STAATSCOURANT
Nr. 29689
1 november
2023
Officiële uitgave van het Koninkrijk der Nederlanden sinds 1814.
Besluit inzake de verklaring omtrent Privacy Gedragscode Toegangsbeleid
ISPS-bedrijven van Port Privacy B.V.; z2019-21352
1 Inleiding: aanleiding en aanvraag goedkeuring
1. Op 19 september 2019 heeft Port Privacy B.V. (hierna Port Privacy) de Autoriteit Persoonsgegevens
(AP) verzocht de Privacy Gedragscode Toegangsbeleid ISPS-bedrijven1 (hierna: de Gedragscode)
goed te keuren op grond van artikel 40, vijfde lid, van de Algemene Verordening Gegevensbe-
scherming (AVG). Deze aanvraag is bij de AP bekend onder z2019-21352 onder de naam ‘Toe-
gangsbeleid ISPS-bedrijven (gedragscode)’. Na aanpassing van de eerder ingediende aanvragen
heeft de AP op 31 maart 2022 de Gedragscode formeel in behandeling genomen. Port Privacy
heeft bij brief van 24 juli 2023 voor de laatste maal een aangepaste versie van de Gedragscode
ingediend. Deze versie is door de AP getoetst.
2. Ingevolge artikel 40, vijfde lid, AVG brengt de AP advies uit over de vraag of de Gedragscode
strookt met de AVG, en keurt de AP de Gedragscode goed indien zij van oordeel is dat de
Gedragscode voldoende passende waarborgen biedt.
3. In het navolgende concludeert de AP dat de Gedragscode strookt met de AVG en voldoende
passende waarborgen biedt, en dat de AP voornemens is de Gedragscode goed te keuren. Aan de
voorgenomen goedkeuring is de opschortende voorwaarde verbonden dat binnen twee jaar na de
datum van bekendmaking van het definitieve besluit inzake de verklaring omtrent de Gedragscode
in de Staatscourant er een orgaan is dat het toezicht uitoefent op de naleving van de Gedragscode
zoals bedoeld in artikel 40, vierde lid, AVG, en dat dit orgaan door de AP is geaccrediteerd zoals
bedoeld in artikel 41, eerste lid, AVG.2
2. Procedureverloop
4. Bij brief van 19 september 2019 heeft Port Privacy de aanvraag ingediend tot goedkeuring van de
Gedragscode. Bij brief van 30 september 2019 heeft de AP de ontvangst daarvan bevestigd.
5. Bij brief van 28 oktober 2019 heeft de AP aan Port Privacy verzocht om aan te tonen dat Port
Privacy voldoende representatief is om de ISPS-sector te vertegenwoordigen. Bij brief van
9 november 2019 heeft Port Privacy daarop gereageerd.
6. Bij brief van 15 mei 2020 heeft Port Privacy de resultaten aangeleverd van een onder ISPS-
bedrijven gehouden enquête naar de behoefte aan een Gedragscode, met een analyse daarvan. Bij
schrijven van 4 juli 2020 heeft Port Privacy aangegeven hoe die resultaten zijn verwerkt in de
Gedragscode.
7. Op 8 juli 2020 heeft de AP Port Privacy telefonisch gemeld dat Port Privacy aannemelijk heeft
gemaakt dat zij voldoende representatief is om de ISPS-sector te vertegenwoordigen en dat bij het
opstellen van de Gedragscodes voldoende rekening is gehouden met de bijdragen en standpunten
van de belanghebbenden.
8. Op 18 november 2020 heeft de AP de Gedragscode besproken met Port Privacy en heeft Port
Privacy de vragen van de AP daarover beantwoord. Een en ander is schriftelijk vastgelegd in de
mail met bijlagen van Port Privacy van 10 februari 2021.
9. Na ontvangst van een aangepaste Gedragscode en aanvullende documenten heeft de AP op
31 maart 2022 aan Port Privacy laten weten dat de aanvraag tot goedkeuring van de Gedragscode
in behandeling is genomen.
10. Bij brief van 7 april 2022 heeft de AP het voornemen aan Port Privacy kenbaar gemaakt om de
beslistermijn van zes maanden met vijf maanden te verlengen. Bij brief van 3 mei 2022 is de
verlenging van de beslistermijn door de AP bevestigd.
11. Bij brief van 1 juli 2022 heeft de AP aan Port Privacy gevraagd om de Gedragscode op een aantal
punten nader in te vullen dan wel te verduidelijken, en heeft de AP de behandeling van de
aanvraag opgeschort tot de datum waarop de gevraagde informatie is verstrekt of de daarvoor
gestelde termijn ongebruikt is verstreken.
12. Bij brief van 6 juli 2022 heeft de AP desgevraagd uitstel verleend aan Port Privacy voor het
indienen van een reactie op het verzoek van de AP om aanvulling en verduidelijking.
13. Bij schrijven van 26 september 2022 heeft Port Privacy gereageerd op genoemd verzoek.
1
Zie paragraaf 3 van dit besluit voor een nadere toelichting van het begrip ISPS-bedrijf.
2
Port Privacy heeft reeds een verzoek tot accreditatie als extern toezichthoudend orgaan als bedoeld in artikel 41, tweede lid, van
de AVG bij de AP ingediend. De beoordeling van dat verzoek en de door Port Privacy als externe toezichthouden beoogde partij
vindt afzonderlijk plaats, na goedkeuring van de Gedragscode. Zie ook paragraaf 5.1.6.
1 Staatscourant 2023 nr. 29689 1 november 2023
14. Op 10 oktober 2022 is die reactie nader met Port Privacy besproken, naar aanleiding waarvan de
AP bij brief van 18 oktober 2022 heeft verzocht om de Gedragscode op een aantal punten aan te
passen of verder uit te werken.
15. Op 23 januari 2023 heeft de AP een bezoek afgelegd aan Rotterdam World Gateway en daar een
nadere toelichting ontvangen over de Gedragscode.
