Nieuws

Hoe specifiek is specifiek? De wettelijke verplichting als verwerkingsgrondslag

Gepubliceerd op 19 jul. 2022

Onze mensen

De AVG stelt dat voor elke verwerking van persoonsgegevens een verwerkingsgrondslag nodig is. Een mogelijke grondslag is het voldoen aan een wettelijke verplichting. Er heerst(e) wat onduidelijkheid over de vraag wanneer je als verwerkingsverantwoordelijke hierop een beroep mag doen. Dit komt doordat aan de ene kant geldt dat de wettelijke bepaling waar beroep op wordt gedaan ‘duidelijk en nauwkeurig’ moet zijn en de toepassing van die wettelijke bepaling ‘voorspelbaar’ moet zijn. Aan de andere kant stelt de AVG dat niet voor elke afzonderlijke verwerking een specifieke wet vereist is. Wanneer is een wet dan duidelijk, nauwkeurig en voorspelbaar? Hoe specifiek moet de wet dan zijn? Moet die wet precies bepalen welke persoonsgegevens verwerkt mogen worden en onder welke voorwaarden? In dit artikel worden bovenstaande vragen behandeld op basis van recente rechtspraak.

Wat zegt de Hoge Raad?

De Hoge Raad heeft zich in december als hoogste Nederlandse rechter uitgelaten over bovenstaande vragen. Het ging om de verwerkingsgrondslag van persoonsgegevens in het Centraal Krediet Informatiesysteem (CKI) van de Stichting Bureau Krediet Registratie (BKR), een systeem waarin een overzicht staat van de kredieten die iemand heeft en het betaalgedrag van die persoon met betrekking tot die kredieten. Kredietaanbieders, zoals banken, moeten in veel gevallen registreren wanneer een persoon een krediet heeft afgesloten en ze moeten de registraties van aanvragers checken voordat een krediet verleend worden. Dit zijn verwerkingen in de zin van de AVG en dus is er een verwerkingsgrondslag nodig. Bij de Hoge Raad was het de vraag of de verwerkingsgrondslag de wettelijke verplichting op basis van de Wet op het financieel toezicht (Wft) of het gerechtvaardigd belang was. Over de wettelijke verplichting zei de Hoge Raad het volgende: “Art. 4:32 lid 1 Wft en art. 4:34 lid 1 Wft, zoals nader uitgewerkt in art. 114 BGfo, verplichten kredietaanbieders weliswaar tot deelname aan en raadpleging van een stelsel van kredietregistratie, maar deze wettelijke bepalingen zijn niet voldoende duidelijk en nauwkeurig en de toepassing ervan is niet voldoende voorspelbaar voor degenen op wie deze wettelijke bepalingen van toepassing zijn (…). Uit die wettelijke bepalingen blijkt immers niet welke persoonsgegevens in het CKI geregistreerd moeten of mogen worden, wat de voorwaarden voor een dergelijke registratie zijn en onder welke voorwaarden en binnen welke termijnen tot verwijdering van persoonsgegevens moet worden overgegaan.” De Hoge Raad maakt dus duidelijk dat een wettelijke bepaling moet aangeven welke persoonsgegevens geregistreerd mogen worden, op welke voorwaarden en wat de termijn en voorwaarden zijn voor verwijdering. Hiermee schetste de Hoge Raad de kaders voor de beoordeling of een verwerking gebaseerd kon worden op een wettelijke verplichting. In een recente rechtszaak bij het Gerechtshof ’s-Hertogenbosch is dit toetsingskader uit de gereedschapskist gehaald om te bepalen of een wettelijke bepaling dusdanig specifiek is om te kunnen dienen als verwerkingsgrondslag.

