Zwarte Lijst
Informatieblad nummer 22, februari 2011
Dit informatieblad is bestemd voor de
verantwoordelijke
, dat is degene die voor eigen doeleinden persoonsgegevens gebruikt.
Dit informatieblad gaat in op de volgende vragen:
Bedrijven en bedrijfstakken kunnen een gerechtvaardigd belang hebben bij het gebruik van een zwarte lijst. Zwarte lijsten zijn toegestaan in de strijd tegen wangedrag en fraude. De Wet bescherming persoonsgegevens (Wbp) biedt de normen voor het inrichten van een zwarte lijst. Zonder goede waarborgen is zo’n lijst verboden.
Definitie zwarte lijsten
Een zwarte lijst is een waarschuwings- of signaleringslijst: een registratie van personen die door een bedrijf of bedrijfstak is aangelegd. Zo kan een luchtvaartmaatschappij een zwarte lijst hebben om lastige passagiers van haar vluchten te weren. De ergste ordeverstoorders zijn minimaal vijf jaar niet welkom in de toestellen. Of de banken en verzekeraars die een incidentenregister hebben waarin gedragingen van (rechts)personen, die hebben geleid of kunnen leiden tot benadeling van financiële instellingen, worden vastgelegd.
Een zwarte lijst is een waarschuwings- of signaleringslijst: een registratie van personen die door een bedrijf of bedrijfstak is aangelegd. Zo kan een luchtvaartmaatschappij een zwarte lijst hebben om lastige passagiers van haar vluchten te weren. De ergste ordeverstoorders zijn minimaal vijf jaar niet welkom in de toestellen. Of de banken en verzekeraars die een incidentenregister hebben waarin gedragingen van (rechts)personen, die hebben geleid of kunnen leiden tot benadeling van financiële instellingen, worden vastgelegd.
Het doel van een zwarte lijst is te kunnen beschikken over gegevens waarvan een bedrijf of bedrijfstak meent dat ze noodzakelijk zijn voor een goede beoordeling van de persoon waarmee een overeenkomst zal worden aangegaan. Niet elk vergrijp weegt even zwaar bij deze noodzakelijkheids- toets. Zo kan een sollicitant op een zwarte lijst voorkomen van werknemers die een licht vergrijp hebben gepleegd. De nieuwe werkgever dient dan contact op te nemen met de oude werkgever om de aanleiding voor ontslag te vernemen zodat hij kan besluiten om de sollicitant al dan niet aan te nemen. Een automatische uitsluiting ‘door de computer’ mag dus niet.
Toepasselijkheid Wet bescherming persoonsgegevens (Wbp)
Op zwarte lijsten is de Wbp van toepassing. Het gaat namelijk bij de Wbp om de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde gegevens die in een bestand zijn opgenomen of bestemd zijn daarin te worden opgenomen. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Een zwarte lijst zal in de praktijk vrijwel altijd geautomatiseerd worden bijgehouden zodat de bevoegde (rechts)personen de lijst makkelijk kunnen raadplegen. Gegevens die op een zwarte lijst voorkomen zijn persoonsgegevens. Ze zijn mede bepalend voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Dit betekent dat de persoonsgegevens op behoorlijke en zorgvuldige wijze en in overeenstemming met de Wbp moeten worden verwerkt.
Op zwarte lijsten is de Wbp van toepassing. Het gaat namelijk bij de Wbp om de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde gegevens die in een bestand zijn opgenomen of bestemd zijn daarin te worden opgenomen. Een persoonsgegeven is elk gegeven betreffende een geïdentificeerde of identificeerbare natuurlijke persoon. Een zwarte lijst zal in de praktijk vrijwel altijd geautomatiseerd worden bijgehouden zodat de bevoegde (rechts)personen de lijst makkelijk kunnen raadplegen. Gegevens die op een zwarte lijst voorkomen zijn persoonsgegevens. Ze zijn mede bepalend voor de wijze waarop de betrokken persoon in het maatschappelijk verkeer wordt beoordeeld of behandeld. Dit betekent dat de persoonsgegevens op behoorlijke en zorgvuldige wijze en in overeenstemming met de Wbp moeten worden verwerkt.
