Artikel 33 [Informatieverstrekking bij verkrijging bij de betrokkene]

Artikelen 33 en 34

1. Inleiding

De artikelen 10 en 11 van de richtlijn bevatten een regeling voor de informatieverstrekking aan de betrokkene in verband met de verkrijging van gegevens al dan niet bij de betrokkene zelf. Het wetsvoorstel voert deze bepalingen uit in de artikelen 33 en 34. Deze bepalingen vormen een uitwerking van het transparantiebeginsel en van het in artikel 6 neergelegde beginsel van 'fair processing': behoudens uitzonderingen is de gegevensverwerking slechts 'behoorlijk' in de zin van artikel 6, indien de betrokkene daarvan overeenkomstig de regels van de artikelen 33 of 34 op de hoogte wordt gebracht. De verplichting van de verantwoordelijke op eigen initiatief de betrokkene op de hoogte te stellen van het bestaan van de gegevensverwerking is een belangrijk instrument om het gegevensverkeer transparant te maken. De ratio van de informatieverplichting is dat de verwerkingen van de verantwoordelijke voor de betrokkene aanspreekbaar zijn in rechte. De betrokkene is in staat te volgen hoe gegevens over hem worden verwerkt en bepaalde vormen van verwerking of onrechtmatig gedrag van de verantwoordelijke in rechte aan te vechten.
De omvang van de informatieplicht hangt af van wat nodig is om een 'fair processing' te waarborgen. De regeling leidt ten opzichte van de WPR tot een verbetering van de rechtsbescherming. In de WPR is naast het principe van rechtmatige verkrijging alleen sprake van een mededelingsplicht wanneer over de betrokkene voor de eerste keer gegevens in een register worden opgenomen. In het licht van de sterk toegenomen mogelijkheden tot vergaring van persoonsgegevens bestaat reeds behoefte aan transparantie in het stadium waarin de gegevens worden verkregen. De omstandigheid dat de onderhavige regeling een uitwerking vormt van het beginsel dat in artikel 6 is neergelegd heeft tot gevolg, dat overtredingen van de informatieplicht zullen leiden tot onrechtmatige verwerkingen. Daarnaast kan het zijn, dat onder omstandigheden verdergaande informatie geboden is om 'een eerlijke verwerking' te waarborgen. De richtlijn brengt dit tot uitdrukking door de woorden 'ten minste' in de aanhef van beide artikelen.
Er kunnen twee vormen van actieve informatieverstrekking worden onderscheiden. In aansluiting op de richtlijn wordt daarbij onderscheid gemaakt tussen de verkrijging van de gegevens bij de betrokkene en op een andere wijze. Worden de gegevens verkregen bij de betrokkene zelf, bijvoorbeeld wanneer hij aan de hand van een formulier gegevens over zichzelf moet invullen voor een bepaald doel, dan dient deze op de hoogte te worden gesteld op het moment van vergaring van gegevens. Deze vorm komt aan de orde in artikel 33. Artikel 34 regelt de situatie dat de gegevens op een andere wijze worden verkregen, dus buiten de betrokkene om, hetzij bij derden, bijvoorbeeld gegevens omtrent iemands kredietwaardigheid bij een handelsinformatiebureau, hetzij door eigen observatie, bij voorbeeld naar aanleiding van het gebruik van een netwerk in beheer van de verantwoordelijke. Gezien de onderlinge samenhang tussen beide artikelen en ten einde overlappingen te voorkomen worden de artikelen te zamen toegelicht.

