Verordening persoonsregistraties Regio Twente

Toelichting op de Verordening Persoonsregistraties Regio Twente

2. Algemene toelichting

Op 1 juli 1989 is de Wet persoonsregistraties (Stb. ’88, 665) in werking getreden. Daarmee heeft een aantal belangrijke elementen van de privacybescherming een wettelijke basis gekregen. Zo geeft de wet voorschriften betreffende:

• a.

  de toelaatbaarheid van persoonsregistraties en van het opnemen daarin en verstrekken daaruit van persoonsgegevens;

• b.

  de taken en verantwoordelijkheden van de houder;

• c.

  de rechtspositie van de geregistreerde;

• d.

  het toezicht en de controle op de naleving van de wet;

• e.

  de plicht van overheidslichamen om de onder hun verantwoordelijkheid bijgehouden persoonsregistraties op een bepaalde wijze te reglementeren.

Daar door de regio Twente op diverse punten gewerkt wordt met persoonsregistraties is de wet rechtstreeks toepasbaar op de Regio Twente. Toch wordt het gewenst om in aanvulling op de wet

een verordening vast te stellen. Dit omdat de bescherming van persoonsgegevens niet alleen gediend is met een landelijke regeling, maar ook vooral door binnen de Regio Twente scheppen van

bestuurlijke en organisatorische waarborgen voor een juist gebruik ervan. Deze wenselijkheid bestaat er met betrekking tot de volgende onderwerpen:

• 1.

  het eenduidig bepalen wie binnen de Regio Twente houder is en welke verplichtingen, naast de in de wet genoemde, op de houder rusten;

• 2.

  het scheppen van interne controle op de besluiten die mede op basis van de verordening genomen worden;

• 3.

  het scheppen van duidelijkheid aan de geregistreerden over de binnen de Regio Twente aanwezige persoonsregistraties, door het instellen van een openbaar register;

• 4.

  het koppelen en integreren van persoonsregistraties, in de verordening aangeduid met bijzondere vormen van verstrekking.

De verordening is opgebouwd uit de volgende hoofdstukken:

Hoofdstuk 1. Algemene bepalingen

Hoofdstuk 2. Houderschap en toezicht

Hoofdstuk 3 Het reglement

Hoofdstuk 4 Het openbaar register

Hoofdstuk 5. Bijzondere vormen van verstrekking van persoonsgegevens

Hoofdstuk 6. Beveiliging

Hoofdstuk 7. Overgangs- en slotbepalingen.

3. Artikelsgewijze toelichting

Artikelen 1 en 2

De begrippen die in de verordeningen worden gebruikt zijn de begrippen uit artikel 1 van de wet.

Het kernbegrip is ‘de persoonsregistratie’, zijnde een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd of met het oog op een doeltreffende raadpleging van die gegevens systematisch is aangelegd.

In de definitie zitten de volgende elementen:

• -

  persoonsgegevens; dit zijn gegevens die herleidbaar zijn tot een individuele, natuurlijke persoon. Naast het in cijfers of letters vastleggen van persoonsgegevens, kan ook gedacht worden aan persoonsgegevens in de vorm van foto’s, vingerafdrukken e.d. In de praktijk komt het voor dat in een registratie naast gegevens over natuurlijke personen ook gegevens over rechtspersonen zijn opgenomen. Deze laatste gegevens zijn geen persoonsgegevens. De verzameling als geheel kan veelal wel als een persoonsregistratie worden aangemerkt;

• -

  De registratie moet persoonsgegevens bevatten van verschillende personen;

• -

  De registratie moet een samenhangende verzameling van persoonsgegevens zijn. Deze samenhang kan ondermeer blijken uit de wijze waarop die verzameling toegankelijk is;

• -

  De registratie dient - voor zover zij niet langs geautomatiseerde weg wordt gevoerd - met het oog op een doeltreffende raadpleging systematisch te zijn aangelegd. Zo zullen gegevensbestanden in de vorm van kaartsystemen, of in hoofdzaak bestaande uit voorgedrukte formulieren, in de regel wel onder het begrip systematisch aangelegd vallen. Dossierverzamelingen die uitsluitend bestaan uit een hoeveelheid op alfabet gerangschikte dossiers met losse aantekeningen en min of meer chronologisch geordende documenten van velerlei aard, zullen vaak niet onder het begrip vallen. Denk hierbij aan personeelsdossiers, waarbij alle persoonsgegevens over een personeelslid chronologisch zijn opgeborgen, zonder nadere rubricering naar onderwerp. Ook een dossier met vergunningaanvragen en –besluiten die chronologisch zijn gerangschikt is veelal niet systematisch toegankelijk. Het begrippenapparaat van de wet is toegespitst op systematisch aangelegde verzamelingen en niet op verzamelingen waarin weinig structuur zit. Zo is het bij de laatstgenoemde verzamelingen ondoenlijk aan te geven welke soorten van gegevens in de verzameling zijn opgenomen waardoor ook niet op voorhand bepaald kan worden aan wie welke gegevens zullen worden verstrekt.

