1 De onderhavige aanwijzingen hebben betrekking op geautomatiseerde systemen waarin persoonsgegevens zijn opgenomen. Daarvan gaat deze aanwijzing dan ook uit. Om redenen van duidelijkheid, met name omdat verkorte aanhalingen in het vervolg dan begrijpelijker zijn, is echter de term "registratie" gebruikt.

Van een geautomatiseerde registratie is sprake wanneer een geordende verzameling van gegevens langs geautomatiseerde weg toegankelijk is gemaakt. Dit houdt in dat de gegevens op zodanige wijze zijn vastgelegd, dat zij met behulp van computers kunnen worden verwerkt. De aard van het medium is hierbij op zichzelf niet van belang, evenmin als de daarmee samenhangende vraag of de gegevens zijn opgeslagen in een vorm die directe raadpleging mogelijk maakt. Wel lijkt een zekere mate van bestendigheid vereist, wil men van een registratie kunnen spreken.

In de regel zal de vraag of men met een geautomatiseerde registratie te doen heeft geen moeilijkheden opleveren. Toch kunnen zich twijfelgevallen voordoen, zoals wanneer een registratie slechts gedeeltelijk is geautomatiseerd.

Allereerst is dit in die zin denkbaar dat de toegang tot de gegevens slechts gedeeltelijk langs geautomatiseerde weg verloopt. Van belang is dan de mate waarin automatisering een rol speelt. In het algemeen valt hier moeilijk een grens te trekken. Men zal echter niet te snel mogen besluiten dat deze aanwijzingen niet van toepassing zijn. Daarnaast kan zich het geval voordoen dat een gedeelte van een gegevensverzameling is geautomatiseerd en een ander gedeelte niet. In dat geval verdient het aanbeveling zoveel mogelijk de gehele registratie als geautomatiseerd te beschouwen en wat de aanwijzingen betreft te behandelen. In geval van twijfel of en in hoeverre van een geautomatiseerde registratie sprake is, dient een oplossing te worden gekozen die aan de bescherming van de persoonlijke levenssfeer het meeste recht doet.

Tenslotte kan het in bepaalde gevallen wenselijk zijn in een regeling voor een geautomatiseerde registratie bepaalde niet-geautomatiseerde gegevensverzamelingen te betrekken, bijvoorbeeld omdat deze bij de werking van de registratie een bepaalde rol spelen. In deze aanwijzing gaat het om registraties waarin persoonsgegevens zijn opgenomen. Ook de term "persoonsgegevens" heeft hier een ruime betekenis. Bedoeld zijn alle gegevens die op individuele personen herleidbaar zijn. Hieronder vallen niet alleen personalia in de gebruikelijke betekenis of andere gegevens die kunnen dienen om iemand te identificeren, maar alle gegevens die op een identificeerbare persoon rechtstreeks betrekking hebben. Dit kunnen dus bijvoorbeeld gegevens zijn over de pensioenstatus van een bepaalde ambtenaar of uitkeringsgegevens voor de sociale verzekeringen.

Er zij op gewezen dat het gebruik van een voor iedere persoon verschillende code of administratienummer niet zonder meer ten gevolge heeft dat de daarbij opgeslagen gegevens niet op die personen herleidbaar zijn. Dit zou alleen het geval zijn als iedere mogelijkheid ontbreekt om de gegevens via die code met de betrokken persoon in verband te brengen. Hierbij valt te denken aan gegevens die in gedeïnvidualiseerde of geaggregeerde vorm zijn opgeslagen. Een eerste vereiste is nu dat voor de werking van iedere in deze aanwijzing bedoelde registratie een regeling wordt vastgesteld. Het gaat daarbij niet zozeer om technische aspecten van die werking als wel om de vraag welke gegevens in de registratie worden opgenomen en wat daar verder mee gebeurt. Over deze vraag dient duidelijkheid te bestaan alvorens de registratie in werking treedt. Daarom is de vaststelling van een regeling daartoe een voorwaarde.

