FAQ

Terug naar overzicht
Privacyprofessional

Mag mijn onderwijsinstelling strafrechtelijke gegevens verwerken?

Verwerkingsgrondslag

Casus

Onderwijsinstellingen krijgen met regelmaat te maken met studenten die in het verleden strafbare feiten hebben gepleegd, hiervoor veroordeeld zijn en tijdens of na detentie (via reclassering) een opleiding willen volgen. Het gebeurt ook dat er studenten zijn met justitiecontacten die bij frequent verzuim vanuit de leerplichtwet een straf opgelegd hebben gekregen. In dat soort situaties vindt begeleiding plaats in overleg met reclassering.

Als begeleider komt je ter ore via een informele kanaal dat er een indicatie is dat een bepaalde student vuurwapengevaarlijk is. Je kent deze student als student met 'justitiecontacten', bijvoorbeeld omdat de student met een enkelband op school is verschenen. Het is essentieel voor de (fysieke en mentale) veiligheid op school dat je deze informatie deelt, bijvoorbeeld met de beveiliging.

Antwoord

De verwerking van strafrechtelijke gegevens is verboden tenzij de organisatie zich kan beroepen op een specifieke wettelijke uitzondering én op een van de grondslagen voor het verwerken van 'gewone' persoonsgegevens.

Ja, dus soms wel

In sommige situaties mogen organisaties dus - onder voorwaarden - strafrechtelijke gegevens verwerken. De belangrijkste voorwaarde in deze situatie is de uitzondering 'de verwerking is toegestaan bij wetgeving die ook passende waarborgen biedt voor de rechten en vrijheden van de betrokken personen'. Het is essentieel dat de rechtmatigheid van de verwerking goed wordt verantwoord.

Context
Aan het verwerken van strafrechtelijke gegevens worden strenge eisen binnen de Algemene Verordening Gegevensbescherming (AVG). De UAVG geeft een nadere invulling aan deze eisen. De AVG onderscheidt drie categorieën persoonsgegevens: algemene persoonsgegevens, bijzondere persoonsgegevens en strafrechtelijke persoonsgegevens.

Er geldt een verwerkingsverbod voor bijzondere persoonsgegevens tenzij aan twee voorwaarden wordt voldaan (wettelijke verwerkingsgrondslag én een wettelijke uitzondering). Voor het verwerken van strafrechtelijke persoonsgegevens geldt een steviger verbod. Onder strafrechtelijke gegevens verstaan we informatie die te maken heeft met strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen.

Vergunning nodig?

Voor het verwerken van die gegevens is een vergunning nodig tenzij je je op een van de uitzonderingen uit de UAVG kunt beroepen. Een van de uitzonderingen is dat je je als organisatie de gegevns alleen intern gebruik voor doelen zoals aangegeven in de UAVG (zie artikel 10 van de AVG en artikelen 32 en 33 van de UAVG), met name in artikel 32, lid d. De organisatie moet zelf beoordelen of er een vergunning moet worden aangevraagd.

NB In dit artikel gaan we uit van het voornemen om strafrechtelijke gegevens te verwerken als dat noodzakelijk is voor de instelling zelf. Voor wetenschappelijk of historisch onderzoek of statistische doeleinden geeft artikel 32, lid f mogelijkheden. Dat is hier verder buiten beschouwing gelaten.

Verantwoorden van de rechtmatigheid van de verwerking


Elementen waar de AP rekening mee houdt bij het beoordelen van de rechtmatigheid, zijn de volgende:

  1. Het gerechtvaardigd belang moet voldoende duidelijk zijn (er moet een zwaarwegend belang zijn bij het kunnen vastleggen van bepaalde strafrechtelijke gegevens in specifieke situaties)
  2. De organisatie moet voldoende rekenschap geven van een goede belangenafweging tussen het belang van de organisatie en de inbreuk op de persoonlijke levenssfeer en de andere rechten en vrijheden van de betrokkene (afwegingen met betrekking tot subsidiariteit en proportionaliteit).
  3. Er moeten voldoende waarborgen zijn voor de betrokkene en die moeten goed zijn vastgelegd.
  4. Er moeten voldoende maatregelen worden genomen om er voor te zorgen dat alleen noodzakelijke persoonsgegevens worden verwerkt.

