7.4.1 Inleiding

Sinds 25 mei 2018 is de Algemene verordening gegevensbescherming1 (‘AVG’) rechtstreeks van toepassing in alle lidstaten van de Europese Unie. De Uitvoeringswet AVG2 geeft in Nederland uitvoering aan de AVG.

De AVG heeft betrekking op de verwerking van persoonsgegevens. Onder de verwerking wordt ‘een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens’ verstaan.3 Een persoonsgegeven betreft ‘alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon (‘de betrokkene’)’.4 Degene die het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt, is voor die verwerking verwerkingsverantwoordelijke.5 Een verzekeraar is een verwerkingsverantwoordelijke. Verzekeraars verzamelen en gebruiken immers persoonsgegevens. Net zoals andere verwerkingen, moet ook de verwerking van persoonsgegevens door verzekeraars aan de beginselen voldoen die zijn opgesomd art. 5 AVG: rechtmatigheid, behoorlijkheid en transparantie,6 doelbinding,7 minimale gegevensverwerking,8 juistheid,9 opslagbeperking10 en integriteit en vertrouwelijkheid.11 Het vereiste van rechtmatigheid van de verwerking is nader uitgewerkt in art. 6 AVG. De verwerkingsverantwoordelijke heeft voor het verwerken van persoonsgegevens een wettelijke grondslag nodig. De wettelijke grondslagen staan opgesomd in art. 6 lid 1 AVG. Bijvoorbeeld de toestemming van de betrokkene, de uitvoering van een overeenkomst waarbij de betrokkene partij is, en het voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust, kunnen een wettelijke grondslag zijn voor de verwerking van persoonsgegevens.12 De verwerking kan ook rechtmatig zijn indien en voor zover de verwerking noodzakelijk is voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen van de betrokkene die tot bescherming van persoonsgegevens nopen zwaarder wegen dan die belangen.13 Deze vier grondslagen zijn de meest voorkomende grondslagen waarop verzekeraars de verwerking van persoonsgegevens baseren.14

Behalve de AVG en de Uitvoeringswet AVG geldt voor verzekeraars ook de Gedragscode Verwerking Persoonsgegevens Verzekeraars.15 Deze gedragscode bevat een nadere ’uitwerking’ van de algemene wet- en regelgeving in concrete regels voor de verzekeringsbranche. Het gaat om bindende zelfregulering voor alle verzekeraars die zijn aangesloten bij het Verbond van Verzekeraars.16

In dit hoofdstuk 7.4 wil ik onderzoeken welke voorschriften gelden voor het verstrekken van persoonsgegevens door de overdragende verzekeraar voor en na de overname van de verzekeringsportefeuille. Er zijn meer thema’s te bedenken ten aanzien van de verwerking van persoonsgegevens door verzekeraars, maar die laat ik hier onbesproken omdat die niet in relatie staan tot het onderwerp van mijn onderzoek.