Wanneer verwerkt een organisatie jouw persoonsgegevens om te voldoen aan een wettelijke verplichting, en wanneer voor de vervulling van een taak van algemeen belang? Dit was een gesprek dat ik in twee weken twee keer had met twee collega’s. Na keer twee beloofde ik mezelf wat dieper op dit vraagstuk in te gaan en daar iets over te schrijven; bij dezen!
De vraag klinkt misschien abstract, maar is voor ons werk erg belangrijk. De Algemene Verordening Gegevensbescherming (AVG) vertelt ons dat je je voor iedere verwerking van persoonsgegevens moet kunnen beroepen op een geldige rechtvaardigingsgrond: de grondslag.[1] De AVG noemt er limitatief zes [2], waarvan er hier twee centraal staan: de sub c-grondslag (‘wettelijke verplichting’) en de sub e-grondslag (‘algemeen belang / openbaar gezag’).Veel van onze opdrachtgevers zijn actief in de publieke sector, en vervullen vaak taken van algemeen belang. Maar is dat genoeg om een geldig beroep op die grondslag te doen? En wanneer dien je in plaats daarvan een beroep te doen op sub c-grondslag? In deze blog lees je het antwoord op deze vragen.
Een overzicht van (de relevante delen van) artikel 6 AVG
De relevante tekst uit de AVG luidt als volgt:
Artikel 6 – Rechtmatigheid van de verwerking
- De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:
(…)
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
(…)
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
(…)
Op het eerste gezicht biedt de wettekst niet veel uitsluitsel; bestaan de meeste wettelijke verplichtingen immers niet in het algemeen belang?
Ook verder lezen leidt eerder tot overeenkomsten dan tot verschillen: verderop in artikel 6 AVG is te vinden dat verwerkingen op basis van zowel de sub c-grondslag als de sub e-grondslag vastgesteld moeten zijn bij EU- of nationaal recht dat moet beantwoorden aan een doelstelling van algemeen belang.[3] De grens tussen de twee grondslagen is er vooralsnog niet veel duidelijker op geworden – tijd voor nader onderzoek!
Wat houdt de grondslag ‘wettelijke verplichting’ (art. 6 lid 1 sub c AVG) in?
Op deze grondslag kan de organisatie (in AVG-termen: ‘de verwerkingsverantwoordelijke’) een beroep doen als een verwerking van persoonsgegevens noodzakelijk is om te voldoen aan een bepaalde wettelijke verplichting.[4] Met andere woorden: de verwerkingsverantwoordelijke kiest niet voor de verwerking, maar moet deze uitvoeren.
Voor een beroep op de sub c-grondslag is het echter niet vereist dat de wet expliciet een verplichting oplegt om bepaalde persoonsgegevens te verwerken. De drempel ligt lager: de wettelijke verplichting moet zodanig zijn dat het voor de verwerkingsverantwoordelijke redelijkerwijs niet goed mogelijk is om te voldoen aan de wettelijke verplichting zonder persoonsgegevens te verwerken.[5]
Een kanttekening: de AVG verplicht niet dat voor elke individuele verwerking specifieke wetgeving vereist is. Een enkel wetsartikel kan dus prima de grondslag zijn voor meerdere verwerkingen.[6]
Een voorbeeld van een verwerking op basis van deze grondslag is de identificatiecheck die plaatsvindt bij het aanvragen van een nieuwe identiteitskaart. Het Paspoortbesluit zegt hierover heel duidelijk: Voor het verkrijgen van de nodige zekerheid over het Nederlanderschap, wordt gebruik gemaakt van het door de aanvrager overgelegde Nederlandse reisdocument, de door de aanvrager bij de aanvraag verstrekte gegevens, alsmede van de in de basisadministratie dan wel de in het basisregister reisdocumenten opgenomen gegevens en van overige bij de tot uitreiking bevoegde autoriteit aanwezige documenten.[7]
De wet verplicht hier heel duidelijk dat deze persoonsgegevens verwerkt worden, en de grondslag voor deze verwerking kan dan ook gevonden worden in de sub c-grondslag.
Niet alleen overheidsinstellingen kunnen zich op de de sub c-grondslag beroepen. Zo moet iedere werkgever de hoogte van het salaris van diens medewerkers doorgeven aan de Belastingdienst, en is ook dit een sub c-verwerking.
Een belangrijk aspect om hier te belichten is dat individuen bij sub c-verwerkingen weinig ruimte hebben om deze te weigeren. Omdat de verwerking wettelijk verplicht is, biedt de AVG je als betrokkene niet het recht om in bezwaar te gaan (zoals beschreven in art. 21 AVG). Je leest zo hoe dit anders is bij de sub e-grondslag.
Wat houdt de grondslag ‘algemeen belang / openbaar gezag’ (art. 6 lid 1 sub e AVG) in?
