Kans voor professionalisering van de onderzoeksbranche
Binnenkort verschijnt bij Sdu een annotatie over de uitspraken van de rechtbank Den Haag in de veelbesproken kwestie-Arib, voormalig voorzitter van de Tweede Kamer. Tegen haar waren signalen bekend over sociaal onveilige situaties binnen het ambtelijke apparaat van de Tweede Kamer, waarbij verzoekster in anonieme brieven met naam en toenaam werd genoemd. Deze zijn gelekt naar de media. Verzoekster maakte bezwaar tegen de manier waarop haar persoonsgegevens zijn verwerkt in het kader van een extern feitenonderzoek. Bij dit feitenonderzoek waren er twee formele opdrachtgevers (het Presidium en de Griffier), twee gedelegeerd opdrachtgevers en een onderzoeksbureau, Hoffmann Bedrijfsrecherche. Zij onderzochten de juistheid van de signalen jegens verzoekers en de vraag hoe de ambtelijke top (Presidium, Griffier, Managementteam) op de meldingen had gereageerd. Verzoeksters advocaten, het bekende duo Gert-Jan en Carry Knoops, vorderden staking van de verwerking, het wissen van haar persoonsgegevens, en inzage in alle op haar betrekking hebbende verwerkingen. Ook hebben zij beperking van de verwerking gevraagd.
In deze eerste deelbijdrage over uitspraak ECLI:NL:RBDHA:2025:1138 bespreek ik de gevolgen voor de particuliere recherchebranche: opdrachtonderzoekers zijn zelf – en dat leer ik mijn cursisten al jarenlang – verwerkingsverantwoordelijken, volgens de rechtbank is er gezamenlijke verwerkingsverantwoordelijkheid.
Tot op heden beschouwen recherchebureaus en andere onderzoekers-in-opdracht zich vaak niet als verwerkingsverantwoordelijken in de zin van de AVG, maar als verwerkers: zij die in opdracht van de verantwoordelijke gegevens verwerken, maar die zelf geen doel of middel bepalen. Om die reden zien we in de branche ook vaak onnodige verwerkersovereenkomsten. Dat maakt niet dat zij zich niet aan de AVG hoeven te houden, maar hun taak en aansprakelijkheid is beperkter, onder meer waar het gaat om de rechten van betrokkene.
De op de Wet en Regeling particuliere beveiligingsorganisaties en recherchebureaus gebaseerde (Privacy)gedragscode sector particuliere onderzoeksbureaus van de vereniging van particuliere beveiligingsorganisaties is hierover minstens ambivalent: hierin staat immers in overwegingen 1.7 namelijk dat de opdrachtgever in overleg met het particuliere onderzoeksbureau bepaalt welke onderzoeksmethode(n) en/of -middel(en) ingezet wordt (of worden) en of voorafgaand aan de inzet daarvan een Data Privacy Impact Assessment (DPIA) moet worden uitgevoerd. Dit zou betekenen dat de opdrachtgever de verwerkingsverantwoordelijke is. Overweging 1.8 van de code bepaalt echter dat onderzoeksbureaus zelf verwerkingsverantwoordelijke is in de zin van de AVG. Dat rijmt niet met elkaar. En het rijmt niet met het oordeel van de rechtbank dat van ‘gezamenlijke verantwoordelijkheid’ sprake is.
De sectornormering waarin staat dat de opdrachtgever verantwoordelijke is, en daarom bijvoorbeeld degene is die beslist over inzet van onderzoeksmiddelen, is daarmee ook achterhaald. Het bureau zelf moet hiermee aan de slag. Dat betekent tevens dat de huidige wettelijk geregelde diplomering voor deze bureaus aan herziening toe is: de verantwoordelijkheden en aansprakelijkheid nemen immers behoorlijk toe en daarvoor is een korte cursus en examen op mbo-niveau onvoldoende voorbereiding.
Dit is een gelukkige ontwikkeling in de professionalisering van de onderzoeksbranche omdat het helaas te vaak voorkomt dat de opdrachtgever (op grond van een overeenkomst van opdracht op grond van art. 7:400 e.v. BW) te veel aan het stuur van het onderzoek blijft zitten. De ingehuurde professional krijgt daarmee ook vaak te weinig ruimte om zelf op een deskundige, onpartijdige en evenredige wijze zijn onderzoek in te richten. Dat heeft gevolgen voor alle betrokkenen: opdrachtgever, beklaagde, melders en mogelijke derden. De kans op ‘onslag op bestelling’ (G. Waling en N. Lodewijk Ontslag op bestelling bij Bezemer & Schubad: hoe integer is de integriteitsindustrie? EW Magazine) is momenteel te groot.
