CVDR409141_2Verordening persoonsregistraties Regio TwentenlregelingRegio Twente2017-12-12AlmeloBorneDinkellandEnschedeHaaksbergenHellendoornHengeloHof van TwenteLosserOldenzaalRijssen-HoltenTubbergenTwenterandWierdenBlad gemeenschappelijke regeling, 2015, 482Verordening persoonsregistraties Regio TwenteWet persoonsregistratiesalgemeen bestuurbestuur en recht2015-01-19De tekst in dit document is vrij van auteursrecht en databankrecht2015-01-012015-01-01intrekkingOnbekend.Geen.Geen.Verordening persoonsregistraties Regio TwenteHOOFDSTUK1ALGEMENE BEPALINGENArtikel1In deze verordening wordt verstaan onder:

de wet: de Wet persoonsregistraties (28 december 1988, Stb. 665);

persoonsgegevens: een gegeven als bedoeld in artikel 1 van de wet, zijnde eengegeven dat herleidbaar is tot een individuele natuurlijke persoon;

persoonsregistratie: een persoonsregistratie als bedoeld in artikel 1 van de wet, zijnde: een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd of met het oog op eendoeltreffende raadpleging van die gegevens systematisch is aangelegd;

reglement: het reglement als bedoeld in artikel 19 en artikel 20 van de wet;

houder: de houder als bedoeld in artikel 1 van de wet, zijnde: degene diede zeggenschap heeft over een persoonsregistratie;

beheerder: de functionaris die onder verantwoordelijkheid van de houder isbelast met de dagelijkse zorg voor een persoonsregistratie;

verstrekken van gegevens uit een persoonsregistratie: een verstrekking als bedoeld in artikel 1 van de wet, zijnde: het uit bekendmaken of ter beschikking stellen van persoonsgegevens,voor zover zulks geheel of grotendeels steunt op gegevens die in die persoonsregistratie zijn opgenomen, of die door verwerking daarvan, al dan niet in verband met andere gegevens, zijnverkregen.

het verstrekken van gegevens aan een derde: een verstrekking als bedoeld in artikel 1 van de wet, zijnde: het verstrekken van gegevens uit een persoonsregistratie aan een persoon of instantie buiten de organisatie van de houder, met uitzondering van het verstrekken aan de bewerker of de geregistreerde.

