De
Fraudehelpdesk heeft als doel om mensen bewust te maken van de risico’s van fraude.
Regelmatig geeft de Fraudehelpdesk waarschuwingen over frauduleuze praktijken.
Ook wijst de Fraudehelpdesk mensen die te maken krijgen met fraude naar de
juiste instanties. Deze zomer kwam in het nieuws dat de Fraudehelpdesk geen voorbeelden van fraude meer mag
verzamelen, zoals phishing mails, spooknota’s, fraude sms’jes en frauduleuze
websites. De Autoriteit Persoonsgegevens (AP) gaat ervan uit dat op deze wijze
strafrechtelijke persoonsgegevens worden verwerkt. Hiervoor is een vergunning
vereist en de aanvraag hiervoor is door de AP afgewezen. De verwerking van deze
persoonsgegevens zou daarmee in strijd zijn met de Algemene Verordening
Gegevensbescherming (AVG).
Strafrechtelijke
gegevens: goedkeuring / vergunning
Uit het nieuwsbericht volgt dat de Fraudehelpdesk
drie jaar geleden contact heeft gehad met de Autoriteit Persoonsgegevens over
haar werkwijze. In die tijd was de AVG nog niet van kracht. Regels over het
verwerken van persoonsgegevens stonden in de Wet bescherming persoonsgegevens
(Wbp). Op grond van de Wbp was het niet toegestaan om strafrechtelijke persoonsgegevens
te verwerken. Uiteraard zijn er ook uitzonderingen op het verbod. Onder de Wbp
konden strafrechtelijke persoonsgegevens worden verwerkt na melding,
voorafgaand onderzoek en goedkeuring van de AP. Daarbij moet de
verwerkingsverantwoordelijke passende maatregelen nemen ter bescherming van de
rechten en vrijheden van betrokkenen, bijvoorbeeld door in een protocol de
verwerkingen en waarborgen te beschrijven en dit na te leven.
Ook op grond van de nieuwe privacywetgeving is
het niet zonder meer toegestaan om strafrechtelijke gegevens te verwerken. De
AVG bevat een verbodsbepaling ten aanzien van strafrechtelijke gegevens en deze
is verder ingekleurd in de Uitvoeringswet AVG (UAVG). Het verbod is nagenoeg
gelijk aan hetgeen onder de Wbp gold. In de UAVG is bovendien met zoveel
woorden te lezen dat in bepaalde gevallen een vergunning is vereist voor de
verwerking van strafrechtelijke gegevens. Voor het verlenen van deze vergunning
is het vereist dat (i) de verwerking noodzakelijk is, (ii) de verwerking een
zwaarwegend belang dient en (iii) er voldoende waarborgen zijn zodat de
persoonlijke levenssfeer van de betrokkenen niet onevenredig wordt geschaad.
In de praktijk komt de goedkeuring c.q.
vergunning van de AP met name terug bij het bijhouden van zwarte lijsten door
(branche)organisaties die deze gegevens binnen de branche beschikbaar stellen. Deze
(branche)organisaties werken volgens een specifiek protocol dat openbaar
beschikbaar is. Op die manier worden de rechten en vrijheden van betrokkenen
gewaarborgd. Denk bijvoorbeeld aan zwarte lijsten in de detailhandel,
vastgoedverhuur en de logistieke sector. Zowel onder de Wbp als onder de AVG en
UAVG worden hiervoor goedkeuringen en vergunningen gevraagd en ook verleend.
Verwerkingen
door de Fraudehelpdesk: strafrechtelijke gegevens?
Net als de (branche)organisaties die met zwarte
lijsten werken en informatie delen met de aangesloten bedrijven, deelt ook de
Fraudehelpdesk informatie met andere organisaties. De Fraudehelpdesk heeft een
aantal samenwerkingspartners die zij op haar website noemt, zoals de Politie,
de Belastingdienst en International Card Services. Het is echter niet duidelijk
of met hen ook daadwerkelijk strafrechtelijke persoonsgegevens worden
uitgewisseld.