Dat het recherchebureau zelf verantwoordelijk is, behoeft overigens weinig betoog: het is immers wel helder dat een onderzoeker meer is dan een pure uitvoerder van verwerkingsactiviteiten ‘namens de opdrachtgever’: hij moet zelf beslissen over wat hij doet met persoonsgegevens, waarom en op welke manier. Ook de AP neemt al langer dit standpunt in, onder meer in de online voorbeeldlijst van verwerkers: een internetprovider of e-maildienst is een verwerker, want die ‘doet’ zelf niets met de persoonsgegevens; er is geen feitelijke invloed. Een advocaat die juridische advies verleent, heeft doorgaans niet primair de opdracht om persoonsgegevens voor de klant te verwerken. Dat die daarbij ook persoonsgegevens verwerkt, is zijn verantwoordelijkheid. Dat geldt ook voor een zzp’er, tenzij die zich als een gewone werknemer gedraagt, bijvoorbeeld bij tijdelijke vervanging. In alle andere gevallen is er geen gezagsrelatie en maakt hij geen deel uit van de organisatie. Daarom is de zelfstandige, indien hij persoonsgegevens verwerkt, verwerkingsverantwoordelijke.
Verwerkingsverantwoordelijke als bedoeld in artikel 4, aanhef en onderdeel 7) van de AVG is: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen. De vraag is of de hiervoor genoemde partijen samen de doelen en middelen van de verwerking hebben bepaald, zodat er sprake is van een “gezamenlijke verantwoordelijkheid” in de zin van artikel 26 van de AVG.
De rechtbank oordeelt dat dat hier het geval is. Het Presidium en de Griffier gaven opdracht voor het onderzoek, kozen het onderzoeksbureau en stelden het doel van dat onderzoek vast (het achterhalen van de feitelijke juistheid van de anonieme brieven en de reactie van de organisatie op eventuele onveilige situaties). De gedelegeerd opdrachtgevers namen de begeleiding van het onderzoek over en sloten protocollen met onderzoeksbureau Hoffmann. Zij stelden bijvoorbeeld de hoor- en wederhoorprotocollen op en bepaalden in essentie hoe het onderzoek zou worden uitgevoerd. Het recherchebureau voerde het onderzoek uit, stelde interviews op en verwerkte alle relevante persoonsgegevens van verzoekster (en anderen), teneinde een rapport en een samenvatting op te stellen.
De rechtbank overweegt dat uit Richtsnoeren 07/2020 van de European Data Protection Board volgt dat gezamenlijke deelname de vorm kan aannemen van een door twee of meer entiteiten genomen gezamenlijk besluit. Ook kan het resultaat zijn van ‘convergerende beslissingen’ van twee of meer entiteiten met betrekking tot het doel en de wezenlijke middelen. Beslissingen over de verwerking kunnen volgens de rechtbank worden geacht convergerend te zijn als zij elkaar aanvullen en noodzakelijk zijn om de verwerking op zodanige wijze te laten plaatsvinden dat zij een tastbaar effect hebben op de vaststelling van het doel en de middelen van de verwerking. Een belangrijk criterium is dat de verwerking niet mogelijk zou zijn zonder deelname van beide partijen aan het doel en de middelen. De verwerking door elke partij is onscheidbaar en onlosmakelijk met die van de andere verbonden.
De rechtbank is van oordeel dat verweerders het doel van en de middelen voor de verwerking van verzoeksters persoonsgegevens gezamenlijk hebben vastgesteld. Dat zij niet allen in elk stadium van de verwerking betrokken zijn doet niet af aan die gezamenlijke verwerkingsverantwoordelijkheid. Gezamenlijke verwerkingsverantwoordelijken kunnen immers in verschillende stadia en verschillende mate bij de verwerking zijn betrokken. De gezamenlijke vaststelling van doel en middelen heeft in dit geval mede door middel van convergerende besluiten.
Doe mee met de succesvolle cursus Privacy en recht voor onderzoekers op 17 juni 2025 in Utrecht
