# Privacy Impact Assessment Modernisering Casinomarkt - Type: Tools - Source: Ministerie van Algemene Zaken - Date: 2016-09-26 - Original: https://open.overheid.nl/details/ronl-archief-f42d0a2c-69ee-48aa-a46b-eb5f3dfe4cbf - Canonical: https://overview.legal/posts/615077 - Topics: DPIA, Security, Privacy by Design, Types of Special Categories of Personal Data, Retention Period, Personal Data, Public Authority, Supervision ## Sections (84) ### ¶1 Privacy Impact Assessment (PIA) Modernisering Casinomarkt ‘Een wetgevings-PIA bij een nieuwe casinomarkt met in de huidige praktijk al bestaande gegevensverwerkingen’ Opdrachtgever: Ministerie van Veiligheid en Justitie Directoraat-Generaal Jeugd- en Sanctietoepassing Uitgebracht ten behoeve van: Het onderdeel modernisering Casinomarkt van het Programma Modernisering Kansspelen Uitgebracht door: Net2Legal Consultants Versie: 1.0 15 januari 2015 i iii Uitvoering en versiebeheer De PIA voor de modernisering Casinomarkt is uitgevoerd door Net2Legal Consultants in de periode 2 december 2014 tot 14 januari 2015. Bij de PIA is gebruik gemaakt van enkele relevante onderdelen uit het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013 (Bijlage bij TK, 26 643, nr. 282). Het Toetsmodel dient vanaf 1 september 2013 standaard te worden toegepast bij ontwikkeling van nieuwe wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote databestanden wordt voorzien. > Topics: DPIA, Public Authority ### ¶2 Zie voor het Toetsmodel ook Bijlage 3. De PIA is uitgevoerd overeenkomstig de door Net2Legal en PBLQ ontwikkelde flexibele methodiek http://www.pblq.nl/themas/privacy/privacy-impact-assesment De PIA is samengesteld op basis van de in Bijlage 1 vermelde basisdocumenten en de ter beschikking gestelde documentatie en informatie van het Programma Modernisering Kansspelen. Op de eerste conceptversie (0.1) is commentaar gegeven door de leden van het Programma die betrokken zijn bij de modernisering van de Casinomarkt. Andere conceptversies (0.9) zijn beoordeeld door de leden van het Programma betrokken bij de modernisering van de Casinomarkt. Een PIA en een PIA-rapportage zijn geen eindstation of einddocument. Aanpassing of aanvulling van een PIA is nodig als het onderwerp (object) van de PIA een nieuwe fase bereikt. Voor wat de modernisering van de Casinomarkt betreft, kan dit het geval zijn bij het treffen van nadere regels in verband met de modernisering van de Casinomarkt. > Topics: DPIA ### ¶3 Versiebeheer Versie Datum Status Auteur Omschrijving 0.1 22 - 12 - 201 4 Concept Net2Legal mr. dr. E. Schreuders Concept voor commentaar door de programma modernisering kansspelen 0.9 12 - 01 - 2015 Concept Net2Legal mr. dr. E. Schreuders Opmerkingen verwerkt 1.0 1 5 - 01 - 201 5 D efinitief Net2Legal mr. dr. E. Schreuders Eindversie 1 SAMENVATTING , RISICO BEOORDELING , BEVINDINGEN EN AANBEVELINGEN 1 DEEL I SAMENVATTING EN ACHTERGROND 1 Samenvatting, risico beoordeling, bevindingen en aanbevelingen 1.1 De modernisering van de Casinomarkt Het kabinet streeft naar modernisering van de Casinomarkt. Uitgaande van de thans reeds bestaande publieke belangen (het voorkomen van kansspelverslaving, het beschermen van de consument en het bestrijden van fraude en criminaliteit), wordt het huidige staatsmonopolie vervangen door een strikt gereguleerde markt met een beperkt aantal vergunningen en vestigingen van speelcasino’s. ### ¶4 Bij de regelgeving die in deze PIA aan de orde komt, staan de uitgangspunten van het beschermen van de consument en het bestrijden van fraude en criminaliteit voorop. 1.2 De onderwerpen van de PIA Een PIA toetst, kort gezegd, óf de voorziene gegevensverwerking inderdaad doorgang dient te vinden, welke gegevensverwerkingen dan noodzakelijk zijn en vervolgens hoe deze gegevensverwerkingen plaats mogen vinden. In deze PIA staat de nieuwe regelgeving voor de Casinomarkt en de daaruit voortvloeiende gegevensverwerkingen door de (nieuwe) casino’s en de kansspelautoriteit centraal. Het gaat daarbij om de nieuwe regelgeving betreffende gegevensverwerkingen voor, kort gezegd, de vergunningverlening en het toezicht en de controle ten aanzien van de voorwaarden gesteld aan vergunningen. Deze beperking tot de nieuwe wetgeving voor de Casinomarkt houdt bijvoorbeeld in dat geen aandacht gegeven wordt aan de specifieke ICT-systemen die de nieuwe casino’s en de kansspelautoriteit gebruiken. > Topics: DPIA ### ¶5 De beperking tot de nieuwe specifieke regels voor casino’s, houdt tevens in dat in deze PIA geen aandacht gegeven wordt aan bijvoorbeeld de (reguliere) registratie van bezoekers en de (nieuwe) gegevensverwerkingen in het kader van kansspelverslaving, zoals het Centraal Register Uitsluiting Kansspelen (CRUKS). Dit register wordt geregeld in o.a. de artikelen 27ja en 33h van het thans bij de Tweede Kamer aanhangige Wetsvoorstel Kansspelen op afstand (TK, 33 996). 1.3 De Privacy-risico’s bij de nieuwe regelgeving voor de Casinomarkt De privacy risico’s die aan de wetgeving voor de modernisering van de casinomarkt verbonden zijn, zien op de wijze waarop de nieuwe wetgeving verplicht of aanleiding geeft tot (specifieke) gegevensverwerkingen door de casino’s en de kansspelautoriteit. De risico’s in verband met privacy en de verwerking van persoonsgegevens bij de nieuwe wetgeving zien daarbij vooral op twee hoofdvragen. > Topics: Personal Data, DPIA, Processing ### ¶6 Dit zijn: 1 SAMENVATTING , RISICO BEOORDELING , BEVINDINGEN EN AANBEVELINGEN 2 - de vraag of de wetgeving en gegevensverwerkingen die op grond van de nieuwe regelgeving plaats dienen te vinden, in overeenstemming zijn met de algemene voorwaarden die ter bescherming van de persoonlijke levenssfeer aan wetgeving gesteld zijn. Bij deze vraag komt voornamelijk aan de orde in hoeverre er sprake is van nieuwe gegevensverwerkingen. Deze hoofdvraag komt aan de orde in onderdeel 7; - de vraag of de voorziene regelgeving een voldoende basis biedt voor casino’s en de kansspelautoriteit om de beoogde gegevensverwerkingen inderdaad uit te voeren. Bij deze vraag komen onder andere aan de orde hoe de nieuwe wetgeving zich verhoudt tot reeds bestaande wetgeving en in welke mate van detail bij de nieuwe regelgeving aangewezen is ten aanzien van het verwerken van persoonsgegevens. Deze hoofdvraag komt aan de orde in onderdeel 5 voor de gegevensverwerkingen door de casino’s en in onderdeel 6 voor de gegevensverwerkingen door de kansspelautoriteit. > Topics: Personal Data ### ¶7 In deel II komen de deze risico’s en vragen bij de wetgeving en de daaruit voortvloeiende gegevensverwerkingen door de nieuwe casino’s en de kansspelautoriteit aan de orde. 1.4 De algemene observatie van de PIA De algemene observatie over de nieuwe regelgeving voor de Casinomarkt van deze PIA is een voorlopige observatie. Voor een groot deel zullen de regels die direct of indirect betrekking hebben op het verwerken van persoonsgegevens nog vastgesteld (moeten) worden in nadere regelgeving. Daar waar mogelijk wordt in deze PIA aandacht besteed aan de nadere regelgeving. Algemene observatie PIA speelcasino’s De nieuwe regelgeving leidt tot gegevensverwerkingen in het kader van vergunningen, de bedrijfsvoering van het casino, het intern toezicht door het casino en het toezicht en de handhaving door de kansspelautoriteit. Deze gegevensverwerkingen wijken echter niet of nauwelijks af van de gegevensverwerkingen die thans reeds bij Holland Casino en de kansspelautoriteit bestaan. > Topics: Personal Data, DPIA, Supervision ### ¶8 Anders gezegd: de nieuwe wetgeving brengt voor de praktijk uiteindelijk geen of nauwelijks nieuwe gegevensverwerkingen met zich mee. Daardoor wijzigt de impact op de persoonlijke levenssfeer van betrokken personen niet noemenswaardig ten opzicht van de thans bestaande situatie. De voorgestelde wetsbepalingen zijn algemeen en zelf niet of nauwelijks gericht op het direct regelen van gegevensverwerkingen. In de huidige opzet wordt veel bij nadere regelgeving ingevuld. Dat hoeft op zich geen probleem te zijn, maar er zijn duidelijk redenen om bij de nadere regelgeving uitdrukkelijk regels te stellen voor diverse onderwerpen die verbonden zijn met het verwerken van persoonsgegevens. De aanbevelingen 1 tot en met 8 geven dit aan. 1 SAMENVATTING , RISICO BEOORDELING , BEVINDINGEN EN AANBEVELINGEN 3 1.5 Risico-beoordeling, bevindingen en aanbevelingen In deel II van de PIA is de risicobeoordeling opgenomen over de nieuwe regelgeving voor de gegevensverwerkingen door de (nieuwe) Casino’s en de gegevensverwerkingen door de kansspelautoriteit ter uitvoering van die nieuwe regelgeving voor de Casinomarkt. > Topics: Personal Data, DPIA ### ¶9 Bij de gegevensverwerking door de kansspelautoriteit wordt tevens aandacht besteed aan de gegevensverwerking in het kader van de Wet BIBOB. Voor wat het onderwerp van deze PIA en de daarbij behorende gegevensverwerkingen door de speelcasino’s betreft, worden geen aanbevelingen gedaan voor (extra) wettelijke regels. Wel wordt aanbevolen (aanbevelingen 9 en 10) om enige extra toelichting op te nemen over het cameratoezicht door speelcasino’s. Daarnaast zijn er een aantal aanbevelingen (1 tot en met 8) die gericht zijn op de nog te treffen nadere regelgeving. In die zin is voorstelbaar dat er bij de nadere regelgeving een (aanvullende) PIA uitgevoerd zou kunnen worden. Voor wat het onderwerp van deze PIA en de daarbij behorende gegevensverwerkingen door de kansspelautoriteit betreft, worden eveneens geen aanbevelingen gedaan voor (extra) wettelijke regels. Dergelijke wettelijke regels zijn al opgenomen in de Wet op de kansspelen (Wok). > Topics: DPIA, Video Surveillance ### ¶10 Wel wordt aanbevolen (aanbeveling 11) om aandacht te schenken aan de samenloop die zich voor zal doen bij enerzijds vergunningen voor een speelcasino op grond van de nieuwe wetgeving voor de casinomarkt en anderzijds vergunningen als wisselinstelling op grond van de huidige Wet financieel toezicht (Wft). 