Uitgangspunten en beleidsregels werkwijze CBP

Om aan zijn taken op een doeltreffende en resultaatgerichte wijze uitvoering te kunnen geven, stelt het CBP na overleg met zijn Raad van Advies een meerjarig beleidsplan vast. Dit meerjarige beleidsplan wordt elk jaar geactualiseerd. De hoofdlijnen van het beleid, die in het jaarverslag over 2001 nader uiteengezet werden, zijn:

• • een geïntegreerde aanpak van de verschillende taken in het kader van een ’viersporenbeleid’ van privacybewustwording, normontwikkeling, technologie en handhaving;

• • de stimulering van de eigen verantwoordelijkheid van belanghebbenden, eerstelijnsorganisaties, sectorale verbanden en andere stakeholders;

• • een toenemende aandacht voor handhaving door het uitvoeren van onderzoek naar de naleving van de WBP en waar nodig het opleggen van sancties.

Gezien de omvang van het werkterrein van het CBP enerzijds, en de beperkte omvang van de organisatie (63 fte’s) anderzijds is het noodzakelijk om bij de uitvoering van taken prioriteiten te stellen. Jaarlijks worden de organisatorische en inhoudelijke prioriteiten voor het komende jaar vastgesteld. Daarbij wordt rekening gehouden met de ervaring dat er elk jaar behalve voor de eigen prioriteiten ruimte dient te zijn voor ontwikkelingen in politiek en samenleving die onverwacht aandacht van de toezichthouder vragen. De inhoudelijke prioriteiten worden vastgesteld op basis van een analyse van privacyrisico’s. Hierbij wordt gekeken zowel naar informatie uit het dagelijkse werk als naar analyses per maatschappelijke sector en analyses op onderdelen van de privacywetgeving. Het jaarverslag en de website bevatten een overzicht van de voornaamste doelen voor het lopende jaar.

De toezichtstrategie van het CBP berust op het eerdergenoemde viersporenbeleid met aandacht voor zowel bewustwording, de praktijkgerichte uitwerking van wettelijke normen en de mogelijkheden van technologie, als voor het daadwerkelijk handhaven van de normen. Binnen dit beleid vindt sinds 2003 een geleidelijke accentverschuiving plaats naar het spoor van de handhaving.

Door het streven naar en het zo mogelijk betrekken van een tweedelijnspositie wil het CBP verantwoordelijkheden laten waar zij horen en stimuleren dat overheden, bedrijven en andere organisaties zelf actief invulling geven aan de bescherming van persoonsgegevens. Ook wil het CBP stimuleren dat burgers zoveel mogelijk zelf voor hun rechten opkomen. Op deze wijze vervult het CBP de rol van metatoezichthouder die toezicht houdt op een stelsel van gegevensbescherming waarin verschillende partijen een actief aandeel hebben. Aanleiding voor het CBP om op te treden is er vooral als het stelsel niet goed functioneert en bij nieuwe ontwikkelingen die nieuwe antwoorden vragen.

Het toezicht op de naleving van de wettelijke normen vindt plaats door middel van controleonderzoeken. Dergelijke onderzoeken kunnen worden gestart naar aanleiding van een klacht of andere signalen. Controleonderzoeken vinden ook systematisch plaats op basis van vooraf vastgestelde beleidsdoelen en via de methode van steekproeven.

Voor individuele burgers, verantwoordelijken en andere belanghebbenden investeert het CBP permanent in het beschikbaar stellen en ontsluiten van informatie waarmee zij in staat worden gesteld zoveel mogelijk de eigen belangen te behartigen of hun verplichtingen na te komen. De website van het CBP neemt hierbij een centrale plaats in. Naast de elektronische informatievoorziening is een groot aantal brochures, informatiebladen en studies in druk beschikbaar. Het CBP investeert verder in contacten met organisaties die belanghebbenden ter zijde kunnen staan of anderszins kunnen ondersteunen.

Het juridisch kader voor het publiciteitsbeleid van het CBP wordt bepaald door de geheimhoudingsregel van artikel 2:5 Algemene wet bestuursrecht en de verplichtingen van de Wet openbaarheid bestuur. Binnen dit juridische kader voert het CBP een beleid van een zo ruim mogelijke openbaarmaking uit eigen beweging van zijn activiteiten.

Voor sommige activiteiten geldt een wettelijke verplichting tot openbaarmaking, zoals de goedkeuring van gedragscodes en de aankondiging van zogenaamde voorafgaande onderzoeken.