2. Wanneer bestaat de informatieplicht?

De artikelen 33 en 34 bepalen dat de verantwoordelijke verplicht is zijn identiteit bekend te maken aan de betrokkene en deze te informeren over de doeleinden van de verwerking, tenzij de betrokkene daarvan 'reeds op de hoogte is'. Deze tekst is ontleend aan de artikelen 10 en 11 van de richtlijn. Artikel 28 van de WPR bepaalt dat een mededeling van eerste opname achterwege kan blijven, als de betrokkene weet of 'redelijkerwijs kan weten' dat hij in een bepaalde registratie is opgenomen. Bij de voorbereiding van de richtlijn is in Brussel van verschillende zijden, onder meer door Nederland, aangedrongen op een versoepeling van de tekst van de artikelen 10 en 11 in die zin dat de informatieverplichting van de verantwoordelijke vervalt indien hij kan aannemen dat de betrokkene 'redelijkerwijs' op de hoogte 'kan zijn'. Een dergelijke tekst zou in overeenstemming zijn geweest met artikel 28 WPR. De huidige tekst van de richtlijn, waarin het woord 'redelijkerwijs' ontbreekt, is het resultaat van een compromis. Dit regime is strakker dan onder de WPR. Voor een nader begrip van de reikwijdte van de informatieplicht, kan aansluiting worden gezocht bij bestaande noties die in het Nederlands privaatrecht tot ontwikkeling zijn gekomen.
Artikel 6:228, tweede lid, BW bepaalt dat iemand zich bij het sluiten van een overeenkomst niet kan beroepen op dwaling, indien deze zijn oorsprong vindt in omstandigheden die volgens de in het verkeer geldende opvattingen voor rekening van de dwalende behoren te blijven. De bepaling geeft uitdrukking aan het beginsel dat bij de totstandkoming van een overeenkomst in het algemeen een balans bestaat tussen de informatieplicht van de één en de onderzoeksplicht van de ander. Naar welke kant de balans in een concreet geval doorslaat, is afhankelijk van omstandigheden zoals de deskundigheid van betrokkenen en de wetenschap die men bij elkaar mag veronderstellen. Een dergelijke balans doet zich ook voor in situaties waarin geen sprake is van een overeenkomst. Artikel 28 WPR preciseert een dergelijke balans in de verhouding tussen de verantwoordelijke en de betrokkene. Op grond van artikel 28 kan een mededeling van eerste opname achterwege blijven, als de betrokkene redelijkerwijs kan weten dat hij in een bepaalde registratie is opgenomen. Dit laat ruimte voor een beperkte onderzoeksplicht voor de betrokkene. Onder het regime van dit wetsvoorstel zal de verantwoordelijke zich echter pas ontslagen mogen achten van zijn informatieplicht, als hij weet dat de betrokkene op de hoogte is. De artikelen 33 en 34 van dit wetsvoorstel gaan ervan uit dat er geen onderzoeksplicht van de betrokkene is. De hieraan ten grondslag liggende gedachte is die van een ongelijkwaardigheid van partijen. Vanuit het gezichtspunt van een hoog niveau van consumentenbescherming, zoals neergelegd in het mede aan de richtlijn ten grondslag liggende artikel 100A, derde lid van het EG-Verdrag, is het evenwicht van de balans verlegd ten gunste van de betrokkene, zijnde de in het algemeen maatschappelijk zwakkere partij. Dit betekent geenszins dat de verantwoordelijke in alle gevallen dat hij gegevens vergaart bij de betrokkene of bij een derde, zich van de bewustzijnsinhoud van de betrokkene hoeft te vergewissen. Het 'op de hoogte zijn' mag de verantwoordelijke op uiteenlopende wijze, afhankelijk van de omstandigheden, aannemen. Beschikt de betrokkene over de informatie, bijvoorbeeld omdat deze hem is overhandigd of toegezonden, dan is hij daarmee op de hoogte, ongeacht of hij het initiatief heeft genomen de informatie ook tot zijn bewustzijn te brengen. De Duitse tekst van de richtlijn brengt dit bijvoorbeeld tot uitdrukking door te eisen