Rina Steenkamp - Privacy en technologie
Hoofdstuk 1. Algemene bepalingen
1. De bepalingen van deze richtlijn zijn van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede op de niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.
2. De bepalingen van deze richtlijn zijn niet van toepassing op de verwerking van persoonsgegevens:
- die met het oog op de uitoefening van niet binnen de werkingssfeer van het Gemeenschapsrecht vallende activiteiten geschiedt zoals die bedoeld in de titels V en VI van het Verdrag betreffende de Europese Unie en in ieder geval verwerkingen die betrekking hebben op de openbare veiligheid, defensie, de veiligheid van de Staat (waaronder de economie van de Staat, wanneer deze verwerkingen in verband staan met vraagstukken van Staatsveiligheid), en de activiteiten van de Staat op strafrechtelijk gebied;
- die door een natuurlijk persoon in activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden wordt verricht.
Het eerste lid brengt tot uitdrukking dat het wetsvoorstel ziet op iedere geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens alsmede op handmatig gevoerde gegevens, voor zover deze in een bestand voorkomen of bestemd zijn om daarin te worden opgenomen.
Van een geautomatiseerde verwerking is sprake indien gebruik wordt gemaakt van middelen en methoden van geautomatiseerde gegevensverwerking. Van een 'gedeeltelijke geautomatiseerde verwerking' is sprake als bij een onderdeel van de verwerking tevens gebruik wordt gemaakt van andere middelen. Het onderscheid tussen handmatig en geautomatiseerde verwerkte of te verwerken gegevens is niet altijd in alle scherpte te maken. In de praktijk komt het voor dat een gegeven deels geautomatiseerd wordt gevoerd en deels handmatig wordt bijgehouden. Een handmatig bijgehouden hulpbestand van bron-documenten dat met betrekking tot de geautomatiseerd gevoerde gegevens een bewijsfunctie toekomt, valt onder hetzelfde regime als de op basis daarvan geautomatiseerd verwerkte gegevens. Ook komt het voor dat geautomatiseerd gevoerde gegevens en een handmatige gegevensverzameling onderling zodanig zijn verweven dat zij als één bestand moeten worden aangemerkt, bijvoorbeeld als met behulp van de geautomatiseerd gevoerde gegevens toegang kan worden verkregen tot het handmatige bestand. Er is sprake van één vorm van verwerking van persoonsgegevens als geautomatiseerde en niet geautomatiseerde gegevens een gemeenschappelijke bestemming hebben.
In tegenstelling tot de WPR is het wetsvoorstel ook van toepassing op handmatig verwerkte gegevens die nog niet in een bestand zijn opgenomen maar wel bestemd zijn om daarin te worden opgenomen. Uit de begripsomschrijving van een 'persoonsregistratie' in de WPR volgt dat dit wetsvoorstel van toepassing is op de handmatig gevoerde gegevensverzameling die systematisch is aangelegd met het oog op een doeltreffende raadpleging van de persoonsgegevens. Onder het bereik van het wetsvoorstel valt ook de fase van vergaring van gegevens die in handmatige bestanden zullen worden opgenomen.
In navolging van het advies van de Registratiekamer is in het tweede gedeelte van de begripsomschrijving de verwerking van persoonsgegevens beperkt tot 'de niet geautomatiseerde verwerking van persoonsgegevens...'. Aangezien het eerste gedeelte van de omschrijving op de geautomatiseerde verwerkingen ziet en het begrip 'bestand' in artikel 1 mede geautomatiseerde verwerkingen omvat, is deze beperking noodzakelijk. Dit heeft tot gevolg dat tevens de volledig handmatige verzameling van gegevens die bestemd zijn om in een geautomatiseerd bestand te worden opgenomen, onder het bereik van dit wetsvoorstel valt.
Het tweede lid bevat de uitzonderingen op de toepasselijkheid van het wetsvoorstel.