Artikel2Deze verordening is van toepassing op alle persoonsregistraties, met uitzondering van de in artikel 2van de wet vermelde en op grond van artikel 54, vierde lid, van de wet aangewezen registraties.HOOFDSTUKIIHOUDERSCHAP EN TOEZICHTArtikel3Het dagelijks bestuur is houder van de persoonsregistraties.Artikel41.De houder neemt de besluiten op grond van de in artikel 5, eerste en tweede lid, en artikel 12slechts na verkregen advies van de voor het geven van advies in aanmerking komendecommissie(s).2.Indien het besluit afwijkt van een door de meerderheid van de commissie uitgebracht advies,wordt het besluit terstond ter kennis van het algemeen bestuur gebracht, met daarbij gevoegd hetadvies van de commissie.HOOFDSTUKIIIHET REGLEMENTArtikel51.De houder stelt voor zijn persoonsregistraties, niet zijnde persoonsregistraties als bedoeld inartikel 22 van de wet, een reglement vast.2.De houder kan voor andere persoonsregistraties dan bedoeld in het eerste lid een reglementvaststellen.HOOFDSTUKIVHET OPENBAAR REGISTERArtikel61.Het dagelijks bestuur houdt een openbaar register bij, waarin alle persoonsregistraties en debesluiten tot verstrekking als bedoeld in de artikelen 9 en 10 worden ingeschreven.2.Het register ligt voor een ieder kosteloos ter inzage op het secretariaat van de regio.Artikel7De inschrijving van een persoonsregistratie, waarvoor op grond van de wet of deze verordening eenreglement is opgesteld, geschiedt door opneming van het reglement in het register en bij de overigepersoonsregistraties door vermelding van de naam, het doel, de categorieën van personen waarvanpersoonsgegevens zijn opgenomen, de categorieën van opgenomen gegevens en het organisatieonderdeelwaar de persoonsregistratie wordt gehouden.Artikel8De houder draagt er zorg voor dat iedere wijziging van een reglement terstond in het register wordtopgenomen.HOOFDSTUKVBIJZONDERE VORMEN VAN VERSTREKKING VAN PERSOONSGEGEVENS.Artikel91.Het samenbrengen van verschillende persoonsregistraties in één gegevensverzameling op zodanige wijze dat meervoudige opslag wordt voorkomen en de samengebrachte gegevens uitsluitend afzonderlijk kunnen worden gebruikt overeenkomstig de doelstellingen, het reglement en andere eisen gesteld voor de afzonderlijke persoonsregistraties, mag alleen plaatsvinden op grond van een besluit van de houder.2. Het besluit wordt in het openbaar register opgenomen.Artikel101.Een niet in het reglement voorziene verstrekking van gegevens uit een geautomatiseerdpersoonsregistratie door een beheerder aan een andere beheerder met het oog op het in verbandbrengen van deze gegevens met gegevens uit een ander geautomatiseerde persoonsregistratiekan alleen plaatsvinden op grond van een besluit van de houder van de betrokken persoonsregistraties.2.Het besluit wordt in het openbaar register opgenomen.3.Indien de in het eerste lid bedoelde verstrekking plaatsvindt voor een eenmalig gebruik van hetaangelegde verband, wordt in het besluit vermeld met welk doel de gegevens uitsluitend metelkaar in verband mogen worden gebracht en mogen worden gebruikt.4.In andere gevallen behelst het besluit tevens de vaststelling van een reglement en de aanpassingvan het reglement van de persoonsregistratie waaruit de verstrekking plaatsvindt.Artikel111.Onverminderd het bepaalde in de artikelen 9 en 10 kan de houder, met inachtneming van detoepasselijke wettelijke voorschriften, besluiten dat aan andere personen en instanties dan voorzienin een reglement persoonsgegevens kunnen worden verstrekt.2.Onverminderd het bepaalde in de artikelen 9 en 10 kan de houder besluiten dat aan personen eninstanties als vermeld in een reglement andere persoonsgegevens worden verstrekt dan in hetreglement is voorzien.3.Een besluit als bedoeld in de voorgaande leden kan slechts genomen worden naar aanleiding vaneen concreet verzoek om het incidenteel verstrekken van persoonsgegevens.HOOFDSTUKVIBEVEILIGINGArtikel121.Het dagelijks bestuur stelt een beveiligingsplan vast waarin is aangegeven welke voorzieningenvan technische en organisatorische aard zijn getroffen tegen verlies of aantasting van gegevensen tegen onbevoegde kennisneming, wijziging of verstrekking ervan.HOOFDSTUKVIIOVERGANGS-EN SLOTBEPALINGENArtikel13Deze verordening treedt in werking op de eerste dag van de maand, volgende op die waarin debekendmaking heeft plaatsgevonden.Artikel14Afkondiging van deze verordening geschiedt door vermelding van haar essentie en de plaats vanterinzagelegging in een of meer dag- of huis-aan-huisbladen.Artikel15Deze verordening kan worden aangehaald als: Verordening persoonsregistraties Regio Twente.Toelichting op de Verordening Persoonsregistraties Regio Twente2. Algemene toelichtingOp 1 juli 1989 is de Wet persoonsregistraties (Stb. ’88, 665) in werking getreden. Daarmee heeft een aantal belangrijke elementen van de privacybescherming een wettelijke basis gekregen. Zo geeft de wet voorschriften betreffende:

de toelaatbaarheid van persoonsregistraties en van het opnemen daarin en verstrekken daaruit van persoonsgegevens;

de taken en verantwoordelijkheden van de houder;

de rechtspositie van de geregistreerde;

het toezicht en de controle op de naleving van de wet;

de plicht van overheidslichamen om de onder hun verantwoordelijkheid bijgehouden persoonsregistraties op een bepaalde wijze te reglementeren.

Daar door de regio Twente op diverse punten gewerkt wordt met persoonsregistraties is de wet rechtstreeks toepasbaar op de Regio Twente. Toch wordt het gewenst om in aanvulling op de weteen verordening vast te stellen. Dit omdat de bescherming van persoonsgegevens niet alleen gediend is met een landelijke regeling, maar ook vooral door binnen de Regio Twente scheppen vanbestuurlijke en organisatorische waarborgen voor een juist gebruik ervan. Deze wenselijkheid bestaat er met betrekking tot de volgende onderwerpen:

het eenduidig bepalen wie binnen de Regio Twente houder is en welke verplichtingen, naast de in de wet genoemde, op de houder rusten;

het scheppen van interne controle op de besluiten die mede op basis van de verordening genomen worden;

het scheppen van duidelijkheid aan de geregistreerden over de binnen de Regio Twente aanwezige persoonsregistraties, door het instellen van een openbaar register;

het koppelen en integreren van persoonsregistraties, in de verordening aangeduid met bijzondere vormen van verstrekking.

