Rina Steenkamp - Privacy en technologie
Hoofdstuk 4. Melding en voorafgaand onderzoek
2. De Lid-Staten bepalen dat de toezichthoudende autoriteit een register van de uit hoofde van artikel 18 aangemelde verwerkingen behoudt.
Het register bevat ten minste de in artikel 19, lid 1, onder a) tot en met e), bedoelde inlichtingen.
Het register kan door een ieder worden geraadpleegd.
1. De Lid-Staten nemen maatregelen om te zorgen voor de openbaarheid van de verwerkingen.
3. De Lid-Staten dragen er zorg voor, met betrekking tot de van aanmelding vrijgestelde verwerkingen, dat de voor de verwerking verantwoordelijke of een door de Lid-Staten aangewezen instantie, ten minste de inlichtingen als bedoeld in artikel 19, lid 1, onder a) tot en met e), op passende wijze verstrekken aan een ieder die daarom verzoekt.
1. De Lid-Staten kunnen wettelijke maatregelen treffen ter beperking van de reikwijdte van de in artikel 6, lid 1, artikel 10, artikel 11, lid 1, artikel 12 en artikel 21 bedoelde rechten en plichten indien dit noodzakelijk is ter vrijwaring van
a) de veiligheid van de Staat;
b) de landsverdediging;
c) de openbare veiligheid;
d) het voorkomen, het onderzoeken, opsporen en vervolgen van strafbare feiten of schendingen van de beroepscodes voor gereglementeerde beroepen;
e) een belangrijk economisch en financieel belang van een Lid-Staat of van de Europese Unie, met inbegrip van monetaire, budgettaire en fiscale aangelegenheden;
f) een taak op het gebied van controle, inspectie of regelgeving, verbonden, ook al is dit incidenteel, met de uitoefening van het openbaar gezag in de onder c), d) en e), bedoelde gevallen;
g) de bescherming van de betrokkene of van de rechten en vrijheden van anderen.
2. Mits er passende wettelijke garanties worden geboden, met name dat de gegevens niet zullen worden gebruikt om maatregelen of besluiten te treffen ten aanzien van een individuele betrokkene, mogen de Lid-Staten ingeval er duidelijk geen gevaar bestaat dat inbreuk wordt gepleegd op de persoonlijke levenssfeer van de betrokkene, de in artikel 12 bedoelde rechten beperken wanneer de gegevens uitsluitend met het oog op wetenschappelijk onderzoek worden verwerkt of slechts gedurende de periode die nodig is voor het opstellen van statistieken in de vorm van persoonlijke gegevens worden bewaard.
De transparantie van de gegevensverwerking vereist dat de meldingen bij de Registratiekamer en de functionaris voor de gegevensbescherming openbaar zijn. Deze norm geeft uitvoering aan artikel 21, tweede lid, respectievelijk eerste lid, van de richtlijn. De gemelde gegevens liggen daarin voor een ieder kosteloos ter inzage, met uitzondering van de gegevens die betrekking hebben op de beveiliging. Onder de WPR was feitelijk het register van aangemelde registraties ook van het begin af reeds openbaar. Na het toepasselijk worden van de Wet openbaarheid van bestuur op de Registratiekamer kreeg deze openbaarheid een juridische onderbouwing.
De verplichting informatie over gegevensverwerkingen op te nemen in het register, geldt slechts voor de meldingsplichtige gegevensverwerkingen. Indien het gaat om vrijgestelde vormen van verwerking, dan is degeen die inlichtingen daarover wil hebben, aangewezen op de verantwoordelijke. Elke verantwoordelijke dient desgevraagd inlichtingen te verstrekken over door hem verwerkte persoonsgegevens voor zover het gaat om vrijgestelde verwerkingen. Heeft de verantwoordelijke zelf een functionaris in zijn bedrijf aangesteld, dan behoort het tot de mogelijkheden dat deze alle inlichtingen over gegevensverwerkingen van de verantwoordelijke inventariseert. De wettekst dwingt hiertoe evenwel niet. Het is ook mogelijk de inlichtingen over de gegevensverwerking pas naar aanleiding van een daartoe strekkend verzoek te verzamelen. Het derde lid geeft uitvoering aan artikel 21, derde lid, van de richtlijn.
