Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming (AVG) van toepassing.1 Dat betekent dat in de hele Europese Unie (EU) dezelfde privacywetgeving geldt. De Wet bescherming persoonsgegevens (Wbp) geldt sindsdien niet meer. Privacy is nu meer dan ooit een hot topic. De huidige informatiemaatschappij biedt steeds meer mogelijkheden tot ongebreidelde vergaring, bewerking en verspreiding van persoonsgegevens, hetgeen op gespannen voet staan met de bescherming van de persoonlijke levenssfeer. Tegelijkertijd worden mensen zich steeds bewuster van hun privacy en hun rechten als het gaat om de verwerking van hun persoonsgegevens. Steeds vaker doen mensen een beroep op hun inzagerecht of het recht om vergeten te worden, en dat levert (soms) spraakmakende rechtspraak op.
Auteurs: Thomas van Essen, Lora Mourcous
In dit artikel behandelen we de meest opvallende uitspraken van het afgelopen jaar sinds de AVG. Uitspraken met betrekking tot het recht om vergeten te worden en zoekmachines worden in een andere bijdrage behandeld en zijn hier daarom buiten beschouwing gelaten.
De eerste uitspraak die wordt behandeld, betreft een zaak bij de rechtbank Rotterdam van 27 augustus 2018.3 In deze zaak ging het om een betrokkene die door ING bij de stichting Bureau Krediet Registratie (BKR) is gemeld in verband met een betalingsachterstand. Omdat de betrokkene de (herhaaldelijk gemaakte) betaalafspraken niet volledig is nagekomen, is naar aanleiding van een melding van ING een negatieve codering geplaatst in het Centraal Krediet Informatiesysteem van het BKR. De betrokkene heeft na verloop van tijd het door ING ingeschakelde incassobureau verzocht om de BKR-registratie te verwijderen. Dit verzoek is op 13 oktober 2017 afgewezen.
Dergelijke discussies over verwijdering van negatieve BKR-registraties zijn niet nieuw, zowel onder de AVG als de Wbp zijn meerdere soortgelijke rechtszaken gevoerd. Het interessante aan deze zaak is de vraag of de betrokkene de gerechtelijke procedure tijdig is gestart. Artikel 35 van de Uitvoeringswet AVG (UAVG)4 bepaalt namelijk dat een gerechtelijke procedure tot verwijdering van persoonsgegevens, zoals een BKR-registratie, binnen zes weken na afwijzing door de verwerkingsverantwoordelijke (in casu: ING) van het verwijderingsverzoek dient te worden geëntameerd, door indiening van een verzoekschrift bij de rechtbank.
ING heeft zich op het standpunt gesteld dat nu de betrokkene de dagvaarding bijna een jaar na afwijzing van het verwijderingsverzoek bij ING heeft betekend, de termijn van zes weken is overschreden. ING verwijst daarbij naar een uitspraak van de rechtbank Amsterdam uit 2015.5 In die zaak ging het eveneens om een verzoek tot verwijdering van een negatieve BKR-registratie. Het verschil is echter dat de zaak uit 2015 geen kort geding betrof, maar een verzoekschriftprocedure in de zin van artikel 46 Wbp (de voorganger van artikel 25 UAVG). Omdat het verzoekschrift niet binnen zes weken na afwijzing van het verwijderingsverzoek was ingediend, werd de verzoeker door de rechtbank Amsterdam niet-ontvankelijk verklaard.
Bij de rechtbank Rotterdam lag het echter anders. Het ging hier niet om een verzoekschrift dat was ingediend ingevolge artikel 35 UAVG, maar om een kortgedingdagvaarding, waarin veroordeling van ING wordt gevorderd tot verwijdering van de negatieve BKR-registratie, die volgens de betrokkene ten onrechte niet door ING is verwijderd. De zaak kon daarom alsnog door de rechter worden behandeld.
In een andere uitspraak, waarin het ook ging om verwijdering van negatieve BKR-registraties, deed zich hetzelfde voor.6 De betrokkene voerde aan dat hij op grond van artikel 79 lid 1 AVG het recht heeft een doeltreffende voorziening in rechte in te stellen tegen een – in zijn visie – onterechte BKR-registratie, van welk recht hij – op grond van artikel 21 lid 1 AVG – te allen tijde gebruik moet kunnen maken. De in artikel 35 UAVG opgenomen termijn van zes weken is daarmee in strijd met de AVG en betreft volgens de betrokkene een 'weeffout'. Deze termijn is onvoldoende om een civiele procedure ter bescherming van grondrechten voor te bereiden, zodat de in dat artikel voorgeschreven procedure niet als een doeltreffende voorziening in de zin van artikel 79 lid 1 AVG kan worden aangemerkt, aldus de betrokkene. Bovendien staat toepassing van die termijn eraan in de weg dat de betrokkene te allen tijde moet kunnen opkomen tegen een (vermeend) onterechte BKR-registratie.
Op de stelling dat sprake is van een weeffout gaat de rechter niet in. De rechter oordeelt wel dat de wetgever met artikel 35 UAVG een speciale procedure in het leven heeft geroepen en dat die rechtsgang niet kan worden omzeild door zich (enkel) te beroepen op de algemene regeling betreffende onrechtmatig handelen. De betrokkene werd daarom alsnog niet-ontvankelijk verklaard. De rechter gaat dus uit van een gesloten stelsel van rechtsmiddelen.
