Bijlage 6 (Privacy)gedragscode sector particuliere onderzoeksbureaus van de vereniging van particuliere beveiligingsorganisaties (als bedoeld in artikel 23a van de Regeling particuliere beveiligingsorganisaties en recherchebureaus)

De sector particuliere onderzoeksbureaus in de zin van deze gedragscode bestaat uit organisaties die als recherchebureau in de zin van art. 1 lid 1 onder f van de Wpbr worden aangemerkt. Zij verrichten in opdracht recherchewerkzaamheden in de zin van artikel 1 lid 1 onder e van de Wpbr. Het uitvoeren van recherchewerkzaamheden bestaat veelal uit feitenonderzoek. Als ‘verlengstuk van de opdrachtgever’ verwerkt een particulier onderzoeksbureau onder eigen verantwoordelijkheid en op onpartijdige basis persoonsgegevens.

Een niet limitatieve opsomming van recherchewerkzaamheden waarbij persoonsgegevens worden verwerkt zijn:

De gegevens die een particulier onderzoeksbureau verkrijgt in verband met het aanvaarden van een onderzoeksopdracht worden verwerkt in een onderzoeksdossier. Hierin worden onder andere opgeslagen:

Na analyse van de gegevens wordt ten behoeve van de opdrachtgever een onderzoeksrapport opgesteld.

Het onderzoeksrapport wordt schriftelijk (en onder vermelding van ‘persoonlijk’ en/of ‘vertrouwelijk’) aan de opdrachtgever verstrekt, tenzij anders is/wordt overeengekomen. Er worden in de regel geen onderzoeksrapporten uitgebracht, voordat alle onderzoeks- werkzaamheden zijn afgerond. Dit om te voorkomen dat aan het voorlopige onderzoeksrapport een andere betekenis wordt toegekend dan aan het eindrapport. Het onderzoeksdossier (waar een afschrift van het onderzoeksrapport deel van uitmaakt) wordt door het particulier onderzoeksbureau bewaard voor het geval de opdrachtgever of anderen (bijvoorbeeld de justitiële autoriteiten of de rechterlijke macht) na verloop van tijd nog een beroep doen op de in het dossier opgenomen gegevens.

De sector particuliere onderzoeksbureaus verricht vanuit een eigen commercieel belang recherchewerkzaamheden voor verschillende soorten opdrachtgevers. Daarbij valt te denken aan verzekeraars, privaatrechtelijke en publiekrechtelijke rechtspersonen (al dan niet in de hoedanigheid van werkgever) en aan particulieren. Voor wat betreft de mogelijkheden om onderzoek te doen treedt een particulier onderzoeksbureau op als verlengstuk van de opdrachtgever en gebruikt in feite die onderzoeksmogelijkheden waarover de opdrachtgever beschikt. Hieronder wordt beschreven waarom opdrachtgevers een gerechtvaardigd belang kunnen hebben om recherchewerkzaamheden te laten uitvoeren door de sector particuliere onderzoeksbureaus.

In veel organisaties (ondernemingen en overheidsinstellingen) worden ordevoorschriften, -regels en/of gedragsregels gegeven, waar personeelsleden, personeel van derden en bezoekers zich aan dienen te houden. Daarbij kan gedacht worden aan regels voor het gebruik van e-mail, internet, interne voorschriften over vergoedingen en de wijze van declareren, voorschriften over ziekteverzuim, nevenfuncties, anti-concurrentiebepalingen en voorschriften over het buiten de organisatie brengen van bedrijfseigendommen. Voor personeelsleden vloeit de bevoegdheid van de werkgever om ordevoorschriften te geven bijvoorbeeld voort uit artikel 7:660 van het Burgerlijk Wetboek (hierna te noemen: BW).

Voor bezoekers van niet-openbare plaatsen vloeit de bevoegdheid van de rechthebbende om regels te stellen bijvoorbeeld voort uit het eigendomsrecht van artikel 5:1 van het BW. Het eigendomsrecht impliceert de bevoegdheid van de rechthebbende tot het maken van afspraken met anderen over de voorwaarden tot het betreden van deze niet-openbare plaatsen.

In het verlengde van regelstelling ligt de bevoegdheid en soms de verplichting van de werkgever respectievelijk de rechthebbende om te controleren of de regels worden nageleefd. In geval van een vermoeden dat iemand de voorschriften niet naleeft en arbeidsrechtelijke of andere civielrechtelijke maatregelen geboden zijn, is feitenonderzoek vereist als basis voor een door de werkgever respectievelijk rechthebbende te nemen beslissing. Dit kan onderzoek in de geautomatiseerde voorzieningen van het bedrijf zijn, maar ook het interviewen van personen of het onderzoeken van het berichtenverkeer middels telecommunicatiemiddelen die door of namens de ondernemer beschikbaar zijn gesteld aan het (ingehuurde) personeel.

In toenemende mate worden binnen organisaties over deze vormen van werkgeverstoezicht afspraken gemaakt met de ondernemingsraad of de personeelsvertegenwoordiging. In een aantal gevallen is het instemmingsrecht van de ondernemingsraad vereist op grond van artikel 27 van de Wet op de ondernemingsraden. Hoewel de ondernemer respectievelijk de rechthebbende dit onderzoek zelf in beginsel kan uitvoeren, wordt de sector particuliere onderzoeksbureaus in toenemende mate ingeschakeld om dit soort feitenonderzoek te doen.

Een andere rechtvaardiging om onderzoek in te (doen) stellen naar vermeende onregelmatigheden vormen de klokkenluiderregelingen. Zowel binnen de overheid als binnen het bedrijfsleven worden in toenemende mate – al dan niet verplicht door wetgeving – klokkenluiderregelingen ingevoerd, opdat werknemers beschermd worden als zij op vertrouwelijke wijze misstanden aan de orde willen stellen. Een melding noopt veelal tot het instellen van onderzoek om vast te stellen of de aantijgingen juist zijn.

Ook bij verzekeringsmaatschappijen is er sprake van een contractuele verhouding tussen de verzekeraar en de verzekerde. Beiden zijn gehouden zich te houden aan de verzekerings- overeenkomst en de overige eisen die de wet aan de verzekering en de bij de verzekering betrokken partijen stelt. In geval van het vermoeden van onregelmatigheden (bij het aangaan van de verzekeringsovereenkomst of bij het indienen van claims) van de zijde van de verzekerde of een derde heeft de verzekeraar binnen zekere grenzen de bevoegdheid om onderzoek te doen naar het handelen of nalaten van de bij de uitvoering van de verzekeringsovereenkomst betrokken personen. Ook verzekeraars maken gebruik van de expertise van de sector particuliere onderzoeksbureaus.

Tenslotte wordt de sector particuliere onderzoeksbureaus ingeschakeld door (rechts)personen die slachtoffer (menen te) zijn van een strafbaar feit en op grond van artikel 161 van het Wetboek van Strafvordering (hierna te noemen: WvSv) bevoegd zijn om daarvan aangifte te doen bij een opsporingsambtenaar. Het is gewenst dat zo’n aangifte goed gedocumenteerd is. Hoewel de aangever zelf bevoegd is om personen te interviewen, onderzoek op de plaats van het misdrijf in te stellen, is er een categorie aangevers die dit (voor)onderzoek en het daadwerkelijk doen van aangifte om redenen van efficiency en effectiviteit overlaat aan de sector particuliere onderzoeksbureaus.

Bij een groot aantal particuliere onderzoeksbureaus zijn de onderzoeksdossiers een integraal onderdeel van een geautomatiseerde opdrachten- c.q. voorvallenregistratie met zoek- en combinatiemogelijkheden. Op een dergelijk geheel of gedeeltelijk geautomatiseerde verwerking van onderzoeksopdrachten is de AVG van toepassing.

Er zijn ook particuliere onderzoeksbureaus die niet over een dergelijke geautomatiseerde opdrachten- c.q. voorvallenregistratie beschikken. Onderzoeksdossiers worden dan doorgaans alfabetisch of anderszins opgeslagen, maar vaak wel zodanig dat de in de onderzoeksdossiers opgenomen persoonsgegevens volgens bepaalde criteria toegankelijk zijn. Volgens de AVG is dan sprake van een ‘bestand’ en van een opdrachten- c.q. voorvallenregistratie als bedoeld in deze gedragscode.

Ook indien een bescheiden kaartsysteem of een geautomatiseerd systeem verwijst naar de verschillende dossiers, de opgenomen personen of de vindplaats, is er sprake van een bestand en is de AVG ook van toepassing. Ook deze vorm van vastlegging is een opdrachten- c.q. voorvallenregistratie als bedoeld in deze gedragscode.

De opdrachten- c.q. voorvallenregistratie wordt niet alleen gebruikt voor de verwerking van onderzoeksrapporten. De opdrachten- c.q. voorvallenregistratie wordt veelal ook gebruikt als toetsbron bij achtergrondonderzoeken, bijvoorbeeld in het kader van pre employment- onderzoeken. Het gebruik van de gegevens uit de opdrachten- c.q. voorvallenregistratie bij achtergrondonderzoeken is aan strikte voorwaarden gebonden (zie hiervoor paragraaf 5.8). Ook bij nieuwe aangemelde onderzoeken wordt (veelal) getoetst of de onderzochte perso(o)n(en) reeds eerder subject van onderzoek is/zijn geweest.

Artikel 5 lid 1 onder a AVG bepaalt dat persoonsgegevens moeten worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is.

Toelichting:

Voor particuliere onderzoeksbureaus betekent de norm van artikel 5 lid 1 onder a AVG dat zij geen gegevens mogen verwerken, indien zij deze gegevens verkregen hebben door middel van illegale onderzoeksmethoden en -middelen. Zo zijn in het Wetboek van Strafrecht (hierna te noemen: WvSr) bepalingen opgenomen die het onopgemerkt afluisteren en opnemen van gesprekken of het onopgemerkt maken van afbeeldingen verbieden (zie de artikelen 139a – 139f WvSr). De norm heeft betrekking op het eigen handelen of nalaten van een particulier onderzoeksbureau. Het mag niet zelf verwijtbaar betrokken zijn bij onrechtmatige gegevensvergaring.

Indien een derde gegevens (bewijsmateriaal) aan een particulier onderzoeker overhandigt, dat door deze derde op onrechtmatige wijze is verkregen, hoeft dat derhalve niet te betekenen dat deze gegevens niet door het particulier onderzoeksbureau mogen worden verwerkt. Dit is echter anders indien deze derde met medeweten of op aandringen van het particulier onderzoeksbureau bij de gegevens- c.q. bewijsvergaring onrechtmatig heeft gehandeld, (bijvoorbeeld door op verzoek van het particulier onderzoeksbureau gegevens te verstrekken in strijd met een wettelijke geheimhoudingsbepaling). Een deugdelijke vastlegging van de wijze waarop gegevens zijn verkregen en van wie is derhalve van belang (zie hiervoor paragraaf 7.9).

Artikel 5 lid 1 onder b AVG bepaalt dat persoonsgegevens voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden moeten worden verzameld en dat persoonsgegevens niet verder worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen.