16. Op 9 februari 2023 heeft Port Privacy bij brief op het verzoek van de AP van 18 oktober 2022
gereageerd en een herziene versie van de Gedragscode overgelegd.
17. Bij brief van 8 maart 2023 heeft de AP nogmaals verzocht om aanvulling dan wel nadere uitwer-
king van de Gedragscode op een aantal punten. Daarop heeft Port Privacy bij brief van 29 mei
gereageerd. Daarbij is tevens een wederom aangepaste versie van de Gedragscode overgelegd.
18. Bij brief van 21 juni 2023 heeft de AP nogmaals verzocht om aanvulling dan wel verduidelijking
van de Gedragscode.
19. Op 24 juli 2023 heeft Port Privacy gereageerd op het verzoek van de AP van 21 juni 2023 en
nogmaals een aangepaste versie van de Gedragscode overgelegd.
20. Bij e-mailbericht van 9 augustus 2023 heeft de AP Port Privacy B.V. het ontwerpbesluit toegestuurd
inzake de verklaring omtrent de Gedragscode.
21. Vanaf 1 september 2023 heeft het ontwerpbesluit inzake de verklaring omtrent de Gedragscode
met de onderliggende stukken zes weken ter inzage gelegen. Binnen deze periode heeft de AP
geen zienswijzen ontvangen.
3. Beoogde toepassing van de gedragscode
22. Port Privacy geeft aan dat de Gedragscode ziet op ISPS-bedrijven in Nederland. Dat zijn havenbe-
drijven waar internationaal scheepvaartverkeer wordt afgehandeld. Voor die bedrijven geldt de
verplichting om zich te certificeren voor de International Ship and Port Facility Security Code (ISPS
Code). Die regelgeving ziet op de veiligheid en beveiliging van schepen en havenfaciliteiten en uit
die Code volgt dat ten behoeve daarvan een toegangsbeleid moet worden gevoerd. Bijlage II, deel
A, artikel 14 lid 2 van de ISPS Code bepaalt dat alle havenfaciliteiten in het kader van passende
preventieve maatregelen tegen veiligheidsincidenten de toegang tot de havenfaciliteit moeten
controleren. Daarnaast volgt uit Bijlage II, deel A, artikel 16.2 jo. 16.3 lid 2 van de ISPS Code dat er
een havenfaciliteitveiligheidsplan moet worden opgesteld en goedgekeurd waarin in ieder geval
een onderdeel is opgenomen over maatregelen om te voorkomen dat onbevoegden toegang
krijgen tot de havenfaciliteit, tot in de havenfaciliteit aangemeerde schepen, en tot de verboden
terreinen van de havenfaciliteit.
23. Uit de bovenbeschreven regelgeving volgt dat het voor een ISPS-bedrijf noodzakelijk is om een
beveiligings- en veiligheidsbeleid te voeren. Een noodzakelijk onderdeel daarvan is het toegangs-
beleid. Bij het uitvoering geven aan een toegangsbeleid, verwerkt een ISPS-bedrijf dus persoons-
gegevens in het kader van dat toegangsbeleid. Daarop is de AVG van toepassing en met deze
Gedragscode wordt het toegangsbeleid van ISPS-bedrijven daarmee in lijn gebracht, aldus Port
Privacy.
24. De Gedragscode ziet alleen op het toegangsbeleid dat geldt op bedrijfsterreinen op Nederlands
grondgebied van Nederlandse vestigingen van ISPS-bedrijven. Het gaat dus om een ‘nationale
gedragscode’ en is uitsluitend van toepassing op verwerkingsactiviteiten in Nederland. De
Gedragscode ziet enkel op de verwerkingen die plaatsvinden in het kader van dat toegangsbeleid.
4. Wettelijk kader
4.1 Doelstellingen en totstandkoming van gedragscodes
Overweging 98 AVG stelt: “Verenigingen en andere organen die categorieën van de verwerkingsver-
antwoordelijken of verwerkers vertegenwoordigen, dienen te worden aangemoedigd om binnen de
grenzen van deze verordening gedragscodes op te stellen, teneinde de doeltreffende uitvoering van
deze verordening te bevorderen, rekening houdend met het specifieke karakter van de verwerkingen
in sommige sectoren en de specifieke behoeften van kleine, middelgrote en micro-ondernemingen.
Deze gedragscodes zouden met name het ijkpunt kunnen zijn voor de verplichtingen van verwerkings-
verantwoordelijken en verwerkers, rekening houdend met de aan de verwerking verbonden risico’s
voor de rechten en vrijheden van natuurlijke personen.”
Overweging 99 AVG stelt: “Bij de opstelling van een gedragscode, of bij wijziging of uitbreiding van
een dergelijke code, moeten verenigingen en andere organen die categorieën van verwerkingsverant-
woordelijken of verwerkers vertegenwoordigen, overleg plegen met de belanghebbenden ter zake,
waaronder waar mogelijk met betrokkenen, en rekening houden met bijdragen en standpunten naar
aanleiding van dit overleg.”
Artikel 40, eerste lid, AVG bepaalt: “De lidstaten, de toezichthoudende autoriteiten, het Comité en de
Commissie bevorderen de opstelling van gedragscodes die, met inachtneming van de specifieke
2 Staatscourant 2023 nr. 29689 1 november 2023
kenmerken van de diverse gegevensverwerkingssectoren en de specifieke behoeften van kleine,
middelgrote en micro-ondernemingen, moeten bijdragen tot de juiste toepassing van deze verorde-
ning.”
