Aanwijzing verplichtingen in het kader van Wbp en WJSG

De Wbp legt aan de verantwoordelijke voor de verwerking van persoonsgegevens een aantal verplichtingen op. Hierbij dient te worden bedacht dat het mogelijk is dat er bij een verwerking meerdere verantwoordelijken kunnen zijn. In dat geval zal de onderlinge verdeling van verantwoordelijkheid tussen de verantwoordelijken duidelijk moeten worden gemaakt en dient de melding te geschieden door of namens elke van de betrokken verantwoordelijken. In paragraaf 5 wordt stilgestaan bij de vraag wie de verantwoordelijke is.

De Wbp beschrijft gedetailleerd aan welke eisen een gegevensverwerking moet voldoen. De belangrijkste bepalingen voor het Openbaar Ministerie zijn de volgende (N.B. de hieronder genoemde verplichtingen gelden ook voor die gegevensverwerkingen waarvoor onder de Wjsg geen meldingsplicht meer geldt, dus onder meer ook voor Compas, voor zover de Wjsg daarvoor geen bijzondere regeling kent):

• 1. Persoonsgegevens mogen alleen in overeenstemming met de wet en op een behoorlijke en zorgvuldige manier worden verwerkt.

• 2. Persoonsgegevens mogen alleen voor welbepaalde, vooraf uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens alleen verder worden verwerkt voor doeleinden die daarmee niet onverenigbaar zijn.

• 3. Persoonsgegevens mogen zonder toestemming van de betrokkene worden verwerkt voor zover dat noodzakelijk is om een wettelijke verplichting na te komen waaraan de verantwoordelijke is onderworpen of voor zover de gegevensverwerking noodzakelijk is voor de goede vervulling van een publiekrechtelijke taak door het verwerkende bestuursorgaan danwel het bestuursorgaan waaraan de gegevens worden verstrekt.

• 4. Persoonsgegevens mogen niet langer worden bewaard dan noodzakelijk is voor doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.

• 5. De verantwoordelijke is verplicht maatregelen te treffen opdat persoonsgegevens juist en nauwkeurig zijn. Hieraan wordt door het Openbaar Ministerie gevolg gegeven bij het beheer van de kwaliteit van de bedrijfsprocessen, onderdeel van INK.

• 6. De gegevensverwerking moet op een passende manier worden beveiligd. Ook hierin is voorzien. Landelijke richtlijnen en aanbevelingen bij het beveiligen van persoonsgegevens zijn het Raamwerk Beveiliging Rechterlijke Organisatie en de daarvan deeluitmakende Basisvoorzieningen Informatiebeveiliging; tevens is een rol weggelegd voor de lokale beveiligingsfunctionarissen.

Voor bijzondere gegevens, zoals gegevens over ras, gezondheid en geloofsovertuiging, gelden extra strenge regels. De verwerking van dergelijke gegevens is verboden, tenzij wordt voldaan aan de voorwaarden genoemd in paragraaf 2 van de Wbp. Onder bijzondere gegevens worden ook strafrechtelijke persoonsgegevens begrepen. Het verbod om strafrechtelijke persoonsgegevens te verwerken geldt (uiteraard) niet indien de verwerking geschiedt door organen die krachtens de wet zijn belast met de toepassing van het strafrecht zoals het Openbaar Ministerie. Op de verwerking van strafvorderlijke gegevens is de Wjsg van toepassing.

De Wjsg beschrijft aan welke eisen de verwerking van strafvorderlijke gegevens moet voldoen. Het gaat om de volgende verplichtingen:

• 1. Strafvorderlijke gegevens worden slechts verwerkt indien dit noodzakelijk is voor een goede vervulling van de taak van het openbaar ministerie of het nakomen van een andere wettelijke verplichting.

• 2. Strafvorderlijke gegevens worden niet verder verwerkt op een wijze die onverenigbaar is met de doeleinden genoemd onder 1.