Het spreekt vanzelf dat bij iedere registratie weer andere punten regeling zullen behoeven. De regeling dient immers op de bijzonderheden van ieder geval te zijn toegesneden. De aanwijzingen bieden daartoe de nodige ruimte. Het is uitdrukkelijk de bedoeling dat zij in de concrete situatie van elke registratie worden doordacht en uitgewerkt. Zo zal het ook mogelijk zijn om ook voor op de openbaarheid gerichte registraties een passend regiem vast te stellen. In iedere regeling zal echter een aantal onderwerpen in elk geval aan de orde moeten komen. Deze onderwerpen worden vooral in paragraaf B behandeld. Paragraaf A bevat verder een aantal algemene uitgangspunten, terwijl paragraaf C nader op de organisatie en beveiliging van registraties ingaat. Paragraaf D bevat tenslotte enkele nadere bepalingen over de toepasselijkheid van de aanwijzingen. Wat de regelingen betreft geldt dat het belang daarvan in de eerste plaats ligt in de omstandigheid dat de opstellers worden genoodzaakt zich van de werking van een registratie rekenschap te geven.

Reeds hierin schuilt een zekere waarborg voor de bescherming van de persoonlijke levenssfeer. De noodzaak om de voorwaarden waaronder persoonsgegevens in een registratie worden opgenomen in een regeling tot uitdrukking te brengen, noopt immers tot bezinning over de vraag of die bescherming wel in voldoende mate tot zijn recht is gekomen en of de registratie in dit opzicht ook de toets der kritiek zal kunnen doorstaan.

Daarnaast is een regeling waarin de hoofdlijnen van de werking van een registratie zijn vastgelegd van betekenis uit een oogpunt van rechtszekerheid en maakt zij inzicht in die werking mogelijk voor degenen die zich daaromtrent op de hoogte willen stellen. Een en ander is uiteraard in het bijzonder van belang voor personen over wie gegevens in de registratie zijn opgenomen. Aanwijzing 2 ziet in dit verband op de wenselijkheid er voor te zorgen dat de verschillende regelingen voldoende toegankelijk zijn.

Over de aard van de regelingen en de organen die hen moeten vaststellen spreekt de onderhavige aanwijzing zich niet uit. Dit is immers een zaak die in belangrijke mate afhankelijk is van de mogelijkheden in ieder afzonderlijk geval. Welke juridische vorm geëigend is, dient telkens te worden onderzocht aan de hand van mogelijk reeds bestaande wettelijke regelingen, waarbij kan worden aangesloten. Daarnaast zullen de bestaande organisatie- en bevoegdhedenstructuur van belang zijn alsmede de aard van de registratie waarvan regeling wordt beoogd. Het is denkbaar dat een regeling de vorm krijgt van een algemene maatregel van bestuur al dan niet steunend op een wet in formele zin.

Men kan echter ook denken aan een ministeriële beschikking of eventueel zelfs aan een besluit van het hoofd van een zelfstandige dienst of instelling. Wanneer evenwel verschillende mogelijkheden in aanmerking komen, ligt het gezien het belang van de onderhavige materie voor de hand dat men kiest voor de vorm die de beste waarborgen geeft voor een deugdelijke regeling van de bescherming van de persoonlijke levenssfeer in het betreffende geval.

De onderhavige aanwijzing legt de verantwoordelijkheid voor het feit dat tijdig een regeling wordt getroffen bij "het bevoegd gezag". Deze term moet in iedere concrete situatie betekenis krijgen. Bedoeld is degene die de uiteindelijke zeggenschap heeft over de organisatie waaronder de registratie ressorteert. In de regel zal dit de verantwoordelijke bewindsman zijn.

Tenslotte brengt deze aanwijzing met zich mee dat in de regeling voor iedere registratie een houder wordt aangewezen. Zijn rol is de belangrijkste die in verband met de werking van een registratie valt te vervullen. De houder heeft de (meer rechtstreekse) zeggenschap over de werking van de registratie.

