Een van de vereisten om persoonsgegevens te mogen verwerken is dat de verwerking moet berusten op een grondslag. De Algemene Verordening Gegevensbescherming (‘AVG’) kent een limitatieve opsomming van verwerkingsgrondslagen. In de praktijk is niet altijd duidelijk wat de aangewezen grondslag is. Dit is wel belangrijk omdat de toepasselijke grondslag uiteindelijk ook bepaalt wat de rechten van betrokkenen zijn, zoals het recht om gegevens te verwijderen. In deze update op een eerdere bijdrage wordt stilgestaan bij de grondslagen ‘wettelijke verplichting (art. 6 lid 1 (c) AVG)’ en ‘gerechtvaardigd belang (art. 6 lid 1 (f) AVG)’.
Met name de reikwijdte van de grondslag ‘voldoen aan een wettelijke verplichting’ is voorwerp van discussie. Rechters en privacy toezichthouder Autoriteit Persoonsgegevens (‘AP’) legden de reikwijdte hiervan niet uniform uit. Dit wordt in het hiernavolgende nader toegelicht. De rechtbank Amsterdam deed een poging om de patstelling te doorbreken door de Hoge Raad hierover een uitspraak te vragen. Deze heeft op 3 december 2021 uitspraak gedaan.
Het Centraal krediet registratiesysteem van het BKR
Op grond van art. 4:32 van de Wet op het financieel toezicht (Wft) moeten financiële instellingen aangesloten zijn bij een stelsel van kredietregistratie. Op grond van art. 114 van het Besluit gedragstoezicht financiële ondernemingen (BGFO) moeten zij het stelsel raadplegen over de kredietwaardigheid van een consument die om een krediet vraagt. In Nederland wordt het stelsel van kredietregistratie beheert door het Bureau kredietregistratie (BKR). In het reglement van het BKR wordt het stelsel uitgewerkt op basis van reciprociteit. Daarbij dienen financiële instellingen kort gezegd hun kredietverlening en eventuele betalingsachterstanden van consumenten bij het BKR te registreren. Dit stelsel is in jarenlange jurisprudentie uitgekristalliseerd en vastgelegd in reglementen van het BKR. De vraag is of het registreren onder de AVG als “noodzakelijk voor het voldoen aan een wettelijke verplichting” kan worden aangemerkt.
“Uitvoering wettelijke verplichting” in de rechtspraak over het BKR (1)
In oudere zaken wordt welhaast automatisch aangenomen dat de grondslag voor een BKR-registratie art. 6 lid 1(f) AVG is (f-grondslag: gerechtvaardigd belang). Maar dan ontstaat eind 2019 discussie over art. 6 lid 1(c) AVG (c-grondslag: wettelijke verplichting) als mogelijke verwerkingsgrondslag.
- Op 3 december 2019 deed het Hof Arnhem-Leeuwarden uitspraak in een zaak betreffende het kredietregistratiesysteem van het BKR en concludeerde dat een BKR-registratie plaatsvindt ter voldoening aan een wettelijke verplichting (r.o. 4.8, ECLI:NL:GHARL:2019:10345). Dat de verwerking derhalve de c-grondslag als verwerkingsgrondslag heeft. Op 13 december 2019 bepaalde de Rechtbank Den Haag eveneens dat de BKR-registratie de c-grondslag als verwerkingsgrondslag heeft (r.o.4.15, ECLI:NL:RBDHA:2019:13444). Op 16 december 2019 volgde de Rechtbank Zeeland-West Brabant met een gelijke opvatting (r.o. 3.16, ECLI:NL:RBZWB:2019:5681). Op 17 juni 2020 bepaalde de Rechtbank Midden-Nederland eveneens dat de BKR-registratie de c-grondslag als verwerkingsgrondslag heeft (r.o. 2.5, ECLI:NL:RBMNE:2020:2232).
- Op 22 juli 2020 oordeelde de Rechtbank Amsterdam echter dat de grondslag voor een BKR-registratie het gerechtvaardigd belang van de financiële instelling is (r.o. 7, ECLI:NL:RBAMS:2020:3945).
