PRIVACY

Geachte mevrouw Fluitsma,

Bij brief van 9 februari 2015, door het College bescherming persoonsgegevens (CBP) ontvangen op 11 februari 2015, heeft u misbruik door derden gemeld van gegevens verzonden door het Automatic Identification System (AIS). U heef hierbij gesteld dat het AIS per 1 december 2014 op de Rijn verplicht is. Het volgen van schepen via internetwebsites gebeurt volgens u altijd zonder toestemming van de betrokkenen, de eigenaren van schepen met een zogenaamde AIS­ transponder. Het gebruik van die gegevens voor onderzoek, commerciële doelen, verzekeringskwesties en dergelijke zal volgens u moeten worden aangemerkt als misbruik van gegevens door derden.

In dit kader bracht u twee zaken onder de aandacht van het CBP.
U verzocht het CBP handhavend op te treden tegen Verzekeringsmaatschappij EFM/Oranje Combinatie (EOC) en tegen Gorcum Actief, een lokale politieke partij in de gemeente Gorinchem. Het CBP zal hieronder op beide zaken ingaan

EOC
De verzekeraar EFM/Oranje Combinatie (EOC) roept volgens u bewoners van woonarken op om schade die zij ondervinden van passerende schepen te melden bij EOC. EOC wijst de bewoners er hierbij op dat zij gebruik kunnen maken van websites waar schepen zijn te volgen om met behulp hiervan vast te stellen welk schip (inclusief tijdstip, vaarsnelheid, koers, etc.) de schade heeft veroorzaakt. U heeft het CBP gevraagd handhavend op te treden tegen de verzekeraar EOC.

Bij uw brief heeft u gevoegd een artikel uit een nieuwsbrief van EOC met de titel ‘Ook afremmen op de snelweg’. Volgens het artikel veroorzaken zuiging en golven veel schade. Het artikel besteedt verder aandacht aan: ‘Wat te doen in geval van schade’. Onder dit kopje is onder andere de volgende tekst opgenomen:
‘Om de kans op verhaal van schade bij de tegenpartij te vergroten moet er direct zoveel mogelijk bewijslast verzameld worden. Denk aan de datum en het tijdstip van de schade/ foto’s van de schade en getuigenverklaringen. Probeer ook de veroorzaker te achterhalen. Dat kan aan de hand van het tijdstip van passeren/ bijvoorbeeld via marine traffic
In meer algemene zin is het volgende van belang. In artikel4 van de Scheepvaartverkeerswet is onder andere bepaald dat bij algemene maatregel van bestuur regels kunnen worden gesteld met betrekking tot het ontvangen, leveren en verstrekken van gegevens met betrekking tot de scheepvaart door organisaties en personen die niet deelnemen aan het scheepvaartverkeer.
Gelet op deze bepaling is vastgesteld het Besluit meldingsformulieren en gegevensverwerkingen scheepvaart. In artikel9, eerste lid, aanhef en onder e, is het volgende bepaald:
‘Een ontvanger van gegevens bedoeld in artikel 5; geeft buiten de in artikel 8 bedoelde gevallen slechts na een daartoe strekkend verzoek inzage in de door hem ontvangen gegevens of verstrekt deze gegevens aan: (...)
e. een verzekeraar als bedoeld in artikel 1:1 van de Wet op het financieel toezkht, indien deze verzekeraar” aannemelijk maakt deze gegevens nodig te hebben voor” het behartigen van de belangen van degene die bij hem verzekerd is en nadat deze verzekerde daarvoor toestemming heeft verleend ( ..)’

Een vergelijkbare regeling is opgenomen voor advocaten.
Dit betekent dat een verzekeraar behoort tot de beperkte kring van personen en instanties die - onder voorwaarde - toegang kunnen krijgen tot de AIS-gegevens.