Daarom wordt bij hem de verantwoordelijkheid voor het goede functioneren van de registratie gelegd. Aanwijzing 8 maakt hem bovendien verantwoordelijk voor de aanwezigheid van voldoende voorzieningen op het gebied van de organisatie en beveiliging. Aan te nemen valt dat in de regel het hoofd van de betrokken directie, dienst of instelling als houder zal worden aangewezen. Ondergeschikten of derden zullen dan de werkzaamheden ten behoeve van de registratie uitvoeren.

Zoals gezegd gaat het bij de "werking" van een registratie niet alleen om technische aspecten maar ook over de vraag welke gegevens in die registratie worden verwerkt. Zeggenschap over de werking van een registratie brengt met zich mee beslissingsbevoegdheid over opneming, verstrekking, verwijdering e.d. van gegevens. In de regel zal de registratie dan ook dienstbaar zijn aan andere activiteiten van de houder. Behalve zeggenschap over de werking van de registratie zal de houder zeggenschap hebben over de gegevens zelf.

Het is echter denkbaar dat beide vormen van zeggenschap niet samenvallen.

Degene die de registratie heeft opgezet en de werking daarvan heeft bepaald kan bijvoorbeeld gebruik maken van gegevens, die van anderen afkomstig zijn en aan die anderen toebehoren. In dat geval kan het eenvoudig zijn de eerste als houder te beschouwen en de anderen als deelnemers met bepaalde rechten en verplichtingen. Zo zou het voor de hand liggen als zij in het kader van de correctieprocedure (zie aanwijzing 14) een taak te vervullen kregen.

2 Het is van belang dat een ieder die zich omtrent de werking van een geautomatiseerde registratie op de hoogte wil stellen, de daarvoor vastgestelde regeling kan raadplegen. Dit geldt vooral voor degene over wie gegevens in die registratie zijn opgenomen. Een regeling dient immers ook aan te geven op welke wijze kennisneming en verbetering van geregistreerde gegevens mogelijk zijn ( aanwijzingen 13 en 14). Het is daarom niet alleen nodig dat de regelingen worden gepubliceerd, maar ook dat zij voor iedereen eenvoudig bereikbaar zijn.

Voorlopig kan dit het beste worden gerealiseerd langs de wegen die hier zijn aangewezen. Op zichzelf zou volstaan kunnen zijn met een mogelijkheid tot inzage bij de houder van de registratie en de voorlichtingsdienst van het betrokken ministerie. Dit laat onverlet dat eventueel afschriften van regelingen op verzoek verkrijgbaar zijn. Daarnaast is evenwel gekozen voor een centraal punt bij het Ministerie van Justitie om inzage van een aantal regelingen tegelijk mogelijk te maken en vooral de mogelijkheid te scheppen dat personen die willen nagaan in welke overheidsregistraties gegevens over hen kunnen zijn opgenomen, hiernaar een onderzoek kunnen instellen.

Mede met het oog daarop heeft de Staatscommissie-Koopmans de instelling verdedigd van een openbaar register voor de inschrijving van alle registratiesystemen. Daarvan kan thans geen sprake zijn. De hier getroffen voorlopige voorziening is meer bescheiden van opzet. Om de centrale raadpleging toch zo eenvoudig mogelijk te maken, zal een lijst van gedeponeerde regelingen worden bijgehouden. Als daarin over elke registratie enkele essentiële gegevens worden vermeld - zoals naam en doel van de registratie, naam en adres van de houder, en categorie van personen over wie gegevens worden opgenomen - dan kan deze lijst als een soort ingangsregister op de regelingen dienst doen. Overigens kan een zodanige centrale verzameling ook van nut zijn bij de voorbereiding van wettelijke maatregelen op dit gebied in breder verband.

3 Deze aanwijzing bevat enkele grondregels waaraan de werking van een registratie uit een oogpunt van bescherming van de persoonlijke levenssfeer dient te voldoen. Aldus geven zij ook het kader aan waarmee bij de opstelling van de verschillende regelingen rekening dient te worden gehouden. De aanwijzingen 9, 10 en 12 in de volgende paragraaf hangen met deze aanwijzing samen en zijn als uitwerkingen daarvan te beschouwen.

