5.5.3 Individuele gevallen beperken

Artikel 23 AVG geeft de ruimte om onder strikte voorwaarden de rechten van betrokkenen categorisch te beperken. Deze mogelijkheden bespreek ik uitgebreid in §5.6. In de Nederlandse uitvoeringswet AVG (UAVG) is een artikel opgenomen dat het, onder dezelfde voorwaarden als die vermeld in artikel 23 AVG, op dit moment mogelijk maakt voor een verwerkingsverantwoordelijke om in individuele gevallen de rechten van betrokkenen buiten toepassing te laten, namelijk artikel 41 UAVG.

Het doel van artikel 41 UAVG is om ruimte te laten voor de praktijk om zelf een belangenafweging uit te voeren om te kijken of het noodzakelijk en evenredig is om van de rechten van betrokkenen af te wijken met het oog op bepaalde, in het artikel genoemde, algemene belangen.1Artikel 41 UAVG is nadrukkelijk een “vangnetbepaling”, bedoeld voor situaties waarbij er in de praktijk een – vooraf onvoorzienbare – noodzaak tot inperking van de reikwijdte van de rechten van betrokkenen bestaat.2

Voor al deze gevallen geldt een zogeheten ‘strikt noodzakelijkheidscriterium’.3 Dit impliceert volgens de Raad van State dat artikel 41 UAVG “alleen een mogelijkheid biedt om in individuele zaken van de in de AVG geregelde rechten en beginselen af te wijken”.4 De minister verduidelijkt in de toelichting op de consultatieversie van de Verzamelwet gegevensbescherming dat artikel 41 UAVG “alleen inroepbaar [is] in uitzonderlijke individuele situaties waarin aan de ene kant de wetgever (nog) niet heeft voorzien in een oplossing (door op grond van artikel 23 van de AVG op formeel wettelijk niveau te regelen dat in dat specifiek geval bepaalde rechten van betrokkenen kunnen worden beperkt) terwijl er aan de andere kant dermate grote in het artikel opgesomde belangen op het spel staan voor de verwerkingsverantwoordelijke dat dit het (deels) beperken van voornoemde rechten rechtvaardigt”.5

Het wetsartikel biedt geen grondslag voor structurele categorische beperkingen van de rechten van betrokkenen maar fungeert louter als vangnet in individuele gevallen waarin dat incidenteel noodzakelijk is, zo blijkt uit de Memorie van Toelichting.6 De curator dient dan ook voor een geslaagd beroep op artikel 41 UAVG ieder verzoek op zijn individuele merites te beoordelen. In sectorspecifieke regelingen kunnen specifieke voorschriften worden opgenomen waarin rechten van betrokkenen meer structureel kunnen worden beperkt.7

Ook artikel 41 UAVG wordt gewijzigd in de consultatieversie van de Verzamelwet gegevensbescherming. Zo bevat het wetsvoorstel een voorstel om de formulering van dit artikel beter aan te laten sluiten op artikel 23 AVG.8 Bovendien zijn er meer inhoudelijke wijzigingen: er worden drie leden toegevoegd aan het artikel. Deze beogen te regelen dat een verwerkingsverantwoordelijke alleen gebruik kan maken van artikel 41 UAVG als er niet al bij of krachtens de wet op grond van artikel 23 AVG is voorzien in een beperking van de verplichtingen of rechten in het desbetreffende geval; een verwerkingsverantwoordelijke die gebruikmaakt van artikel 41 UAVG dit schriftelijk en voorzien van een dragende onderbouwing moet meedelen aan de betrokkene wiens rechten worden beperkt, onder gelijktijdige toezending van een afschrift van de mededeling en de onderbouwing aan de AP; en de AP deze afschriften periodiek ter beschikking moet stellen aan de minister.9