Artikel 2 van de verordening neemt artikel 2 van de wet als uitgangspunt voor de beschrijving van het toepassingsbereik van de verordening.Met deze verordening wordt beoogd de organisatie en het toezicht op alle persoonsregistraties binnen de Regio Twente te stroomlijnen.

Artikelen 3 en 4

De zeggenschap over persoonsregistraties wordt in beginsel opgedragen aan het dagelijks bestuur.

Over registraties die ter uitvoering van tal van bijzondere wetten worden bijgehouden, heeft het dagelijks bestuur die zeggenschap veelal niet op basis van deze verordening, maar op basis van de bijzondere wet dan wel artikel 160 van de Gemeentewet.

Artikel 33 van de Wet Gemeenschappelijke Regelingen (WGR) juncto art. 166 Gemeentewet, maakt het voor het dagelijks bestuur mogelijk om aan ambtenaren (bijvoorbeeld sectorhoofden) zijn bevoegdheden over te dragen. In de verordening is duidelijk gesteld dat het dagelijks bestuur dit kan doen.

Een dergelijke keuze dient verband te houden met de belasting van het bestuur met detailzaken en vergaderfrequentie. Er dient o.a. rekening gehouden te worden met wettelijke termijnen die in werking

treden wanneer een betrokkene zich op grond van art. 34 WPR tot de arrondissementsrechtbank wendt.

Ook kunnen andere mogelijkheden van de uitvoering van het houderschap in beeld komen (mandaat).

In artikel 4 krijgt het toezicht binnen de Regio Twente concreet vorm, doordat op het dagelijks bestuur de plicht rust om bij een aantal essentiële besluiten een vaste commissie van advies te betrekken.

Besluiten die afwijken van een door de meerderheid van deze commissie gesteund advies worden terstond ter kennis van het Algemeen Bestuur gebracht.

In verband met de relatief lage vergaderfrequentie in relatie met de reactie- en beroepstermijnen die de wet stelt wordt tevens voorgesteld om, in afwijking van het VNG-model, niet voorziene verstrekkingen

(volgens art. 10 van de verordening) niet door een vaste commissie te laten toetsen.

Artikel 5

De WPR kent het stelsel dat in beginsel alle persoonsregistraties reglementsplichtig zijn.

Bij AmvB kan een registratie van de reglementsplicht worden ontheven. In deze verordening is vastgelegd dat het dagelijks bestuur voor deze registraties de mogelijkheid heeft om alsnog een

reglement vast te stellen.

Voor de inhoud van het reglement is artikel 20 WPR bepalend. Daarin is vastgelegd dat in ieder geval de volgende onderwerpen geregeld moeten zijn:

• a.

  doel van de registratie;

• b.

  categorieën van personen over wie gegevens in de registratie worden opgenomen;

• c.

  soorten van opgenomen gegevens en wijze van verkrijgen;

• d.

  verwijdering van gegevens;

• e.

  categorieën van personen en instanties waaraan gegevens worden verstrekt;

• f.

  soorten van gegevens die aan deze personen en instanties verstrekt worden;

• g.

  rechtstreekse toegang tot de registratie;

• h.

  verbanden met andere registraties;

• i.

  de wijze waarop de geregistreerde kennisneming en verbetering van de opgenomen gegevens kan verkrijgen;

• j.

  de wijze waarop de geregistreerde mededeling van verstrekking van gegevens aan derden kan verkrijgen;

• k.

  hoofdlijnen van het beheer.

Artikelen 6, 7 en 8

Artikel 19 WPR bepaalt dat de reglementen alsmede de wijziging en de intrekking ervan bekend worden gemaakt en voor een ieder ter inzage worden gelegd overeenkomstig regels bij algemene maatregel van bestuur te stellen.

In de lijn hiervan ligt de in de verordening opgenomen verplichting dan het dagelijks bestuur een openbaar register instelt. Naast reglementen zal dit register ook gegevens bevatten van registraties die op basis van artikel 22 WPR niet reglementsplichtig zijn. Het betreft hier de gegevens over het doel van de registratie, de categorieën van personen waarvan persoonsgegevens zijn opgenomen, de categorieën van opgenomen gegevens, het organisatieonderdeel dat belast is met het beheer over de registratie en de naam van de registratie.

Door opname van deze gegevens wordt openheid aan de geregistreerde geboden.

Artikelen 9, 10 en 11

Tot de bijzondere vormen behoort vooral het samenvoegen van persoonsgegevens binnen de organisatie van de Regio Twente. Voor het samenvoegen van persoonsgegevens gebruikt men vaak de termen koppeling en integratie. De wet kent deze termen niet. Omdat aan iedere koppeling of integratie een verstrekking van gegevens voorafgaat en deze verstrekking al aan normen is gebonden, werd van het gebruik van de termen koppeling en integratie afgezien.

