Artikel 16 [Verbod op verwerking bijzondere persoonsgegevens]

In deze bepaling is de grondgedachte van artikel 8 van de richtlijn geïmplementeerd, namelijk dat de verwerking van specifiek in de richtlijn opgesomde gevoelige persoonsgegevens door de lidstaten moet worden verboden. Van dit verbod kan alleen ontheffing worden verleend indien de verwerking zijn grondslag vindt in een van de overige bepalingen van paragraaf 2. De belangrijkste algemene garantie – verwoord in het hierna te bespreken artikel 23, eerste lid, onder e –is dat verwerking van dergelijke gegevens niet is toegestaan dan voor zover dat bij wet is bepaald. In het overgrote deel van de gevallen zal een verwerking op de onderhavige wetsvoorstel kunnen worden gebaseerd. Het is echter niet uitgesloten dat in specifieke situaties een basis gecreëerd zal worden in een bijzondere wet. Voor gevoelige gegevens, zoals opgesomd in artikel 8 van de richtlijn, geldt op grond van artikel 8, vierde lid, als hoofdregel dat een verwerking slechts kan worden toegestaan in bijzondere wetgeving als de verwerking door een algemeen zwaarwegend belang wordt gerechtvaardigd. De richtlijn geldt immers ook voor andere wetten voor zover zij worden bestreken door het communautaire recht. Deze voorwaarde is uitdrukkelijk in artikel 23 tot uitdrukking gebracht. Voor een nadere uitleg zij verwezen naar de toelichting op dat artikel.
Artikel 16 is conform de richtlijn geformuleerd als een verbod. Dit impliceert dat als hoofdregel geldt dat verwerking van gevoelige gegevens niet is toegestaan. De daarop volgende bepalingen (artikel 17 tot en met 23) zijn in dezelfde sleutel geplaatst en geformuleerd als een ontheffing van het algemene verwerkingsverbod. Langs deze weg wordt ook tot uitdrukking gebracht dat artikel 17 e.v. niet zonder meer legitimeren tot gegevensverwerking: zij doorbreken slechts een verbod. Vervolgens zal aan de hand van de algemene beginselen van gegevensverwerking – zoals vastgelegd in artikel 6 tot en met 15 van het wetsvoorstel – moeten worden vastgesteld of de gegevensverwerking in het concrete geval rechtmatig is.
De Registratiekamer heeft er terecht op gewezen dat artikel 16 in een enkel opzicht een verhoging van het beschermingsniveau oplevert in vergelijking tot het huidige regime. Zo heeft artikel 1 BGG uitsluitend betrekking op het 'opnemen' van gevoelige gegevens in een persoonsregistratie, terwijl artikel 16 – conform de richtlijn – in algemene zin ziet op het 'verwerken' daarvan. Aldus is het bijzondere regime inzake gevoelige gegevens van toepassing op alle stadia van het proces van gegevensverwerking. Het is de vraag in hoeverre dit ook in de praktijk een aanscherping zal betekenen. Onder het regime van de WPR werkt het gevoelige karakter van de gegevens door in de wijze waarop de algemene wettelijke regels worden toegepast. Als gevolg daarvan kan per saldo hetzelfde resultaat worden bereikt. Niettemin is niet uitgesloten dat de uitbreiding van het regime inzake gevoelige gegevens tot alle verwerkingen, in bepaalde gevallen tot meer bescherming zal leiden.
Conform het huidige artikel 1 BGG wordt in artikel 16 gesproken over persoonsgegevens 'betreffende' een aantal met name genoemde categorieën. Hiermee wordt beoogd aan te sluiten bij het thans geldende recht. Zoals de Registratiekamer terecht in zijn advies opmerkt, wordt daarbij uitgegaan van een onderscheid tussen 'direct' en 'indirect' gevoelige gegevens. Afgezien van gegevens die als zodanig betrekking hebben op een gevoelig kenmerk – aangeduid als 'direct' gevoelige gegevens – worden tot de gevoelige gegevens ook gerekend de gegevens die weliswaar als zodanig daarop geen betrekking hebben, maar waaruit wel de aanwezigheid van een gevoelig kenmerk rechtstreeks kan worden afgeleid. Een eerder genoemd voorbeeld van het laatste is de administratie van een kerkgenootschap waarin alle namen en adressen van de leden zijn opgenomen. Weliswaar hebben deze namen en adressen op zichzelf beschouwd geen betrekking op een gevoelig kenmerk, doch uit de opneming van deze gegevens in de administratie van het kerkgenootschap vloeit dwingend voort dat het gaat om gegevens betreffende de godsdienstige overtuiging van betrokkenen. Noodzakelijk is wel dat er een rechtstreeks verband is. Gegevens die hooguit een indicatie geven dat het om een gevoelig kenmerk zou kunnen gaan, vallen – zoals de Registratiekamer terecht stelt – buiten de reikwijdte van de bijzondere regeling voor gevoelige gegevens. Voor een nadere uiteenzetting zij verwezen naar de nota van toelichting van het BGG.