Artikel 40, tweede lid, AVG bepaalt: “Verenigingen en andere organen die categorieën van verwer-
kingsverantwoordelijken of verwerkers vertegenwoordigen, kunnen gedragscodes opstellen, of die
codes wijzigen of uitbreiden, teneinde de toepassing van deze verordening nader toe te lichten, zoals
met betrekking tot:
a) behoorlijke en transparante verwerking;
b) de gerechtvaardigde belangen die door verwerkingsverantwoordelijken in een specifieke context
worden behartigd;
c) de verzameling van gegevens;
d) de pseudonimisering van persoonsgegevens;
e) de aan het publiek en betrokkenen verstrekte informatie;
f) de uitoefening van de rechten van betrokkenen;
g) de informatie verstrekt aan en de bescherming van kinderen en de wijze waarop de toestemming
wordt verkregen van de personen die de ouderlijke verantwoordelijkheid voor kinderen dragen;
h) de maatregelen en procedures als bedoeld in de artikelen 24 en 25 en de maatregelen ter
beveiliging van de verwerking als bedoeld in artikel 32;
i) de kennisgeving van inbreuken in verband met persoonsgegevens aan toezichthoudende
autoriteiten en de mededeling van die inbreuken in verband met persoonsgegevens aan betrokke-
nen;
j) de doorgifte van persoonsgegevens aan derde landen of internationale organisaties; of
k) buitengerechtelijke procedures en andere procedures voor de beslechting van geschillen tussen
verwerkingsverantwoordelijken en betrokkenen met betrekking tot verwerking, onverminderd de
rechten van betrokkenen op grond van de artikelen 77 en 79.”
4.2 Goedkeuring van gedragscodes
Artikel 40, vijfde lid, AVG bepaalt: “De in lid 2 van dit artikel bedoelde verenigingen en andere organen
die voornemens zijn een gedragscode op te stellen of een bestaande gedragscode te wijzigen of uit te
breiden, leggen de ontwerpgedragscode, de wijziging of uitbreiding voor aan de overeenkomstig
artikel 51 bevoegde toezichthoudende autoriteit. De toezichthoudende autoriteit brengt advies uit over
de vraag of de ontwerpgedragscode, de wijziging of uitbreiding strookt met deze verordening, en
keurt deze ontwerpgedragscode, die wijziging of uitbreiding goed indien zij van oordeel is dat de code
voldoende passende waarborgen biedt.”
Artikel 40, zesde lid, AVG bepaalt: “Wanneer de ontwerpgedragscode, de wijziging of uitbreiding
wordt goedgekeurd overeenkomstig lid 5, en indien de gedragscode in kwestie geen betrekking heeft
op verwerkingsactiviteiten in verschillende lidstaten, registreert de toezichthoudende autoriteit de
gedragscode en maakt zij deze bekend.”
Artikel 58, derde lid, AVG bepaalt: “Elke toezichthoudende autoriteit heeft alle autorisatie- en adviesbe-
voegdheden om:
[...]
d) overeenkomstig artikel 40, lid 5, advies uit te brengen over en goedkeuring te hechten aan de
ontwerpgedragscodes;
Artikel 14, tweede lid, Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) bepaalt:
“Op de voorbereiding van een besluit omtrent goedkeuring van een gedragscode, dan wel de
wijziging of uitbreiding daarvan, als bedoeld in artikel 40, vijfde lid, van de verordening is afdeling 3.4
van de Algemene wet bestuursrecht van toepassing.”
4.3 Mechanismen in gedragscodes t.b.v. toezicht op de naleving, toezichthoudend orgaan
Artikel 40, vierde lid, AVG bepaalt: “Een in lid 2 van dit artikel bedoelde gedragscode bevat mechanis-
men die het in artikel 41, lid 1, bedoelde orgaan in staat stellen het verplichte toezicht uit te oefenen
op de naleving van de bepalingen van de code door de verwerkingsverantwoordelijken of verwerkers
die zich tot toepassing ervan verbinden, onverminderd de taken en bevoegdheden van de overeen-
komstig artikel 55 of 56 bevoegde toezichthoudende autoriteiten.”
Artikel 41, eerste lid, AVG bepaalt: “Onverminderd de taken en bevoegdheden van de bevoegde
toezichthoudende autoriteit uit hoofde van de artikelen 57 en 58, kan het op grond van artikel 40
uitgevoerde toezicht op de naleving van een gedragscode worden uitgeoefend door een orgaan dat
over de passende deskundigheid met betrekking tot het onderwerp van de gedragscode beschikt en
daartoe door de bevoegde toezichthoudende autoriteit is geaccrediteerd.”
3 Staatscourant 2023 nr. 29689 1 november 2023
Artikel 41, tweede lid, AVG bepaalt: “Een orgaan als bedoeld in lid 1 kan daartoe worden geaccredi-
teerd om toezicht te houden op de naleving van een gedragscode indien het:
a) ten genoegen van de bevoegde toezichthoudende autoriteit zijn onafhankelijkheid en deskundig-
heid met betrekking tot het onderwerp van de gedragscode heeft aangetoond;
b) procedures heeft vastgesteld op grond waarvan het kan beoordelen of de betrokken verwerkings-
verantwoordelijken en verwerkers in aanmerking komen om de gedragscode toe te passen,
toezicht kan houden op de naleving van de bepalingen van de gedragscode door deze laatsten en
het de werking van de gedragscode op gezette tijden kan toetsen;
c) procedures en structuren heeft vastgesteld om klachten te behandelen over inbreuken op de
gedragscode of over de wijze waarop daaraan uitvoering is of wordt gegeven door een verwer-
kingsverantwoordelijke of verwerker, en om die procedures en structuren voor betrokkenen en het
publiek transparant te maken; en
d) ten genoegen van de bevoegde toezichthoudende autoriteit aantoont dat zijn taken en bevoegdhe-
den niet tot een belangenconflict leiden.”
5. Beoordeling van de gedragscode
25. Op grond van artikel 58, derde lid onder d, AVG wordt de Gedragscode beoordeeld. De beoorde-
ling is gebaseerd op de aanvraag tot goedkeuring, de gevoerde correspondentie3 en de versie van
de Gedragscode.
26. De European Data Protection Board (hierna: de EDPB) heeft richtsnoeren uitgebracht voor
gedragscodes en toezichthoudende organen onder de AVG (de richtsnoeren).4 De beoordeling
vindt mede plaats aan de hand van deze richtsnoeren.