• 3. Strafvorderlijke gegevens worden slechts verwerkt voor zover ze, gelet op de doeleinden waarvoor zij worden verwerkt, toereikend, ter zake dienend en niet bovenmatig zijn.

• 4. Ook op grond van de Wjsg is de verantwoordelijke verplicht de nodige maatregelen te treffen, opdat de strafvorderlijke gegevens juist en nauwkeurig zijn en de verantwoordelijke heeft de plicht de gegevens te verbeteren indien hem blijkt dat ze onjuist of onvolledig zijn.

• 5. Evenals de Wbp verplicht de Wjsg de verantwoordelijke passende technische en organisatorische maatregelen te treffen om de gegevens te beveiligen tegen verlies of enige vorm van onrechtmatige verwerking.

• 6. Strafvorderlijke gegevens worden verwijderd:

  • a. over misdrijven dertig jaren na onherroepelijke afdoening van de strafzaak in het kader waarvan die gegevens zijn verwerkt of het recht tot strafvordering door verjaring is vervallen dan wel achttien jaren na het overlijden van betrokkene, en

  • b. over overtredingen vijf jaren na onherroepelijk afdoening van de strafzaak in het kader waarvan die gegevens zijn verwerkt of het vervallen van het recht tot strafvordering door verjaring dan wel twee jaren na het overlijden van de betrokkene. Ten aanzien van de bewaartermijnen van strafvorderlijke gegevens dient tevens acht te worden geslagen op de artikelen 4, derde lid, 5 en 6, tweede en derde lid, van de Wjsg.

Voor het toezien op de naleving van de uit de Wbp voortvloeiende verplichtingen voor de landelijke gegevensverwerkingen en voor het toezien op de naleving van de uit de Wjsg voortvloeiende verplichtingen is een landelijke coördinator aangewezen in de persoon van het hoofd van de afdeling Besturing, Programmering en Informatievoorziening (BPI) van het parket-generaal (zie voor de rol van de landelijke coördinator bij de meldingen van landelijke gegevensverwerkingen paragraaf 8). De wijze waarop het toezicht en de controle wordt georganiseerd valt buiten het bestek van deze Aanwijzing.

De verantwoordelijke voor de verwerking van persoonsgegevens is degene die het doel en de middelen voor de verwerking vaststelt. In de uitspraak van 2 juli 2003 (zaaknummer 200202888/1; LJN-nummer AH8979; AB 2004/131, JB 2003/228) heeft de Afdeling bestuursrechtspraak van de Raad van State overwogen dat het CPG de verantwoordelijke is voor de verwerking van strafrechtelijke persoonsgegevens. De Afdeling heeft daarbij gewezen op het feit dat in artikel 124 van de Wet RO de strafrechtelijke handhaving van de rechtsorde tot de taak van het openbaar ministerie behoort, waaraan het College van procureurs-generaal ingevolge artikel 130, tweede lid, en artikel 139, van de Wet RO als hoogste, landelijke leiding aan het hoofd staat. De Afdeling heeft daarbij tevens van belang geacht dat het College ingevolge artikel 130, vierde lid, van de Wet RO zowel algemene als bijzondere aanwijzingen kan geven. Hetzelfde heeft overigens te gelden voor de verwerking van niet strafrechtelijke persoonsgegevens door het OM.

Het CPG heeft een taak waar het gaat om het melden van landelijke gebruikte bestanden. De hoofden van de parketten en de directeuren van de dienstonderdelen hebben een taak waar het om het melden van de niet landelijk gebruikte bestanden gaat. Op deze verdeling van taken wordt hieronder in paragrafen 8 en 9 nader ingegaan.

De verantwoordelijke voor het verwerken van strafvorderlijke gegevens is het CPG. Het hoofd van een arrondissementsparket, het landelijk parket of een ressortsparket voert het beheer over de strafvorderlijke gegevens.