Beoordeling van uw verzoek
Naar aanleiding van uw verzoek heeft het CBP een eerste verkennend onderzoek verricht om te bepalen of het een ambtshalve onderzoek als bedoeld in artikel60 Wet bescherming persoonsgegevens (Wbp) gaat uitvoeren. Bij de beoordeling van uw verzoek is in de eerste plaats van belang of sprake is van een mogelijke overtreding van de Wbp door EOC. U verwijt EOC dat zij benadeelde woonarkbewoners oproept veroorzakers van schade op te sporen met behulp van AIS. Deze oproep of dit advies van EOC aan benadeelde eigenaren van woonarken staat los van het eventueel zelf verwerken van persoonsgegevens door EOC.

Artikel2 van de Wbp bepaalt dat de Wbp van toepassing is op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens, alsmede de niet geautomatiseerde verwerking van persoonsgegevens die ineen hestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

Uit artikel 1, onder b, Wbp volgt dat onder de verwerking van persoonsgegevens wordt verstaan: ‘elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen,. raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen,met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens.”

Uit artikel 1, onder d, Wbp volgt dat een verantwoordelijke is: /de natuurlijke persoon rechtspersoon of ieder ander die of het bestuursorgaan dat, alleen of tezamen met anderen,. het doe! van en de middelen voor de verwerking van persoonsgegevens vaststelt ‘

Uit het bovenstaande blijkt dat het CBP kan optreden tegen natuurlijke- of rechtspersonen die in de zin van de Wet bescherming persoonsgegevens zijn aan te merken als verantwoordelijke voor het verwerken van persoonsgegevens.

In de door u genoemde kwestie blijkt niet zonder meer dat EOC persoonsgegevens verwerkt. Het betreft uitsluitend een oproep of advies van EOC aan derden inzake het gebruik van persoonsgegevens. Het CBP maakt uit de door u verstrekte informatie derhalve niet op dat sprake kan zijn van een vermeende overtreding van de Wbp. Dit betekent dat het CBP niet bevoegd is om handhavend op te treden tegen EOC.

Gelet op het bovenstaande wijst het CBP uw handhavingsverzoek af en zal derhalve niet nader ingaan op uw verzoek.

Gorcum Actief
Gorcum Actief heeft volgens u een onderzoek uitgevoerd naar het gebruik van de overnachtingshaven in Gorinchem. In een krantenartikel zou de partij openlijk hebben toegegeven voor dit onderzoek gebruik te hebben gemaakt van online beschikbare gegevens over naam en positie van schepen. Gorcum Actief heeft de resultaten van het onderzoek gebruikt om hun standpunt dat uitbreiding van de overnachtingshaven niet noodzakelijk zou zijn, kracht bij te zetten. U verwijt Gorcum Actief persoonsgegevens te hebben gebruikt die zij hebben verkregen van websites die gegevens van het AIS publiceren op hun websites. U heeft het CBP gevraagd handhavend op te treden tegen Gorcum Actief.

Bij uw brief heeft u gevoegd een krantenartikel ‘Overnachten is gratis’. In dit artikel is onder andere het volgende opgenomen:
“De partij ging met haar onderzoek grondig te werk. Partijleden en vrijwilligers telden twee maanden lang hoeveel schepen er ‘s avonds in de Gorcumse Vluchthaven lagen. Aan de hand van satellietsignalen zijn schepen online gevolgd.”

Beoordeling van uw verzoek
Naar aanleiding van uw verzoek heeft het CBP een eerste verkennend onderzoek verricht. Hierbij is het volgende gebleken.

AIS is een systeem dat automatisch de identiteit en de positie van een schip via een marifoonkanaal uitzendt. Met ontvangers kan informatie van AIS zichtbaar gemaakt worden. AIS heeft als doel het verhogen van de veiligheid in de scheepvaart. Inmiddels zijn er diverse websites die de AIS gegevens over schepen op internet publiceren.

Uit stukken van de gemeente Gorinchem blijkt dat Gorcum Actief voor het verzamelen van de gegevens gebruik heeft gemaakt van twee websites, marine traffic en vesselfinder. De verantwoordelijken die het doel en de middelen van deze websites bepalen, zijn in het buitenland (respectievelijke op Cyprus en in Bulgarije) gevestigd.

