Aanwijzingen inzake de bescherming van de persoonlijke levenssfeer in verband met geautomatiseerde systemen waarin persoonsgegevens zijn opgenomen bij de Rijksoverheid

1. Een geautomatiseerde registratie waarin persoonsgegevens zijn opgenomen treedt eerst in werking nadat daarvoor een regeling is vastgesteld. Het bevoegd gezag draagt hiervoor zorg.
Deze regeling voorziet in elk geval in de onderwerpen hierna te noemen in paragraaf B.
De regeling wijst als houder van de registratie aan degene die de zeggenschap heeft over de werking ervan. De houder is verantwoordelijk voor de naleving van de regeling.
2. De regeling ligt voor een ieder ter inzage bij de houder van de registratie, de voorlichtingsdienst van het ministerie waaronder de houder ressorteert en de centrale bibliotheek van het Ministerie van Justitie.
Deze bibliotheek houdt een lijst bij van gedeponeerde regelingen.
3. Een registratie als bedoeld in aanwijzing 1 bevat uitsluitend gegevens die voor de doelstelling van die registratie noodzakelijk zijn.
De opgenomen gegevens worden voor geen andere doeleinden gebruikt dan die met de doelstelling van de registratie verenigbaar zijn.
4. Voor een ieder over wie gegevens zijn opgenomen in een registratie als bedoeld in aanwijzing 1 bestaat de mogelijkheid op zijn verzoek van deze gegevens kennis te nemen. Hiervoor worden voorzieningen getroffen overeenkomstig de bepalingen van de regeling.
Van medische, psychologische of andere gegevens waarvan rechtstreeks kennisneming schadelijk kan zijn voor de betrokken persoon, kan een gemachtigde kennisnemen. De regeling bevat bepalingen over de aanwijzing van deze gemachtigde.
5. Tevens bestaat voor een ieder de mogelijkheid op zijn verzoek verbetering of verwijdering te verkrijgen van gegevens over hem die onjuist zijn of ten onrechte in de registratie zijn opgenomen, alsmede aanvulling voor zover gegevens ontbreken die in de registratie opgenomen hadden kunnen zijn. Hiervoor worden voorzieningen getroffen overeenkomstig de bepalingen van de regeling.
6. Tenslotte bestaat voor een ieder over wie gegevens in de registratie zijn opgenomen de mogelijkheid dat hem op zijn verzoek wordt medegedeeld, welke gegevens over hem gedurende een periode in de regeling omschreven aan andere instanties zijn verstrekt. Hiervoor worden voorzieningen getroffen overeenkomstig de bepalingen van de regeling. Het gestelde in het eerste lid is niet van toepassing voor zover uit de regeling rechtstreeks volgt aan welke instanties gegevens zijn verstrekt en welke gegevens het betreft.
7. Het gestelde in de aanwijzingen 4, 5 en 6 is niet van toepassing voor zover dit in het belang van de veiligheid van de Staat of de opsporing van strafbare feiten noodzakelijk is.
8. Bij de organisatie en de beveiliging van een registratie als bedoeld in aanwijzing 1 is de houder verantwoordelijk voor de nodige voorzieningen om de bescherming van de persoonlijke levenssfeer van de personen over wie gegevens in die registratie zijn opgenomen in voldoende mate te verzekeren.
Deze voorzieningen betreffen in elk geval de onderwerpen hierna te noemen in paragraaf C.

9. De regeling bevat een nauwkeurige omschrijving van de doelstelling van de registratie.
10. De regeling omschrijft ook nauwkeurig over welke categorieën van personen de registratie gegevens bevat, welke gegevens voor elke categorie ten hoogste kunnen worden opgenomen en in welke gevallen opgenomen gegevens worden verwijderd.
11. Voor zover de uitvoering van werkzaamheden ten behoeve van de registratie zelfstandig geschiedt, bepaalt de regeling nauwkeurig de bevoegdheden van degenen die daarmee zijn belast. Voorts bepaalt de regeling wie met de technische verwerking van de gegevens in de registratie is belast.
12. De regeling bepaalt aan welke personen en instellingen gegevens uit de registratie worden verstrekt en welke gegevens ten hoogste kunnen worden verstrekt.
De regeling bevat ook een nauwkeurige omschrijving van de categorieën van personen die tot de registratie rechtstreeks toegang hebben.
13. Met uitzondering van de gevallen bedoeld in aanwijzing 7 bepaalt de regeling wanneer en op welke wijze een persoon of diens gemachtigde kan kennisnemen van de gegevens die over hem in de registratie zijn opgenomen.
Tenzij de regeling anders bepaalt vindt kennisgeving plaats door het verstrekken van een afschrift van of uittreksel uit de opgenomen gegevens.
14. Met uitzondering van de gevallen bedoeld in aanwijzing 7 bepaalt de regeling op welke wijze een persoon kan verzoeken dat gegevens over hem in de registratie worden verbeterd, verwijderd of aangevuld, en wie op een zodanig verzoek beslist en op welke wijze. Indien verbetering, verwijdering of aanvulling van gegevens wordt toegestaan, vindt de noodzakelijke wijziging in de registratie zo spoedig mogelijk plaats.
15. Voor de gevallen waarin aanwijzing 6, eerste lid, van toepassing is bepaalt de regeling op welke wijze en over welke periode een persoon over wie gegevens in de registratie zijn opgenomen een mededeling als bedoeld in dat lid kan verkrijgen.
16. Indien de aard van de registratie daartoe aanleiding geeft, wijst de regeling een instantie aan die met het toezicht op de werking van die registratie is belast en kent zij haar voor zover nodig de daartoe noodzakelijke bevoegdheden toe.
In de gevallen bedoeld in het eerste lid geeft de regeling aan op welke wijze belanghebbenden het daar bedoelde toezicht kunnen inroepen.