2 PRIVACY IMPACT ASSESSMENTS 4 2 Privacy Impact Assessments 2.1 Een omschrijving van de PIA Een PIA kan worden omschreven als een hulpmiddel bij het inschatten van privacy risico’s bij wetgeving en bij ICT- projecten. Een PIA dient om tijdig inzicht te krijgen wat de gevolgen en risico’s van wetgeving, een project of activiteit kunnen zijn, vooral voor wat betreft inbreuken op de persoonlijke levenssfeer. Daarbij worden ook aanbevelingen meegenomen voor het treffen van maatregelen om de geconstateerde risico’s af te wenden. Met de aanbevelingen en maatregelen richt de PIA zich ook op privacy-beleid. > Topics: DPIA ### ¶11 Uiteindelijk moet de PIA inzicht geven in hoeverre en onder welke voorwaarden het project, eventueel met aanvullende maatregelen, doorgang kan vinden. Een PIA draagt daarmee bij aan het vermijden of verminderen van privacy risico’s. Een impact assessment (effectbeoordeling) wordt door de International Association for Impact Assessment (IAIA) wat formeel omschreven als "de identificatie van toekomstige gevolgen van een huidige of voorgestelde actie". Naast de mogelijkheid om een PIA te voeren, zijn er diverse andere privacy hulpmiddelen beschikbaar om de privacyaspecten van gegevensverwerkingen te beoordelen. Veel van deze middelen zijn direct op de toetsing van de naleving van de wettelijke eisen gericht. Een PIA verschilt van deze hulpmiddelen omdat het zich niet beperkt tot de vraag of de activiteiten en verwerkingen bij wet zijn toegestaan, maar ook hoe het vraagstuk bijvoorbeeld maatschappelijk wordt ervaren. > Topics: DPIA, Identification ### ¶12 Het beperkt zich daarbij niet alleen tot dataprotectie wet en regelgeving, maar richt zich ook breder op percepties van privacy, en de uitgangspunten van dataprotectie. Een PIA kan zich ook richten ook op de vraag of de organisatie in staat is om eventuele tekortkomingen te signaleren, en er bereidheid is om de maatregelen te treffen die het risico kunnen afwenden (‘in control’). Een PIA toetst, kort gezegd, óf de voorziene gegevensverwerking inderdaad doorgang dient te vinden, welke gegevensverwerkingen dan noodzakelijk zijn en vervolgens hoe deze gegevensverwerkingen plaats mogen vinden. Een PIA kan op verschillende momenten uitgevoerd worden. Bijvoorbeeld voorafgaande aan het treffen van regelgeving, voorafgaande aan de ontwikkeling van ICT-projecten of op het moment dat regelgeving of ICT-projecten een nieuwe fase in gaan. In bepaalde gevallen kan een PIA de nadruk hebben op privacy by design, in nadere gevallen kan er meer nadruk zijn op compliance-achtige aspecten. > Topics: Privacy by Design, DPIA ### ¶13 Het onderscheid tussen een vroegtijdige risico-achtige PIA en compliance is echter vaak lastig aan te brengen. De verwevenheid van een risicobeoordeling, privacy by design en compliance-achtige aspecten kwam ook naar voor in het advies van het College bescherming persoonsgegevens van 5 maart 2013 over het Toetsmodel PIA Rijksdienst (z2012-00847). De benodigde flexibiliteit bij de uitvoering van een PIA houdt in dat een PIA iedere keer maatwerk is. In deze PIA staat de nieuwe regelgeving voor de modernisering van de Casinomarkt centraal. In die zin is het een wetgevings-PIA. 2 PRIVACY IMPACT ASSESSMENTS 5 2.2 Het ontstaan en de ontwikkeling van de PIA De PIA als instrument is oorspronkelijk tot ontwikkeling gekomen in landen met een Angelsaksisch georiënteerd rechtssysteem. Zo verschenen er rond 2005 modellen en beschrijvingen voor een PIA van de hand van de Canadese, de Britse en de Australische privacy-toezichthouders. > Topics: Supervision, Personal Data, Privacy by Design, DPIA ### ¶14 Ook de federale overheid van de Verenigde Staten kwam in die periode met een model en procedure voor het uitvoeren van een PIA. De PIA was daarbij verbonden met het eerder door o.a. de Nederlandse privacy toezichthouder ontwikkelde uitgangspunt van “Privacy Enhancing Technologies” en met het in bijvoorbeeld artikel 13 van de Wet bescherming persoonsgegevens wat impliciet opgenomen uitgangspunt van “Privacy by design”. Belangrijke ontwikkelingen in Nederland bij de ontwikkeling van een PIA zijn de motie Franken van 17 mei 2011 over het uitvoeren van een PIA in het kader van wetgeving (EK, 31 051, nr. D) en bijvoorbeeld de motie Elissen en Gesthuizen van 13 oktober 2011 over privacy by design en safety by design bij de ontwikkeling van nieuwe ICT-projecten (TK, 26 643, nr. 203). De ontwikkeling en de uitvoering van een PIA kwam ook aan de orde in de Notitie Privacybeleid van het kabinet van 29 april 2011. > Topics: Supervision, Personal Data, Privacy by Design, DPIA ### ¶15 Ook in het Regeerakkoord komt het uitvoeren van een PIA aan de orde. In november 2011 was er in het kader van de I-strategie Rijk het besluit van het kabinet om de bestaande maatregelen ten aanzien van de beheersing van grote ICT-projecten van het Rijk uit te breiden met maatregelen ter bescherming van privacy. De reeds bestaande eisen ten aanzien van de inhoud van projectplannen voor grote ICT-projecten zijn daartoe aangevuld met de eis om in het projectplan informatie op te nemen of er bij het project sprake is van het opnemen van privacygevoelige gegevens en koppelingen of verrijking daarvan en om, zo nodig, een PIA uit te voeren. Inmiddels is voor een PIA voor de Rijksdienst het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013 (Bijlage bij TK, 26 643, nr. 282) verschenen. Het Toetsmodel dient vanaf 1 september 2013 standaard te worden toegepast bij ontwikkeling van nieuwe wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote databestanden wordt voorzien. > Topics: DPIA ### ¶16 Deze PIA ziet, zoals gezegd, op de wetgeving voor de nieuwe Casinomarkt. 3 HET ONDERWERP ( OBJECT ) VAN DE PIA MODERNISERING CASINOMARKT 6 3 Het onderwerp (object) van de PIA Modernisering Casinomarkt 3.1 De modernisering van de Casinomarkt Het kabinet streeft naar modernisering van de Casinomarkt. Uitgaande van de thans reeds bestaande publieke belangen (het voorkomen van kansspelverslaving, het beschermen van de consument en het bestrijden van fraude en criminaliteit), wordt het huidige staatsmonopolie vervangen door een strikt gereguleerde markt met een beperkt aantal vergunningen en vestigingen van speelcasino’s. Bij de regelgeving die in deze PIA aan de orde komt, staan de uitgangspunten van het beschermen van de consument en het bestrijden van fraude en criminaliteit voorop. In deze PIA staat de nieuwe regelgeving voor de Casinomarkt en de daaruit voortvloeiende gegevensverwerkingen door de (nieuwe) casino’s en de kansspelautoriteit centraal. > Topics: DPIA ### ¶17 Het gaat daarbij om de nieuwe regelgeving betreffende gegevensverwerkingen voor, kort gezegd, de vergunningverlening en het toezicht en de controle ten aanzien van de voorwaarden gesteld aan vergunningen. De PIA is daarbij specifiek gericht op de gegevensverwerkingen die voortvloeien uit de voorgestelde artikelen 27h tot en met 27o en de artikelen 27r en 27s. Deze beperking tot de nieuwe wetgeving voor de speelcasino’s houdt bijvoorbeeld in dat geen aandacht gegeven wordt aan de specifieke ICT-systemen die de nieuwe casino’s en de kansspelautoriteit gebruiken. De beperking tot de nieuwe specifieke regels voor casino’s, houdt tevens in dat in deze PIA geen aandacht gegeven wordt aan bijvoorbeeld de (reguliere) registratie van bezoekers en de (nieuwe) gegevensverwerkingen in het kader van kansspelverslaving, zoals het Centraal Register Uitsluiting Kansspelen (CRUKS). Dit register wordt geregeld in o.a. de artikelen 27ja en 33h van het thans bij de Tweede Kamer aanhangige Wetsvoorstel Kansspelen op afstand (TK, 33 996). > Topics: DPIA ### ¶18 De privacy risico’s die aan de wetgeving voor de modernisering van de casinomarkt verbonden zijn, zien op de wijze waarop de nieuwe wetgeving verplicht of aanleiding geeft tot (specifieke) gegevensverwerkingen door de casino’s en de kasspelautoriteit. De risico’s in verband met privacy en de verwerking van persoonsgegevens bij deze nieuwe wetgeving zien met name op twee hoofdvragen. Dit zijn: - de vraag of de wetgeving en gegevensverwerkingen die op grond van de nieuwe regelgeving plaats dienen te vinden, in overeenstemming zijn met de algemene voorwaarden die ter bescherming van de persoonlijke levenssfeer aan wetgeving gesteld zijn. Bij deze vraag komt met name aan de orde in hoeverre er sprake is van nieuwe gegevensverwerkingen. Deze hoofdvraag komt aan de orde in onderdeel 7; - de vraag of de voorziene regelgeving een voldoende basis biedt voor casino’s en de kansspelautoriteit om de beoogde gegevensverwerkingen inderdaad uit te voeren. > Topics: Personal Data, Processing ### ¶19 Bij deze vraag komen onder andere aan de orde hoe de nieuwe wetgeving zich verhoudt tot reeds bestaande wetgeving en in welke mate van detail bij de nieuwe regelgeving 3 HET ONDERWERP ( OBJECT ) VAN DE PIA MODERNISERING CASINOMARKT 7 aangewezen is ten aanzien van het verwerken van persoonsgegevens. Deze hoofdvraag komt aan de orde in onderdeel 5 voor de gegevensverwerkingen door de casino’s en in onderdeel 6 voor de gegevensverwerkingen door de kansspelautoriteit. In deel II komen de deze risico’s en vragen bij de wetgeving en de daaruit voortvloeiende gegevensverwerkingen door de nieuwe casino’s en de kansspelautoriteit aan de orde. 3.2 De PIA ter uitvoering van het regeringsbeleid betreffende een PIA voor de Rijksdienst Deze PIA geeft uitvoering aan het regeringsbeleid dat vanaf 1 september 2013 standaard een PIA dient te worden uitgevoerd bij ontwikkeling van nieuwe wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote databestanden wordt voorzien (zie: TK, 26 643, nr. 282). > Topics: Personal Data, DPIA ### ¶20 De PIA omvat daartoe de onderdelen en onderwerpen zoals opgenomen zijn in het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013 (Bijlage bij TK, 26 643, nr. 282). Zie in dit verband ook Bijlage 3 die gericht is op de gegevensverwerkingen door de speelcasino’s. De PIA geeft tevens uitvoering aan de Motie Franken van 17 mei 2011 over het uitvoeren van een PIA in het kader van wetgeving (EK, 31 051, nr. D). 4 ALGEMENE BESCHRIJVING VAN DE UIT DE NIEUWE REGELGEVING VOORTVLOEIENDE GEGEVENSVERWERKINGEN DOOR CASINO ’ S EN DE KANSSPELAUTORITEIT 8 4 Algemene beschrijving van de uit de nieuwe regelgeving voortvloeiende gegevensverwerkingen door casino’s en de kansspelautoriteit 4.1 Algemene beschrijving van de gegevensverwerkingen bij de nieuwe regelgeving voor speelcasino’s De PIA is gebaseerd op het concept-wetsvoorstel in de versie zoals opgenomen is in Bijlage 2. Bijlage 2 geeft aan dat uit de nieuwe wetgeving diverse gegevensverwerkingen voortvloeien door de speelcasino’s en de kansspelautoriteit. > Topics: DPIA ### ¶21 De PIA is daarbij, zoals gezegd, specifiek gericht op de gegevensverwerkingen die voortvloeien uit de voorgestelde artikelen 27h tot en met 27o en de voorgestelde artikelen 27r en 27s. Vanuit het oogpunt van de Wet bescherming persoonsgegevens (Wbp) bezien, gaat het bij de nieuwe regels voor speelcasino’s om diverse doeleinden waarvoor de speelcasino’s en de kansspelautoriteit over verschillende groepen van personen zeer verschillende soorten van gegevens zullen verwerken. De drie doelstellingen van het kansspelbeleid van de overheid (het voorkomen van kansspelverslaving, het beschermen van de consument en het bestrijden van fraude en criminaliteit ) vormen de achtergrond c.q. de basis voor de meer specifieke doeleinden waarvoor persoonsgegevens verwerkt worden door de speelcasino’s en de kansspelautoriteit. Het gaat daarbij in algemene zin om gegevensverwerking in het kader van: - de vergunning c.q. het proces van vergunningaanvraag en verlening en het daarbij eventueel door de kansspelautoriteit aanvragen van een advies op grond van de Wet BIBOB; - de organisatie van het casino en de eerlijke en goede uitvoering van de werkzaamheden, in het bijzonder bij de casinospelen; - het intern toezicht door de casino’s zelf, inclusief cameratoezicht gericht op de speeltafels, medewerkers en spelers; - het extern toezicht door o.a. de kansspelautoriteit en de handhaving door de kansspelautoriteit. > Topics: Personal Data, DPIA, Supervision, Video Surveillance ### ¶22 Bij de betrokkenen gaat het om de personen over wie gegevens verwerkt worden. Hierbij gaat het om: - vergunninghouders en bestuurders van de vergunninghouder, beleidsbepalers en uiteindelijk belanghebbenden; - personeelsleden belast met bepaalde organisatorische taken, zoals leidinggevenden, personen op sleutelposities en personeelsleden die bij de daadwerkelijke casinospelen met spelers in aanraking komen; - bezoekers en spelers. 