Verwerking en toezicht persoonsgegevens

Een organisatie moet elke verwerking van persoonsgegevens melden, bijvoorbeeld wanneer de organisatie persoonlijke gegevens opvraagt, gebruikt of verspreidt. De meldingen van de verwerking van persoonlijke gegevens zijn openbaar, dit is geregeld in de Wet bescherming persoonsgegevens (WBP).

Melden verwerking persoonsgegevens

Organisaties die gegevensverwerkingen melden, doen dat bij het College bescherming persoonsgegevens (CBP) of bij de functionaris voor de gegevensbescherming (FG) van de eigen organisatie. De FG houdt intern toezicht op de verwerking van persoonsgegevens. Door de melding komt de registratie in een openbaar meldingenregister te staan. Dat is het externe link: register van het CBP of het externe link: register van de organisatie zelf. In de melding staat wat een organisatie met welke gegevens doet en aan wie de gegevens worden verstrekt.

Op de website van het CBP staat meer informatie voor organisaties over het melden van persoonsgegevens.

Meldingenregisters ministeries

Sommige grote organisaties hebben een eigen meldingenregister met verwerkingen van persoonsgegevens. Zij hebben een FG in dienst. Van deze verwerkingen heeft het CBP geen overzichten. Dit geldt ook voor bijna alle ministeries. U kunt de externe link: meldingenregisters van de ministeries inzien. De FG beoordeelt of er zorgvuldig en volgens de wet met persoonsgegevens wordt omgegaan. De FG houdt onafhankelijk toezicht op zijn organisatie.

Toezicht op persoonsgegevens

Het CBP controleert bij organisaties zonder FG of deze zorgvuldig omgaat met persoonsgegevens. De toezichthouder controleert bijvoorbeeld of de gegevens verwerkt worden voor de daarvoor bestemde doeleinden. Ook ziet het CBP er op toe dat de gegevens worden beveiligd en dat de privacy ook in de toekomst verzekerd blijft.

Wanneer een organisatie zich niet houdt aan de WBP, kan het CBP maatregelen nemen. De belangrijkste maatregel is uitoefening van bestuursdwang. In dat geval eist het CBP van de overtreder dat hij de overtreding binnen een bepaalde termijn ongedaan maakt. Daarbij kan het College een dwangsom opleggen. Het CBP kan ook boetes uitschrijven. Bijvoorbeeld wanneer de verwerking van persoonsgegevens niet, onjuist of te laat is aangemeld.

Het kabinet heeft in het regeerakkoord aangegeven dat de burger zich overal veilig moet voelen. Ook de veiligheid van persoonsgegevens moet worden verbeterd, omdat misbruik tot grote schade kan leiden. Bijvoorbeeld door:

  • Een meldplicht in te stellen bij verlies, diefstal of misbruik van persoonsgegevens.
  • Bij voorgenomen maatregelen van de overheid over de opslag, koppeling en verwerking van persoonsgegevens te bepalen hoe lang deze maatregel moet duren;
  • Te toetsen of de voorgenomen maatregelen effectief zijn door voorafgaande risicobeoordelingen (privacy impact assessments) en door intern en extern toezicht op de gegevensverwerking