Voor de verstrekking van gegevens binnen de Regio Twente geldt als norm dat de ontvanger van de gegevens deze gegevens ingevolge zijn taak mag ontvangen. Bovendien geldt als eis dat het gebruik van een gegeven - en het koppelen is een vorm van gebruik - verenigbaar moet zijn met het doel van de registratie waar dit gegeven in opgenomen is.

Omdat de wet al de normen aangeeft waaraan verstrekkingen moeten voldoen was een apart regime voor het samenvoegen of het met elkaar in verband brengen van gegevens niet meer nodig.

Het is van belang dat deze vormen van verstrekking van een extra waarborg worden voorzien.

De in de artikelen 9 en 10 bedoelde verstrekking moet daarom in het openbaar register worden opgenomen.

Artikel 9 betreft eigenlijk het op meer efficiënte wijze samenbrengen van persoonsregistraties door te voorkomen dat gegevens dubbel opgeslagen worden. Dit samenbrengen leidt eigenlijk weer tot een nieuwe persoonsregistratie, die aan de eisen van de oorspronkelijke registraties dient te voldoen en dus ook aan doelstelling, reglement e.a. eisen. De houder dient hierover te beslissen en dit besluit

wordt opgenomen in het openbaar register.

Artikel 10 behandelt de situatie, wanneer een beheerder (van een geautomatiseerd gegevensbestand) van een andere beheerder (met eenzelfde soort bestand) gegevens verstrekt krijgt, zonder dat dit

geregeld is in een reglement. In een dergelijke situatie dient de houder eerst hierover te beslissen.

Deze beslissing wordt opgenomen in het openbaar register.

Wanneer de verstrekking eenmalig is, dient in de beslissing aangegeven te worden met welk doel dit is geschied en met welk doel de gegevens worden gebruikt.

Wanneer de verstrekking meerdere malen plaatsvindt, dan dienen de reglementen terzake aangepast

te worden.

Artikel 11 behandelt de situatie indien een verzoek tot verstrekking van persoonsgegevens wordt gedaan wanneer:

• a)

  de verzoeker niet als zodanig genoemd is in het reglement; of

• b)

  een verzoeker, die wel vermeld is in het reglement, andere persoonsgegevens vraagt, dan aan hem, op grond van het reglement, verstrekt mag worden.

De houder beslist over deze situaties. Met andere woorden regelt artikel 11 de incidentele verstrekking van gegevens welke niet in het reglement is voorzien noch in de artikelen 9 en 10.

Bovendien moet aan de verstrekking een verzoek ten grondslag liggen.

De achtergrond van dit artikel is dat niet alle verstrekkingen voorzienbaar zijn en een plaats in het reglement zullen hebben gekregen.

Te denken valt hier aan verzoeken van derden om gegevens uit een onder de WPR vallende persoonsregistratie. Dergelijke verzoeken moeten veelal op grond van de WOB beoordeeld worden.

Eveneens kan gedacht worden aan verzoeken van personen en instanties met een publieksrechtelijke taak waarvoor, naast artikel 11, artikel 18, lid 3, van de wet een bevoegdheid tot gegevensverstrekking biedt.

Tot slot kan binnen het kader van de WPR gedacht worden aan niet voorzienbare gegevensverstrekking binnen de Regio Twente. Artikel 6, leden 1 en 2 van de wet geven de normen aan waarbinnen tot verstrekking kan worden overgegaan.

Artikel 12

Beveiligingsmaatregelen kunnen zich richten op het voorkomen (preventiemaatregelen), verbeteren (correctiemaatregelen) en op het zo beperkt mogelijk houden van de schade (repressieve maatregelen) van een ongewenste inbreuk op het (geautomatiseerde) bestand. De maatregelen dienen zich te richten op handhaving van de betrouwbaarheid van gegevens, op garantie voor de continuïteit van gegevens en bestand en op het beschermen van de vertrouwelijkheid van de gegevens. Dit kunnen technische maatregelen zijn, zoals het opbergen van magneetbanden, schijven e.d. in kluizen en maatregelen in de organisatorische sfeer. Het beveiligingsplan kan zodanig worden opgesteld dat in het reglement bij de afzonderlijke persoonsregistraties voor het onderwerp beveiliging met een verwijzing naar dit plan kan worden volstaan.

Artikelen 13, 14 en 15

Artikel 14 legt op het dagelijks bestuur de verplichting tot het in ruime kring bekendmaken van de verordening. Daarnaast wordt, ter uitwerking van de wettelijke plicht tot mededeling aan betrokkenen

dat zij geregistreerd staan (artikel 54, lid 6 juncto artikel 28 van de wet), aan het dagelijks bestuur opgedragen ook melding te maken van de bij de Regio Twente aanwezige persoonsregistraties.

Daarbij moet aangegeven worden welke categorieën van personen in deze registraties opgenomen zijn. Uit de brief van de minister van justitie (kamerstuk II, vergaderjaar 86-87, 19095, nr. 23, bijlage 2)

blijkt dat bij een duidelijke openbare kennisgeving aangenomen mag worden dat de geregistreerde weet of redelijkerwijs kan weten dat hij in een registratie is opgenomen.