Artikel 23 [Uitzondering op verwerkingsverbod bijzondere persoonsgegevens]

Deze bepaling bevat voorschriften voor de gevallen dat het verwerken van gevoelige gegevens niet in de daaraan voorafgaande eerdere artikelen is geregeld. Dit artikel kan daarmee worden beschouwd als een algemene restbepaling waarin voor het verwerken van de betrokken gegevens een ontheffing van het verwerkingsverbod van artikel 16 kan gelden. Het artikel heeft dezelfde functie als het huidige artikel 8 BGG. In het artikel worden onderdelen van artikel 8, tweede en vierde lid, van de richtlijn geïmplementeerd.

Eerste lid

In onderdeel a wordt artikel 8, tweede lid, onder a van de richtlijn geïmplementeerd. Anders dan in artikel 8 van het Besluit gevoelige gegevens wordt geen schriftelijke toestemming vereist. Daarentegen is met het begrip 'uitdrukkelijke' wel een aanscherping beoogd ten opzichte van de toestemmingseis die elders wel in de richtlijn wordt gesteld. In geval de verantwoordelijke de uitdrukkelijke toestemming van de betrokkene dient te verkrijgen, dient de betrokkene expliciet zijn wil omtrent de verwerking te hebben geuit. Een stilzwijgende of impliciete toestemming is onvoldoende: de betrokkene dient in woord, schrift of gedrag uitdrukking te hebben gegeven aan zijn wil toestemming te verlenen aan de hem betreffende gegevensverwerking. Voor een nadere uiteenzetting zij verwezen naar de toelichting op het in artikel 1 gehanteerde toestemmingsbegrip.
Onderdeel b is de implementatie van artikel 8, tweede lid, onder e, van de richtlijn. Er geldt een ontheffing voor de verwerking van gevoelige gegevens indien de gegevens door de betrokkene openbaar zijn gemaakt. Evenals bij onderdeel a ligt de rechtvaardigingsgrond voor de ontheffing besloten in het handelen of het gedrag van de betrokkene zélf. Anders dan bij onderdeel a is er echter geen sprake van op de gegevensverwerking gerichte toestemming, maar van een spontane gedraging van de betrokkene en waar niet door enig andere persoon met het oog op een eventuele gegevensverwerking om is gevraagd. Dat de gegevens openbaar zijn, moet derhalve volgen uit gedrag van de betrokkene waaruit de intentie om openbaar te maken uitdrukkelijk blijkt. Het laatste blijkt onder meer uit het feit – de Registratiekamer heeft hier terecht op gewezen – dat de richtlijn bepaalt dat de gegevens 'duidelijk' door de betrokkene openbaar moeten zijn gemaakt. Dit is bijvoorbeeld duidelijk het geval in de situatie waarin een persoon die verkiesbaar is voor de volksvertegenwoordiging, zich met bepaalde politieke opvattingen in de publiciteit profileert. Het betreft hier een gegeven omtrent politieke gezindheid dat in beginsel door anderen mag worden verwerkt. Dat er sprake moet zijn van een intentie bij de betrokkene, blijkt ook uit de formulering van de bepaling: de gegevens moeten door de betrokkene openbaar zijn gemaakt.
Anders ligt daarom de situatie waarin een bepaald gegeven openbaar is, maar de uitdrukkelijke wens tot openbaarmaking niet door de betrokkene is geuit. Dit doet zich bijvoorbeeld voor bij personen met een handicap. Dit gezondheidsgegeven is in veel gevallen voor een ieder zichtbaar, maar niet uit vrije wil aan de kant van de betrokkene. Dit gegeven mag derhalve niet op grond onderdeel b worden verwerkt, tenzij de betrokkene zich als zodanig – bijvoorbeeld als belangenbehartiger voor gehandicapten – in de openbaarheid profileert.