4 ALGEMENE BESCHRIJVING VAN DE UIT DE NIEUWE REGELGEVING VOORTVLOEIENDE GEGEVENSVERWERKINGEN DOOR CASINO ’ S EN DE KANSSPELAUTORITEIT 9 Bij de persoonsgegevens die voor de verschillende doelen door de verschillende organisaties (Wbp-verantwoordelijken) verwerkt worden gaat het om gegevens betreffende: - de identiteit van personen; - de betrouwbaarheid van personen, waaronder strafrechtelijke gegevens, gegevens over de financiële positie van personen en gegevens over bijvoorbeeld eerdere sancties of uitsluitingen; - de deskundigheid van personen; - de activiteiten en handelingen van personen. > Topics: Personal Data, Criminal Data ### ¶23 Hierbij gaat het om een diverse soorten van gegevens variërende van de registratie van het wisselen van gelden, meldingen in het kader van het bestrijden van witwassen tot gegevens verzameld en vastgelegd bij cameratoezicht. Daarbij zal er sprake zijn van het verwerken van bijzondere persoonsgegevens als bedoeld in art. 16 van de Wbp. 4.2 Algemene bevinding en aanbeveling in verband met de huidige toelichting De uitvoering en naleving van vele artikelen en artikelonderdelen van de bepalingen voor speelcasino’s zal direct of indirect aanleiding geven tot het verwerken van persoonsgegevens. Het gaat daarbij om persoonsgegevens van iedereen die bij een casino betrokken is: bestuurders, leidinggevenden, medewerkers en bezoekers/spelers. In bepaalde gevallen, vooral bij de betrouwbaarheid van o.a. bestuurders en leidinggevenden, kunnen deze gegevens een indringend beeld van het privéleven van deze personen opleveren. > Topics: Personal Data, Video Surveillance, Healthcare ### ¶24 In bepaalde gevallen zal er ook sprake zijn van het verwerken van bijzondere persoonsgegevens zoals bedoeld in artikel 16 Wbp. Bij deze bijzondere persoonsgegevens gaat het in eerste instantie om strafrechtelijke gegevens. Daarnaast kan het bij het vastleggen van (kopieën) van identiteitsbewijzen en cameratoezicht eveneens gaan om gegevens betreffende het ras van de betrokken personen. Opgemerkt kan worden dat in de huidige toelichting op dit moment slechts beperkt en in een aantal specifieke passages aandacht besteed wordt aan het verwerken van persoonsgegevens door in speelcasino’s. De huidige passages geven in die zin nog geen beeld van de omvangrijke verwerking van persoonsgegevens door speelcasino’s waartoe de nieuwe bepalingen aanleiding zullen geven. Gelet op het belang van gegevensverwerking ter uitvoering van de nieuwe regelgeving en de bescherming van deze persoonsgegevens, wordt t.a.v. de toelichting de volgende algemene aanbeveling gedaan. > Topics: Personal Data, Criminal Data, Processing, Video Surveillance ### ¶25 Algemene aanbeveling t.a.v. toelichting Aanbeveling 1: Aanbevolen wordt om in de toelichting bij de (nadere) regelgeving in algemene zin aandacht te besteden aan de verwerking van persoonsgegevens door speelcasino’s die voortvloeit uit en verbonden is met de nieuwe regelgeving voor speelcasino’s. Daarbij kan, zo mogelijk, gebruik gemaakt worden van de algemene 4 ALGEMENE BESCHRIJVING VAN DE UIT DE NIEUWE REGELGEVING VOORTVLOEIENDE GEGEVENSVERWERKINGEN DOOR CASINO ’ S EN DE KANSSPELAUTORITEIT 10 beschrijving in onderdeel 4.1 , delen van de beschrijvingen in de onderdelen 5 en 6 en de beschrijving in onderdeel 7 voor wat de persoonlijke levenssfeer betreft. 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 11 5 DEEL II BEOORDELING VAN DE NIEUWE WETGEVING EN DE DAARUIT VOORTVLOEIENDE GEGEVENSVERWERKINGEN 5 De regelgeving gericht op gegevensverwerkingen door de casino’s 5.1 Overzicht Onderdeel 5 ziet op de gegevensverwerkingen door de speelcasino’s. > Topics: Personal Data, Processing ### ¶26 In bepaalde gevallen vindt de gegevensverwerking daarbij plaats door de vergunningaanvrager of de vergunninghouder. In andere gevallen zal de gegevensverwerking (meer) plaats vinden door de verschillende vestigingen van de vergunninghouder. Of een bepaalde gegevensverwerking vooral plaatsvindt door de vergunninghouder of meer plaatsvindt door de verschillende vestigingen, zal daarbij samenhangen met de wijze waarop een vergunninghouder de eigen informatiehuishouding inricht. De casino’s (vergunningaanvrager, vergunninghouder en de vestigingen) zullen voor en bij de volgende situaties in meer of mindere mate persoonsgegevens verwerken: - de toelating tot de veiling c.q. de vergunningverlening (artt. 27i, lid 3, 27j, 27l, lid 3, 27m, lid 1, lid 2, onder a, lid 4, lid 5, onder c, d en g, 27n, 27o), - een eventueel bezwaar en beroep tegen een beslissing van de kansspelautoriteit en een voorlopige voorziening daarbij, - het blijvend voldoen aan de voorwaarden voor een vergunning (art. 27k en de bij de vergunningverlening vermelde artikelen), - de naleving van de door de kansspelautoriteit aan de vergunning verbonden voorschriften in het belang van de verantwoorde, betrouwbare en controleerbare organisatie van het speelcasino (art. 27h, lid 3 lid), - het waarborgen dat het toezicht doelmatig en doeltreffend kan worden uitgeoefend (art. 27j, lid 1, onder c), - het zorgdragen voor eerlijk spelverloop (art. 27r) en het toezicht op spelers en medewerkers (art. 27s, lid 1), - de inzet van cameratoezicht (art. 27s, lid 2 tot en met 4) Specifieke issues bij deze situaties zijn de verwerking van gegevens bij de betrouwbaarheid en deskundigheid van personen, bij het eerlijk verloop van de casinospelen en bij het toezicht. > Topics: Personal Data, Video Surveillance ### ¶27 Daarnaast spelen bepalingen over het verwerken van persoonsgegevens en samenloop met andere regelingen een rol. Deze onderwerpen komen hieronder aan de orde. 5.2 De betrouwbaarheid van personen betrokken bij het speelcasino Het concept wetsvoorstel geeft algemene normen over de betrouwbaarheid van de houder van een vergunning, beleidsbepalende personen en uiteindelijk belanghebbenden (art. 27n.) Kort gezegd dient de betrouwbaarheid buiten twijfel te staan en kan daarbij getoetst worden aan de criteria van de Wet BIBOB. 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 12 Tevens dient het casino een adequaat beleid te voeren ten aanzien van de betrouwbaarheid van leidinggevenden, personen op sleutelposities en personen die met spelers in aanraking komen. Deze eisen van betrouwbaarheid brengen verwerking van persoonsgegevens door het casino met zich mee, zowel bij de vergunningaanvraag, als bij de uitvoering van de werkzaamheden. > Topics: Personal Data, Processing ### ¶28 De algemene normen worden nader bij AmvB of ministeriële regeling ingevuld (art. 27n, lid 5). Dat is vanuit privacy-oogpunt aanvaardbaar. Bij de nadere regelgeving moet uiteindelijk voldoende duidelijk worden welke gegevens het casino daarbij mag c.q. moet verwerken en welke gegevens door de casino's aan de kansspelautoriteit verstrekt dienen te worden. In de thans bestaande situatie zijn er ook al een aantal procedures en regelingen over de betrouwbaarheid van aandeelhouders, bestuurders, leidinggevenden, beleidsbepalers en uiteindelijk belanghebbenden. Het gaat dan om: - de thans bestaande procedures bij Holland Casino; - de vergunning voor wisselkantoren of grond van de Wft en de daarbij gelden procedures en formulieren; - de vergunningverlening en de reeds bestaande inzet daarbij van het BIBOB- instrumentarium bij speelautomaten (art. 30k Wok). Gelet op deze bestaande zaken en de inhoud daarvan, wordt in het kader van deze PIA aangenomen dat aansluiten bij de reeds bestaande praktijk toereikend is in het kader van de betrouwbaarheid en beoordeling van de betrouwbaarheid van bestuurders, beleidsbepalers, uiteindelijk belanghebbende en overige personen. > Topics: DPIA ### ¶29 Door aan te sluiten bij de thans reeds bestaande procedures, verplichtingen en formulieren, wordt bereikt dat er bij de nieuwe regelgeving betreffende betrouwbaarheid, geen nieuwe of thans nog niet bestaande verplichtingen en geen nieuwe gegevens geïntroduceerd worden. Voor de nadere regelgeving betreffende de betrouwbaarheid wordt een vijftal aanbevelingen gedaan. Aanbevelingen t.a.v. de nadere regelgeving over betrouwbaarheid Aanbeveling 2: sluit bij de nadere regelgeving betreffende de betrouwbaarheid aan bij en maak gebruik van: - de thans voor Holland Casino bestaande procedures, waarbij gebruikt gemaakt wordt van onder andere: - een CV; - een kopie van een geldig legitimatiebewijs; - een Verklaring Omtrent Gedrag; - gegevens betreffende schulden zoals bijvoorbeeld BKR-gegevens (Bureau Krediet Registratie); 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 13 - de opgave van 3 referenten ; - de thans bestaande verplichtingen bij het verkrijgen van een vergunning o.g.v. de Wft als wisselinstelling en de daarbij reeds gehanteerde formulieren B enoeming en Betrouwbaarheidsonderzoek van de AFM en DNB; - het BIBOB vragenformulier met betrekking tot overige beschikkingen. ### ¶30 Aanbeveling 3: draag er zorg voor dat de nadere regelgeving duidelijk aangeeft dat een casino (beoogd casino) bevoegd is de benodigde/vereiste gegevens te verzamelen en zelf vast te leggen in het kader van de vergunningverlening en het blijvend voldoen aan de voorwaarden voor een vergunning. Draag er tevens zorg voor dat duidelijk is welke gegevens t.a.v. de betrouwbaarheid van verschillende groepen van personen verwerkt mogen worden. Zo zullen over bestuurders beduidend meer gegevens vastgelegd dienen te worden dan over personen die met spelers in aanraking komen. Aanbeveling 4: draag er zorg voor dat in de nadere regelgeving aangegeven wordt welke gegevens of documenten in bepaalde gevallen in aanmerking komen om de betrouwbaarheid aan te tonen. Hierbij valt bijvoorbeeld te denken aan de nationale en Europese documenten die afdoende zijn als identificatiedocument, welke documenten vergelijkbaar zijn aan een verklaring omtrent het gedrag en welke Europese documenten vergelijkbaar zijn met bijvoorbeeld de thans gebruikte BKR-gegevens. ### ¶31 Aanbeveling 5: het verdient voorkeur om in ieder geval de belangrijkste inhoudelijke bepalingen op te nemen in een Algemene maatregel van Bestuur, waarbij de nadere detaillering plaats kan vinden bij ministeriële regeling. Aanbeveling 6: indien in vergelijking met de bestaande situatie en de genoemde documenten nieuwe en thans nog niet benodigde gegevens of documenten noodzakelijk worden geacht, regel deze “extra” gegevens bij voorkeur bij Algemene maatregel van Bestuur en toon daarbij de noodzaak van deze “extra” gegevens of documenten duidelijk aan. 5.3 De deskundigheid van personen bij het speelcasino Het concept wetsvoorstel geeft een algemene norm over de deskundigheid van bestuurders, leidinggevenden, personen op sleutelposities en personen die met spelers in aanraking komen (art. 27o). Art. 27o, lid 3, voorziet in de mogelijkheid om nadere regels te stellen. Bij die andere regels kan gedacht worden aan bepalingen dat er sprake moet zijn van adequate vaktechnische opleidingen. ### ¶32 Bij een nadere regeling van vaktechnische opleidingen kan gedacht worden aan voor welke functies een opleiding verplicht is, wat de kern van die opleiding is en of die opleiding wel of niet afgesloten moet worden met een toets. 