Hoofdstuk 4. Melding en voorafgaand onderzoek

Paragraaf 1. De melding

Artikel 27

1. Een geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden bestemd is, wordt alvorens met de verwerking wordt aangevangen gemeld bij het College of de functionaris.

2. Een niet geautomatiseerde verwerking van persoonsgegevens die voor de verwezenlijking van een doeleinde of van verscheidene samenhangende doeleinden bestemd is, wordt gemeld indien deze is onderworpen aan voorafgaand onderzoek.

Artikel 28

1. De melding behelst een opgave van:

a. de naam en het adres van de verantwoordelijke;

b. het doel of de doeleinden van de verwerking;

c. een beschrijving van de categorieлn van betrokkenen en van de gegevens of categorieлn van gegevens die daarop betrekking hebben;

d. de ontvangers of categorieлn van ontvangers aan wie de gegevens kunnen worden verstrekt;

e. de voorgenomen doorgiften van gegevens naar landen buiten de Europese Unie;

f. een algemene beschrijving om een voorlopig oordeel te kunnen geven over de gepastheid van de voorgenomen maatregelen om, ter toepassing van artikel 13 en 14, de beveiliging van de verwerking te waarborgen.

2. De melding behelst het doel of de doeleinden waarvoor de gegevens of de categorieлn van gegevens zijn of worden verzameld.

3. Een wijziging in de naam of het adres van de verantwoordelijke wordt binnen een week gemeld. Wijzigingen in de opgave die betrekking hebben op de onderdelen b tot en met f van het eerste lid, worden telkens binnen een jaar na de voorafgaande melding gemeld voor zover zij blijken van meer dan incidentele aard te zijn.

4. Een verwerking die afwijkt van hetgeen overeenkomstig het eerste lid, onder b tot en met f, is gemeld, wordt vastgelegd en bewaard gedurende ten minste drie jaren.

5. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld over de wijze waarop de melding dient te geschieden.

Artikel 29

1. Bij algemene maatregel van bestuur kan worden bepaald dat daarbij aan te geven verwerkingen van gegevens waarbij de inbreuk op de fundamentele rechten en vrijheden van de betrokkene onwaarschijnlijk is, zijn vrijgesteld van de melding, bedoeld in artikel 27.

2. Daarbij worden vastgesteld:

a. de doeleinden van de verwerking,

b. de verwerkte gegevens of categorieлn van verwerkte gegevens,

c. de categorieлn van betrokkenen,

d. de ontvangers of categorieлn ontvangers aan wie de gegevens worden verstrekt, en

e. de periode gedurende welke de gegevens worden bewaard.

3. Bij algemene maatregel van bestuur kan worden bepaald, indien dit noodzakelijk is met het oog op de opsporing van strafbare feiten in een bepaald geval, dat daarbij aan te geven verwerkingen van gegevens door verantwoordelijken die krachtens de wet met opsporing zijn belast, worden vrijgesteld van de melding. Daarbij kunnen compenserende waarborgen ter bescherming van persoonsgegevens worden vastgesteld. De verwerkte gegevens kunnen slechts worden gebruikt voor de doeleinden die bij die algemene maatregel van bestuur uitdrukkelijk zijn vermeld.

4. De verplichting tot melding is niet van toepassing op openbare registers die bij de wet zijn ingesteld alsmede op verstrekkingen aan een bestuursorgaan ingevolge een wettelijke verplichting.

Artikel 30

1. Zowel het College als de functionaris houden een register bij van de bij hen aangemelde gegevensverwerkingen. Het register bevat ten minste de inlichtingen die zijn opgegeven krachtens artikel 28, eerste lid, onder a tot en met e.

2. Het register kan door een ieder kosteloos worden geraadpleegd.

3. De verantwoordelijke verstrekt een ieder die daarom verzoekt de inlichtingen als bedoeld in artikel 28, eerste lid, onder a tot en met e, omtrent de van de aanmelding vrijgestelde gegevensverwerkingen.

4. Het derde lid is niet van toepassing op:

a. een gegevensverwerking die is vrijgesteld krachtens artikel 29, derde lid;

b. openbare registers die bij de wet zijn ingesteld.

Paragraaf 2. Voorafgaand onderzoek

Artikel 31

1. Het College stelt voorafgaand aan een verwerking een onderzoek in indien de verantwoordelijke:

a. een nummer ter identificatie van personen voornemens is te verwerken voor een ander doeleinde dan waarvoor het nummer specifiek bestemd is teneinde gegevens in verband te kunnen brengen met gegevens die worden verwerkt door een andere verantwoordelijke, tenzij het gebruik van het nummer geschiedt voor de gevallen als omschreven in artikel 24;

b. voornemens is gegevens vast te leggen op grond van eigen waarneming zonder de betrokkene daarvan op de hoogte te stellen, of

c. anders dan krachtens een vergunning op grond van de Wet particuliere beveiligingsorganisaties en recherchebureaus voornemens is strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag te verwerken ten behoeve van derden.

2. Het eerste lid, onder b, is niet van toepassing op openbare registers die bij de wet zijn ingesteld.

3. Bij wet of algemene maatregel van bestuur kunnen andere gegevensverwerkingen die een bijzonder risico inhouden voor de persoonlijke rechten en vrijheden van de betrokkene worden aangewezen waarop het eerste lid van toepassing is. Het College geeft in zijn jaarverslag aan in hoeverre naar zijn oordeel een dergelijke aanwijzing wenselijk is.

4. Het College meldt een verwerking als bedoeld in het eerste lid, onder c, bij de Europese Commissie.

Artikel 32

1. Een gegevensverwerking waarop artikel 31, eerste lid, van toepassing is, wordt als zodanig door de verantwoordelijke bij het College gemeld.

2. De melding van een zodanige gegevensverwerking verplicht de verantwoordelijke de verwerking die hij voornemens is te verrichten, op te schorten totdat het onderzoek van het College is afgerond dan wel hij een bericht heeft ontvangen dat niet tot nader onderzoek wordt overgegaan.

3. In geval van een melding van een gegevensverwerking waarop artikel 31, eerste lid, van toepassing is, besluit het College schriftelijk binnen vier weken na de melding of het tot nader onderzoek overgaat.

4. In het besluit tot nader onderzoek over te gaan geeft het College aan binnen welke termijn het voornemens is dit onderzoek te verrichten. Deze termijn bedraagt niet langer dan twintig weken.

5. Het nader onderzoek, bedoeld in het vierde lid, leidt tot een verklaring omtrent de rechtmatigheid van de gegevensverwerking.

6. De verklaring van het College geldt als een besluit in de zin van de Algemene wet bestuursrecht. Op de voorbereiding ervan is afdeling 3.4 van die wet van toepassing.