VIII.11.5.3 Verwerking van de persoons- en adresgegevens door de cessionaris/pandhouder

850. Gegevensverwerking door de cessionaris/pandhouder. Ook van de cessionaris/pandhouder kan worden gezegd dat hij persoonsgegevens verwerkt in de zin van art. 1 (b) WBP. Het verkrijgen en bewaren van de persoons- en de adresgegevens van natuurlijke personen is aan te merken als een gegevensverwerking die onder voorwaarden1 onder de werking van de WBP valt. Ook de cessionaris/pandhouder dient derhalve te handelen overeenkomstig de bepalingen van de WBP. Dit betekent dat de cessionaris/pandhouder welbepaald en uitdrukkelijk dient te omschrijven voor welke gerechtvaardigde doeleinden hij de persoonsgegevens verzamelt (art. 7 WBP). Voorts moet de gegevensverwerking, voordat met de verwerking wordt aangevangen, worden gemeld bij het College Bescherming Persoonsgegevens (art. 27, 28 WBP). Voor de gegevensverwerking dient verder een rechtmatige grondslag aanwezig te zijn en bovendien geldt dat de persoonsgegevens niet verder mogen worden verwerkt op een wijze die onverenigbaar is met de doeleinden waarvoor ze zijn verkregen (art. 8, 9 WBP). Voor zover de rechtmatige grondslag niet is gelegen in een ondubbelzinnige toestemming van de schuldenaren,2 kan zij in de regel worden gevonden in het gerechtvaardigde belang dat de cessionaris/pandhouder bij de gegevensverwerking heeft. Indien de cessionaris/pandhouder een financier is, dan zal de gegevensverwerking meestal noodzakelijk zijn voor de reguliere bedrijfsactiviteiten.3

Bezwaarlijk voor de praktijk is de regeling van art. 34 WBP. Op grond van deze bepaling dient de cessionaris/pandhouder de schuldenaar, op het moment van de vastlegging van de hem betreffende gegevens, zijn identiteit en de doeleinden van de gegevensverwerking mede te delen, tenzij de schuldenaar daarvan reeds op de hoogte is (art. 34 leden 1 en 2 WBP).4 Dit geldt niet indien mededeling van de informatie aan de schuldenaar onmogelijk blijkt of een onevenredige inspanning kost. In dat geval moet de cessionaris/pandhouder de herkomst van de persoonsgegevens vastleggen (art. 34 lid 4 WBP). Het zal duidelijk zijn dat in geval van een stille cessie of verpanding de informatieplicht van art. 34 WBP uiterst bezwaarlijk is. Het is immers niet de bedoeling dat de cessie of verpanding naar buiten toe kenbaar wordt.

851. Het standpunt van het College Bescherming Persoonsgegevens. Het College Bescherming Persoonsgegevens heeft in het verleden met betrekking tot een stil pandrecht het volgende standpunt ingenomen.5 Volgens het College zou de pandhouder voor het moment waarop hij bevoegd is mededeling van het pandrecht te doen als een “bewerker” van persoonsgegevens moeten worden aangemerkt. Een “bewerker” is degene die ten behoeve van de “verantwoordelijke”6 persoonsgegevens verwerkt, zonder aan zijn rechtstreeks gezag te zijn onderworpen.7 De hiervoor genoemde verplichtingen rusten op de verantwoordelijke en niet op de bewerker.8 De gedachte lijkt te zijn dat, zolang de pandgever aan zijn verplichtingen voldoet, de stil pandhouder op grond van zijn rechtsverhouding met de pandgever geen macht of invloed over de persoonsgegevens mag uitoefenen. Dit zou veranderen op het moment dat de pandhouder zijn pandrecht kan mededelen. Dan kan de pandhouder zelfstandig actie ondernemen en zou hij doel en middelen van de gegevensverwerking bepalen, zodat hij als een “verantwoordelijke” kan worden aangemerkt. Tot dat moment hoeft de stil pandhouder niet aan de WBP te voldoen en is hij dus niet gebonden aan de informatieverplichting van art. 34 WBP.