Het verzamelen van persoonsgegevens door de sector particuliere onderzoeksbureaus vindt plaats in het kader van een efficiënte en effectieve bedrijfsvoering en is in het bijzonder gericht op de volgende activiteiten:

Vaststellen doeleinden bij aanvaarding van (nieuwe) opdrachten:

Het concrete doel van de onderzoeksopdracht wordt zo nauwkeurig mogelijk in de schriftelijke opdrachtbevestiging tussen het particulier onderzoeksbureau en de opdrachtgever vastgelegd. Een nauwkeurige omschrijving van de onderzoeksopdracht draagt bij aan de controleerbaarheid achteraf van de rechtmatigheid van gegevensverwerkingen. Een afschrift daarvan wordt bewaard in het onderzoeksdossier. Ook wijzigingen in de onderzoeksopdracht of aanvullingen daarop die plaatsvinden in de loop van het onderzoek worden schriftelijk bevestigd aan de opdrachtgever en bewaard in het onderzoeksdossier.

De aard van de gegevens (gegevens over laakbaar en soms zelfs strafbaar gedrag) betekent dat (medewerkers van) particuliere onderzoeksbureaus uitermate prudent dienen om te gaan met persoonsgegevens, die zijn vastgelegd in de opdrachten- c.q. voorvallenregistratie. Indien een onderzochte persoon al eerder subject was van particulier onderzoek, wordt dit niet genoemd of gerapporteerd aan de vigerende of eerdere opdrachtgever.

Toelichting:

Aangezien een particulier onderzoeksbureau op commerciële basis voor derden werkt, zal bij de bedrijfsvoering een hoge mate van efficiency en effectiviteit nagestreefd worden. Alle activiteiten die van belang zijn voor een particulier onderzoeksbureau om de relatie met de opdrachtgever te kunnen aangaan en onderhouden komen derhalve in de algemene doelstelling tot uitdrukking. Deze activiteiten vormen een samenhangend geheel. Slechts indien deze activiteiten in samenhang worden uitgevoerd is het mogelijk dat de bedrijfsvoering op een efficiënte en effectieve wijze verloopt.

Voor tal van andere bepalingen in deze gedragscode, zoals de bewaarduur van gegevens (paragraaf 5.4) en de bepaling dat niet meer gegevens worden verzameld dan voor het doel waarvoor zij worden verzameld vereist is (paragraaf 5.3), geldt de verzameldoelstelling als toetsingsmaatstaf. De daadwerkelijke verwerking van persoonsgegevens in het kader van de diverse activiteiten moet in concreto telkens worden getoetst aan de algemene en bijzondere beginselen van de verwerking van persoonsgegevens, zoals deze in de gedragscode zijn uitgewerkt. Zo dient een particulier onderzoeksbureau respectievelijk particulier onderzoeker in een concrete onderzoekssituatie een wettige grondslag te hebben om persoonsgegevens te kunnen verwerken. Deze wettige grondslagen worden genoemd in artikel 6 lid 1 AVG (zie paragraaf 5.7). De in dit artikel genoemde grondslagen vereisen telkens een op proportionaliteit en subsidiariteit gebaseerde afweging, alvorens tot gegevensverwerking wordt overgegaan.

Om vorm en inhoud te kunnen geven aan de algemene en bijzondere beginselen van gegevensverwerking is vereist dat van meet af aan objectief vaststaat wat de specifieke opdracht is waarvoor een particulier onderzoeksbureau is ingeschakeld. Om die reden is in de sectornormering bepaald dat het concrete doel van de onderzoeksopdracht (de wens van de opdrachtgever) zo nauwkeurig mogelijk in de opdrachtbevestiging tussen het particulier onderzoeksbureau en de opdrachtgever wordt vastgelegd.

Nadere toelichting op de aangemelde activiteiten van een particulier onderzoeksbureau:

De primaire activiteit (sub a) is het vastleggen van de resultaten van onderzoeken die op verzoek van een opdrachtgever zijn of worden ingesteld. Particuliere onderzoeksbureaus worden ingeschakeld door opdrachtgevers die wensen dat een bepaald voorval of een bepaalde persoon wordt onderzocht of omdat er sprake is van een gedraging van iemand, waarbij ten nadele van de opdrachtgever(s) of een derde op enigerlei wijze schade is toegebracht of schade zou kunnen worden toegebracht. Het rechercheonderzoek heeft als doel gegevens te vergaren en te analyseren opdat de opdrachtgever de bevindingen kan gebruiken voor het nemen van beslissingen of voor het verkrijgen van een rechterlijke beslissing (waarbij de rechter bijvoorbeeld vaststelt dat iemand onrechtmatig heeft gehandeld). Bij het nemen van beslissingen kan gedacht worden aan beslissingen tot het beëindigen van een arbeidsovereenkomst van een personeelslid wegens onregelmatigheden of een beslissing tot het niet uitkeren van een schade-uitkering omdat de verzekerde verwijtbaar betrokken was bij het schadeveroorzakende voorval (bijvoorbeeld bij een brand). Voor een niet-limitatieve opsomming van recherchewerkzaamheden wordt verwezen naar paragraaf 4.1 van deze gedragscode.

Het komt zo nu en dan voor dat het menselijk geheugen van de particulier onderzoeker bij de uitvoering van een nieuwe opdracht geprikkeld wordt bij het horen van een naam van een betrokkene. De onderzoeker weet dan dat betrokkene eerder onderzochte persoon was in een onderzoek. In dat geval wordt de overeenkomst tussen twee (of meerdere) opdrachten niet genoemd of gerapporteerd aan de vigerende of de eerdere opdrachtgever.

De activiteit onder c brengt tot uitdrukking dat het particulier onderzoeksbureau in voorkomende gevallen namens de opdrachtgever aangifte doet bij justitiële autoriteiten en in dat geval ook gegevens uit de opdrachten c.q. voorvallenregistratie verstrekt.

Artikel 5 lid 1 onder c AVG bepaalt dat persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

Er worden niet meer gegevens vastgelegd of in beheer genomen dan uiteindelijk nodig zijn voor het opstellen van een onderzoeksrapport voor de opdrachtgever. Niet relevante gegevens dienen derhalve direct na vaststelling daarvan te worden vernietigd of teruggegeven om te voorkomen dat deze in het dossier belanden en bewaard blijven.

Toelichting:

De aard van een particulier rechercheonderzoek kenmerkt zich doordat de particulier onderzoeker in eerste instantie met gegevens te maken krijgt, waarvan nog niet vaststaat of deze uiteindelijk relevant zullen zijn voor het betreffende onderzoek. De norm impliceert dat de particulier onderzoeker zich permanent de vraag moet stellen of de gegevens daadwerkelijk relevant zijn. Verzamelde of in beheer genomen persoonsgegevens worden zo spoedig mogelijk na het wegvallen van de noodzaak om deze gegevens te verzamelen of in beheer te nemen vernietigd, dan wel aan de verstrekker geretourneerd.

Voorts zijn er opdrachtgevers die na het aanvaarden van de opdracht grote hoeveelheden voorwerpen, en administratie aan het particulier onderzoeksbureau beschikbaar stellen ten behoeve van het onderzoek. Er zijn opdrachtgevers die er op aandringen dat de particulier onderzoeker respectievelijk het particulier onderzoeksbureau deze zaken voor hen bewaart met het oog op eventuele toekomstige geschillen met de onderzochte persoon, ook al houden deze zaken niet direct verband met hetgeen in het uiteindelijke onderzoeksrapport verwoord is. Dit wordt onwenselijk geacht.

Artikel 5 lid 1 onder d AVG bepaalt dat persoonsgegevens juist moeten zijn en zo nodig moeten worden geactualiseerd.

Het particulier onderzoeksbureau neemt alle redelijke maatregelen om persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren.

Toelichting:

Het bijwerken van persoonsgegevens kan ingegeven zijn omdat het particulier onderzoeksbureau zelf onjuistheden heeft gesignaleerd, maar ook omdat betrokkene het particulier onderzoeksbureau daarop heeft geattendeerd. Aanvullend op het beginsel van juistheid is in artikel 19 AVG is een kennisgevingsplicht opgenomen, indien persoonsgegevens overeenkomstig artikel 16 t/m 18 AVG (zie verder par.9.2) zijn gerectificeerd of gewist. Het particulier onderzoeksbureau dient in dat geval iedere ontvanger aan wie persoonsgegevens zijn verstrekt, in kennis van de rectificatie of wissing van persoonsgegevens, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt.

Artikel 5 lid 1 onder e AVG bepaalt dat persoonsgegevens worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is.

Gegevens uit de opdrachten- c.q. voorvallenregistratie blijven minimaal één jaar bewaard nadat het onderzoeksrapport is aangeboden aan de opdrachtgever en worden verwijderd binnen een periode van maximaal vijf jaar na het moment van eerste vastlegging.

De periode van vijf jaar wordt verlengd indien het onderzoek nog niet is afgerond of indien zich ten aanzien van de onderzochte persoon een nieuwe aanleiding als hiervoor vermeld heeft voorgedaan, die wordt opgenomen in de opdrachten- c.q. voorvallenregistratie. In die gevallen begint de termijn van vijf jaar opnieuw te lopen, vanaf het moment van vastlegging van gegevens.

Gegevens worden in ieder geval uit de opdrachten- c.q. voorvallenregistratie verwijderd indien voldaan wordt aan een verzoek ex artikel 17 AVG.

In afwijking van de hiervoor genoemde bewaartermijnen blijft het onderzoeksdossier bewaard zolang dat geboden is in verband met de behandeling van lopende procedures en zaken die nog onder de rechter zijn en waarbij de mogelijkheid bestaat dat hetzij de opdrachtgever, hetzij het particulier onderzoeksbureau in rechte wordt opgeroepen.

De noodzaak voor een langere bewaarduur dan één jaar nadat het onderzoeksrapport is aangeboden aan de opdrachtgever wordt getoetst aan het proportionaliteitsbeginsel.

Toelichting:

Persoonsgegevens worden om meerdere redenen bewaard nadat het onderzoeksrapport aan de opdrachtgever is aangeboden. Allereerst worden persoonsgegevens bewaard ten behoeve van opdrachtgevers in het kader van de behandeling van juridische procedures of geschillen waarbij de opdrachtgever partij is. Daarbij kan gedacht worden aan een nog lopende ontslagprocedure van de onderzochte persoon of een lopende strafzaak indien van het voorval aangifte is gedaan bij de politie.

Verder worden de gegevens bewaard voor het behandelen van klachten die worden ingediend tegen het particulier onderzoeksbureau zelf op grond van artikel 18 van de Regeling particuliere beveiligingsorganisaties en recherchebureaus, het voldoen aan wettelijke plichten (zoals het getuigen in rechte) en voor vervolgopdrachten van de primaire opdrachtgever.

De bewaarduur van vijf jaar is van belang aangezien opdrachtgevers met enige regelmaat gegevens uit het dossier nog in willen zien en/of gegevens uit het dossier nodig hebben. Vaak blijkt pas geruime tijd na afsluiting van het particulier rechercheonderzoek dat juridische procedures lopen. Met enige regelmaat worden particulier onderzoekers opgeroepen om te getuigen. Vaak wil de rechter weten of er inhoudelijke verschillen zijn tussen de aan de opdrachtgever aangeboden rapport en eerdere kladversies. De bewaartermijn van vijf jaar sluit ook aan bij de verjaringstermijn voor rechtsvorderingen (artikel 3:310 BW). Zowel de onderzochte persoon als de opdrachtgever kunnen het particulier onderzoeksbureau in voorkomende gevallen aanspreken tot vergoeding van schade wegens onrechtmatige daad respectievelijk wanprestatie. In dat geval dient het particulier onderzoeksbureau in staat te zijn zich gemotiveerd te verdedigen door overlegging van stukken uit het onderzoeksdossier.