Wetgevingsadviezen worden doorgaans openbaar gemaakt.

De resultaten van voorlichting, klachtenbehandeling en bemiddeling, ambtshalve onderzoek en sanctieoplegging waarbij de omgang met persoonsgegevens door een private of publieke organisatie wordt beoordeeld, worden – al dan niet in verkorte vorm – openbaar gemaakt in alle gevallen waarin het CBP van mening is dat openbaarmaking het maatschappelijk belang kan dienen. Wanneer het oordeel betrekking heeft op een overheidsinstelling, wordt bekend gemaakt om welke instelling het gaat. Daarmee sluit het CBP aan bij het publiciteitsbeleid van de Nationale Ombudsman die bij de bekendmaking van zijn oordelen de naam van de betreffende overheidsinstelling noemt. Wel wordt acht geslagen op de weigeringsgronden van de Wet openbaarheid bestuur. Wanneer het oordeel een private organisatie betreft, wordt een terughoudend beleid gevoerd bij de bekendmaking van de naam van de organisatie en veelal een geanonimiseerd oordeel gepubliceerd. Redenen om de naam van de private organisatie wel actief bekend te maken zijn:

• • bij derden is reeds bekend dat er een zaak over de organisatie is voorgelegd;

• • er is sprake van een groot aantal klachten of belanghebbenden bij de onderzochte verwerking van persoonsgegevens;

• • de betrokken organisatie zelf publiciteit heeft gezocht over de (voorgenomen) verwerking van persoonsgegevens.

Namen van burgers die om optreden van het CBP hebben gevraagd, worden zonder hun toestemming niet openbaar gemaakt.

De openbaarmaking geschiedt in ieder geval door plaatsing van het (eventueel geanonimiseerde) oordeel op de website, al dan niet vergezeld van een op publiciteit gerichte mededeling. Op verzoek kan aan een ieder een uitdraai van mededelingen op de website worden verstrekt.

Eenvoudige verzoeken om voorlichting met een standaardkarakter kunnen mondeling worden voorgelegd aan medewerkers van het front office tijdens de telefonische spreekuurtijden. Elk verzoek kan per e-mail (info@cbpweb.nl) of per brief worden voorgelegd. Voor complexe vragen geldt de eis dat zij per e-mail of per brief worden voorgelegd. Bij verzoeken per e-mail moet het mogelijk zijn om de identiteit van de verzoeker vast te stellen. Het verzoek om voorlichting dient voldoende informatie te bevatten om te kunnen beoordelen of er sprake is van een vraag over verwerking van persoonsgegevens.

Vragen die beantwoord kunnen worden door toezending van voorlichtingsmateriaal of verwijzing naar bepaalde bronnen worden altijd in behandeling genomen. Vragen die een uitgebreidere behandeling behoeven, worden steeds beoordeeld op hun waarde in het kader van de toezichthoudende taak. Het CBP betrekt in de afweging om dergelijke vragen in behandeling te nemen:

• • of door middel van voorlichting kan worden bijgedragen aan de ontwikkeling van privacykaders voor nieuwe ontwikkelingen of toetsingscriteria voor nieuwe producten en diensten;

• • of de praktijk in het algemeen of een sector dan wel meerdere partijen dringend gebaat zijn bij een oplossing en het CBP daaraan een zinvolle bijdrage kan leveren.

• • of er aansluiting is bij de aandachtsgebieden waaraan het CBP prioriteit geeft;

• • of er sprake is van een relevante doelgroep;

• • of de vraag betrekking heeft op een bestaand praktijkgeval; in dat geval wordt nagegaan of er sprake is van een geschil met een andere partij waarover het CBP zich niet door middel van voorlichting aan één partij kan uitlaten; als een dergelijk geschil de aanleiding vormt voor de vraag kan het verzoek met instemming van verzoeker worden omgezet in een klacht; de criteria voor het starten van een onderzoek in het kader van klachtenbehandeling en de werkwijze zijn te vinden in de uitgangspunten en beleidsregels over klachtenbehandeling;

• • of juridische bijstand voorhanden is of geacht kan worden beschikbaar te zijn; in deze gevallen voert het CBP een zeer terughoudend beleid;

• • of verwezen kan worden naar een eerstelijnsorganisatie, zoals algemene en sectorale helpdesks in de private en publieke sector.