Naar mijn mening is de stellingname van het College niet juist. De stil pandhouder en ook de stil cessionaris zijn al voor het moment waarop zij bevoegd zijn om mededeling van hun recht te doen, aan te merken als “verantwoordelijke” in de zin van art. 1 (d) WBP. De pandhouder/ cessionaris verzamelt en bewaart de persoonsgegevens immers niet ten behoeve van de pandgever/cedent, maar in zijn eigen belang. De pandhouder/ cessionaris stelt zelf het doel en de middelen voor de verwerking van de persoonsgegevens vast. Het feit dat de pandhouder of cessionaris voor het plaatsvinden van een ‘notification event’ in zijn verhouding tot de pandgever/cedent niet bevoegd is om mededeling te doen, maakt dit niet anders. Het is niet zo dat de pandhouder/cessionaris in opdracht van de pandgever/cedent (de verantwoordelijke) de persoonsgegevens verwerkt (vgl. art. 12 lid 1 WBP).9

852. Andere standpunten en oplossingen. Verdedigbaar is dat, gelet op de daaraan verbonden bezwaren, de mededeling een “onevenredige inspanning” van de cessionaris/pandhouder vergt, zeker in geval van bulkcessies/verpandingen (vgl. art. 34 lid 4 WBP). In het geval de schuldenaar in zijn overeenkomst met de cedent/pandgever uitdrukkelijk toestemming heeft verleend voor de gegevensverstrekking aan cessionarissen en/of pandhouders, zou bovendien kunnen worden betoogd dat de schuldenaar al van de hoedanigheid van de “verantwoordelijke” en de doeleinden van de gegevensverwerking op de hoogte is, zodat er op de cessionaris/pandhouder geen mededelingsplicht rust (zie art. 34 lid 1, slot WBP).

Het is echter maar de vraag of deze interpretaties van art. 34 WBP in rechte standhouden. Wat betreft het laatste betoog kan worden opgemerkt dat de wetgever en ook de tekst van de wet ervan uitgaan dat de identiteit van de cessionaris/pandhouder bij de schuldenaar bekend moet zijn. Dat is niet het geval, indien de schuldenaar enkel in het algemeen zijn toestemming voor de verstrekking van zijn persoonsgegevens aan cessionarissen of pandhouders geeft. In dat geval wordt alleen de hoedanigheid van cessionaris en/of pandhouder genoemd en niet diens identiteit. Gewezen kan worden op de ratio van de informatieverplichting van art. 34 WBP. Deze is dat “de verwerkingen van de verantwoordelijke voor de betrokkene aanspreekbaar zijn in rechte”. De betrokkene (schuldenaar) zou in staat moeten zijn “te volgen hoe gegevens over hem worden verwerkt en bepaalde vormen van verwerking of onrechtmatig gedrag van de verantwoordelijke in rechte aan te vechten”.10 Dit lijkt te veronderstellen dat de identiteit van de cessionaris/pandhouder bij de schuldenaar bekend moet zijn.

Een omslachtige oplossing voor het hier genoemde probleem zou kunnen worden gevonden in de hiervoor besproken anonimisering van de persoonsgegevens.11 Deze zorgt ervoor dat er vooralsnog geen sprake is van een verwerking van persoonsgegevens in de zin van de wet. Daarvan is pas sprake als de persoonsgegevens de cessionaris/pandhouder na het plaatsvinden van een ‘notification event’ door de onafhankelijke derde (notaris) ter hand worden gesteld. Dat is het moment waarop de cessie/ verpanding aan de schuldenaren dient te worden medegedeeld, zodat het niet meer bezwaarlijk is de identiteit van de cessionaris/pandhouder aan de schuldenaar bekend te maken. Bovendien dient de cessionaris/pandhouder zich op dat moment bij het College te melden als verantwoordelijke (art. 27, 28 WBP). Zoals vermeld, wordt in Nederlandse securitisations van hypotheekvorderingen gewerkt met een anonimisering van de persoonsgegevens van de schuldenaren.