Praktijkvoorbeeld: leerling- en onderwijsvolgsysteem

Aan de hand was het volgende. Een kind zat op een school, maar na een geschil over de bevindingen van een leerkracht over de houding en het gedrag van dat kind hebben de ouders van het kind hem of haar aangemeld bij een andere school. De wet bepaalt dat de oude school bepaalde rapporten en documenten aan de nieuwe school moet geven. Naar aanleiding van deze rapporten en documenten besloot de nieuwe school dit kind niet te willen plaatsen. Daarop dienden de ouders van het kind een verwijderingsverzoek in bij de oude school. Aan de orde kwam de vraag of er een wettelijke verplichting is voor een school om bepaalde gegevens van een leerling vast te leggen en of gegevens over het gedrag van een kind daar ook in moesten worden opgenomen. Het Hof stelt vast dat er een verplichting is voor een basisschool om een leerling- en onderwijsvolgsysteem te hebben waaruit de vorderingen in de kennis en vaardigheden van de leerling blijken. In dit systeem hoeven – volgens het Hof – niet alleen toetsresultaten vastgelegd te worden, maar ook de verstandelijke en emotionele ontwikkeling mogen hierin opgenomen worden. Dit zou volgen uit de wettekst en de wetgeschiedenis van artikel 8 van de Wet op het primair onderwijs (Wpo). In dat artikel staat dat het onderwijs, naast taal en rekenen, zich ook moet richten op emotionele en verstandelijke ontwikkeling en dat scholen een leerling- en onderwijsvolsysteem moeten gebruiken waarin de vorderingen van de leerling in de kennis en vaardigheden opgenomen zijn. Hieronder vallen de toetsen en vaardigheden van de leerling op het gebied van Nederlandse taal, rekenen en wiskunde. Wat er verder onder de ‘vorderingen van de leerling in de kennis en vaardigheden’ valt, wordt onder meer vastgelegd in de wetgeschiedenis: “Het leerlingvolgsysteem moet ook resultaten bevatten voor andere gebieden dan rekenen en taal (…). Het amendement beoogt uitdrukking te geven aan het feit dat, naast de kennisvaardigheden van taal en rekenen, ook het volgen van de ontwikkeling van een leerling in brede zin van belang is. De regering onderkent dit belang en wil de ontwikkeling en het aanbieden van toetsen die zich, naast taal en rekenen, ook op deze brede vaardigheden richten, niet in de weg staan. Het op voorhand beperken van het leerling- en onderwijsvolgsysteem tot alleen toetsen voor taal en rekening zou onbedoeld dit effect kunnen hebben.” Het Hof oordeelt hiermee dat de school ook gegevens over verstandelijke en emotionele ontwikkeling verwerkt mogen worden op basis van deze wettelijke bepaling. Hiermee is artikel 8 van de Wpo duidelijk, nauwkeurig en voorspelbaar. Hetzelfde oordeelde het Hof over het opstellen van een onderwijskundig rapport wat aan de nieuwe school verstrekt moet worden. In een bijbehorend besluit, het Besluit uitwisseling leer- en begeleidingsgegevens (‘het Besluit’), is nader vastgelegd wat er in dat rapport vastgelegd moet worden. Onderdeel van het rapport moet zijn gegevens over de sociaal-emotionele ontwikkeling en het gedrag van de leerling. Als laatste legt dit Besluit ook vast hoelang het onderwijskundig rapport bewaard mag blijven, namelijk vijf jaar. Daarmee vormt dit besluit ook een grondslag voor de verstrekking van persoonsgegevens van de leerling aan de nieuwe school.

Waarom is dit onderscheid belangrijk?

Om twee redenen is het belangrijk om te weten of een verwerking gebaseerd kan worden op een wettelijke verplichting of het gerechtvaardigd belang. Allereerst is het van belang bij de onderbouwing van je verwerkingsgrondslag. Als de verwerkingsgrondslag de wettelijke verplichting is, is het in principe voldoende om naar de toepasselijke wet te verwijzen. Als de verwerkingsgrondslag het gerechtvaardigd belang is, dan moet je dat belang ook benoemen en onderbouwen waarom dat belang prevaleert boven het belang van degene wiens persoonsgegevens verwerkt worden. Ten tweede is het onderscheid belangrijk voor de uitoefening van de rechten van de betrokkene. Als de persoonsgegevens op basis van het gerechtvaardigd belang verwerkt worden, kan de betrokkene een verzoek doen tot verwijdering van zijn persoonsgegevens op basis van de AVG. Als de verwerkingsgrondslag de wettelijke plicht is, dan heeft de betrokkene dat recht niet zonder meer, omdat de verwerkende organisatie die gegevens moet verwerken op grond van de wet. In dat geval rest voor de betrokkene alleen een beroep op onrechtmatige daad.

Conclusie

Een wettelijke verplichting kan als grondslag gebruikt worden wanneer de wettelijke bepaling duidelijk, nauwkeurig en voorspelbaar is. Dat is het geval als duidelijk is welke persoonsgegevens verwerkt mogen worden, onder welke voorwaarden en wat de termijn en voorwaarden voor verwijdering zijn. Mocht dat niet meteen duidelijk zijn uit de wettelijke bepaling zelf, dan mag er ook gekeken worden naar de doelstelling van de wet, de context en de wetgeschiedenis .