Ten aanzien van het verzamelen van phishing
e-mails, berichten en vermeend frauduleuze websites kun je je de vraag stellen
of het wel gaat om strafrechtelijke gegevens. Wanneer een (vermeend)
frauduleuze mail wordt doorgestuurd aan de Fraudehelpdesk, kunnen er
persoonsgegevens van de afzender worden gedeeld. Dit zegt echter nog weinig
over strafrechtelijk- of hinderlijk gedrag.
Volgens de memorie van toelichting bij de Wbp
heeft het begrip ‘strafrechtelijke gegevens’ niet alleen betrekking op
informatie over veroordelingen, maar ook op min of meer gegronde verdenkingen:
concrete aanwijzingen jegens een bepaalde persoon. Het kan ook gaan om een melding
of aangifte. De reden voor het verbod op de verwerking ligt in het vermoeden
van onschuld (onschuld presumptie) wat inhoudt dat iemand niet zomaar aan een
verdenking mag worden onderworpen; gegevens hierover mogen niet zonder
aanvullende waarborgen worden verwerkt. In de Memorie van Toelichting bij de
UAVG is aangesloten op de begripsbepaling uit de Memorie van Toelichting in de
Wbp. Het begrip is daarmee gelijk gebleven na de invoering van de AVG en de
UAVG op 25 mei 2018.
In jurisprudentie
is echter een minder breed begrip van ‘strafrechtelijke gegevens’ gehanteerd. In
een verzoek van een betrokkene om persoonsgegevens uit een incidentenregister
van een bank te verwijderen, oordeelde het hof in 2007 dat zij onder
‘strafrechtelijke gegevens’ gegevens verstaat die concrete feiten en
omstandigheden bevatten die een als strafbaar feit te kwalificeren
bewezenverklaring kunnen dragen. De Hoge Raad volgde deze uitleg in haar
uitspraak in 2009. Dit uitgangspunt is in latere rechtspraak herhaald, recentelijk ook onder de AVG. De
Rechtbank Midden-Nederland oordeelde dat het weliswaar niet noodzakelijk is dat
vervolging heeft plaatsgevonden om te spreken van een strafrechtelijk gegeven,
maar dat een vermoeden van schuld ook onvoldoende is.
Voornoemde uitspraken gingen over een specifieke
casus en een specifieke betrokkene die om verwijdering van persoonsgegevens
verzocht. In beide gevallen ging het om een incidentenregister van een bank. Het
feit dat voor het incidentenregister zelf goedkeuring c.q. een vergunning is
vereist stond niet ter discussie. De zwarte lijst voor banken is in 2002
ingesteld door de Nederlandse Vereniging van Banken, en werkt thans volgens
Protocol Incidentwaarschuwingssysteem Financiële Instellingen, met goedkeuring van de AP (laatstelijk
in 2017).
Tot slot
Helaas is uit het korte nieuwsbericht en uit de
persverklaring van de Fraudehelpdesk niet goed op te maken of de discussie over
of er wel of niet sprake is geweest van strafrechtelijke persoonsgegevens
gevoerd is.
Het is ook niet duidelijk waarom de AP de
vergunningsaanvraag van de Fraudehelpdesk precies heeft afgewezen. De AP meent dat
de Fraudehelpdesk niet inzichtelijk kon maken welke persoonsgegevens zij
precies verwerkt en voor welke doeleinden. Het is niet bekend of de
Fraudehelpdesk een protocol ten aanzien van de gegevensverwerking heeft, en
indien dat het geval is, wat daaraan schort waardoor de AP meent dat de Fraudehelpdesk
haar huiswerk niet goed heeft gedaan.
Wanneer de AP aangeeft geen vergunning te
zullen verlenen, is dit een besluit in de zin van de Algemene wet bestuursrecht
(Abw) waartegen beroep en bezwaar open. De Fraudehelpdesk zou deze weg kunnen
volgen om (opnieuw) te toetsen of daadwerkelijk sprake is van strafrechtelijke
gegevens. De Fraudehelpdesk heeft echter op haar website bekend gemaakt dat zij
voor verschillende werkzaamheden opnieuw een vergunning aan zal vragen.