dat de informatie moet 'vorliegen'. Indien de betrokkene op de hoogte is, is geen nadere informatieverstrekking meer nodig. Hoewel de verantwoordelijke dus niet zonder meer ervan mag uitgaan dat de betrokkene in een bepaalde situatie wel kan weten of weet dat, door wie en hoe de gegevens worden verwerkt, kunnen ook bepaalde gedragingen of verklaringen van de verantwoordelijke aanleiding geven tot het gerechtvaardigde vermoeden dat de betrokkene daarvan op de hoogte is. Het gaat om gedragingen of verklaringen die in het maatschappelijk verkeer de betrokkene kunnen worden toegerekend als blijk van het feit dat hij op de hoogte is. Het is de gedachte die ook ten grondslag ligt aan artikel 3:36 BW. De verantwoordelijke mag uitgaan van de zin die onder de gegeven omstandigheden aan een verklaring of een gedraging van de betrokkene redelijkerwijze mocht worden toegekend. Artikel 3:59 BW verklaart deze bepaling van toepassing buiten het vermogensrecht, voor zover de aard van de rechtsbetrekking zich daartegen niet verzet. Dit laatste is hier niet het geval. De stelling van de Registratiekamer in haar advies dat de verantwoordelijke enkel mag afgaan op een gedraging van betrokkene waarvan de strekking onmiskenbaar duidelijk is, kan daarmee niet worden onderschreven. Deze legt immers een te zware onderzoeksverplichting op de verantwoordelijke. Als de betrokkene middels een gedraging laat blijken op de hoogte te zijn van de informatie en deze gedraging in het maatschappelijk verkeer ook als zodanig mag worden opgevat, kan van de verantwoordelijke geen verdergaande actie ten aanzien van zijn informatieplicht worden gevergd. De betrokkene kan dan worden toegerekend dat zijn gedraging op die wijze door de verantwoordelijke wordt geïnterpreteerd. Mocht hij een andere bedoeling hebben gehad met zijn gedraging dan heeft hij een hem verwijtbaar risico geschapen van een misverstand met de verantwoordelijke.
Voorbeelden van het vorenstaande zijn de volgende. Een reisbureau kan ervan uitgaan dat degene die een reis boekt weet dat de gegevens worden verwerkt om de reis daadwerkelijk te kunnen boeken en te zorgen voor de financiële afwikkeling. Het is algemeen bekend dat de boeking van een vliegreis niet kan plaatsvinden zonder dat de persoonsgegevens aan de vliegmaatschappij worden doorgegeven. Een afzonderlijke mededeling van een dergelijke gegevensverwerking zou tot absurde situaties leiden. Zo kan ook de restauranthouder ervan uitgaan dat iemand die in een restaurant na afloop van een etentje een credit card aan de ober geeft, dat slechts doet in de wetenschap dat persoonsgegevens worden doorgegeven aan de credit-cardmaatschappij en vervolgens aan de bank van de betrokkene ten einde de rekening voor dat etentje te betalen. De mededeling op dat moment hoe één en ander geregeld is, wordt niet door de onderhavige bepaling geëist.
De omvang van de informatieverplichting is mede afhankelijk van de wijze waarop het contact tot stand komt. In beginsel zal op de verantwoordelijke een extra verantwoordelijkheid tot informeren rusten als hij zelf het initiatief neemt tot het contact met de betrokkene. De betrokkene die de verantwoordelijke zelf benadert, zal veelal reeds op de hoogte zijn van diens identiteit en oogmerken. Dan moet wel nog het concrete doel van de gegevensverwerking en eventueel aanvullende informatie worden verstrekt, terwijl in geval dat redelijkerwijs twijfel mogelijk is, ook de identiteit van de verantwoordelijke dient te worden bekendgemaakt. In de gevallen dat de verantwoordelijke er niet op mag vertrouwen dat de betrokkene op de hoogte is, dient hij ten minste zijn identiteit bekend te maken en de betrokkene te informeren over het doel van de gegevensverwerking.

