De Hoge Raad heeft in
zijn beschikking van 9 september 2011 benadrukt dat bij iedere verwerking van persoonsgegevens voldaan moet zijn aan de beginselen van proportionaliteit en subsidiariteit. De verantwoordelijke moet, op basis van de bij hem bekende gegevens, steeds een belangenafweging maken tussen het eigen belang en dat van de betrokkene.
Betalingsachterstand van 20 euro leidt tot BKR-registratie
De kwestie gaat over een man die een schuld had uitstaan bij Comfort Card (Santander). Op een gegeven moment lukt het Santander niet om het (periodieke) bedrag van € 20,= te incasseren. Daarop heeft Santander de man aangeschreven dat het resterende bedrag van € 315,18 opeisbaar zou worden. Ook is de man toen per brief medegedeeld dat bij drie termijnen betalingsachterstand er een registratie bij het Bureau Kredietregistratie (BKR) te Tiel zou volgen. In latere brieven is de man nog enkele keren gesommeerd om het bedrag te betalen. Deze brieven hebben de man vanwege een verhuizing nooit bereikt. Aangezien betaling uitbleef heeft Santander de man vervolgens geregistreerd bij het BKR te Tiel.
Dankzij BKR-registratie geen hypotheek
Santander heeft vervolgens de vordering overgedragen aan een incassobureau en later een deurwaarder. De deurwaarder weet de man, ruim een jaar na de eerste brieven, na zijn verhuizing op zijn nieuwe adres te vinden. Daarop voldoet de man zijn schuld aan Santander. De registratie bij het BKR blijft echter bestaan. Als gevolg hiervan lukt het dan man niet een hypothecaire lening bij een bank te krijgen.
Verzet aangetekend op grond van Wet bescherming persoonsgegevens
De man maakt daarop gebruik van de rechten die de Wet bescherming persoonsgegevens (WBP) hem toekent. Allereerst vraagt hij op grond van artikel 35 WBP een overzicht op van de persoonsgegevens die Santander van hem verwerkt. Vervolgens heeft hij verzet aangetekend tegen de verwerking van zijn gegevens en verzocht de registratie betreffende bijzonderheden in het BKR-register binnen vier weken ongedaan te maken. Overigens maakt de uitspraak niet duidelijk of daarbij een beroep is gedaan op artikel 36 WBP of op artikel 40 WBP. Dat maakt voor de uitspraak overigens materieel verder niets uit.
Santander weigert verzet
Santander weigert de registratie bij het BKR-ongedaan te maken. Santander heeft aan de man uitgelegd dat zij niets meer heeft gedaan dan een betalingsachterstand op een krediet en de maximale hoogte van dat krediet te melden bij het BKR. Volgens Santander rechtvaardigt dit de melding bij het BKR.
Man start procedure bij de rechtbank en wint; Santander verliest hoger beroep en cassatie
Daarop start de man een procedure bij de rechtbank. Hij verzoekt de rechtbank Santander te bevelen de gegevens alsnog uit het BKR-register te (doen) verwijderen. De rechtbank heeft dit verzoek toegewezen.
Daarop gaat Santander in hoger beroep. Dat hoger beroep wordt echter door Santander verloren. Het Gerechtshof bekrachtigt, onder uitvoerige motivering, de beschikking van de rechtbank.
Santander daarop gaat in cassatie bij de Hoge Raad. Ook het beroep in cassatie wordt echter door Santander verloren.
Hoge Raad: proportionaliteit en subsidiariteit bij iedere gegevensverwerking
De Hoge Raad geeft in zijn beschikking enkele algemene uitgangspunten aan met betrekking tot de verwerking van persoonsgegevens. Zo benadrukt de Hoge Raad allereerst dat de Wet bescherming persoonsgegevens moet worden gezien tegen de achtergronden van het grondrecht van artikel 8 EVRM.
Vervolgens wordt benadrukt dat iedere verwerking van persoonsgegevens (dus) zal moeten voldoen aan beginselen van proportionaliteit en subsidiairiteit.