De hoofden van de parketten en de directeuren van de dienstonderdelen dragen de verantwoordelijkheid voor de melding van lokale gegevensverwerkingen. Daarbij geldt als uitgangspunt dat parketten en dienstonderdelen voor de verwerking van persoonsgegevens gebruik maken van de landelijk aangemelde systemen en dat alleen gegevensverwerkingen die op geen enkele wijze in een van de landelijke gemelde systemen plaatsvinden en toch noodzakelijk zijn voor een goede uitvoering van de taken van een parket/dienstonderdeel in een lokaal bestand worden opgenomen. De gegevensverwerkingen die plaatsvinden in lokale bestanden en die in landelijke bestanden kunnen worden ondergebracht moeten worden afgebouwd.

Naast verwerking van persoonsgegevens in lokale bestanden binnen het eigen parket/dienstonderdeel kunnen de parketten/dienstonderdelen te maken krijgen met de verwerking van persoonsgegevens in het kader van samenwerkingsverbanden.

Een effectieve en efficiënte uitvoering van de taken van het Openbaar Ministerie kan immers ook buiten de strafrechtspleging samenwerking met verschillende andere partners, zoals hulpverleningsinstellingen en gemeenten vergen. Gedacht kan worden aan de samenwerking met jeugdhulpverleningsinstellingen ten behoeve van de integrale aanpak van kindermishandeling, de samenwerking met gemeenten bij de aanpak van drugsdealers om overlast, onveiligheid en misbruik van gemeenschapsgeld tegen te gaan, of samenwerking met gemeenten, reclassering en instellingen op het terrein van verslavingszorg ten behoeve van de aanpak van (jeugdige) veelplegers. Voor dergelijke samenwerking is een efficiënte wijze van gegevensuitwisseling vaak onontbeerlijk. Teneinde die gegevensuitwisseling in te kaderen en zodoende oog te houden op de bescherming van de belangen van de verschillende betrokkenen, verdient het aanbeveling een samenwerkingsovereenkomst te sluiten.

Twee soorten samenwerkingsverbanden zijn te onderscheiden. Ten eerste het samenwerkingsverband waarbij een apart bestand wordt gecreëerd en ten tweede het samenwerkingsverband waarbij dat niet gebeurt.

Indien in een samenwerkingsverband bijvoorbeeld casusoverleggen worden gevoerd, daarvan notulen worden gemaakt en opgeslagen en/of gezamenlijke (integrale) actieplannen worden opgesteld ten aanzien van bepaalde personen en deze worden opgeslagen, is sprake van een samenwerkingsverband waarbij een apart bestand wordt gecreëerd. Hierbij is van grote betekenis of het bestand voor de partijen van het samenwerkingsverband raadpleegbaar is. Indien dat het geval is, is er sprake van een apart bestand, dat valt onder de Wbp en dat moet worden gemeld.

Bij dergelijke samenwerkingsverbanden bestaat voor het Openbaar Ministerie geen meldingsverplichting aan het CBP. Het Openbaar Ministerie verstrekt in dat geval alléén gegevens aan de afzonderlijke partners. De Wbp is voor het Openbaar Ministerie niet van toepassing op verstrekkingen binnen het samenwerkingsverband, voor de overige betrokkenen wel (tenzij die ook een bijzondere wet hebben, zoals de politie). De verstrekking van strafvorderlijke informatie door het Openbaar Ministerie dient op basis van de Wjsg en de Aanwijzing Wjsg te worden beoordeeld ten aanzien van alle individuele ontvangers.