Eenvoudige vragen worden telefonisch beantwoord. Daarnaast wordt voorlichting gegeven door toezending van voorlichtingsmateriaal en verwijzingen naar de website van het CBP en naar andere bronnen. Er bestaan standaardbrieven voor de beantwoording van veel voorkomende vragen. Als vragen niet met behulp van bestaand materiaal of verwijzingen kunnen worden beantwoord, zal eerst worden bezien of er voldoende feiten en achtergronden bekend zijn. Het CBP kan verzoeker vragen om meer feiten of achtergrondinformatie te verschaffen. De beantwoording van de vragen wordt gebaseerd op de wetsgeschiedenis, jurisprudentie, standpuntbepalingen op internationaal niveau en kennis van de betreffende branche. Bij complexe interpretatievragen worden eventueel derden bij de beantwoording van de vragen betrokken. Een voorlichtingsverzoek kan leiden tot een consultatie van diverse partijen en het schrijven van een rapport of nota over knelpunten in de praktijk. Dergelijke voorlichting zal niet altijd tot een uitgesproken stellingname leiden.

Afhankelijk van de wijze waarop de vraag bij het CBP is binnengekomen en van de ingewikkeldheid vindt de afronding mondeling, per e-mail of schriftelijk plaats.

Als een schriftelijk voorlichtingsverzoek niet in behandeling wordt genomen, zal dit in een gemotiveerde schriftelijke beslissing worden meegedeeld. Indien mogelijk wordt verwezen naar instanties die de voorlichting wel zouden kunnen geven of behulpzaam kunnen zijn bij het vinden van een antwoord op de vraag.

Het CBP voert het beleid dat verzoeker zijn klacht eerst dient voor te leggen aan de verantwoordelijke. Als de verantwoordelijke niet binnen een redelijke termijn antwoordt of niet naar tevredenheid reageert, kan de klacht worden voorgelegd aan het CBP. Het CBP beoordeelt of verzoeker een belanghebbende is. Als verzoeker niet als een belanghebbende is aan te merken, zal worden bezien of er reden is om een ambtshalve onderzoek te starten. Een klacht dient schriftelijk te worden ingediend en het CBP dient te beschikken over de volledige correspondentie die met de verantwoordelijke is gevoerd. Daarnaast kan het CBP vragen om een nadere toelichting, bewijsstukken van regels die de verantwoordelijke hanteert of van gebeurtenissen. Het CBP moet kunnen vaststellen of de klacht betrekking heeft op een mogelijke overtreding van regels gesteld bij of krachtens de WBP en andere wetten waarop het CBP toeziet. Voorzover verzoeker de benodigde informatie niet kan leveren, kan deze bij de verantwoordelijke worden opgevraagd.

Een belanghebbende heeft de mogelijkheid om een overtreding van de bij of krachtens de wet gestelde regels rechtstreeks aan de rechter voor te leggen in een civiele procedure of in procedures bedoeld in artikel 49 (schadevergoeding) en artikel 50 (rechterlijk verbod) van de WBP. Het belang van verzoeker om zonder tussenkomst van de rechter van de toezichthouder een oordeel te verkrijgen over de rechtmatigheid van het optreden van een verantwoordelijke wordt altijd meegewogen bij de beslissing of het CBP een onderzoek instelt. Het CBP start geen onderzoek als:

• • uit de correspondentie of stukken blijkt dat de verantwoordelijke behoorlijk en zorgvuldig, binnen de grens van zijn bevoegdheden handelt;

• • de verantwoordelijke reeds maatregelen heeft genomen om herhaling van de overtreding te voorkomen;

• • het meer voor de hand ligt om de klacht door een andere instantie te laten behandelen; bij een relevant meningsverschil over de feiten heeft de rechter bijvoorbeeld meer mogelijkheden om feiten vast te stellen; als de klacht onderdeel uitmaakt van een ander geschil dat reeds voorwerp is van een procedure of zal worden, ligt het voor de hand het privacygeschil in die procedure aan de orde te stellen; voorts kunnen interne klachtprocedures, tucht- en strafrechtelijke procedures en geschillencommissies een goed alternatief zijn voor een onderzoek door het CBP.

Als verzoeker zich niet kan verenigen met de uitkomst van de hiervoor genoemde alternatieven kan alsnog bij het CBP worden geklaagd. Wel geldt dan dat verzoeker nog een belang moet hebben bij een nieuwe beoordeling.

Het CBP voert een strikt selectiebeleid bij het in behandeling nemen van klachten. Daarbij spelen de aard en inhoud van het geschil een rol. Omstandigheden die leiden tot het afzien van een onderzoek zijn:

• • het gaat om een geringe en/of incidentele overtreding;

• • voorzienbaar is dat een actie van het CBP geen resultaat zal opleveren;

• • de behandeling van de klacht vergt een onevenredige inspanning.

