De Wet bescherming persoonsgegevens (Wbp) geeft regels ter bescherming van de privacy van burgers. De wet is op 1 september 2001 in werking getreden, en geeft de burger meer rechten. De burger heeft het recht om te weten wat er met zijn persoonsgegevens gebeurt, mag zijn gegevens inzien en corrigeren en kan in veel gevallen bezwaar maken tegen het gebruik van zijn persoonsgegevens.

Organisaties die persoonsgegevens verwerken krijgen meer plichten. Een organisatie mag persoonsgegevens alleen verzamelen en verwerken als daar een goede reden voor is, of als de betrokken burger daar zelf toestemming voor heeft gegeven. Ook moeten zij in veel gevallen de burger laten weten wat zij met zijn gegevens (gaan) doen.

De Data Privacy Counsel behandelt twee vragen waar zowel personen als bedrijven mee te maken kunnen krijgen.

Vraag: Vanzelfsprekend valt mijn geautomatiseerde personeelsadministratie onder de Wet bescherming persoongegevens, maar dit geldt toch zeker niet voor mijn persoonlijk notitieblok met aantekeningen over mijn medewerkers?!…

Data Privacy Counsel: Zo te lezen heeft u 2 manieren waarop u gegevens over uw personeel verwerkt: geautomatiseerd en niet geautomatiseerd. De Wet bescherming persoonsgegevens (Wbp) is van toepassing op iedere geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens en iedere niet-geautomatiseerde verwerking van persoonsgegevens die in een bestand zijn opgenomen of bestemd zijn om daarin opgenomen te worden. Wat betreft de verwerkingen in het bestand van uw personeelsadministratie heeft u helemaal gelijk, de Wbp is daarop onverminderd van toepassing. Bij uw “persoonlijke” notitieblok ligt dit wat gecompliceerder.

Wbp-persoonsgegeven
Een onder de Wbp vallend persoonsgegeven is elk gegeven waarmee een bepaalde natuurlijke persoon geïdentificeerd is of kan worden. Deze gegevens moeten dus direct of indirect tot een individuele persoon (betrokkene) herleidbaar (kunnen) zijn. Voorbeelden van gegevens welke als persoongegevens kunnen worden gekwalificeerd zijn o.a.: e-mailadressen, adressen/huisnummers, personeelsnummers, gironummers, telefoonnummers, IP-adressen, kentekens, honden, huizenprijzen, DNA-profielen, pinpasbetalingen, cameratoezicht. Indien een dergelijk gegeven door een bedrijf of bestuursorgaan in, naar of vanuit een bestand wordt verwerkt is de Wbp van toepassing.

Wbp-bestand
Een Wbp-bestand kan omschreven worden als een verzameling van op 2 of meer identificeerbare personen betrekking hebbende persoonsgegevens, die geheel of gedeeltelijk op geautomatiseerde wijze wordt gehouden, dan wel niet geautomatiseerd op systematische wijze is aangelegd en toegankelijk is voor doeltreffende raadpleging.
Daarbij is de Wbp alleen van toepassing op bedrijfsmatige verwerkingen en niet op verwerkingen voor privé-doeleinden. De persoonsgegevens in uw notitieblok hebben duidelijk een bedrijfsmatig doel en zijn derhalve dus niet bij voorbaat van de Wbp uitgezonderd.

Wanneer de in uw notitieblok genoteerde personeelsgegevens bestemd zijn om (gedeeltelijk) opgenomen te worden in het geautomatiseerd bestand van uw personeelsadministratie (b.v. doordat u uw notities gebruikt bij de beoordeling van uw medewerkers), vallen de in uw notitieblok opgenomen persoonsgegevens direct onder de Wbp.

Indien de persoonsgegevens in uw notitieblok niet (mede) gebruikt worden voor uw geautomatiseerde personeelsadministratie, dient vervolgens vastgesteld te worden of dit notitieblok misschien wel zelf een bestand kan zijn. Uw notitieblok bevat identificerende gegevens over meerdere personen, dus aan de eerste eis voor een Wbp-bestand voldaan is. Als uw notitieblok tevens, b.v. met behulp van een duidelijk overzicht op naam en datum, voor doeltreffende raadpleging systematisch toegankelijk is, dan zou uw notitieblok tevens zelf een Wbp-bestand kunnen zijn.

Vraag:Welke verplichtingen heb ik onder de Wbp en wat zijn de risico’s als ik daar niet aan voldoe?

Data Privacy Counsel: De Wbp omschrijft de verantwoordelijke als de (rechts)persoon die of het bestuursorgaan dat, c.q. zijn ge(vol)machtigde of gemandateerde bestuurder/vertegenwoordiger die, het doel van en de middelen voor de verwerking van persoonsgegevens bepaald. Indien u een dergelijke vertegenwoordiger van uw organisatie bent met voldoende bevoegdheid om te beslissen over het gebruik van de persoonsgegevens, dan bent u als verantwoordelijke onder de Wbp verplicht om:

1. de doeleinden voor de diverse verwerkingen van persoonsgegevens bepaald en omschreven te hebben;
   
2. deze doeleinden onder een van de 6 rechtmatige grondslagen van de Wbp te kunnen brengen (b.v. voor de uitvoering overeenkomst, met toestemming van betrokkene of ter nakoming van een wettelijke plicht);
   
3. te zorgen dat de gegevens die voor dit doel verwerkt worden juist, terzake, niet teveel en niet te weinig zijn;
   
4. de wettelijke beveiligingsplicht van de gegevens (b.v. bij ontvangst, gebruik en doorzending) na te komen;
   
5. de wijze waarop de betrokkene zijn Wbp-rechten (inzage, verbetering, aanvulling, verwijdering/ afscherming en verzet) binnen de organisatie kan uitoefenen geregeld te hebben;
   
6. de informatieplicht naar betrokkene na te komen door:
   a. betrokkene te informeren bij de verkrijging van zijn gegevens bij deze betrokkene zelf
   b. betrokkene te informeren bij de vastlegging of doorzending van zijn gegevens, wanneer de gegevens niet bij de betrokkene zelf zijn verkregen;
   
7. iedere gegevensverwerking, tenzij vrijgesteld, bij het College bescherming persoonsgegevens (CBP) aangemeld te hebben.

• negatieve publiciteit, reputatieverlies, verlies vertrouwen betrokken klanten
  
• op inefficiënt wijze verwerken van persoonsgegevens, onbekendheid met de Wbp, onduidelijkheid en extra kosten
  
• Wbp-aansprakelijkheid/ schadeclaims (ook voor immateriële schade)
  
• Wbp-klachten en gerechtelijke procedures
  
• onderzoek en handhaving door het CBP (boetes: 4500,= Euro per onrechtmatige verwerking)