Bij het bepalen welke signalen, klachten en handhavingsverzoeken het CBP (nader) onderzoekt, stelt het CBP eerst vast wat de maatschappelijke impact van het handhavingsverzoek is. Hierbij gaat het CBP uit van de Beleidsregels handhaving door het CBP (hierna: de beleidsregels).
Hierin staan de voorwaarden op grand waarvan het CBP bepaalt in welke gevallen het tot onderzoek overgaat (prioriteringscriteria). Op basis van deze voorwaarden maakt het CBP een risicoanalyse. Dit is nodig omdat het CBP over beperkte menskracht en middelen beschikt en daardoor niet in staat is om tegen alle overtredingen van de Wet bescherming persoonsgegevens op te treden. Deze werkwijze sluit aan bij het rijksbrede principe van ‘selectief toezicht’.

Het moet gaan om overtredingen waarvan de maatschappelijke impact groot is. Hierbij toetst het CBP of de mogelijke overtreding ernstig is, structureel is en veel mensen treft en binnen de (jaarlijkse) aandachtspunten van het CBP valt. Tevens toetst het CBP of het daadwerkelijk resultaat kan bereiken door handhavend op te treden.
Handhavingsverzoeken die niet aan alle voorwaarden voldoen, leiden zelden tot een onderzoek. Daarnaast houdt het CBP rekening met de omstandigheden van het geval. Kunt u uw zaak bijvoorbeeld voorleggen aan een geschillencommissie? Dan kan dat reden zijn voor het CBP om de zaak niet verder te onderzoeken.

Is aan deze voorwaarden voldaan dan weegt het CBP bovendien uw verzoek af ten opzichte van andere verzoeken / signalen die het CBP heeft ontvangen, hierbij rekening houdend met alle betrokken belangen en omstandigheden van het geval.
Is niet aan alle voorwaarden voldaan of weegt uw verzoek niet op tegen andere verzoeken/signalen, dan gaat het CBP in beginsel niet over tot een onderzoek, tenzij sprake is van zwaarwichtige gronden. Van zwaarwichtige gronden kan bijvoorbeeld sprake zijn wanneer de overtreding heeft geleid tot substantiële maatschappelijke onrust.

Wanneer het CBP uw handhavingsverzoek afwijst, merkt het CBP uw handhavingsverzoek wel aan als een signaal. Signalen geven het CBP belangrijke informatie over in hoeverre bedrijven en organisaties zich in de praktijk aan de wettelijke regels houden voor de bescherming van persoonsgegevens. Ontvangt het CBP veel signalen over hetzelfde onderwerp, dan kan dit aanleiding zijn om (alsnog) een onderzoek te starten.

Structurele overtreding?
Volgens het door u toegezonden krantenartikel heef Gorcum Actief twee maanden lang geteld hoeveel schepen er ‘s avonds in de Gorcumse Vluchthaven lagen. Niet is gebleken dat deze telling nog steeds gaande is. Bij het CBP zijn evenmin andere signalen binnen gekomen over een langere duur van onderzoek door Gorcum Actief. Dit betekent dat, zo al sprake zou zijn van een vermeende overtreding, geen sprake is van een voortdurende en structurele overtreding van de Wbp door Gorcum Actief zodat de impact van de vermeende overtreding beperkt is.

Een overtreding die veel mensen treft?
Uit de toegezonden stukken blijkt dat de Gorcumse Vluchthaven zeven ligplaatsen heeft. In december 2014 zouden gemiddeld drie schepen per nacht hebben aangemeerd en in januari 2015 gemiddeld vijf tot zes schepen. Dit zou betekenen dat nu enkel gegevens over de schepen in de Vluchthaven zijn verwerkt het om maximaal279 schepen zou gaan (waarbij is uitgegaan van gemiddeld zes schepen per nacht in januari). Hierbij moet in aanmerking worden genomen dat het schepen is toegestaan drie dagen te blijven liggen en dat Gorcum Actief overtredingen van deze regel heeft geconstateerd. Hiervan uitgaande zou het om minder dan 279 schepen moeten gaan. Hoewel het niet om een heel kleine groep van betrokkenen gaat, kan in verhouding tot andere kwesties welke aan het CBP worden voorgelegd, niet worden gezegd dat de vermeende overtreding van Gorcum Actief een grote maatschappelijke impact heeft omdat het veel mensen treft.