Samenwerkingsovereenkomsten dienen in algemene zin voor alle voorgenomen verstrekkingen aan (de verschillende partners) van het samenwerkingsverband antwoord te geven op vragen als wat is het doel van de verstrekking, wat zijn de gronden voor de gegevensverwerking, over welke personen worden gegevens verstrekt, welke bijzondere gegevens worden verstrekt, welke verstrekkingen vinden plaats. De samenwerkingsovereenkomst dient ruimschoots voor aanvang van de informatieverstrekking aan het samenwerkingsverband, aan de Helpdesk privacy van het parket-generaal te zijn voorgelegd. Voordeel van het sluiten van een samenwerkingsovereenkomst is bijvoorbeeld dat in bepaalde gevallen ten aanzien van bepaalde ontvangers niet-standaardverstrekkingen kunnen plaatsvinden zonder tussenkomst van de Helpdesk privacy van het parket-generaal (voor de rol van Helpdesk privacy van het parket-generaal bij verstrekkingen aan derden voor buiten de strafrechtspleging gelegen doelen wordt verwezen naar de Aanwijzing Wjsg). Deze verstrekkingen en de voorwaarden waaronder ze geschieden zijn immers al in algemene zin getoetst en akkoord bevonden door de Helpdesk.

Informatiestromen schematisch:

In dat geval zijn de Wjsg en de Aanwijzing Wjsg van toepassing op de verstrekking van daarin opgenomen strafvorderlijke gegevens van het Openbaar Ministerie aan het samenwerkingsverband. De verwerkingen binnen het samenwerkingsverband worden beheerst door de Wbp. De verwerking van gegevens in het bestand zal in beginsel moeten worden aangemeld bij het CBP. Dit heeft een aantal gevolgen.

De samenwerkingsovereenkomst regelt de wijze van omgang met de persoonsgegevens binnen het samenwerkingsverband met inachtneming van het bepaalde in de Wbp. Aangezien het een nieuwe verwerking betreft en de Wbp van toepassing is, dient de verwerking door de verantwoordelijke te worden gemeld bij het CBP. De verantwoordelijke van de gegevensverwerking binnen het samenwerkingsverband draagt de verantwoordelijkheden die de Wbp hem geeft. Deze dient zorg te dragen voor de melding van de verwerking (het bestand) bij het CBP, maar zal er ook op moeten toezien dat aan de andere uit de Wbp voortvloeiende verplichtingen wordt voldaan.

In paragraaf 6 is aangegeven waarvan bij een melding opgave moet worden gedaan. Het samenwerkingsverband waaraan het Openbaar Ministerie gegevens verstrekt, dient ten behoeve van die melding ieder geval de in die paragraaf genoemde onderwerpen in (een) samenwerkingsovereenkomst(en) te hebben geregeld.

De verstrekking door het Openbaar Ministerie aan het samenwerkingsverband wordt beoordeeld aan de hand van de Wjsg en de Aanwijzing Wjsg. Het samenwerkingsverband als vastgelegd in de samenwerkingsovereenkomst is dan de ontvanger van de verstrekte gegevens.

Informatiestromen schematisch:

De Helpdesk privacy van het parket-generaal dient ruimschoots voor aanvang van de informatieverstrekking aan het samenwerkingsverband, het convenant dat die informatieverstrekking aan het samenwerkingsverband regelt ter toetsing voorgelegd te krijgen. Bij de beoordeling van de voorgenomen verstrekking aan het samenwerkingsverband, zal door de Helpdesk privacy nadrukkelijk worden betrokken hetgeen is geregeld ten aanzien van de informatie-uitwisseling binnen het samenwerkingsverband omtrent de vraag onder welke voorwaarden de informatie door wie kan worden verwerkt. De samenwerkingsovereenkomst op basis waarvan de melding aan het CBP zal geschieden, vormt daarvoor de basis. Meer informatie hierover is te vinden in de Aanwijzing Wjsg.

De parketten en de dienstonderdelen dienen ten aanzien van de in deze paragraaf genoemde gegevensverwerkingen niet alleen te voldoen aan de meldingsplicht, voor zover deze van toepassing is, maar ook aan de andere verplichtingen die de Wbp stelt en die in paragraaf 3 zijn genoemd (het toezicht op de naleving van de regels betreffende met name het bewaren/schonen, beveiligen en controleren van de juistheid en nauwkeurigheid van de gegevensverwerkingen). De ingevulde privacyscan (zie paragraaf 7) biedt daarvoor een handvat.