3. Wijze waarop de informatie kan worden verstrekt

Uitgangspunt is dat de informatie zodanig moet worden verstrekt dat de betrokkene daarover daadwerkelijk beschikt. In de praktijk kan dit op velerlei wijze. In een rechtstreeks individueel contact tussen (een vertegenwoordiger van) de verantwoordelijke en betrokkene kan de informatie mondeling of schriftelijk worden verstrekt. Bij interactieve telecommunicatie, wanneer daarbij de mogelijkheid bestaat ook datacommunicatie te doen plaatsvinden, kan de informatie in de vorm van data worden verstrekt. Ter verduidelijking wordt hieronder nader ingegaan op het een en ander.
Bij de primaire gegevensvergaring (artikel 33) moet de informatie aan de betrokkene worden verstrekt op het moment van verzamelen. Gebeurt dit verzamelen via een formulier dan kan de informatie op het formulier worden voorgedrukt. Wanneer de betrokkene het formulier invult kan hij de informatie lezen. Het is dan niet nodig dat hij met zijn handtekening te kennen geeft ook deze informatie te hebben gelezen. Hij is op de hoogte in de zin van deze bepaling wanneer hij op een relevant moment over de informatie beschikt. Het is aan de betrokkene om in dergelijke omstandigheden voor zichzelf te bepalen of hij eerst kennis wil nemen van de informatie of dat hij, zonder kennis te nemen van de informatie waarover hij beschikt, de van hem verlangde persoonsgegevens verstrekt. Hetzelfde geldt voor de overhandiging van een folder of een exemplaar van standaardvoorwaarden bij het sluiten van een contract. Weigert de betrokkene de folder of het exemplaar aan te nemen, dan komt dit voor zijn rekening. De verantwoordelijke heeft dan aan zijn verplichtingen voldaan. Onvoldoende is dat op een formulier wordt verwezen naar elders verkrijgbare informatie.
Wanneer de betrokkene persoonsgegevens via de elektronisch communicatie verstrekt, dan zal het voor de verantwoordelijke weinig bezwaarlijk zijn om langs dezelfde weg de betrokkene vooraf uitgebreid te informeren over wat er met de gegevens gebeurt. Op het eerste scherm dat na het inloggen verschijnt en waarbij de betrokkene in de gelegenheid wordt gesteld gegevens over zichzelf in te voeren, kan een extra regel op het scherm verwijzen naar bijvoorbeeld via doorklikken beschikbare informatie over de verwerkingen die geschieden met de gegevens. Zolang elektronische communicatie nog niet op alle gebieden in onze maatschappij ingeburgerd is, bijvoorbeeld zolang vliegreizen of theaterreserveringen nog telefonisch worden geboekt, zal evenwel de verantwoordelijke de betrokkene mondeling moeten informeren, indien niet anderszins is voorzien in informatie over hoe de gegevens worden verwerkt.
Is informatie over de gegevensverwerking opgenomen in een reisgids of een theaterprogramma waarvan de betrokkene bij een telefonische boeking kennelijk gebruik maakt, dan kan de verantwoordelijke ervan uitgaan dat de betrokkene op de hoogte is. Staat dit niet vast, dan zal in het telefonische contact alsnog de informatie moeten worden verstrekt. Geeft de betrokkene blijk daarin niet te zijn geïnteresseerd, dan zal de verantwoordelijke zich van zijn informatieplicht verder ontslagen kunnen achten. De bepalingen van het wetsvoorstel strekken niet tot verplichte communicatie tussen verantwoordelijke en betrokkene tegen de verklaarde wil van de laatste in. In het geval van gegevensvergaring bij een ander dan de betrokkene (artikel 34) zal de verantwoordelijke de betrokkene moeten informeren indien de gegevens worden vastgelegd op het moment van de vastlegging dan wel, indien verstrekking van de gegevens aan derde wordt overwogen, uiterlijk op het moment van eerste verstrekking. Er vindt in dat geval bij de vergaring geen (direct) contact plaats tussen de betrokkene en de verantwoordelijke. Dit