Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
Bulkbesluit inzake de vergunningaanvragen voor de
verwerking van gegevens van strafrechtelijke aard ten
behoeve van derden van de verwerking ‘Collectieve
Horecaontzegging’ door de in de bijlage genoemde
horecaondernemers van het horecagebied Alkmaar – 2023-
225829/2024-010287
1 Inleiding: aanleiding vergunningaanvraag
1. Op 3 april 2024 heeft Koninklijke Horeca Nederland (hierna: KHN) – ingevolge artikel 33, vierde lid,
aanhef en onder c, van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) – bij de
Autoriteit Persoonsgegevens (AP) een bulkvergunningaanvraag ingediend namens de in de bijlage van het
besluit genoemde horecaondernemers in het horecagebied Alkmaar. Ter onderbouwing van de aanvraag,
heeft KHN een protocol en een gegevensbeschermingseffectbeoordeling (ook wel data protection impact
assessment/DPIA genoemd) bijgevoegd. Deze aanvraag is bij de AP bekend onder het zaaknummer 2023-
225829/2024-010287 en onder de zaaknaam ‘Bulkvergunningaanvraag horecagebied Alkmaar’.
Op 18 oktober 2023 heeft de AP eerder een besluit afgegeven voor de 35 deelnemende horecaondernemers.
Dit besluit is bij de AP bekend onder het zaaknummer 2023-225829. Bij deze nieuwe
bulkvergunningaanvraag sluiten de 10 nieuwe horecaondernemers zich aan bij de eerdere afgegeven
vergunning van 18 oktober 2023.
Procesverloop
- Op 3 april 2024 heeft de AP de bulkvergunningaanvraag voor 10 horecaondernemers inzake een
Collectieve Horecaontzegging in horecagebied Alkmaar van KHN ontvangen.
- Op 16 mei 2024 heeft de AP geconstateerd dat de bulkvergunningaanvraag incompleet was en de AP
heeft KHN op 16 mei 2024 verzocht om de bulkvergunningaanvraag aan te vullen.
- Op 10 juni 2024 heeft KHN de ontbrekende informatie en documenten aangeleverd.
2. Op grond van artikel 33, vierde lid, aanhef en onder c, UAVG mogen persoonsgegevens van
strafrechtelijke aard ten behoeve van derden worden verwerkt indien de AP een vergunning voor de
verwerking heeft verleend. Ingevolge artikel 33, vijfde lid, UAVG kan een vergunning slechts worden
verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij
de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet
onevenredig wordt geschaad. Aan de vergunning kunnen door de AP voorschriften worden verbonden.
3. In het navolgende concludeert de AP dat er een bulkvergunning voor de verwerking van gegevens van
strafrechtelijke aard ten behoeve van derden kan worden verleend aan de individuele horecaondernemers,
genoemd in de bijlage, omdat voldoende is aangetoond dat de verwerking noodzakelijk is met het oog op
een zwaarwegend belang van derden en bij de uitvoering is voorzien in zodanige waarborgen dat de
persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Het vorenstaande is
uitgewerkt in het aangeleverde protocol en de DPIA.
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
2 Procedureverloop
4. De AP heeft het Protocol (collectieve) horecaontzegging, versie augustus 2020 (hierna: modelprotocol
collectieve horecaontzegging) en de Data Protection Impact Assessment – Registratie en gebruik
horecaontzeggingen, versie augustus 2020 (hierna: model-DPIA collectieve horecaontzegging) beoordeeld. De
AP is op basis van de hiervoor genoemde documenten en de nadere toelichting die daarop is gegeven door
KHN, tot de conclusie gekomen dat de AP in genoemde documenten geen strijdigheden ziet met de AVG
en de UAVG. De AP heeft dit bevestigd in haar brief van 24 augustus 2020, waarbij is aangegeven dat aan
de nog af te geven vergunningen in elk geval een aantal specifieke aanvullende voorschriften worden
verbonden (zie onder overwegingen 12, 13, 14, 15 en 16 van dit besluit). Na afstemming met KHN
(landelijk) heeft de AP per brief van 14 april 2022 aangegeven dat de geldigheidstermijn van het
modelprotocol, model-DPIA collectieve horecaontzeggingen en alle bulkvergunningen loopt tot 21 april
2027.
5. De lokale ondernemers hebben schriftelijk verklaard dat zij het modelprotocol collectieve
horecaontzegging (augustus 2020) en model-DPIA collectieve horecaontzegging (augustus 2020)
onderschrijven en zich daaraan zullen conformeren. Dit is de basis voor de aanvraag van de
bulkvergunning, die de ondernemers elk nodig hebben voor de verwerking van persoonsgegevens van
strafrechtelijke aard ten behoeve van derden.
