Contract
Bulkbesluit inzake de vergunningaanvragen voor de verwerking van gegevens van strafrechtelijke aard ten behoeve van derden van de verwerking ‘Collectieve Horecaontzegging’ door de in de bijlage genoemde horecaondernemers van het horecagebied Centrum Zwolle
– z2022-00023
1 Inleiding: aanleiding vergunningaanvraag
1. Op 23 december 2021 heeft Koninklijke Horeca Nederland (hierna: KHN) – ingevolge artikel 33, vierde lid, aanhef en onder c, van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) – bij de Autoriteit Persoonsgegevens (AP) een bulkvergunningaanvraag ingediend namens de in de bijlage van het besluit genoemde horecaondernemers in het horecagebied Centrum Zwolle. Ter onderbouwing van de aanvraag, heeft KHN een protocol en een gegevensbeschermingseffectbeoordeling (ook wel data protection impact assessment/DPIA genoemd) bijgevoegd. Deze aanvraag is bij de AP bekend onder het zaaknummer z2022-00023 en onder de zaaknaam ‘Bulkvergunningaanvraag horecagebied Centrum Zwolle’.
2. Op 21 januari 2022 heeft de AP geconstateerd dat de vergunningaanvraag incompleet was. KHN heeft vervolgens de AP op 7 februari 2022 uitstel gevraagd tot 28 februari 2022; de AP heeft KHN dit uitstel verleend. Vervolgens heeft KHN op 28 februari 2022 de ontbrekende informatie en documenten aangeleverd. Daarna heeft de AP op 10 maart 2022 opnieuw geconstateerd dat de vergunningaanvraag incompleet was. Op 24 maart 2022 heeft KHN de ontbrekende gegevens naar ons toegestuurd. Vervolgens heeft de AP op 28 maart 2022 een ontbrekend gegeven geconstateerd en heeft KHN dit ontbrekende gegeven op 28 maart 2022 per ommegaande aangeleverd. Op 7 april 2022 heeft de AP aangegeven dat voor het geven van een beschikking op uw vergunningaanvraag uitstel nodig was.
3. Op grond van artikel 33, vierde lid, aanhef en onder c, UAVG mogen persoonsgegevens van strafrechtelijke aard ten behoeve van derden worden verwerkt indien de AP een vergunning voor de verwerking heeft verleend. Ingevolge artikel 33, vijfde lid, UAVG kan een vergunning slechts worden verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Aan de vergunning kunnen door de AP voorschriften worden verbonden.
4. In het navolgende concludeert de AP dat er een bulkvergunning voor de verwerking van gegevens van strafrechtelijke aard ten behoeve van derden kan worden verleend aan de individuele horecaondernemers, genoemd in de bijlage, omdat voldoende is aangetoond dat de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Het vorenstaande is uitgewerkt in het aangeleverde protocol en de DPIA.
2 Procedureverloop
5. De AP heeft het Protocol (collectieve) horecaontzegging, versie augustus 2020 (hierna: modelprotocol collectieve horecaontzegging) en de Data Protection Impact Assessment – Registratie en gebruik horecaontzeggingen, versie augustus 2020 (hierna: model-DPIA collectieve horecaontzegging) beoordeeld. De AP is op basis van de hiervoor genoemde documenten en de nadere toelichting die daarop is gegeven door KHN, tot de conclusie gekomen dat de AP in genoemde documenten geen strijdigheden ziet met de AVG en de UAVG. De AP heeft dit bevestigd in haar brief van 24 augustus 2020, waarbij is aangegeven dat aan de nog af te geven vergunningen in elk geval een aantal specifieke aanvullende voorschriften worden verbonden (zie onder overwegingen 13, 14, 15, 16 en 17 van dit besluit).
6. De lokale ondernemers hebben schriftelijk verklaard dat zij het modelprotocol collectieve horecaontzegging (augustus 2020) en model-DPIA collectieve horecaontzegging (augustus 2020) onderschrijven en zich daaraan zullen conformeren. Dit is de basis voor de aanvraag van de bulkvergunning, die de ondernemers elk nodig hebben voor de verwerking van persoonsgegevens van strafrechtelijke aard ten behoeve van derden.
3 Feitelijke weergave van de voorgenomen verwerking
7. Het doel van de horecaontzegging is om in de aangesloten horecabedrijven (inclusief de daarbij behorende erven/terrassen):
• de veiligheid van horecaondernemers, hun medewerkers en hun gasten te vergroten;
• overlast gevend gedrag te reduceren;
• criminaliteit te voorkomen en tegen te gaan.