De minimale bewaarduur van één jaar nadat het onderzoeksrapport is aangeboden aan de opdrachtgever is van belang in het kader van toezicht en transparantie, maar ook voor mogelijke juridische procedures tegen het particulier onderzoeksbureau en klachtenbehandeling. Als het dossier onmiddellijk of kort na uitvoering van het onderzoek wordt vernietigd, zijn er onvoldoende mogelijkheden om de uitvoering van het onderzoek te toetsen aan de privacygedragscode.

In de sectornormering is aangegeven dat de noodzaak voor een langere bewaarduur dan één jaar nadat het onderzoeksrapport is aangeboden aan de opdrachtgever getoetst wordt aan het proportionaliteitsbeginsel. Daarmee wordt tot uitdrukking gebracht dat persoonsgegevens niet standaardmatig vijf jaar bewaard hoeven te worden.

Artikel 5 lid 1 onder f juncto artikel 32 AVG bepalen dat de verwerkingsverantwoordelijke passende technische of organisatorische maatregelen neemt zodat persoonsgegevens op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging. De maatregelen worden periodiek geëvalueerd en indien nodig aangepast (artikel 24 lid 1 AVG).

Een particulier onderzoeksbureau neemt passende – op het risico afgestemde – technische en organisatorische maatregelen tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging van persoonsgegevens. Leidraad voor de beveiliging van persoonsgegevens zijn de richtsnoeren ‘Beveiliging van Persoonsgegevens’ van de Autoriteit Persoonsgegevens en de best practice ISO 27002. De maatregelen worden periodiek geëvalueerd en indien nodig aangepast,

Voor de concrete invulling van de beveiligingsnormen die specifiek voor de sector gelden wordt verwezen naar Bijlage 1 bij deze privacygedragscode.

Toelichting:

Artikel 5 lid 1 onder f juncto artikel 32 AVG spreken over technische en organisatorische maatregelen. Technische maatregelen zijn de logistieke en fysieke maatregelen in en rondom de informatiesystemen (zoals toegangscontroles, vastlegging van gebruik en back up). Organisatorische maatregelen zijn maatregelen voor de inrichting van de organisatie en voor het verwerken van persoonsgegevens (zoals de toekenning van verantwoordelijkheden en bevoegdheden).

Gelet op het feit dat door particuliere onderzoeksbureaus bijzondere persoonsgegevens, zoals strafrechtelijke persoonsgegevens worden verwerkt, en gelet op het feit dat persoonsgegevens kunnen verzameld teneinde een beeld van iemands persoonlijke leven te verkrijgen, betekent dit dat aan de sector zwaardere eisen mogen worden gesteld ten aanzien van de beveiliging van persoonsgegevens.

Een gegevensverwerking is slechts gerechtvaardigd indien één van de in artikel 6 lid 1 AVG genoemde verwerkingsgrondslagen van toepassing is.

Voor de sector particuliere onderzoeksbureaus zijn de volgende verwerkingsgrondslagen het meest relevant:

Toelichting:

De verwerkingsgrondslag onder a is van toepassing op alle soorten van onderzoeken waarvoor een particulier onderzoeksbureau wordt ingeschakeld. Om te waarborgen dat de rechten en vrijheden van de onderzochte persoon gerespecteerd worden, moet aan een aantal voorwaarden worden voldaan. Allereerst moet de opdrachtgever zelf een gerechtvaardigd belang hebben om onderzoek te doen instellen naar (gedragingen van) iemand of de achtergrond van een persoon. Voor de opdrachtaanvaarding dient het particulier onderzoeksbureau zich af te vragen of het belang van de opdrachtgever gerechtvaardigd is. Indien een werkgever bijvoorbeeld bij herhaling bestolen wordt door zijn personeel, heeft hij een gerechtvaardigd belang om te achterhalen wie zijn vertrouwen geschonden heeft. Als het doel van de opdrachtgever het opsporen van een persoon is en uit de (eerste) contacten tussen het particulier onderzoeksbureau en opdrachtgever blijkt dat het achterliggende doel mogelijk of zeker een bedreiging van de veiligheid van de onderzochte persoon is (bijvoorbeeld ontvoering) moet de opdracht worden geweigerd. Als aan de voorwaarde van een gerechtvaardigd belang voldaan wordt, kan de opdracht aanvaard worden, mits de opdracht en het doel van het onderzoek zo concreet mogelijk worden vastgelegd (zie paragraaf 5.2).

In de wijze waarop de werkgever respectievelijk het particulier onderzoeksbureau in staat gesteld wordt om te achterhalen wie de dader is, zijn echter beperkingen gesteld. Zo verbiedt het Wetboek van Strafrecht dat personen met camera’s worden geobserveerd als dit vooraf niet kenbaar is gemaakt, tenzij degene die de opnamen vervaardigt een goede reden heeft om dit heimelijk te doen. Een opdracht aan een particulier onderzoeksbureau om op incidentele basis een verborgen camera te plaatsen kan derhalve gerechtvaardigd zijn als die goede reden aanwezig is (zie verder paragraaf 7.5).

Bij de daadwerkelijke uitvoering van de opdracht moet een particulier onderzoeker telkens een afweging maken: hoe verhoudt zich het belang van de opdrachtgever tot het belang of de fundamentele rechten en vrijheden van de onderzochte persoon, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer. Deze belangenafweging kan betekenen dat de particulier onderzoeker om redenen van proportionaliteit en subsidiariteit afziet van een op zich voor de hand liggende onderzoekshandeling. In het voorbeeld van het plaatsen van een verborgen camera bij werknemersdiefstal kan dat betekenen, dat niet tot plaatsing wordt overgegaan omdat er alternatieven zijn om vast te stellen wie het vertrouwen geschonden heeft. Als er geen minder ingrijpende alternatieven zijn kan de plaatsing van een verborgen camera uitkomst bieden. Zo’n camera mag echter niet worden opgehangen op plaatsen waar men zich onbespied mag wanen, zoals het toilet.

In de verwerkingsgrondslagen onder b en d wordt met name het belang van de onderzochte persoon tot uitdrukking gebracht.

De verwerkingsgrondslag onder b is met name van belang indien uit de onderzoeksrapporten blijkt dat de verdenking tegen de onderzochte persoon onterecht was en deze er belang bij heeft dat de onderzoeksrapporten of bevindingen van het onderzoek aan een derde worden verstrekt. Het vereiste van uitdrukkelijke toestemming is ook uitgewerkt in paragraaf 7.3 van deze gedragscode voor het interviewen van personen.

Voor het vaststellen of er sprake is van toestemming is essentieel dat de onderzochte persoon in vrijheid heeft kunnen bepalen dat de gegevensverwerking diens toestemming heeft. Bij twijfel over de vraag of de onderzochte persoon zijn toestemming heeft verleend, dient te worden geverifieerd of er terecht van uitgegaan wordt dat de onderzochte persoon er mee heeft ingestemd dat diens persoonsgegevens worden verwerkt. Wanneer de verwerking berust op toestemming, moet het particulier onderzoeksbureau kunnen aantonen dat de onderzochte persoon toestemming heeft gegeven voor de verwerking van zijn persoonsgegevens, bijvoorbeeld door middel van een schriftelijke verklaring (art. 7 lid 1 AVG).

De verwerkingsgrondslag onder d speelt met name een rol bij onderzoeksopdrachten om vermiste personen op te sporen. Het aanvaarden van zo’n opdracht is op zich legitiem. Deze legitimiteit is groter als deze personen vanwege een persoonlijkheidsstoornis of een andere persoonlijke omstandigheid (zoals een ondercuratelestelling of een ontvoering) niet in staat zijn hun eigen belangen te behartigen. De vereisten van proportionaliteit en subsidiariteit – die tot uitdrukking komen in het woord ‘noodzakelijk’ – vergen echter dat het belang van de vermiste persoon in geen geval in strijd mag zijn met het belang van de opdrachtgever. In specifieke situaties kan dat bijvoorbeeld betekenen dat het particulier onderzoeksbureau afziet van het doorgeven van de verblijfplaats van de vermiste persoon aan de opdrachtgever.

Bij de verwerkingsgrondslag die onder c genoemd is, heeft de particulier onderzoeker in feite geen keuze om de gegevens wel of niet te verwerken. De naleving van een wettelijke plicht is ook niet afhankelijk van de toestemming van de opdrachtgever. Het niet meewerken aan een wettelijke plicht kan immers betekenen dat de particulier onderzoeker een strafbaar feit pleegt. Bij het nakomen van wettelijke verplichtingen kan gedacht worden aan een op wettelijke grondslag gebaseerde vordering van een opsporingsinstantie om bepaalde gegevens en/of voorwerpen uit de opdrachten- c.q. voorvallenregistratie ter beschikking te stellen respectievelijk uit te leveren (denk aan de artikelen 96a,126a en 126nd van het WvSv). De verwerking wordt ook uitgevoerd wanneer een particulier onderzoeker wordt opgeroepen om te getuigen in rechte. In het Wetboek van Burgerlijke Rechtsvordering (artikel 165) en het WvSv zijn bepalingen opgenomen, die degene die op wettige wijze is opgeroepen in een gerechtelijke procedure verplichten een getuigenis af te leggen. De verwerking geschiedt eveneens in die gevallen dat artikel 160 WvSv een ieder verplicht (dus ook de particuliere onderzoeker) om aangifte te doen bij een opsporingsambtenaar, indien hij kennis draagt van bepaalde misdrijven. Daarbij kan gedacht worden aan misdrijven zoals moord, doodslag, verkrachting, mensenroof en misdrijven tegen de veiligheid van de staat.

Op basis van wet- en regelgeving, de drie basisregels, rechterlijke uitspraken, achtergrondstudies en verkenningen van de Autoriteit Persoonsgegevens worden in de paragrafen 7.2 tot en met 7.8 normen gegeven voor de meest voorkomende onderzoeksmethoden en -middelen. Indien overeenkomstig deze normen wordt gehandeld is (verdere) gegevensverwerking in beginsel rechtmatig. Tenzij de rechter in een concrete situatie anders oordeelt wordt dan voldaan aan de criteria van artikel 5 lid 1 onder a AVG. Naast de normen die in de paragrafen 7.1 tot en met 7.8 zijn opgenomen voor de daar omschreven onderzoeksmethoden en -middelen, neemt de sector particuliere onderzoeksbureaus bij de uitvoering van haar werkzaamheden de normen in acht die in deze paragraaf zijn opgenomen. Deze algemene normen gelden ook voor die onderzoeksmethoden en -middelen die niet uitdrukkelijk in deze gedragscode zijn genormeerd omdat het meer voor de hand liggende onderzoeksmethoden en -middelen zijn die de sector particuliere onderzoeksbureaus hanteert, alsmede onderzoeksmethoden en -middelen die slechts sporadisch worden gebruikt.