3 Feitelijke weergave van de voorgenomen verwerking
6. Het doel van de horecaontzegging is om in de aangesloten horecabedrijven (inclusief de daarbij
behorende erven/terrassen):
• de veiligheid van horecaondernemers, hun medewerkers en hun gasten te vergroten;
• overlast gevend gedrag te reduceren;
• criminaliteit te voorkomen en tegen te gaan.
7. Een verwerkingsverantwoordelijke kan een Individuele Horeca Ontzegging (IHO) uitreiken wanneer
een persoon een of meerdere van de volgende gedragingen zoals vermeld in de artikel 4.1.1 tot en met 4.1.7
van het protocol in zijn horecabedrijf en/of op de daarbij behorende erven/terrassen vertoont. Als binnen
een periode van zes maanden een tweede IHO ten aanzien van dezelfde betrokkene wordt ingevoerd in het
registratiesysteem dan wordt de tweede IHO omgezet in een CHO van zes maanden. De subverwerker
informeert de betrokkene hierover volgens het formulier ‘Aanzegging CHO’. De subverwerker informeert
de verwerkingsverantwoordelijke die de tweede IHO heeft uitgereikt over de omzetting van de tweede
IHO in een CHO.
8. Een gast die zich niet houdt aan de huisregels en/of strafbare feiten pleegt kan worden gesommeerd het
bedrijf te verlaten en een ondernemer kan (naast het doen van aangifte) ervoor kiezen om de betrokkene
voor een bepaalde tijd de toegang tot het bedrijf te ontzeggen. Doet een ondernemer dat alleen voor zijn
eigen bedrijf/bedrijven, dan is er sprake van een Individuele Horeca Ontzegging (IHO). Een IHO mag niet
langer dan zes maanden duren.
9. Een verwerkingsverantwoordelijke kan een CHO uitreiken wanneer een persoon zich aan een of
meerdere van de in artikel 4.2.1 van het protocol genoemde gedragingen in het horecabedrijf van de
verwerkingsverantwoordelijke en/of op de daarbij behorende erven/terrassen schuldig maakt. Bij de
collectieve horecaontzegging slaan de gezamenlijke verwerkingsverantwoordelijken de handen ineen om
2/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
gezamenlijk overlastgevers uit hun bedrijven te weren. Als een verwerkingsverantwoordelijke aan het
Protocol CHO de betrokkene een CHO heeft opgelegd, dan geldt deze ontzegging ook meteen voor alle
andere gezamenlijke verwerkingsverantwoordelijken. Met één ontzegging wordt een overlastgever dus
meteen geweerd uit alle aangesloten bedrijven, zonder dat de persoon in kwestie overlast heeft
veroorzaakt in die andere bedrijven.
4 Wettelijk kader van strafrechtelijke aard ten behoeve van derden
Artikel 10 AVG bepaalt: “Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee
verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van
de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende
waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke
veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.”
Artikel 1 UAVG bepaalt: “In deze wet en de daarop berustende bepalingen wordt verstaan onder:
[…]
Persoonsgegevens van strafrechtelijke aard: persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare
feiten of daarmee verband houdende veiligheidsmaatregelen als bedoeld in artikel 10 van de verordening, alsmede
persoonsgegevens betreffende een door de rechter opgelegd verbod naar aanleiding van onrechtmatig of hinderlijk gedrag;
[…]”
Artikel 31 UAVG bepaalt: “Onverminderd artikel 10 van de verordening mogen persoonsgegevens van strafrechtelijke aard
alleen worden verwerkt voor zover dit krachtens de artikelen 32 en 33 is toegestaan.”
Artikel 33, vierde lid, aanhef en onder c, UAVG bepaalt: “Persoonsgegevens van strafrechtelijke aard mogen ten behoeve
van derden worden verwerkt:
[…]
c. indien de Autoriteit persoonsgegevens met inachtneming van het vijfde lid een vergunning voor de verwerking heeft
verleend.”
Artikel 33, vijfde lid, UAVG bepaalt: “Een vergunning als bedoeld in het vierde lid, onderdeel c, kan slechts worden
verleend, indien de verwerking noodzakelijk is met het oog op een zwaarwegend belang van derden en bij de uitvoering is
voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad. Aan
de vergunning kunnen voorschriften worden verbonden.”
Artikel 6, eerste lid, aanhef en onder f, AVG bepaalt: “De verwerking is alleen rechtmatig indien en voor zover aan
ten minste een van de onderstaande voorwaarden is voldaan:
[…]
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de
verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele
vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met
name wanneer de betrokkene een kind is.”