8. Een verwerkingsverantwoordelijke kan een Individuele Horeca Ontzegging (IHO) uitreiken wanneer een persoon een of meerdere van de volgende gedragingen zoals vermeld in de artikel 4.1.1 tot en met 4.1.7 van het protocol in zijn horecabedrijf en/of op de daarbij behorende erven/terrassen vertoont. Als binnen een periode van zes maanden een tweede IHO ten aanzien van dezelfde betrokkene wordt ingevoerd in het registratiesysteem dan wordt de tweede IHO omgezet in een CHO van zes maanden. De subverwerker informeert de betrokkene hierover volgens het formulier ‘Aanzegging CHO’. De subverwerker informeert de verwerkingsverantwoordelijke die de tweede IHO heeft uitgereikt over de omzetting van de tweede IHO in een CHO.
9. Een gast die zich niet houdt aan de huisregels en/of strafbare feiten pleegt kan worden gesommeerd het bedrijf te verlaten en een ondernemer kan (naast het doen van aangifte) ervoor kiezen om de betrokkene voor een bepaalde tijd de toegang tot het bedrijf te ontzeggen. Doet een ondernemer dat alleen voor zijn eigen bedrijf/bedrijven dan is er sprake van een Individuele Horeca Ontzegging (IHO). Een IHO mag niet langer dan zes maanden duren.
10. Een verwerkingsverantwoordelijke kan een CHO uitreiken wanneer een persoon zich aan een of meerdere van de in artikel 4.2.1 van het protocol genoemde gedragingen in het horecabedrijf van de verwerkingsverantwoordelijke en/of op de daarbij behorende erven/terrassen schuldig maakt. Bij de collectieve horecaontzegging slaan de gezamenlijke verwerkingsverantwoordelijken de handen ineen om gezamenlijk overlastgevers uit hun bedrijven te weren. Als een verwerkingsverantwoordelijke aan het Protocol CHO de betrokkene een CHO heeft opgelegd, dan geldt deze ontzegging ook meteen voor alle andere gezamenlijke verwerkingsverantwoordelijken. Met één ontzegging wordt een overlastgever dus meteen geweerd uit alle aangesloten bedrijven, zonder dat de persoon in kwestie overlast heeft veroorzaakt in die andere bedrijven.
4 Wettelijk kader van strafrechtelijke aard ten behoeve van derden
Artikel 10 AVG bepaalt: “Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.”
Artikel 1 UAVG bepaalt: “In deze wet en de daarop berustende bepalingen wordt verstaan onder: […]
Persoonsgegevens van strafrechtelijke aard: persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld in artikel 10 van de verordening, alsmede persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag; […]”
Artikel 31 UAVG bepaalt: “Onverminderd artikel 10 van de verordening mogen persoonsgegevens van strafrechtelijke aard alleen worden verwerkt voor zover dit krachtens de artikelen 32 en 33 is toegestaan.”
Artikel 33, vierde lid, aanhef en onder c, UAVG bepaalt: “Persoonsgegevens van strafrechtelijke aard mogen ten behoeve van derden worden verwerkt:
[…]
c. indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de verwerking heeft verleend.”
Artikel 33, vijfde lid, UAVG bepaalt: “Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Aan de vergunning kunnen voorschriften worden verbonden.”
Artikel 6, eerste lid, aanhef en onder f, AVG bepaalt: “De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
[…]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.”
Overweging 47 van de AVG stelt: “De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn verhouding met de verwerkingsverantwoordelijke. […] In elk geval is een zorgvuldige beoordeling geboden om te bepalen of sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen redelijkerwijs geen verdere verwerking verwachten. […] De verwerking van persoonsgegevens die strikt noodzakelijk is voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. […]”
Artikel 5, tweede lid, AVG bepaalt: “De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”).”
11. Het wettelijk kader betekent dat de AP zich in het kader van de beoordeling van een vergunningaanvraag heeft beperkt tot de beoordeling van de verwerking van persoonsgegevens van strafrechtelijke aard ten behoeve van derden.
5 Beoordeling voorgenomen verwerking
12. Aan de hand van het wettelijk kader is de voorgenomen verwerking beoordeeld. De beoordeling is gebaseerd op de aan de verwerking ten grondslag liggende vergunningaanvraag, het protocol en de DPIA. Daarnaast zijn de overwegingen 13, 14, 15, 16 en 17 van dit besluit van belang bij de verrichtte beoordeling.