Een overtreding waarbij effectieve inzet van handhavingsinstrumenten mogelijk is?
De ontvangstapparatuur voor AIS signalen is voor iedereen vrij te verkrijgen. Naast de eerder genoemde websites marine traffic en vesselfinder bestaan nog tal van websites (zoals vesseltracker.com en aislive.com) die deze gegevens op internet publiceren. Het gaat hierbij om websites welke - veelal- een vestigingsadres buiten Nederland hebben (de twee laatst genoemde websites bevinden zich buiten Nederland, respectievelijk in Duitsland en het Verenigd Koninkrijk).
Artikel 4, eerste lid, Wbp bepaalt dat de Wbp alleen van toepassing is op de verwerking van persoonsgegevens in het kader van activiteiten van een vestiging van een verantwoordelijke in Nederland. Nu de verantwoordelijken geen vestiging hebben in Nederland, is het CBP niet bevoegd om onderzoek te doen naar deze verantwoordelijken en eventueel handhavend op te treden. Het CBP kan derhalve zijn handhavingsinstrumenten niet effectief inzetten.

Nu de ontvangstapparatuur vrij is te verkrijgen, is de groep mogelijke overtreders groot. Het betreft bovendien geen vaste, controleerbare groep. Iedereen die over de juiste ontvangstapparatuur beschikt, kan AIS-gegevens verwerken en bijvoorbeeld doorgeven aan exploitanten van AIS-websites. De groep mogelijke overtreders kan hierdoor per moment verschillen, waardoor handhavend optreden niet effectief het verschil zal maken om normconformgedrag bij mogelijke overtreders te bewerkstelligen zonder voortdurend onderzoek te doen naar deze groep mogelijke overtreders. Zoals hiervoor reeds is toegelicht is het CBP bovendien uitsluitend bevoegd om op te treden tegen verantwoordelijken die in Nederland zijn gevestigd.

Onder deze omstandigheden moet, mede in aanmerking genomen het relatie£ grote beslag dat zou moeten worden gedaan op de beperkte capaciteit en middelen van het CBP, het instellen van nader onderzoek naar de handelwijze van Gorcum Actief en een eventueel hierop volgend handhavend optreden niet doelmatig worden geacht.

Overige voorwaarden uit de beleidsregels
De overige voorwaarden uit de beleidsregels blijven onbesproken omdat aan de hierboven besproken voorwaarden niet is voldaan. Voorts is niet gebleken van zwaarwichtige gronden op grond waarvan het CBP toch handhavend moet optreden als bedoeld in artikel4.2 van de beleidsregels.

Conclusie
Nu niet is voldaan aan alle voorwaarden en evenmin sprake is van zwaarwichtige gronden op grond waarvan handhaving door het CBP niet achterwege mag blijven, zoals bedoeld in artikel 4.2 van de beleidsregels, wijst het CBP uw handhavingsverzoek af.

Signaal
Het CBP merkt uw handhavingsverzoek wel aan als een signaal. Signalen geven het CBP belangrijke informatie over in hoeverre bedrijven en organisaties zich in de praktijk aan de wettelijke regels houden voor de bescherming van persoonsgegevens. Ontvangt het CBP veel signalen over hetzelfde onderwerp, dan kan dit aanleiding zijn om een onderzoek te starten. Uw signaal is dus altijd waardevol.

Bezwaar maken
U kunt tegen dit besluit bezwaar maken op grond van artikel 7:1 Algemene wet bestuursrecht. Dit doet u door een bezwaarschrift in te dienen waarin u toelicht waarom u het niet eens bent met het besluit. Stuur uw bezwaarschriftnaar: CBP, Postbus 93374, 2509 AJ Den Haag, onder vermelding van “Awb-bezwaar” op de enveloppe. De termijn waarbinnen u het bezwaarschrift kunt indienen, is zes weken na de dag waarop dit besluit is verzonden. Ik vertrouw erop u hiermee voldoen te hebben geïnformeerd.

Hoogachtend,
Namens het College bescherming persoonsgegevens,
Beleidsadviseur