Deze uitspraak is echter niet verenigbaar met een eerdere uitspraak van het gerechtshof Den Haag: “Het is waar dat artikel 46 Wbp een speciale rechtsgang biedt voor de betrokkene die bezwaar heeft tegen de verwerking van zijn persoonsgegevens. Dat neemt echter niet weg dat een verwerking die strijdig is met de Wbp een onrechtmatig handelen tegenover de betrokkene oplevert en dat aan deze in elk geval ook de algemene bevoegdheid ten dienste staat zich tot de civiele rechter te wenden met een vordering tot schadevergoeding of tot het staken of ongedaan maken van het beweerde onrechtmatig handelen.”7
De Wbp kende onder artikel 46 een procedure die nagenoeg gelijk is aan die van artikel 35 UAVG. Evenals onder de Wbp staat de verzoekschriftprocedure van de UAVG open voor de betrokkene en voor andere belanghebbenden die via de rechtbank willen opkomen tegen een beslissing van de verwerkingsverantwoordelijke op een verzoek op grond van de artikelen 15 tot en met 22 AVG. Indien de verwerkingsverantwoordelijke binnen de termijn heeft gereageerd op het verzoek van de betrokkene, heeft de betrokkene vervolgens zes weken de tijd om, indien hij zich niet kan verenigen met de beslissing van de verwerkingsverantwoordelijke, een verzoekschrift in te dienen bij de civiele rechter (artikel 35 lid 2 UAVG en artikel 46 lid 2 Wbp). Aangezien de bepaling onder UAVG ongewijzigd is gebleven, lijkt de afwijkende uitspraak van de rechtbank Den Haag niet te wijten aan een verschil van interpretatie onder de UAVG.
In een zaak rondom een zogenaamd dwangakkoord als bedoeld in de Faillissementswet, heeft de rechtbank Noord-Nederland de vraag beantwoord of medische gegevens aan een schuldeiser mogen worden verstrekt.8 De betrokkenen in deze zaak hebben schulden bij een aantal schuldeisers. In verband met deze schuldenlast zijn de betrokkenen toegelaten tot de wettelijke schuldsanering (WSNP). Deze is echter vroegtijdig zonder schone lei beëindigd. Een minnelijke regeling, zo nodig afgedwongen door een dwangakkoord, is in deze situatie nog een mogelijkheid.
Kredietbank Nederland (KBNL) heeft in dat kader een voorstel aan de schuldeisers gedaan waarbij zij een bepaald percentage van het bedrag van hun vordering zullen ontvangen. KBNL heeft hierbij aangegeven dat er bij de betrokkenen sprake is van een medische problematiek waardoor er geen reële kansen zijn op betaald werk. Een van de schuldeisers, ABN AMRO, heeft aangegeven niet akkoord te gaan omdat volgens haar niet duidelijk is of het aanbod het maximaal haalbare is.
In de zaak gaat om het om de vraag of KBNL medische gegevens van de betrokkenen aan ABN AMRO mag verstrekken. Een schuldeiser mag naar het oordeel van de rechtbank rekenen op concrete informatie, te meer als die informatie dient ter onderbouwing van de stelling dat spaarcapaciteit geheel ontbreekt. Als de informatie een medisch karakter heeft, komt in beginsel het recht op privacy van een schuldenaar in het geding. Als een schuldenaar een akkoord wenst te treffen met zijn schuldeisers, dient een schuldenaar dan ook een persoonlijke afweging te maken of het belang bij een akkoord opweegt tegen zijn belang bij privacy. Veelal zal het niet noodzakelijk zijn dat een schuldenaar een volledig medisch dossier verstrekt. De enkele mededeling dat er medische beperkingen zijn die de arbeidscapaciteit bemoeilijken, acht de rechtbank niet voldoende om een schuldeiser ervan te overtuigen dat het akkoord aantrekkelijk is. In eerste instantie zou KBNL (met toestemming van de betrokkene) volgens de rechtbank kunnen volstaan met de vermelding wat de aard van de beperking is, dat de beperking een structureel karakter heeft, hetgeen blijkt uit medische rapportage(s).
De rechtbank oordeelt dat het een schuldeiser als ABN AMRO op zijn minst duidelijk moet zijn dat KBNL haar inschatting baseert op beschikbare informatie die KBNL heeft ingezien, waaraan een schuldenaar de restrictie heeft opgelegd dat KBNL die informatie op grond van de AVG niet mag verspreiden aan een derde partij. Daarbij dient ook de hoogte van de vordering in aanmerking te worden genomen, waarbij beschouwd moet worden of het belang van een schuldeiser opweegt tegen het belang op privacy. De rechtbank benadrukt dat het een schuldenaar vrij staat zich op grond van de AVG en/of de UAVG te beroepen op zijn recht op privacy. Daar staat tegenover dat het ontbreken van medische gegevens gevolgen kan hebben voor de beoordeling van de deugdelijkheid van het akkoord in het kader van de te maken belangenafweging (wel of geen akkoord).
Hoewel de betrokkene op basis van het bovenstaande dus zelf mag beslissen of zijn medische gegevens verstrekt worden, kan het niet verlenen van die toestemming ertoe leiden dat het akkoord wordt geweigerd. De vraag kan worden gesteld of de toestemming op grond van artikel 4(11) AVG dan nog wel vrijelijk kan worden gegeven. Toestemming wordt immers geacht niet vrijelijk te zijn verleend indien de betrokkene geen echte of vrije keuze heeft of zijn toestemming niet kan weigeren of intrekken zonder nadelige gevolgen (overweging 42 AVG).
Dit artikel is ook te vinden in het dossier AVG en Privacy in het Sociaal Domein
