Recente berichten in de media melden dat het nog steeds niet de goede kant opgaat met de privacybescherming. Volgens onderzoekers zijn bedrijven niet goed op de hoogte van de wettelijke eisen die aan privacybescherming worden gesteld. Uit een door het College Bescherming Persoonsgegevens (CBP) gepubliceerde handhavingscasus blijkt echter dat ook overheidsinstellingen zich de privacyregels niet goed eigen hebben gemaakt. Aan Charlois, een deelgemeente in Rotterdam, is namelijk een last onder dwangsom opgelegd voor het onrechtmatig verwerken van gegevens met betrekking tot ras/etniciteit. Een blik op de casus levert het volgende op.
Prijs vergelijk ADSL, kabel, glasvezel aanbieders en bespaar geld door over te stappen!
Registratie bijzondere persoonsgegevens
Charlois verwerkt vanaf 2000 persoonsgegevens betreffende het ras/de etniciteit van allochtone en Antilliaanse en autochtone jongeren, alsmede van hun ouders in de registratie van het Deelgemeentelijk Overleg Sluitende Aanpak Charlois (hierna DOSA). DOSA is een vorm van afstemming tussen verschillende organisaties op het gebied van jeugd en gericht op vroegtijdige, gecoördineerde en effectieve aanpak van risicojongeren. Het gaat dan om multi-probleem jongeren van 0 tot 24 jaar.
Charlois verwerkt deze persoonsgegevens met het oog op de bestrijding van de overlast, de handhaving van de openbare orde en het opstellen van specifieke hulpverleningstrajecten aan deze jongeren. Het onderzoek van het CBP heeft zich gericht op de vraag voor welke specifieke doeleinde(n) Charlois de persoonsgegevens met betrekking tot ras/etniciteit verwerkt en of de verwerking in overeenstemming is met de vereisten in de Wet bescherming persoonsgegevens (Wbp).
Onderzoek CBP
Volgens de Wbp is het verwerken van gegevens betreffende ras/etniciteit verboden, tenzij er sprake is van een wettelijke uitzondering. Het CBP heeft geconcludeerd dat de verwerking van Charlois in het kader van de bestrijding van overlast en de handhaving van de openbare orde niet onder de in de Wbp genoemde uitzonderingen valt. Ten aanzien van de verwerking van gegevens betreffende ras/etniciteit ten behoeve van het realiseren of aanbieden van een specifieke hulpverleningsplan heeft het CBP na onderzoek geconcludeerd dat Charlois slechts een beroep op artikel 18, onder b, Wbp zou kunnen doen, wanneer het opstellen van een hulpverleningsplan kan worden aangemerkt als voorkeursbeleid en tevens aan de overige voorwaarden in het artikel wordt voldaan.
In dit artikel is bepaald dat het verbod om persoonsgegevens betreffende ras/etniciteit van iemand te verwerken niet van toepassing is indien de verwerking geschiedt met het doel personen van een bepaalde etnische of culturele minderheidsgroep een bevoorrechte positie toe te kennen ten einde feitelijke nadelen verband houdende met de grond ras op te heffen of te verminderen (voorkeursbeleid). De verwerking kan dan slechts geschieden indien de verwerking voor dat specifieke doel noodzakelijk blijkt de gegevens slechts betrekking hebben op bij wet vastgestelde criteria, op grond waarvan op objectieve wijze vastgesteld kan worden of iemand tot een minderheidsgroep behoort, en indien de betrokken persoon geen schriftelijk bezwaar heeft gemaakt tegen de verwerking.
Het CBP heeft tijdens het onderzoek vastgesteld dat de gegevensverwerking van Charlois echter niet voldoet aan de voorwaarden zoals gesteld in voornoemd artikel. Volgens het CBP hebben de geregistreerde gegevens niet slechts betrekking op het geboorteland van de betrokken jongere of diens (groot)ouders, dan wel op andere bij wet vastgestelde criteria, op grond waarvan op objectieve wijze vastgesteld kan worden of iemand tot een minderheidsgroep behoort. Bovendien wordt aan de betrokken jongeren die in DOSA zijn geregistreerd niet de gelegenheid geboden om schriftelijk bezwaar te maken tegen de verwerking van gegevens met betrekking tot hun ras of etniciteit. Sterker nog, bij een beslissing van een betrokkene om niet mee te werken aan DOSA, legt Charlois een Nee-dossier aan, waarin ook de gegevens betreffende zijn ras of etniciteit wordt opgenomen.
Last onder dwangsom
Het CBP heeft uit de door Charlois toegezonden stukken geconcludeerd dat er geen sprake is van een voorkeursbeleid. Bij de beoordeling of in casu sprake is van een voorkeursbeleid hanteert het CBP de toets die de Nota Voorkeursbehandeling stelt en waarin het juridisch kader van de voorkeursbehandeling is geschetst met betrekking tot etnische minderheidsgroepen in overheidsfuncties (TK 2004/2005, 28 770, nr. 11). Volgens de Nota is een voorkeursbehandeling een tijdelijke maatregel ten behoeve van een of enkele individuen uit een bepaalde doelgroep, die ertoe bijdraagt dat de achterstand van die doelgroep in een bepaalde concrete situatie vermindert. Daarbij zijn een aantal randvoorwaarden geformuleerd die volgens het CBP als volgt kunnen worden samengevat:
– Een voorkeursbehandeling moet als doel hebben het opheffen of verminderen van feitelijke ongelijkheden;
– De achterstand moet worden aangetoond aan de hand van bijvoorbeeld statistische gegevens;
– De maatregelen van voorkeursbehandeling moeten geschikt zijn om het daarmee beoogde doel te kunnen verwezenlijken; en
– De inhoud en kracht van voorkeursbehandeling moeten worden gerechtvaardigd door de mate van achterstand.
Aangezien de verwerking van deze gegevens volgens het CBP niet voldoet aan de geformuleerde cumulatieve randvoorwaarden, is er geen sprake van een voorkeursbeleid. Een beroep op artikel 18, onder b, Wbp is daarom niet mogelijk en Charlois handelt in strijd met de wet.
Het CBP legt als handhavingsmaatregel een last onder dwangsom op aan Charlois en sommeert Charlois de volgende maatregelen te treffen:
– De verwerking van gegevens betreffende ras/etniciteit binnen drie dagen te staken en gestaakt te houden;
– De gegevens betreffende ras/etniciteit die reeds in DOSA zijn verwerkt binnen drie maanden uit het bestand te verwijderen.
Indien Charlois niet voldoet aan deze last, dan is zij vanaf de begunstigingstermijn per maatregel een dwangsom verschuldigd van EUR 2000,- per dag met een maximum van EUR 250.000,- dat niet aan de last is voldaan.
Kortom
Het is aan te raden dat zowel bedrijven als (semi) overheidsinstellingen in 2011 een poging doen om hun organisatie ‘privacy-proof’ te maken. Te beginnen met een audit en het inhuren van privacy-experts en eindigend met het inbedden van privacy-awareness organisatiebreed.
mr. Angela Blackman, USG Juristen
