Bescherming van persoonsgegevens is een grondrecht dat o.a. wordt beschermd door artikel 8 EVRM (eerbiediging van privé, familie- en gezinsleven). Een uitwerking van dit beschermingsbeginsel is terug te vinden in de AVG. Als het gaat om het delen van persoonsgegevens dan is daar in de basis vastgelegd wanneer je dat mag doen. In wetgeving kan dit verder worden uitgewerkt.
In de casus waarin de Hoge Raad werd betrokken had een kredietinstelling enkele BKR registraties gedaan. De betrokkene wilde dat deze registraties uit het BKR zouden worden verwijderd. De Hoge Raad werd onder andere gevraagd om zich te buigen over de wettelijke verplichting die volgens de kredietinstelling ten grondslag lag aan het delen van gegevens met het BKR. In het antwoord heeft de Hoge Raad meteen van de gelegenheid gebruik gemaakt om duidelijk te maken waar een wettelijke verplichting aan moet voldoen, om als grondslag te kunnen dienen voor het delen van persoonsgegevens.
Wettelijke verplichting geen vrijbrief voor delen gegevens
Maar eerst maakt de Hoge Raad van de gelegenheid gebruik om een eerdere uitspraak te bevestigen.
In 2011 heeft de Hoge Raad bepaald dat bij elke gegevensverwerking voldaan moet zijn aan de beginselen van proportionaliteit en subsidiariteit. Dit betekent dat de inbreuk op de belangen van de betrokkenen niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel. Ook moet bekeken worden of dit doel in redelijkheid niet op andere, voor de betrokkene minder nadelige wijze, kan worden bereikt. Een wettelijke grondslag om gegevens te delen maakt deze belangenafwegingen niet overbodig. Bij deze afwegingen moeten omstandigheden van het geval in aanmerking worden genomen. Deze conclusies gelden ook onder de AVG, aldus de Hoge Raad.
Concreet betekent dit dat altijd voorafgaand aan het delen van persoonsgegevens per geval eerst nog een belangenafweging moet plaatsvinden. Zelfs als de wet verplicht om gegevens te delen.
Wettelijke verplichting geen vrijbrief voor delen gegevens
Eisen aan wettelijke grondslag
Terug naar de uitspraak van december 2021 en het antwoord op de vraag waar een wettelijke grondslag aan moet voldoen, wil je hem kunnen gebruiken om gegevens te delen.
De Hoge Raad zegt daar het volgende over. De verwerkingsverantwoordelijke mag persoonsgegevens delen als dit noodzakelijk is om te voldoen aan een wettelijke plicht die op hem rust1 2.
Vervolgens stelt de Hoge Raad vast dat de AVG eist dat deze rechtsgrond of wetgevingsmaatregel wel duidelijk en nauwkeurig moet zijn3. Ook moet de toepassing ervan voorspelbaar zijn voor degenen op wie deze van toepassing is. Concreet betekent dit dat de betrokkene uit de wettelijke bepaling o.a. op moet kunnen maken:
- welke gegevens worden gedeeld;
- wanneer deze gegevens worden gedeeld; en
- binnen welke termijn wordt overgegaan tot verwijdering van de gegevens.
Uitwerking verplichting mag niet buiten de wet worden ingekleurd
Bij het beantwoorden van de vragen moest de Hoge Raad in deze casus concluderen dat de wettelijke bepaling in de Wft niet voldoende duidelijk en nauwkeurig was. Deze kon daarom niet als grondslag dienen voor het delen van gegevens met het BKR. Dat de extra informatie en de invulling van de verwijderingstermijnen wel was vastgelegd in het regelement voor het BKR, kon dit gebrek niet repareren. De regelementen van het BKR hebben immers geen wettelijke basis. De Hoge Raad is hierin duidelijk. Alleen wetgeving kan dienen als basis voor gegevensuitwisseling.
Voor de kredietverstrekker was er nog een escape. Omdat voor hem nog een extra grondslag is vastgelegd in de AVG, het gerechtvaardigd belang 4. Overheidsinstanties mogen geen gebruik maken van deze grondslag.
Conclusie
Wat deze uitspraak vooral laat zien, is dat de overheid bij het vastleggen van een wettelijke verplichting om gegevens te delen altijd zorgvuldig te werk moet gaan. En daar waar dat zorgvuldig is gedaan, is het simpelweg volgen van de wet niet de te bewandelen weg. Een zorgvuldige overheid moet altijd blijven letten op de belangen van individuele betrokkenen bij het delen van persoonsgegevens.
Altijd op de hoogte zijn van het laatste nieuws in het sociaal domein? Dat kan met een abonnement op onze online kennisbank Schulinck Participatiewet, Wmo, Jeugd, Inburgering of Schuldhulpverlening
1 artikel 6 lid 1 sub c AVG
2 Met noodzakelijk bedoelt de Nederlandse wetgever dat het uitvoeren van de wettelijke plicht niet goed mogelijk is zonder het verwerken van de persoonsgegevens.
3 artikel 6 lid 3 AVG
4 artikel 6 lid 1 sub f AVG
Uitspraken: ECLI:NL:HR:2021:1814 en ECLI:NL:HR:2011:BQ8097