De sub e-grondslag is van toepassing als een organisatie persoonsgegevens verwerkt niet omdat dit moet vanwege een bepaalde wet, maar omdat de verwerking onderdeel uitmaakt van haar publieke taak of bevoegdheid. Eerder las je al dat verwerkingen op basis van zowel de sub c-grondslag als de sub e-grondslag vastgesteld moeten zijn bij EU- of nationaal recht. Er moet bij sub e dus sprake zijn van een rechtsregel die een verwerkingsverantwoordelijke belast met een taak van algemeen belang of een bepaalde mate van openbaar gezag opdraagt.[8]
Is dit allebei niet het geval en is de verwerkingsverantwoordelijke een overheidsinstantie, dan kan deze in het kader van de uitoefening van haar overheidstaken niet terugvallen op de grondslag ‘gerechtvaardigd belang’.[9] Het is immers aan de wetgever om te bepalen wanneer welke overheidsinstantie welke persoonsgegevens voor welk doel mag verwerken.[10]
Ook voor de sub e-grondslag geldt dat privaatrechtelijke rechtspersonen zich hier in voorkomende gevallen op kunnen beroepen,[11]zolang zij het wetsartikel maar kunnen aanwijzen waarin zij hun taak van algemeen belang of openbaar gezag toebedeeld krijgen. Denk hierbij aan een bedrijf als TenneT. Dit is een BV, maar is tegelijkertijd op basis van de Elektriciteitswet 1998 aangewezen als netbeheerder (en heeft dus openbaar gezag toebedeeld gekregen).
Een voorbeeld van een verwerking op basis van deze grondslag is de gemeente die cameratoezicht houdt op een openbare plaats. De Gemeentewet verplicht niet om cameratoezicht te houden, maar geeft slechts aan dat de burgemeester de bevoegdheid kan krijgen om camera’s te plaatsen: De raad kan bij verordening de burgemeester de bevoegdheid verlenen om, indien dat in het belang van de handhaving van de openbare orde noodzakelijk is, te besluiten om voor een bepaalde duur camera’s in te zetten ten behoeve van het toezicht op een openbare plaats (…).[12]
Verleent de gemeenteraad die bevoegdheid ook daadwerkelijk in de APV en besluit de burgemeester vervolgens om van deze bevoegdheid gebruik te maken, dan vinden de daaropvolgende verwerkingen plaats op basis van de sub e-grondslag.
Bij verwerkingen op basis van de sub e-grondslag hebben betrokkenen het recht van bezwaar van art. 21 AVG. Dit betekent dat zij het recht hebben om bezwaar te maken tegen de verwerking in kwestie als zij vinden dat deze hun specifieke situatie negatief beïnvloedt. Dit recht is niet absoluut; de verwerkingsverantwoordelijke hoeft de verwerking niet te staken als deze zwaarder wegende belangen aandraagt.[13] Let op: de betrokkene moet tijdens het eerste contactmoment met de verwerkingsverantwoordelijke worden geïnformeerd over het bestaan van dit recht.[14]
Hoe maak je makkelijk onderscheid tussen de sub c-grondslag en de sub e-grondslag?
Zoals je hebt kunnen lezen, komt het bij het onderscheid tussen de sub c- en de sub e-grondslag voornamelijk neer op de formulering van de wet. Is een verwerking van persoonsgegevens (redelijkerwijs) noodzakelijk om aan een bepaalde wettelijke verplichting te voldoen (“Instantie X is verplicht tot taak Y”), dan is deze verwerking een sub c-verwerking. Belast de rechtsregel de verwerkingsverantwoordelijke echter met een taak van algemeen belang of met openbaar gezag (“Instantie X is verantwoordelijk voor taak Y”), dan heb je met sub e te maken.
voetnoten:
1 Art. 5 lid 1 jo. 5 lid 2 jo. 6 lid 1 AVG.
2 Art. 6 lid 1 sub a-f AVG.
3 Art. 6 lid 3 AVG.
4 De Autoriteit Persoonsgegevens leest ‘wettelijke verplichting’ als ‘iedere verplichting tot een verwerking van persoonsgegevens die krachtens een algemeen verbindend voorschrift wordt opgelegd’. Brief van 30-08-2017 met kenmerk z2017-05375, p. 2.
5 Kamerstukken II 2017/18, 34851, nr. 3, p. 35.
6 Overweging 45 AVG.
7 Art. 2.16 lid 1 Paspoortbesluit.
8 Deze rechtsregel hoeft niet altijd uit een wet in formele zin voort te vloeien, maar kan ook voortvloeien uit andere vormen van recht, waaronder vaste jurisprudentie. HvJEU 12 september 2024, gevoegde zaken C-17/22 en C-18/22 (HTB Neunte Immobilien Portfolio), punt 68-73.
9 Art. 6 lid 1 AVG, laatste volzin.
10 Overweging 45 en 47 AVG.
11 Overweging 45 AVG.
12 Art. 151c lid 1 Gemeentewet.
13 Art. 21 lid 1 AVG.
14 Art. 21 lid 4 AVG.