De onderzoeken dienen tenslotte voldoende aansluiting te hebben bij de aandachtsgebieden waaraan het CBP prioriteit geeft en/of betrekking te hebben op een knelpunt dat om een standpunt vraagt teneinde een vaker gesignaleerd probleem op te lossen.

Het onderzoek omvat een toetsing van een verwerking aan de WBP of andere wetgeving over het verwerken van persoonsgegevens. De scope van het onderzoek wordt bij de aanvang vastgelegd. Een onderzoek kan bestaan uit het weergeven van de feiten die partijen hebben aangedragen en een eigen feitenonderzoek. Hoor en wederhoor en voorlichting over de juiste toepassing van de wet zijn een essentieel onderdeel van de werkwijze. Het onderzoek vindt over het algemeen schriftelijk plaats. De klacht wordt met een aantal vragen voorgelegd aan de verantwoordelijke. Partijen krijgen zonodig de gelegenheid om op elkaars standpunt te reageren. Het kan voorkomen dat informatie van de verzoeker niet of niet geheel aan de verantwoordelijke wordt meegedeeld. Evenzeer kunnen reacties van de verantwoordelijke niet altijd volledig ter beschikking gesteld worden aan verzoeker. Deze beperkingen doen zich voor als een gewichtig belang van verzoeker, privacybelangen van derden, bedrijfsbelangen of algemeen belang zwaarder dienen te wegen dan een volledige uitwisseling van informatie. Het CBP stelt partijen op de hoogte van de verschillende stappen en de voortgang van het onderzoek. Aan verzoeken om informatie of een reactie wordt steeds een termijn verbonden. Daarna wordt indien nodig mondeling of schriftelijk gerappelleerd. Als een verantwoordelijke na een tweede schriftelijk rappel niet binnen de gestelde termijn reageert, wordt per aangetekende brief een vordering tot medewerking gedaan als bedoeld in art. 5:20 Algemene wet bestuursrecht. Bij het vervolgens uitblijven van medewerking kan het CBP een last onder dwangsom opleggen teneinde medewerking af te dwingen of aangifte doen van overtreding van art. 184 Wetboek van Strafrecht.

In elk stadium van het onderzoek kan besloten worden tot een (aanvullend) onderzoek ter plaatse bij de verantwoordelijke. Uitgangspunten voor een onderzoek ter plaatse zijn dat het redelijkerwijs noodzakelijk is en het gewenste onderzoeksresultaat niet op een minder belastende wijze kan worden verkregen. De verantwoordelijke wordt van tevoren of uiterlijk bij de aanvang van het onderzoek ter plaatse op de hoogte gesteld van de reden voor deze werkwijze en het doel van het onderzoek ter plaatse.

Als de verantwoordelijke in een vroeg stadium van het onderzoek aangeeft in te zien onjuist te hebben gehandeld en dit herstelt ten opzichte van verzoeker, zal het onderzoek worden gestaakt tenzij er bijzondere redenen zijn om de procedure voort te zetten. Partijen ontvangen een brief over de beëindiging van de behandeling van de zaak.

Als het onderzoek is afgerond, legt het CBP een voorlopig rapport van bevindingen waarin een beschrijving van de feiten en een voorlopig oordeel zijn opgenomen voor aan de verantwoordelijke. In bijzondere gevallen zoals feitelijk complexe situaties of grote onenigheid over de feiten wordt eerst een rapport gemaakt en voorgelegd waarin alleen een beschrijving van de feiten wordt gegeven. Vervolgens wordt dan een voorlopig rapport van bevindingen aan de verantwoordelijke toegezonden. Na ontvangst en verwerking van de reactie op het voorlopig rapport van bevindingen of het verstrijken van de reactietermijn maakt het CBP een eindrapport op waarin een gemotiveerd oordeel over de onderzochte situatie wordt gegeven en eventueel aanbevelingen aan de verantwoordelijke worden gedaan. Op grond van artikel 60, derde lid, WBP dient in bijzondere gevallen toezending van het definitieve rapport aan verzoeker achterwege te blijven. Verzoeker krijgt over een dergelijke beslissing schriftelijk bericht. Verzoeker wordt bij de toezending van het definitieve rapport ingelicht over voorgenomen stappen van het CBP naar aanleiding van het rapport en voorzover relevant gewezen op de mogelijkheden om zich tot de rechter te wenden. Als het CBP besluit om de bevindingen in één of andere vorm te publiceren, worden partijen daarover ingelicht.