Het is hierbij niet relevant of de openbaarmaking vrijwillig of krachtens wettelijk voorschrift heeft plaatsgevonden. Een voorbeeld van vrijwillige openbaarmaking betreft het telefoonboek. Ieder is immers vrij de vermelding daarin te voorkomen. In de vermelding kunnen op verzoek van de betrokkene ook gevoelige gegevens voorkomen. Een voorbeeld van een verplichte openbaarmaking is de registratie van rechtspersonen bij de Kamers van Koophandel waarbij een natuurlijk persoon als bestuurder staat vermeld. Dit gegeven heeft de betrokkene krachtens wettelijk voorschrift zelf openbaar gemaakt. Dit kan ook impliciet door in te stemmen met de benoeming tot bestuurder. Wanneer het bij voorbeeld gaat om het bestuur van een politieke partij of een vereniging van patiënten die lijden aan een bepaalde ziekte, kan het daarbij gaan om een gevoelig gegeven. Overigens heft deze openbaarmaking slechts het verbod tot verwerking van gevoelige gegevens op. Daarmee is nog geenszins vastgesteld dat er ook een rechtvaardiging tot gegevensverwerking aanwezig is als bedoeld in artikel 8. Persoonsgegevens, ook al zijn deze openbaar, mogen slechts worden verwerkt binnen de grenzen van dit wetsvoorstel.
In onderdeel c wordt de laatste zinsnede van artikel 8, tweede lid, onder e geïmplementeerd. Verwerking van gevoelige persoonsgegevens kan toelaatbaar zijn indien dit noodzakelijk is voor de vaststelling, de uitoefening of de verdediging van een recht in rechte. De formulering van de bepaling is gelijk aan die van de richtlijn. Particulieren kunnen onder omstandigheden hun rechten in een rechterlijke procedure niet effectueren zonder dat zij beschikken over bepaalde gegevens van hun wederpartij. Een voorbeeld daarvan is te vinden in CRvB 15 februari 1995, NJCM-Bull. 1995, p. 421 e.v. Uit deze uitspraak kan worden afgeleid dat een werkgever niet zonder meer kan worden verplicht tot betaling van een geldsom (in casu een malus op grond van de AAW) indien hij niet op de hoogte is van de gegevens die in het concrete geval aan het opleggen van de verplichting ten grondslag hebben gelegen. In casu betrof het medische gegevens van de werknemer die arbeidsongeschikt is geworden. Het begrip 'noodzakelijk' in onderdeel c betekent dat de betreffende gegevens niet zonder meer mogen worden verwerkt: er zal een afweging moeten plaatsvinden tussen het recht van de betrokkene om zijn gezondheidsgegevens geheim te houden en het recht van de wederpartij op een eerlijk proces. Dit ligt in lijn met de zojuist genoemde uitspraak van de Centrale Raad van Beroep.
Onderdeel d brengt mee dat het verwerken van een gevoelig gegeven geoorloofd kan zijn indien daarmee wordt gehandeld overeenkomstig een volkenrechtelijke verplichting en deze verplichting tot het verwerken van zulke gegevens noodzaakt. In een dergelijk geval is het verwerken van de gegevens als zodanig niet formeel wettelijk geregeld, maar is het voldoende duidelijk dat de wel in de volkenrechtelijke regeling – bijvoorbeeld een verdrag – geregelde verplichting enkel kan worden uitgevoerd indien daartoe bepaalde gegevens kunnen worden verwerkt. Uiteraard geldt nadrukkelijk dat het verbod om gevoelige gegevens te verwerken alleen niet van toepassing is indien sprake is van een 'zwaarwegend algemeen belang'. De verwerking op deze grond kan immers slechts worden gebaseerd op artikel 8, vierde lid, van de richtlijn op grond waarvan bedoelde eis geldt. Voorts dient deze bepaling in het geval dat landen buiten de Unie zijn betrokken, in samenhang te worden gezien met artikel 76 e.v.
De onderhavige verwerkingsgrond wordt thans op gelijke wijze geregeld in artikel 8, onderdeel a, BGG. In afwijking van het BGG is niet opgenomen dat gevoelige gegevens ook kunnen worden verwerkt op grond van een formeelwettelijke verplichting. Een dergelijke verwerkingsgrond is – mede gelet op artikel 10 Grondwet en 8 EVRM – onvoldoende specifiek. Mede gezien het voorschrift van artikel 16 inhoudende dat een verwerking van een gevoelig gegeven bij wet moet zijn bepaald, dient een concretere rechtsgrondslag te bestaan. Zoals in de toelichting op laatstgenoemd artikel reeds is vermeld kan in deze grondslag zowel in de WBP als in een bijzondere wet worden voorzien.