De AP is kritisch over het bestaan van artikel 41 UAVG, hoewel de voorgestelde aanpassingen worden verwelkomd.10 Als groter en algemener punt twijfelt de AP – ondanks de voorgestelde wijzigingen – aan de juridische verbindendheid van artikel 41 UAVG.11 De AP stelt dan ook voor om artikel 41 UAVG te schrappen.12 De AP is van mening dat artikel 41 UAVG niet voldoet aan de vereisten uit artikel 23 AVG, het algemene artikel over de beperking van de reikwijdte van de rechten van betrokkenen dat ik bespreek in §5.6. Samengevat komt de kritiek van de AP erop neer dat artikel 23 AVG eisen stelt aan de wetgeving die beperkingen mogelijk maakt, terwijl artikel 41 UAVG nu juist al die aspecten overlaat aan de verwerkingsverantwoordelijke. Bovendien volgt – volgens de AP – uit de jurisprudentie van het Hof van Justitie13 en de Guidelines 10/2020 on restrictions under article 23 GDPR van de EDPB14 “zonneklaar dat op Europees niveau de opvatting is dat specificering in wetgeving aangewezen is”.15 Ook de Raad van State adviseert om, naar aanleiding van het advies van de AP, nader te onderzoeken of en hoe artikel 41 UAVG gewijzigd kan worden.16

De discussie spitst zich er dus op toe of artikel 41 UAVG voldoet aan de AVG. Ik vraag mij inderdaad af of artikel 41 UAVG een bepaling is zoals de Europese wetgever voor ogen had bij de invoering van artikel 23 AVG.17 In de hierboven genoemde guidelines staat dat beperkingen van de rechten van betrokkenen door de nationale wetgever moeten voldoen aan artikel 52 lid 1 van het EU-Handvest en dat een evenredigheidsbeoordeling moet worden uitgevoerd, zodat beperkingen beperkt blijven tot wat strikt noodzakelijk is.18 De EDPB richt zich in de guidelines echter nadrukkelijk niet op de nationale beperkingen. Dit maakt het lastig om nationale beperkingen te toetsen aan de guideline.19

Het is onduidelijk of artikel 41 UAVG past binnen de mogelijkheden die artikel 23 AVG geeft. Ik kan mij vinden in het standpunt van de wetgever dat de bepaling voor uitzonderlijke gevallen wel van belang kan zijn: niet altijd is voorzienbaar in welke specifieke gevallen een noodzaak tot inperking van de reikwijdte van bepaalde rechten van betrokkenen bestaat.20 Bovendien is de inperking nu al aan strenge voorwaarden gebonden en wil de wetgever de inzet dus nog strikter maken door de voorgestelde wijzigingen. De wetgever beoogt de kritiek van de AP te ondervangen door de hierboven genoemde bepalingen toe te voegen aan artikel 41 UAVG. Het vangnetkarakter wordt onderstreept omdat de bepaling, als de consultatieversie wordt aangenomen, alleen nog kan worden ingezet zolang er geen sectorale wetgeving op het relevante terrein is en door de verplichting voor de AP om te monitoren of de vangnetbepaling niet alsnog op structurele basis wordt ingezet. Al met al denk ik dat artikel 41 UAVG in beginsel wel verbindend is, maar dat terughoudend moet worden omgegaan met het toepassen van deze bepaling.

Een specifiek verzoek van een betrokkene kan alleen worden beperkt ter bescherming van één van de belangen die vermeld staan in artikel 41 UAVG. Deze lijst is limitatief: veronderstelde bekendheid met verzochte gegevens behoort bijvoorbeeld niet tot een van de redenen voor beperking.21 Deze uitzonderingen op de rechten van betrokkenen moet daarnaast restrictief worden uitgelegd.22

Tijdens de afwikkeling van het faillissement is het voorstelbaar dat de curator in enkele gevallen een specifiek verzoek van een betrokkene kan afwijzen vanwege de in artikel 41 UAVG genoemde waarborging van het onderzoek naar strafbare feiten23 of de bescherming van de rechten en vrijheden van anderen.24 Een mooi voorbeeld levert een arrest van het hof Arnhem-Leeuwarden.25 In deze zaak had de betrokkene de curator schriftelijk om inzage verzocht. De curator had dat verzoek afgewezen met als onderbouwing dat een goed beheer van de boedel vertrouwelijkheid vereist, bijvoorbeeld bij het onderzoek naar paulianeus handelen, fraude en bestuurdersaansprakelijkheid.26 Het hof oordeelde dat “de aard van de aan de curator opgedragen taak”, namelijk de behartiging van de belangen van de gezamenlijke schuldeisers, in sommige gevallen inderdaad vertrouwelijkheid vereist. Het belang van derden die de curator vertrouwelijke informatie hebben gegeven omtrent het vermogen van de gefailleerde, kan dan ook aan inzage van de desbetreffende stukken door de betrokkene in de weg staan”.27 Dit betekent niet dat een geheel verzoek terzijde kan worden geschoven, maar wel dat bepaalde stukken kunnen worden achtergehouden.