27. De beoordeling wordt als volgt vorm gegeven: allereerst wordt ingegaan op de ontvankelijkheid
van het verzoek tot goedkeuring van de Gedragscode (paragraaf 5.1). Vervolgens wordt de
Gedragscode inhoudelijk beoordeeld (paragraaf 5.2). Tot slot wordt de conclusie op grond van de
inhoudelijke beoordeling weergegeven (paragraaf 5.3).
5.1 Ontvankelijkheid van het verzoek
5.1.1. Representativiteit van de indiener van de gedragscode5
28. Port Privacy heeft verklaard dat de Gedragscode is opgesteld in samenwerking met een werkgroep
(hierna: de Werkgroep), bestaande uit een aantal ISPS-bedrijven uit alle vier onderscheiden
subcategorieën (bulk, chemische industrie, containerterminals en empty depots) en een aantal
andere belanghebbenden zoals Havenbedrijf Rotterdam N.V., Vereniging Deltalinqs en de Politie.
Port Privacy vertegenwoordigt de Werkgroep en deze is representatief voor de sector van
ISPS-bedrijven die bij de Gedragscode zijn aangesloten, gelet op de samenstelling daarvan.
Daarbij weegt de AP mee dat de bedrijventerreinen van die ISPS-bedrijven in oppervlakte het
grootste deel van Rotterdamse haven beslaan en die bedrijven (daardoor) ook verantwoordelijk
zijn voor het grootste deel van de handel die door ISPS-bedrijven wordt gerealiseerd. De Rotter-
damse haven is weliswaar maar één van de havens waarop de Gedragscode van toepassing is,
maar Port Privacy merkt op dat deze haven de grootste in Europa is en model staat voor alle
andere Nederlandse havens en voor de aldaar gevestigde ISPS-bedrijven.
29. De AP is van oordeel dat Port Privacy kan worden aangemerkt als voldoende representatief voor
de sector van ISPS-bedrijven.
5.1.2 Overleg met belanghebbenden bij het opstellen van de gedragscode6
30. Port Privacy heeft een enquête gehouden onder alle ISPS-bedrijven waarin onder meer is
gevraagd of men:
– baat had bij een handelingskader in de vorm van gedragsregels;
– zich kon vinden in het doel van de Gedragscode;
– het eens was met daarin de genoemde categorieën van betrokkenen;
– het eens was met de uitleg hoe aan de AVG-regels wordt voldaan.
31. De AP is van oordeel dat Port Privacy bij het opstellen van de Gedragscode voldoende heeft
overlegd met belanghebbenden, en acht het aannemelijk dat Port Privacy voldoende rekening
heeft gehouden met de bijdragen en standpunten van de belanghebbenden.
3
Zie voor contactmomenten paragraaf 2 ‘Procedureverloop’.
4
European Data Protection Board, Guidelines 1/2019 on Codes of Conduct and Monitoring Bodies under Regulation 2016/679,
Version 2.0, 4 June 2019.
5
Paragraaf 5.2 van de richtsnoeren.
6
Paragraaf 5.8 van de richtsnoeren.
4 Staatscourant 2023 nr. 29689 1 november 2023
5.1.3 Nationale wetgeving7
32. Port Privacy geeft aan dat de Gedragscode in overeenstemming is met de toepasselijke internatio-
nale (Europese) en nationale wet- en regelgeving, waaronder de ISPS-code, de Arbeidsomstandig-
hedenwet, de AEO-regelgeving8, het Besluit Risico’s Zware Ongevallen (BRZO), en de Havenbe-
heersverordening Rotterdam. Op de in de Gedragscode genoemde verwerkingen van
persoonsgegevens is de AVG van toepassing, en met deze Gedragscode wordt het toegangsbeleid
van ISPS-bedrijven in lijn gebracht met de AVG, aldus Port Privacy. In de Gedragscode wordt een
nadere uitwerking gegeven aan de verplichtingen die voor de ISPS-bedrijven gelden op grond van
de AVG, in ogenschouw nemende de overige taken en verplichtingen die op grond van de eerder
genoemde (sector)specifieke wetgeving op hen rusten.
33. De AP is van oordeel dat Port Privacy bij het opstellen van de Gedragscode voldoende rekening
heeft gehouden met de relevante, sectorspecifieke nationale wet- en regelgeving.
5.1.4 Materieel toepassingsgebied van de gedragscode9
34. Een ISPS-bedrijf is een op de internationale handel gericht havengerelateerd bedrijf. In de
Gedragscode geeft Port Privacy aan dat de code ziet op de verwerking van persoonsgegevens door
die bedrijven in het kader van het toegangsbeleid, dat een belangrijk onderdeel is van het door die
bedrijven gevoerde beveiligings- en veiligheidsbeleid. In de uitvoering van het toegangsbeleid
worden o.a. aanmeldingen, aankomsten, verblijfsduur en vertrekmomenten van betrokkenen
geregistreerd in een toegangsmanagementsysteem en door camera’s.
35. De Gedragscode ziet uitsluitend op de verwerkingen die plaatsvinden in het kader van het
toegangsbeleid. Om welke verwerkingen dit concreet gaat, volgt uit de Gedragscode waarin per
categorie betrokkene is vermeld om welke persoonsgegevens het gaat en waarin verantwoording
wordt afgelegd cq. wordt aangetoond dat en hoe aan de eisen van de AVG wordt voldaan.
36. De AP is van oordeel dat Port Privacy daarmee het materieel toepassingsgebied van de Gedrags-
code voldoende heeft bepaald.
5.1.5 Territoriaal toepassingsgebied van de gedragscode10
37. De Gedragscode bepaalt dat deze enkel ziet op het toegangsbeleid dat geldt op bedrijfsterreinen
op Nederlands grondgebied van Nederlandse vestigingen van ISPS-bedrijven. De Gedragscode
heeft dan ook geen betrekking op verwerkingsactiviteiten in verschillende lidstaten.
38. De AP is van oordeel dat Port Privacy daarmee het territoriaal toepassingsgebied van de Gedrags-
code voldoende heeft bepaald.