Overweging 47 van de AVG stelt: “De gerechtvaardigde belangen van een verwerkingsverantwoordelijke, waaronder
die van een verwerkingsverantwoordelijke aan wie de persoonsgegevens kunnen worden verstrekt, of van een derde, kan
een rechtsgrond bieden voor verwerking, mits de belangen of de grondrechten en de fundamentele vrijheden van de
betrokkene niet zwaarder wegen, rekening houdend met de redelijke verwachtingen van de betrokkene op basis van zijn
verhouding met de verwerkingsverantwoordelijke. […] In elk geval is een zorgvuldige beoordeling geboden om te bepalen of
sprake is van een gerechtvaardigd belang, alsook om te bepalen of een betrokkene op het tijdstip en in het kader van de
verzameling van de persoonsgegevens redelijkerwijs mag verwachten dat verwerking met dat doel kan plaatsvinden. De
3/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
belangen en de grondrechten van de betrokkene kunnen met name zwaarder wegen dan het belang van de
verwerkingsverantwoordelijke wanneer persoonsgegevens worden verwerkt in omstandigheden waarin de betrokkenen
redelijkerwijs geen verdere verwerking verwachten. […] De verwerking van persoonsgegevens die strikt noodzakelijk is
voor fraudevoorkoming is ook een gerechtvaardigd belang van de verwerkingsverantwoordelijke in kwestie. […]”
Artikel 5, tweede lid, AVG bepaalt: “De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1
en kan deze aantonen („verantwoordingsplicht”).”
10. Het wettelijk kader betekent dat de AP zich in het kader van de beoordeling van een
vergunningaanvraag heeft beperkt tot de beoordeling van de verwerking van persoonsgegevens van
strafrechtelijke aard ten behoeve van derden.
5 Beoordeling voorgenomen verwerking
11. Aan de hand van het wettelijk kader is de voorgenomen verwerking beoordeeld. De beoordeling is
gebaseerd op de aan de verwerking ten grondslag liggende vergunningaanvraag, het protocol en de DPIA.
Daarnaast zijn de overwegingen 12, 13, 14, 15 en 16 van dit besluit van belang bij de verrichte beoordeling.
12. Het conformeren aan het modelprotocol collectieve horecaontzegging en model-DPIA collectieve
horecaontzegging (versie augustus 2020) leidt tot het op een AVG-conforme wijze bijhouden van enerzijds
de opgelegde individuele horecaontzeggingen (voor intern/eigen gebruik) en anderzijds het delen met
derden van strafrechtelijke persoonsgegevens ten aanzien van opgelegde collectieve horecaontzeggingen.
In het modelprotocol en de model-DPIA wordt het beroep op de grondslag gerechtvaardigd belang (artikel
6, eerste lid, onder f, van de AVG) conform de Normuitleg grondslag ‘gerechtvaardigd belang’ (november 2019)
in voldoende mate uiteengezet om de in artikel 5 van het protocol genoemde categorieën van gegevens
legitiem te verwerken.
13. Daarnaast is ook nog vereist dat tussen de beheerder (ofwel: verwerker) en de lokale ondernemers
(ofwel: de gezamenlijke verwerkingsverantwoordelijken) een verwerkersovereenkomst opgesteld wordt
om te komen tot een legitieme gegevensverwerking tussen deze partijen.
14. Het vorenstaande laat onverlet dat de (lokale) ondernemers mogen zorgen voor extra waarborgen om
deze persoonsgegevens te beschermen.
15. Daarnaast dienen voor het verkrijgen van een vergunning voor het voeren van en/of deelname aan de
hiervoor genoemde registratie van personen aan wie een collectieve horecaontzegging is opgelegd, ook de
aanvullende vergunningsvoorschriften (zie hieronder) in acht genomen te worden.
16. Zoals ook onder overweging 2 van dit besluit is aangegeven, zijn er aanvullende voorschriften
verbonden aan deze vergunningen. De aanvullende voorschriften, zoals ook benoemd in de brief van de AP
van 24 augustus 2020 aan KHN, zijn, dat:
a. de lokale horecaondernemers (gezamenlijke verwerkingsverantwoordelijken) dienen jaarlijks -
gecoördineerd door de KHN-afdeling Alkmaar1 - een evaluatie van het modelprotocol en model-
1 Hierdoor kan een uniforme werkwijze voor alle bij de lokale KHN-afdelingen aangesloten horecaondernemers worden gerealiseerd.