Ten slotte is er in onderdeel e een algemene ontheffing tot verwerking van gevoelige gegevens gecreëerd. Voor zover een ontheffing niet kan worden gebaseerd op een van de hiervoor besproken bepalingen kan een verwerking ingevolge onderdeel e zijn grondslag vinden in hetzij een bijzondere wet, hetzij een beschikking van de Registratiekamer. Een en ander ligt in het verlengde van artikel 8, vierde lid, van de richtlijn. In beide gevallen dient aan twee voorwaarden te zijn voldaan: de verwerking dient noodzakelijk te zijn met het oog op een zwaarwegend algemeen belang en er dienen in het belang van de persoonlijke levenssfeer passende waarborgen te worden gecreëerd. Beide voorwaarden vloeien eveneens voort uit de genoemde bepaling van de richtlijn.
De Registratiekamer vraagt zich af of opneming van het criterium inzake het zwaarwegend algemeen belang als norm gericht tot de formele wetgever nodig is. Het is – zoals de Registratiekamer stelt – inderdaad juist dat de voorwaarde vooral bedoeld is als opdracht aan de bijzondere wetgever wanneer het voornemen bestaat een verwerking van gevoelige gegevens bij een bijzondere wet mogelijk te maken. Niettemin achten wij het wenselijk om indien artikel 23 WBP conform het huidige Besluit gevoelige gegevens (BGG) regelt dat verwerking van gevoelige gegevens slechts mogelijk is voor zover dit bij wet is bepaald, dan in samenhang daarmee ook uitdrukkelijk te bepalen aan welke materiële norm de formele wetgever daarbij heeft te voldoen. Het verdient uit een oogpunt van kenbaarheid van het recht de voorkeur bij bedoelde basisnorm niet uitsluitend terug te hoeven vallen op de EG-richtlijn, maar deze ook uitdrukkelijk op te nemen in de Nederlandse wetgeving. Uit de context van de bepaling is voorts voldoende duidelijk dat het gaat om een door de formele wetgever te verrichten abstracte toetsing. Indien de wetgever van oordeel is dat een bepaalde verwerking noodzakelijk is met het oog op een algemeen zwaarwegend algemeen belang en voor een zodanige verwerking een uitdrukkelijke wettelijke basis creëert, behoeft bij de toepassing van de regeling niet steeds opnieuw in concreto aan de betreffende norm te worden getoetst.
Zoals gezegd wordt met artikel 23 de waarborg van artikel 1 BGG gecontinueerd. Op grond van laatstgenoemd artikel mogen gevoelige persoonsgegevens alleen in een persoonsregistratie worden opgenomen voor zover dit bij de wet is bepaald dan wel in het BGG is toegestaan. Aangezien dit besluit thans in het wetsvoorstel wordt geïncorporeerd, kan in de toekomst gelden dat de verwerking van gevoelige gegevens alleen bij wet (de WBP of een andere wet) kan worden toegestaan.
De zinsnede 'bij wet bepaald' brengt met zich dat de verwerking van een gevoelig gegeven alleen mogelijk is indien bij formele wet daarin is voorzien. Dit betekent dat een zodanige verwerking in de WBP of in een formele wet uitdrukkelijk moet zijn geregeld. Is een regeling op het niveau van de formele wet niet voorhanden, dan is de verwerking niet toegestaan. De bedreiging die gevoelige gegevens kunnen inhouden voor de persoonlijke levenssfeer van de betrokkene rechtvaardigt een oordeel van de formele wetgever over de noodzaak van het verwerken van deze gegevens. Het is derhalve niet mogelijk dat een algemene maatregel van bestuur, ongeacht of deze op de wet steunt of niet, een zelfstandige basis biedt aan het verwerken van gevoelige gegevens. Wel is het toegestaan om binnen het door de formele wetgever aangegeven kader bij algemene maatregel van bestuur of ministeriële regeling regels te stellen omtrent uitvoeringsaspecten die samenhangen met een dergelijke verwerking. Het onderhavige delegatieverbod heeft daar geen betrekking op. Overigens wordt met deze benadering geen wezenlijke wijziging beoogd ten opzichte van de huidige situatie. In de toelichting op artikel 1 BGG wordt aan de zinsnede 'bij de wet bepaald' een vergelijkbare