Hier lees je meer: strafrechtelijke gegevens verwerken en delen - vergunning aanvragen

Tips voor je interne proces

  • Zorg voor een procesbeschrijving waaruit blijkt hoe je omgaat met het verwerken van strafrechtelijke gegevens.
  • Geef duidelijk de kaders van de verwerking aan.
  • Geef de doelstellingen van de verwerking aan en beschrijf concreet voor welke doelen je als organisatie de noodzaak ziet om strafrechtelijke informatie te kunnen vastleggen (denk aan de plaatsing en begeleiding van studenten, het adequaat kunnen omgaan met informeel ontvangen informatie die redelijkerwijs duidt op een mogelijk gevaar voor de sociale veiligheid, etc.).
  • Leg zo weinig mogelijk vast en beperk je waar mogelijk tot 'dat'-informatie (informatie over dat er iets aan de hand is) in plaats van 'wat'-informatie (informatie over wat er aan de hand is). Werk bijvoorbeeld met risico-indicaties, zoals het onderscheid tussen een overtreding en een misdrijf. Beperk je bij de inhoudelijke vastlegging tot:
    • de incidentgroep
    • een risico-indicatie
    • de informatie die je organisatie heeft ontvangen (alleen dat wat nodig is om de vastgestelde doeleinden te behalen)
    • van wie of hoe de informatie is ontvangen
    • welke begeleiding benodigd is
  • Regel goed wie toegang heeft tot de vastgelegde strafrechtelijke gegevens.
  • Zorg waar mogelijk voor het vragen van expliciete toestemming aan de betrokkene zelf.
  • Beschrijf met welke andere wetgeving de verwerking verband houdt (bijvoorbeeld wettelijke eisen rondom sociale veiligheid en arbowetgeving).
  • Zorg ervoor dat je de rechtmatigheid van de verwerking voldoende onderbouwt (zie de vier punten hierboven).

Centrale vragen

Voor het delen en vastleggen van informatie in de ondersteuning staan steeds drie vragen centraal:

  • wat is de noodzaak bepaalde informatie (nu) vast te leggen of te delen?
  • wat kan ik doen om de benodigde informatie zoveel mogelijk in te laten brengen door de betrokkene zelf, in het bijzijn van de betrokkene, of in ieder geval met medeweten van de betrokkene?
  • hoe zorg ik voor transparantie richting de betrokkene over welke informatie  (met  zijn/haar toestemming) waar en met welk doel wordt vastgelegd en hoe heeft de betrokkene inzage?

Verwerkingsgrondslagen

Beoordeel of je je bij de verwerking van strafrechtelijke gegevens kunt baseren op de volgende wet- en regelgeving, waarin de beperkingen/uitzonderingen rondom het verwerken van bijzondere en strafrechtelijke gegevens worden beschreven:

  • AVG, artikel 6, lid 1 (uitdrukkelijke en expliciete toestemming, schriftelijk)
  • AVG, artikel 10
  • UAVG, artikel 32, lid a (uitdrukkelijke en expliciete toestemming, schriftelijk)
  • UAVG, artikel 33, lid 1c (verwijst naar artikel 30) en leden 2a/2b, 3 en 4a
  • UAVG, artikel 30, leden 2a, 3a en 5
  • De aanmerking van de openbare onderwijsinstelling als instelling met publiekrechtelijke taken*

*  Publiekrechtelijke instellingen kunnen zich beroepen op de verwerkingsgrondslag ‘algemeen belang’. Ze worden geacht “de bescherming van de betrokkene of van de rechten en vrijheden van anderen te waarborgen”.