CBP legt gemeente dwangsom op

Sinds 2009 heeft het College Bescherming Persoonsgegevens (CBP) haar functie-uitoefening op een andere leest geschoeid. Zag het CBP het tot die tijd nog voornamelijk als zijn taak om overheden en bedrijven vooraf (op maat) te adviseren hoe de Wet bescherming persoonsgegevens (Wbp) moet worden toegepast en voorafgaand toezicht uit te oefenen, vanaf 2009 concentreert het CBP zich op handhaving van de wet 'achteraf'. Dat houdt concreet in dat het CBP zijn bevoegdheden met name inzet in gevallen waar sprake is van structurele overtreding van de Wbp die grote groepen mensen raakt.

Ook voor de komende periode heeft het CBP zijn pijlen weer gericht op de handhaving. Het CBP heeft in haar nieuwe Beleidsregels (geldend vanaf 31 januari 2011) namelijk aangegeven dat hij (wederom) prioriteit geeft aan zaken waarbij het een vermoeden heeft van ernstige, structurele overtredingen die veel mensen treffen en waarbij het CBP door de inzet van handhavingsinstrumenten effectief verschil kan maken.

Het CBP blijft dus op zoek gaan naar de ‘grote vissen’. Dat neemt echter niet weg dat het CBP haar ogen allerminst sluit voor Wbp-overtredingen die minder ernstig en structureel van aard zijn. Zeker niet als er sprake is van klachten van consumenten. Feit is namelijk dat er onder consumenten sprake is van een sterk toenemende bewustwording met betrekking tot hun privacyrechten. Er zijn dan ook steeds meer consumenten die klagen over de wijze waarop met hun persoonsgegevens door overheden en bedrijven wordt omgegaan. Ook als ‘kleinere ondernemer’ doet u er dan ook verstandig aan persoonsgegevens in lijn met de Wbp te verwerken.

Het CBP heeft de koe in 2011 overigens direct goed bij de hoorns gevat. Het CBP volgde al enige tijd het handelen van de deelgemeente Charlois in Rotterdam. De deelgemeente verwerkte namelijk structureel gegevens betreffende ras/etniciteit ten behoeve van een specifieke aanpak van risicojongeren uit minderheidsgroepen, terwijl de deelgemeente niet kon - en kan - aantonen dat deze aanpak geschikt is om de achterstand van de jongeren te verminderen of op te heffen. Zaken als ras en etniciteit betreft zogeheten 'gevoelige gegevens' en registratie daarvan is met strikte waarborgen omgeven. Slechts bij hoge uitzondering mogen dergelijke gegevens worden geregistreerd. De deelgemeente Charlois kon niet aantonen dat die uitzonderingen hier van toepassing waren. Het CBP heeft dan ook geconcludeerd dat de deelgemeente Charlois in strijd met de Wbp handelde. Hoewel de deelgemeente Charlois naar aanleiding van de bevindingen van het CBP een aantal wijzigingen in de registratie heeft doorgevoerd, bleef de verwerking van de gegevens betreffende ras/etniciteit in strijd met de Wbp. Het CBP heeft de deelgemeente dan ook op 4 februari jl. een last onder dwangsom opgelegd. De deelgemeente is daarbij gesommeerd om binnen drie dagen te stoppen met het verwerken van gegevens betreffende ras/etniciteit en de al geregistreerde gegevens binnen drie maanden uit het registratiesysteem te verwijderen. Als de deelgemeente Charlois deze maatregelen niet binnen de genoemde termijnen uitvoert, kost dat de deelgemeente Charlois een dwangsom van € 2.000,00 per dag tot een maximum van € 250.000,00 per maatregel.

Ondertussen heeft de deelgemeente Charlois deels gevolg gegeven aan de opgelegde last en de bekritiseerde verwerking gestaakt. De deelgemeente zal thans nog haar systemen binnen de door het CBP gestelde termijn moeten opschonen.

Het is goed om te zien dat het CBP haar wettelijke taak serieus neemt en daarbij burgers, bedrijven én overheden over één kam scheert.

Voor meer informatie over privacyregulering en de praktische invulling daarvan kunt u contact opnemen met mr. mr. Berry van Lammeren.