5.1.6 Aanwijzing van een orgaan dat toezicht houdt op de naleving11
39. Artikel 41, eerste lid, AVG bepaalt dat het toezicht op de naleving van een gedragscode kan worden
uitgeoefend door een orgaan dat over passende deskundigheid met betrekking tot het onderwerp
van de gedragscode beschikt en daartoe door de bevoegde toezichthoudende autoriteit is
geaccrediteerd. Een gedragscode uitsluitend kan uitsluitend worden goedgekeurd als in de
gedragscode een toezichthoudend orgaan wordt genoemd, en als dat toezichthoudend orgaan is
geaccrediteerd door de bevoegde toezichthoudende autoriteit.12
40. In de Gedragscode is opgenomen dat een onafhankelijke toezichthouder zorg draagt voor het
toezicht inzake de Gedragscode. Port Privacy heeft ook een organisatie aangewezen die naar het
oordeel van Port Privacy als zodanig kan fungeren. De door Port Privacy ingediende aanvraag tot
accreditering van die organisatie als toezichthoudende orgaan wordt afzonderlijk beoordeeld.
41. Om die reden is de AP voornemens om de Gedragscode goed te keuren onder een opschortende
voorwaarde. De AP zal de Gedragscode goedkeuren onder de opschortende voorwaarde dat
binnen twee jaar na de datum van bekendmaking van het definitieve besluit in de Staatscourant
inzake de verklaring omtrent de Privacy Gedragscode Toegangsbeleid ISPS-bedrijven van Port
Privacy B.V er een orgaan is dat het toezicht uitoefent op de naleving van de Gedragscode zoals
7
Paragraaf 5.9 van de richtsnoeren.
8
Een Authorised Economic Operator (AEO), of geautoriseerde marktdeelnemer, is aldus Port Privacy de naam voor een status voor
internationaal opererende bedrijven. Deze status wordt verkregen middels een vergunning die wordt afgegeven door de Belas-
tingdienst Douane wanneer aan de criteria wordt voldaan. Deze criteria zien met name op de internationale veiligheid van de
vervoersketen en zijn opgenomen in het communautair douanewetboek (925/2013) en de bijpassende toepassingsverordeningen.
De eisen die uit de AEO voortvloeien, zijn, ter zake van het toegangsbeleid, gelijk aan de eisen die voortvloeien uit de ISPS Code.
9
Paragraaf 5.3 van de richtsnoeren.
10
Paragraaf 5.4 van de richtsnoeren.
11
Paragraaf 5.7 van de richtsnoeren.
12
Hoofdstuk 11 van de richtsnoeren: “60. In order for a code (national or transnational) to be approved, a monitoring body (or
bodies), must be identified as part of the code and accredited by the Comp SA as being capable of effectively monitoring the
code.”
5 Staatscourant 2023 nr. 29689 1 november 2023
bedoeld in artikel 40, lid 4, AVG en dat dit orgaan door de Autoriteit Persoonsgegevens is
geaccrediteerd zoals bedoeld in artikel 41, lid 1, AVG.
5.1.7 Evaluatie en bijstelling van de gedragscode13
42. In de Gedragscode is opgenomen dat het taak van Port Privacy (de beheerder van de Gedrags-
code) is om de Gedragscode goed te laten functioneren en ook om deze actueel te houden. De
Gedragscode bepaalt dat Port Privacy daartoe periodiek onderzoek verricht naar alle relevante
ontwikkelingen en gebeurtenissen, zoals wetswijzigingen, Guidelines van de EDPB, beleidslijnen
van de AP, jurisprudentie, adviezen van het zogenaamde Centraal College van Deskundigen
(CCvD), vragen van het toezichthoudend orgaan, tips, wensen, incidenten en/of klachten en dat die
bevindingen minstens éénmaal per jaar worden besproken met het raadgevend orgaan en het
toezichthoudend orgaan. Voorts is bepaald dat de beheerder kan besluiten tot wijziging van de
Gedragscode om deze goed te laten functioneren. Over een voornemen tot wijziging wordt overleg
gevoerd met het raadgevend orgaan en een wijziging wordt pas doorgevoerd na goedkeuring door
de AP.
43. De AP is van oordeel dat Port Privacy hiermee voldoende aannemelijk heeft gemaakt dat de
Gedragscode regelmatig zal worden geëvalueerd en zal worden bijgesteld indien de omstandighe-
den dat vereisen.
5.2. Inhoudelijke beoordeling van de gedragscode
5.2.1 Nut en noodzaak van de gedragscode14
44. Zoals eerder is opgemerkt, geldt voor ISPS-bedrijven de verplichting om zich te certificeren voor
de International Ship and Port Facility Security Code (ISPS Code). Die code ziet op de veiligheid en
beveiliging van schepen en havenfaciliteiten en daaruit vloeit voort dat ISPS-bedrijven een
toegangsbeleid moet voeren. Daarbij vinden verwerkingen van persoonsgegevens plaats waarop
de AVG van toepassing is. Door de goedkeuring van de AP en het onafhankelijke toezicht geldt de
Gedragscode volgens Port Privacy als een verantwoordingsinstrument. Het volgen van de
toetsbare gedragsregels van de Gedragscode draagt bij aan een juiste toepassing van de AVG. De
Gedragscode legt daarnaast best practices vast, dient als hulpbron bij het voorkomen en aanpak-
ken van problemen op het gebied van gegevensbescherming, en vergroot het vertrouwen en de
rechtszekerheid in de sector door onder meer het bieden van transparantie aan de betrokkenen
over de verwerking van hun persoonsgegevens.15 Port Privacy heeft bovendien uit de antwoorden
op de vragen van de hiervoor onder randnummer 28 genoemde enquête onder alle ISPS-bedrijven
kunnen afleiden) dat de Gedragscode aansluit op de behoefte in de sector om aan de hand van
duidelijke en praktische gedragsregels een toegangsbeleid te kunnen voeren dat niet alleen aan de
ISPS-Code maar ook aan de AVG voldoet en dat de inhoud van de opgestelde Gedragscodes op
die behoefte aansluit.
