5.13. Overdrachtregels voor persoonsgegevens

Er zijn drie situaties waarbij de overdracht van persoonsgegevens plaatsvindt.

Als persoonsgegevens elektronisch worden overgedragen dan dient duidelijk te zijn dat de overdracht en de verwerking conform de wettelijke vereisten en de privacyvoorkeuren van het individu, waarop de gegevens betrekking hebben, plaatsvinden Om die overdracht op een juiste wijze te laten plaatsvinden, dient in de privacymanagementsystemen (PMS) gerefereerd te worden aan de 'privacy statements', die zijn ontworpen op basis van de privacyontologieën. Een generiek abstract 'statement' over bijvoorbeeld transparantie wordt opgesplitst, zoals wij hiervoor hebben gezien, in de verschillende rechten die aan het individu volgens de wet of het privacybeleid van de organisatie worden toegekend. Vervolgens kunnen de regels (bestaande uit de privacyvoorkeuren en wettelijke vereisten) opgesteld worden, die gaan bepalen hoe de communicatie tussen de zender en ontvanger van de persoonsgegevens moet verlopen. Daarvoor worden matrices (protocollen) opgesteld die aangeven hoe binnen en tussen de informatiesystemen de taken moeten worden uitgevoerd. De transferregels voor de persoonsgegevens bestaan uit één of meerdere subregels per privacyrealisatiebeginsel. Alle regels, die gekoppeld zijn aan de te verzenden gegevens, evalueren elektronisch of de ontvanger hier aan voldoet. Als de evaluatie van de ontvanger positief uitvalt, dan vindt verzending naar de ontvanger plaats. Tegelijkertijd moeten met de persoonsgegevens ook de metagegevens over deze persoonsgegevens verzonden worden, waarin de privacyvoorkeuren van de zender zijn vastgelegd. Op die manier kan de ontvanger bij verzending van die persoonsgegevens op zijn beurt de rol van de eerste zender overnemen. In de regels worden positieve evaluaties weergegeven als: waar (T = true) en negatieve evaluaties als vals (F = false). Positieve evaluaties resulteren in het akkoord gaan met het verzenden (overdragen) van de persoonsgegevens. Alle regels moeten een positief evaluatieresultaat opleveren alvorens de persoonsgegevens wordt verzonden.2

De redenering die het systeem op grond van de transferregels moet volgen gaat bijvoorbeeld voor het privacyrealisatiebeginsel `transparantie'als volgt: het individu kan in zijn privacyvoorkeur aangeven of hij voor de overdracht van zijn persoonsgegevens om transparantie wel (Y = yes) of niet (N = no) verzoekt. Er zijn dan twee situaties mogelijk. De ontvanger kan geen transparantie (N) aanbieden of hij biedt wel transparantie conform de 95/46/EG (Y) aan.3

Dit leidt tot het volgende resultaat in de algemene transparantiematrix (figuur 5.11) de termen: t^pref staat voor privacyvoorkeur van het individu; en t^pol staat voor privacybeleid van de ontvanger; T staat voor true (positief resultaat) en F staat voor false (negatief resultaat).

Dit figuur moet als volgt worden gelezen: in de verticale linkerkolom staat de preferentie van het individu (de gebruiker) met betrekking tot de behandeling van zijn persoonsgegevens. In de bovenste twee horizontale velden rechts van de notatie t^pref/t^polstaat het privacybeleid van de ontvanger, namelijk hij biedt de gebruiker geen transparantie aan (N) of juist wel (Y). De 'N' in de linkerkolom betekent dat de gebruiker geen voorkeur voor transparantie heeft. Dit leidt in de naast gelegen velden onder de 'N' en de 'Y' tot het resultaat T Dit wil zeggen dat indien de ontvanger geen transparantie aanbiedt, het ook voor de gebruiker geen probleem oplevert en de persoonsgegevens kunnen worden overgedragen en verwerkt. In het geval de ontvanger wel transparantie aanbiedt, is er geen probleem voor de gebruiker en kunnen de data worden verzonden. De Y in de daaronder gelegen linkerkolom betekent dat de gebruiker wel zijn voorkeur voor transparantie heeft uitgesproken. Het resultaat is dat wanneer de ontvanger geen transparantie aanbiedt er wel een probleem voor de gebruiker ontstaat, weergegeven als F (de verzending van de gegevens is dan niet mogelijk). De gebruiker heeft echter geen probleem als de ontvanger wel transparantie aanbiedt, want dat komt overeen met zijn eigen voorkeur, weergegeven in de laatste rechterkolom als T, met andere woorden zijn persoonsgegevens kunnen overgedragen worden. Het resultaat van een dergelijke matrix leidt tot de transferregel:

(¬t ^pref^ ¬t^pol) (t ^pref^ t^pol) (¬t ^pref^ t^pol))4

In woorden luidt deze regel: dit is waar en alleen dan waar indien de volgende situatie zich voordoet: of er is noch een preferentie en noch een policy, of zowel de preferentie als de policy is aanwezig, of er is geen preferentie maar wel een policy.5 De bovenstaande notatie geldt voor alle afzonderlijke onderdelen van het privacyrealisatiebeginsel `transpararantie', zoals inzage, correctie, verwijderen, blokkeren, verzet en bezwaar.

Een ander voorbeeld is de bewaartermijn. De betrokkene zoals gedefinieerd in de Wbp, kan in zijn privacypreferenties de uiterste bewaartermijn voor zijn persoonsgegevens aangeven. Na die datum moeten de data worden vernietigd. De consequentie van deze voorkeur is dat de verantwoordelijke de onderhavige gegevens niet langer mag bewaren. Dit is in één eenvoudig regel te vatten, namelijk dat de door het individu gewenste bewaartermijn (`data subject's retention period' = tpref) gelijk of langer dient te zijn dan de door de verantwoordelijke gehanteerde bewaartermijn (`controller's retention period' = tpol). Dit wordt weergegeven als: tpref > tpol.6

In het PISA-project werd, wanneer de persoonsgegevens een hoog beveiligingsniveau7 hadden gekregen, de 'privacy incorpated software agent' voorzien van de volgende transferregel om de software agent te laten beslissen wanneer hij (agent 1 verzender) ingebouwde toestemming had voor de overdracht van persoonsgegevens conform het bepaalde in de Richtlijn 95/46/EG aan agent 2 ontvanger: "If APS-(1) matches DS-privacy-preference-(2) and APS-(2) matches DS-privacy-preference-(1) and PII level 2-(1) matches PII level 2-(2) then allow disclosure/exchange PII level 1-(1)."

In deze overdrachtsregel staat (1) voor agent 1 en (2) voor agent 2; APS betekent `agents practices statement' (= privacybeleid) waaronder de software agent opereert; DS is data subject. PII level 2 zijn persoonsgegevens van de gebruiker van de mobiele software agent met een laag identificerend gehalte. PII level 1 heeft een hoog identificerend gehalte (zie paragraaf 6.9.1a). Dergelijke transferregels kunnen in de architectuur van het informatiesysteem voor alle privacyrealisatiebeginselen worden opgenomen en zo een geautomatiseerde overdracht van persoonsgegevens bewerkstelligen conform de privacyvoorkeuren van de DS/betrokkene (zoals gedefinieerd in Richtlijn 95/46/EG respectievelijk Wbp).