Toelichting:

Dit algemene gedragsartikel geldt voor alle onderzoeksmethoden en -middelen die in deze gedragscode uitdrukkelijk genormeerd zijn. De normering geldt ook voor meer of minder voor de hand liggende onderzoeksmethoden en -middelen, zoals het raadplegen van openbare registers en openbare bronnen (zoals het internet), het analyseren van door de opdrachtgever opgevraagde gespecificeerde nota’s bij telecommunicatiebedrijven en het veiligstellen van sporen op de onderzoekslocatie. Verder is deze normering van belang voor onderzoeksmethoden en -middelen die nu nog niet of niet vaak gehanteerd worden, maar in de nabije toekomst wellicht wel (bijvoorbeeld door nieuwe technieken). Een voorbeeld van een onderzoeksmethode dat niet vaak gehanteerd wordt is de inzet van een particulier onderzoeker als pseudowerknemer. Deze onderzoeksmethode kan bijvoorbeeld ingezet worden als een groep werknemers verdacht wordt van het stelselmatig wegnemen van bedrijfseigendommen en er een grote mate van samenspanning vermoed wordt, terwijl het niet mogelijk is om op andere wijze informatie te krijgen over de diefstallen, de daarbij betrokkenen en de onderlinge rolverdeling. In overleg met de opdrachtgever kan er dan voor gekozen worden om een particulier onderzoeker enige tijd ‘werkzaam’ te laten zijn op de afdeling.

Het betreden van plaatsen kan noodzakelijk zijn om het doel van de opdracht te kunnen realiseren. Daarbij kan gedacht worden aan het zoeken naar sporen die in relatie staan tot de onderzochte gedraging, het inzien van bescheiden, het observeren van personen, het kopiëren van bescheiden en het interviewen van personen. Bij het betreden van niet-openbare (besloten) plaatsen dient de particulier onderzoeker rekening te houden met de belangen en rechten van anderen, onder wie de rechthebbende. In deze paragraaf worden normen gesteld om te voorkomen dat een particulier onderzoeker een niet-openbare plaats betreedt en daar een tijdlang onopgemerkt vertoeft of een pand binnendringt zonder medeweten van de rechthebbende. De gedachte dat geen sprake is van ‘wederrechtelijk binnendringen’ omdat de particulier onderzoeker bij het betreden van de niet openbare (besloten) plaats (nog) geen weigering of hindering heeft ondervonden is niet juist.

Toelichting:

Onder niet-openbare (besloten) plaatsen vallen woningen en andere niet-openbare en niet voor een ieder toegankelijke plaatsen, zoals loodsen, fabrieks- of bedrijfsruimten, kantoorgebouwen of erven. Openbare of voor een ieder toegankelijke gebouwen en plaatsen, zoals een winkel gedurende openingstijden, de lounge van een hotel, een bardancing of een restaurant vallen niet onder het begrip niet-openbare (besloten) plaats.

Artikel 138 van het WvSr verbiedt het wederrechtelijk binnendringen in woningen, lokalen en erven die bij een ander in gebruik zijn. Om die reden is in de eerste norm opgenomen dat voor het betreden toestemming van de rechthebbende vereist is. Er zijn situaties denkbaar dat de particulier onderzoeker zich begeeft op een plaats zonder dat de rechthebbende hiervan noodzakelijkerwijs op de hoogte is. Zo kan het bij een woningbrand gebeuren dat een eigenaar-bewoner onbereikbaar op vakantie is, terwijl de verzekeraar van het pand aan een particulier onderzoeksbureau opdracht geeft om een toedrachtonderzoek in te stellen. Het betreden van de plaats is dan toch mogelijk indien de zaakwaarnemende buurman toestemming verleent of de verzekeringsvoorwaarden een beding bevatten dat het ontbreken van toestemming opvult.

Een interview is een gesprek van een of meer particulier onderzoekers met een persoon met het doel om aanwijzingen te vergaren over de al dan niet vermeende betrokkenheid van deze persoon of een derde bij een te onderzoeken gedraging of om informatie te vergaren over iemand in het kader van achtergrondonderzoeken. Als basisregel voor het interviewen geldt dat de medewerking aan een onderzoek te allen tijde gebaseerd is op vrijwilligheid. Een particulier onderzoeker kan immers iemand niet dwingen om op een bepaalde plaats te komen en te blijven, zodat het gesprek gevoerd kan worden, dit in tegenstelling tot opsporingsambtenaren die een verdachte kunnen ophouden voor onderzoek. Als iemand tijdens een interview wil vertrekken kan hij/zij niet worden tegengehouden. Voorafgaand aan het interview zal de particulier onderzoeker deze vrijwilligheid benadrukken. Tevens zal voor aanvang van elk interview de reden van het onderzoek kenbaar worden gemaakt.

Toelichting:

De begripsomschrijving van ‘interview’ moet worden bezien tegen de achtergrond van het type onderzoeken waarmee particulier onderzoekers belast worden. Enerzijds zijn er onderzoeken waarbij getracht wordt om vast te stellen of iemand al dan niet verwijtbaar betrokken is of is geweest bij een bepaalde gedraging, anderzijds zijn er onderzoeken waarbij iemands achtergrond nagetrokken wordt. Zodra er een min of meer officieel gesprek plaatsvindt over de al dan niet vermeende betrokkenheid van iemand bij een onrechtmatige handeling of een gearrangeerd gesprek plaatsvindt in het kader van een achtergrondonderzoek, is sprake van een interview.

Van meet af aan moet dan voor anderen duidelijk zijn dat een particulier onderzoeker als particulier onderzoeker optreedt. Een particulier onderzoeker mag daarover geen misverstand laten bestaan. Het initiatief om te zeggen wie hij is en waarvoor hij komt dient bij de particulier onderzoeker zelf te liggen. Dit komt tot uitdrukking in de eerste norm dat voor het interviewen van personen een uitwerking is van artikel 13 AVG. Op grond van de Wpbr dient de particulier onderzoeker zijn legitimatiebewijs op verzoek te tonen Het komt de transparantie ten goede als de particulier onderzoeker bij de aanvang van het interview het legitimatiebewijs toont en (eventueel) een visitekaartje waarop diens naam is vermeld alsmede de naam en de contactgegevens van het recherchebureau namens wie hij/zij optreedt.

Algemene vragen (zoals: ‘Kunt u mij vertellen op welk huisnummer de heer X woont’ of het inwinnen van inlichtingen bij openbare bronnen (zoals het informeren naar iemands telefoonnummer bij KPN via 0900 8008) vallen niet onder het begrip ‘interview’. Dit soort algemene vragen wordt aangemerkt als sturingsinformatie, informatie die nodig is om richting te geven aan het onderzoek.

Voor de sector particuliere onderzoeksbureaus gelden nauwelijks wettelijke bepalingen die het interviewen normeren. De verplichting voor opsporingsambtenaren om voorafgaand aan een verhoor aan een verdachte de cautie te geven (artikel 29 van het WvSv) geldt niet voor particulier onderzoekers. Het zwijgrecht voor verdachten is bedoeld als waarborg tegen ongeoorloofde druk van justitiële autoriteiten en tegen methoden om bewijs onder dwang en tegen de wil van de verdachte te verkrijgen. De bepaling in de Wpbr, waarin gesteld wordt dat van een beveiligingsorganisatie of particulier onderzoeksbureau mag worden verlangd ‘dat zal worden gehandeld in overeenstemming met hetgeen van een goede beveiligingsorganisatie of van een goed particulier onderzoeksbureau in het maatschappelijk verkeer mag worden verwacht’ is te vaag om daaruit een interviewstandaard af te leiden.

De derde norm is opgenomen opdat achteraf tijdens een rechtszaak kan worden gereconstrueerd hoe het interview met de onderzochte persoon is verlopen. Dit is vooral van belang voor de opdrachtgever als hij zich moet verdedigen tegen de stelling van de onderzochte persoon dat sprake was van ongeoorloofde druk tijdens het interview (en dat daardoor bijvoorbeeld sprake was van handelen in strijd met art. 7:611 BW, het goed werkgeverschap). Als het interview door één persoon wordt uitgevoerd is het voor de opdrachtgever lastig om een dergelijk verweer gemotiveerd te betwisten. Vandaar dat is aangegeven dat het de voorkeur verdient dat het interview door twee personen geschiedt. De twee personen kunnen beide particulier onderzoeker zijn; het is ook denkbaar dat de onderzoeker het interview uitvoert met een vertegenwoordiger van de opdrachtgever (zoals een afdelingsmanager, een medewerker personeelsdienst of een bedrijfsrechercheur). Als het interview wordt opgenomen zijn ook voldoende mogelijkheden aanwezig om de wijze waarop het interview is geschied te reconstrueren. Indien het interview met toestemming van de onderzochte persoon wordt opgenomen moet het particulier onderzoeksbureau kunnen aantonen dat de onderzochte persoon hiervoor toestemming heeft gegeven. De toestemming kan worden opgenomen in het interviewverslag of door middel van een separate schriftelijke verklaring (art. 7 lid 1 AVG).

In de vierde norm wordt aangegeven dat de particulier onderzoeker zich onthoudt van alles waarvan gezegd kan worden dat de verklaring van de bevraagde persoon niet in vrijheid is afgelegd. Alleen al van het bevragen van iemand door een particulier onderzoeksbureau gaat een zekere druk uit. Aangezien gesprekken gevoerd worden op basis van vrijwilligheid is doorgaans geen sprake van ongeoorloofde druk. De grens tussen wat nog wel en wat niet meer geoorloofd is, is moeilijk te trekken. Een indringende bevraging van de onderzochte persoon is op zichzelf toegestaan. Zo is toegestaan dat iemand die ontkent, geconfronteerd wordt met (ander) bewijsmateriaal en mag gewezen worden op de zwakheid van diens positie. Er is echter wel sprake van ongeoorloofde druk indien lichamelijke druk wordt gebruikt. Ongeoorloofd is ook het doen van beloften die niet waar gemaakt kunnen worden of verbaal geweld.

In de praktijk komt het voor dat bij onderzochte personen een vrij defensieve interviewtechniek wordt toegepast. Bij deze interviewtechniek wordt voorafgaand aan het gesprek zoveel mogelijk materiaal verzameld over de onderzochte persoon en diens achtergrond, de zaak zelf, de administratieve procedures en de (digitale of administratieve) sporen die duiden op verwijtbare betrokkenheid van de onderzochte persoon. In het daarop volgende gesprek wordt de onderzochte persoon zoveel mogelijk zelf aan het woord gelaten door middel van ‘open vragen’ (wie, wat, waarmee, wanneer etc). Tijdens dit gesprek blijkt vanzelf of iemand liegt en of feiten verdraaid worden. Met deze leugens wordt hij vervolgens geconfronteerd, zodat hij uiteindelijk gaat inzien dat verder ontkennen zinloos is.

De tweede volzin van de vijfde norm is vooral van belang voor de opdrachtgever als de onderzochte persoon tijdens een rechtszaak stelt dat wat hij tijdens het interview gezegd heeft onjuist is weergegeven. Door het overleggen van de uitgewerkte verklaring kan de opdrachtgever een dergelijk verweer gemotiveerd weerleggen. De analoge toepassing van de tweede volzin van de vijfde norm voor anderen dan de onderzochte persoon benadrukt dat zorgvuldig wordt omgegaan met de belangen van anderen. Als slechts een samenvatting gemaakt wordt van een interview met een ander dan de onderzochte persoon en als deze samenvatting wordt opgenomen in de rapportage, verdient het aanbeveling die samenvatting inhoudelijk af te stemmen met degene met wie gesproken is. Praktisch kan dit door de samenvatting per email toe te sturen en aan de bevraagde persoon te vragen in een reply aan te geven dat hij/zij akkoord is met de samenvatting.