Wanneer het CBP niet tot een onderzoek overgaat, wordt dit in een gemotiveerde beslissing meegedeeld. Daarbij wordt indien mogelijk verwezen naar een andere instantie. Als over de voorgelegde kwestie reeds relevante uitspraken van het CBP, jurisprudentie of andere gezaghebbende visies bestaan dan geeft het CBP daarover zo goed mogelijk voorlichting.

Een verzoek om bemiddeling kan pas worden ingediend als de verantwoordelijke een beslissing terzake heeft genomen dan wel een dergelijke beslissing binnen de wettelijke termijn is uitgebleven, tenzij de verantwoordelijke een bestuursorgaan is. Als de verantwoordelijke een bestuursorgaan is, geldt dat een verzoek om bemiddeling pas kan worden gedaan als het bestuursorgaan een beslissing op bezwaar terzake heeft genomen. Een verzoek om bemiddeling dat betrekking heeft op inzage in of correctie van een politieregister op grond van de Wet politieregisters kan worden gedaan na een weigeringsbeslissing van de korpsbeheerder. Het CBP beoordeelt of de verzoeker gerechtigde is en of er sprake is van een gegevensverwerking die onder eerdergenoemde wetten valt. Naast de wettelijke ontvankelijkheidseisen geldt dat het verzoek schriftelijk moet worden gedaan en dat het CBP dient te beschikken over de volledige correspondentie met de verantwoordelijke of korpsbeheerder (hierna worden beide als verantwoordelijke aangeduid) over de betreffende aangelegenheid.

Bemiddeling door het CBP kan voorkomen dat verzoeker zich tot de rechter behoeft te wenden. Het belang van verzoeker om zonder rechterlijke tussenkomst het geschil op te lossen wordt meegewogen bij de beslissing of het verzoek tot bemiddeling wordt gehonoreerd. Als het standpunt van de verantwoordelijke op voorhand niet in strijd wordt geacht met de van toepassing zijnde regelgeving, wordt het verzoek om bemiddeling zonder onderzoek afgewezen. Andere gronden om een verzoek tot bemiddeling af te wijzen zijn:

• • er is sprake van een zodanige verharding of patstelling tussen partijen dat bemiddeling niet het geëigende middel is;

• • rechterlijke tussenkomst ligt meer voor de hand gezien de aard van het geschil;

• • het geschil hangt nauw samen met een ander geschil dat reeds voorwerp is van een procedure;

• • er is sprake van een te gering belang.

Bemiddeling heeft als doel het geschil op te lossen. Dit is slechts mogelijk als partijen daaraan willen meewerken. Hoor en wederhoor en voorlichting over de juiste toepassing van de wet zijn een belangrijk onderdeel van de bemiddeling.

Het CBP zendt een afschrift van het verzoek aan de verantwoordelijke of legt de inhoud van het verzoek aan de verantwoordelijke voor. Schriftelijke reacties worden als regel ter kennis gebracht van de andere partij. Daarnaast wordt verzoeker op de hoogte gehouden van de mondelinge en telefonische contacten met de verantwoordelijke over de zaak. In bijzondere gevallen zal informatie van de verantwoordelijke niet of niet geheel ter beschikking gesteld worden van de belanghebbende. Dit is met name het geval als de informatie de persoonsgegevens bevat die de verantwoordelijke nu juist niet wil prijsgeven. Bij bemiddeling op grond van de Wet politieregisters kan de reactie van het politiekorps in veel gevallen niet letterlijk aan de belanghebbende worden doorgegeven.

Het CBP vraagt steeds om zijn brieven binnen een bepaalde termijn te beantwoorden. Daarna wordt indien nodig mondeling of schriftelijk gerappelleerd. Bij het herhaald uitblijven van een reactie van één der partijen wordt de bemiddeling gestaakt.

Na een succesvolle bemiddeling ontvangen partijen een afsluitende brief van het CBP. Als het CBP de behandeling van het verzoek tot bemiddeling zonder succes beëindigt, kan verzoeker de zaak alsnog aan de rechter voorleggen. Het CBP beëindigt de behandeling van een verzoek tot bemiddeling in dat geval met een schriftelijke beslissing tot het staken van de bemiddeling en wijst verzoeker op de termijn waarbinnen de zaak aan de rechter kan worden voorgelegd. Indien mogelijk geeft het CBP in deze schriftelijke beslissing voorlichting over de eisen of interpretatie van de wettelijke regels.