De doelstelling van een registratie is in dit verband van centrale betekenis. De achtergrond daarvan is de gedachtengang dat het vastleggen van persoonlijke gegevens in een registratie, waardoor bepaalde risico's voor de bescherming van de persoonlijke levenssfeer in het leven worden geroepen, alleen toelaatbaar is indien en voor zover dit met het oog op de doelstelling van die registratie kan worden gerechtvaardigd. Uit deze gedachtengang kunnen twee soorten beperkingen worden afgeleid, te weten op de inhoud van de registratie en op het gebruik daarvan.

De beperking dat een registratie uitsluitend gegevens mag bevatten die voor de doelstelling van de registratie noodzakelijk zijn, heeft een tweeledig karakter. In de eerste plaats mogen alleen de noodzakelijke gegevens worden opgenomen. Niet alle relevante gegevens zijn zonder meer noodzakelijk. Het gaat om gegevens waarvan de opneming door de doelstelling wordt vereist. Daarnaast dienen gegevens te worden verwijderd indien zij hun belang voor de doelstelling van de registratie hebben verloren.

Ook het gebruik van opgenomen gegevens dient echter aan de doelstelling van de registratie te worden gerelateerd. In dit verband wordt wel verdedigd dat men gegevens die voor een bepaald doel zijn opgenomen nooit voor een ander doel zou mogen gebruiken. Het is de vraag of dit in het algemeen in de praktijk niet tot onaanvaardbare resultaten zou leiden. Deze aanwijzing is dan ook wat dit betreft wat voorzichtiger geformuleerd. Niet het doel waarvoor gegevens worden opgenomen is bepalend, maar de doelstelling van de registratie. Met die doelstelling mag het gebruik van de gegevens niet onverenigbaar zijn. Niet onverenigbaar met de doelstelling van de registratie zal in de regel bijvoorbeeld zijn, dat daaruit voor statistische doeleinden gegevens worden verstrekt aan het Centraal Bureau voor de Statistiek.

Het is duidelijk dat de uitwerking van deze gedachte nog de nodige moeilijkheden kan opleveren. In dit stadium is het echter voldoende dat men zich bij de opstelling van een regeling wat de op te nemen gegevens betreft houdt aan een nauw verband met de doelstelling van de registratie en dat men die doelstelling ook bij de regeling van de verstrekking van gegevens nauwlettend in het oog houdt.

4 Deze aanwijzing is erop gericht te verzekeren dat de personen over wie gegevens in een registratie voorkomen, kunnen gebruik maken van het zgn. "recht op inzage". Van werkelijke inzage kan bij computerregistraties moeilijk sprake zijn. Wel kan de betrokkene op andere wijze de gelegenheid worden geboden kennis te nemen van de gegevens die over hem zijn opgenomen. Daartoe zal men dan de nodige voorzieningen moeten treffen.

Deze voorzieningen zullen van technische en organisatorische aard zijn. Systeemtechnisch zal de mogelijkheid moeten bestaan om aan individuele verzoeken om kennisneming te voldoen. Verder zal men zich bij iedere registratie moeten afvragen welke uitwerking het meest in aanmerking komt. Ingevolge aanwijzing 13 zal daarop in de betreffende regeling nader moeten worden ingegaan. Deze opzet laat aan de bij iedere registratie bestaande mogelijkheden en behoeften de nodige ruimte. Voor een nadere uiteenzetting zij verwezen naar de toelichting bij aanwijzing 13.

Een duidelijke beperking geldt evenwel met betrekking tot de kennisneming van gegevens bedoeld in het tweede lid van de aanwijzing. Een voorwaarde is dat het gaat om gegevens waarvan rechtstreekse kennisneming voor de betrokkene schadelijk kan zijn. De Staatscommissie-Koopmans (interim-rapport, blz. 12) heeft in dit verband gewezen op de mogelijkheid dat de kennisneming verloopt via een tussenpersoon, die hier als gemachtigde wordt aangeduid. In zulke gevallen zal de regeling moeten aangeven welke tussenpersonen in aanmerking komen.