contact zal de verantwoordelijke daarentegen zoeken bij vastlegging respectievelijk eerste verstrekking. Daarbij zal het contact specifieker zijn naarmate het aantal bij de verwerking betrokkenen specifieker bepaalbaar is. Gaat het om één bepaalde betrokkene, dan zal deze specifiek op de hoogte moeten worden gesteld. Gaat het daarentegen om meerdere betrokkenen, dan kan de wijze van informeren algemener zijn. Voor de vraag of het moment van vastlegging dan wel verstrekking aan derden geldt als moment van informatieverstrekking zijn de objectieve bedoelingen van de verantwoordelijke doorslaggevend. Heeft hij geen oogmerk te verstrekken dan geldt het moment van vastleggen. Hij dient dan de betrokkene zo spoedig als redelijkerwijs mogelijk is van informatie te voorzien. Heeft de verantwoordelijke daarentegen wel de bedoeling aan derden te verstrekken, dan kan in ieder geval met de verstrekking geen begin worden gemaakt dan nadat de betrokkene is geïnformeerd. De bedoeling kan worden afgelezen aan het uitwendig kenbaar gedrag waaraan in een bepaalde maatschappelijke context, redelijkerwijs een bepaalde bedoeling kan worden afgelezen. Wanneer de informatie aan een groep personen moet worden verstrekt, kan deze groep de informatie ter beschikking worden gesteld via een medium waarvan vaststaat dat deze groep daarmee wordt bereikt. Gaat het bijvoorbeeld om leden van een vereniging, dan kan de verstrekking van informatie door een bekendmaking in een verenigingsorgaan plaatsvinden. Hetzelfde geldt voor een werkgever die zijn werknemers in kennis stelt van nieuwe vormen van gegevensverwerking via een personeelsblad dat onder alle werknemers verspreid wordt. Het staat dan immers vast dat de informatie de betrokkene zal bereiken. Verder is er sprake van een zodanige betrokkenheid van de groep personen bij het personeelsblad, medium van verspreiding, dat ervan uitgegaan kan worden dat de betrokkene in kennis is gesteld. Wanneer de gegevensverwerking leden van een bepaalde beroepsgroep betreft, waarvan het voor een behoorlijke uitoefening van het beroep noodzakelijk is vakliteratuur bij te houden, kan de informatieverstrekking door bekendmaking in de desbetreffende vakliteratuur plaatsvinden.
Daarentegen kan bijvoorbeeld niet worden aangenomen dat de leden van een beroepsgroep zijn bereikt wanneer mededeling wordt gedaan in een vakbondsblad, als niet vaststaat dat 100 % van de desbetreffende beroepsgroep lid is van deze bond. In dat geval kan er immers niet van worden uitgegaan dat iedere betrokkene wordt bereikt. Wat betreft het grote publiek kan evenmin worden aangenomen dat advertenties in de landelijke of plaatselijke bladen toereikend zijn om aan te nemen dat betrokkenen zijn geïnformeerd. Dit is echter anders wanneer de informatie wordt vergaard via een formulier dat in deze bladen is opgenomen en wanneer hierbij meteen de informatie over de gegevensverwerking wordt meegedeeld. Evenmin kunnen huis aan huis verspreide bladen worden aangemerkt als informatiebron van de betrokkene. Weliswaar wordt dan een ieder bereikt, doch de context van deze vorm van informatieverspreiding is onvoldoende specifiek om van de betrokkene te vergen dat hij erop attent is dat voor hem relevante informatie wordt overgedragen. Weliswaar zou de betrokkene bij naspeuringen in dergelijke gevallen kunnen weten dat mogelijk over hem informatie wordt verwerkt, doch de ratio van de bepalingen in de richtlijn is dat hij een dergelijke oplicht juist niet heeft.
De verantwoordelijke kan ervan uitgaan dat de betrokkene kennis zal nemen van informatie die wordt verspreid binnen de kring van personen waartoe de betrokkene zichzelf blijkens zijn gedragingen rekent. De betrokkene kan niet worden aangesproken als onderdeel van het algemene publiek.

