Rina Steenkamp - Privacy en technologie
2. De Lid-Staten bepalen dat beroepsverenigingen en andere vertegenwoordigingsorganen van andere categorieën van voor de verwerking verantwoordelijken die ontwerpen van nationale gedragscodes hebben opgesteld, of voornemens zijn bestaande nationale codes te wijzigen of te verlengen, deze voor advies aan de nationale autoriteit kunnen voorleggen.
De Lid-Staten bepalen dat deze autoriteit zich er inzonderheid van vergewist dat de haar voorgelegde ontwerpen in overeenstemming zijn met de ter uitvoering van deze richtlijn vastgestelde nationale voorschriften. Desgewenst neemt zij de opmerkingen van de betrokkenen of van hun vertegenwoordigers in ontvangst.
De algemene normen van dit wetsvoorstel lenen zich voor concretisering en nadere uitwerking in gedragsregels per sector van de samenleving. De juridische evaluatie heeft aangetoond dat het systeem van gedragscodes onder de WPR goed heeft gewerkt. Vooral in het bedrijfsleven zijn gedragscodes gerealiseerd en dan met name bij de zakelijke dienstverlening (direct marketing, marktonderzoeksbureaus, handelsinformatiebureaus, bewerkers en wervings- en selectiebureaus) en in informatieintensieve bedrijfstakken (postorderbedrijven, producenten van (dier)geneesmiddelen, tijdschriftenuitgevers, uitzendbureaus, banken en verzekeraars). Het Nederlandse systeem heeft mede op dit punt model gestaan voor de Europese richtlijn. Van de andere Unie-landen had slechts het Verenigd Koninkrijk een enigszins vergelijkbare regeling. In de voorgestelde bepalingen is de richtlijn geïmplementeerd, zijn de nuttig gebleken onderdelen van de WPR behouden, zijn de aanpassingen aangebracht waartoe de evaluaties aanleiding hebben gegeven en is nauwer aansluiting gezocht bij de Awb. De mate van verbindendheid van de gedragscode kan per sector verschillen. Het is bijvoorbeeld mogelijk dat een gedragscode slechts aanbevelingen bevat. Ten aanzien van de gedragscodes die onder het regime van artikel 15 WPR zijn opgesteld blijkt dat het meerendeel van de codes als lidmaatschapsverplichting verenigingsrechtelijke gelding hebben. Een aantal codes verplichten tevens tot contractuele doorwerking van de regeling in contracten die leden sluiten met derden of zelfs in de arbeidsovereenkomst met hun werknemers. Andere codes laten het over aan de afzonderlijke leden om de gedragscode of onderdelen daaruit op te nemen in contracten òf via algemene leveringsvoorwaarden òf door middel van een zelfstandig beding. Aldus kan de gedragscode binnen één branche een uiteenlopende mate van verbindendheid hebben.
Het eerste lid geeft uitwerking aan artikel 27, tweede lid, van de richtlijn. Organisaties kunnen alvorens een gedragscode vast te stellen, de Registratiekamer verzoeken te beoordelen of de code voldoet aan de wettelijke vereisten. De Registratiekamer oordeelt derhalve over een ontwerp-code. Dit in tegenstelling tot de regeling van artikel 15 WPR, op grond waarvan de organisaties een reeds vastgestelde code aan de kamer ter beoordeling geven. Materieel zal de regeling in dit wetsvoorstel echter niet veel afwijken van die van artikel 15 WPR. In de praktijk plegen organisaties immers reeds thans overleg met de kamer alvorens de code vast te stellen.
Aanvankelijk was de bevoegdheid van de kamer beperkt tot een toetsing aan dit wetsvoorstel en aan andere ter uitvoering van de richtlijn vastgestelde bepalingen. Naar aanleiding van het advies van de Registratiekamer is de laatste beperking komen te vervallen en vindt de toetsing plaats aan alle wettelijke bepalingen betreffende de verwerking van persoonsgegevens. Dit ligt ook meer in de lijn met het uitgangspunt van dit wetsvoorstel, waarvan het bereik ruimer is dan het communautaire bereik van de richtlijn.