- Op 6 augustus 2020 volgde het Hof ‘s-Hertogenbosch de lijn dat er sprake is van een wettelijke verplichting als grondslag (ECLI:NL:GHSHE:2020:2536). In een zeer uitvoerig gemotiveerd vonnis gaat het Hof in op een advies van de Autoriteit Persoonsgegevens (AP) van 14 november 2019 (z2019-19579). Daarin bestempelt de AP de BKR-registratie als “onvrijwillige verwerking” die bij voorkeur moet worden gebaseerd op voldoende concrete wetgeving.[2] Die ontbreekt naar de mening van de AP. Het Hof verwerpt de opinie van de AP en komt tot de conclusie dat BKR-registraties strekken tot uitvoering van een wettelijke verplichting (art. 6 lid 1(c) AVG). Bovendien verwerpt het Hof het verzoek van één der partijen om prejudiciële vragen aan de Hoge Raad te stellen.
- Op 8 september 2020 concludeerde het Hof Den Haag daarentegen dat ten aanzien van een BKR-registratie de rechtsgrond van art. 6 lid 1(c) AVG “niet aannemelijk” is (ECLI:NL:GHDHA:2020:1569). Twee maanden later (op 10 november 2020) volgt een vergelijkbare uitspraak van hetzelfde Hof Den Haag (ECLI:NL:GHDHA:2020:2068): de c-grondslag is “niet aannemelijk”.
- Op 17 december 2020 volgt weer een uitspraak van het Hof Arnhem-Leeuwarden (ECLI:NL:GHARL:2020:10564) waarin het standpunt een BKR-registratie toch kan worden gebaseerd op de c-grondslag, wordt herhaald. Evenals het Hof ’s-Hertogenbosch besluit het Hof Arnhem-Leeuwarden geen prejudiciële vragen aan de Hoge Raad te stellen.
(1) Zie ook Jurisprudentie Onderneming & Recht 17-11-2020, afl. 11 (met noot C.E.F. van Waesberge).
(2) Vergelijk art. 15(c) van het Besluit gemeentelijke schuldhulpverlening.
Uitspraak in kort geding van de Rechtbank Amsterdam
Op 24 december 2020 diende vervolgens een kort geding voor de Rechtbank Amsterdam over een vergelijkbare zaak (ECLI:NL:RBAMS:2021:174). De uitspraak was op 21 januari 2021. De Rechtbank volgt enerzijds de uitleg van het Hof Den Haag (geen wettelijke verplichting als grondslag) maar wil anderzijds toch een uitspraak van de Hoge Raad. De Rechtbank overweegt daarbij het volgende (r.o. 4.8):
|
“De voorzieningenrechter is voorshands van oordeel dat de lijn van het hof Den Haag moet worden gevolgd. De wettelijke verplichting zoals bedoeld in artikel 6 lid 1 aanhef en(c) AVG betekent voor banken, die uit hoofde van artikel 4:32 Wft deelnemen aan het stelsel van kredietregistratie van de BKR, niet dat iedere concrete registratie ook beschouwd moet worden als ‘noodzakelijk om te voldoen aan een wettelijke verplichting’. De concrete registratie wordt gedaan ter uitvoering van de wettelijke verplichting, welke uitvoering is gegrond op het Algemeen Reglement CKI van de BKR. Dit reglement kan niet worden beschouwd als een ‘wettelijke’ regeling zoals bedoeld in artikel 6 lid 1 aanhef en(c) AVG. |
De Rechtbank Amsterdam verwijst vervolgens naar de bovenvermelde tegenstrijdige jurisprudentie van de gerechtshoven en besluit dat het noodzakelijk is om de Hoge Raad om een prejudiciële uitspraak te vragen (r.o. 4.10).
Vervolgens komt de kwestie nog in diverse zaken aan de orde, waarbij wordt verwezen naar de aanhangige prejudiciële vraag.[3]
(3) O.a.: ECLI:NL:RBAMS:2021:405, ECLI:NL:GHAMS:2021:499, ECLI:NL:RBAMS:2021:619, ECLI:NL:GHARL:2021:1679, ECLI:NL:GHAMS:2021:459, ECLI:NL:RBAMS:2021:1721, ECLI:NL:GHAMS:2021:1367.
Praktische betekenis
Het dispuut over de reikwijdte van art. 6 lid 1(c) AVG is zoals hiervoor aangegeven van belang voor betrokkenen die wissing van hun persoonsgegevens wensen. Als verwerkingsverantwoordelijken zich alleen kunnen beroepen op de f-grondslag, hebben de betrokkenen immers de ook mogelijkheid om op basis van art. 21 lid 1 AVG bezwaar te maken tegen een verwerking in verband met de eigen specifieke situatie en om dan vervolgens op basis van art. 17 lid 1(c) AVG om wissing van gegevens te vragen. Dat kan niet bij de c-grondslag.