In zo’n situatie is het voorstelbaar dat de curator een verzoek tot inzage in bepaalde gegevens gedeeltelijk terzijde legt met een verwijzing naar het belang van het oorzakenonderzoek of de bescherming van de rechten van een derde die bepaalde informatie heeft overlegd aan de curator. De curator moet dan een afweging maken tussen de belangen van waarborging van het onderzoek of de bescherming van de rechten en vrijheden van anderen en de belangen van de betrokkene.28

Onder de rechten en vrijheden van anderen, kunnen ook die van de verwerkingsverantwoordelijke zelf vallen. Dit betekent echter niet dat de verwerkingsverantwoordelijke curator uitsluitend op grond van zijn eigen belang om administratieve lasten te beperken, een verzoek mag afwijzen. Hij moet aannemelijk maken dat “door inwilliging van een dergelijk verzoek de administratieve lasten zodanig disproportioneel zijn dat hij in een van zijn rechten en vrijheden wordt aangetast of dreigt te worden aangetast”.29 Er kan niet licht worden geoordeeld dat de rechten van de curator onaanvaardbaar worden geschonden. Zo blijkt uit een van de Dexia-zaken dat een verzoek van een betrokkene niet beperkt mag worden als die betrokkene de eenmaal verkregen gegevens vervolgens gaat gebruiken voor een ander doel (bijvoorbeeld een civiele procedure tegen de verwerkingsverantwoordelijke). Ook de overweging dat de verwerkingsverantwoordelijke processuele schade zal lijden door de overdracht van de gegevens, doet daar niet aan af.30

De curator mag alleen overgaan tot het beperken van rechten van betrokkenen als dit strikt noodzakelijk en proportioneel is. In een geval als dat van het hof Arnhem-Leeuwarden is het bijvoorbeeld goed voorstelbaar dat de curator alleen bepaalde informatie niet hoeft te verschaffen, maar wel inzage moet verschaffen in de overige gegevens van de betrokkene voor zover die inzage niet strijdig is met de gewaarborgde belangen.

De curator zal artikel 41 UAVG op dit moment vermoedelijk niet eenvoudig kunnen inroepen. Mochten de op dit moment alleen nog ter internetconsultatie voorgestelde wijzigingen uit de Verzamelwet gegevensbescherming inderdaad worden aangenomen, dan zal dit mogelijk nog lastiger worden. De curator moet op dat moment zijn inzet van artikel 41 UAVG voorzien van een schriftelijke dragende onderbouwing en die ook naar de AP sturen. Dit maakt het volgens de minister mogelijk dat “de betrokkene wiens rechten worden beperkt (bijvoorbeeld een afwijzing van zijn inzage verzoek) de door de verwerkingsverantwoordelijke gemaakte afweging op waarde kan schatten en zodoende kan beoordelen of hij het beperken van zijn rechten eventueel zou willen en kunnen aanvechten” en ook dat de AP of de rechter beter in staat zijn een oordeel te vellen over de gemaakte afweging.31 De curator moet er, met andere woorden, goed over na denken of hij werkelijk de rechten van een betrokkene wil beperken en daar alleen in het uiterste geval daadwerkelijk toe over gaan.

Toch kan het artikel – ook na mogelijke wijziging – in bepaalde gevallen bijdragen aan een doelmatige afwikkeling van de rechten van betrokkenen. Dit wetsartikel geeft de curator met name ruimte om in bepaalde gevallen zijn onderzoek uit te kunnen voeren zonder dat hij door verzoeken van betrokkenen onredelijk geschaad wordt in zijn mogelijkheden om dat onderzoek te doen. Tegelijkertijd is het moeilijk voorstelbaar dat dit artikel een grote tijdsbesparing voor de curator oplevert. Hij moet aangeven waarom hij niet aan een verzoek voldoet en daarnaast zal het proportionaliteitsvereiste meebrengen dat over het algemeen slechts een deel van de persoonsgegevens niet overgelegd hoeft te worden. Bovendien kan de Verzamelwet gegevensbescherming ertoe leiden dat de curator ook nog schriftelijk moet onderbouwen waarom hij een verzoek (gedeeltelijk) terzijde schuift.