Onderdeel a bevat een uitzondering voor gegevensverwerkingen die naar hun aard voor persoonlijk of huiselijk gebruik bestemd zijn. Dit is dezelfde uitzondering als die ook in de WPR voorkomt. Bij de totstandkoming van de richtlijn hebben de Raad van Ministers en de Europese Commissie hierover voor de notulen verklaard dat deze formulering er niet toe mag leiden dat de verwerking van persoonsgegevens door een natuurlijke persoon, waarbij deze gegevens niet worden verstrekt aan één of meer personen, doch aan een onbepaald aantal personen, kan worden uitgesloten van de richtlijn.
Het 'persoonlijk gebruik' ziet zowel op de situatie buiten het werk als daarbinnen. Veel beroepsbeoefenaars houden registraties in het kader van hun normale bedrijfsvoering. Deze vallen onder de werking van het wetsvoorstel, ook wanneer het om eenmansbedrijven gaat. Deze verwerkingen zullen in de regel van de meldingsplicht worden vrijgesteld, maar de materiële normen van het wetsvoorstel blijven van toepassing. Daarnaast houden vele beroepsbeoefenaren, ook in het kader van hun werk, eigen lijstjes bij, bijvoorbeeld adresbestanden van personen met wie zij regelmatig contact onderhouden. Zij hebben het karakter van persoonlijke aantekeningen, dienend als geheugensteun. Deze laatste zijn van de werking van het wetsvoorstel uitgezonderd. Dit wordt niet anders wanneer bij voorbeeld een secretaresse van de beroepsbeoefenaar in bijzondere gevallen ook daarvan kennis neemt. Zodra evenwel een verwerking beoogd is voor gebruik door meerdere personen, is het wetsvoorstel van toepassing.
Het 'huiselijk gebruik' ziet op de situatie dat in een gezinssituatie persoonsgegevens worden verwerkt. Ook wanneer meerdere personen die gezamenlijk een huishouden voeren, gebruik maken van deze gegevens, is het wetsvoorstel niet van toepassing. Voorwaarde is wel dat het moet gaan om een duidelijk bepaalbare groep van personen. De verwerkingen die uitsluitend ten dienste staan van de openbare informatievoorziening door pers, radio of televisie alsmede boeken en andere schriftelijke publikaties, en catalogiseringen daarvan vallen nu wel onder het bereik van het wetsvoorstel. Ten aanzien van de gegevensverwerkingen ten behoeve van de openbare informatievoorziening door pers, radio of televisie, zullen zoals blijkt uit artikel 3 een beperkt aantal artikelen van het wetsvoorstel van toepassing zijn. Verder vallen ook de persoonsregistraties in een archiefbewaarplaats als bedoeld in de Archiefwet 1962, in het kader van de uitvoering van de Kieswet en de openbare registers die bij wet zijn ingesteld onder het bereik van de richtlijn.
De onderdelen b tot en met f maken, in overeenstemming met artikel 2, derde lid, WPR, verdere uitzonderingen op de toepasselijkheid van het wetsvoorstel. Het is de bedoeling dat wetten over gegevensverwerkingen waarop de WBP niet van toepassing is uitdrukkelijk in artikel 2 worden vermeld. Voor zover deze verwerkingen onder het bereik van de communautaire wetgeving vallen of kunnen komen te vallen, dienen zij wel in overeenstemming te zijn met de richtlijn.
Ten aanzien van de uitgezonderde gegevensverwerkingen zal de thans geldende specifieke wetgeving, te weten de Wet op de inlichtingen- en veiligheidsdiensten en de Wet politieregisters, blijven gelden. In de bestaande situatie zal daarom geen verandering optreden. Daarbij moet worden aangetekend dat niet kan worden uitgesloten dat de EG-richtlijn gegevensbescherming te zijner tijd een reflexwerking zal hebben op de verdere rechtsvorming op deze gebieden. De verschillen moeten worden gerechtvaardigd door de aard van de materie, niet door de herkomst van de regelgeving.