Observatie vindt plaats indien gedragingen van iemand of hetgeen bekend moet worden om onderzoekstactische redenen niet rechtstreeks aan de onderzochte persoon of een derde gevraagd kan worden. Observatie kan ondersteund worden met technische hulpmiddelen (zoals camera’s, zie paragraaf 7.5) of plaatsbepalingsapparatuur (zoals GPS-apparatuur bij het volgen van voertuigen).

Toelichting:

Observatie is een belangrijke onderzoeksmethode als er duidelijke aanwijzingen zijn dat iemand zich schuldig maakt of zal maken aan laakbaar en/of strafbaar handelen of indien er gerede twijfel is omtrent de juistheid en volledigheid van de feiten op grond waarvan een uitkering worden wordt verlangd of verleend. Er kan onderscheid gemaakt worden tussen statische observatie en dynamische observatie (volgen). In het eerste geval wordt uitgegaan van het gadeslaan van (een) perso(o)n(en), goederen en/of situaties vanuit een bepaalde positie (bijvoorbeeld een vast observatiepunt met doorkijkspiegel). Bij dynamische observatie gaat het om het volgen van de activiteiten van een bepaalde perso(o)n(en), goederen en/of situaties. Observatie kan met gewone zintuiglijke waarnemingen geschieden (directe observatie), maar ook door gebruik te maken van video- en fotocamera's (indirecte observatie). In de regel zal observatie heimelijk zijn. Dit betekent dat personen worden gadegeslagen zonder dat zij hiervan op de hoogte zijn.

Uit verschillende rechterlijke uitspraken kan worden geconcludeerd dat een inbreuk op de privacy niet snel wordt aangenomen wanneer de observatie betrekking heeft op gedragingen die in het openbaar plaatsvinden. Personen die zich in het voor het publiek toegankelijke domein bevinden, dienen er rekening mee te houden dat anderen (iedere willekeurige buitenstaander) hen kunnen waarnemen. Het begrip ‘openbaar’ is ruimer dan de openbare weg.

Ook voor het publiek toegankelijke plaatsen vallen daar onder. Zo is de lounge van een hotel en een winkel gedurende openingstijden een voor publiek toegankelijke ruimte. De onder één genoemde norm is op deze jurisprudentie gebaseerd.

De onder twee genoemde norm ziet onder meer op observatie waarbij gebruik gemaakt wordt van zintuigversterkende hulpmiddelen zoals een verrekijker of de telelens van een camera. Het gebruik van deze technische hulpmiddelen, is toegestaan. Het gebruik van andere technische hulpmiddelen, zoals een GPS-baken (Global Position System), is slechts in beperkte mate toegestaan, indien dit ondersteunend is aan de observatie. Het plaatsen van een GPS-baken op een te volgen voertuig maakt het mogelijk dit voertuig op afstand te volgen en daarmee de observatie professioneler te doen verlopen.

Daarmee kan tevens worden voorkomen dat halsbrekende toeren in het verkeer moeten worden uitgehaald om te voorkomen dat de geobserveerde uit het zicht geraakt. De inzet van dit middel is beperkt tot bedrijfsvoertuigen en privévoertuigen die bedrijfsmatig gebruikt worden door de onderzochte persoon en is verder beperkt tot die tijden die relevant zijn voor de onderzoeksopdracht. Het aanbrengen van een technisch hulpmiddel in iemands persoonlijke eigendommen zodat op elk moment een exact en volledig inzicht wordt verkregen van de plaatsen waar de geobserveerde is of is geweest, maakt een te grote inbreuk op de privacy en vindt doorgaans geen rechtvaardiging in de aard van de opdracht. Ook de duur van de observatie in combinatie met de frequentie kan er toe leiden dat een min of meer volledig beeld wordt verkregen van bepaalde aspecten van iemands leven, waardoor een niet toegestane inbreuk op de privacy gemaakt wordt.

Bij de onder drie genoemde norm wordt gesproken over situaties waarbij geobserveerde personen er aanspraak op moeten kunnen maken onbevangen zichzelf te zijn. In dit kader kan gedacht worden aan woningen, hotelkamers, badhokjes in zwembaden, paskamers in winkels, relaxinrichtingen en toiletruimten. Daarbij wordt opgemerkt dat het gedurende enkele momenten met het blote oog vanaf de openbare weg gadeslaan van iemand die zich in een woning bevindt, terwijl de ramen niet zijn afgeschermd, niet onder de beperking van de norm valt.

De vierde norm brengt tot uiting dat observatie nauwgezet gerelateerd dient te zijn aan de onderzoeksopdracht. Indien bijvoorbeeld vermoedt wordt dat een uitkeringsgerechtigde van een arbeidsongeschiktheidsverzekering rugletsel veinst, dient de observatie zich te beperken tot gedragingen als het tillen of het slepen van zware voorwerpen. Vooraf moet worden bepaald tot welk resultaat de observatie moet kunnen leiden, bijvoorbeeld het vaststellen dat iemand een ongeoorloofde nevenactiviteit verricht of het vaststellen dat iemand bijklust tijdens ziekte.

Uitspraken waarbij de normering uit privacygedragscode getoetst wordt zijn belangrijk voor de praktijk van het particulier onderzoek.In twee situaties heeft de rechter getoetst of de particulier onderzoeker zich gehouden heeft aan de onder twee genoemde norm in combinatie met de onder drie genoemde norm.

De rechter oordeelde in ECLI:NL:RBHAA:2009:BJ3060 (alimentatiekwestie):

‘Gezien de duur en frequentie van de observaties, alsmede de gedetailleerde inhoud van rapportages, moet er naar het voorlopig oordeel van de voorzieningenrechter sprake zijn geweest van méér dan ‘enkele momenten met het blote oog vanaf de openbare weg gadeslaan’ als bedoeld in de toelichting bij de gedragscode, hetgeen in casu een niet toelaatbare inbreuk op de persoonlijke levenssfeer van ([A] en) [eiser] oplevert. Daarbij is mede van belang dat een aanzienlijk deel van de observaties situaties betreffen waarin [eiser] er aanspraak op moet kunnen maken onbevangen zichzelf te kunnen zijn.’ De particulier onderzoeker werd veroordeeld tot vergoeding van immateriële schade vanwege schending van de persoonlijke levenssfeer.

In de casus de beschreven wordt in ECLI:NL:RBZUT:2007:BB1491 (arbeidsongeschiktheid) was de klager vanaf de openbare weg geobserveerd in diens woning, doordat de onderzoeker eenmaal in de drie uur langs de woning is gereden en verslag had gedaan van diens waarnemingen. Telkens zat de onderzochte persoon in een werkhouding achter zijn bureau, hetgeen hij niet zou moeten kunnen in verband met door hem zelf aangegeven beperkingen. In deze casus was de rechter van mening dat het incidentele observeren vanaf de openbare weg in de woning geen inbreuk op de persoonlijke levenssfeer vormde. De rechter oordeelde dat de duur en de intensiteit van de observatie dermate beperkt zijn gebleven dat daaruit niet volgt dat de onderzoeker een inbreuk op de privacy heeft gemaakt. De vordering tot vergoeding van schade wegens vermeende schending van de persoonlijke levenssfeer werd afgewezen.

Verborgen camera’s worden in voorkomende gevallen ingezet indien gedragingen van (een) onderzochte perso(o)n(en) moeten worden vastgelegd en/of om duidelijkheid te verkrijgen omtrent de identiteit van de vermoedelijke dader(s)/perso(o)n(en) die onrechtmatig handel(t)(en), om zodoende jegens de onderzochte perso(o)n(en) maatregelen te doen nemen door de opdrachtgever van de sector particuliere onderzoeksbureaus.

Indien een verborgen camera wordt ingezet is extra zorgvuldigheid geboden omdat een verborgen camera al snel inbreuk kan maken op de persoonlijke levenssfeer. Dit is ook door de wetgever onderkend. Een tweetal verbodsbepalingen in het WvSr heeft specifiek betrekking op het heimelijk observeren van personen met camera’s (artikel 139f en artikel 441b). Beide bepalingen verbieden het vervaardigen van afbeeldingen van iemand met een technisch hulpmiddel, indien dat heimelijk geschiedt én indien dat wederrechtelijk is. Bij de totstandkoming van deze artikelen is onderkend dat verborgen camera’s in voorkomende gevallen ingezet kunnen worden als particulier onderzoeksmiddel. Als algemene voorwaarde geldt dat de geobserveerde (werknemers of verzekerden) vooraf in algemene zin over het bestaan van deze mogelijkheid in kennis is gesteld. Voor werknemers kan dit in kennis stellen bijvoorbeeld geschieden door middel van een circulaire aan het personeel, waarin is omschreven onder welke omstandigheden de werkgever zich de mogelijkheid voorbehoudt om heimelijke opnamen te maken. In dat geval is geen sprake van een strafbaar feit omdat aan het kenbaarheidsvereiste wordt voldaan. In situaties waarin het heimelijk cameratoezicht niet kenbaar wordt gemaakt, is het aan de rechter om te beoordelen of er al dan niet sprake is van wederrechtelijkheid. Voor particulier onderzoekers betekent dit dat zij zich bij de opdrachtgever moeten vergewissen of de mogelijkheid tot de inzet van heimelijke camera’s bekend gemaakt is en hoe. In alle gevallen dient onderstaande normering in acht te worden genomen.

Toelichting:

Een werkgever die observatie wenst uit te voeren met (een) heimelijke camera(’s) dient voorafgaand aan de inzet een DPIA uit te voeren. De Nederlandse Veiligheidsbranche heeft een model DPIA voor de voorgenomen inzet van een heimelijke camera door werkgevers ontwikkeld. Dit model DPIA is op de website van de Nederlandse Veiligheidsbranche beschikbaar voor belangstellenden.

In het DPIA wordt ook aandacht gegeven aan het bestanddeel ‘wederrechtelijk’ dat in beide strafbepalingen is opgenomen. Door het bestanddeel ‘wederrechtelijk’ wordt ruimte geschapen voor een afweging in concrete situaties, waarbij sprake is van conflicterende (grond)rechten. Iemand die met een verborgen camera betrapt wordt terwijl hij zijn werkgever besteelt, zou kunnen stellen dat zijn privacy geschonden is, omdat de aanwezigheid van de camera niet kenbaar is gemaakt. De werkgever daarentegen zal stellen dat de visueel geobserveerde inbreuk heeft gemaakt op diens eigendomsrechten en dat hij deze diefstal op geen andere wijze had kunnen vaststellen dan door een verborgen camera te plaatsen.

Het gebruik van de verborgen camera is alleen toegestaan indien dat noodzakelijk is voor het leveren van bewijs dat iemand zich schuldig maakt of heeft gemaakt aan ernstig onrechtmatig en/of strafbaar handelen. In de normen 2, 4 en 5 wordt het noodzakelijkheidsvereiste van de eerste norm expliciet tot uitdrukking gebracht.

