Rina Steenkamp - Privacy en technologie
Hoofdstuk 4. Melding en voorafgaand onderzoek
Paragraaf 2. Voorafgaand onderzoek
2. Deze voorafgaande onderzoeken worden uitgevoerd door de toezichthoudende autoriteit na ontvangst van een aanmelding van de voor de verwerking verantwoordelijke, of door de functionaris voor de gegevensbescherming, die in twijfelgevallen de toezichthoudende autoriteit moet raadplegen.
De verantwoordelijke maakt bij de melding bekend dat het gaat om een gegevensverwerking waarop artikel 31, eerste lid, van toepassing is. Omdat het voor de Registratiekamer niet in alle gevallen mogelijk is aan de hand van de aangemelde gegevens te beoordelen of het gaat om een zodanige verwerking, dient de verantwoordelijke dit expliciet te vermelden. Ook de Registratiekamer adviseert dit in haar advies. Als voorbeeld kan worden gewezen op de aanmelding van verwerkingen die vallen onder artikel 31, eerste lid, onderdeel b.
Een verantwoordelijke die een gegevensverwerking aanmeldt ten aanzien waarvan een voorafgaand onderzoek moet worden verricht, dient zijn voornemen deze verwerking te verrichten op te schorten totdat het onderzoek van de Registratiekamer heeft plaatsgevonden dan wel hem is gemeld dat een zodanig nader onderzoek achterwege blijft. De verplichting de verwerking op te schorten volgt reeds uit het feit dat het onderzoek blijkens artikel 31, eerste lid, voorafgaand aan de verwerking dient plaats te vinden. Voor alle duidelijkheid is echter deze verplichting geëxpliciteerd in artikel 32, tweede lid. De verantwoordelijke die desondanks tot verwerken overgaat verwerkt de gegevens in strijd met de wet en kan bijvoorbeeld op grond van artikel 49 tot schadevergoeding verplicht worden. Hetzelfde geldt voor de verantwoordelijke die verzuimd heeft bij de aanmelding te vermelden dat het gaat om een gegevensverwerking waarop artikel 31, eerste lid, van toepassing is.
Het tweede lid geeft uitvoering aan het advies van de Registratiekamer een uitdrukkelijke bepaling op te nemen die de verantwoordelijke verplicht te wachten totdat de bedoelde termijnen zijn verstreken.
De plicht van de verantwoordelijke bij de melding bekend te maken dat het gaat om een verwerking die valt onder artikel 31, eerste lid, ontslaat de Registratiekamer niet van de verplichting – voor zover zij althans daar zicht op hebben – zelf te controleren aan de hand van de gegevens die bij de aanmelding worden overgelegd, of het gaat om een gegevensverwerking in de zin van dat artikel. De formulering van het derde lid sluit hierop aan.
De procedure bestaat uit twee fasen. Allereerst dient de Registratiekamer te bezien of een aangemelde gegevensverwerking die onder het bereik van artikel 31 valt, aanleiding geeft tot een nader onderzoek. De periode die nodig is om te bepalen of nader onderzoek moet worden gedaan, mag niet langer dan vier weken duren. Vervolgens kan er dan een tweede fase volgen waarin de Registratiekamer een uitgebreider onderzoek verricht. Deze periode mag niet langer duren dan dertien weken. De term 'voorafgaand onderzoek' ziet zowel op het voorbereidend onderzoek gedurende de eerste vier weken als op het het meer uitgebreide onderzoek dat daarop kan volgen.
De beslissing van de Kamer om al dan niet tot nader onderzoek over te gaan moet schriftelijk worden vastgelegd. Indien binnen vier weken na de melding geen bericht van de Kamer wordt ontvangen, kan de verantwoordelijke er van uitgaan dat geen nader onderzoek wordt ingesteld. Aan de beslissing van de Kamer niet tot nader onderzoek over te gaan kan niet worden ontleend dat de gegevensverwerking als rechtmatig kan worden beschouwd. Genoemde beslissing laat de aansprakelijkheid van de verantwoordelijke voor de verwerking ten volle intact. De beslissing geeft slechts blijk van het gevoelen van de Kamer dat aan de verwerking niet zodanig bijzondere risico’s kleven dat een diepgaander onderzoek op grond van artikel 31 gerechtvaardigd is.
