Samengevat zijn de belangrijkste wijzigingen:

– Het begrip ‘persoonsregistratie’ waarover in de WPR gesproken wordt, blijkt een technologieafhankelijk begrip te zijn. In de Wbp staat niet langer de ‘persoonsregistratie’ centraal, maar de ‘verwerking van persoonsgegevens’ in al haar stadia. Dit betekent een uitbreiding van de gevallen waarin de wet van toepassing is. De wet krijgt daarmee een groter bereik. Onder ‘verwerking van persoonsgegevens’ wordt verstaan: elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige ander vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen alsmede het afschermen, uitwissen of vernietigen van gegevens.

3 Wbp art. 1b.

– Tot de inwerkingtreding van de Wet bescherming persoonsgegevens in 2000, werd in de wet- en regelgeving begrip houder gehanteerd. De houder was degene die de zeggenschap had over de registratie, d.w.z. bevoegd was het doel, de inhoud en het gebruik daarvan te bepalen. Uit deze definitie volgde dat ook een rechtspersoon als houder kan optreden. In de praktijk was dit dikwijls het geval. Bij de overheid moest voor het houderschap van een persoonsregistratie primair worden gedacht aan het bestuursorgaan dat op het betrokken terrein tot optreden bevoegd is. Op rijksniveau handelde het hier dus om een minister voor wat betreft zijn ministerie, met inbegrip van de daaronder ressorterende diensten, instellingen en bedrijven, maar ook om ambtenaren die krachtens wettelijk voorschrift eigen bevoegdheden uitoefenden, en zelfstandige bestuursorganen, die op tal van terreinen actief konden zijn en lang niet altijd rechtspersoonlijkheid bezaten. Op provinciaal niveau ging het om de Commissaris van de Koningin en het college van Gedeputeerde Staten, terwijl het op gemeentelijk niveau handelde om het college van burgemeester en wethouders.

4 Nederlandse staatswetten. Editie Schuurman en Jordens nr. 199 (Zwolle, 1993) en 1e aanvulling (Zwolle, 1993) p. 89-90 en G. Overkleeft-Verburg, De Wet persoonsregistraties. Norm, toepassing en evaluatie (z.p., 1995) p. 472–473.

Binnen de overheid heeft het begrip houder(schap) meer dan eens tot verwarring geleid. Onduidelijk was wie er nu precies (op welk niveau) verantwoordelijk was. In de Wet bescherming persoonsgegevens is er daarom voor gekozen om steeds het betrokken bestuursorgaan als verantwoordelijke te beschouwen. Het begrip ‘houder’ is daarom vervangen door ‘verantwoordelijke’ (voor de gegevensverwerking). Bepalend voor wie verantwoordelijke is, is de vraag wie juridisch bevoegd is om doel en middelen van de gegevensverwerking vast te stellen.

– De Wbp is in beperkte mate van toepassing op pers, radio en televisie. Krachtens de WPR gold voor deze sector een algehele uitzondering. Ook is de Wbp, voor zover de desbetreffende wetten geen bijzondere bepalingen bevatten, van toepassing op openbare registers (bijvoorbeeld het kadaster en het handelsregister) en persoonsgegevens die vallen onder het regime van de Archiefwet.

– De inhoudelijke eisen waaraan elke vorm van gegegensverwerking moet voldoen, hebben in de Wbp een andere systematiek gekregen. Deels gaat het om aanscherpingen, deels gaat het om versoepelingen. Net als in de WPR gaat het om een abstract normenkader dat door sectorale wetgeving of zelfregulering (met name gedragscodes) zijn verdere invulling heeft gekregen.

– Het regime inzake ‘gevoelige gegevens’ (WPR) is enigszins aangescherpt. Achtergrond is de algmene eis van de Europese richtlijn bescherming persoonsgegevens dat verwerking van gevoelige gegevens alleen is toegestaan in een aantal concreet omschreven gevallen en voor het overige voorzover noodzakelijk ten behoeve van ‘een zwaarwegend algemeen belang’. In de Wbp wordt in plaats van het begrip ‘gevoelige gegevens’, de term ‘bijzondere gegevens’gehanteerd.