In artikel 16 is zoveel mogelijk aangesloten bij de terminologie die ook wordt gehanteerd in de richtlijn. Wat betreft de categorieën van persoonsgegevens die als gevoelig worden aangemerkt, zijn er enkele verschillen tussen enerzijds de richtlijn en de WBP en anderzijds het BGG en de WPR. In de bepaling wordt bijvoorbeeld gesproken over persoonsgegevens betreffende iemands gezondheid in plaats van de formulering die thans in artikel 7 WPR en het BGG wordt gebruikt. Daarin wordt het begrip 'persoonsgegevens van medische en psychologische aard' gebruikt. De richtlijnterminologie is op dit punt enerzijds ruimer, anderzijds beperkter dan het BGG. De richtlijn is ruimer daar waar 'gegevens omtrent gezondheid' meer omvat dan 'gegevens van medische aard'. Het enkele gegeven dat iemand ziek is, is – conform de richtlijn – een gezondheidsgegeven in de zin van het wetsvoorstel, doch is geen medisch persoonsgegeven: zij omvat geen nadere informatie over de aard van de ziekte. Anderzijds omvatten gezondheidsgegevens niet zonder meer psychologische gegevens. Weliswaar zullen psychologische gegevens vaak tevens iemands lichamelijke of geestelijke gezondheid raken, doch dit behoeft niet altijd het geval te zijn. De formulering van de richtlijn en de WBP is aldus beperkter. Hetzelfde geldt voor het begrip 'seksuele leven' dat in de plaats komt van de thans gebruikte zinsnede 'seksualiteit of intiem levensgedrag'. Ook hier zijn de richtlijn en de WBP beperkter aangezien niet alle vormen van intiem levensgedrag het seksuele leven betreffen. Overigens mag hieruit niet zonder meer worden afgeleid dat er ook sprake zal zijn van een vermindering van bescherming ten opzichte van de WPR. Via het op artikel 7 van de richtlijn gebaseerde artikel 8, in het bijzonder kan gewezen worden op de in onderdeel f opgenomen noodzakelijkheidstoets, blijft de thans op grond van de WPR gebaseerde bescherming van psychologische gegevens en persoonsgegevens inzake intiem levensgedrag, in belangrijke mate intact. Het is meer zo dat voor de categorieën van gevoelige persoonsgegevens die wel onder de reikwijdte van de richtlijn vallen, als gevolg van artikel 16 e.v. een hoger beschermingsniveau wordt gerealiseerd dan in de huidige situatie het geval is.
Voor het overige is er de voorkeur aan gegeven dezelfde begrippen te blijven gebruiken als in artikel 1 van de Grondwet en de Algemene wet gelijke behandeling. De begrippen ras, godsdienst, levensovertuiging en politieke gezindheid hebben in het Nederlandse recht inmiddels een gevestigde traditie. Het is onwenselijk om daarvan af te wijken. Dit is mogelijk omdat met de terminologie in de richtlijn geen andere resultaten worden beoogd. Met name is van belang om op te merken dat het begrip 'ras' naar Nederlands recht ruim wordt uitgelegd en ook het in de richtlijn gebruikte begrip 'etnische afkomst' omvat. Wat betreft de persoonsgegevens van strafrechtelijke of tuchtrechtelijke aard geldt ingevolge artikel 8, vijfde lid, een afzonderlijke regime. Niettemin is er – mede gelet op artikel 7 WPR en het huidige BGG – geen reden om voor deze gegevens een ander uitgangspunt te kiezen dan hetgeen in artikel 16 is verwoord. De gegevens in verband met strafbaar of hinderlijk gedrag worden derhalve in dit artikel met andere gevoelige gegevens op één lijn gesteld. In deze gevallen betreft het personen die anders worden behandeld dan anderen omdat zij in verband worden gebracht met verwijtbaar gedrag.

[MvT, pagina 100-102]