3.3.2 Noodzakelijkheid

Daarnaast is vereist dat iedere verwerking van persoonsgegevens noodzakelijk is voor de uitoefening van de taak.1 Dit hangt samen met het beginsel van minimale gegevensverwerking: persoonsgegevens moeten “toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt”.2 Het concept ‘noodzakelijkheid’ is een autonoom begrip van Unierecht. Het heeft een eigen, zelfstandige betekenis die losstaat van het nationale recht.3

Hoe het noodzakelijkheidsvereiste precies moet worden ingevuld, is voor de taak van algemeen belang nog niet duidelijk. De EDPB4 heeft wel toelichting gegeven over de noodzakelijkheidstoets bij andere grondslagen, zoals de noodzakelijkheid voor de uitvoering van een overeenkomst en het gerechtvaardigd belang.5 Daarbij wordt een strenge toets gehanteerd waarbij de verwerkingsverantwoordelijke moet beoordelen of hij met een minder ingrijpende verwerking ook zijn doel kan bereiken.6 Daarvoor is het van belang om te weten wat objectief gezien noodzakelijke persoonsgegevens zijn om het doel te bereiken.7

Het Hof van Justitie oordeelt in lijn hiermee dat alleen strikt noodzakelijke verwerkingen van persoonsgegevens zijn toegestaan.8 Als er redelijkerwijs haalbare,9 minder ingrijpende mogelijkheden zijn om hetzelfde doel te bereiken, is de verwerking niet noodzakelijk.10 Verwerkingen zijn ook niet automatisch noodzakelijk wanneer zij deel uitmaken van de bedrijfsprocessen of omdat het gebruikelijk is dat de persoonsgegevens verwerkt worden.11 Een verwerking is ook niet noodzakelijk als deze ‘gewoon handig’ is voor de verwerkingsverantwoordelijke.12

De curator heeft ruime bevoegdheden binnen de uitvoering van zijn taak van algemeen belang en in dat kader moet ook steeds een noodzakelijkheidstoets worden aangelegd. Voor de curator zijn noodzakelijke verwerkingen die verwerkingen zonder welke hij objectief gezien niet kan beheren en vereffenen. Hierbij kan bijvoorbeeld worden gedacht aan het onder zich nemen van de administratie van de failliet: zonder deze verwerking van persoonsgegevens kan de curator het faillissement niet afwikkelen. Het behalen van een zo groot mogelijke opbrengst is niet het enige doel dat bij zijn werkzaamheden leidend is. Het zal van de concrete omstandigheden van het faillissement afhangen welke verwerkingen noodzakelijk zijn. De curator moet dan ook uiteindelijk in elke situatie afzonderlijk beoordelen welke verwerkingen noodzakelijk zijn. In de volgende paragraaf bespreek ik de aanknopingspunten die het wetsvoorstel en de toelichting geven om te beoordelen wat precies noodzakelijke verwerkingen zijn.