Als het verzoek tot bemiddeling wordt afgewezen, zal dit in een gemotiveerde schriftelijke beslissing aan verzoeker worden meegedeeld. Daarbij zal verzoeker gewezen worden op zijn mogelijkheden om de zaak aan de rechter voor te leggen en, indien van toepassing, de nieuwe termijn die daarvoor geldt. Indien partijen van mening verschillen over de interpretatie van de wet of daarover vragen hebben gesteld, zal het CBP voorzover mogelijk daarover voorlichting verstrekken aan partijen.

Bestuursdwang is alleen mogelijk als is vastgesteld dat een bepaalde regel is overtreden. Voor de verzoeker geldt dat hij een rechtstreeks belang moet hebben. Een verzoek om bestuursdwang dient schriftelijk te worden ingediend. Verzoeker dient voldoende stukken te overleggen waaruit blijkt dat er sprake is van een overtreding van de WBP of de Wet GBA en een weigering van de verantwoordelijke om de situatie in overeenstemming met de wet te brengen. Het CBP dient te beschikken over de volledige correspondentie die met de verantwoordelijke is gevoerd. Indien nodig zal het CBP vragen om een nadere toelichting, bewijsstukken van regels die de verantwoordelijke hanteert of bewijsstukken van gebeurtenissen of van een bepaalde situatie.

Als onvoldoende vaststaat of de situatie waartegen het CBP zou moeten optreden een overtreding van de WBP of Wet GBA inhoudt, zal het CBP beslissen of een onderzoek als bedoeld in artikel 60 WBP wordt gestart. De criteria voor het starten van een dergelijk onderzoek zijn vastgelegd in de uitgangspunten en beleidsregels voor de klachtenbehandeling. Als het CBP besluit een onderzoek als bedoeld in artikel 60 WBP te starten wordt verzoeker daarbij betrokken conform de uitgangspunten en beleidsregels voor klachtenbehandeling. Het CBP zal in dit geval de beslissing over het verzoek tot toepassen van bestuursdwang aanhouden.

Als het CBP van oordeel is dat een bij of krachtens wettelijk voorschrift gestelde verplichting niet is nagekomen gelden de volgende eisen:

• • bestuursdwang is praktisch haalbaar;

• • de norm waaraan de verantwoordelijke moet voldoen is voldoende duidelijk;

• • de toe te passen bestuursdwang zal voldoen aan het evenredigheidsbeginsel; het CBP stelt vast of de nadelige gevolgen van de bestuursdwang voor de verantwoordelijke niet onevenredig zijn in verhouding tot het doel van de bestuursdwangactie.

Een belanghebbende heeft eigen mogelijkheden om een overtreding aan de rechter voor te leggen. Naast de reguliere civielrechtelijke mogelijkheden beschikt de belanghebbende over de bijzondere aansprakelijkheidsprocedures van de WBP. Op grond van artikel 49 WBP kan schadevergoeding worden gevorderd en op grond van artikel 50 WBP kan bij (dreigende) schade een rechterlijk bevel of verbod worden gevraagd. Voor het CBP is slechts in bepaalde situaties een rol weggelegd om via bestuursdwang een einde te maken aan een overtreding. Het belang van verzoeker wordt betrokken in de afwegingen van het CBP. Een beperking van bestuursdwangacties tot zaken waarin een klemmende noodzaak bestaat om op te treden, is een essentiële voorwaarde om als toezichthouder het brede terrein van de bescherming van persoonsgegevens te kunnen dienen. Het CBP zal daarom allereerst in de afweging betrekken:

• • of de gevraagde bestuursdwangactie meer dan een individueel belang dient;

• • of de bestuursdwangactie slechts de enige en een geschikte mogelijkheid is (gebleken) om een einde aan een overtreding af te dwingen;

• • de bestuursdwangactie aansluit bij aangekondigde handhavingsacties van het CBP;

• • er aansluiting is bij de aandachtsgebieden waaraan het CBP prioriteit geeft.

Factoren die tot een bestuursdwangactie kunnen nopen zijn:

• • grootschalige schending van regels;

• • het veroorzaken van aanzienlijke schade;

• • een ernstige schending van de privacy;

• • een principieel privacygeschil;

• • generale preventie.

Als voldoende vaststaat dat een overtreding is begaan, zal het CBP behoudens bij zeer dringende omstandigheden eerst aan de verantwoordelijke een termijn gunnen om de overtreding ongedaan te maken. Ook zal de verantwoordelijke over het voornemen om bestuursdwang toe te passen worden gehoord.