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 14 Nadere bepalingen over deskundigheid en vaktechnische opleidingen behoeven op zich nog niet tot specifieke verwerking van persoonsgegevens te leiden. Wel is echter voorstelbaar dat, in het kader van toezicht en een adequate bedrijfsvoering, door casino’s vastgelegd wordt welke personen welke opleidingen gevolgd hebben. Aanbevelingen t.a.v. de registratie van opleidingen gevolgd door personen Aanbeveling 7: het valt te overwegen om in de nadere regelgeving aan te geven of en in welke mate speelcasino’s verplicht zijn vast te leggen welke personen een opleiding gevolgd hebben. 5.4 Het eerlijk verloop van de activiteiten en het (intern) toezicht door het speelcasino Speelcasino’s dienen zorg te dragen voor een eerlijk spelverloop (art.27r) en dienen bij de naleving van de Wok toezicht te houden op spelers en personen die bij het organiseren van een speelcasino met spelers in aanraking komen (art. 27s). > Topics: Personal Data, Processing ### ¶33 Daarnaast dienen casino’s op grond van art. 27m, lid 1, toezicht te houden op de naleving van de Wok, de Wet ter voorkoming van witwassen en financieren van terrorisme, de Sanctiewet 1977 of de Wet op de kansspelbelasting. In al deze gevallen is nadere regelgeving is nadere regelgeving mogelijk. Ook zullen casino’s als wisselinstelling (wisselkantoor) toezicht dienen te houden op de naleving van de Wft. Zowel bij het zorgdragen voor een eerlijk spelverloop als bij het toezicht op de naleving van de diverse wetten, zal een casino eventuele incidenten, voorvallen en meldingen registreren. Daarbij gaat het om persoonsgegevens van bezoekers/spelers en medewerkers van het casino. In bepaalde gevallen zal het daarbij gaan om strafrechtelijke gegevens als bedoeld in artikel 16 Wbp. Voor dergelijke gegevensverwerkingen wordt een aanbeveling gedaan. Aanbevelingen t.a.v. de registratie van incidenten, voorvallen en meldingen Aanbeveling 8: regel in de uitvoeringsregelgeving dat speelcasino’s bevoegd, en in bepaalde gevallen wellicht verplicht, zijn om voor het eerlijk verloop van de activiteiten en het (intern) toezicht door het speelcasino op de naleving van diverse wetten, registraties aanleggen betreffende incidenten, voorvallen en meldingen die verband houden met de naleving van de regels voor speelcasino’s, de verleende vergunning en de voorwaarden daarbij, de Wet ter voorkoming van witwassen en financieren van terrorisme, de Sanctiewet 1977 en de Wet financieel toezicht. 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 15 5.5 Cameratoezicht binnen het spelcasino Artikel 27s regelt de inzet van cameratoezicht. > Topics: Personal Data, Criminal Data, Video Surveillance ### ¶34 Lid 2 bepaalt dat cameratoezicht ingezet kan worden voor het toezicht op de naleving van de Wok (het in art. 27s, lid 1 bedoelde toezicht). Lid 3 geeft aan dat er daarbij sprake is van het verwerken van persoonsgegevens. In lid 4 wordt aangegeven dat de aanwezigheid van camera’s voor een ieder op duidelijke wijze kenbaar is. In de toelichting wordt daarbij aangegeven dat heimelijk cameratoezicht niet toegestaan is. Het in artikel 27s bedoelde cameratoezicht wijkt af van de meer reguliere doelen waarvoor cameratoezicht in bijvoorbeeld winkels of horeca ingezet wordt: de bestrijding van strafbare feiten en eventuele wanordelijkheden. Deze extra doelen voor cameratoezicht zijn aanvaardbaar mits deze doelen duidelijk in de wetgeving zijn vastgelegd. Het is duidelijk dat het cameratoezicht in de praktijk ook gebruikt kan (en zal) worden voor het toezicht op de naleving van andere wetten, zoals Wet ter voorkoming van witwassen en financieren van terrorisme, de Sanctiewet 1977 en de Wet financieel toezicht. > Topics: Personal Data, Video Surveillance, Types of Special Categories of Personal Data ### ¶35 En uiteraard zal het cameratoezicht ook gebruikt worden voor de meer reguliere doelen zoals van bestrijding van strafbare feiten en wanordelijkheden. Deze bredere inzet van cameratoezicht voor de naleving van andere wetten verdient, zo mogelijk, een juridische basis. In art. 27s, lid 4, wordt aangegeven dat de aanwezigheid van camera’s voor een ieder op duidelijke wijze kenbaar dient te zijn. Uiteraard houdt dit in dat bezoekers en personeelsleden duidelijk geïnformeerd worden over het feit “dat” cameratoezicht plaatsvindt. In die zin is het cameratoezicht dan niet-heimelijk. Het is echter niet geheel duidelijk of lid 4 de mogelijkheden biedt om daarbij tevens voor bezoekers en medewerkers niet-zichtbare camera’s in te zetten. De vraag of de inzet van niet-zichtbare camera’s toegestaan is, verdient daarbij nadere aandacht. Het gebruik van cameratoezicht lijkt op zijn minst zeer belangrijk om bijvoorbeeld een eerlijk spelverloop te controleren. > Topics: Video Surveillance, Types of Special Categories of Personal Data ### ¶36 In die zin kan afgevraagd worden of een casino dat zou besluiten om geen cameratoezicht in te zetten, nog wel voldoende uitvoering geeft aan de verschillende verplichtingen om (intern) toezicht te houden. In die zin lijkt er (de facto) wellicht een ‘verplichting’ voor speelcasino’s te zijn om cameratoezicht in te zetten. Aanbevelingen t.a.v. cameratoezicht Aanbeveling 9: maak duidelijk dat het cameratoezicht niet enkel ingezet kan worden ten behoeve van het toezicht als bedoeld in artikel 27s, lid 1, maar tevens ingezet kan worden bij het toezicht als bedoeld in artikel 27m, lid 1. Aanbeveling 10: maakt duidelijk of de inzet van niet-zichtbare camera’s toegestaan is. 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 16 5.6 De administraties van het speelcasino mede ten behoeve van het toezicht door toezichthouders De kansspelautoriteit houdt toezicht op de naleving van de Wok, de vergunningvoorschrften en de Wwft. > Topics: Supervision, Supervisory Authorities, Video Surveillance ### ¶37 De kansspelautoriteit beschikt daarbij op grond van de Wok en de Awb over mogelijkheden om de voor het toezicht benodigde informatie te verzamelen en bij casino’s op te eisen. Daarbij speelt dan wel de feitelijke situatie, dat een toezichthouder niet aanwezige informatie ook niet op kan eisen. Een casino dat bijvoorbeeld geen incidenten of voorvallen- registratie heeft, kan daaruit ook geen informatie verstrekken. Het benodigde toezicht kan dan ook met zich meebrengen dat bepaalde registratieverplichtingen (zie de aanbevelingen 7 en 8) in het leven geroepen worden. In de toelichting wordt bij de door de kansspelautoriteit op te vragen informatie gewezen naar de bezoekersregistratie en de gegevens die vastgelegd zijn in het kader van de bestrijding van kansspelverslaving. In het thans bij de Tweede Kamer aanhangige Wetsvoorstel Kansspelen op afstand (TK, 33 996) wordt in artikel 34k, dat ook voor de speelcasino’s zal gelden, al een voorziening getroffen voor het door speelcasino’s vastleggen van gegevens en bescheiden die van belang zijn voor het toezicht. 5.7 Bepalingen over gegevensverwerking opnemen ‘bij wet’? > Topics: Supervision, Supervisory Authorities ### ¶38 Het concept-wetsvoorstel bevat zelf geen algemene bepalingen over het verwerken van persoonsgegevens zoals in artikel 33g van de Wok bijvoorbeeld wel gegeven zijn voor de kansspelautoriteit. Het is echter duidelijk dat speelcasino’s persoonsgegevens zullen verwerken bij de vergunningverlening, de betrouwbaarheid en deskundigheid van personen, bij de uitvoering van de spelen (spelfraude) en bij bijvoorbeeld Wwft-meldingen. In die zin is er geen (directe) noodzaak om in het wetsvoorstel algemene bepalingen over het verwerken van persoonsgegevens door speelcasino’s op te nemen. De bepalingen van de Wet bescherming persoonsgegevens, de bepalingen van het huidige wetsvoorstel en de nadere regelgeving zal volstaan als basis voor het verwerken van persoonsgegevens door de speelcasino’s bij de onderwerpen van deze PIA. Bij de verwerking van gegevens door de speelcasino’s zal er in bepaalde gevallen sprake zijn van bijzondere persoonsgegevens als bedoeld in artikel 16 van de Wbp. > Topics: Personal Data, DPIA, Healthcare ### ¶39 In die gevallen zijn op grond van artikel 16 van de Wbp nadere wettelijke mogelijkheden om bijzondere persoonsgegevens te verwerken noodzakelijk. Bij de bijzondere persoonsgegevens gaat het in het kader van deze PIA om gegevens betreffende ras en om strafrechtelijke gegevens. Gegevens betreffende ras blijken uit foto’s van bijvoorbeeld identiteitsdocumenten en uit camerabeelden. Strafrechtelijke gegevens spelen een rol bij de vergunningaanvraag, bij eventuele spelfraude en bij meldingen op grond 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 17 van de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) ten aanzien van, kort gezegd, witwassen. Het verwerken van bijzondere persoonsgegevens betreffende ras is voor speelcasino’s mogelijk op grond van art. 18, onder a, Wbp, waarin geregeld is dat rasgegevens verwerkt mogen worden als dit onvermijdelijk is met het oog op de identificatie van de betrokkene. > Topics: Personal Data, Criminal Data, DPIA, Identification ### ¶40 Het verwerken van strafrechtelijke gegevens in het kader van de vergunning is voor speelcasino’s mogelijk op grond van artikel 27n, lid 3, van het wetsvoorstel waarin de BIBOB- procedure van toepassing is verklaard en waarbij artikel 3 van de Wet BIBOB een basis geeft voor het verwerken van strafrechtelijke persoonsgegevens. Het door speelcasino’s verwerken van strafrechtelijke persoonsgegevens kan in het kader van eventuele spelfraude gebaseerd worden op artikel 22, tweede lid, onder b, van de Wbp dat een basis geeft voor zover het gaat om strafbare feiten die zijn of op grond van feiten en omstandigheden naar verwachting zullen worden gepleegd jegens speelcasino’s of jegens personen die in zijn dienst zijn. Dit artikelonderdeel geeft tevens een basis voor het verwerken van strafrechtelijke persoonsgegevens in geval van agressie of geweld. Daarnaast speelt t.a.v. het verwerken van strafrechtelijke gegevens over werknemers ook artikel 22, derde lid, Wbp een rol (verwerken in overeenstemming met de procedure als bedoeld in de Wet op de ondernemingsraden). > Topics: Personal Data, Criminal Data, Types of Special Categories of Personal Data ### ¶41 Het door speelcasino’s eventueel verwerken van strafrechtelijke persoonsgegevens ter uitvoering van de Wwft (meldingen witwassen) heeft een basis in artikel 16, tweede lid, van de Wwft over de inhoud van de te verrichten melding. In de huidige formulieren die bij een vergunning als wisselinstelling en die bij een BIBOB- procedure gebruikt worden, wordt geen gebruik gemaakt van het burgerservicenummer. Gebruik van het burgerservicenummer door speelcasino’s bij spelfraude en bij de naleving van de Wwft ligt eveneens niet voor de hand. Voor wat de onderwerpen van deze PIA betreft, wordt er dan ook vanuit gegaan dat speelcasino’s het burgerservicenummer niet zullen gebruiken in het kader van de vergunningverlening, bij eventuele spelfraude en bij Wwft-meldingen. De betrokken regelingen bieden voor speelcasino’s ook geen wettelijke basis om daarbij gebruik te maken van het BSN. 5.8 Samenloop met andere wetgeving 5.8.1 De speelcasino’s als wisselinstellingen (wisselkantoren) Een speelcasino zal tevens een vergunning als wisselinstelling (wisselkantoor) nodig hebben op grond van de Wet op het financieel toezicht (wft). > Topics: Personal Data, DPIA ### ¶42 Dit zou er toe kunnen leiden dat een speelcasino’s zowel bij de vergunning voor een speelcasino als (in een later stadium) bij de vergunning voor een wisselinstelling, geconfronteerd wordt met twee vergelijkbare procedures waarbij persoonsgegevens over bestuurders en uiteindelijk belanghebbende 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 18 verwerkt dienen te worden. In die zin lijkt aandacht nodig voor de samenloop bij de Wok en de Wft. Zie hiervoor ook onderdeel 6.7.1 hieronder. 