4. Inhoud van de informatie

Het is steeds nodig dat de identiteit van de verantwoordelijke en het doel van de verwerking waarvoor de gegevens zijn bestemd, aan de betrokkene worden meegedeeld. De artikelen 10 en 11 van de richtlijn laten in dit opzicht geen uitzonderingen toe. Dit uitgangspunt is neergelegd in artikel 33, tweede lid, en artikel 34, eerste lid, van dit wetsvoorstel. Ter zake van de doeleinden waarvoor de gegevensverwerking kan zijn bestemd wordt verwezen naar artikel 7.
Het derde lid van laatstgenoemde artikelen bepaalt echter dat de verantwoordelijke in het algemeen niet kan volstaan met het mededelen van zijn identiteit en de doeleinden van de verwerking. Hij zal de betrokkene in deze gevallen nader moeten informeren opdat er sprake is van een gegevensverkrijging die als rechtmatig kan worden aangemerkt ('fair processing'). Deze nadere informatie wordt geboden uit overwegingen van maatschappelijke zorgvuldigheid die de verantwoordelijke ten opzichte van de betrokkene in acht moet nemen. De aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, bepalen of deze nadere informatie nodig is. De verantwoordelijke zal zich telkens moeten afvragen of deze omstandigheden met zich brengen dat verwacht mag worden dat de betrokkene een reëel belang heeft bij nadere informatie en zo ja, wat de omvang van deze informatie is. Deze voorwaarde is een aanvulling op de in hoofdstuk 2 neergelegde algemene voorwaarden voor de rechtmatigheid van gegevensverwerkingen.
Voorbeelden van omstandigheden waarbij aanvullende informatie is aangewezen, zijn de volgende. Wanneer informatie wordt gevraagd in het kader van een te sluiten overeenkomst of bij de aanvraag van een beslissing door een bestuursorgaan, kan het voorkomen dat bij voorbeeld om statistische redenen of met het oog op toezending van geadresseerde reclame, informatie van de betrokkene wordt gevraagd, de beantwoording waarvan niet essentieel is voor het sluiten van de overeenkomst of het afgeven van de beschikking. Het geven van een antwoord kan achterwege blijven zonder dat daarmee het gevraagde in gevaar komt. In dergelijke gevallen behoort het tot de eisen van een zorgvuldige gegevensverwerking de betrokkene van deze omstandigheid in kennis te stellen. De verantwoordelijke zal dan niet alleen duidelijkheid moeten bieden over de doeleinden die door hem worden beoogd, maar ook moeten aangeven welke gegevens waarvoor zijn bestemd en wat de gevolgen zijn indien bepaalde gegevens niet worden verstrekt.
In het kader van artikel 34 kan gedacht worden aan het geval dat de gegevens worden verkregen door koppeling van diverse bestanden. De verantwoordelijke, die binnen de grenzen van het wetsvoorstel bestanden wil koppelen om een nieuwe gegevensverzameling op te bouwen, moet de betrokkene informeren over de wijze waarop hij deze nieuwe gegevens heeft verkregen. Koppeling legt dan een extra verantwoordelijkheid bij de verantwoordelijke. De informatieplicht in het geval van koppelen omvat bijvoorbeeld de verplichting de betrokkene op de hoogte te stellen van het feit dat de gegevens zijn verkregen middels een koppeling van bestanden, een omschrijving van de soort bestanden die zijn gekoppeld en het wijzen van de betrokkene op zijn recht op toegang en verbetering van de gegevens.
Indien de verantwoordelijke op grond van het derde lid van de artikelen 33 of 34 de betrokkene nader heeft geïnformeerd, en zich een wijziging voordoet in de informatie, bijvoorbeeld doordat de verantwoordelijke de gegevens aan andere personen wil verstrekken dan de categorieën ontvangers die hij de betrokkene heeft medegedeeld, dan zal hij de betrokkene van deze wijziging op de hoogte moeten stellen. De aard van de gegevens, de aard van de gegevensverwerking, de omstandigheden waaronder de verantwoordelijke de gegevens verzameld, of het gebruik dat van de gegevens wordt gemaakt, bepalen of het nodig is aanvullende informatie te verstrekken (derde lid). De afhankelijke positie van de betrokkene ten opzichte van de verantwoordelijke kan bijvoorbeeld aanleiding zijn deze uitgebreider te informeren.
Als aan de informatieplicht overeenkomstig de artikelen 33 of 34 is voldaan, zijn deze artikelen uitgewerkt en zal er ook geen sprake meer kunnen zijn van een onrechtmatige verkrijging wegens niet nakoming van deze plicht. De betrokkene is daardoor in de gelegenheid van zijn kant het initiatief te nemen om navraag te doen naar de gegevensverwerking. Wel is het denkbaar dat specifieke omstandigheden met zich brengen, dat informatie moet worden verstrekt om een 'behoorlijke en zorgvuldige verwerking' te waarborgen. Daarbij valt te denken aan latere ontwikkelingen van zodanige aard, dat zij aan de betrokkene bij de verkrijging hadden moeten worden medegedeeld indien zij op dat tijdstip bekend waren geweest.