Hieronder volgt bij wijze van voorbeeld een tweetal situaties waarbij het in het verleden is voorgekomen dat een heimelijke camera is ingezet. In deze gevallen is het niet mogelijk om aangifte in de zin van het WvSv te doen bij de politie. Er is dan geen sprake van strafbaar gedrag door betrokkene, maar wel van onrechtmatig gedrag.

Veel bedrijven beschikken over geautomatiseerde voorzieningen, zoals een computernetwerk. In zo'n netwerk heeft iedere werknemer door middel van een personal computer toegang tot zijn eigen werkgebied waarop hij kan inloggen door middel van de user-id en zijn wachtwoord. Daarnaast beschikken veel werknemers over bedrijfsmiddelen, zoals laptops en mobiele telefoons. De rechthebbende van het computernetwerk respectievelijk de aan de werknemer beschikbaar gestelde bedrijfsmiddelen moet in staat zijn om na te gaan op welke wijze er gebruik wordt gemaakt van deze bedrijfsvoorzieningen, ter controle op de naleving op de gedragsregels op het gebruik daarvan of ter voorkoming van risico’s (voor de technische infrastructuur). Om die reden worden handelingen van werknemers op computers, op computernetwerken en/of het gebruik van computerdiensten (zoals internet) veelal vastgelegd (‘gelogd’). Een werkgever is verplicht zijn personeel hierover te informeren op grond van artikel 13 AVG. Voorts is de werkgever verplicht om over dit vastleggen van gegevens van personeelsleden en het gebruik daarvan te overleggen met de ondernemingsraad op grond van artikel 27 van de Wet op de Ondernemingsraden een en ander voor zover op personeel betrekking hebbende gegevens op structurele basis worden vastgelegd. Zie voor onderzoek in e-mailberichten paragraaf 7.7.3.

Toelichting:

Indien de sector particuliere onderzoeksbureaus optreedt in het verlengde van de rechthebbende van een geautomatiseerde voorziening (zoals het computernetwerk van een bedrijf of een door het bedrijf aan een medewerker beschikbaar gestelde personal computer), is onderzoek, waarbij de op de bedrijfsserver of de harde schijf opgeslagen data benaderd worden geoorloofd. Er is dan geen sprake van ‘wederrechtelijk binnendringen’ in de zin van artikel 138ab van het WvSr. In dat geval is ook geen sprake van gekwalificeerde computer- vredebreuk (art. 138ab lid 2 WvSr), indien het inkijken in de gegevens gevolgd wordt door het overnemen van de gegevens en deze voor zichzelf of een ander wordt vastgelegd (ontvreemden van gegevens).

Het is de verantwoordelijkheid van de opdrachtgever om de gebruikers van het geautomatiseerde systeem in algemene zin te informeren dat handelingen op computers, op computernetwerken en/of het gebruik van computerdiensten worden vastgelegd en onder welke omstandigheden de vastgelegde gegevens in de geautomatiseerde voorzieningen kunnen worden onderzocht.

Er is sprake van gerechtvaardigd belang voor een onderzoek in geautomatiseerde voorzieningen indien sprake is van ernstig onrechtmatig of laakbaar handelen of nalaten. Naast de absolute ernst van handelen of nalaten (zoals diefstal van eigendommen van de werkgever of verduistering) speelt ook de relatieve ernst van het handelen of nalaten een rol. Bij het bepalen van de relatieve ernst van handelen of nalaten spelen verschillende factoren een rol die in onderling verband en samenhang de ernst kunnen bepalen, zoals:

Vertrouwelijke communicatie kan plaatsvinden door het gesproken of geschreven woord of door de overdracht van signalen via de ether of de kabel. Onder vertrouwelijke communicatie valt bijvoorbeeld een in beslotenheid gevoerd gesprek, een niet openbaar e-mailbericht of het niet voor derden bestemde berichtenverkeer via de telecommunicatie-infrastructuur. In de hierna opgenomen paragrafen is telkens opgenomen dat, indien er minder ingrijpende onderzoeks-mogelijkheden zijn om het verweten gedrag aan het licht te brengen of om bewijs te vergaren voor een verweten gedraging, deze de voorkeur hebben. Voor onderzoeken waarbij communicatie een rol speelt betekent dit, dat het in het algemeen minder ingrijpend is de uiterlijke vorm van communicatie te onderzoeken (identificerende gegevens en verkeersgegevens) dan het doen van onderzoek naar de inhoud van de communicatie (wat er gezegd is of wat er geschreven is).

Een proefaankoop is een handeling waarbij het particulier onderzoeksbureau iets afneemt van een ander met de bedoeling gegevens te verzamelen over de wijze van afhandeling van de transactie, dan wel om specifieke gegevens van de verkopende partij en/of het te koop aangebodene te verkrijgen. In het geval van een pseudoklant doet de particulier onderzoeker zich voor als (potentiële) klant om gedragingen van de dienstverlener waar te nemen als deze zijn dienst aanbiedt of uitvoert. Bij beide activiteiten maakt de particulier onderzoeker diens ware identiteit of reden van de proefaankoop of het verzoek om een dienst te verlenen niet bekend.

Toelichting:

In de praktijk zijn er verschillende soorten van proefaankopen. Zo komt het voor dat winkelbedrijven aan particuliere onderzoeksbureaus opdracht geven om reguliere aankopen te doen in hun winkel of winkels om te verifiëren of de kassamedewerkers zich houden aan de geldende kassa-instructies (mystery guesting). Het komt ook voor dat personen voorwerpen of gegevens (informatie) aanbieden die onrechtmatig onttrokken zijn aan de opdrachtgever of aan een derde. In die gevallen moet veelal eerst geverifieerd worden of het inderdaad voorwerpen of gegevens van de opdrachtgever of van een derde betreffen of er moet een beeld worden verkregen van de (betrouwbaarheid van de) aanbieders. Soms wordt voor dit doel voorafgaande aan de proefaankoop samengewerkt met opsporingsautoriteiten (al dan niet in het kader van bijstandsverlening ex-artikel 126ij van het WvSv). Soms wordt een proefaankoop gedaan om vast te stellen of de goederen of de gegevens van misdrijf afkomstig zijn en wordt de politie in kennis gesteld, indien dat is vastgesteld, zodat de politie de gehele partij in beslag kan nemen. Aan een eenmalige transactie kunnen meerdere contacten ter voorbereiding van de transactie vooraf gaan. Zolang nog niet vaststaat dat de aangeboden voorwerpen of gegevens daadwerkelijk van misdrijf afkomstig zijn, is de kans gering dat de particulier onderzoeker zich schuldig maakt aan heling door goederen of gegevens van de aanbieder af te nemen. Indien is vastgesteld dat de goederen respectievelijk de gegevens van misdrijf afkomstig zijn, dient de particulier onderzoeker zich te onthouden van verdere aankopen van dit bewuste product respectievelijk deze bewuste gegevens. Het is dan aan de opdrachtgever om te bepalen of de politie ingeschakeld moet worden.

Bij het optreden als pseudoklant kan gedacht worden aan situaties dat de particulier onderzoeker zich meldt als (potentiële) klant voor een dienst die door de onderzochte persoon wordt aangeboden, zoals een knipbeurt of een medische behandeling. Het afnemen van deze dienst kan geboden zijn als er concrete aanwijzingen zijn dat de onderzochte persoon een degelijke dienst aanbiedt en uitvoert en daarmee het vermoeden bestaat dat hij ten onrechte een uitkering geniet (bijvoorbeeld een periodieke uitkering op basis van een inkomstenverzekering tegen geheel of gedeeltelijke arbeidsongeschiktheid). De onderzoeksmethode kan ook worden ingezet om concurrerende – niet toegestane – werkzaamheden vast te stellen. In het eerste geval is het doel van het afnemen van de dienst het aanschouwen van de lichamelijke en/of mentale (on)mogelijkheden teneinde deze te vergelijken met wat van betrokkene bekend is uit het (verzekerings) dossier. In het tweede geval is het doel om vast te stellen of iemand zich aan zijn afspraken houdt (concurrentiebeding). Door op deze wijze gegevens te vergaren is feitelijk sprake van observatie en gelden tevens de daarop van toepassing zijnde normen (zie hiervoor par. 7.4).

De normering voor proefaankopen is met name geschreven voor de soort van proefaankopen anders dan mystery guesting. Bij deze proefaankopen is het risico aanwezig dat de verkoper wordt uitgelokt tot het plegen van strafbare feiten, hetgeen tot gevolg heeft dat ook de particulier onderzoeker zich schuldig maakt aan een strafbaar feit. Voorkomen moet worden dat een particulier onderzoeksbureau (strafrechtelijk) verwijtbaar betrokken raakt bij het plegen van strafbare feiten door anderen, die voorheen niet de intentie hadden om strafbare feiten te plegen. Om die reden dient de verkoper steeds het initiatief te nemen om goederen en/of diensten aan te bieden. De particulier onderzoeker moet zich steeds afvragen of de verkoop van de goederen of het verrichten van de dienst ook zou zijn geschied als hij zich niet had gemeld als gegadigde.

Hij moet de overtuiging hebben dat de verkoper zich zou hebben ingespannen om een andere gegadigde te zoeken om vervolgens aan deze de goederen te verkopen of de dienst aan te bieden. Ook mogen geen hogere bedragen worden geboden dan de gangbare bedragen.

Indien een particulier onderzoeksbureau één van de in de paragrafen 7.1 tot en met 7.8 genoemde onderzoeksmethoden of -middelen heeft toegepast wordt hiervan een verslag opgemaakt, onder vermelding van de gronden die tot de toepassing van de gehanteerde onderzoeksmethode c.q. -middel hebben geleid. Het verslag maakt deel uit van het dossier en zodoende van de opdrachten- c.q. voorvallenregistratie, maar vormt geen onderdeel van het onderzoeksrapport, tenzij met de opdrachtgever anders is overeengekomen. Door middel van deze verslaglegging is achteraf toetsing mogelijk op de juiste toepassing van onderzoeksmethoden- en middelen. Dat is van belang voor de beoordeling van klachten ex-artikel 18 van de Regeling particuliere beveiligingsorganisaties en recherchebureaus en voor de beoordeling door de Autoriteit Persoonsgegevens van een klacht of een vermeende inbreuk op de AVG ex-artikel 56 lid 2 AVG, alsmede voor de geschillenregeling van de gedragscode. De reikwijdte van het recht tot inzage in het onderzoeksdossier door de onderzochte persoon als vastgelegd in paragraaf 9.1 van deze gedragscode omvat – onder de daar gestelde voorwaarden en beperkingen – ook de verslaglegging van gehanteerde onderzoeksmethoden en onderzoeksmiddelen.

Een belangrijk uitgangspunt van de AVG is dat de verwerkingsverantwoordelijke verplicht is een betrokkene op enig moment te informeren over de verwerking van diens persoonsgegevens.

Indien persoonsgegevens bij de onderzochte persoon worden verkregen, bepaalt artikel 13 AVG dat de verwerkingsverantwoordelijke bij de verkrijging minimaal aan deze mededeelt wat diens identiteit is, alsmede wat de verwerkingsdoeleinden zijn waarvoor de persoonsgegevens zijn bestemd.

Indien persoonsgegevens worden verkregen op een andere wijze dan van de onderzochte persoon, bepaalt artikel 14 AVG eveneens dat de verwerkingsverantwoordelijke de hiervoor genoemde minimale informatie aan de onderzochte persoon mededeelt. Deze mededeling dient binnen een redelijke termijn te geschieden, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, tenzij sprake is van een uitzonderingssituatie als bedoeld in artikel 23 AVG jo artikel 41 lid 1 onder d of i UAVG.