5.8.2 De Wet op de Ondernemingsraden Binnen arbeidsverhoudingen is sprake van een zekere spanning tussen het recht van de werknemer op privacy en bescherming van de persoonlijke levenssfeer en het recht van de werkgever om gezag uit te oefenen door het werk te controleren, toezicht te houden en leiding te geven. Privacy op de werkplek kan in zeer uiteenlopende situaties aan de orde zijn. > Topics: Personal Data ### ¶43 Binnen arbeidsverhoudingen kan men denken aan personeelsregistraties en de zogenaamde personeelsvolgsystemen. In 1998 is artikel 27 van de Wet op de ondernemingsraden aangevuld met de onderdelen k en l. Deze artikelonderdelen bepalen dat de instemming van de ondernemingsraad nodig is: - het vaststellen van regelingen omtrent de registratie van, de omgang met en de bescherming van persoonsgegevens van in de onderneming werkzame personen, (art. 27, lid 1, onder k); - voor een voorziening (personeelsvolgsysteem) gericht op of geschikt voor waarneming van of controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen (art. 27, lid 1, onder l). Bij de registraties van onderdeel k, kan in eerste instantie gedacht worden aan het invoeren, wijzigen of afschaffen van een bepaalde personeelsadministratie, zoals het personeelsinformatiesysteem of een ziekteverzuimregistratie. > Topics: Personal Data ### ¶44 De vaststelling van regelingen over dergelijke systemen en verwerkingen vallen onder deze bepaling. Daarvoor is dan ook instemming van de ondernemingsraad nodig. Een personeelsvolgsysteem (onderdeel l) is zowel een systeem dat gericht is op het volgen van personeel (bijvoorbeeld een prikklok), als een systeem dat daarvoor geschikt is (bijvoorbeeld een videocamera of een systeem voor toegangspasjes). Het geschiktheidscriterium betekent dat ook voor een personeelsvolgsysteem dat (nog) niet als zodanig wordt gebruikt, maar daar (in de toekomst) wel de mogelijkheid toe zou kunnen bieden, de instemming nodig is van de ondernemingsraad. Het is een werkgever toegestaan zijn werknemers te controleren middels een personeelsvolgsysteem, mits dat zorgvuldig geschiedt. Zo dient een belangenafweging plaats te vinden tussen de bedrijfsbelangen van de werkgever en de privacybelangen van de werknemers, dient overleg plaats te vinden met de ondernemingsraad en dienen de werknemers goed geïnformeerd te worden over de doelstellingen en het gebruik van personeelsvolgsystemen. ### ¶45 Zoals in de voorgaande onderdelen als is aangegeven, zullen er specifieke (deel)administraties en registraties zijn met gegevens van personeelsleden in verband met betrouwbaarheid, deskundigheid, een eerlijk verloop van de spelen en intern toezicht. Ook is er sprake van cameratoezicht als personeelsvolgsysteem. Als uitgangspunt zal een werkgever daarvoor de instemming van de ondernemingsraad nodig hebben. Bij deze PIA wordt er vanuit gegaan, dat 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 19 zeker één of meerdere toekomstige vergunninghouders een ondernemingsraad zullen hebben als bedoeld in de Wet op de Ondernemingsraden. Het instemminsrecht van de onderneminsgraad aan de ene kant en de vereisten van de regelgeving voor speelcasino’s in verband met het verwerken van gegevens van personeelsleden in verband met betrouwbaarheid, deskundigheid, een eerlijk verloop van de spelen en intern toezicht, kan een werkgever eventueel in een ‘lastige’ situatie brengen. > Topics: DPIA, Video Surveillance ### ¶46 Dit zou het geval kunnen zijn als de ondernemingsraad geen instemming wenst te geven voor gegevensverwerkingen waartoe de werkgever (het casino) op grond van de regelgeving voor casino’s wel toe gedwongen wordt. In de memorie van toelichting bij de introductie van de “privacyinstemming” in 1998 (TK, 1995/1996, 24 615, nr. 3) zijn er enkele opmerkingen over de omvang c.q. reikwijdte van het instemmingsrecht. Daaruit valt op te maken dat de instemming van de ondernemingsraad nodig is als de werkgever de “beleidsruimte” van toen nog de Wet persoonsregistraties (thans de Wbp) invult in o.a. meldingsformulieren. Op p. 12 van die memorie van toelicht wordt vermeld: Aangelegenheden over de persoonlijke levenssfeer van werknemers in de onderneming vragen in toenemende mate aandacht. Het privacy-aspect komt bijvoorbeeld duidelijk in beeld bij registratie van en omgang met gegevens, zoals in verband met (medische) keuringen, aanstelling en ziekteverzuim, en het volgen van werknemers in gedrag en prestaties. ### ¶47 Betrokkenheid van werknemers en openheid over procedures en de omgang met de gegevens, is van een zodanig belang dat een instemmingsrecht over regelingen die strekken tot bescherming van de persoonlijke levenssfeer van werknemers wenselijk is. […] De WPR verplicht tot zelf-regulering – binnen de kaders van de WPR – in de vorm van reglementen en meldingsformulieren. De materiële normen van de WPR hebben betrekking op alle daardoor bestreken persoonsregistraties en kunnen derhalve slechts globaal van aard zijn. Door de zelfregulering kunnen de globale normen van de WPR worden toegesneden op de omstandigheden van het geval. Op basis van deze toelichting kan aangenomen worden dat in de gevallen dat een werkgever geen enkele beleidsruimte heeft, de instemming van de ondernemingsraad niet vereist is. Dit valt ook te baseren op artikel 27, lid 3, waarin bepaald is dat instemming niet vereist is, voor zover de betrokken aangelegenheid voor de onderneming reeds inhoudelijk is geregeld in een collectieve arbeidsovereenkomst of een regeling van arbeidsvoorwaarden vastgesteld door een publiekrechtelijk orgaan. ### ¶48 Ook artikel 27, lid 4, geeft aan dat een werkgever in gevallen waarin er een verplichting is tot het voeren van registraties c.q. gegevensverwerkingen of een 5 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE CASINO ’ S 20 personeelsvolgsysteem, ook zonder instemming gegevens mag verwerken. Bij verplicht te voeren administraties is er immers een zwaarwegende bedrijfsorganisatorische redenen. De samenloop met de WOR geeft aan, dat het aanbeveling kan verdienen om in de nadere regelgeving zo mogelijk aan te geven of en welke gegevensverwerkingen c.q. administraties verplicht zijn in het kader van de nieuwe bepalingen voor speelcasino’s. Zie in dit verband bijvoorbeeld ook de aanbevelingen 7 en 8. 6 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE KANSSPELAUTORITEIT 21 6 De regelgeving gericht op gegevensverwerkingen door de kansspelautoriteit 6.1 Overzicht In onderdeel 6 staan de gegevensverwerkingen door de kansspelautoriteit centraal. ### ¶49 De kansspelautoriteit zal voor en bij de volgende situaties persoonsgegevens verwerken: - de toelating tot de veiling c.q. de vergunningverlening; - de toepassing van de wet BIBOB bij de toelating tot de veiling c.q. de vergunningverlening; - het toezicht op de naleving en de handhaving van de wetgeving en de vergunning; - het verkrijgen van gegevens van de casino’s bij het toezicht op de naleving. 6.2 De toelating tot de veiling c.q. de vergunningverlening De kansspelautoriteit verwerkt thans al persoonsgegevens in het kader van vergunningverlening door de kansspelautoriteit. Het nieuwe regime voor speelcasino’s zal weliswaar tot meerdere soorten vergunningverleningen door de kansspelautoriteit en toelating tot de veiling voor speelcasino's leiden, maar zal niet leiden tot inhoudelijk andere of nieuwe gegevensverwerkingen over vergunningaanvragers en hun bestuurders dan thans al het geval is bij vergunningen voor speelautomaten en vergunningen als wisselinstelling. 6.3 De toepassing van de wet BIBOB bij de toelating tot de veiling c.q. de vergunningverlening Het BIBOB-instrumentarium wordt thans reeds ingezet bij de kansspelautoriteit voor vergunningen voor speelautomaten. > Topics: Personal Data, Supervision ### ¶50 Het nieuwe regime voor speelcasino’s zal weliswaar tot inzet van het BIBOB-instrumentarium bij vergunningverlening voor speelcasino’s leiden, maar zal niet leiden tot inhoudelijk andere en nieuwe gegevensverwerkingen over vergunningaanvragers en hun bestuurders. 6.4 Het toezicht op de naleving en de handhaving van de wetgeving en de vergunning Het toezicht door de kansspelautoriteit is reeds geregeld in de Wok en Awb. Daarnaast wordt in het thans bij de Tweede Kamer aanhangige Wetsvoorstel Kansspelen op afstand (TK, 33 996) in artikel 34k al een voorziening getroffen voor het door speelcasino’s vastleggen van gegevens en bescheiden die van belang zijn voor het toezicht. 6.5 Algemene bepalingen over gegevensverwerking ‘bij wet’? In artikel 33g van de Wok is reeds een regeling getroffen voor het verwerken van persoonsgegevens door de kansspelautoriteit. Er is geen aanleiding tot aanpassing of uitbreiding van deze regeling. > Topics: Personal Data, Supervision ### ¶51 Hierbij kan opgemerkt worden, dat het verwerken van gegevens 6 DE REGELGEVING GERICHT OP GEGEVENSVERWERKINGEN DOOR DE KANSSPELAUTORITEIT 22 betreffende ras (kopie identiteitsbewijzen en eventueel opvragen camerabeelden) mogelijk is op grond van art. 18, onder a, Wbp (onvermijdelijk met het oog op de identificatie). 6.6 Samenloop met de Wft (speelcasino als wisselinstelling) Een speelcasino zal tevens een vergunning als wisselinstelling (wisselkantoor) nodig hebben op grond van Afdeling 2.2.4c. van de Wet op het financieel toezicht (Wft) over het uitoefenen van bedrijf van wisselinstelling. Dit zou er toe kunnen leiden dat een speelcasino’s zowel bij de vergunning voor een speelcasino als (in een later stadium) bij de vergunning voor een wisselinstelling, geconfronteerd wordt met twee vergelijkbare procedures waarbij persoonsgegevens over bestuurders en uiteindelijk belanghebbende verwerkt dienen te worden. > Topics: Personal Data, Identification ### ¶52 In die zin lijkt aandacht nodig voor de samenloop bij de Wok en de Wft. Dit leidt tot de volgende aanbeveling. Aanbeveling t.a.v. samenloop met de Wft (speelcasino als wisselinstelling) Aanbeveling 11: draag zorg voor een goede afstemming betreffende de verwerking van persoonsgegevens bij enerzijds vergunningen voor speelcasino’s en anderzijds vergunningen voor wisselinstellingen. Voorkomen dient te worden dat een situatie zou ontstaan waarbij er sprake zou zijn van bovenmatige gegevensverwerking. 