5. Het moment van de informatieverstrekking

De WPR hanteert in artikel 28 als aanknopingspunt voor de bepaling van het moment waarop de informatieverplichting ontstaat: het tijdstip waarop de verantwoordelijke voor de eerste keer gegevens van de betrokkene opneemt in een persoonsregistratie. Er wordt in de WPR geen onderscheid gemaakt tussen gegevensvergaring bij de betrokkene zelf dan wel vergaring op een andere wijze.
Het moment waarop de verantwoordelijke informatie omtrent de gegevensverwerking aan de betrokkene moet verstrekken, hangt in dit wetsvoorstel af van de vraag of de persoonsgegevens worden verzameld bij de betrokkene zelf of op andere wijze.
Artikel 33 kiest voor het ontstaan van de informatieverplichting van de verantwoordelijke in geval van verkrijging bij de betrokkene zelf, voor het moment voorafgaande aan de daadwerkelijke verkrijging van de gegevens. Bij de vergaring moet dus de informatie bij de betrokkene aanwezig zijn, hetzij omdat hij al op de hoogte is, hetzij omdat de verantwoordelijke hem daarvan op de hoogte heeft gesteld. Artikel 34 regelt de situaties waarin artikel 33 niet van toepassing is. Uitgangspunt is dat de informatie moet worden verstrekt op het moment van vastlegging. Artikel 28 WPR behoudt hier in dit opzicht zijn werking. Artikel 11, eerste lid, van de richtlijn bepaalt dat in bepaalde gevallen de informatie ook mag worden verstrekt 'uiterlijk op het moment van de eerste verstrekking'. Deze omschrijving moet aldus worden verstaan dat het gaat om gevallen waarin verstrekking van gegevens aan een derde reeds bij de verkrijging is beoogd en de gegevens dus bestemd waren om aan een derde te worden verstrekt. De formulering van onderdeel b sluit hier op aan. Zie in dit verband ook overweging 39 bij de richtlijn.

6. Uitzonderingen op informatieplicht

De gedachte achter het informeren van de betrokkene is de transparantie van de gegevensverwerking. De verantwoordelijke moet actief en ongevraagd de betrokkene van de gegevensverwerking op de hoogte stellen, tenzij deze reeds op de hoogte is. Dit kan bijvoorbeeld het geval zijn als de vorige verantwoordelijke informatie verstrekt heeft. Wordt op dit beginsel een uitzondering gemaakt, dan zal de transparantie op andere wijze gecreëerd moeten worden.
De plicht om de betrokkene van deze nieuwe gegevensverwerking in kennis te stellen is niet absoluut (artikel 34, vierde lid). Het is niet altijd mogelijk de betrokkene te achterhalen. Ook zijn er gevallen waarin het theoretisch mogelijk zou zijn om de betrokkene op de hoogte te stellen, maar waarbij de vereiste inspanning in geen verhouding staat tot het doel dat daarmee wordt gediend. De vraag of er sprake is van een 'onevenredige inspanning' is mede afhankelijk van bijvoorbeeld de mate waarin andere wegen openstaan om de betrokkenen op adequate wijze van informatie te voorzien en het medium waarvan mag worden aangenomen dat het de betrokkene voor een groot gedeelte bereikt. Indien het naleven van de informatieplicht een onevenredige inspanning zou vergen, kan worden afgezien van de informatieverstrekking aan de betrokkene (artikel 34, vierde lid). In dat geval moet er echter zijn voorzien in compenserende waarborgen. Het wetsvoorstel voorziet in het vierde lid van artikel 34 in dergelijke compenserende waarborgen door te bepalen dat de verantwoordelijke, in de gevallen dat hij niet alle betrokkenen in kennis heeft kunnen stellen van de gegevensverwerking, vastlegt van wie en op welke wijze hij de gegevens heeft verkregen. Dit stelt de betrokkenen in staat achteraf bij de verantwoordelijke na te gaan welke keten van verstrekkingen heeft plaatsgevonden. Ingevolge artikel 35, tweede lid, kan dan altijd de betrokkene achteraf op zijn verzoek de informatie krijgen om de keten van verstrekkingen voor zichzelf te reconstrueren.
Indien een gegevensverwerking plaatsvindt door instellingen voor wetenschappelijk onderzoek of statistiek ten behoeve van statistische of wetenschappelijke doeleinden, wordt hier kortheidshalve verwezen naar de bijzondere regeling in artikel 44.
Een uitzondering geldt voorts op grond van het vijfde lid van artikel 34 in geval de registratie of de verstrekking van gegevens plaatsvindt ingevolge een wettelijk voorschrift. Zo laat artikel 9 van de Wet op het Centraal bureau en de Centrale Commissie voor de statistiek (Stb. 1996, 258) toe dat het CBS gebruik maakt van gegevens van het Rijk. Voor het bedrijfsleven geldt een regeling op grond van van de wet van 28 december 1936 houdende maatregelen tot het verkrijgen van juiste economische statistieken (Stb. 1936, 639 DD). Het informeren van de betrokkene kan dan achterwege blijven. Voor deze uitzondering geldt dat de wettelijke basis zodanig specifiek dient te zijn, dat de betrokkene uit de wet kan weten welke verantwoordelijke hij desgewenst kan aanspreken. De richtlijn eist in artikel 11, derde lid, verder dat in een dergelijke wettelijke regeling passende waarborgen zijn gegeven. Deze liggen besloten in artikel 11 van de eerstgenoemde wet dat bepaalt dat de ontvangen gegevens uitsluitend worden gebruikt voor statistische doeleinden. Voorts bepaalt het vijfde lid dat de verantwoordelijke de betrokkene wanneer hij daarom verzoekt op de hoogte moet stellen van het specifieke wettelijke voorschrift dat tot de verstrekking of vastlegging van hem betreffende gegevens heeft geleid. Deze waarborg sluit aan bij die in de Duitse wetgeving in dergelijke gevallen is voorzien (artikel 13 van de Bundesdatenschutzgesetz).