Het bestuursdwangbesluit geeft aan welke wettelijke regel is overtreden en op welke wijze dit is vastgesteld, al dan niet onder verwijzing naar een rapport van bevindingen dat het resultaat is van een onderzoek als bedoeld in artikel 60 WBP. De verplichting waaraan de verantwoordelijke moet voldoen wordt zo nauwkeurig mogelijk omschreven en toegelicht.

Het CBP kent aan een bezwaarschrift tegen een bestuursdwangbesluit schorsende werking toe, behoudens in spoedeisende situaties.

De belanghebbende die verzocht heeft om bestuursdwang toe te passen, krijgt bericht over het bestuursdwangbesluit en de resultaten. De inning van dwangsommen geschiedt door het Centraal Justitieel Incasso Bureau te Leeuwarden.

Als het CBP het verzoek om bestuursdwang afwijst, wordt deze afwijzing in een gemotiveerde beschikking toegelicht. Tegen een dergelijke afwijzing staan de rechtsmiddelen open van de Algemene wet bestuursrecht. Het CBP licht verzoeker voor over alternatieven. Wanneer over de voorgelegde kwestie reeds relevante uitspraken van het CBP, jurisprudentie of andere gezaghebbende visies bestaan, verstrekt het CBP daarover zoveel mogelijk informatie.

De Wet bescherming persoonsgegevens (WBP), die vanaf 1 september 2001 van kracht is, bevat regels over de geautomatiseerde verwerking van persoonsgegevens en verwerking van persoonsgegevens in bestanden. Dit omvat alle handelingen met die gegevens vanaf het verzamelen tot aan het vernietigen. Op grond van deze wet is een verantwoordelijke verplicht om geautomatiseerde verwerkingen van persoonsgegevens te melden bij het College bescherming persoonsgegevens (CBP) of bij de Functionaris voor de gegevensbescherming, tenzij een verwerking is vrijgesteld van melden.

Bij het niet naleven van de meldingsplicht is het CBP ingevolge art. 66 WBP bevoegd tot het opleggen van een boete. De bevoegdheid van het CBP boetes op te leggen is een middel om naleving van de verplichtingen uit de WBP te bevorderen. Behoudens op grond van het Vrijstellingsbesluit WBP (Stb. 2001, 250) uitgezonderde verwerkingen gaat het om de volgende verplichtingen:

• – het tijdig en op de juiste wijze melden van de gegevensverwerking (art. 27 en 28 lid 5 WBP);

• – het verstrekken van de juiste en volledige informatie omtrent de gegevensverwerking (art. 28 lid 1 en 2 WBP);

• – het tijdig melden van wijzigingen in de opgave bij de oorspronkelijke melding (art. 28 lid 3 WBP);

• – het bewaren van gegevens omtrent gewijzigde verwerking (art. 28 lid 4 WBP).

De boete bedraagt ten hoogste 4500 euro per overtreding (art. 66 lid 1 WBP). Als er sprake is van het niet naleven van de meldingsplicht met betrekking tot meerdere gegevensverwerkingen wordt voor elke overtreding zonder vermindering een boete opgelegd. Bij de bepaling van de hoogte van de boete wordt rekening gehouden met de verwijtbaarheid (art. 66 lid 2 WBP) en de ernst en de duur van de overtreding (art. 66 lid 3 WBP).

Het niet naleven van de meldingsplicht is tevens strafbaar gesteld (art. 75 WBP). Het is niet mogelijk om zowel een bestuurlijke boete als een strafrechtelijke sanctie op te leggen (art. 66 lid 5 en art. 75 lid 5 WBP).

Met het publiceren van de Regels voor de boetevaststelling beoogt het CBP inzicht te verschaffen in de hoogte van de boetes die verantwoordelijken kunnen verwachten, in de redenen om in individuele gevallen geen boete op te leggen en in het aangiftebeleid.

De uitgangspunten van de Regels voor de boetevaststelling zijn de volgende. Slechts in zeer ernstige gevallen wordt een zaak voor strafvervolging overgedragen aan het Openbaar Ministerie. In een aantal gevallen wordt geen boete opgelegd, zoals bij het ontbreken van verwijtbaarheid van de betrokkene, in geval van een kennelijke vergissing of bij een geringe overtreding. In andere situaties wordt afgezien van een boete, maar wordt wel een waarschuwing gegeven.

