Wat was de wet op de persoonsregistraties?

De Wet persoonsregistraties stelde 'persoonsgegevens' centraal. De Wet Persoonsregistraties (WPR) wordt vervangen door het voorstel dat uitvoering geeft aan richtlijn 95/46/EG van de Europese Unie ter bescherming van de persoonlijke levenssfeer, met name in het kader van de informatiemaatschappij. In deze regeling staat de 'verwerking van gegevens' centraal. Gegevensverwerking omvat onder meer: "het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van persoonsgegevens".

Op 1 juli 1989 treedt in werking de Wet van 28 december 1988, Stb. 665, houdende regels ter bescherming van de persoonlijke levenssfeer in verband met persoonsregistraties, beter bekend als de Wet persoonsregistraties. In deze wet wordt de aanleg en het gebruik van bestanden met persoonsgegevens voor het eerst aan algemene regels gebonden. Met deze regeling heeft de wetgever een nieuw terrein betreden, waarop zich de komende jaren nog wel meer interessante ontwikkelingen zullen voordoen. Voor een goed begrip van de wet is enig inzicht in haar voorgeschiedenis en verdere achtergronden onontbeerlijk. Na een uiteenzetting daarvan zullen in dit artikel de hoofdlijnen van de wet de revue laten passeren.

De Nederlandse Wet bescherming persoonsgegevens, afgekort Wbp, gaf regels ter bescherming van de privacy van burgers. De wet was op 1 september 2001 in werking getreden en verving de Wet persoonsregistraties (1989). De Wbp is voor een groot deel gebaseerd op de Europese dataprotectierichtlijn (95/46/EG). Deze richtlijn is in mei 2016 vervangen door de Algemene verordening gegevensbescherming, maar organisaties hadden tot mei 2018 de tijd hun bedrijfsvoering aan te passen. De uitvoering van de Algemene verordening gegevensbescherming is geregeld in de Uitvoeringswet Algemene verordening gegevensbescherming. In Caribisch Nederland is de Wet bescherming persoonsgegevens BES, afgekort Wbp BES, van kracht, die is afgeleid van de Europees Nederlandse variant. De persoonsgegevens van een gemiddelde burger komen in honderden bestanden voor, bijvoorbeeld bij de gemeente, belastingdienst, huisarts, bibliotheek, supermarkt, sportvereniging en werkgever. Heel veel mensen doen mee aan spaaracties, enquêtes of hebben een klantenkaart. Dit is geen enkel probleem wanneer deze organisaties goed met de gegevens omgaan, maar de gegevens zouden ook (ongewenst) kunnen worden verspreid aan derden. De wet is van toepassing op alle vormen van het verwerken van persoonsgegevens, ongeacht of die verwerking nu op papier of in computerbestanden gebeurt. Verwerken is een heel ruim begrip: het omvat het gehele proces van verkrijgen, combineren, bewerken, opslaan, doorgeven tot vernietigen van gegevens. De Wbp is niet van toepassing op gegevensverwerking voor persoonlijk of huiselijk gebruik en slechts beperkt van toepassing op bijvoorbeeld journalistiek gebruik van persoonsgegevens. De Wbp geeft de burger bepaalde rechten, zoals het recht om te weten wat er met zijn persoonsgegevens gebeurt. De burger mag zijn gegevens - tegen betaling conform het Besluit kostenvergoeding Wbp - te allen tijde inzien en mag ook verzoeken tot onder andere correctie van zijn gegevens en bezwaar maken tegen de verwerking van zijn persoonsgegevens. In het geval van bijvoorbeeld het gebruik van persoonsgegevens voor direct marketing moet dit bezwaar gehonoreerd worden. Organisaties die persoonsgegevens verwerken hebben bepaalde plichten. Zo mogen persoonsgegevens, kort gezegd, verzameld en verder verwerkt worden, mits daarvoor welbepaalde en uitdrukkelijk omschreven doelen zijn en deze doelen gerechtvaardigd zijn door bijvoorbeeld toestemming van de betrokken burger. Ook moeten zij - uitzonderingsgevallen daargelaten - de burger laten weten wat zij met zijn gegevens (gaan) doen. Op de naleving van de Wbp wordt toezicht gehouden door de Autoriteit Persoonsgegevens (tot 1 januari 2016 het College Bescherming Persoonsgegevens geheten) en in Caribisch Nederland het College bescherming persoonsgegevens BES. Het geheel of gedeeltelijk geautomatiseerd verwerken van persoonsgegevens moet in principe gemeld worden aan de Autoriteit Persoonsgegevens. De APg neemt die meldingen op in een openbaar register. Deze opname is geen rechtmatigheidstoets, dat wil zeggen opname betekent niet dat de APg vindt dat de verwerking plaatsvindt in overeenstemming met de Wbp. Sinds 1 januari 2016 heeft elke verwerker en bewerker van persoonsgegevens een verplichting tot het melden van datalekken aan de Autoriteit Persoonsgegevens. Een eerste evaluatie van de Wbp is in 2007 afgerond door het WODC en eLaw@Leiden, Centrum voor Recht in de Informatiemaatschappij.

De Wet van 28 december 1988, houdende regels ter bescherming van de persoonlijke levenssfeer in verband met persoonsregistraties, kortweg de Wet persoonsregistraties of Wpr was een Nederlandse wet die regels stelde aan het gebruik van persoonsgegevens die door een bedrijf of instelling voor een bepaald doel werden verzameld. De wet werd op 1 juli 1989 van kracht. De klant of cliënt van het bedrijf of instelling moest toestemming geven indien de gegevens ook voor andere zaken gebruikt zouden worden. Het toezicht op de naleving van deze wet was ondergebracht bij de "Registratiekamer". In 2001 werd de wet vervangen door de Wet bescherming persoonsgegevens.