Zwarte lijst in uw bedrijf
Als u van plan bent een zwarte lijst aan te leggen voor uw bedrijf moet u kunnen motiveren dat er een gerechtvaardigd belang is voor een dergelijke lijst. Het verwerken van gegevens moet noodzakelijk zijn voor het gerechtvaardigd belang. U moet kunnen aangeven dat het doel, bijvoorbeeld preventie van personeelsfraude, niet op een andere, voor betrokkene minder ingrijpende, manier gerealiseerd kan worden. Betrokkenen kunnen zijn: werknemers, klanten of leveranciers.
Als u van plan bent een zwarte lijst aan te leggen voor uw bedrijf moet u kunnen motiveren dat er een gerechtvaardigd belang is voor een dergelijke lijst. Het verwerken van gegevens moet noodzakelijk zijn voor het gerechtvaardigd belang. U moet kunnen aangeven dat het doel, bijvoorbeeld preventie van personeelsfraude, niet op een andere, voor betrokkene minder ingrijpende, manier gerealiseerd kan worden. Betrokkenen kunnen zijn: werknemers, klanten of leveranciers.
Daarnaast moet u kunnen beargumenteren waarom het bedrijfsbelang zwaarder weegt dan het privacybelang van de betrokkenen. U dient te kijken naar de ernst van de vergrijpen en de consequenties van een plaatsing op de lijst voor betrokkene.
Zwarte lijst in uw bedrijfstak
Als de zwarte lijst beschikbaar wordt gesteld voor (een aanzienlijk deel van) de bedrijfstak, zal er sprake moeten zijn van een zwaarwegend belang dat een zo grote inbreuk op de persoonlijke levenssfeer van betrokkene rechtvaardigt. Omdat een dergelijk systeem verstrekkende gevolgen voor de betrokkene heeft, dienen er zwaardere waarborgen ingesteld te worden om een zorgvuldig gebruik te garanderen en de rechten van de betrokkenen te beschermen. Dat betekent onder andere dat de criteria voor plaatsing op een bedrijfstakbrede lijst aangescherpt moeten worden. Zo zullen bijvoorbeeld alleen werknemers die zeer ernstige strafbare feiten hebben gepleegd in aanmerking komen voor plaatsing op een dergelijke brede waarschuwingslijst. Kortom: als de gevolgen voor betrokkene groter zijn, moeten de criteria scherper.
Als de zwarte lijst beschikbaar wordt gesteld voor (een aanzienlijk deel van) de bedrijfstak, zal er sprake moeten zijn van een zwaarwegend belang dat een zo grote inbreuk op de persoonlijke levenssfeer van betrokkene rechtvaardigt. Omdat een dergelijk systeem verstrekkende gevolgen voor de betrokkene heeft, dienen er zwaardere waarborgen ingesteld te worden om een zorgvuldig gebruik te garanderen en de rechten van de betrokkenen te beschermen. Dat betekent onder andere dat de criteria voor plaatsing op een bedrijfstakbrede lijst aangescherpt moeten worden. Zo zullen bijvoorbeeld alleen werknemers die zeer ernstige strafbare feiten hebben gepleegd in aanmerking komen voor plaatsing op een dergelijke brede waarschuwingslijst. Kortom: als de gevolgen voor betrokkene groter zijn, moeten de criteria scherper.
Met welke toetsingspunten u nog meer rekening moet houden, kunt u lezen in de
Checklist Zwarte lijsten
. Alle publicaties van het CBP op het gebied van zwarte lijsten is te vinden in het themadossier
Zwarte Lijsten
.
Meldingsplicht bij het CBP
Voordat u een zwarte lijst gaat aanleggen, dient u deze vooraf te melden bij het CBP. Een melding van een verwerking van persoonsgegevens moet gedaan worden door een verantwoordelijke. Volgens de Wbp is dit degene die het doel van en de middelen voor de verwerking vaststelt. Ook kan een derde melden, mits dit geschiedt namens de verantwoordelijke. Als er meer verantwoordelijken zijn, dient de melding door of namens elk van hen te worden gedaan. In de praktijk houdt dit in, dat één van de verantwoordelijken namens de andere verantwoordelijken kan optreden. Zie verder het informatieblad Melden en vrijstellingen .