Belangenafweging bij iedere gegevensverwerking
Ook benadrukt de Hoge Raad dat voor verwerking van persoonsgegevens altijd een grondslag in de zin van artikel 8 WBP aanwezig moet zijn. Daarbij wijst de Hoge Raad er uitdrukkelijk op dat in alle in artikel 8 WBP genoemde mogelijke grondslagen de eis van "noodzakelijkheid" is opgenomen. Dat wil zeggen dat niet alleen getoetst moet worden of de in artikel 8 WBP genoemde redenen van verwerking van persoonsgegevens zich voordoen (uitvoering overeenkomst, toestemming, etc.), maar ook of de voorgenomen verwerking in concreto wel noodzakelijk is.
Belangenafweging alleen op basis van bij verantwoordelijke bekende gegevens
In de procedure had Santander erop gewezen dat het feitelijk onmogelijk is om bij alle klanten na te gaan om welke redenen zij niet betalen en dat zij om die reden vrij moet zijn om de BKR-registraties door te voeren. Het Gerechtshof oordeelde dat Santander, na afweging van alle omstandigheden van dit geval (waaronder jarenlang trouw betalen, kleine openstaande schuld, grote gevolgen), echter niet had mogen overgaan tot een BKR-registratie. Ook oordeelde het Gerechtshof dat Santander na het ontvangen van het verzet van de man, de kwestie had moeten heroverwegen en de gegevens toen in ieder geval had moeten verwijderen.
De Hoge Raad komt met een soortgelijk oordeel:
Ook bij toestemming noodzakelijkheidstoets; plicht tot heroverweging
Zelfs wanneer er toestemming van de betrokkene is verkregen, blijft op de verantwoordelijke een eigen plicht rusten om af te wegen of de betreffende verwerking van persoonsgegevens in concreto noodzakelijk is.
Wettelijke verplichting rechtvaardigt niet iedere gegevensverwerking
Santander had verder nog betoogd dat zij wettelijk verplicht is zich aan te sluiten bij het BKR en dat het BKR haar verplicht om alle openstaande schulden te melden. Santander stelt dus niets meer of minder gedaan te hebben dan waartoe de wet haar verplicht. Dit verweer vindt echter geen weerklank bij de Hoge Raad. De Hoge Raad wijst er, kort maar krachtig, op dat een wettelijke verplichting niet iedere gegevensverwerking rechtvaardigt:
Dit is in lijn met de eerdere overwegingen van de Hoge Raad dat ook altijd voldaan moet worden aan het noodzakelijkheidscriterium. Ook bij de grondslag "wettelijke verplichting" (artikel 8 sub c WBP) moet dus worden getoetst of de verwerking van persoonsgegevens in concreto noodzakelijk is.
Opmerkingen
De Hoge Raad plaatst de verwerking van persoonsgegevens in deze beschkking uitdrukkelijk in het kader van artikel 8 EVRM. Dat is op zichzelf niet zo verrassend, want ook het Europese Hof van Justitie toetst verwerkingen van persoonsgegevens in het arrest Schecke & Eifert v. Hessen aan dit grondrecht. Toch leidt dit er wel toe dat de plicht tot zorgvuldige gegevensverwerking uit de WBP (informationele privacy), in de concrete uitwerking wat meer grondrechtelijke trekken krijgt (relationele privacy). Het onderscheid tussen beide privacy-begrippen vervaagt aldus.
Toestemming volstaat niet altijd
Het oordeel dat toestemming als grondslag de verantwoordelijke niet van de eigen plicht tot het uitvoeren van een noodzakelijkheidstoets ontslaan, betekent overigens dat er weinig (tot geen!) situaties denkbaar zijn waarbij verwerkingen van persoonsgegevens met verstrekkende consequenties voor de persoonlijke levenssfeer toegestaan zijn. Bij dergelijke verstrekkende consequenties zal er immers geen gerechtvaardigd belang (artikel 8 sub f WBP) zijn, maar zal ook op de grondslag toestemming waarschijnlijk dus geen beroep kunnen worden gedaan.
Ook in de [intlink id="7782" type="post"]recente opinie over 'toestemming' van de artikel 29 werkgroep[/intlink] staat dat systemen van persoonsgegevensverwerkingen met verstrekkende consequenties in feite niet zijn toegestaan. Dat roept wel de vraag op, gezien de toenemende mate van complexiteit van ICT-systemen, waar de grens ligt.