– In de Wbp wordt in plaats van ‘medische gegevens’ zoals dat in het Besluit gevoelige gegevens wordt gebruikt de term ‘gezondheidsgegevens’ gehanteerd. Dit begrip is veel ruimer.

– In plaats van ‘houder’ wordt de term ‘verantwoordelijke’ geïntroduceerd.

– De informatieverplichtingen van de ‘houder’ (WPR) tegenover de betrokkenen (degene over wie de gegevens worden verwerkt) worden uitgebreid, zij het dat belangrijke uitzonderingen mogelijk blijven. Het bestanddeel ‘redelijkerwijs kan weten’ van artikel 28 WPR valt weg. De verantwoordelijke dient de betrokkene ‘op de hoogte te stellen’, behoudens in een limitatief omschreven aantal uitzonderingsgevallen.

– In aanvulling op de reeds in de WPR bestaande rechten is in de Wbp aan degene van wie de gegevens worden verwerkt, het recht van verzet toegekend, wanneer het gaat om een bijzonder persoonlijke situatie. In geval van verwerkingen in de sector van direct marketing is dit recht absoluut in die zin dat een gerechtvaardigd individueel belang in geval van verzet van rechtswege wordt aangenomen.

– In de Wbp is, in tegenstelling tot de WPR, sprake van een gedifferentieerd systeem van rechtsbescherming. Tegen een beslissing van een privaatrechtelijke organisatie staat beroep bij de rechtbank open. Tegen een beslissing van een bestuursorgaan op verzoek en aangaande het honoreren van door de wet toegekende rechten, staat op grond van de Algemene wet bestuursrecht (Awb) bezwaar en beroep open.

– De in de WPR geformuleerde risicoaansprakelijkheid voor onrechtmatige gegevensverwerking is afgezwakt. De verantwoordelijke is niet aansprakelijk indien hij kan aantonen dat de betreffende onrechtmatigheid hem niet te verwijten is.

– Het onderscheid tussen de publieke en private sector is in de Wbp vervallen, met uitzondering van het gedifferentieerd systeem van rechtsbescherming. De reglementsplicht voor de publieke sector is afgeschaft. De meldingsplicht is verzacht: handmatige verwerkingen hoeven in beginsel niet te worden gemeld, de melding omvat minder gegevens en het aantal vrijstellingen in het Vrijstellingsbesluit is ten opzichte van het bij de WPR behorende Besluit genormeerde vrijstelling meer dan verdubbeld.

– Voorzover de verantwoordelijke niet wordt vrijgesteld van de verplichting om verwerkingen te melden bij het CBP, is een alternatief voor deze meldingsplicht gecreëerd: per organisatie of per branche kan een interne toezichthouder worden aangesteld die in dat geval in aanvulling op het CBP bepaalde toezichthoudende bevoegdheden kan uitoefenen. Een dergelijke toezichthoudende functie wordt over het algemeen uitgevoerd door de functionaris voor de gegevensbescherming.

– De bevoegdheden van het CBP zijn uitgebreider dan die van de Registratiekamer. Het betreft onder meer de bevoegdheid om voorafgaand onderzoek te doen naar verwerkingen met bijzondere risico’s, de bevoegdheid om bestuursdwang toe te passen en de bevoegdheid om bestuurlijke boeten op te leggen. Daar staat tegenover dat de rechtsbescherming tegen handelingen van het CBP wordt uitgebreid.

– Tot slot zijn er aanvullende bepalingen aangaande het internationale gegevensverkeer opgesteld. Zo mogen persoonsgegevens alleen worden doorgegeven aan landen met een passend beschermingsniveau. Doorgifte van persoonsgegevens naar landen buiten de EU mag alleen als er passend beschermingsniveau is. Als er geen passend beschermingsniveau geldt voor het land waarin de ontvangende partij is gevestigd, is doorgifte alleen toegestaan in geval ofwel een van de uitzonderingsgronden van toepassing is, dan wel een vergunning is afgegeven door het Ministerie van Justitie.