Op 3 februari 2003 besloot de Nationale ombudsman een onderzoek uit eigen beweging in te stellen naar een gedraging van de Informatie Beheer Groep (IB-Groep) te Groningen. De te onderzoeken gedraging werd als volgt geformuleerd:
De wijze waarop de IB-Groep met een verwijzing naar de Wet bescherming persoonsgegevens beantwoording van brieven aan een ander dan aan de briefschrijver zelf doet plaatsvinden.
Beoordeling
I. Rapport
1. Op 28 oktober 2002 ontving de Nationale ombudsman een verzoekschrift van de heer S. te A. Verzoeker klaagde erover dat de IB-Groep de betaling van het lesgeld 2000/2001 voor zijn dochter S. ondanks een uitdrukkelijk hiertoe verstrekte machtiging niet via de automatische incasso had laten lopen en voorts verzuimd had mevrouw Z. te A.
- ex-echtgenote van de heer S. en moeder van dochter S. - met betrekking tot deze betaling acceptgirokaarten toe te sturen, als gevolg waarvan mevrouw Z. was geconfronteerd met incassokosten door het door de IB-Groep inschakelen van een deurwaarder. Het verzoekschrift werd op 28 november 2002 overgedragen aan de IB-Groep ter behandeling als klacht overeenkomstig hoofdstuk 9 van de Algemene wet bestuursrecht (Awb). De IB-Groep nam het verzoekschrift als klacht in behandeling en handelde de klacht bij brief van 19 december 2002 af.
2. Uit de bijlagen bij het op 28 oktober 2002 ontvangen verzoekschrift was de Nationale ombudsman gebleken dat de heer S. de kwestie mede namens mevrouw Z. bij brieven van 13 september 2002, 3 oktober 2002 en 17 oktober 2002 onder de aandacht van de IB-Groep had gebracht. De IB-Groep had op die brieven gereageerd bij brieven van 25 september 2002, 8 oktober 2002 en 22 oktober 2002. Onder verwijzing naar de betreffende brief van de heer S. had de IB-Groep haar reacties op die brieven geadresseerd aan mevrouw Z. en in alle drie de brieven de volgende zin opgenomen: “In het kader van de Wet Bescherming Persoonsgegevens sturen wij onze reactie op deze brief rechtstreeks aan u.” De heer S. zelf werd door de IB-Groep niet in kennis gesteld van deze wijze van beantwoording van zijn brieven.
3. In het kader van het onderzoek door de Nationale ombudsman gaf de IB-Groep in reactie op de onderzochte gedraging aan dat de heer S. niet hoofdelijk aansprakelijk was voor de onderhavige lesgeldvordering, maar dat mevrouw Z. dat was. Hoewel volgens de IB-Groep uit de brieven van de heer S. bleek dat hij op de hoogte was van de gehele situatie en hij had aangegeven dat hij mede namens mevrouw Z. schreef, was nergens bij de IB-Groep bekend dat mevrouw Z. hem had gemachtigd om de kwestie met de IB-Groep te regelen. Aangezien derhalve sprake was van informatieverstrekking aan een derde, had de IB-Groep met een beroep op de Wet bescherming persoonsgegevens (Wbp; zie Achtergrond, onder 1.) besloten het antwoord op de brieven van de heer S. rechtstreeks aan mevrouw Z. te sturen. De IB-Groep erkende in dit geval niet juist te hebben gehandeld. Volgens de IB-Groep had ofwel een machtiging opgevraagd moeten worden bij de heer S. ofwel had hij een brief moeten krijgen waarin hem werd meegedeeld dat de verzochte informatie vanwege het ontbreken van een machtiging rechtstreeks ter attentie van mevrouw Z. zou worden gestuurd. Omdat de binnen de IB-Groep geldende instructie betreffende de Wbp geen duidelijke uitleg bevatte over hoe te handelen bij schriftelijke vragen van derden en omdat uit de onderhavige zaak was gebleken dat niet altijd volgens de instructie werd gehandeld, liet de IB-Groep weten dat dit als een aandachtspunt binnen de organisatie van de IB-Groep was opgepakt. De IB-Groep gaf daarbij aan dat de kwestie was doorgesproken met de decentrale privacy officer, die richting de organisatie opnieuw aandacht zou vragen voor dit onderwerp door middel van een aanpassing van de bestaande instructie en het nadien starten van instructierondes. Bij brief van 30 juni 2003 zond de IB-Groep de Nationale ombudsman een afschrift toe van de syllabus Wbp zoals die thans binnen de IB-Groep wordt gehanteerd en van de casus die binnen de IB-Groep bij de instructierondes zijn gebruikt.