Het afzien van een boete wordt verbonden aan het alsnog melden van de gegevensverwerking binnen een bepaalde termijn. Wanneer er voldoende reden is voor het opleggen van een boete, wordt onderscheid gemaakt tussen minder zware en zware overtredingen. Dit onderscheid is nader uitgewerkt in een tabel. Tenslotte kan een boete gematigd worden op grond van financiële omstandigheden en is er een algemene hardheidsclausule opgenomen.

Na één jaar vanaf de inwerkingtreding van deze Regels zal het CBP bezien of aanpassingen dan wel nuanceringen eventueel aan de hand van concrete voorbeelden geboden zijn.

Het niet naleven van de meldingsplicht wordt zoveel mogelijk bestuursrechtelijk afgedaan. Slechts in zeer speciale gevallen zal aangifte worden gedaan. Dergelijke speciale gevallen zijn in ieder geval:

• – er is in een periode van vijf jaar voorafgaande aan de constatering van een vermoedelijke overtreding van art. 27 en 28 WBP reeds twee keer aan de verantwoordelijke een boete opgelegd;

• – er is sprake van omstandigheden die wijzen op een ernstige schending van de wettelijke regels voor verwerking van persoonsgegevens en/of de mogelijkheid van aanzienlijke nadelige gevolgen.

Als de betrokkene aannemelijk maakt dat het niet nakomen van de verplichtingen van art. 27 en 28 WBP hem niet kan worden verweten, wordt geen boete opgelegd. Te denken valt aan situaties van zodanig uitzonderlijke of gecompliceerde gegevensverwerking dat de verantwoordelijke in redelijkheid geen verwijt van de nalatigheid kan worden gemaakt. Bij een kennelijke vergissing of als er sprake is van een geringe overtreding in combinatie met het ontbreken van zichtbaarheid in de samenleving en eerdere overtredingen van de verplichtingen zal er evenmin een boete worden opgelegd. Voorwaarde voor het afzien van boeteoplegging is wel dat de niet nagekomen verplichtingen binnen een door het CBP gestelde termijn stipt worden nagekomen.

Indien het niet nakomen van de verplichtingen slechts in geringe mate aan de verantwoordelijke kan worden verweten wordt volstaan met een waarschuwing. Hierbij dient vooral gedacht te worden aan situaties waarin de verantwoordelijke aantoonbaar reeds activiteiten heeft ontplooid om de betreffende verwerking van persoonsgegevens in overeenstemming te brengen met een sector- of branchegebonden gedragscode en/of bedrijfsstandaard met de daarbij geldende voorwaarden en de verantwoordelijke voornemens is in de melding naar een standaardwerkwijze te verwijzen. Ook geldt dat wanneer een verantwoordelijke de melding niet op de juiste wijze verzorgt (via het voorgeschreven formulier, de diskette of het elektronische formulier) hij door het CBP wordt aangemaand om op de wettelijke voorgeschreven wijze te melden. Voorwaarde voor het volstaan met een waarschuwing is wel dat de niet nagekomen verplichtingen alsnog binnen een door het CBP gestelde termijn stipt worden nagekomen.

Als besloten wordt tot het opleggen van een boete wordt de hoogte van de boete afgestemd op de ernst en duur van de overtreding. Bij minder zware overtredingen wordt een boete opgelegd van 1500 euro en bij zware overtredingen een boete van 3000 euro. Dit geldt afzonderlijk voor elke verwerking ten aanzien waarvan verplichtingen niet zijn nagekomen. Bij recidive wordt de boete verhoogd met 1500 euro tot een maximum van 4500 euro. De categorieën van overtredingen en de daarbij behorende boetes zijn uitgewerkt in onderstaande tabel.

Indien niet toerekenbare financiële omstandigheden van de verantwoordelijke daartoe aanleiding geven kan de boete met 50% worden verlaagd.

Het CBP stelt de boete vast volgens deze Regels en met inachtneming van de beginselen van behoorlijk bestuur en het wettelijk maximum. Het CBP kan van de Regels, met name die onder 5. genoemd, afwijken indien onverkorte toepassing ervan tot evidente onbillijkheid leidt.

Opmerking 1: Bij samenloop van overtredingen aangaande één gegevensverwerking wordt de boete van de zwaarste overtreding opgelegd.

Opmerking 2: Indien de verantwoordelijke de regels heeft overtreden met betrekking tot meerdere verwerkingen van persoonsgegevens die afzonderlijk dienen te worden gemeld, wordt per verwerking zonder vermindering een boete opgelegd.