Wettelijke verplichting volstaat niet altijd
Het oordeel dat een wettelijke plicht op zichzelf niet iedere gegevensverwerking rechtvaardigt leidt er de facto wel toe dat de Wet bescherming persoonsgegevens onder omstandigheden een hogere rangorde kan hebben dan andere wettelijke verplichtingen. Santander mocht immers volgens het Hof, ondanks de wettelijke verplichting tot registratie, in dit concrete geval de gegevens toch niet bij het BKR registreren.
Hier lijken de informationele privacy (WBP) en de relationele privacy (EVRM) wat door elkaar te lopen. Overigens is dat wel een logische consequentie van het oordeel van de Hoge Raad dat de verwerking van persoonsgegevens tegen de achtergrond van artikel 8 EVRM moet worden gezien. Dat vervolgens het belang van de persoonlijke levenssfeer in de belangenafweging zwaarder weegt dan de wettelijke verplichting is niet zo verrassend. Grondrechten hebben immers in beginsel een hogere rangorde dan nationale wetgeving. Ik zou alleen in de motivering een uitdrukkelijk verwijzing naar het grondrecht van artikel 8 EVRM hebben verwacht (in plaats van alleen te wijzen op de tekst van de WBP zelf).
Betalingsachterstand van 20 euro leidt tot BKR-registratie
De kwestie gaat over een man die een schuld had uitstaan bij Comfort Card (Santander). Op een gegeven moment lukt het Santander niet om het (periodieke) bedrag van € 20,= te incasseren. Daarop heeft Santander de man aangeschreven dat het resterende bedrag van € 315,18 opeisbaar zou worden. Ook is de man toen per brief medegedeeld dat bij drie termijnen betalingsachterstand er een registratie bij het Bureau Kredietregistratie (BKR) te Tiel zou volgen. In latere brieven is de man nog enkele keren gesommeerd om het bedrag te betalen. Deze brieven hebben de man vanwege een verhuizing nooit bereikt. Aangezien betaling uitbleef heeft Santander de man vervolgens geregistreerd bij het BKR te Tiel.
Dankzij BKR-registratie geen hypotheek
Santander heeft vervolgens de vordering overgedragen aan een incassobureau en later een deurwaarder. De deurwaarder weet de man, ruim een jaar na de eerste brieven, na zijn verhuizing op zijn nieuwe adres te vinden. Daarop voldoet de man zijn schuld aan Santander. De registratie bij het BKR blijft echter bestaan. Als gevolg hiervan lukt het dan man niet een hypothecaire lening bij een bank te krijgen.
Verzet aangetekend op grond van Wet bescherming persoonsgegevens
De man maakt daarop gebruik van de rechten die de Wet bescherming persoonsgegevens (WBP) hem toekent. Allereerst vraagt hij op grond van artikel 35 WBP een overzicht op van de persoonsgegevens die Santander van hem verwerkt. Vervolgens heeft hij verzet aangetekend tegen de verwerking van zijn gegevens en verzocht de registratie betreffende bijzonderheden in het BKR-register binnen vier weken ongedaan te maken. Overigens maakt de uitspraak niet duidelijk of daarbij een beroep is gedaan op artikel 36 WBP of op artikel 40 WBP. Dat maakt voor de uitspraak overigens materieel verder niets uit.
Santander weigert verzet
Santander weigert de registratie bij het BKR-ongedaan te maken. Santander heeft aan de man uitgelegd dat zij niets meer heeft gedaan dan een betalingsachterstand op een krediet en de maximale hoogte van dat krediet te melden bij het BKR. Volgens Santander rechtvaardigt dit de melding bij het BKR.
Man start procedure bij de rechtbank en wint; Santander verliest hoger beroep en cassatie
Daarop start de man een procedure bij de rechtbank. Hij verzoekt de rechtbank Santander te bevelen de gegevens alsnog uit het BKR-register te (doen) verwijderen. De rechtbank heeft dit verzoek toegewezen.
Daarop gaat Santander in hoger beroep. Dat hoger beroep wordt echter door Santander verloren. Het Gerechtshof bekrachtigt, onder uitvoerige motivering, de beschikking van de rechtbank.
Santander daarop gaat in cassatie bij de Hoge Raad. Ook het beroep in cassatie wordt echter door Santander verloren.