Een afzonderlijke vraag kan rijzen over de toepasselijkheid van het wetsvoorstel in verband met de al dan niet geautomatiseerde verwerking van gegevens over bepaalde personen in de vorm van beeld en geluid. Blijkens artikel 33, tweede lid, van de richtlijn zal de Europese Commissie in het bijzonder op dit terrein in 2001 nadere voorstellen doen. Het volgende geldt in afwachting van deze voorstellen.
Het is duidelijk dat een verzameling van losse foto’s van personen, bewaard in een oude schoenendoos of ingeplakt in een fotoboek niet valt onder de reikwijdte van het wetsvoorstel. De verwerking vindt niet plaats langs geautomatiseerde weg en het gaat evenmin om een gestructureerd geheel van persoonsgegevens die volgens bepaalde criteria toegankelijk zijn. Hierbij is ook niet relevant of de foto’s al dan niet zijn voorzien van een naam, want zolang de personen op de foto herkenbaar zijn gaat het immers om een persoonsgegeven. Wordt een fotoverzameling echter geordend volgens bepaalde criteria zodat de daarop weergegeven personen makkelijker kunnen worden teruggevonden bij raadpleging van het aldus aangelegde bestand, dan wordt daardoor het wetsvoorstel van toepassing.
Wat aldus geldt voor foto’s, geldt meer in het algemeen voor geluid- of beeldmateriaal dat op de klassieke wijze is vastgelegd. Cassettebandjes, film- of videobanden, grammofoonplaten, televisie etc. zijn vormen van dergelijke vormen van klassieke vastlegging van informatie. Niet relevant is of het gaat om stilstaande of bewegende beelden. Zodra evenwel het materiaal min of meer toegankelijk is voor latere raadpleging, is het wetsvoorstel van toepassing. Het gaat daarbij telkens om geluid of beeld waaraan bepaalde informatie omtrent een persoon kan worden ontleend. Een geluidsband bijvoorbeeld waarop een stem van een bepaalde persoon herkenbaar is, ook al is deze band niet voorzien van een naam, is ook informatie over die persoon.
In het bijzonder speelt dit bij digitaal verwerkt of te verwerken geluid of beeld. Bij digitale verwerking vormen de elementaire bouwstenen van het signaal waarin het gegeven is verwerkt een discrete waarde: een één of een nul, een plus of een min, een lichtpuls of geen lichtpuls. Tussenliggende waarden komen niet voor. Zodra informatie digitaal is vastgelegd is er in ieder geval sprake van geautomatiseerde verwerking van gegevens. In een geautomatiseerd systeem is immers het zoeken naar digitale gegevens mogelijk. Bijvoorbeeld iemands stem kent unieke informatie. Als de stem digitaal is vastgelegd is hij vergelijkbaar met een op een ander moment opgenomen en digitaal vastgelegde stem. In de toekomst is het in toenemende mate waarschijnlijk dat met gebruikmaking van geautomatiseerde beeld- en spraakherkenningstechnieken langs geautomatiseerde weg eenvoudig vast te stellen is of het om dezelfde persoon gaat. Hetzelfde geldt min of meer voor beeldmateriaal. Hierdoor valt een digitale databank met beeltenissen of stemafdrukken op naam, bruikbaar voor de vaststelling van de identiteit van anonieme personen onder het bereik van het wetsvoorstel. Hetzelfde geldt voor de langs geautomatiseerde weg vastgelegde digitale informatie van een anonymus, waarvan de identiteit met behulp van een dergelijke databank mogelijk kan worden vastgesteld. Het feit dat langs geautomatiseerde weg geluid- of beeldvergelijking van digitaal vastgelegde informatie over iemand onvergelijkbaar veel sneller en nauwkeuriger kan plaatsvinden dan wanneer dit handmatig zou moeten geschieden, rechtvaardigt een aangescherpt juridisch regime.