De verordening is opgebouwd uit de volgende hoofdstukken:Hoofdstuk 1. Algemene bepalingenHoofdstuk 2. Houderschap en toezichtHoofdstuk 3 Het reglementHoofdstuk 4 Het openbaar registerHoofdstuk 5. Bijzondere vormen van verstrekking van persoonsgegevensHoofdstuk 6. BeveiligingHoofdstuk 7. Overgangs- en slotbepalingen.3. Artikelsgewijze toelichtingArtikelen 1 en 2De begrippen die in de verordeningen worden gebruikt zijn de begrippen uit artikel 1 van de wet.Het kernbegrip is ‘de persoonsregistratie’, zijnde een samenhangende verzameling van op verschillende personen betrekking hebbende persoonsgegevens, die langs geautomatiseerde weg wordt gevoerd of met het oog op een doeltreffende raadpleging van die gegevens systematisch is aangelegd.In de definitie zitten de volgende elementen:

persoonsgegevens; dit zijn gegevens die herleidbaar zijn tot een individuele, natuurlijke persoon. Naast het in cijfers of letters vastleggen van persoonsgegevens, kan ook gedacht worden aan persoonsgegevens in de vorm van foto’s, vingerafdrukken e.d. In de praktijk komt het voor dat in een registratie naast gegevens over natuurlijke personen ook gegevens over rechtspersonen zijn opgenomen. Deze laatste gegevens zijn geen persoonsgegevens. De verzameling als geheel kan veelal wel als een persoonsregistratie worden aangemerkt;

De registratie moet persoonsgegevens bevatten van verschillende personen;

De registratie moet een samenhangende verzameling van persoonsgegevens zijn. Deze samenhang kan ondermeer blijken uit de wijze waarop die verzameling toegankelijk is;

De registratie dient - voor zover zij niet langs geautomatiseerde weg wordt gevoerd - met het oog op een doeltreffende raadpleging systematisch te zijn aangelegd. Zo zullen gegevensbestanden in de vorm van kaartsystemen, of in hoofdzaak bestaande uit voorgedrukte formulieren, in de regel wel onder het begrip systematisch aangelegd vallen. Dossierverzamelingen die uitsluitend bestaan uit een hoeveelheid op alfabet gerangschikte dossiers met losse aantekeningen en min of meer chronologisch geordende documenten van velerlei aard, zullen vaak niet onder het begrip vallen. Denk hierbij aan personeelsdossiers, waarbij alle persoonsgegevens over een personeelslid chronologisch zijn opgeborgen, zonder nadere rubricering naar onderwerp. Ook een dossier met vergunningaanvragen en –besluiten die chronologisch zijn gerangschikt is veelal niet systematisch toegankelijk. Het begrippenapparaat van de wet is toegespitst op systematisch aangelegde verzamelingen en niet op verzamelingen waarin weinig structuur zit. Zo is het bij de laatstgenoemde verzamelingen ondoenlijk aan te geven welke soorten van gegevens in de verzameling zijn opgenomen waardoor ook niet op voorhand bepaald kan worden aan wie welke gegevens zullen worden verstrekt.