13. Het conformeren aan het modelprotocol collectieve horecaontzegging en model-DPIA collectieve horecaontzegging (versie augustus 2020) leidt tot het op een AVG-conforme wijze bijhouden van enerzijds de opgelegde individuele horecaontzeggingen (voor intern/eigen gebruik) en anderzijds het delen met derden van strafrechtelijke persoonsgegevens ten aanzien van opgelegde collectieve horecaontzeggingen. In het modelprotocol en de model-DPIA wordt het beroep op de grondslag gerechtvaardigd belang (artikel 6, eerste lid, onder f, van de AVG) conform de Normuitleg grondslag ‘gerechtvaardigd belang’ (november 2019) in voldoende mate uiteengezet om de in artikel 5 van het protocol genoemde categorieën van gegevens legitiem te verwerken.
14. Daarnaast is ook nog vereist dat tussen de beheerder (ofwel: verwerker) en de lokale ondernemers (ofwel: de gezamenlijke verwerkingsverantwoordelijken) een verwerkersovereenkomst opgesteld wordt om te komen tot een legitieme gegevensverwerking tussen deze partijen.
15. Het vorenstaande laat onverlet dat de (lokale) ondernemers mogen zorgen voor extra waarborgen om deze persoonsgegevens te beschermen.
16. Daarnaast dienen voor het verkrijgen van een vergunning voor het voeren van en/of deelname aan de hiervoor genoemde registratie van personen aan wie een collectieve horecaontzegging is opgelegd, ook de aanvullende vergunningsvoorschriften (zie hieronder) in acht genomen te worden.
17. Zoals ook onder overweging 3 van dit besluit is aangegeven, zijn er aanvullende voorschriften verbonden aan deze vergunningen. De aanvullende voorschriften, zoals ook benoemd in de brief van de AP van 24 augustus 2020 aan KHN, zijn, dat:
a. de lokale horecaondernemers (gezamenlijke verwerkingsverantwoordelijken) dienen jaarlijks - gecoördineerd door de KHN-afdeling Zwolle & Regio1 - een evaluatie van het modelprotocol en model-DPIA2 van het collectieve horecaontzeggingen uit te voeren. De AP ontvangt op aanvraag een afschrift van deze evaluatie.
b. in aansluiting op voorschrift a zal de beheerder namens de gezamenlijke verwerkingsverantwoordelijken bij deze jaarlijkse evaluatie in elk geval expliciet ingaan op:
1 Hierdoor kan een uniforme werkwijze voor alle bij de lokale KHN-afdelingen aangesloten horecaondernemers worden gerealiseerd. 2 Dit is feitelijk inherent aan de cyclus van een DPIA, omdat een DPIA uitvoeren geen eenmalige opdracht is, maar een continu proces. De verwerkingsverantwoordelijke moet altijd blijven monitoren of diens gegevensverwerking verandert. Bijvoorbeeld als er een nieuwe technologie gebruikt wordt. Of als persoonsgegevens voor een ander doel worden gebruikt.
• (de omvang van) de deelnemerslijst (ofwel: de lijst waarin de lokale horecaondernemers zijn opgesomd, die deelnemen aan de collectieve horecaontzeggingen in dat bepaalde horecagebied).3
• het aantal opgelegde individuele en collectieve horecaontzeggingen.
• het aantal (wegens verlopen van de looptijd of om andere redenen) verwijderde individuele en collectieve horecaontzeggingen.
• de meldingen van eventuele bijzondere incidenten waarbij de aard en de omvang daarvan wordt beschreven, of van andere vermeldingswaardige bijzonderheden.
c. de vergunning is – behoudens ingrijpende wetswijzigingen of wijziging van de gegevensverwerking – geldig tot 21 april 2027.
d. de verwerkingsverantwoordelijke (lokale horecaondernemer) diens gegevens volledig conform het modelprotocol en model-DPIA zal verwerken. Dat wil zeggen dat de lokale horecaondernemer het modelprotocol en model-DPIA ongewijzigd overneemt en de gegevens van de opgelegde collectieve horecaontzeggingen precies, zoals in het modelprotocol en model-DPIA omschreven wordt, gaat verwerken.
6 Conclusie
18. De AP is van oordeel dat de in de bijlage genoemde horecaondernemingen – door zich te conformeren aan de reeds door de AP beoordeelde modelprotocol en model-DPIA (versie augustus 2020) - de noodzaak en proportionaliteit van de voorgenomen verwerking voldoende hebben aangetoond.
19. De AP wijst de aanvraag ter verlening van een vergunning voor de verwerking van persoonsgegevens van strafrechtelijke aard ten behoeve van derden toe. Er mag met de voorgenomen verwerking worden gestart.
7 Afsluiting en rechtsmiddel
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit ingevolge de Awb een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. U kunt een bezwaarschrift indienen per post door deze te zenden naar Xxxxxxx 00000, 0000 XX Xxx Xxxx, onder vermelding van “Awb-bezwaar” op de envelop. U kunt ook een digitaal bezwaarschrift indienen, zie xxx.xxxxxxxxxxxxxxxxxxxxxxxxxx.xx. onder het kopje “Bezwaar maken tegen een besluit”. Het indienen van een bezwaarschrift schort de werking van dit besluit niet op.