interpretatie gegeven. Indien de ontheffing niet op de WBP of een andere wet is gebaseerd, kan de verwerking ten slotte nog haar grondslag vinden in een ontheffing de Registratiekamer. Deze beslissing wordt op grond van onderdeel e bij beschikking vastgesteld. Met het oog op een adequate uitvoering van de ontheffingsbevoegdheid is in onderdeel e tevens uitdrukkelijk vastgelegd dat de Registratiekamer bij de verlening van de ontheffing beperkingen en voorschriften kan opleggen. Op grond van artikel 4:13 Awb dient de Registratiekamer de beschikking te geven binnen een redelijke termijn na ontvangst van de aanvraag. Deze termijn is in elk geval verstreken indien binnen acht weken geen beschikking is gegeven, dan wel geen kennisgeving is gedaan waarbij een redelijke termijn wordt genoemd waarbinnen de beschikking wel tegemoet kan worden gezien. Afhankelijk van het spoedeisend karakter van de betreffende verwerking kan het vereiste van een 'redelijke' termijn met zich brengen dat binnen een kortere termijn dan acht weken wordt beslist. In zeer uitzonderlijke gevallen kan deze termijn slechts enkele dagen betreffen. De procedure van artikel 23, eerste lid, onderdeel e, staat los van het feit dat in specifieke gevallen, waarin zich met het oog op de bescherming van de persoonlijke levenssfeer bijzondere risico’s voordoen, een uitgebreider onderzoek van de Registratiekamer nodig zal zijn, alvorens de desbetreffende verwerking zal kunnen plaatsvinden. Dit wordt nader geregeld in artikel 31 en 32.

Tweede lid

De richtlijn bevat geen afzonderlijke bepalingen voor de verwerking van gevoelige en strafrechtelijke gegevens in het kader van wetenschappelijk onderzoek en statistiek. Dit laat onverlet dat bij de totstandkoming van de richtlijn is erkend dat wetenschappelijk en statistisch onderzoek voor de samenleving van grote betekenis is. Wanneer aan nader vast te stellen voorwaarden is voldaan, wordt daarmee een zwaarwegend algemeen belang gediend. In beginsel dient daarom de verwerking van dergelijke gegevens, ook wanneer het om bijzondere gegevens in zin van deze bepaling betreft, voor dat doel te worden toegestaan. Artikel 8, vierde lid, van de richtlijn vormt hiervoor de basis. De onderhavige artikel vormt – in het verlengde van het huidige artikel 8, eerste lid, onder e, BGG – hiervoor de grondslag.
Artikel 7:458 BW bevat reeds een regeling voor het gebruik van gegevens die zijn vergaard in het kader van een geneeskundige behandelingsovereenkomst voor wetenschappelijk onderzoek. Aan deze bepaling wordt geen afbreuk gedaan: als lex specialis behoudt deze onverkort zijn gelding. Daaraan is weliswaar ten dele ontleend, doch deze naar verhouding strikte regeling is niet geheel overgenomen. Het bijzondere karakter van de verhouding arts tot patiënt is de basis voor een regeling die niet zonder meer kan worden worden getransplanteerd naar een regeling van andere bijzondere gegevens. De hier voorgestelde regeling is in overeenstemming met de richtlijn, doch niet zo strikt als die van het BW.
Voor de verwerking van bijzondere gegevens voor wetenschappelijke of statistische doeleinden staan twee wegen open. In de eerste plaats is verwerking mogelijk op grond van uitdrukkelijke toestemming van de betrokkene. Deze optie – die is gebaseerd op artikel 8, tweede lid, onder a, van de richtlijn en artikel 23, eerste lid, onder a, van dit wetsvoorstel – heeft de voorkeur.
Indien de uitdrukkelijke toestemming voor het gebruik van gegevens voor wetenschappelijke doeleinden niet kan worden verkregen, dient een ontheffing van het verwerkingsverbod te worden gebaseerd op artikel 8, vierde lid, van de richtlijn. De onderdelen a tot en met d in hun onderlinge samenhang gezien, stellen cumulatief nadere voorwaarden om invulling te geven aan de eis dat het moet gaan om een 'zwaarwegend algemeen belang' terwijl 'passende waarborgen' aanwezig zijn, als bedoeld in de richtlijn.