Naar aanleiding van het advies van de Registratiekamer is de tekst van het derde lid aangepast. Aanvankelijk betrof de informatieverplichting van de verantwoordelijke de plicht de inlichtingen als bedoeld in artikel 28, eerste lid, onderdelen a tot en met e, met betrekking tot al dan niet geautomatiseerde verwerkingen, te verstrekken indien althans deze inlichtingen niet anderszins openbaar zijn gemaakt. In navolging van artikel 21, derde lid, is het bereik van het voorschrift thans beperkt tot het verschaffen van deze inlichtingen met betrekking tot de van de aanmelding vrijgestelde gegevensverwerkingen. Hiermee wordt beter aangesloten bij de bedoelingen van het voorschrift. Voorkomen moet worden dat het misverstand ontstaat dat de informatieverplichting ziet op alle soorten verwerkingen. Eveneens is het voorschrift nu van een sanctie voorzien. Indien de verantwoordelijke een bestuursorgaan is, geldt de beslissing tot afwijzing van een verzoek als een besluit in de zin van de Algemene wet bestuursrecht (artikel 45) en kan de Awb-rechtsgang worden gevolgd. Is de beslissing genomen door een ander dan een bestuursorgaan dan geldt de procedure van artikel 46.
De vraag rijst hoe nauwkeurig een verzoek om inlichtingen omtrent gegevensverwerking moet zijn. Een onbestemde vraag naar een opgave van alle gegevensverwerkingen van een verantwoordelijke kan voor de beantwoording daarvan van deze verantwoord een onevenredige inspanning vergen. Hij kan in dergelijke gevallen – alvorens het verzoek in behandeling te nemen – eerst van de verzoeker verlangen zijn vraag te preciseren. Voldoet deze laatste daaraan niet, dan kan in voorkomend geval de verantwoordelijke de vraag terzijde leggen als zijnde een vorm van misbruik van recht. De verantwoordelijke kan zich dan beroepen op artikel 43, onderdeel e, van dit wetsvoorstel: een gewichtig belang aan zijn kant staat aan inwilliging van het verzoek in de weg. De inspanning die de verantwoordelijke zou moeten leveren om de vraag te beantwoorden, kan hiertoe aanleiding geven, maar niet de aard van de gegevensverwerking. Evenmin is vereist dat de verzoeker een belang aantoont of zelf als betrokkene zou moeten worden aangemerkt.
Het ligt in de rede dat wanneer bij de Registratiekamer navraag wordt gedaan omtrent een gegevensverwerking bij een bedrijf of in een branche waar een eigen toezichthouder werkzaam is, de Registratiekamer de verzoeker naar deze functionaris verwijst. Deze zijn immers ingevolge artikel 63, derde lid, bij de Registratiekamer bekend. Ook is echter mogelijk dat de Registratiekamer zelf de verlangde gegevens verstrekt indien deze haar bekend zijn.
In het vierde lid is een tweetal uitzonderingen op de inlichtingenplicht van de verantwoordelijke als bedoeld in het derde lid opgenomen. Artikel 13 van de richtlijn laat de lid-staten toe op dit beginsel uitzonderingen te maken. Onder de WPR bestonden zulke uitzonderingen niet. Geen van beide evaluaties hebben op dit punt problemen aan het daglicht gebracht. Daarom is in het onderhavig wetsvoorstel gekozen voor het regime van de WPR. Een uitzondering, waarvan de wenselijkheid echter in de loop der tijd is gebleken, zijn de tijdelijke registers van de bijzondere opsporingsdiensten. Hierboven in op artikel 29, derde lid, gingen wij daarop reeds in. Voorts zijn de openbare registers die bij de wet zijn ingesteld, uitgezonderd. Artikel 21, derde lid, van de richtlijn biedt daarvoor een expliciete grondslag. Een afzonderlijke inlichtingenplicht voor de verantwoordelijke is overbodig indien reeds uit de wet waarbij het register is ingesteld, de desbetreffende informatie kan worden afgeleid.
[MvT, pagina 142-144]