Er is ten opzichte van de WPR in artikel 25, eerste lid, een nuance aangebracht in het toetsingscriterium van gedragscodes. In de WPR kan de Kamer toetsen of de gedragscode voldoet aan (1) de wet en (2) redelijkerwijs ter bescherming van de persoonlijke levenssfeer te stellen eisen. Het is gebleken dat onduidelijkheid bestaat of met dit tweede criterium van de opstellers van een gedragscode een inspanning wordt verwacht die uitstijgt boven de normstelling van de wet en zo ja, welke de rechtsgrondslag is van een dergelijke inspanningsverplichting. In de thans voorgestelde bepaling is in aansluiting op de tekst van de richtlijn het criterium opgenomen 'een juiste uitwerking vormen van deze wet'. Dit reduceert de toetsingscriteria tot het hierboven genoemde eerste criterium, te weten: overeenstemming met de wet. In tegenstelling tot hetgeen de Registratiekamer in haar advies suggereert dient dit criterium niet te eng worden opgevat. In de toetsing staat centraal de vraag of de regels 'gelet op de bijzondere kenmerken van de sector van de samenleving' waarom het gaat 'een juiste uitwerking vormen van de wet'. Er zal dus sprake moeten zijn van een vertaling van de normen van de wet naar de informatiepraktijk van de betrokken sector en vooral op die punten waar de behoefte aan meer concrete waarborgen zich het meest voordoet. Uitgangspunt is echter wel een toetsing aan wettelijke regels. De regels in de gedragscode dienen wel de wettelijke regels te preciseren naar gelang de sector waarvoor de code geldt. De algemene en flexibele normen van de wet dienen in een gedragscode een nauwkeuriger vertaling te krijgen in het licht van de desbetreffende sector. Dit komt ook de rechtszekerheid ten goede. Een gedragscode kan daarom niet volstaan met het grotendeels eenvoudig herhalen van een aantal wettelijke bepalingen. Dit laat onverlet dat desgewenst een aantal wettelijke bepalingen, indien deze zich in de desbetreffende sector niet goed lenen voor een nadere uitwerking, toch volledigheidshalve kunnen worden overgenomen. De code bevat dan binnen de sector een totaalbeeld van de geldende regels.
De term 'gedragscode' dient niet te strikt te worden opgevat. Ook gedragscodes die slechts voor een deel betrekking hebben op de verwerking van persoonsgegevens vallen onder de regeling van artikel 25. De term omvat iedere vorm van collectieve zelfregulering met betrekking tot de omgang met persoonsgegevens. Ook gedragsregels kunnen als zodanig worden aangemerkt.
Artikel 15, tweede lid, van de WPR bepaalde dat de kamer het verzoek een code te beoordelen slechts in behandeling behoeft te nemen indien naar haar oordeel de verzoeker of verzoekers representatief zijn voor de betrokken sector, deze sector in de code nauwkeurig is omschreven en de code zorgvuldig, in het bijzonder in genoegzaam overleg met organisaties van belanghebbenden, is voorbereid. In het derde lid is in afwijking van de WPR niet meer als ontvankelijkheidseis gesteld dat de gedragscode in genoegzaam overleg met belanghebbenden moet zijn opgesteld. Blijkens de juridische evaluatie heeft dit onderdeel van de regelgeving aanleiding gegeven tot problemen, vooral wegens de soms gebrekkige organisatiegraad van geregistreerden. Evenmin bevat de richtlijn daartoe een bepaling. De Nederlandse ervaringen liggen hieraan mede ten grondslag. Wel blijft een toets ingebouwd wat betreft de representativiteit van de betrokken sectoren. Deze dient 'voldoende' te zijn. Dit biedt de Registratiekamer de mogelijkheid verzoeken om goedkeuring afkomstig van organisaties met een ontoereikend maatschappelijk draagvlak, niet in behandeling te nemen. De sector dient voorts nauwkeurig te zijn omschreven. Het begrip sector kan ruim worden geïnterpreteerd. Het begrip omvat zowel de zelfregulering op sectorniveau als type economische bedrijvigheid alsook aan sectordoorsnijdende algemene gedragscodes betreffende een bepaalde categorie van gegevensverwerkingen. Uiteraard is wel van groot belang dat de werkingssfeer van een gedragscode duidelijk is.
In het derde lid was aanvankelijk ook nog bepaald dat de Registratriekamer opmerkingen van de betrokkenen of van hun vertegenwoordigers in de behandelingsprocedure in ontvangst kan nemen. Ook in artikel 27, tweede lid, van de richtlijn was deze mogelijkheid vermeld. Terecht merkt de kamer in haar advies op dat deze reeds is geregeld in het vierde lid (artikel 3.13 Awb) en is het derde lid daarop aangepast.
Blijkens artikel 1.3, eerste lid, Awb wordt onder een besluit verstaan een schriftelijke beslissing van een bestuursorgaan inhoudende een publiekrechtelijke rechtshandeling. De vraag kan worden gesteld of de verklaring op grond van het eerste lid, nu deze niet-bindend is voor de rechter, wel kan worden aangemerkt als een rechtshandeling en daarmee een beroep tegen een dergelijke beslissing voortvloeit uit de Awb. Uit de wetsgeschiedenis bij artikel 15 WPR blijkt dat de goedkeuringsbeslissing moet worden gekwalificeerd als een advies aan de rechter, te vergelijken met een deskundigenbericht in een civiele procedure of een strafproces. Ten einde alle twijfel uit te sluiten wordt voorts in het zevende lid van dat artikel bepaald dat tegen de beslissing van de kamer geen voorziening van administratieve rechtspraak openstaat. In artikel 25 wordt uitdrukkelijk afstand gedaan van deze opvatting. De verklaring wordt in het vierde lid op één lijn gesteld met een besluit in de zin van de Awb. De gelijkschakeling van de verklaring met een besluit in de zin van de Awb doet recht aan het maatschappelijk belang dat wordt gehecht aan een verklaring en op de behoefte verschillen van inzicht aan de rechter te kunnen voorleggen. Deze twee factoren vereisen immers een zorgvuldige voorbereidingsprocedure van de Registratiekamer alvorens tot een verklaring te komen en een bezwaar- en beroepsmogelijkheid tegen de verklaring als die is vastgesteld. De positieve (commerciële) waarde van een goedkeurende verklaring en – anderzijds – de bedrijfsschade die kan ontstaan door de negatieve publieke beeldvorming bij het weigeren van een goedkeurende verklaring door de kamer, moeten niet worden onderschat. Het advies van de Registratiekamer de beroepsmogelijkheid tegen de verklaring van de kamer te heroverwegen heeft derhalve niet geleid tot een wijziging op dit punt.
