Zolang daar maar een wettelijke basis voor is.

1 opmerking:

  1. Het is de vraag of dit vonnis anders zou zijn geweest als de informatieplicht van art. 33 Wbp wèl zou zijn vervuld, maar zonder uitdrukkelijke mededeling dat de gegevens krachtens de Archiefwet 1995 tien jaar lang bewaard zouden worden. Ik ben geneigd de vraag instemmend te beantwoorden. Immers, niet alleen mag worden aangenomen “dat de burger ermee bekend is dat overheidsorganen de onder hen berustende archiefbescheiden na verloop van tijd overbrengen naar archiefbewaarplaatsen. Voorts is van belang dat de Archiefwet 1995 zélf reeds een procedure bevat die erop is gericht belanghebbenden te informeren omtrent de wijze waarop de overheid voornemens is om te gaan met haar archiefbescheiden. Ten behoeve van de overbrenging dient de zorgdrager – bijvoorbeeld een minister – een selectielijst te maken die aan een aantal wettelijke eisen dient te voldoen. Een van die eisen betreft een systematische opsomming van de categoriëen van archiefbescheiden in het kader waarvan bij elke categorie is aangegeven of de bescheiden bewaard worden – en dus naar een archiefbewaarplaats worden overgebracht – dan wel na welke termijn zij voor vernietiging in aanmerking komen. Een dergelijke ontwerp-selectielijst wordt ter inzage gelegd en een ieder is in de gelegenheid daaromtrent zijn zienswijze kenbaar te maken. De openbare voorbereidingsprocedure van de Awb is daarbij van toepassing.” [Bijlagen Handelingen Tweede Kamer 1997-1998, 25 892, nr. 3, blz. 173.
    Op grond van het voorgaande kan worden gesteld dat een burger geacht kan worden te zijn geïnformeerd omtrent het ingevolge de Archiefwet 1995 bewaren danwel vernietigen van hem of haar betreffende persoonsgegevens.

    BeantwoordenVerwijderen