Voordat u een zwarte lijst gaat aanleggen, dient u deze vooraf te melden bij het CBP. Een melding van een verwerking van persoonsgegevens moet gedaan worden door een verantwoordelijke. Volgens de Wbp is dit degene die het doel van en de middelen voor de verwerking vaststelt. Ook kan een derde melden, mits dit geschiedt namens de verantwoordelijke. Als er meer verantwoordelijken zijn, dient de melding door of namens elk van hen te worden gedaan. In de praktijk houdt dit in, dat één van de verantwoordelijken namens de andere verantwoordelijken kan optreden. Zie verder het informatieblad Melden en vrijstellingen .
Aanvragen voorafgaand onderzoek
Indien u van plan bent om strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag te verwerken ten behoeve van derden, dient het CBP in bepaalde situaties een zogenaamd ‘voorafgaand onderzoek’ in te stellen. Onder derden worden in ieder geval verstaan de deelnemende bedrijven binnen een bedrijfstak. Het CBP zal bij een voorafgaand onderzoek onderzoeken of het belang van de bedrijfstak bij een zwarte lijst te rechtvaardigen is en toetsen of er voldoende waarborgen zijn. U kunt een voorafgaand onderzoek aanvragen via het Wbp-Meldingsprogramma of het Wbp-Meldingsformulier. Zie verder het informatieblad Voorafgaand onderzoek .
Indien u van plan bent om strafrechtelijke gegevens of gegevens over onrechtmatig of hinderlijk gedrag te verwerken ten behoeve van derden, dient het CBP in bepaalde situaties een zogenaamd ‘voorafgaand onderzoek’ in te stellen. Onder derden worden in ieder geval verstaan de deelnemende bedrijven binnen een bedrijfstak. Het CBP zal bij een voorafgaand onderzoek onderzoeken of het belang van de bedrijfstak bij een zwarte lijst te rechtvaardigen is en toetsen of er voldoende waarborgen zijn. U kunt een voorafgaand onderzoek aanvragen via het Wbp-Meldingsprogramma of het Wbp-Meldingsformulier. Zie verder het informatieblad Voorafgaand onderzoek .
Rechten van betrokkenen
Voor een ieder is het van belang te weten of hij of zij op een zwarte lijst geplaatst is en zo ja, welke gegevens geregistreerd zijn. Zodra u gegevens over iemand verzamelt, moet u die persoon informeren over uw naam en adres en het doel van het verzamelen. Vaak moet u daarbij ook andere bijzonderheden vermelden, zodat de betrokkene weet op welke wijze u zijn gegevens gebruikt. U kunt deze informatieverstrekking slechts achterwege laten als de betrokkene daarvan al daadwerkelijk op de hoogte is of als dat noodzakelijk is in het belang van het voorkomen en opsporen van strafbare feiten. Daarnaast dient u voldoende (organisatorische) maatregelen te treffen zodat de betrokkene gebruik kan maken van zijn inzage- en correctierecht. Ook moet duidelijk zijn afgesproken hoe lang de vermelding op de zwarte lijst blijft bestaan. Zie verder het informatieblad Rechten van betrokkene . Wat kan de betrokkene verder zelf doen?
Voor een ieder is het van belang te weten of hij of zij op een zwarte lijst geplaatst is en zo ja, welke gegevens geregistreerd zijn. Zodra u gegevens over iemand verzamelt, moet u die persoon informeren over uw naam en adres en het doel van het verzamelen. Vaak moet u daarbij ook andere bijzonderheden vermelden, zodat de betrokkene weet op welke wijze u zijn gegevens gebruikt. U kunt deze informatieverstrekking slechts achterwege laten als de betrokkene daarvan al daadwerkelijk op de hoogte is of als dat noodzakelijk is in het belang van het voorkomen en opsporen van strafbare feiten. Daarnaast dient u voldoende (organisatorische) maatregelen te treffen zodat de betrokkene gebruik kan maken van zijn inzage- en correctierecht. Ook moet duidelijk zijn afgesproken hoe lang de vermelding op de zwarte lijst blijft bestaan. Zie verder het informatieblad Rechten van betrokkene . Wat kan de betrokkene verder zelf doen?