Hoge Raad: proportionaliteit en subsidiariteit bij iedere gegevensverwerking
De Hoge Raad geeft in zijn beschikking enkele algemene uitgangspunten aan met betrekking tot de verwerking van persoonsgegevens. Zo benadrukt de Hoge Raad allereerst dat de Wet bescherming persoonsgegevens moet worden gezien tegen de achtergronden van het grondrecht van artikel 8 EVRM.
3.3 (...) (a) De Wbp moet worden uitgelegd in overeenstemming met het bepaalde in art. 8 EVRM. (...)
Vervolgens wordt benadrukt dat iedere verwerking van persoonsgegevens (dus) zal moeten voldoen aan beginselen van proportionaliteit en subsidiairiteit.
moet zijn voldaan aan de beginselen van proportionaliteit en subsidiariteit. Dit een en ander brengt met zich dat de inbreuk op de belangen van betrokkene niet onevenredig mag zijn in verhouding tot het met de verwerking te dienen doel, en dat dit doel in redelijkheid niet op een andere, voor de betrokkene minder nadelige, wijze kan worden verwerkelijkt.
Belangenafweging bij iedere gegevensverwerking
Ook benadrukt de Hoge Raad dat voor verwerking van persoonsgegevens altijd een grondslag in de zin van artikel 8 WBP aanwezig moet zijn. Daarbij wijst de Hoge Raad er uitdrukkelijk op dat in alle in artikel 8 WBP genoemde mogelijke grondslagen de eis van "noodzakelijkheid" is opgenomen. Dat wil zeggen dat niet alleen getoetst moet worden of de in artikel 8 WBP genoemde redenen van verwerking van persoonsgegevens zich voordoen (uitvoering overeenkomst, toestemming, etc.), maar ook of de voorgenomen verwerking in concreto wel noodzakelijk is.
(c) Ook als de gegevensverwerking in beginsel is toegestaan op een van de in art. 8 Wbp limitatief opgesomde gronden, blijft de eis gelden dat de verwerking in het concrete geval noodzakelijk moet zijn met het oog op het omschreven doel van de verwerking. De aanwezigheid van een wettelijke rechtvaardigingsgrond maakt derhalve een belangenafweging aan de hand van de hiervoor onder (a) vermelde beginselen niet overbodig. Bij deze afweging moeten de omstandigheden van het geval in aanmerking worden genomen.
Belangenafweging alleen op basis van bij verantwoordelijke bekende gegevens
In de procedure had Santander erop gewezen dat het feitelijk onmogelijk is om bij alle klanten na te gaan om welke redenen zij niet betalen en dat zij om die reden vrij moet zijn om de BKR-registraties door te voeren. Het Gerechtshof oordeelde dat Santander, na afweging van alle omstandigheden van dit geval (waaronder jarenlang trouw betalen, kleine openstaande schuld, grote gevolgen), echter niet had mogen overgaan tot een BKR-registratie. Ook oordeelde het Gerechtshof dat Santander na het ontvangen van het verzet van de man, de kwestie had moeten heroverwegen en de gegevens toen in ieder geval had moeten verwijderen.
De Hoge Raad komt met een soortgelijk oordeel:
(d) In verband met de praktische hanteerbaarheid van de Wbp is van belang dat van de verwerker slechts een belangenafweging verlangd mag worden aan de hand van de beschikbare gegevens. Als de betrokkene nadere gegevens verschaft, kan dit tot een nieuwe en meer volledige afweging aanleiding geven.
Ook bij toestemming noodzakelijkheidstoets; plicht tot heroverweging
Zelfs wanneer er toestemming van de betrokkene is verkregen, blijft op de verantwoordelijke een eigen plicht rusten om af te wegen of de betreffende verwerking van persoonsgegevens in concreto noodzakelijk is.
(e) De door de betrokkene verleende toestemming als bedoeld in art. 8, aanhef en onder a, zal in het algemeen meebrengen dat gegevensverwerking mag plaatsvinden, doch deze ontslaat de verwerker niet zonder meer van de verplichting tot belangenafweging. Als de betrokkene erop wijst, zoals hier het geval is, dat bij een bepaalde verwerking van gegevens met zijn belangen onvoldoende rekening is gehouden, zal de verwerker de afweging alsnog moeten maken op basis van de dan bekende feiten en omstandigheden.