7 DE NIEUWE REGELGEVING EN DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER 23 7 De nieuwe regelgeving en de bescherming van de persoonlijke levenssfeer Bij wetgeving gericht op de verwerking van persoonsgegevens is uiteraard ook van belang of en in welke mate de uit de wetgeving voortvloeiende gegevensverwerking inbreuk maken op de persoonlijke levenssfeer van personen en grondrechten raken zoals in het bijzonder het grondrecht op bescherming van de persoonlijke levenssfeer in artikel 8 van het Europees Verdrag voor de Rechten van de Mens (EVRM) en artikel 10 van de Grondwet. > Topics: Personal Data, Processing ### ¶53 Het is daarbij tevens van belang dat de inbreuken een voldoende rechtvaardiging hebben. Dit betekent dat er sprake dient te zijn van specifieke belangen zoals de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. Verder is noodzakelijk dat de regelgeving (het voorziene wetsvoorstel plus de nadere regelgeving) voldoende specifiek is, zodat ook voor betrokkenen voldoende duidelijk is tot welke gegevensverwerkingen en inbreuken op de persoonlijke levenssfeer de wetgeving aanleiding geeft. De gegevensverwerking die plaats zal vinden, heeft enerzijds betrekking op bestuurders, leidinggevenden en personeelsleden van casino’s. Het gaat hierbij om gegevensverwerkingen die hun zakelijke werkzaamheden betreffen. > Topics: Types of Special Categories of Personal Data ### ¶54 In die zin zijn de gegevensverwerkingen niet direct gericht op de privésfeer. De privésfeer wordt bij met name de betrouwbaarheid van personen wel geraakt. De voor de betrouwbaarheidstoets benodigde gegevens kunnen een indringend beeld geven van bepaalde aspecten van de bestuurders (eerdere werkzaamheden, strafrechtelijke aspecten en financiële aspecten). Daarnaast is er sprake van een bepaalde privacybescherming op de werkplek. Dit laatste speelt vooral bij een eerlijk spelverloop en cameratoezicht. Bij het eerlijk spelverloop en het cameratoezicht gaat het ook om gegevens over bezoekers en spelers. In algemene zin kan opgemerkt worden dat de inbreuk op de persoonlijke levenssfeer ziet op zakelijke activiteiten, activiteiten als werknemer en activiteiten als bezoeker van een casino. In die zin zijn de inbreuken op de persoonlijke levenssfeer beperkt en voor de betrokken personen in meer of minder mate ook vermijdbaar door bijvoorbeeld casino’s niet te bezoeken. > Topics: Video Surveillance ### ¶55 Een belangrijke constatering is eveneens dat de nieuwe wetgeving de facto geen of nauwelijks gegevensverwerkingen met zich mee zal brengen die nu niet al bestaan bij Holland Casino’s, de vergunningen als wisselkantoor, de vergunningen op grond van de Wok en bij de kansspelautoriteit. In die zin zijn er bij het onderwerp van deze PIA geen nieuwe aantastingen van de persoonlijke levenssfeer van de betrokken personen. De thans reeds bestaande publieke belangen 1) het voorkomen van kansspelverslaving, 2) het beschermen van de consument en 3) het bestrijden van fraude en criminaliteit, liggen ook ten grondslag aan de nieuwe regelgeving voor de speelcasino’s. In die zin is er geen wijziging met de huidige situatie. Deze belangen passen binnen bijvoorbeeld de openbare veiligheid, het economisch welzijn, het voorkomen van strafbare feiten en de bescherming van de gezondheid of de goede zeden. 7 DE NIEUWE REGELGEVING EN DE BESCHERMING VAN DE PERSOONLIJKE LEVENSSFEER 24 De mate van gedetailleerdheid en voorzienbaarheid van de regelgeving is op dit moment nog wel een issue. > Topics: DPIA, Types of Special Categories of Personal Data ### ¶56 De wetsbepalingen zijn op zich bezien niet bijzonder nauwkeurig en specifiek. Dit is echter geen belemmering als de vereiste nauwkeurigheid en duidelijkheid (maar) wel geboden zal worden in de nadere regelgeving. Dit is nadrukkelijk ook het streven. Bijvoorbeeld overname van de aanbevelingen 1 tot en met 8 betreffende de nadere wetgeving zal daar aan bijdragen. Ook een eventuele aanvullende PIA betreffende de uitvoeringsregelingen kan een rol spelen. Het is thans immers nog niet mogelijk de privacy-aanvaardbaarheid van de nog komende nadere regelgeving te beoordelen. BIJLAGE 1 | OVERZICHT BASISDOCUMENTEN 25 BIJLAGE 1 | Overzicht basisdocumenten De Beleidsvisie herinrichting speelcasinoregime, Visiedocument van het Ministerie van Veiligheid en Justitie en het Ministerie van Financiën van 24 juni 2014 Het Reglement bescherming persoonsgegevens Kansspelautoriteit van 29 april 2014 (Stcrt. 21460 van 29 juli 2014) De Beleidsregels integriteitsbeoordeling exploitatievergunningen 2014 van de kansspelautoriteit van 24 juni 2014 (Stcrt. 18428, 1 juli 2014) Het Bibob-vragenformulier met betrekking tot overige beschikkingen van de Dienst Justis van het Ministerie van Veiligheid en Justitie, vastgesteld op grond van artikel 30 van de Wet BIBOB. > Topics: Personal Data, Records of processing activities, DPIA, Public Authority ### ¶57 Het Meldingsformulier benoeming van de AFM en DNB, zoals door Holland Casino’s gebruikt wordt bij een vergunning als wisselinstelling (wisselkantoor) Het Formulier Betrouwbaarheidsonderzoek van de AFM en DNB, zoals door Holland Casino’s gebruikt wordt bij een vergunning als wisselinstelling (wisselkantoor) Het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013, Bijlage bij TK, 26 643, nr. 282 De Brief van de minister voor Wonen en Rijksdienst en van de staatssecretaris van VenJ van 21 juni 2013 over het verplicht gebruik van het Toetsmodel PIA Rijksdienst (TK, 26 643, nr. 282) Het advies van het Cbp van 5 maart 2103, z2012-00847, over het concept Toetsmodel Privacy Impact Assessment De Motie Franken van 17 mei 2011 over het uitvoeren van een PIA in het kader van wetgeving (EK, 31 051, nr. D) De Privacy Impact Assessment: Conceptregeling Kansspelen op afstand van 18 juli 2013 over o.a. het Centraal Register Uitsluitingen Kansspelen (CRUKS) BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 26 BIJLAGE 2 | Concept wetvoorstel Speelcasino’s Wijziging van de Wet op de kansspelen in verband met de modernisering van de speelcasinomarkt Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz. > Topics: DPIA ### ¶58 Allen, die deze zullen zien of horen lezen, saluut! doen te weten: Alzo Wij in overweging genomen hebben, dat het wenselijk is een regeling te treffen voor het organiseren van speelcasino’s; Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze: ARTIKEL I De Wet op de kansspelen wordt gewijzigd als volgt: A Titel IVb komt te luiden: TITEL IVb. SPEELCASINO’S Afdeling 1. Inleidende bepalingen Artikel 27g (algemeen) 1. Tot het organiseren van een speelcasino kan uitsluitend vergunning worden verleend overeenkomstig de bepalingen van deze titel. 2. Onder speelcasino wordt verstaan de voor het publiek opengestelde of bedrijfsmatig gedreven vaste inrichting, waar door middel van gemeenschappelijk beoefende kansspelen aan de deelnemers een gelegenheid als bedoeld in artikel 1, eerste lid, onder a, wordt gegeven, en waar speelautomaten als bedoeld in artikel 30, aanhef en onder a, kunnen worden geëxploiteerd. > Topics: Records of processing activities ### ¶59 2. De vergunning tot het organiseren van een speelcasino Artikel 27h (aantal, geldigheidsduur, etc.) 1. De raad van bestuur, bedoeld in artikel 33a, kan maximaal zestien vergunningen verlenen tot het organiseren van een speelcasino. 2. De vergunning tot het organiseren van een speelcasino wordt voor bepaalde tijd verleend. 3. De vergunning tot het organiseren van een speelcasino wordt verleend onder beperkingen, die verband houden met de geografische spreiding van de speelcasino’s en de aard en omvang van de te organiseren kansspelen. Aan de vergunning tot het organiseren van een speelcasino kunnen voorschriften in het belang van de verantwoorde, betrouwbare en controleerbare organisatie van het BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 27 speelcasino worden verbonden. De beperkingen en voorschriften kunnen worden gewijzigd. 4. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de voorgaande artikelleden. ### ¶60 Deze regels hebben in ieder geval betrekking op: a. de geografische spreiding van de speelcasino’s; b. de kansspelen die op grond van een vergunning tot het organiseren van een speelcasino mogen worden georganiseerd, waarbij spelregels en andere kenmerken van die spelen kunnen worden gegeven; c. de minimale en maximale omvang van de te organiseren kansspelen; d. de geldigheidsduur van de vergunning; e. de overgang van de vergunning. Artikel 27i (transparante verlening: veiling) 1. De verlening van een vergunning tot het organiseren van een speelcasino geschiedt door middel van een veiling. 2. De raad van bestuur, bedoeld in artikel 33a, kondigt het voornemen tot het houden van een veiling tijdig aan in de Staatscourant en zendt dit voornemen, eveneens tijdig, aan de Europese Commissie ter publicatie in het Publicatieblad van de Europese Unie. 3. De aanvraag voor een vergunning tot het organiseren van een speelcasino wordt niet tot de veiling toegelaten indien de aanvraag bij of krachtens deze wet gestelde voorschriften wordt afgewezen. 4. ### ¶61 Indien met betrekking tot een beschikking genomen krachtens artikel 27h, eerste lid, of 27i, derde lid, een verzoek om voorlopige voorziening is gedaan, treedt de beschikking niet in werking voordat op dat verzoek is beslist. 5. In afwijking van het eerste lid, wordt geen veiling georganiseerd indien na de beoordeling van de aanvragen door de raad van bestuur, bedoeld in artikel 33a, minder dan twee aanvragen resteren. 6. Bij of krachtens algemene maatregel van bestuur worden regels gesteld met betrekking tot de voorgaande artikelleden. Deze regels hebben in ieder geval betrekking op: a. de indiening en behandeling van de aanvraag van een vergunning tot het organiseren van een speelcasino; b. de aankondiging van de veiling, bedoeld in het tweede lid; c. de veiling en de toelating tot de veiling; d. de termijn waarbinnen een beschikking op de aanvraag wordt gegeven. Artikel 27j (afwijzing) 1. ### ¶62 De aanvraag tot het verlenen van een vergunning tot het organiseren van een speelcasino wordt afgewezen indien: a. onvoldoende is gewaarborgd dat de aanvrager en diens onderneming zullen voldoen aan de bij of krachtens deze wet gestelde voorschriften; b. onvoldoende is gewaarborgd dat het speelcasino overeenkomstig de bij of krachtens deze wet, de Wet ter voorkoming van witwassen en financieren van terrorisme en de Sanctiewet 1977 gestelde voorschriften zal worden georganiseerd; c. onvoldoende is gewaarborgd dat het toezicht op de naleving en de handhaving van deze wet, de Wet ter voorkoming van witwassen en financieren van terrorisme, de Sanctiewet 1977 en de Wet op de kansspelbelasting doelmatig en doeltreffend kan worden uitgeoefend. BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 28 d. de uitkomst van de veiling, bedoeld in artikel 27i, tweede lid, daartoe aanleiding geeft. 2. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de toepassing van het vorige artikellid. > Topics: Supervision ### ¶63 Artikel 27k (wijziging/intrekking/schorsing) 1. De vergunning tot het organiseren van een speelcasino kan worden ingetrokken, indien: a. de gegevens, die met het oog op de verkrijging van de vergunning zijn verstrekt, zodanig onjuist of onvolledig zijn gebleken dat op de aanvraag een andere beslissing zou zijn gegeven indien bij de beoordeling daarvan de juiste en volledige gegevens bekend waren geweest; b. niet of niet meer wordt voldaan aan de bij of krachtens deze wet, de Wet ter voorkoming van witwassen en financieren van terrorisme, de Sanctiewet 1977 of de Wet op de kansspelbelasting gestelde regels; c. een aan de vergunning verbonden voorschrift of een beperking waaronder de vergunning is verleend is overtreden; d. de houder van de vergunning het speelcasino niet binnen een redelijke termijn overeenkomstig de vergunning heeft georganiseerd; e. de houder van de vergunning kennelijk is opgehouden het speelcasino te organiseren; f. onvoldoende medewerking is verleend aan het toezicht op de naleving en de handhaving van de bij of krachtens deze wet, de Sanctiewet 1977, en de Wet op de kansspelbelasting gestelde voorschriften. 