45. Gezien het vorenstaande acht de AP het voldoende aannemelijk dat de Gedragscode voorziet in
een behoefte binnen de sector waarvoor deze is bestemd.
5.2.2 Bevordering van doeltreffende uitvoering van de AVG16
46. De Gedragscode biedt een sectorspecifieke invulling van de AVG. In de Gedragscode wordt onder
meer nader uitgewerkt wat binnen de context van het toegangsbeleid wordt verstaan onder een
behoorlijke gegevensverwerking. Zij bevat een aantal sectorspecifieke kaders en handreikingen
voor het beperken van de risico’s van verwerkingen van persoonsgegevens voor de betrokkenen.
Er wordt in de Gedragscode bijvoorbeeld ingegaan op vragen zoals: is er een verwerkingsregister,
is er een FG aangesteld, wat is het doel en de grondslag van de verwerking, om welke persoonsge-
gevens gaat het, heeft er een DPIA plaatsgevonden, hoe worden de persoonsgegevens beveiligd
en hoe lang worden ze bewaard en hoe worden de rechten van de betrokkenen gewaarborgd.
Daarbij is bijvoorbeeld in de Gedragscode, aan de hand van de stappen in de door de AP opge-
stelde normuitleg17,gemotiveerd dat en waarom voor de in Gedragscode bedoelde verwerkingen
van persoonsgegevens een beroep kan worden gedaan op een het gerechtvaardigd belang van
ISPS-bedrijven in de zin van artikel 6 lid 1 sub f AVG. Verder is in de Gedragscode een lijst met
definities opgenomen waarin de begrippen uit de AVG worden toegelicht binnen de context van
13
Paragraaf 12.7 van de richtsnoeren.
14
Paragraaf 6.1 van de richtsnoeren.
15
Privacy Gedragscode Toegangsbeleid ISPS-bedrijven, p. 7 en 10.
16
Paragraaf 6.2 van de richtsnoeren.
17
AP-normuitleg grondslag gerechtvaardigd belang, https://www.autoriteitpersoonsgegevens.nl/documenten/ap-normuitleg-
grondslag-gerechtvaardigd-belang.
6 Staatscourant 2023 nr. 29689 1 november 2023
het toegangsbeleid van de ISPS-bedrijven, zoals welke partij verwerkingsverantwoordelijke dan
wel verwerker is.
47. Gezien het vorenstaande is de AP van oordeel dat de Gedragscode de doeltreffende uitvoering van
de AVG bevordert.
5.2.3 Nadere toelichting van de AVG18
48. Met de Gedragscode beoogt Port Privacy het toegangsbeleid van de ISPS-bedrijven in lijn te
brengen met de AVG. Door de Gedragscode te volgen, wordt aangetoond dat aan de AVG wordt
voldaan, aldus Port Privacy. Daartoe zijn in de Gedragscode gedragsregels opgenomen voor de
verwerking van persoonsgegevens in het kader van het toegangsbeleid. De Gedragscode geeft
voorts specifiek per categorie van betrokkenen weer welke persoonsgegevens worden verwerkt in
het kader van het toegangsbeleid, op welke wijze die verwerking plaats dient te vinden en hoe de
betrokkenen daarover moeten worden geïnformeerd. De Gedragscode biedt aldus een voldoende
duidelijk kader voor de gegevensverwerkingen bij de uitvoering van het toegangsbeleid door
daarvoor specifieke, praktische en nauwkeurige toepassing van de AVG vast te leggen.
49. In de Gedragscode is voorts de mogelijkheid benoemd van de inzet van biometrie, zoals een
vinger-, hand- of oogscan in het kader van het toegangsbeleid. De Gedragscode bevat een
beschrijving van de gevallen waarin biometrie zou kunnen worden ingezet door ISPS-bedrijven in
het toegangsbeleid, welke eisen daaraan worden gesteld en welke specifieke waarborgen daarvoor
gelden. Onderkend is dat biometrische gegevens die gebruikt worden met het oog op de unieke
identificatie van personen, zoals in casu, bijzondere persoonsgegevens zijn waarvoor in beginsel
een verwerkingsverbod geldt tenzij een (succesvol) beroep kan worden gedaan op een uitzonde-
ringsgrond. Port Privacy baseert zich hiervoor op de uitzonderingsgrond dat de verwerking
noodzakelijk is voor authenticatie of beveiligingsdoeleinden zoals bedoeld in artikel 29 van de
Uitvoeringswet Algemene verordening gegevensbescherming (UAVG).
50. Voorop gesteld moet worden dat de Gedragscode op zichzelf geen bevoegdheid of rechtvaardiging
creëert voor de inzet van biometrie door ISPS-bedrijven. Volgens de Gedragscode dient elk
ISPS-bedrijf voorafgaand aan de eventuele inzet van biometrie zelf af te wegen of deze voldoet aan
de voorwaarden zoals gesteld in artikel 29 UAVG en een DPIA te verrichten. De Gedragscode
noemt een aantal overwegingen/factoren die een ISPS-bedrijf in haar besluitvorming kan
meenemen.
51. Naar het oordeel van de AP is door Port Privacy voldoende aannemelijk gemaakt dat de inzet van
biometrie door sommige ISPS-bedrijven noodzakelijk kan zijn voor beveiligingsdoeleinden. Daarbij
neemt de AP in overweging dat sommige ISPS-bedrijven een doelwit zijn van criminaliteit en
geconfronteerd worden met criminele activiteiten, zoals drugssmokkel, mensensmokkel en
ladingdiefstal. Dit heeft ook gevolgen voor de medewerkers van de ISPS-bedrijven, die ten gevolge
van dergelijke criminaliteit in onveilige situaties kunnen komen. Ook zijn er ISPS-bedrijven die
vallen onder de BRZO; vanwege het risico op een zwaar ongeval met grote impact voor de
gezondheid, ook buiten het terrein van het ISPS-bedrijf. De noodzaak voor verscherpte beveiliging
bij dit soort bedrijven is daarom aannemelijk. Ten slotte kan de inzet van biometrie ook de
veiligheid van individuele medewerkers van ISPS-bedrijven dienen, aangezien zij geen doelwit
meer kunnen vormen van criminelen die pogen om de toegangspas door omkoping, chantage,
intimidatie en/of bedreiging af te geven.