3 Deze deelnemerslijst wordt door de KHN [afdeling] via een website actueel gehouden, zodat kenbaar is welke horecaondernemers deelnemen aan het collectief verbod in een bepaald gebied.
Xxx Xxxx, 00 april 2022
Autoriteit Persoonsgegevens,
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
ir. C.M. Schut, MPA
Directeur Systeemtoezicht, Beveiliging en Technologie
Bijlage: 29 deelnemende horecaondernemingen – horecagebied Centrum Zwolle
Zaaknummer | Adresgegevens: |
Naam aanvrager, eigenaar van: | |
z2022-00023.1 | Xxxxxxxxx 00, 0000 XX Xxxxxx |
‘t Swolsch Café | |
z2022-00023.2 | Xxxxxxxxxxx 00X, 0000 XX Xxxxxx |
Bistro de Zoete Inval | |
z2022-00023.3 | Xxxxxxxxxx 0-0, 0000 XX Xxxxxx |
Café Bloopers | |
z2022-00023.4 | Xxxxxxxxxxxxx 00, 0000 XX Xxxxxx |
Café De Gezelligheid | |
z2022-00023.5 | Xxxxxx Xxxxx 0, 0000 XX Xxxxxx |
Café de hete brij | |
z2022-00023.6 | Xxxxxxxxxx 0, XX Xxxxxx |
Café de Tagrijn | |
z2022-00023.7 | Xxxxxxxxxxxx 00, 0000 XX Xxxxxx |
Café het Beugeltje | |
z2022-00023.8 | Xxxxx Xxxxxxxxx 0, 0000 XX Xxxxxx |
DAVO Bieren Zwolle | |
z2022-00023.9 | Xxxxx Xxxxxxxxx 0, 0000 XX Xxxxxx |
De Beurs | |
z2022-00023.10 | Xxxxx Xxxxx 00X, 0000 XX Xxxxxx |
De Danskamer | |
z2022-00023.11 | Xxxxxxxxxx 0, 0000 XX Xxxxxx |
De Hap en Tap Kamer | |
z2022-00023.12 | Xxxxxxxxxx 00, 0000 XX Xxxxxx |
De Kuiperij |
z2022-00023.13 | Xxxxxxxxxxxx 0, 0000 XX Xxxxxx |
De Pizzakakkers Zwolle CV | |
z2022-00023.14 | Xxxxxxxxx 0, 0000 XX Xxxxxx |
De Vier Jaargetijden | |
z2022-00023.15 | Xxxxx Xxxxx 00, 0000 XX Xxxxxx |
Febo | |
z2022-00023.16 | Xxxxxxxxx 00, 0000 XX Xxxxxx |
Grieks Restaurant Nieuw Olympia | |
z2022-00023.17 | Xxxxxxxxxx 00, 0000 XX Xxxxxx |
Het Vliegende Paard | |
z2022-00023.18 | Xxxxxxxxxxxx 00, 0000 XX Xxxxxx |
Honky Tonk Jacks | |
z2022-00023.19 | Xxxxx Xxxxx 00, 0000 XX Xxxxxx |
In den Hoofdwacht | |
z2022-00023.20 | Xxxxxxxxxxxx 00, 0000 XX Xxxxxx |
Jacks Music Bar | |
z2022-00023.21 | Xxxxxxxxxxxxxx 00, 0000 XX Xxxxxx |
Las Rosas | |
z2022-00023.22 | Xxxxx Xxxxx 00, 0000 XX Xxxxxx |
McDonald’s Zwolle-Centrum | |
z2022-00023.23 | Xxxxxxxxxx 0, 0000 XX Xxxxxx |
Xxxxx'x | |
z2022-00023.24 | Xxxxxx Xxxxx 0, 0000 XX Xxxxxx |
Restaurant Meneer Jan | |
z2022-00023.25 | Xxxxxxxxxx 00, 0000 XX Xxxxxx |
Shotto |
z2022-00023.26 | Xxxxx Xxxxx 00X, 0000 XX Xxxxxx |
Stadscafé Blij | |
z2022-00023.27 | Xxxxxxxxxxxxxx 0, 0000 XX Xxxxxx |
Stadsstrand Zwolle | |
z2022-00023.28 | Bethlehems Xxxxxxxxx 00, 0000 XX Xxxxxx |
The Dublin House | |
z2022-00023.29 | Xxxxxxxxxxxx 00, 0000 XX Xxxxxx |
The Referee |