II. Beoordeling
1. De IB-Groep kan worden gevolgd in haar conclusie dat zij in dit geval niet juist heeft gehandeld door de heer S. op geen enkele wijze te informeren over de wijze van beantwoording van zijn mede namens mevrouw Z. geschreven brieven. Daarbij wordt overwogen dat een ieder zich ingevolge artikel 2:1, eerste lid, van de Algemene wet bestuursrecht (zie achtergrond, onder 2.), voor de behartiging van zijn belangen in het verkeer met bestuursorganen kan laten bijstaan of door een gemachtigde kan laten vertegenwoordigen. Aangezien een bestuursorgaan op grond van het tweede lid van dit artikel van een gemachtigde een schriftelijke machtiging kan verlangen, ligt het voor de hand dat een bestuursorgaan bij eventuele twijfel met betrekking tot de vraag of de briefschrijver wel als gemachtigde kan of mag optreden, die twijfel wegneemt door het opvragen van een schriftelijke machtiging. Voor zover de heer S. zijn brief dus namens mevrouw Z. schreef, had de IB-Groep hem om een machtiging kunnen verzoeken.
2. Voor zover de heer S. zich met zijn brieven namens zichzelf tot de IB-Groep wendde, kan worden vastgesteld dat sprake was van een verzoek door een derde aan de IB-Groep om persoonsgegevens te verwerken in de zin van de Wbp. Ook in een dergelijk geval ligt het voor de hand dat de derde er op grond van het zorgvuldigheidsbeginsel over wordt geïnformeerd of zijn verzoek kan worden gehonoreerd. Ook in dit geval kan het niet zo zijn dat alleen met de IB-Groep klant wordt gecorrespondeerd en de derde geen enkele reactie op zijn brief krijgt. Overigens sluit de handelwijze van de IB-Groep om een betrokkene in de zin van de Wbp (de IB-Groep klant) van een voorgenomen derdenverstrekking door de IB-Groep op de hoogte te stellen, aan bij de Wbp.
Gezien het voorgaande is de onderzochte gedraging niet behoorlijk.
Conclusie
De onderzochte gedraging van de Informatie Beheer Groep te Groningen is niet behoorlijk.
Met instemming heeft de Nationale ombudsman kennis genomen van de mede naar aanleiding van het onderhavige onderzoek aangepaste Wbp-instructie binnen de IB-Groep.
Onderzoek
Op 28 oktober 2002 ontving de Nationale ombudsman een verzoekschrift van de heer S. te A. met een klacht over een gedraging van de IB-Groep. Bij brief van 28 november 2002 droeg de Nationale ombudsman het verzoekschrift over aan de IB-Groep ter behandeling als klacht overeenkomstig hoofdstuk 9 van de Algemene wet bestuursrecht. De IB-Groep handelde de klacht bij brief van 19 december 2002 af.
Door de zich bij het verzoekschrift bevindende bijlagen had de Nationale ombudsman kennis genomen van de wijze waarop de IB-Groep een drietal brieven van de heer S. had beantwoord. De wijze van beantwoording van die brieven was voor de Nationale ombudsman reden om de IB-Groep bij brief van 3 februari 2003 te laten weten dat hij had besloten om een onderzoek uit eigen beweging in te stellen naar de hiervoor weergegeven GEDRAGING. De IB-Groep werd in de gelegenheid gesteld op de geformuleerde gedraging te reageren. Tevens werd de IB-Groep een aantal vragen gesteld.
iNFORMATIEOVERZICHT
De bevindingen van het onderzoek zijn gebaseerd op de volgende informatie:
De brieven van de heer S. aan de IB-Groep van 13 september 2002, 3 oktober 2002 en 17 oktober 2002 en de schriftelijke reacties daarop van de IB-Groep van 25 september 2002, 8 oktober 2002 en 22 oktober 2002;
De reactie van de IB-Groep op de onderzochte gedraging van 24 februari 2003;
De nadere reactie van de IB-Groep op de onderzochte gedraging van 15 april 2003;
De op 30 juni 2003 door de IB-Groep toegezonden syllabus betreffende de instructie Wet bescherming persoonsgegevens en de casus die ten behoeve van deze instructie door de IB-Groep worden gebruikt.