Een uitzondering op de onderhavige aanwijzing is tenslotte nog in aanwijzing 7 neergelegd. Kennisneming zal niet kunnen plaatshebben voor zover de daar genoemde belangen zich daartegen verzetten. In deze uitzondering is ook in het interim-rapport van de Staatscommissie-Koopmans voorzien.

5 Op de mogelijkheid van kennisneming volgt die tot het verkrijgen van verbetering, verwijdering of aanvulling van gegevens indien daartoe aanleiding bestaat. Wat daarover in deze aanwijzing wordt gezegd, sluit aan op de uiteenzetting over het correctierecht van de Staatscommissie-Koopmans (interim-rapport. blz. 13). Ook hier zal de vormgeving van de correctieprocedure ingevolge aanwijzing 14 onderwerp voor de verschillende regelingen moeten zijn.

Een enkel woord over de vermelde gronden voor correctie. Of gegevens ten onrechte in een registratie zijn opgenomen hangt af van de inhoud van de betreffende regeling. Hetzelfde geldt voor de vraag of bepaalde ontbrekende gegevens in de registratie opgenomen hadden kunnen zijn. In de regelingen zal immers ingevolge aanwijzing 10 moeten zijn omschreven welke gegevens ten hoogste kunnen worden opgenomen en in welke gevallen opgenomen gegevens worden verwijderd. Dat de onjuistheid van een gegeven tot verbetering kan leiden spreekt voor zichzelf.

Dit wil overigens niet zeggen dat het ook steeds duidelijk zal zijn of voor correctie aanleiding bestaat. Zo kan men over de juistheid van een gegeven zeer wel van mening verschillen. Met name valt te denken aan gegevens die niet van feitelijke maar van waarderende aard zijn. Het is mogelijk dat over de juistheid van een gegeven verschil van mening blijft bestaan en dat een verzoeker zich met een beslissing tot afwijzing van de gevraagde correctie niet kan verenigen.

Dit stelt de noodzaak aan de orde bij de regeling van de correctieprocedure ook de mogelijkheid van beroep onder ogen te zien. Het is duidelijk, gezien de veelheid van registraties waarop deze aanwijzingen van toepassing zullen zijn, dat het beroep zich niet voor een eenvormige aanpak leent. In ieder afzonderlijk geval zal men naar een passende oplossing moeten zoeken. Omdat het echter steeds om overheidsregistraties gaat, zullen bepaalde beroepsgangen veelal reeds aanwezig zijn. Het verdient in dit stadium uiteraard de voorkeur bij bestaande regelingen op dit punt zoveel mogelijk aan te sluiten.

Een moeilijkheid die nog afzonderlijk vermelding verdient betreft het geval dat in een geschil over de juistheid van een gegeven in feite een beslissing wordt aangevochten waarvan dat gegeven slechts de aantekening vormt. Het kan daarbij gaan om een beslissing van degene die zich van de registratie bedient maar ook van een derde. Van een procedure over het al dan niet opnemen van een gegeven kan het echter niet de bedoeling zijn een geschil op te lossen over punten die daarmee op zichzelf geen verband houden. Daarvoor bestaan nu eenmaal andere, meer geëigende wegen.

Dit betekent evenwel dat men bij de regeling van de correctieprocedure op een dergelijke samenloop van rechtsgangen bedacht moet zijn. Wanneer bijvoorbeeld een medische diagnose wordt aangevochten, ligt het meer voor de hand herkeuring te vragen dan correctie van de op zichzelf juiste aantekening van die diagnose in een registratie. Evenmin kan een gemiste promotie door een verzoek om verbetering worden goedgemaakt. Tenslotte zij er op gewezen dat ook op deze aanwijzing een uitzondering geldt voor de gevallen bedoeld in aanwijzing 7. Ook de kennisneming van gegevens kan dan immers zijn uitgesloten.