52. Port Privacy heeft in de Gedragscode ook een tweetal overwegingen benoemd voor de verwerking
van biometrische gegevens die raken aan het efficiënter verlopen van het bedrijfsproces en de
vermindering van het aantal beveiligers dat bij het toegangsproces is betrokken. Port Privacy geeft
aan dat dat cruciaal is voor de veiligheid omdat het toegangsproces vele malen sneller en
trefzekerder verloopt wat bijvoorbeeld files aan de toegangspoort voorkomt, en omdat de kans op
menselijke fouten afneemt. De AP merkt op dat deze overwegingen op zichzelf genomen onvol-
doende redenen zijn als onderbouwing van de noodzaak voor de verwerking van deze gegevens
voor op basis van artikel 29 UAVG.
53. De AP weegt daarnaast mee in haar besluit dat een betrokkene volgens de Gedragscode niet
verplicht is om biometrische gegevens te verstrekken teneinde toegang te krijgen. Er bestaat altijd
een alternatief proces zonder biometrie om toegang te kunnen krijgen tot ISPS-bedrijven, zonder
dat daar grote nadelen aan zijn verbonden (behalve een enigszins langer durende procedure om
die toegang te verkrijgen). Bovendien kan biometrische verificatie volgens de Gedragscode alleen
worden ingezet bij een beperkte groep van betrokkenen: bootmannen en sjorders, vrachtauto-
chauffeurs en werknemers van het betreffende ISPS-bedrijf. Bij externe arbeidskrachten, bezoe-
kers, etc. dus niet. Voorts geldt dat het biometrische template wordt omgezet naar een versleu-
telde, binaire code en enkel op de toegangspas, en dus niet centraal, wordt opgeslagen en dat
gelet daarop de biometrische gegevens slechts een fractie van een seconde worden bewaard. De
binaire code wordt binnen 24 uur na inlevering van de toegangspas gewist.
18
Paragraaf 6.3 van de richtsnoeren.
7 Staatscourant 2023 nr. 29689 1 november 2023
54. Mede gelet op het voorgaande is de AP van oordeel dat de Gedragscode de verplichtingen
ingevolge de AVG voor ISPS-bedrijven bij het verwerken van persoonsgegevens voor het
toegangsbeleid, inclusief de mogelijke verwerking van biometrische gegevens, op grond van de
AVG voldoende toelicht.
5.2.4 Waarborgen voor de betrokkenen19
55. De Gedragscode bevordert een uniforme werkwijze m.b.t. de naleving van de AVG door alle bij de
Gedragscode aangesloten ISPS-bedrijven, door het stellen van de genoemde gedragsregels.
Daarnaast wordt onder meer aangegeven dat een verwerkingsregister moet worden gevoerd, is
nader gespecificeerd om welke verwerkingen en (al dan niet bijzondere) persoonsgegevens het
gaat, in welke gevallen een DPIA moet worden uitgevoerd, hoe de persoonsgegevens moeten
worden beveiligd en hoe lang deze mogen worden bewaard en de reden daarvoor. Daarbij is in het
bijzonder aandacht besteed aan de mogelijke verwerking van biometrische gegevens in het kader
van het toegangsbeleid. Voorts wordt ingegaan op hoe de rechten van de betrokkenen moeten
worden gewaarborgd en dat zij in staat moeten worden gesteld om die rechten uit te oefenen
(onder meer door hen te informeren over de verwerking van hun persoonsgegevens in het kader
van dat toegangsbeleid).
56. Een en ander is naar het oordeel van de AP geschikt om de risico’s rond de gegevensverwerking
en de rechten en vrijheden van natuurlijke personen, doeltreffend te beperken. De AP is daarom
van oordeel dat de Gedragscode voldoende waarborgen bevat voor de betrokkenen.
5.2.5 Mechanismen voor het uitoefenen van toezicht op de naleving20
57. In de Gedragscode geeft Port Privacy aan dat drie organisaties zijn betrokken bij het beheer van de
Gedragscode en het toezicht op de naleving daarvan. Dat zijn de beheerder van de Gedragscode,
het raadgevend orgaan en het toezichthoudend orgaan.
58. Port Privacy wordt in de Gedragscode aangemerkt als de intellectueel eigenaar en beheerder. Haar
taak is met name om de Gedragscode goed te laten functioneren en deze actueel te houden.
Daarnaast stelt de beheerder de beoordelingscriteria vast die door het toezichthoudend orgaan
worden gebruikt bij het uitvoeren van audits om te bepalen of een ISPS-bedrijf mag (blijven)
deelnemen aan de Gedragscode. Ten slotte is hier van belang dat Port Privacy als taak heeft om de
verschillende categorieën van belanghebbenden, waaronder de ISPS-bedrijven en de betrokkenen
te informeren over de Gedragscode en om eventuele klachten te laten behandelen door de
aangewezen organisatie.
59. Als raadgevend orgaan is het ‘Centraal College van Deskundigen’ (CCvD) ingesteld. Dat college is
samengesteld uit vertegenwoordigers van de bij de Gedragscode belanghebbende partijen. Het
CCvD voorziet de beheerder gevraagd en ongevraagd van advies dat gericht is op het zo goed
mogelijk functioneren van de Gedragscode.