2. > Topics: Supervision ### ¶64 De vergunning tot het organiseren van een speelcasino kan worden geschorst op grond van ernstige vermoedens dat er grond bestaat om de vergunning in te trekken. 3. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de voorgaande artikelleden. Afdeling 3. De houder van de vergunning tot het organiseren van een speelcasino Artikel 27l (rechtsvorm, transparantie, continuïteit) 1. De houder van de vergunning tot het organiseren van een speelcasino heeft zijn statutaire zetel, zijn hoofdbestuur of zijn hoofdvestiging in een staat die partij is bij het Verdrag betreffende de werking van de Europese Unie of de Overeenkomst betreffende de Europese Economische Ruimte. 2. De vergunninghouder heeft de rechtsvorm van een naamloze vennootschap, een besloten vennootschap met beperkte aansprakelijkheid, het equivalent daarvan naar het recht van een andere staat als bedoeld in het eerste lid of een Europese vennootschap. 3. > Topics: Transparency ### ¶65 De vergunninghouder is niet verbonden met personen in een formele of feitelijke zeggenschapsstructuur die: a. ingevolge het recht van een andere staat dat op die personen van toepassing is, of b. door de ondoorzichtigheid van die structuur, een belemmering kan vormen voor het doelmatig en doeltreffend houden van toezicht op de naleving van het bepaalde bij of krachtens deze wet of de Sanctiewet 1977. BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 29 4. De continuïteit van de vergunninghouder is redelijkerwijs gewaarborgd. 5. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de voorgaande artikelleden. Artikel 27m (bedrijfsvoering) 1. De houder van een vergunning tot het organiseren van een speelcasino richt zijn bedrijfsvoering zodanig in dat een verantwoorde, betrouwbare en controleerbare organisatie van het speelcasino, alsmede het toezicht op naleving van de bij of krachtens deze wet en de Sanctiewet 1977 gestelde voorschriften en de handhaving daarvan, zijn gewaarborgd. 2. > Topics: Supervision ### ¶66 Daartoe gebruikt de vergunninghouder in ieder geval passende middelen, processen en procedures die: a. voldoen aan bij of krachtens algemene maatregel van bestuur gestelde technische en operationele vereisten met betrekking tot de veiligheid, vertrouwelijkheid, eerlijkheid, continuïteit, betrouwbaarheid, controleerbaarheid en geschiktheid van de bedrijfsvoering, en b. door een door de Raad voor Accreditatie of door een andere nationale accreditatie-instantie als bedoeld in artikel 4 van Verordening 765/2008 tot vaststelling van de eisen inzake accreditatie en markttoezicht betreffende het verhandelen van producten en tot intrekking van Verordening (EEG) nr. 339/93 (PbEU L 21) geaccrediteerde instelling zijn gekeurd. 3. De vergunninghouder laat de middelen, processen en procedures in ieder geval op een daartoe strekkende aanwijzing van de raad van bestuur, bedoeld in artikel 33a, binnen de in die aanwijzing gestelde termijn geheel of gedeeltelijk onderwerpen aan een keuring door een instelling als bedoeld in het tweede lid, onder b. 4. ### ¶67 De vergunninghouder wijst een of meer ter zake kundige functionarissen aan die binnen zijn organisatie verantwoordelijk en beschikbaar zijn voor de uitvoering en het interne toezicht op naleving van bij of krachtens deze wet gestelde voorschriften. 5. Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot de bedrijfsvoering van de vergunninghouder en de keuring van de middelen, processen en procedures. Daarbij worden in ieder geval regels gesteld met betrekking tot: a. de gevallen waarin de vergunninghouder de middelen, processen en procedures, bedoeld in het tweede lid, geheel of gedeeltelijk laat onderwerpen aan een keuring; b. de gevallen waarin de raad van bestuur, bedoeld in artikel 33a, tijdelijk ontheffing kan verlenen van het vereiste, bedoeld in het tweede lid, onder b; c. de samenwerking met derden in het belang van de verantwoorde, betrouwbare en controleerbare organisatie van een speelcasino; d. de bescherming van de consument; e. de uitbesteding van onderdelen van de bedrijfsvoering aan derden; f. het binnen het speelcasino verrichten van andere activiteiten dan de krachtens de vergunning georganiseerde kansspelen, en g. de administratie van de krachtens de vergunning georganiseerde kansspelen. ### ¶68 Artikel 27n (betrouwbaarheid) 1. De betrouwbaarheid van de houder van de vergunning tot het organiseren van een speelcasino, van de personen die zijn beleid bepalen of mede bepalen en van zijn uiteindelijke belanghebbende staat buiten twijfel. BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 30 2. De vergunninghouder voert een adequaat beleid dat strekt tot waarborging van de betrouwbaarheid van leidinggevenden, van personen op sleutelposities en van personen die bij het organiseren een speelcasino met spelers in aanraking komen. 3. De vergunning kan in ieder geval worden geweigerd in het geval en onder de voorwaarden, bedoeld in artikel 3 van de Wet bevordering integriteitsbeoordelingen door het openbaar bestuur. 4. Voordat de aanvraag tot het verlenen van een vergunning tot het organiseren van een speelcasino wordt afgewezen of een dergelijke vergunning wordt geschorst of ingetrokken, kan het Bureau bevordering integriteitsbeoordelingen door het openbaar bestuur, bedoeld in artikel 8 van de Wet bevordering integriteitsbeoordelingen door het openbaar bestuur, om een advies als bedoeld in artikel 9 van die wet worden gevraagd. 5. ### ¶69 Bij of krachtens algemene maatregel van bestuur worden nadere regels gesteld met betrekking tot het eerste en tweede lid. Deze regels hebben in ieder geval betrekking op de wijze waarop wordt vastgesteld of de betrouwbaarheid van de vergunninghouder en een persoon als bedoeld in het eerste lid buiten twijfel staat en welke feiten en omstandigheden daarbij worden betrokken. Artikel 27o (deskundigheid) 1. Het beleid van de houder van de vergunning tot het organiseren van een speelcasino wordt bepaald door personen die deskundig zijn in verband met de verantwoorde, betrouwbare en controleerbare organisatie van een speelcasino. 2. De vergunninghouder draagt zorg voor passende deskundigheid van de leidinggevenden, van de personen op sleutelposities en van de personen die bij het organiseren van een speelcasino met spelers in aanraking komen. 3. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld met betrekking tot het eerste en tweede lid. ### ¶70 4. Het organiseren van een speelcasino Artikel 27p Gereserveerd voor artikel I, onderdeel H, Wetsvoorstel Kansspelen op afstand (toegang tot speelcasino) Artikel 27q Gereserveerd voor artikel I, onderdeel I, , Wetsvoorstel Kansspelen op afstand (CRUKS) Artikel 27r (Eerlijk spelverloop) 1. De houder van de vergunning tot het organiseren van een speelcasino draagt zorg voor het eerlijk verloop van de binnen het speelcasino georganiseerde kansspelen. 2. Daartoe sluit de vergunninghouder in ieder geval personen in dienst van de vergunninghouder en personen in dienst van derden die zijn tewerkgesteld in het speelcasino uit van directe deelname aan de kansspelen in het speelcasino, alsmede van indirecte deelname daaraan door middel van tussenpersonen. 3. Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld met betrekking tot het eerlijk verloop van de kansspelen die binnen een speelcasino worden aangeboden. ### ¶71 Daarbij kunnen aanvullende categorieën van personen worden aangewezen die door de vergunninghouder van deelname aan de kansspelen zijn uitgesloten. BIJLAGE 2 | CONCEPT WETSVOORSTEL SPEELCASINO ’ S 31 Artikel 27s (intern toezicht door vergunninghouder binnen speelcasino) 1. Ten behoeve van de naleving van de bij of krachtens deze wet gestelde voorschriften, houdt de houder van de vergunning tot het organiseren van een speelcasino binnen het speelcasino toezicht op spelers, alsmede op personen die bij het organiseren van een speelcasino met spelers in aanraking komen. 2. Ten behoeve van het toezicht, bedoeld in het eerste lid, kan de houder van de vergunning tot het organiseren van een speelcasino camera’s inzetten. 3. De verwerking van persoonsgegevens op grond van het tweede lid, is een verwerking als bedoeld in artikel 1, onder b, van de Wet bescherming persoonsgegevens. 4. De aanwezigheid van camera’s als bedoeld in het tweede lid is op duidelijke wijze kenbaar voor een ieder die het desbetreffende speelcasino betreedt. 5. > Topics: Personal Data, Processing ### ¶72 Bij of krachtens algemene maatregel van bestuur kunnen nadere regels worden gesteld met betrekking tot het toezicht door de vergunninghouder in speelcasino’s. BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 32 BIJLAGE 3 | Ingevulde vragenlijst PIA Rijksdienst voor de gegevensverwerkingen door de speelcasino’s De vragenlijst van het Toetsmodel Privacy Impact Assessment (PIA) Rijksdienst van 24 juni 2013 (Bijlage bij TK, 26 643, nr. 282) . Het Toetsmodel dient vanaf 1 september 2013 standaard te worden toegepast bij ontwikkeling van nieuwe wetgeving en beleid waarmee de bouw van nieuwe ICT-systemen of de aanleg van grote databestanden wordt voorzien. In onderstaande vragenlijst komt de gegevensverwerking door de speelcasino’s aan de orde voor zover de nieuwe wetgeving daar aanleiding toe geeft. De PIA ziet daarbij niet op de systemen die speelcasino’s zullen gebruiken of de gegevensverwerkende processen en procedures van de speelcasino’s zelf. > Topics: DPIA ### ¶73 Dit houdt direct verband met het onderwerp van deze PIA. Bij een aantal onderdelen is dan ook de opmerking “NvT” geplaatst. Dat is in het bijzonder bij onderwerpen die de gebruikte systemen en procedures van de speelcasino’s betreffen. I. Basisinformatie: type persoonsgegevens, type verwerking en noodzaak/gegevensminimalisering I.1. Wilt u als verantwoordelijke persoonsgegevens gaan gebruiken voor de verwerking die u voorziet? Zo ja, van welk type? De speelcasino’s zullen persoonsgegevens verwerken over bestuurders, leidinggevenden, personeelsleden en bezoekers. Het gaat daarbij om diverse gegevens, waaronder bijzondere persoonsgegevens en cameratoezicht. Zie ook onderdeel 4.1. I.2. Andere specifieke persoonsgegevens? I.2a. Is het de bedoeling om gegevens over de financiële of economische situatie van betrokkenen, of andere gegevens die kunnen leiden tot stigmatisering of uitsluiting te verwerken? > Topics: Personal Data, Controllers, DPIA, Video Surveillance ### ¶74 Met name bij bestuurders (betrouwbaarheid) zullen gegevens verwerkt worden over de financiële positie (schulden) en dit kan aanleiding geven om een vergunning niet te verlenen c.q. om een bepaalde partij niet tot de vergunningveiling toe te laten. I.2b. Is