17. Ter bescherming van de gegevens tegen verlies of beschadiging door brand, water, straling of luchtverontreiniging en andere calamiteiten zijn de nodige voorzieningen aanwezig.
Tot deze voorzieningen behoren in elk geval:
a. voldoende brandblusmiddelen voor onmiddellijk gebruik;
b. een deugdelijke voorziening voor alarmering bij brand;
c. een deugdelijke bliksemafleiderinstallatie voor het gebouw of de gebouwen, waarin de registratie is gehuisvest;
d. een rookverbod voor de daarvoor aangewezen ruimten;
e. een rampenplan.
18. Voorts zijn de nodige voorzieningen aanwezig ter bescherming van de gegevens tegen kwaadwilligheid, onachtzaamheid en verkeerd gebruik door het personeel dat met de bewaring of verwerking is belast, alsmede tegen verleis of beschadiging door toedoen van derden.
In elk geval bestaan regels voor:
a. het transport van de gegevens zowel binnen als buiten het gebouw of de gebouwen, waarin de registratie is gehuisvest;
b. de toegang tot de ruimten waar gegevens worden bewaard of verwerkt;
c. voor zover de aard van de gegevens daartoe aanleiding geeft, het in veiligheid brengen van de gegevensbestanden, systeemdocumentatie en computerprogramma's bij dreigende bezetting van het land door een vijandelijke macht en hun vernietiging voordat deze zich ervan meest er zou kunnen maken.
19. Tenslotte zijn voorzieningen aanwezig die waarborgen dat bij verlies of beschadiging van gegevens herstel kan plaatsvinden.
In elk geval worden originelen en duplicaten van gegevensbestanden, systeemdocumentatie en computerprogramma's afzonderlijk bewaard in afsluitbare en brandvrije ruimten.
Van de gegevensbestanden, systeemdocumentatie en computerprogramma's en van het gebruik daarvan wordt een deugdelijke administratie bijgehouden.
20. Er bestaat een zodanige verdeling van functies, dat de volgende werkzaamheden zoveel mogelijk door verschillende personen worden verricht:
a. het ontwerpen van systemen;
b. het schrijven van computerprogramma's;
c. het ontvangen van gegevens;
d. het vastleggen en verwerken van gegevens;
e. het verstrekken van gegevens;
f. het bewaren van gegevens.
Voor het personeel dat bij de werking van de registratie is betrokken stelt men taak- en werkbeschrijvingen op. Van de verrichte werkzaamheden wordt zodanig aantekening gehouden, dat men te allen tijde kan nagaan wie de werkzaamheden genoemd in het eerste lid heeft uitgevoerd.
21. De uitvoering van werkzaamheden waarbij persoonsgegevens zijn betrokken vindt uitsluitend plaats op grond van daartoe strekkende interne of externe opdrachten. Deze worden zoveel mogelijk schriftelijk vastgelegd.
Degene die met de bewaring, verwerking of verstrekking van gegevens is belast overtuigt zich ervan dat een tot hem gerichte opdracht afkomstig is van personen en/of instanties die tot het verstrekken van die opdracht bevoegd zijn.
22. De uitvoering van werkzaamheden, waarbij persoonsgegevens zijn betrokken vindt plaats met inachtneming van hetgeen daarover is opgenomen in de systeembeschrijvingen die voor de registratie gelden.
Een systeembeschrijving geeft tenminste aan:
a. in welke vorm, hoeveelheid en detaillering gegevens ter verwerking worden aangeboden;
b. welke handelingen met deze gegevens moeten worden uitgevoerd;
c. in welke vorm, specificatie en periodiciteit gegevens moeten worden verstrekt;
d. welke zekerheden zijn gesteld ter waarborging van een gebruik overeenkomstig de regels die voor de werking van de registratie zijn gesteld.
23. Ter bescherming van de gegevens zijn de nodige voorzieningen aanwezig bij toepassing van apparaten welke aan derden een rechtstreekse toegang tot de registratie mogelijk maken.
Deze voorzieningen zijn met name erop gericht, dat een derde niet meer of andere gegevens aan de registratie kan onttrekken dan hem is toegestaan.
24. Op de deugdelijkheid en naleving van alle ter bescherming van de gegevens getroffen voorzieningen vindt een periodieke controle plaats.

25. Op geautomatiseerde registraties welke op 1 januari 1975 reeds in werking zijn, zijn de bovenstaande aanwijzingen van toepassing met dien verstande dat een regeling als bedoeld in aanwijzing 1 uiterlijk op 1 januari 1976 dient te zijn vastgesteld.
26. Bij besluit van de Minister-President, de Ministers van Justitie en van Binnenlandse Zaken, en de andere betrokken Ministers gezamenlijk kan worden bepaald, dat deze aanwijzingen niet van toepassing zijn op geautomatiseerde registraties, welke ten doel hebben de veiligheid van de Staat te beschermen.