4/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
DPIA2 van het collectieve horecaontzeggingen uit te voeren. De AP ontvangt op aanvraag een
afschrift van deze evaluatie.
b. in aansluiting op voorschrift a zal de beheerder namens de gezamenlijke
verwerkingsverantwoordelijken bij deze jaarlijkse evaluatie in elk geval expliciet ingaan op:
(de omvang van) de deelnemerslijst (ofwel: de lijst waarin de lokale horecaondernemers
zijn opgesomd, die deelnemen aan de collectieve horecaontzeggingen in dat bepaalde
horecagebied).3
het aantal opgelegde individuele en collectieve horecaontzeggingen.
het aantal (wegens verlopen van de looptijd of om andere redenen) verwijderde
individuele en collectieve horecaontzeggingen.
de meldingen van eventuele bijzondere incidenten waarbij de aard en de omvang daarvan
wordt beschreven, of van andere vermeldingswaardige bijzonderheden.
c. de vergunning is – behoudens ingrijpende wetswijzigingen of wijziging van de
gegevensverwerking – geldig tot 21 april 2027.
d. de verwerkingsverantwoordelijke (lokale horecaondernemer) diens gegevens volledig conform
het modelprotocol en model-DPIA zal verwerken. Dat wil zeggen dat de lokale horecaondernemer
het modelprotocol en model-DPIA ongewijzigd overneemt en de gegevens van de opgelegde
collectieve horecaontzeggingen precies, zoals in het modelprotocol en model-DPIA omschreven
wordt, gaat verwerken.
6 Conclusie
17. De AP is van oordeel dat de in de bijlage genoemde horecaondernemingen – door zich te conformeren
aan de reeds door de AP beoordeelde modelprotocol en model-DPIA (versie augustus 2020) - de noodzaak
en proportionaliteit van de voorgenomen verwerking voldoende hebben aangetoond.
18. De AP wijst de aanvraag ter verlening van een vergunning voor de verwerking van persoonsgegevens
van strafrechtelijke aard ten behoeve van derden toe. Er mag met de voorgenomen verwerking worden
gestart.
7 Afsluiting en rechtsmiddel
Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het
besluit ingevolge de Awb een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. U kunt een
bezwaarschrift indienen per post door deze te zenden naar Postbus 93374, 2509 AJ Den Haag, onder
vermelding van “Awb-bezwaar” op de envelop. U kunt ook een digitaal bezwaarschrift indienen, zie
www.autoriteitpersoonsgegevens.nl. onder het kopje “Bezwaar maken tegen een besluit”. Het indienen
van een bezwaarschrift schort de werking van dit besluit niet op.
Den Haag, 27 juni 2024
Autoriteit Persoonsgegevens,
2 Dit is feitelijk inherent aan de cyclus van een DPIA, omdat een DPIA uitvoeren geen eenmalige opdracht is, maar een continu proces.
De verwerkingsverantwoordelijke moet altijd blijven monitoren of diens gegevensverwerking verandert. Bijvoorbeeld als er een
nieuwe technologie gebruikt wordt. Of als persoonsgegevens voor een ander doel worden gebruikt.
3 Deze deelnemerslijst wordt door de KHN- afdeling Alkmaar via een website actueel gehouden, zodat kenbaar is welke
horecaondernemers deelnemen aan het collectief verbod in een bepaald gebied.