Onderdeel a vergt dat het onderzoek een algemeen belang moet dienen. Deze eis komt overeen met artikel 7:458 BW. Waar de bepaling in het BW als lex specialis zijn gelding behoudt voor de daar bedoelde gegevens, is dit onderdeel van de regeling van de BW in dit wetsvoorstel overgenomen voor bijzondere gegevens in het algemeen.
Onderdeel b is ontleend aan het bestaande voorschrift in het Besluit gevoelige gegevens. Het noodzakelijkheidscriterium brengt met zich dat de gegevens slechts voor zover en zo lang ze noodzakelijk zijn in het kader van bedoeld onderzoek, mogen worden verwerkt. Indien het belang van de gegevens met betrekking tot het onderzoek niet meer aanwezig is, dienen ze te worden verwijderd, dan wel op een zodanige wijze te worden verwerkt dat ze niet meer tot individuele personen zijn te herleiden. Onderdeel c beperkt de toepassing van het tweede lid tot de gevallen waarin het vragen van toestemming niet kan worden gevergd. bij de formulering is aansluiting gezocht bij artikel 34, vierde lid.
Onderdeel d ten slotte is wederom ontleend aan artikel 7:458 BW. Hierin wordt bepaald dat gebruik van dergelijke gegevens alleen is toegestaan indien bij de uitvoering van het onderzoek of de statistiek is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Daarmee wordt aangesloten bij artikel 8, vierde lid, van de richtlijn dat de nationale wetgever verplicht tot het creëren van 'passende waarborgen'. Welke waarborgen met het oog op de bescherming van de persoonlijke levenssfeer moeten worden getroffen, zal afhangen van het concrete geval. Te denken valt aan voorschriften met betrekking tot de toegang tot de gegevens, geheimhouding en de presentatie van de uitkomsten van het onderzoek. Slechts bij historisch onderzoek zullen persoonsgegevens ook in de uitkomsten openbaar kunnen worden gemaakt. Toetsingsmaatstaf is steeds dat de persoonlijke levenssfeer van de betrokkene niet onevenredig mag worden geschaad.
Indien aan deze aanvullende voorwaarden is voldaan, is de verwerking van bijzondere gegevens zonder uitdrukkelijke toestemming in beginsel toelaatbaar en is – anders dan de situaties die vallen onder artikel 23, eerste lid, onder e – geen instemming van de Registratiekamer nodig. Wel zal – zoals hiervoor al in algemene zin vermeld – voldaan moeten zijn aan de elders in het wetsvoorstel geregelde algemene beginselen van gegevensverwerking.
Voor statistische en wetenschappelijke doeleinden kunnen ook bijzondere gegevens worden ontleend aan registraties die op zichzelf geen direct gevoelige gegevens bevatten. Zie de toelichting op artikel 18. Zo is denkbaar dat via statistisch onderzoek de integratie van allochtonen in de Nederlandse samenleving wordt gemeten, door gebruikmakend van de geboorteplaats- en nationaliteitsgegevens van de gemeentelijke basisadministratie (GBA) of het vreemdelingeadminsitratiesysteem (VAS), vergelijkingen met andere bestanden te maken. Deze gegevens krijgen dan door het gebruik dat daarvan wordt gemaakt en het doel van hun verwerking een bijzonder karakter en komen daarmee onder de onderhavige bepaling te vallen.

Derde lid

Artikel 8, zesde lid, van de richtlijn schrijft voor dat afwijkingen van het verbod van om gevoelige gegevens te verwerken bij de Europese Commissie dienen te worden gemeld. In het geval de afwijking is gebaseerd op de wet wordt de melding verricht door de minister die het aangaat, d.w.z. de minister die voor de betreffende wet als eerste ondertekenaar optreedt. Vindt de afwijking haar grondslag in een beslissing van de Registratiekamer, dan draagt deze voor de melding zorg. Deze constructie is een logisch gevolg van artikel 23, eerste lid, onderdeel e, dat als hoofdregel formuleert dat een ontheffing van het verbod om gevoelige gegevens te verwerken hetzij op een formele wet, hetzij op een beslissing van de Registratiekamer moet zijn gebaseerd.

[MvT, pagina 122-127]