7. Verhouding tussen de artikelen 33 en 34

Artikel 33 regelt de situatie dat de gegevens worden verkregen bij de betrokkene zelf. Dat wil zeggen dat de betrokkene zelf, actief zijn persoonsgegevens ter beschikking stelt dan wel een vertegenwoordiger dit namens hem doet. De betrokkene bepaalt of en – zo ja – welke gegevens worden verstrekt. Hij zal dit doen nadat hij – indien hij daarvan niet al op de hoogte is – is geïnformeerd over de identiteit van de houder en de doeleinden van de verwerking. Hij zal zich ook bewust moeten zijn van het feit dat hij gegevens verstrekt. De verstrekking moet zijn beoogd. In het kader van artikel 33 hoeft er geen sprake te zijn van een direct contact tussen de betrokkene en de verantwoordelijke. De betrokkene kan eveneens door een bewerker worden benaderd en aan deze zijn persoonsgegevens verstrekken. De gegevensvergaring met behulp van videocamera’s kan onder artikel 33 worden geschaard indien het geen geheime observatie betreft. Indien de betrokkene op de hoogte is van de aanwezigheid van camera’s en hij eveneens weet voor welk doel deze gebruikt worden, heeft hij de mogelijkheid zich hieraan te onttrekken. Doet hij dat niet dan kan gesteld worden dat hij zijn persoonsgegevens voor het desbetreffende doel bewust ter beschikking heeft gesteld. Soortgelijke opmerkingen kunnen worden gemaakt ten aanzien van iemand die zijn chipkaart gebruikt om een specifieke betaling te kunnen verrichten. Overhandigt hij zijn kaart met dit doel aan een daartoe aangewezen persoon, dan kan gesteld worden dat hij zijn persoonsgegevens verstrekt ten einde die betaling mogelijk te maken. De overhandiging symboliseert de fysieke overdracht van zijn gegevens, de omvang van de gegevens die daadwerkelijk verwerkt mogen worden wordt bepaald door hetgeen in het maatschappelijk verkeer gebruikelijk is om een betaling te kunnen verrichten.
Artikel 34 bestrijkt alle gevallen die niet onder het bereik van artikel 33 vallen.
Indien de verantwoordelijke de betrokkene heeft geïnformeerd op grond van artikel 33 zal hij de gegevens vervolgens kunnen verwerken. Mocht deze verdere verwerking inhouden dat hij de gegevens aan derden verstrekt, dan zal hij in beginsel niet wederom verplicht zijn de betrokkene te informeren. In zoverre heeft de informatieverplichting een eenmalig karakter. De derde zal echter wel op grond van artikel 34 verplicht zijn de betrokkene op de hoogte te stellen van het feit dat hij zijn gegevens heeft verkregen. Deze verplichting geldt niet indien de betrokkene reeds van deze derdenverstrekking op de hoogte is, bijvoorbeeld omdat de verstrekkende verantwoordelijke overeenkomstig artikel 33, derde lid, hem reeds van de voorgenomen derdenverstrekking op de hoogte heeft gesteld.
Een soortgelijke opmerking kan worden gemaakt ten aanzien van artikel 34. Indien de verantwoordelijke de betrokkene in overeenstemming met dit voorschrift heeft geïnformeerd, zal hij de gegevens vervolgens verder kunnen verwerken voor zover dat in lijn ligt met de informatie die aan betrokkene is verstrekt. Het eenmalig karakter van de informatieverplichting komt in dit artikel tot uitdrukking met de woorden 'op het moment van vastlegging'.

[MvT, pagina 149-157]