De beslissing over te gaan tot nader onderzoek is voor bezwaar en beroep vatbaar. Het betreft een besluit in de zin van de Awb omdat beoogd wordt de opschorting van de gegevensverwerking van de verantwoordelijke te verlengen totdat het uitgebreide onderzoek van de Kamer is voltooid. In dit besluit dient de Kamer te hebben aangegeven binnen welk termijn zij het vermoeden heeft het onderzoek te kunnen afronden. Deze termijn is niet fataal, in die zin dat na afloop van de termijn de Kamer kan worden geacht het onderzoek te hebben afgerond en de houder tot verwerking mag overgaan. De termijn geeft niet meer dan een indicatie van de duur van het onderzoek en beoogt de verantwoordelijke enige rechtszekerheid te verschaffen. Na afloop van de termijn kan de verantwoordelijke de Kamer rappeleren. Mocht de Kamer tijdens het onderzoek blijken dat de in het besluit bepaalde termijn te kort is, dan ligt het in de rede dat zij de verantwoordelijke hierover bericht. Wel is de uiterlijke duur van het onderzoek in het vierde lid gebonden aan een maximum, namelijk dertien weken. Deze termijn is wèl fataal. Mocht de Kamer de maximumtermijn van dertien weken in haar besluitvorming overschrijden dan kan de verantwoordelijke er vanuit gaan dat het nader onderzoek is afgerond en er geen reden meer is zijn voornemen tot gegevensverwerking verder op te schorten.
Het uitgebreide onderzoek leidt tot een verklaring van de Kamer dat de gegevensverwerking al dan niet rechtmatig is. Deze verklaring is niet bindend. Zij is derhalve ook geen besluit in de zin van de Awb. De Registratiekamer meent in haar advies dat het de voorkeur verdient de verantwoordelijke eerst bijzondere rechtsbescherming te bieden op het moment dat hij wordt aangesproken in rechte of naar aanleiding van het onderzoek onderworpen wordt aan bestuursdwang. Wij hebben dit advies niet opgevolgd. Er mag immers niet worden voorbij gegaan aan het maatschappelijk gewicht van de verklaring. Het feit dat de verklaring juridisch niet bindend is, doet daaraan geen afbreuk. De verklaring van de Kamer naar aanleiding van een voorafgaand onderzoek kan wat dat betreft op één lijn worden gesteld met de verklaring dat de in een gedragscode opgenomen regels een juist uitwerking zijn van de wet (artikel 25, eerste lid). De verantwoordelijke kan door een negatieve verklaring daadwerkelijk in zijn belangen worden geschaad. Om die reden is er behoefte aan rechtsbescherming en is in het vijfde lid – analoog aan de regeling inzake de gedragscodes – uitdrukkelijk bepaald dat een verklaring als een besluit geldt in de zin van de Awb. Voorts is – eveneens analoog aan de gedragscodes – bepaald dat met het oog de voorbereiding van de verklaring Afdeling 3.4 van de Awb van toepassing is. Langs deze weg worden de belangen van de verantwoordelijken en eventuele andere belanghebbenden op adequate wijze gewaarborgd.
Uit een oogpunt van rechtsbescherming verschilt de verklaring van de mededeling van bevindingen als bedoeld in artikel 60, tweede lid. In het laatste geval gaat het meer om een regulier onderzoek in het kader van het toezicht op de naleving van de wettelijke voorschriften. Het onderzoek vormt in bepaalde gevallen de voorbereiding van mogelijke maatregelen die voor bezwaar en beroep vatbaar zijn (bijv. bestuursdwang). Om die reden is er geen behoefte aan een afzonderlijke rechtsgang tegen de mededeling als bedoeld in artikel 60. In artikel 32 gaat het evenwel om een onderzoek dat voorafgaat aan de verwerking dat bovendien – mede vanwege de bijzondere risico’s die aan de betreffende verwerkingen verbonden zijn – doorgaans van groter gewicht zal zijn voor alle betrokken partijen. Om die reden is de procedure omtrent het voorafgaand onderzoek met extra waarborgen omkleed.
[MvT, pagina 147-149]