In de praktijk betekent dit vooral dat betrokkenen op de hoogte moeten worden gesteld van het feit dat van hen opnamen worden gemaakt. De identiteit van de verantwoordelijke kan blijken uit de bevestiging van een videocamera aan een bepaald pand, waarvan de eigenaar, bijvoorbeeld omdat het een winkel betreft, duidelijk is. In andere gevallen zal bijvoorbeeld middels een duidelijke sticker de identiteit van de verantwoordelijke moeten worden kenbaar gemaakt. Wanneer het in bijzondere gevallen noodzakelijk zou zijn op één van de gronden van artikel 43 af te zien van een dergelijke informatieverstrekking vooraf, kan daarvan uiteraard worden afgezien.
Het bovenstaande geldt uiteraard evenzeer voor de vastlegging van gegevens van gedragingen van personen als zij iets, bijvoorbeeld een catalogus van een postorderbedrijf, consulteren op de elektronische snelweg en die tot die personen herleidbaar zijn. Bij een dergelijke on-line consultatie is het mogelijk om vast te leggen op welke plaatsen de gebruiker zich op de snelweg begeeft en de tijdspanne tussen elke klik van de muis van de computer vast te leggen. Dit geeft een vrij nauwkeurig beeld van iemands belangstelling. Wanneer deze gegevens anoniem zijn en niet meer tot een persoon te herleiden zijn, bijvoorbeeld opgeslagen met het oog op bijvoorbeeld marktonderzoek, dan valt de verwerking buiten de reikwijdte van het wetsvoorstel. Vindt de opslag evenwel plaats om individuele personen te benaderen met commerciële aanbiedingen, dan is het wetsvoorstel wel van toepassing.
Het bovenstaande heeft tot gevolg dat ook elke multimediale opslag van gegevens voor artistieke of journalistieke doeleinden of voor divertissement, zodra daar herkenbaar personen in voorkomen onder het wetsvoorstel vallen. Ook onder de WPR vielen overigens deze gegevens al onder het wetsvoorstel, omdat het daar ging om tot individuele personen herleidbare gegevens. De pers was echter in artikel 2, eerste lid, onder a, van de werking van deze wet. In artikel 3 is voorzien in een uitzondering voor bepaalde artikelen van dit wetsvoorstel, indien voor deze doeleinden gegevensverwerking plaatsvindt. Voor het overige zal worden bezien in hoeverre dergelijke vormen van gegevensverwerking kunnen worden vrijgesteld van de aanmeldingsplicht.
Het derde lid voorziet in een voorwaardelijke uitzondering voor gegevensverwerkingen door de krijgsmacht in geval van daadwerkelijk operationeel optreden door Nederlandse militairen in het buitenland. Gedacht dient te worden aan de inzet van de krijgsmacht bij internationale crisisbeheersingsoperaties. Hoewel gegevensverwerkingen in dat kader veelal buiten Nederland zullen worden verricht, blijft de minister van Defensie hiervoor verantwoordelijk. Mede gelet op artikel 4 zou de wet zonder nadere voorziening van toepassing zijn.
Bij inzet in internationale crises kan evenwel niet altijd worden gevergd dat de wet onverkort wordt toegepast. De omstandigheden waarin de krijgsmacht dan soms moet functioneren laten zulks in bepaalde gevallen niet toe. Om die reden wordt in het derde lid de bevoegdheid toegekend aan de minister van Defensie om te bepalen dat de wet buiten toepassing kan blijven. De minister kan daartoe slechts beslissen indien dit met het oog op de inzet van de krijgsmacht ter handhaving of bevordering van de internationale rechtsorde nodig is. Met deze laatste formulering is aangesloten bij het nieuwe artikel 97 van het recent ingediende voorstel van Rijkswet tot wijziging van de bepalingen van de Grondwet inzake de verdediging. Ten slotte is bepaald dat de Registratiekamer van de beslissing van de minister – zo nodig achteraf doch zo spoedig mogelijk – in kennis dient te worden gesteld. Deze voorziening is er op gericht om een adequate controle op de toepassing van de wet mogelijk te maken. Met het oog daarop zal de beslissing van de minister om de wet buiten toepassing te laten, van een adequate motivering moeten zijn voorzien.
[MvT, pagina 69-72]