2.6 Privacy
De informatieverstrekking, meldplicht van (bijna-)ongevallen en het openbaar register kunnen gevolgen hebben voor de privacy van de CBI’s, de certificaathouders en de bewoners of eigenaren van een gebouw. In het algemeen geldt dat de gegevens die worden geëist op basis van dit wijzigingsbesluit Stb. 2020, 348) zijn beperkt tot de gegevens die noodzakelijk zijn voor het bereiken van de doelen van de gegevensverwerking. Er is daarnaast een Privacy Impact Assessment (PIA) uitgevoerd.9 Met behulp hiervan is de noodzaak van gegevensverwerking bekeken en zijn op gestructureerde wijze de implicaties van het systeem op gegevensbescherming in kaart gebracht.
Er zijn op basis van de PIA geen privacy risico’s geconstateerd.
Gegevensverstrekking zal ten eerste plaats kunnen vinden bij het certificeren van (installatie)bedrijven door CBI’s. De bedrijven zullen hun zakelijke gegevens moeten voegen bij de aanvraag van een certificaat. Het gaat dan om de bedrijfsnaam en het KvK-nummer. Vertrouwelijke bedrijfsgegevens of bijzondere persoonsgegevens worden hierbij niet gevraagd. Wel kan er sprake zijn van persoonsgegevens in de vorm van identificerende gegevens, indien de persoonsgegevens direct aan de bedrijfsnaam kunnen worden ontleend. Dit kan bijvoorbeeld het geval zijn bij ZZP’ers.
Ten tweede zal er sprake kunnen zijn van gegevensverwerking in het openbaar register. De in het openbare register opgenomen gegevens van de CBI en certificaathouders zijn eveneens beperkt tot de noodzakelijke zakelijke gegevens: de bedrijfsnaam en het registratienummer bij de Kamer van Koophandel. Ook hier geldt echter dat bedrijfsnamen herleid kunnen worden tot personen, als er sprake is van overlap met de eigen naam. Met de registratie van de (bedrijfs-)naam van de certificaathouder en zijn registratienummer bij de Kamer van Koophandel kan worden nagegaan dat de installateur over een geldig certificaat beschikt. Als hulpmiddel bij het kiezen van een (installatie)bedrijf kan het voor de opdrachtgever/consument ook nuttig zijn te beschikken over de vestigingsplaats van de certificaathouder. Gegevens hierover kunnen op basis van vrijwilligheid in het register worden opgenomen.
Ten derde zullen er bij de meldplicht voor (bijna-)ongevallen persoonsgegevens verwerkt worden. Het gaat dan om de zakelijke gegevens van het (installatie)bedrijf en de adresgegevens van de bewoner, eigenaar of gebruiker van het gebouw. Deze persoonsgegevens zullen door de certificaathouder gedeeld moeten worden met het bevoegd gezag en de CBI. De Minister van BZK ontvangt informatie over de (bijna-)ongevallen van de CBI, zonder persoonsgegevens (alleen het aantal ongevallen en de aard daarvan).
Bij de informatieverstrekking door CBI’s en de Raad voor de Accreditatie (RvA) aan de Minister van BZK (exclusief de gegevens voor het openbaar register) zullen er in het algemeen weinig persoonsgegevens verwerkt worden. Het gaat daarbij veelal om zakelijke gegevens van de instelling, zoals bedrijfsnaam en KvK-nummer. In sommige gevallen kunnen deze gegevens tot een persoon te herleiden zijn, bijvoorbeeld wanneer de bedrijfsnaam is afgeleid van een eigennaam. Dit laatste zal naar verwachting echter vaker het geval zijn bij (installatie)bedrijven, dan bij CBI’s.
Voor zover in het openbaar register persoonsgegevens worden opgenomen, zal de Minister van BZK als verwerkingsverantwoordelijke en als verwerker te kwalificeren zijn in de zin van de Algemene verordening gegevensbescherming (AVG). De minister is ook verwerkingsverantwoordelijke voor de informatie die door de CBI’s wordt verstrekt, bijvoorbeeld in het jaarlijkse verslag. Bij de meldplicht voor (bijna-)ongevallen ligt de verwerkingsverantwoordelijkheid bij het bevoegd gezag en de CBI.
Bij ministeriële regeling kunnen er regels worden gesteld aan de verwerking van gegevens van certificaathouders door CBI’s, waarbij rekening gehouden zal moeten worden met de privacyaspecten van die verwerking. Ook kunnen er bij ministeriële regeling regels gesteld worden over het verslag dat CBI’s jaarlijks verstrekken aan de Minister van BZK en aan de gegevensuitwisseling tussen CBI’s en met de Minister van BZK
9 Zie ook Kamerstukken I 2010/11, 31 051, nr. D; motie-Franken.
