In het artikel van vorige week kwamen de plichten van de verantwoordelijke van een gegevensverwerking al aan bod. De wet bescherming persoonsgegevens (Wbp) bevat niet alleen verplichtingen, maar geeft ook rechten aan de betrokkene bij een gegevensverwerking (zie ook het artikel over de Wet bescherming persoonsgegevens). De betrokkene is diegene wiens persoonsgegevens worden verwerkt. Deze week zullen we stilstaan bij de rechten van de betrokkene.
De eerste deelvraag van de vraag welke rechten de betrokkene heeft, is wie als betrokkene valt aan te merken. De wet is hier heel duidelijk in: art. 1 Wbp zegt dat de betrokkene diegene is op wie een persoonsgegeven betrekking heeft. Dit is dus iedereen van wie er een persoonsgegeven verwerkt wordt. Deze persoon heeft verschillende rechten die hij kan gebruiken, bijvoorbeeld om te achterhalen welke gegevens de verantwoordelijke van hem verwerkt, en of deze over de juiste gegevens beschikt. Ook kan hij in sommige gevallen bezwaar maken tegen de verwerking van zijn gegevens.
Zoals in het artikel van vorige week al aan bod kwam, bestaat één van de verwerkingsgronden uit de wet uit de ondubbelzinnige toestemming van de betrokkene. Deze verwerkingsgrond zal niet vaak worden gebruikt, omdat hij aanzienlijke consequenties heeft voor de verantwoordelijke. Ten eerste moet de verantwoordelijke aan de betrokkene om ondubbelzinnige toestemming vragen. Hiermee is de kous echter nog niet af, want de betrokkene kan deze toestemming op alle momenten terugtrekken. Een gegevensverwerking die op deze grond is gebaseerd, geeft de verantwoordelijke om die reden veel onzekerheid.
Als de gegevens voor de verwerking door de betrokkene moeten worden verstrekt, heeft de verantwoordelijke tegenover deze betrokkene een informatieplicht. Hij moet dan in het kader van art. 33 Wbp zijn identiteit aan de betrokkene kenbaar maken. Daarnaast moet hij ook informatie verstrekken over het doel van de verwerking. Deze informatie moet voor het verkrijgen van de gegevens worden meegedeeld. Als de gegevens op een andere manier worden verkregen geldt deze informatieplicht eveneens, zo blijkt uit art. 34. Wel geldt dan een ander moment waarop de informatie verstrekt moet worden, namelijk zodra de gegevens worden vastgelegd en wanneer de gegevens voor een eerste keer aan een derde worden verstrekt. Er zijn twee uitzonderingen op de informatieplicht. De eerste is indien het verstrekken van de informatie een onevenredige inspanning met zich meebrengt. De tweede uitzondering is wanneer het verstrekken van de informatie onmogelijk is, in welk geval de verantwoordelijke wel de bron van de gegevens dient vast te leggen. De laatste uitzondering geldt als de verstrekking of vastlegging op basis van een wettelijke plicht plaatsvindt. De verantwoordelijke moet dan op verzoek van de betrokkene aangeven op basis van welke wettelijke verplichting de verwerking plaatsvindt.
De echte rechten van de betrokkene beginnen bij art. 35 Wbp. Dit artikel bepaalt dat de betrokkene zich vrijelijk en met redelijke tussenpozen tot de verantwoordelijke mag wenden om te vernemen of er hem betreffende persoonsgegevens worden verwerkt. De verantwoordelijke dient hierop binnen vier weken schriftelijk te reageren. Als de verantwoordelijke gegevens van de desbetreffende betrokkene verwerkt, dient in dit antwoord in begrijpelijke vorm een volledig overzicht van de gegevens te zijn opgenomen. Daarnaast moeten een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers van de gegevens worden vermeld. Als laatste dient ook de beschikbare informatie over de herkomst van de gegevens verstrekt te worden. Als een betrokkene een dergelijk verzoek heeft gedaan, kan hij de verantwoordelijke verzoeken de gegevens te verbeteren, aan te vullen, te verwijderen, of af te schermen indien deze feitelijk onjuist zijn, voor het doel of de doeleinden van de verwerking onvolledig of niet ter zake dienend zijn, of anderszins in strijd met een wettelijk voorschrift worden verwerkt. Indien de verantwoordelijke de gegevens aan een derde heeft verstrekt, dient hij hem in het kader van art. 38 zo spoedig mogelijk van de wijziging op de hoogte te stellen. Indien de betrokkene dit wenst, verstrekt de verantwoordelijke ook van de mededeling aan derden een afschrift aan de betrokkene.
Als de verwerkingsgrond is gebaseerd op het vijfde of zesde doel uit art. 8 Wbp (reeds aangehaald in het artikel van vorige week), kan de betrokkene verzet aantekenen tegen de verwerking indien de verwerking op basis van bijzondere omstandigheden onrechtmatig is. De vijfde grond is alleen van toepassing op bestuursorganen en maakt een verwerking mogelijk voor zover dit nodig is voor de uitoefening van de publiekrechtelijke taak van dit bestuursorgaan. De zesde en laatste grond geldt voor alle organisaties. Hierbij moet in een belangenafweging worden bepaald of het gerechtvaardigde belang van de verantwoordelijke prevaleert ten opzichte van de belangen van de betrokkene, in het bijzonder diens recht op bescherming van zijn persoonlijke levenssfeer. De verantwoordelijke dient binnen vier weken op een dergelijk verzet te reageren. Voor de beoordeling van het verzet mogen redelijke kosten in rekening worden gebracht. Die kosten moeten echter worden terugbetaald als het verzoek wordt gehonoreerd.
Resumerend: Een betrokkene kan zich op verschillende rechten beroepen indien zijn persoonsgegevens worden verwerkt. Hieronder vallen een inzagerecht, een recht op wijziging en een recht op verwijdering. Ook heeft de betrokkene in geval van een verwerking op basis van enkele doelen uit art. 8 een verzetsrecht. Een ondubbelzinnige toestemming kan altijd worden ingetrokken en geeft de verantwoordelijke daarom grotere onzekerheid en meer werk. Wilt u uw rechten gebruiken of bent u als verantwoordelijke betrokken bij een gegevensverwerking, dan kunt u altijd meer informatie over de Wbp verkrijgen bij mr. Sophia Sipkens.
Lees ook de andere artikelen van mr. Sophia Sipkens.