Het komt in de praktijk vaker voor dat er verschillende manieren zijn om aan een wettelijke verplichting te voldoen. Er wordt dan door de wetgever geen specifieke route verplicht. In dergelijke gevallen speelt de vraag of een “verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust”.
In de overwegingen bij de AVG wordt aandacht besteed aan het fenomeen “wettelijke verplichting. Overweging 41 van de AVG luidt in dat verband:
| “Wanneer in deze verordening naar een rechtsgrond of een wetgevingsmaatregel wordt verwezen, vereist dit niet noodzakelijkerwijs dat een door een parlement vastgestelde wetgevingshandeling nodig is, onverminderd de vereisten overeenkomstig de grondwettelijke orde van de lidstaat in kwestie. Deze rechtsgrond of wetgevingsmaatregel moet evenwel duidelijk en nauwkeurig zijn, en de toepassing daarvan moet voorspelbaar zijn voor degenen op wie deze van toepassing is, zoals vereist door de rechtspraak van het Hof van Justitie van de Europese Unie („Hof van Justitie”) en het Europees Hof voor de Rechten van de Mens.” |
En overweging 45:
|
“(…) Deze verordening schrijft niet voor dat voor elke afzonderlijke verwerking specifieke wetgeving vereist is. Er kan worden volstaan met wetgeving die als basis fungeert voor verscheidene verwerkingen op grond van een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, of voor verwerking die noodzakelijk is voor de vervulling van een taak van algemeen belang dan wel voor een taak in het kader van de uitoefening van het openbaar gezag. Het moet ook het Unierecht of het lidstatelijke recht zijn dat het doel van de verwerking bepaalt. Voorts zou dat recht een nadere omschrijving kunnen geven van de algemene voorwaarden van deze verordening waaraan de persoonsgegevensverwerking moet voldoen om rechtmatig te zijn, en specificaties kunnen vaststellen voor het bepalen van de verwerkingsverantwoordelijke, het type verwerkte persoonsgegevens, de betrokkenen, de entiteiten waaraan de persoonsgegevens mogen worden vrijgegeven, de doelbinding, de opslagperiode en andere maatregelen om te zorgen voor rechtmatige en behoorlijke verwerking. (…)”[4],[5] (4) Uitgebreider: H.R. Kranenborg en L.F.M. Verhey, De Algemene verordening gegevensbescherming in Europees en Nederlands perspectief, Deventer: Kluwer 2018, H 7.3.6. |
Als de c-grondslag niet mag worden gebruikt moet de verwerkingsverantwoordelijke in veel gevallen een beroep doen op de f-grondslag. Daar doet zich dan vervolgens het probleem voor dat de AP van mening is dat deze grondslag beperkt moet worden uitgelegd (AP 1 november 2019, Normuitleg grondslag ‘gerechtvaardigd belang’). Het antwoord op de vraag wat de juiste grondslag is laat overigens onverlet dat in ook bij de c-grondslag een toets op proportionaliteit en subsidiariteit moet plaatsvinden waarbij de betrokkene toch zijn specifieke positie voor het voetlicht kan brengen. Dat volgt onder meer uit de Santander uitspraak van de Hoge Raad van 9 september 2011.
Vervolg
Op 3 december 2021 (dus exact 2 jaar na de uitspraak van het Hof Arnhem-Leeuwarden) oordeelde de Hoge Raad (ECLI:NL:HR:2021:1814) in navolging van de AG (ECLI:NL:PHR:2021:831) als volgt (R.O. 3.1.9): “Art. 4:32 lid 1 Wft en art. 4:34 lid 1 Wft, zoals nader uitgewerkt in art. 114 BGFO, verplichten kredietaanbieders weliswaar tot deelname aan en raadpleging van een stelsel van kredietregistratie, maar deze wettelijke bepalingen zijn niet voldoende duidelijk en nauwkeurig en de toepassing ervan is niet voldoende voorspelbaar voor degenen op wie deze wettelijke bepalingen van toepassing zijn, zoals art. 6 lid 3 AVG eist.” Kortom: er kan geen beroep worden gedaan op de c-grondslag.
Conclusie
Een belangrijke bepaling uit de AVG werd door rechtspraak en toezichthouder op uiteenlopende wijze geïnterpreteerd. De Hoge Raad heeft gekozen voor een restrictieve uitleg van de bepaling. Voorlopig is er voor Nederland een standpunt. Misschien gaat het Europese Hof van Justitie daarna ook nog ooit een uitspraak doen over deze materie.
Meer weten over dit onderwerp? Neem vrijblijvend contact op met een van de leden van het privacy team van VDB Advocaten.