Aanvullend op de minimale informatie neemt de verwerkingsverantwoordelijke passende maatregelen opdat de betrokkene de overige in de artikelen 13 en 14 bedoelde informatie in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt (art. 12 lid 1 AVG).

De informatieverstrekking kan achterwege blijven indien de verwerkingsverantwoordelijke op goede gronden mag aannemen dat de onderzochte persoon reeds over de informatie beschikt.

De verwerkingsverantwoordelijke kan het informeren van de onderzochte persoon tevens achterwege laten in de gevallen als bedoeld in artikel 41 UAVG, in het bijzonder voor zover dit noodzakelijk en evenredig is in het belang van:

In het onderzoeksdossier dient duidelijk kenbaar te zijn dat onderzochte persoon is geïnformeerd door middel van een brief of, in het geval een (confronterend) gesprek (door het particulier onderzoeksbureau) met de onderzochte persoon is gevoerd, door een gespreksverslag waaruit blijkt dat de onderzochte persoon (door het particulier onderzoeksbureau) is geïnformeerd. Het niet informeren van de onderzochte persoon met een beroep op artikel art. 23 AVG jo art. 41 UAVG is alleen mogelijk in uitzonderlijke gevallen.

Het particulier onderzoeksbureau verstrekt de overige in de artikelen 13 en 14 AVG bedoelde informatie aan de onderzochte persoon door deze te attenderen op (het privacy statement op) haar website.

Onder de overigein de artikelen 13 en 14 AVG bedoelde informatie wordt verstaan:

In de chronologie van een particulier rechercheonderzoek en in de verhouding tussen de opdrachtgever en het particulier onderzoeksbureau geschiedt de informatieverstrekking aan de onderzochte persoon als volgt:

Voorafgaand aan het onderzoek:

Na aanvang van het onderzoek:

Indien de onderzochte persoon niet voorafgaand aan het onderzoek op de hoogte is gesteld, wordt hij tijdens het onderzoek geïnformeerd. Daarbij wordt als volgt gehandeld:

Na afronding van het onderzoek:

Toelichting:

De artikelen 13 en 14 AVG bepalen dat het particulier onderzoeksbureau verplicht is diens identiteit op eigen initiatief bekend te maken aan betrokkene en deze te informeren over de doeleinden van de verwerking van persoonsgegevens. De verplichting om dit op eigen initiatief te doen is een belangrijk instrument om het vastleggen van persoonsgegevens door het particulier onderzoeksbureau transparant te maken opdat de onderzochte persoon de rechten kan uitoefenen die in paragraaf 9 zijn opgenomen. Door de vastlegging van persoonsgegevens door een particulier onderzoeksbureau, vooral in die gevallen dat de vermeende misdraging niet kon worden aangetoond, bestaat het risico dat de onderzochte persoon geen weet heeft van de gegevensverwerking, terwijl de gegevens in de toekomst mogelijk wel gebruikt worden om hem te beoordelen. Het feit dat onderzoek is gedaan naar mogelijke misdragingen van betrokkene kan immers aanleiding zijn hem te beschouwen als iemand met een verhoogd risico op fraude die extra aandacht verdient. Een onderzochte persoon heeft het recht om te weten waaraan hij deze aandacht te danken heeft.

Strikt genomen is ook een aan de onderzochte persoon gelieerde persoon ‘betrokkene’ in de zin van de artikelen 13 en 14 AVG. Daarbij kan gedacht worden aan degene die in hetzelfde pand woont als de onderzochte persoon of degenen die op dezelfde afdeling werken als de onderzochte persoon. Hun gegevens worden soms in het onderzoeksdossier opgenomen, bijvoorbeeld als onderdeel van een pandanalyse of afdelingsanalyse. De informatieplicht heeft geen betrekking op deze aan de onderzochte persoon gelieerde personen. Opname van hun gegevens leidt er niet toe dat zij of hun gedragingen in de toekomst beoordeeld worden. Hun gegevens zullen doorgaans na afronding van het onderzoek verwijderd worden ter uitvoering van het beginsel van minimale gegevensverwerking (paragraaf 5.5). Dit neemt niet weg dat de aan de onderzochte persoon gelieerde persoon de rechten kan uitoefenen als bedoeld in paragraaf 9 indien deze vermoedt dat diens persoonsgegevens verwerkt worden.

De AVG onderscheidt twee vormen van informatieverstrekking. Als gegevens rechtstreeks bij een ander verkregen worden – bijvoorbeeld door deze te interviewen – dient deze op de hoogte te worden gesteld op het moment van vergaring van gegevens. Dit is voor het interviewen van personen uitgewerkt in paragraaf 7.3. Indien gegevens buiten de betrokkene om worden verkregen, hetzij bij derden, hetzij door middel van eigen onderzoek, dient de betrokkene nadien geïnformeerd te worden,

Over de wijze waarop de informatie wordt verstrekt, wordt geen normering voorgeschreven, omdat dit per geval verschillend kan zijn. De informatieverstrekking kan mondeling in een rechtstreeks contact tussen (medewerkers van) het particulier onderzoeksbureau en de onderzochte persoon geschieden, maar kan ook schriftelijk gedaan worden. Bij de mededeling van het doel van de gegevensverwerking kan aansluiting worden gevonden bij de opdrachtomschrijving zoals deze is opgenomen in de opdrachtbevestiging tussen het particulier onderzoeksbureau en de opdrachtgever.

Van de mededelingsplicht kan in twee gevallen worden afgezien. In het eerste geval blijft de mededeling (tijdelijk) achterwege omdat opsporingsbelangen dat noodzakelijk maken (artikel 23 AVG jo artikel 41 lid 1 onder d UAVG)). Indien namens de opdrachtgever aangifte gedaan wordt, betekent dat niet automatisch dat de politie direct een aanvang neemt met opsporingsactiviteiten. In dat geval is het risico aanwezig is dat de onderzochte persoon de mededeling zal aangrijpen om maatregelen te nemen om de waarheidsvinding door de politie te belemmeren, bijvoorbeeld door bewijsmateriaal zoek te maken of door mededaders te informeren. De aanwezigheid van een opsporingsbelang moet door een opsporingsambtenaar kenbaar zijn gemaakt. Op het moment dat het opsporingsbelang zich niet meer verzet tegen het informeren van de onderzochte persoon, wordt gehandeld overeenkomstig de sectornormering (zie: Na afronding van het onderzoek, meer specifiek punt 2).

Voorts kan het op de hoogte stellen van de onderzochte persoon (tijdelijk) achterwege blijven, indien dat noodzakelijk is ter bescherming van de rechten en vrijheden van anderen, zoals de opdrachtgever (artikel 23 AVG jo artikel 41 lid 1 onder i UAVG). Indien de mededeling bijvoorbeeld direct na het aanvaarden van de opdracht gedaan wordt is ook hier het risico aanwezig dat de onderzochte persoon de mededeling zal aangrijpen om maatregelen te nemen om de waarheidsvinding te belemmeren. Het noodzaakcriterium vergt een belangenafweging aan de hand van de omstandigheden van het concrete geval. Het particulier onderzoeksbureau zal per geval aannemelijk moeten kunnen maken dat het niet informeren van betrokkene noodzakelijk is. De gemaakte belangenafweging moet in het onderzoeksdossier zijn vastgelegd. Een algemeen argument dat de vertrouwensrelatie kan worden verstoord is – zonder concrete onderbouwing – onvoldoende grondslag voor een beroep op de uitzonderingsbepaling van artikel 23 AVG jo artikel 41 lid 1 onder i UAVG.

Het komt voor – met name bij onderzoeken naar mogelijke fraude met uitkeringen – dat geen verwijtbaat gedrag is geconstateerd, terwijl het vermoeden van fraude blijft bestaan. Het is dan onwenselijk betrokkene direct na afloop van het onderzoek te informeren. Op basis van nieuwe signalen moet het mogelijk zijn op redelijke termijn na afloop van het onderzoek een nieuw onderzoek plaats te doen vinden. Indien de onderzochte persoon direct na afloop van het onderzoek op de hoogte zou worden gesteld van de gegevensvastlegging is niet ondenkbaar dat hij zijn gedrag gedurende langere tijd aanpast. Vervolgonderzoek is dan zinloos, met als gevolg dat hij ten onrechte gebruik blijft maken of heeft gemaakt van de uitkering. Voor dit soort situaties is opgenomen dat overdracht van de informatieplicht aan de opdrachtgever toegestaan is. Deze zal de informatieplicht opschorten. Het opschorten is gebaseerd op artikel 23 AVG jo artikel 41 lid 1 onder i UAVG. Om te voorkomen dat van uitstel afstel komt wordt van het particulier onderzoeksbureau verwacht dat het zich actief inspant om te bewerkstelligen dat de opdrachtgever betrokkene informeert zodra het dossier is gesloten.

Artikel 15 AVG bepaalt dat betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem of haar betreffende persoonsgegevens.

Artikel 15 AVG kan op grond van artikel 23 AVG jo artikel 41 UAVG – onder meer – buiten beschouwing worden gelaten voor zover dit noodzakelijk is in het belang van:

De onderzochte persoon kan het verzoek tot het doen van mededelingen uit de opdrachten- c.q. voorvallenregistratie mondeling of schriftelijk doen.

In alle gevallen dient het particulier onderzoeksbureau zich te overtuigen van de juistheid van de identiteit van verzoeker door overlegging door deze van een identiteitsbewijs.

Binnen één maand na ontvangst van het verzoek wordt de onderzochte persoon medegedeeld of hem of haar betreffende gegevens worden verwerkt.

Indien zodanige gegevens worden verwerkt, bevat de mededeling een volledig overzicht daarvan in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling (zoals inzage) verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

Indien gewenst verstrekt het particulier onderzoeksbureau de onderzochte persoon een kopie van de persoonsgegevens die worden verwerkt.

De schriftelijke mededeling of de inzage blijft achterwege, indien opsporings- en vervolgingsbelangen dan wel particuliere onderzoeksbelangen, het belang van bronbescherming of de bescherming van de rechten en vrijheden van anderen dan de onderzochte persoon en de opdrachtgever daaronder begrepen, het noodzakelijk maken dat een dergelijke mededeling achterwege blijft (artikel 41 lid 1 onder d en i UAVG). Dit wordt van geval tot geval bepaald. De noodzaak om de mededeling achterwege te laten wegens opsporings- en vervolgingsbelangen moet door een opsporingsambtenaar kenbaar zijn gemaakt.

Toelichting:

Een verzoek van iemand met de vraag of diens persoonsgegevens worden verwerkt, is vormvrij. Dat betekent dat zo’n verzoek mondeling (ook telefonisch) en schriftelijk (ook per e-mail) gedaan kan worden. Indien iemand echter telefonisch informeert kan niet geverifieerd worden of de verzoeker daadwerkelijk degene is voor wie hij of zij zich uitgeeft. In dat geval is het risico aanwezig dat persoonsgegevens in verkeerde handen komen, waardoor het belang van de onderzochte persoon geschaad kan worden. Om die reden is opgenomen dat het particulier onderzoeksbureau zich dient te overtuigen van de juistheid van de identiteit van de verzoeker door overlegging door deze van een identiteitsbewijs.

