Informatieplicht onderzochte personen

Onderzoek naar een persoon werkt alleen als die persoon er op dat moment niet van weet. Zou de wederpartij vooraf horen dat er wordt geobserveerd, of dat zijn handelen tegen het licht wordt gehouden, dan past hij zijn gedrag aan en blijft er niets te onderzoeken over. Tegelijk heeft die persoon rechten, ook wanneer hij nergens iets van vermoedt. De informatieplicht is de plek waar die twee dingen samenkomen: het recht van iemand om te weten dat zijn persoonsgegevens zijn verwerkt, en het belang van een onderzoek dat zonder zijn medeweten moet plaatsvinden om iets waard te zijn.

De hoofdregel in de AVG is dat je iemand informeert wanneer je gegevens over hem verwerkt die je niet van hemzelf hebt gekregen. Voor particulier onderzoek zou die regel het werk onmogelijk maken. Daarom verwerken onderzoeksbureaus persoonsgegevens van onderzochte personen als regel op grond van een gerechtvaardigd belang, door gericht eigen onderzoek, zonder dat de betrokkene daar voorafgaand van op de hoogte is. Onderzoeksbureaus verwerken als verantwoordelijke als regel persoonsgegevens van onderzochte personen op grond van het gericht verzamelen van informatie door middel van eigen onderzoek zonder dat deze daarvan noodzakelijkerwijs voorafgaand aan de verwerking op de hoogte zijn gesteld. De informatieplicht vervalt daarmee niet. Hij wordt uitgesteld.

De onderzochte persoon wordt in enig stadium van het onderzoek geïnformeerd, in de regel na afronding, over het feit dat er onderzoek naar hem is gedaan en over de uitkomsten daarvan. Onderzochte personen moeten in enig stadium van het onderzoek worden geïnformeerd over de uitkomsten van het onderzoek. Dat is geen gunst en geen keuze van de opdrachtgever, maar een verplichting die volgt uit de Privacygedragscode voor de sector particuliere onderzoeksbureaus, als uitwerking van de artikelen 13, 14 en 23 AVG in samenhang met artikel 41 van de Uitvoeringswet AVG. Vanaf dat moment kan de onderzochte persoon zijn rechten uitoefenen: hij kan inzage vragen in de gegevens die over hem zijn verwerkt, en hij kan een klacht indienen. De gedragscode voorziet in onafhankelijke geschillenbeslechting.

Voordat een methode wordt ingezet die inbreuk maakt op de persoonlijke levenssfeer, weegt het bureau drie dingen tegen elkaar af. Is er een gerechtvaardigd belang dat het onderzoek draagt. Is er geen lichter middel dat hetzelfde oplevert, wat de subsidiariteit betreft. Staat het gekozen middel in verhouding tot wat er op het spel staat, wat de proportionaliteit betreft. Die afweging wordt niet achteraf verzonnen maar vooraf gemaakt en in het onderzoeksdossier vastgelegd, inclusief de reden waarom voor een bepaalde methode is gekozen. Bij zwaardere middelen gaat de gedragscode nog een stap verder. Bij de inzet van een verborgen camera geldt de verplichting om vooraf een data protection impact assessment uit te voeren, waarmee de privacyrisico’s van de verwerking in kaart worden gebracht voordat er iets gebeurt.

Het onderzoeksbureau is zelf verwerkingsverantwoordelijke in de zin van de AVG en kan op zijn handelen worden aangesproken door de persoon die vindt dat er onrechtmatig tegen hem is opgetreden. Een particulier onderzoeksbureau kan in rechte worden aangesproken op zijn handelen of nalaten door personen die van mening zijn dat jegens hen onrechtmatig is gehandeld. De gedragscode geldt bovendien niet vrijblijvend. De minister heeft bepaald dat elk vergunninghoudend recherchebureau een privacygedragscode moet naleven die identiek is aan die van de Nederlandse Veiligheidsbranche, waarmee de code voor de hele sector bindend is.

De toezichthouder heeft eerder vastgesteld dat de informatieplicht in de praktijk vaak wordt overgelaten aan de opdrachtgever, waarbij het bureau niet controleert of de betrokkene ooit is geïnformeerd. In een groot aantal gevallen weten onderzochte bureaus niet of aan de informatieplicht is voldaan, omdat zij niet zelf de betrokkene hebben ingelicht maar dit hebben overgelaten aan de opdrachtgever. Daar wordt een dossier zwak. Als de afweging vooraf niet is gemaakt, of de informatieplicht achteraf niet is nagekomen en vastgelegd, dan geeft dat de advocaat van de wederpartij precies het aanknopingspunt om de bevindingen buiten de procedure te houden. De vraag hoe de gegevens zijn verkregen, hoort in een rechtszaal te worden gesteld, en een dossier moet die vraag kunnen doorstaan.