Artikel 2 van de verordening neemt artikel 2 van de wet als uitgangspunt voor de beschrijving van het toepassingsbereik van de verordening.Met deze verordening wordt beoogd de organisatie en het toezicht op alle persoonsregistraties binnen de Regio Twente te stroomlijnen.Artikelen 3 en 4De zeggenschap over persoonsregistraties wordt in beginsel opgedragen aan het dagelijks bestuur.Over registraties die ter uitvoering van tal van bijzondere wetten worden bijgehouden, heeft het dagelijks bestuur die zeggenschap veelal niet op basis van deze verordening, maar op basis van de bijzondere wet dan wel artikel 160 van de Gemeentewet.Artikel 33 van de Wet Gemeenschappelijke Regelingen (WGR) juncto art. 166 Gemeentewet, maakt het voor het dagelijks bestuur mogelijk om aan ambtenaren (bijvoorbeeld sectorhoofden) zijn bevoegdheden over te dragen. In de verordening is duidelijk gesteld dat het dagelijks bestuur dit kan doen.Een dergelijke keuze dient verband te houden met de belasting van het bestuur met detailzaken en vergaderfrequentie. Er dient o.a. rekening gehouden te worden met wettelijke termijnen die in werkingtreden wanneer een betrokkene zich op grond van art. 34 WPR tot de arrondissementsrechtbank wendt.Ook kunnen andere mogelijkheden van de uitvoering van het houderschap in beeld komen (mandaat).In artikel 4 krijgt het toezicht binnen de Regio Twente concreet vorm, doordat op het dagelijks bestuur de plicht rust om bij een aantal essentiële besluiten een vaste commissie van advies te betrekken.Besluiten die afwijken van een door de meerderheid van deze commissie gesteund advies worden terstond ter kennis van het Algemeen Bestuur gebracht.In verband met de relatief lage vergaderfrequentie in relatie met de reactie- en beroepstermijnen die de wet stelt wordt tevens voorgesteld om, in afwijking van het VNG-model, niet voorziene verstrekkingen(volgens art. 10 van de verordening) niet door een vaste commissie te laten toetsen.Artikel 5De WPR kent het stelsel dat in beginsel alle persoonsregistraties reglementsplichtig zijn.Bij AmvB kan een registratie van de reglementsplicht worden ontheven. In deze verordening is vastgelegd dat het dagelijks bestuur voor deze registraties de mogelijkheid heeft om alsnog eenreglement vast te stellen.Voor de inhoud van het reglement is artikel 20 WPR bepalend. Daarin is vastgelegd dat in ieder geval de volgende onderwerpen geregeld moeten zijn:

doel van de registratie;

categorieën van personen over wie gegevens in de registratie worden opgenomen;

soorten van opgenomen gegevens en wijze van verkrijgen;

verwijdering van gegevens;

categorieën van personen en instanties waaraan gegevens worden verstrekt;

soorten van gegevens die aan deze personen en instanties verstrekt worden;

rechtstreekse toegang tot de registratie;

verbanden met andere registraties;

de wijze waarop de geregistreerde kennisneming en verbetering van de opgenomen gegevens kan verkrijgen;

de wijze waarop de geregistreerde mededeling van verstrekking van gegevens aan derden kan verkrijgen;

hoofdlijnen van het beheer.

Artikelen 6, 7 en 8Artikel 19 WPR bepaalt dat de reglementen alsmede de wijziging en de intrekking ervan bekend worden gemaakt en voor een ieder ter inzage worden gelegd overeenkomstig regels bij algemene maatregel van bestuur te stellen.In de lijn hiervan ligt de in de verordening opgenomen verplichting dan het dagelijks bestuur een openbaar register instelt. Naast reglementen zal dit register ook gegevens bevatten van registraties die op basis van artikel 22 WPR niet reglementsplichtig zijn. Het betreft hier de gegevens over het doel van de registratie, de categorieën van personen waarvan persoonsgegevens zijn opgenomen, de categorieën van opgenomen gegevens, het organisatieonderdeel dat belast is met het beheer over de registratie en de naam van de registratie.Door opname van deze gegevens wordt openheid aan de geregistreerde geboden.Artikelen 9, 10 en 11Tot de bijzondere vormen behoort vooral het samenvoegen van persoonsgegevens binnen de organisatie van de Regio Twente. Voor het samenvoegen van persoonsgegevens gebruikt men vaak de termen koppeling en integratie. De wet kent deze termen niet. Omdat aan iedere koppeling of integratie een verstrekking van gegevens voorafgaat en deze verstrekking al aan normen is gebonden, werd van het gebruik van de termen koppeling en integratie afgezien.Voor de verstrekking van gegevens binnen de Regio Twente geldt als norm dat de ontvanger van de gegevens deze gegevens ingevolge zijn taak mag ontvangen. Bovendien geldt als eis dat het gebruik van een gegeven - en het koppelen is een vorm van gebruik - verenigbaar moet zijn met het doel van de registratie waar dit gegeven in opgenomen is.Omdat de wet al de normen aangeeft waaraan verstrekkingen moeten voldoen was een apart regime voor het samenvoegen of het met elkaar in verband brengen van gegevens niet meer nodig.Het is van belang dat deze vormen van verstrekking van een extra waarborg worden voorzien.De in de artikelen 9 en 10 bedoelde verstrekking moet daarom in het openbaar register worden opgenomen.Artikel 9 betreft eigenlijk het op meer efficiënte wijze samenbrengen van persoonsregistraties door te voorkomen dat gegevens dubbel opgeslagen worden. Dit samenbrengen leidt eigenlijk weer tot een nieuwe persoonsregistratie, die aan de eisen van de oorspronkelijke registraties dient te voldoen en dus ook aan doelstelling, reglement e.a. eisen. De houder dient hierover te beslissen en dit besluitwordt opgenomen in het openbaar register.Artikel 10 behandelt de situatie, wanneer een beheerder (van een geautomatiseerd gegevensbestand) van een andere beheerder (met eenzelfde soort bestand) gegevens verstrekt krijgt, zonder dat ditgeregeld is in een reglement. In een dergelijke situatie dient de houder eerst hierover te beslissen.Deze beslissing wordt opgenomen in het openbaar register.Wanneer de verstrekking eenmalig is, dient in de beslissing aangegeven te worden met welk doel dit is geschied en met welk doel de gegevens worden gebruikt.Wanneer de verstrekking meerdere malen plaatsvindt, dan dienen de reglementen terzake aangepastte worden.Artikel 11 behandelt de situatie indien een verzoek tot verstrekking van persoonsgegevens wordt gedaan wanneer:

de verzoeker niet als zodanig genoemd is in het reglement; of

een verzoeker, die wel vermeld is in het reglement, andere persoonsgegevens vraagt, dan aan hem, op grond van het reglement, verstrekt mag worden.

De houder beslist over deze situaties. Met andere woorden regelt artikel 11 de incidentele verstrekking van gegevens welke niet in het reglement is voorzien noch in de artikelen 9 en 10.Bovendien moet aan de verstrekking een verzoek ten grondslag liggen.De achtergrond van dit artikel is dat niet alle verstrekkingen voorzienbaar zijn en een plaats in het reglement zullen hebben gekregen.Te denken valt hier aan verzoeken van derden om gegevens uit een onder de WPR vallende persoonsregistratie. Dergelijke verzoeken moeten veelal op grond van de WOB beoordeeld worden.Eveneens kan gedacht worden aan verzoeken van personen en instanties met een publieksrechtelijke taak waarvoor, naast artikel 11, artikel 18, lid 3, van de wet een bevoegdheid tot gegevensverstrekking biedt.Tot slot kan binnen het kader van de WPR gedacht worden aan niet voorzienbare gegevensverstrekking binnen de Regio Twente. Artikel 6, leden 1 en 2 van de wet geven de normen aan waarbinnen tot verstrekking kan worden overgegaan.Artikel 12Beveiligingsmaatregelen kunnen zich richten op het voorkomen (preventiemaatregelen), verbeteren (correctiemaatregelen) en op het zo beperkt mogelijk houden van de schade (repressieve maatregelen) van een ongewenste inbreuk op het (geautomatiseerde) bestand. De maatregelen dienen zich te richten op handhaving van de betrouwbaarheid van gegevens, op garantie voor de continuïteit van gegevens en bestand en op het beschermen van de vertrouwelijkheid van de gegevens. Dit kunnen technische maatregelen zijn, zoals het opbergen van magneetbanden, schijven e.d. in kluizen en maatregelen in de organisatorische sfeer. Het beveiligingsplan kan zodanig worden opgesteld dat in het reglement bij de afzonderlijke persoonsregistraties voor het onderwerp beveiliging met een verwijzing naar dit plan kan worden volstaan.Artikelen 13, 14 en 15Artikel 14 legt op het dagelijks bestuur de verplichting tot het in ruime kring bekendmaken van de verordening. Daarnaast wordt, ter uitwerking van de wettelijke plicht tot mededeling aan betrokkenendat zij geregistreerd staan (artikel 54, lid 6 juncto artikel 28 van de wet), aan het dagelijks bestuur opgedragen ook melding te maken van de bij de Regio Twente aanwezige persoonsregistraties.Daarbij moet aangegeven worden welke categorieën van personen in deze registraties opgenomen zijn. Uit de brief van de minister van justitie (kamerstuk II, vergaderjaar 86-87, 19095, nr. 23, bijlage 2)blijkt dat bij een duidelijke openbare kennisgeving aangenomen mag worden dat de geregistreerde weet of redelijkerwijs kan weten dat hij in een registratie is opgenomen.