5/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
Overeenkomstig het door de Autoriteit Persoonsgegevens genomen besluit,
ir. N.G. de Jong
Directeur Systeemtoezicht, Beveiliging en Technologie
6/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
Bijlage: 35 deelnemende horecaondernemingen van het besluit d.d. 18 oktober 2023 –
horecagebied Alkmaar
Zaaknummer Naam aanvrager, eigenaar van: Adresgegevens:
2023-225829/2024- 1480 Foodbar Mient 16, 1811 NC Alkmaar
010287.1
2023-225829/2024-
010287.2 Alkmaars Koffiehuis Gedempte Nieuwesloot 42, 1811 KT Alkmaar
2023-225829/2024- Aloha Café Paradiso
010287.3 Verdronkenoord 121-119, 1811 BD Alkmaar
2023-225829/2024- Bourgondisch Café De Waag Vof Houttil 14, 1811 JM Alkmaar
010287.4
2023-225829/2024- Café Amstelhoek Voordam 1, 1811 MA Alkmaar
010287.5
2023-225829/2024- Café Berries Houttil 24, 1811 JM Alkmaar
010287.6
2023-225829/2024- Café Bruintje Ritsevoort 28, 1811 DP Alkmaar
010287.7
2023-225829/2024- Café Castel Houttil 42, 1811 JN Alkmaar
010287.8
2023-225829/2024- Café De Eenhoorn Houttil 30, 1811 JN Alkmaar
010287.9
2023-225829/2024- Café De Oude Stad Hekelstraat 19, 1811 BL Alkmaar
010287.10
2023-225829/2024- Café De Pilaren Verdronkenoord 129, 1811 BD Alkmaar
010287.11
7/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
2023-225829/2024- Café De Zaak Houttil 16, 1811 JM Alkmaar
010287.12
2023-225829/2024- Café Muizenvreugd B.V. Herenstraat 2, 1811 MH Alkmaar
010287.13
2023-225829/2024- Café Nooit Te Laat Gedempte Nieuwesloot 87, 1811 KR Alkmaar
010287.14
2023-225829/2024- Café Stapper Verdronkenoord 127, 1811 BD Alkmaar
010287.15
2023-225829/2024- Café ’t Hartje Houttil 28, 1811 JM, Alkmaar
010287.16
2023-225829/2024- De Bierkelder Verdronkenoord 115, 1811 BD Alkmaar
010287.17
2023-225829/2024- De Kleine Deugniet Gedempte Nieuwesloot 117, 1811 KR Alkmaar
010287.18
2023-225829/2024- De Koning Verdronkenoord 114, 1811 BH Alkmaar
010287.19
2023-225829/2024- Eethuis Baba Hekelstraat 26, 1811 BM Alkmaar
010287.20
2023-225829/2024- Grillroom Amon Verdronkenoord 106, 1811 BH Alkmaar
010287.21
2023-225829/2024- Gunnery's Irish Pub Verdronkenoord 123a, 1811 BD Alkmaar
010287.22
2023-225829/2024- Hap Wat Gedempte Nieuwesloot 69C, 1811 KP Alkmaar
010287.23
2023-225829/2024- Heeren van Sonoy Hof van Sonoy 1, 1811 LD Alkmaar
010287.24
8/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
2023-225829/2024- House of Queens Houttil 26, 1811 JM Alkmaar
010287.25
2023-225829/2024- In De Pimpelaer Gedempte Nieuwesloot 83, 1811 KR Alkmaar
010287.26
2023-225829/2024- Klunder Canadaplein 2, 1811 KE Alkmaar
010287.27
2023-225829/2024- Mojo's Houttil 18, 1811 JM Alkmaar
010287.28
2023-225829/2024- Mr. Gold Houttil 20, 1811 JM Alkmaar
010287.29
2023-225829/2024- Ons Café ’t Kantoor Verdronkenoord 110, 1811 BH Alkmaar
010287.30
2023-225829/2024- Pluim Ritsevoort 12, 1811 DN Alkmaar
010287.31
2023-225829/2024- Proeflokaal De Boom Houttil 1, 1811 JL Alkmaar
010287.32
2023-225829/2024- Roest Wine and Foodbar Hekelstraat 28-30, 1811 BM Alkmaar
010287.33
2023-225829/2024- Stadskaffee Laurens Kerkplein 9, 1811 KL Alkmaar
010287.34
2023-225829/2024- Stichting Podium Victorie Pettemerstraat 5, 1823 CW Alkmaar
010287.35
9/10
Datum Ons kenmerk
27 juni 2024 2023-225829/2024-010287
Bijlage: 10 nieuwe deelnemende horecaondernemingen – horecagebied Alkmaar
Zaaknummer Naam aanvrager, eigenaar van: Adresgegevens:
2023-225829/2024- Bar Restaurant Hofman Kerkplein 7, 1811 KL Alkmaar
010287.36
2023-225829/2024- Broodjeszaak Express Zo Hekelstraat 22, 1811 BM Alkmaar
010287.37
2023-225829/2024- Café Jong Belegen Houttil 5, 1811 JL Alkmaar
010287.38
2023-225829/2024- Grillroom Amon Verdronkenoord 106, 1811 BH Alkmaar
010287.39
2023-225829/2024- Grillroom Montfort Gedempte Nieuwesloot 121, 1811 KR, Alkmaar
010287.40
2023-225829/2024- Hermanos Houttil 22, 1811 JM Alkmaar
010287.41
2023-225829/2024- Restaurant Vito Turfmarkt 1-9, 1813 SC Alkmaar
010287.42
2023-225829/2024- Snackbar Kroky Gedempte Nieuwesloot 1, 1811 KV Alkmaar
010287.43
2023-225829/2024- Tito Alkmaar Magdalenenstraat 7, 1811 JR Alkmaar
010287.44
2023-225829/2024- Turfmarkt Turfmarkt 11-23, 1813 SC Alkmaar
010287.45
10/10