In eerste instantie wordt de verzoeker schriftelijk geïnformeerd dat op hem of haar betrekking hebbende persoonsgegevens worden verwerkt, onder vermelding van een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Bij de mededeling van het doel of de doeleinden van de gegevensverwerking kan aansluiting worden gevonden bij de opdrachtomschrijving zoals deze is opgenomen in de opdrachtbevestiging tussen het particulier onderzoeksbureau en de opdrachtgever. Een particulier recherchebureau kan overwegen om deze schriftelijke mededeling aangetekend te versturen naar het door de verzoeker opgegeven adres.

Als een onderzochte persoon vervolgens expliciet vraagt om inzage in de gegevens die over hem worden verwerkt, kan deze inzage gegeven worden. Indien de onderzochte persoon een kopie (van een deel van het onderzoeksdossier) verzoekt, wordt dat hem of haar verstrekt.

In artikel 23 AVG jo artikel 41 UAVG zijn uitzonderingen genoemd op grond waarvan het noodzakelijk is dat het verstrekken van mededelingen of het doen inzien van stukken of het beschikbaar stellen van een kopie achterwege dient te blijven. Dit is maatwerk en geen kwestie van ‘alles of niets’. Per vastgelegd gegeven of categorie van gegevens moet getoetst worden of een weigeringsgrond van toepassing is. De noodzaak om te weigeren kan aanwezig zijn indien sprake is van nog lopende onderzoeken, waarbij het risico aanwezig is dat de onderzochte persoon de mededeling zal aangrijpen om maatregelen te nemen om de waarheidsvinding te belemmeren. Voorts kan door inzage in het onderzoeksdossier de situatie ontstaan dat de rechten van anderen geschonden worden. Daarbij kan gedacht worden aan tipgevers of aan personen die ten nadele van de onderzochte persoon verklaringen hebben afgelegd. Indien belangen van anderen geschaad worden door inzage of afgifte van kopieën van bescheiden kunnen passages waar mogelijk geanonimiseerd of verwijderd worden, indien de bescherming van die belangen noodzakelijk is.

Artikel 16 t/m 18 AVG bepalen dat betrokkene de verwerkingsverantwoordelijke kan verzoeken hem of haar betreffende persoonsgegevens te rectificeren, te wissen, of te beperken indien deze feitelijk onjuist zijn, niet langer nodig zijn voor de doeleinden waarvoor zij zijn verzameld of anderszins worden verwerkt, dan wel anderszins onrechtmatig worden verwerkt. Het verzoek bevat de aan te brengen wijzigingen.

De verwerkingsverantwoordelijke bericht de verzoeker binnen één maand na ontvangst van het verzoek schriftelijk of dan wel in hoeverre hij daaraan voldoet.

De verwerkingsverantwoordelijke draagt zorg dat een beslissing tot rectificering, wissing of beperking zo spoedig mogelijk wordt uitgevoerd.

Indien het verzoek zonder gevolg blijft, wordt aangegeven waarom het verzoek zonder gevolg is gebleven en wordt verwezen naar de geschillenregeling van hoofdstuk 11 van deze gedragscode.

De verwerkingsverantwoordelijke stelt iedere ontvanger aan wie persoonsgegevens zijn verstrekt in kennis van elke rectificatie of wissing van persoonsgegevens of beperking van de verwerking overeenkomstig artikel 16, 17 lid 1 en 18 AVG, tenzij dit onmogelijk blijkt of onevenredig veel inspanning vergt. De verwerkingsverantwoordelijke verstrekt de betrokkene informatie over deze ontvangers indien de betrokkene hierom verzoekt (art. 19 AVG).

Artikel 21 AVG bepaalt dat betrokkene te allen tijde bezwaar kan maken bij het particulier onderzoeksbureau in verband met zijn specifieke situatie, indien gegevens worden verwerkt op grond van artikel 6 lid 1 onder f AVG.

Het particulier recherchebureau beoordeelt binnen één maand na ontvangst van het bezwaar of het bezwaar gerechtvaardigd is. Indien het bezwaar gerechtvaardigd is, staakt het particulier recherchebureau de verwerking, tenzij het particulier onderzoeksbureau dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering. Indien geen gevolg wordt gegeven aan het bezwaart, wordt aangegeven waarom het bezwaar zonder gevolgen is gebleven en wordt verwezen naar de geschillenregeling van hoofdstuk 11 van deze gedragscode.

Toelichting

Bezwaar is mogelijk tegen verwerkingen die gebaseerd zijn op artikel 6 lid 1 onder f AVG. In paragraaf 5.7 van deze gedragscode is vastgelegd dat dit artikel de verwerkingsgrondslag is voor alle soorten van onderzoeken waarvoor een particulier onderzoeksbureau wordt ingeschakeld. In paragraaf 5.7 is vastgelegd dat het particulier onderzoeksbureau bij de aanvaarding én de uitvoering van opdrachten telkens een belangenafweging moet maken tussen de gerechtvaardigde belangen van de opdrachtgever en de belangen van de onderzochte persoon. Ondanks deze belangenafweging blijft de mogelijkheid bestaan – hoe zorgvuldig en nauwkeurig deze afweging ook heeft plaatsgevonden – dat in een individueel geval een belangenafweging anders had moeten uitvallen. De oorzaak kan liggen in een omstandigheid die het particulier onderzoeksbureau niet bekend was en niet bekend had kunnen zijn. Het aantekenen van bezwaar door de onderzochte persoon betekent dat het particulier onderzoeksbureau een hernieuwde afweging moet maken in het concrete geval. Het is aan de onderzochte persoon om de specifieke situatie aan het particulier onderzoeksbureau ter kennis te brengen. Het maken van bezwaar is vormvrij en kan derhalve ook mondeling gedaan worden.

Een onderzochte persoon zou bijvoorbeeld belang kunnen hebben bij het staken van de verwerking indien hij na de aanvang van het onderzoek – en nog voordat het onderzoeksrapport wordt aangeboden aan de opdrachtgever – overeenkomstig paragraaf 8.1 van deze gedragscode geïnformeerd wordt over het ingestelde onderzoek en de voorgenomen verstrekking van gegevens aan de opdrachtgever. Hij kan er belang bij hebben, dat bepaalde gegevens niet bekend worden aan de opdrachtgever wegens bijzondere persoonlijke omstandigheden (specifieke situatie).

Het particulier onderzoeksbureau is niet verplicht de aangevochten verwerking (bijvoorbeeld een voorgenomen verstrekking of een voorgenomen onderzoekshandeling) op te schorten nadat bezwaar is gemaakt. Indien degene die bezwaar maakt een dringend belang heeft bij het onmiddellijk staken van de verwerking dan dient hij een voorlopige voorziening te vragen bij de rechter (bijvoorbeeld via een kort geding).

Artikel 33 en 34 AVG bevatten bepalingen over het melden van datalekken.

Een inbreuk in verband met persoonsgegevens wordt uiterlijk 72 uur nadat de verwerkingsverantwoordelijke daarvan kennis heeft genomen gemeld aan de Autoriteit Persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen.

Een inbreuk in verband met persoonsgegevens wordt aan betrokkene gemeld indien de inbreuk waarschijnlijk een hoog een risico inhoudt voor de rechten en vrijheden van betrokkene, tenzij voldaan wordt aan de voorwaarden van artikel 34 lid 3 AVG.

De verwerkingsverantwoordelijke documenteert alle inbreuken in verband met persoonsgegevens, met inbegrip van de feiten omtrent de inbreuk in verband met persoonsgegevens, de gevolgen daarvan en de genomen corrigerende maatregelen.

Particuliere onderzoeksbureaus zijn zich bewust van deze bepalingen en leven deze na.

Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens (artikel 35 AVG).

Het particulier onderzoeksbureau neemt naar aanleiding van de uitkomst van de DPIA passende maatregelen om de risico’s voor de rechten en vrijheden van de onderzochte persoon tot een acceptabel niveau te beperken.

Als het particulier onderzoeksbureau niet genoeg maatregelen kan nemen om de risico’s tot een acceptabel niveau te beperken (bijvoorbeeld bij afwezigheid van waarborgen of beveiligingsmaatregelen) dient de Autoriteit Persoonsgegevens te worden geraadpleegd.

Toelichting:

Een data protection impact assessment (DPIA) is een proces dat bedoeld is om de verwerking van persoonsgegevens te beschrijven, de noodzaak en evenredigheid ervan te beoordelen en de daaraan verbonden risico's voor de rechten en vrijheden van natuurlijke personen in te schatten en maatregelen te nemen om de risico’s te beheersen. Onder ‘de rechten en vrijheden van natuurlijke personen’ wordt onder andere verstaan het recht op gegevensbescherming en bescherming van de persoonlijke levenssfeer.

In het document van de Groep Gegevensbescherming artikel 29 (te raadplegen viawww.autoriteitpersoonsgegevens.nl) worden criteria gegeven om te bepalen of een verwerking ‘waarschijnlijk een hoog risico inhoudt’ in de zin van de AVG. De Autoriteit Persoonsgegevens heeft een lijst van soorten van verwerkingen opgesteld waarvoor het uitvoeren van een DPIA verplicht is vóórdat met verwerken wordt begonnen.

Een sectorale DPIA kan geboden zijn als binnen de sector particulier onderzoek een nieuwe technologie in gebruik genomen wordt om gegevens te verzamelen of te analyseren. Daarbij kan gedacht worden aan nieuwe technologieën voor het observeren, monitoren of controleren van betrokkenen. Een DPIA door een individuele verwerkingsverantwoordelijke kan geboden zijn bij aanschaf of vervanging van een nieuw softwarepakket voor de onderzoeks- en voorvallenregistratie.

Ondanks genomen maatregelen is niet altijd uit te sluiten dat een hoog restrisico overblijft voor wat betreft gegevensbescherming en bescherming van de persoonlijke levenssfeer door de op dat moment beschikbare technologie of door onredelijke uitvoeringskosten. Als dat het geval is dient de Autoriteit Persoonsgegevens te worden geraadpleegd voordat met de verwerking wordt begonnen (artikel 36 AVG). Dit heet het proces van voorafgaande raadpleging.

Om de naleving van de AVG aan te kunnen tonen, moet de verwerkingsverantwoordelijke weten welke verwerkingsactiviteiten onder zijn verantwoordelijkheid plaats vinden. Artikel 30 AVG verplicht het particulier onderzoeksbureau een register van verwerkingsactiviteiten bij te houden – onder meer – omdat persoonsgegevens van strafrechtelijke aard verwerkt worden.

Toelichting:

De verwerkingsactiviteiten die in het ‘verwerkingsregister’ moeten worden beschreven hebben niet alleen betrekking op de primaire bedrijfsproces dat tot verwerking van persoonsgegevens in de opdrachten- c.q. voorvallenregistratie leidt, maar ook op ondersteunende bedrijfsprocessen. Daarbij kan gedacht worden aan de personeelsadministratie, de crediteurenadministratie en de toegangsregistratie van het gebouw waarin het particulier onderzoeksbureau gevestigd is.

Het ‘verwerkingsregister’ geeft inzicht in de doeleinden waarvoor het particulier onderzoeksbureau over persoonsgegevens beschikt en hoe de datastromen zijn.