Bevindingen
zie onder Beoordeling
Achtergrond
1. Wet bescherming persoonsgegevens (Wet van 6 juli 2000, Stb. 203)
HOOFDSTUK 1. ALGEMENE BEPALINGEN
Artikel 1
“In deze wet en de daarop berustende bepalingen wordt verstaan onder:
a. persoonsgegeven: elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon;
b. verwerking van persoonsgegevens: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens;
c. (…);
d. verantwoordelijke: de natuurlijke persoon, rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of te zamen met anderen, het doel van en de middelen voor de bewerking van persoonsgegevens vaststelt;
e. bewerker: degene die ten behoeve van de verantwoordelijke persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen;
f. betrokkene: degene op wie een persoonsgegeven betrekking heeft;
g. derde: ieder, niet zijnde de betrokkene, de verantwoordelijke, de bewerker, of enig persoon die onder rechtstreeks gezag van de verantwoordelijke of de bewerker gemachtigd is om persoonsgegevens te bewerken;
(…)
n. verstrekken van persoonsgegevens: het bekend maken of ter beschikking stellen van persoonsgegevens;
o. verzamelen van persoonsgegevens: het verkrijgen van persoonsgegevens.”
HOOFDSTUK 2. VOORWAARDEN VOOR DE RECHTMATIGHEID VAN DE VERWERKING VAN PERSOONSGEGEVENS
Paragraaf 1. De verwerking van persoonsgegevens in het algemeen
Artikel 8, aanhef en onder a
“Persoonsgegevens mogen slechts worden verwerkt indien:
a. de betrokkene voor de verwerking zijn ondubbelzinnige toestemming heeft verleend;”
HOOFDSTUK 5. INFORMATIEVERSTREKKING AAN DE BETROKKENE
Artikel 33
“1. Indien persoonsgegevens worden verkregen bij de betrokkene, deelt de verantwoordelijke vóór het moment van de verkrijging de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij de betrokkene daarvan reeds op de hoogte is.
2. De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking waarvoor de gegevens zijn bestemd, mede.
3. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.”
Artikel 34
“1. Indien de persoonsgegevens worden verkregen op een andere manier dan bedoeld in artikel 33, deelt de verantwoordelijke de betrokkene de informatie mede, bedoeld in het tweede en derde lid, tenzij deze reeds daarvan op de hoogte is:
a. op het moment van vastlegging van hem betreffende gegevens, of
b. wanneer de gegevens bestemd zijn om te worden verstrekt aan een derde, uiterlijk op het moment van de eerste verstrekking.
2. De verantwoordelijke deelt de betrokkene zijn identiteit en de doeleinden van de verwerking mede.
3. De verantwoordelijke verstrekt nadere informatie voor zover dat gelet op de aard van de gegevens, de omstandigheden waaronder zij worden verkregen of het gebruik dat ervan wordt gemaakt, nodig is om tegenover de betrokkene een behoorlijke en zorgvuldige verwerking te waarborgen.
4. Het eerste lid is niet van toepassing indien mededeling van de informatie aan de betrokkene onmogelijk blijkt of een onevenredige inspanning kost. In dat geval legt de verantwoordelijke de herkomst van de gegevens vast.
Het eerste lid is evenmin van toepassing indien de vastlegging of de verstrekking bij of krachtens de wet is voorgeschreven. In dat geval dient de verantwoordelijke de betrokkene op diens verzoek te informeren over het wettelijk voorschrift dat tot de vastlegging of verstrekking van de hem betreffende gegevens heeft geleid.”
2. Algemene wet bestuursrecht
Artikel 2:1
“1. Een ieder kan zich ter behandeling van zijn belangen in het verkeer met bestuursorganen laten bijstaan of door een gemachtigde laten vertegenwoordigen.
2. Het bestuursorgaan kan van een gemachtigde een schriftelijke machtiging verlangen.”