60. In de Gedragscode geeft Port Privacy ten slotte aan dat het nog te accrediteren toezichthoudend
orgaan onafhankelijk en deskundig is met betrekking tot het onderwerp van de Gedragscode en
dat deze transparante en toegankelijke procedures heeft vastgesteld. Het orgaan zal tot taak
hebben om te beoordelen of een ISPS-bedrijf aan de beoordelingscriteria van de Gedragscode
voldoet, om toezicht te houden op de naleving van de Gedragscode, om periodiek te toetsen of de
Gedragscode goed functioneert en om klachten te behandelen over inbreuken op de Gedragscode
of over de wijze waarop aan de Gedragscode uitvoering wordt gegeven. Het toezichthoudend
orgaan zal, bij niet-naleving van de Gedragscode en conform een nog vast te stellen procedure,
sanctionerende maatregelen kunnen nemen tegen deelnemers, zoals een schorsing of uitsluiting
van deelname aan de Gedragscode.
61. De AP is van oordeel dat de mechanismen die in de Gedragscode zijn opgenomen voor het
uitoefenen van toezicht op de naleving toereikend zijn.
62. Zoals hiervoor uiteen is gezet, is het toezichthoudend orgaan op dit moment nog niet geaccredi-
teerd. Om die reden is de AP voornemens om een opschortende voorwaarde te verbinden aan de
goedkeuring van de Gedragscode.
5.3 Conclusie op grond van de inhoudelijke beoordeling van de Gedragscode
63. De AP concludeert, op grond van de inhoud van de Gedragscode en de toelichting die Port Privacy
daarbij heeft verstrekt: dat de Gedragscode strookt met de AVG en voldoende passende waarbor-
gen biedt zoals bedoeld in artikel 40, vijfde lid, AVG onder de opschortende voorwaarde dat binnen
twee jaar na de datum van bekendmaking van het definitieve besluit inzake de verklaring omtrent
de Privacy Gedragscode Toegangsbeleid ISPS-bedrijven van Port Privacy B.V. in de Staatscourant:
19
Paragraaf 6.4 van de richtsnoeren.
20
Paragraaf 6.5 van de richtsnoeren.
8 Staatscourant 2023 nr. 29689 1 november 2023
er een orgaan is dat het toezicht uitoefent op de naleving van de Gedragscode zoals bedoeld in
artikel 40, vierde lid, AVG, en dat dit orgaan door de AP is geaccrediteerd zoals bedoeld in artikel
41, eerste lid, AVG.
6. Zienswijzen
64. De AP heeft vorenstaande op 17 augustus 2023 vastgelegd in een ontwerpbesluit. Op dit ontwerp-
besluit is de uniforme openbare voorbereidingsprocedure uit Afdeling 3.4 van de Algemene wet
bestuursrecht (Awb) van toepassing. De uniforme openbare voorbereidingsprocedure geeft
belanghebbenden de mogelijkheid om binnen zes weken nadat het ontwerpbesluit ter inzage is
gelegd hun zienswijze hierover naar voren te brengen.
65. Binnen deze periode heeft de AP geen zienswijzen ontvangen.
7. Conclusie
66. Gezien het vorenstaande besluit de AP als volgt:
De Autoriteit Persoonsgegevens,
gelet op artikel 40 en 41 van de AVG,
gezien het schriftelijk verzoek van 19 september 2019 van Port Privacy B.V. tot het goedkeuren van
de Privacy Gedragscode Toegangsbeleid ISPS-bedrijven (de Gedragscode);
verklaart, op grond van de inhoud van de Gedragscode en de toelichting die Port Privacy B.V:
daarbij heeft verstrekt: dat de Gedragscode met de daarin opgenomen regels strookt met de AVG
en voldoende passende waarborgen biedt zoals bedoeld in artikel 40, vijfde lid, AVG,
onder de opschortende voorwaarde dat binnen twee jaar na de datum van bekendmaking van het
definitieve besluit in de Staatscourant inzake de verklaring omtrent de Privacy Gedragscode
Toegangsbeleid ISPS-bedrijven van Port Privacy B.V, er een orgaan is dat het toezicht uitoefent op
de naleving van de Gedragscode zoals bedoeld in artikel 40, lid 4, AVG en dat dit orgaan door de
Autoriteit Persoonsgegevens is geaccrediteerd zoals bedoeld in artikel 41, lid 1, AVG.
8. Terinzagelegging van de stukken
67. Op het besluit is op grond van artikel 14, tweede lid, van de Uitvoeringswet AVG, de ‘uniforme
openbare voorbereidingsprocedure’ van afdeling 3.4 van de Algemene wet bestuursrecht (Awb)
van toepassing. De zakelijke inhoud van het besluit wordt in de Staatscourant en op de website
van de AP gepubliceerd. Het besluit en de daarop betrekking hebbende stukken zullen vanaf de
datum van publicatie van de zakelijke inhoud van het besluit in de Staatscourant – ingevolge
artikel 3:44 juncto artikel 3:11 Awb – gedurende zes weken van maandag tot en met vrijdag, tussen
10:00 en 16:00, fysiek ter inzage liggen bij de AP, Hoge Nieuwstraat 8 te Den Haag. Het fysiek inzien
van de stukken kan alleen op afspraak. Elektronische inzage is ook mogelijk. Voor zowel fysieke, als
elektronische inzage van de stukken verzoeken wij u om contact op te nemen met de AP.
9. Afsluiting en rechtsmiddel
68. Een belanghebbende kan op grond van de Awb tegen dit besluit beroep instellen bij de rechtbank
(sector bestuursrecht) in het arrondissement, waarbinnen zijn woonplaats valt. Een afschrift van dit
besluit moet worden bijgevoegd. De termijn voor het indienen van beroep bedraagt zes weken en
vangt aan met ingang van de dag na die waarop het besluit overeenkomstig artikel 3:44 eerste lid
Awb ter inzage is gelegd. Bij het indienen van beroep is voorts nog van belang dat artikel 6:13 Awb
bepaalt dat geen beroep kan worden ingesteld bij de rechter door een belanghebbende aan wie
redelijkerwijs kan worden verweten dat hij geen zienswijze (als bedoeld in artikel 3:15 Awb) naar
voren heeft gebracht.
Den Haag, 24 oktober 2023
Autoriteit Persoonsgegevens,
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
C.M. Schut
Directeur Systeemtoezicht, Beveiliging en Technologie
9 Staatscourant 2023 nr. 29689 1 november 2023