6 Deze aanwijzing heeft betrekking op het voeren van een protocol waarin onder meer wordt bijgehouden welke gegevens uit de registratie aan derden worden verstrekt. De achtergrond hiervan vormt de gedachte dat een persoon over wie gegevens in een registratie zijn opgenomen er niet alleen belang bij kan hebben te weten welke gegevens over hem zijn opgenomen, maar ook welke gegevens over hem aan anderen zijn verstrekt. Dit belang ligt voor de hand in het geval dat bepaalde gegevens onjuist blijken te zijn. Wie in dit verband als derden moeten worden aangemerkt valt in het algemeen moeilijk te zeggen, maar dient in ieder afzonderlijk geval te worden bepaald (vergelijk interim-rapport, blz. 16).

In het systeem van deze aanwijzingen valt inzicht in de verstrekking van gegevens uit een registratie tot zekere hoogte te ontlenen aan de betreffende regeling. Ingevolge aanwijzing 12 zal daarin immers moeten staan aan wie gegevens uit de registratie worden verstrekt en welke gegevens ten hoogste kunnen worden verstrekt. Vooral bij een wat ruimere kring van ontvangers kan het echter moeilijk vallen aan de hand daarvan vast te stellen welke gegevens in feite aan welke instanties zijn verstrekt.

In dit verband heeft de Staatscommissie-Koopmans (interimrapport, blz. 15) gewezen op de technische mogelijkheden bij geautomatiseerde registraties om van deze verstrekking van gegevens in het computergeheugen zelf aantekening te houden. De betreffende informatie zou dan gedurende een bepaalde termijn bewaard moeten blijven om aan verzoeken om inlichtingen te kunnen voldoen. Langs deze lijnen heeft de Staatscommissie een protocolplicht voorgesteld die in deze aanwijzing wordt overgenomen. Aldus kan men met de werking daarvan in de praktijk ervaring opdoen.

Ook in de nadere omschrijving komt deze aanwijzing met de gedachten van de Staatscommissie overeen. Protocollering is immers overbodig voor zover de regeling van de mogelijke verstrekkingen zo duidelijk is dat daaruit rechtstreeks volgt aan welke instanties gegevens zijn verstrekt en welke gegevens het betreft. Te denken valt hier onder meer aan gevallen waarin op vaste tijdstippen of bij bepaalde gebeurtenissen aan vaste afnemers bepaalde gegevens worden verstrekt. Omdat men er in die gevallen van mag uitgaan dat de bedoelde verstrekkingen hebben plaatsgevonden, zouden voor het vastleggen daarvan onnodig kosten moeten worden gemaakt.

Het voorgaande betekent dat de omvang van de protocolplicht uit de verschillende regelingen volgt. Het is van belang de verstrekking van gegevens uit de registratie zo nauwkeurig mogelijk te regelen. Tenslotte zal ook de periode moeten worden aangegeven waarover inlichtingen kunnen worden gevraagd. Op dit punt kan met de bij elke registratie bestaande behoeften en mogelijkheden worden rekening gehouden.

7 Deze aanwijzing is in het voorafgaande reeds ter sprake gekomen. De onderhavige uitzondering zal niet verder mogen gaan dan noodzakelijk is.

8 Deze aanwijzing vormt een inleiding op de aanwijzingen neergelegd in paragraaf C en geeft een globaal kader aan waarbinnen de verschillende voorzieningen in het belang van een goede organisatie en beveiliging van een registratie dienen te worden getroffen. Deze voorzieningen zullen niet steeds dezelfde zijn. De aard van de betreffende registratie en de bijzondere gevaren die bij de werking daarvan zijn te duchten zijn daarvoor immers bepalend. Een vast aantal onderwerpen dient echter steeds aan de orde te komen. De houder van de registratie is ervoor verantwoordelijk dat door het geheel van voorzieningen de bescherming van de persoonlijke levenssfeer met betrekking tot zijn registratie voldoende is verzekerd.

Voor een belangrijk deel hebben de onderhavige voorzieningen kort gezegd ten doel te verzekeren dat de regeling kan worden nageleefd. In de meeste gevallen verdient het echter geen aanbeveling beveilingsmaatregelen in de regeling zelf op te nemen. Ook daarom is tussen paragraaf B en C onderscheiden.