Wettelijke verplichting rechtvaardigt niet iedere gegevensverwerking
Santander had verder nog betoogd dat zij wettelijk verplicht is zich aan te sluiten bij het BKR en dat het BKR haar verplicht om alle openstaande schulden te melden. Santander stelt dus niets meer of minder gedaan te hebben dan waartoe de wet haar verplicht. Dit verweer vindt echter geen weerklank bij de Hoge Raad. De Hoge Raad wijst er, kort maar krachtig, op dat een wettelijke verplichting niet iedere gegevensverwerking rechtvaardigt:
3.5.2 Het onderdeel kan niet tot cassatie leiden, omdat ingevolge de Wbp de taak om een wettelijke verplichting uit te voeren niet iedere gegevensverwerking rechtvaardigt. Het hof heeft zijn oordeel toereikend gemotiveerd.
Dit is in lijn met de eerdere overwegingen van de Hoge Raad dat ook altijd voldaan moet worden aan het noodzakelijkheidscriterium. Ook bij de grondslag "wettelijke verplichting" (artikel 8 sub c WBP) moet dus worden getoetst of de verwerking van persoonsgegevens in concreto noodzakelijk is.
Opmerkingen
De Hoge Raad plaatst de verwerking van persoonsgegevens in deze beschkking uitdrukkelijk in het kader van artikel 8 EVRM. Dat is op zichzelf niet zo verrassend, want ook het Europese Hof van Justitie toetst verwerkingen van persoonsgegevens in het arrest Schecke & Eifert v. Hessen aan dit grondrecht. Toch leidt dit er wel toe dat de plicht tot zorgvuldige gegevensverwerking uit de WBP (informationele privacy), in de concrete uitwerking wat meer grondrechtelijke trekken krijgt (relationele privacy). Het onderscheid tussen beide privacy-begrippen vervaagt aldus.
Toestemming volstaat niet altijd
Het oordeel dat toestemming als grondslag de verantwoordelijke niet van de eigen plicht tot het uitvoeren van een noodzakelijkheidstoets ontslaan, betekent overigens dat er weinig (tot geen!) situaties denkbaar zijn waarbij verwerkingen van persoonsgegevens met verstrekkende consequenties voor de persoonlijke levenssfeer toegestaan zijn. Bij dergelijke verstrekkende consequenties zal er immers geen gerechtvaardigd belang (artikel 8 sub f WBP) zijn, maar zal ook op de grondslag toestemming waarschijnlijk dus geen beroep kunnen worden gedaan.
Ook in de [intlink id="7782" type="post"]recente opinie over 'toestemming' van de artikel 29 werkgroep[/intlink] staat dat systemen van persoonsgegevensverwerkingen met verstrekkende consequenties in feite niet zijn toegestaan. Dat roept wel de vraag op, gezien de toenemende mate van complexiteit van ICT-systemen, waar de grens ligt.
Wettelijke verplichting volstaat niet altijd
Het oordeel dat een wettelijke plicht op zichzelf niet iedere gegevensverwerking rechtvaardigt leidt er de facto wel toe dat de Wet bescherming persoonsgegevens onder omstandigheden een hogere rangorde kan hebben dan andere wettelijke verplichtingen. Santander mocht immers volgens het Hof, ondanks de wettelijke verplichting tot registratie, in dit concrete geval de gegevens toch niet bij het BKR registreren.
Hier lijken de informationele privacy (WBP) en de relationele privacy (EVRM) wat door elkaar te lopen. Overigens is dat wel een logische consequentie van het oordeel van de Hoge Raad dat de verwerking van persoonsgegevens tegen de achtergrond van artikel 8 EVRM moet worden gezien. Dat vervolgens het belang van de persoonlijke levenssfeer in de belangenafweging zwaarder weegt dan de wettelijke verplichting is niet zo verrassend. Grondrechten hebben immers in beginsel een hogere rangorde dan nationale wetgeving. Ik zou alleen in de motivering een uitdrukkelijk verwijzing naar het grondrecht van artikel 8 EVRM hebben verwacht (in plaats van alleen te wijzen op de tekst van de WBP zelf).
Gerelateerd
Privacy