het de bedoeling om gegevens over kwetsbare groepen of personen te verwerken? Neen BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 33 I.2c. Is het de bedoeling gebruikersnamen, wachtwoorden en andere inloggegevens te verwerken? NvT voor deze PIA. I.2d. Is het de bedoeling om uniek identificerende gegevens, zoals biometrische gegevens, te verwerken? NvT voor deze PIA. I. 2e. Is het de bedoeling om het BSN-nummer, of een ander persoonsgebonden nummer te verwerken? Nvt voor deze PIA. I. 3. Kan van elk van de onder vraag I.1 en vraag I.2 opgevoerde typen persoonsgegevens worden gesteld dat zij beleidsmatig of technisch direct van belang en onontbeerlijk zijn voor het bereiken van de beleidsdoelstelling? > Topics: Personal Data, DPIA, Biometric Data, Types of Special Categories of Personal Data ### ¶75 Wat zou er precies niet inzichtelijk worden als ervoor wordt gekozen bepaalde gegevens niet te verwerken? Licht per te verwerken persoonsgegeven toe. De gegevensverwerkingen vloeien direct voort uit de regelgeving. I.4. Kan als het gaat om gevoelige persoonsgegevens hetzelfde beleidseffect of technisch resultaat worden bereikt op een van de volgende wijzen: (a) door (gecombineerd) gebruik van normale persoonsgegevens, (b) door gebruik van geanonimiseerde of gepseudonimiseerde gegevens? Neen, de gegevensverwerking van bijzondere persoonsgegevens vloeit direct voort uit de regelgeving. I.5. In welk breder wettelijk, beleidsmatig of technisch kader wordt het voorziene beleid/databestand/informatiesysteem ontwikkeld en wat voor soort(en) verwerking(en) van BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 34 persoonsgegevens gaan hiervan deel uitmaken bij het voorziene traject? Wordt hierbij gebruikt gemaakt van (nieuwe) technologie of informatiesystemen? > Topics: Personal Data, Pseudonymization, DPIA, Healthcare ### ¶76 NvT voor deze PIA. In algemene zin wordt cameratoezicht van een juridische basis voorzien. II. Doelbinding, koppeling, kwaliteit en profilering Doeleinden/doelbinding en koppeling II.1. Hebt u het/de specifieke doel(en) waarvoor u de persoonsgegevens gaat verwerken in detail vastgesteld? Geldt hiervoor één en hetzelfde specifieke doel? Zie de onderdelen 4.1 en 5.1. II. 2. Gaat het bij het project/systeem om gebruik van nieuwe persoonsgegevens voor een bestaand doel, of bestaande doelen binnen al bestaande systemen? (scenario toevoeging nieuwe persoonsgegevens). In algemene zin gaat het om reeds bestaande gegevensverwerkingen. II. 3. Gaat het bij het project/systeem om het nastreven van nieuwe/aanvullende doeleinden door bestaande persoonsgegevens, of verzamelingen daarvan, te gebruiken, vergelijken, delen, koppelen of anderszins verder te verwerken? (scenario toevoeging doeleinden). Zo ja, hebben alle personen/instanties/systemen die betrokken zijn bij de verwerking dezelfde doelstelling met de verwerking van de desbetreffende persoonsgegevens of is daarmee spanning mogelijk gelet op hun taak of hun belang? > Topics: Personal Data, DPIA, Marketing, Profiling ### ¶77 Gelden dezelfde doelen voor het hele proces? In algemene zin gaat het om reeds bestaande gegevensverwerkingen. II.4. Indien u positief hebt geantwoord op vragen II.2 of II.3, hoe wordt een dergelijk voorgenomen gebruik (d.w.z. gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande persoonsgegevens voor nieuwe doeleinden) gemeld aan: (a) de functionaris voor de gegevensbescherming, of (b) het Cbp indien er geen FG is? NvT BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 35 II.5. Indien u positief geantwoord hebt op vragen II.2 of II.3, welke (nadere) controles op een dergelijk gebruik (d.w.z. gebruik van nieuwe persoonsgegevens in bestaande systemen of van bestaande persoonsgegevens voor nieuwe doeleinden) zijn voorzien? NvT II.6. Welke periodieke en incidentele controles zijn voorzien om de juistheid, nauwkeurigheid en actualiteit van de in het beleidsvoorstel, wetsvoorstel op overheidsICT-systeem verwerkte persoonsgegevens na te gaan? > Topics: Personal Data, DPIA ### ¶78 NvT voor deze PIA II.7. Zullen de verzamelde/verwerkte persoonsgegevens gebruikt worden om het gedrag, de aanwezigheid of de prestaties van mensen in kaart te brengen en/of te beoordelen en/of te voorspellen? Zijn de betrokkenen daarvan op de hoogte? Zijn de gegevens die hiervoor worden gebruikt, afkomstig uit verschillende (eventueel externe) bronnen en zijn zij oorspronkelijk voor andere doelen verzameld? Ja, eerlijk spelverloop en bestrijden van o.a. witwassen II.8. Wordt bij deze analyse/beoordeling/voorspelling gebruik gemaakt van vergelijking van persoonsgegevens die technisch geautomatiseerd is (d.w.z. niet door mensen zelf wordt uitgevoerd)? Zo ja, hoe wordt geregeld dat, indien dit geautomatiseerde proces tot een beoordeling of voorspelling over een bepaalde persoon leidt, hierop pas concrete actie wordt ondernomen na tussenkomst en (tweede) controle van (menselijk) personeel? Neen, naar verwachting niet III. > Topics: Personal Data, DPIA ### ¶79 Betrokken instanties/systemen en verantwoordelijkheid III.1. Welke interne en externe instantie(s) en/of systemen is/zijn betrokken bij de voorziene verwerking in elk van de onder I.5 onderscheiden fasen? Welke verstrekkers zijn er en welke ontvangers? Welke bestanden of deelbestanden en welke infrastructuren? NvT voor deze PIA BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 36 III.2. Is (in ieder stadium) duidelijk wie verantwoordelijk is voor de verwerking van de persoonsgegevens? Zo ja, is deze persoon of organisatie daarop voldoende voorbereid en geëquipeerd wat betreft de nodige voorzieningen en maatregelen, waaronder middelen, beleid, taakverdeling, procedures en intern toezicht? NvT voor deze PIA III. 3. Wie binnen uw organisatie, en elk van de andere betrokken organisaties, krijgen precies toegang tot de persoonsgegevens? Bestaat de kans dat bij het gebruik ervan de gegevens ter beschikking komen van onbevoegden? > Topics: Recipient, Personal Data, DPIA ### ¶80 NvT voor deze PIA III.4. Geldt voor een of meer van de betrokken instanties een beperking van de mogelijkheid om persoonsgegevens te verwerken als gevolg van geheimhoudingsverplichtingen (in verband met functie/wet)? Ja, bijvoorbeeld bij meldingen in het kader van de Wwft III.5. Zijn alle stappen van de verwerking in de zin van soorten gegevens en uitwisselingen, in kaart gebracht of te brengen, zodanig dat daardoor voor de betrokkenen inzichtelijk is bij wie, waarom en hoe de persoonsgegevens worden verwerkt? NvT voor deze PIA III.6. Zijn er beleid en procedures voorzien voor het creëren en bijhouden van een verzameling van de persoonsgegevens die u wilt gaan gebruiken? Zo ja, hoe vaak en door wie zal de verwerking worden gecontroleerd? Omvat de verzameling een verwerking die namens u wordt uitgevoerd (bijvoorbeeld door een onderaannemer)? NvT voor deze PIA BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 37 III. 7. > Topics: Personal Data, DPIA, Professional Secrecy ### ¶81 Is er sprake van overdracht van persoonsgegevens naar een (overheids-)instantie buiten de EU/EER? Heeft dit land een niveau van gegevensbescherming dat als passend is beoordeeld door een besluit van de Europese Commissie of de Minister van Veiligheid en Justitie? Worden daarbij alle of een gedeelte van de persoonsgegevens doorgegeven? Neen IV. Beveiliging en bewaring/vernietiging Beveiliging IV.1. Is het beleid met betrekking tot gegevensbeveiliging binnen uw organisatie op orde? Zo ja, wie/welke afdeling(en) is/zijn binnen de organisatie verantwoordelijk voor het opstellen, implementeren en handhaven hiervan? Is dit beleid specifiek gericht op gegevensbescherming en gegevensbeveiliging? NvT voor deze PIA IV.2. Indien (een deel van) de verwerking bij een bewerker plaatsvindt, hoe draagt u zorg voor de gegevensbeveiliging, en het toezicht daarop, bij die bewerker? NvT voor deze PIA IV. 3. > Topics: Personal Data, DPIA, Security, Public Authority ### ¶82 Welke technische en organisatorische beveiligingsmaatregelen zijn getroffen ter voorkoming van niet-geautoriseerde of onrechtmatige verwerking/misbruik van (a) gegevens die in een geautomatiseerd format staan (bv. wachtwoord-bescherming, versleuteling, encryptie) en (b) gegevens die handmatig zijn opgetekend bv. sloten op kasten)? Is er een hoger beschermingsniveau om gevoelige persoonsgegevens te beveiligen? NvT voor deze PIA IV.4. Welke procedures bestaan er in geval van inbreuken op beveiligingsvoorschriften, en voor het detecteren ervan? Is er een calamiteitenplan om het gevolg van een onvoorziene gebeurtenis waarbij persoonsgegevens worden blootgesteld aan onrechtmatige verwerking of verlies van persoonsgegevens af te handelen? NvT voor deze PIA BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 38 IV.5. Hoe lang worden de persoonsgegevens bewaard? Geldt dezelfde bewaartermijn voor elk van de typen van verzamelde persoonsgegevens? > Topics: Retention Period, Security, Personal Data, DPIA ### ¶83 Is het project onderworpen aan enige wettelijke/sectorale eisen met betrekking tot bewaring? NvT voor deze PIA IV.6. Op welke beleidsmatige en technische gronden is deze termijn van bewaring vereist? NvT voor deze PIA IV.7. Welke maatregelen zijn voorzien om de persoonsgegevens na afloop van de bewaartermijn te vernietigen? Worden alle persoonsgegevens, inclusief log-gegevens, vernietigd? Is er controle op de vernietiging, en door wie? NvT voor deze PIA V. Transparantie en rechten van betrokkenen V.1. Is het doel van het verwerken van de gegevens bij de betrokkenen bekend of kan het bekend gemaakt worden? Wat is de procedure om betrokkenen indien nodig te informeren over het doel van de verwerking van hun persoonsgegevens? NvT voor deze PIA V. 2. Indien u de persoonsgegevens direct van de betrokkenen verkrijgt, hoe stelt u hen van uw identiteit en het doel van de verwerking op de hoogte vóór het moment van verwerking? > Topics: Retention Period, Personal Data, Transparency, DPIA ### ¶84 NvT voor deze PIA V. 3. Indien u de persoonsgegevens via een andere (overheids)organisatie verkrijgt, hoe zullen de betrokkenen van uw identiteit en het doel van de verwerking op de hoogte worden gesteld op het moment van verwerking? BIJLAGE 3 | INGEVULDE VRAGENLIJST PIA RIJKSDIENST CASINO ’ S 39 NvT voor deze PIA V.4. Indien u toestemming tot verwerking van persoonsgegevens aan de betrokkene vraagt (opt-in), kan de betrokkene deze toestemming dan op een later tijdstip weer intrekken (opt- out)? Bij een weigering toestemming te geven, of bij een dergelijke intrekking, wat is dan de implicatie voor de betrokkene? NvT voor deze PIA V.5. Via welke procedure hebben betrokkenen de mogelijkheid zich tot de verantwoordelijke te wenden met het verzoek hen mede te delen of hun persoonsgegevens worden verwerkt? Hoe worden derden, die mogelijk bedenkingen hebben tegen een dergelijke mededeling, in de gelegenheid gesteld hun zienswijze te geven? NvT voor deze PIA 6. Hoe kan een verzoek van een betrokkene tot verbetering, aanvulling, verwijdering of afscherming van persoonsgegevens in behandeling worden genomen? NvT voor deze PIA > Topics: Personal Data, DPIA, Controllers, Processing --- Generated by overview.legal · https://overview.legal/posts/615077 · 2026-11-14