Door in het vierde lid onderdelen van de Awb van toepassing te verklaren behoeven een aantal voorschriften uit de WPR niet te worden overgenomen. Op grond van het vierde lid is het thans ook mogelijk beroep in te stellen tegen een verklaring van de Registratiekamer. De rechter kan alsdan een rechtens bindend oordeel vellen over de vraag of de code in overeenstemming is met de wettelijke voorschriften. Hiermee wordt gevolg gegeven aan een van de aanbevelingen van de juridische evaluatie.
In het vierde lid is eveneens bepaald dat de besluit van de Registratiekamer naar aanleiding van een verzoek op grond van het eerste lid binnen een redelijk termijn moet worden genomen met dien verstande dat deze termijn niet langer dan dertien weken mag bedragen. Hiermee wordt de Registratiekamer een ruimere termijn gegund dan in artikel 4.13 Awb in zijn algemeenheid ten aanzien van beschikkingen is bepaald. Daarmee komt het voorschrift tegemoet aan de bezwaren van de Registratiekamer tegen de korte termijn van dat artikel. De termijn komt overeen met die welke de kamer gegund is voor het verrichten van een nader onderzoek in het kader van artikel 31 (artikel 32, vierde lid). Wanneer de termijn niet wordt gehaald, kan worden uitgegaan van een fictieve weigering en kan de verzoeker een bezwaarschrift indienen of een beroep instellen.
De verklaring van de Registratiekamer geldt voor de termijn waarvoor de code zal gaan gelden met een maximum van vijf jaren. Voor dit maximum is gekozen opdat rekening kan worden gehouden met mogelijk gewijzigde omstandigheden met betrekking tot het gegevensverkeer in de sector. Omdat een aantal wettelijke voorschriften belangenafwegingen voorschrijven is het ook mogelijk dat in de loop van deze vijf jaren de opvatting over een juiste afweging van de betrokken belangen is gewijzigd. Als voorbeeld kan worden gewezen op artikel 8, onderdeel f, van het wetsvoorstel. De bepalingen in de code kunnen dan worden aangepast aan deze gewijzigde opvattingen. In het vijfde lid is tevens voorzien in de mogelijkheid wijzigingen in eerder goedgekeurde gedragscodes eveneens aan goedkeuring te onderwerpen. De goedkeuring van de wijzigingen kunnen evenwel geen langere geldingsduur hebben dan de goedkeurende verklaring voor de oorspronkelijke gedragscode in zijn geheel.
In het zesde lid is neergelegd dat de verklaring van de Kamer geen consequenties heeft voor de rechtskracht van de gedragscode. Aan het karakter van zelfregulering wordt aldus geen afbreuk gedaan. De verklaring krijgt aldus het karakter van een staand deskundigenadvies aan de rechter. Indien voor de rechter een geschil aanhangig zou worden over de toepassing van de wet, dan behelst de verklaring van de Kamer dat naar haar oordeel naleving van de code ook naleving van de wet betekent. Dit oordeel heeft dezelfde rechtskracht als het advies dat hangende een geschil ingevolge artikel 47, tweede lid, aan de Kamer kan worden gevraagd.
Het zevende lid verwijst naar de procedure voor de vaststelling van communautaire gedragscodes. De goedkeurende verklaring wordt in dat geval afgegeven door de Groep voor de bescherming van personen in verband met de verwerking van persoonsgegevens. Deze ontleent haar juridische basis aan artikel 29 van de richtlijn. Zij bestaat uit vertegenwoordigers van de toezichthoudende autoriteiten van ieder van de lidstaten van de Europese Unie. Zij stelt vast of een communautaire gedragscode in overeenstemming is met de ter uitvoering van de richtlijn vastgestelde nationale bepalingen. De vertegenwoordiger van de Registratiekamer in deze Groep zal er voor Nederland in het bijzonder op toezien dat een communautaire gedragscode ook in overeenstemming is met het onderhavige wetsvoorstel.
Naar aanleiding van het advies van de Registratiekamer is overeenkomstig artikel 15, vierde lid, van de WPR een voorziening opgenomen over de bekendmaking van de verklaring en de code waarop zij betrekking heeft. Door deze bekendmaking verkrijgt de verklaring zijn werking als rechtshandeling. Het voorschrift geldt als een nadere invulling van het algemene bekendmakingsvoorschrift van artikel 3.42 Awb.
[MvT, pagina 128-132]