VIII.11.5.2 De verstrekking van persoons- en adresgegevens aan de cessionaris/pandhouder

846. Is de verstrekking van persoons- en adresgegevens aan de cessionaris/pandhouder een rechtmatige verwerking van persoonsgegevens? De verstrekking van persoons- en adresgegevens aan de cessionaris/pandhouder is aan te merken als een “verwerking van persoonsgegevens” in de zin van de WBP voor zover de gegevens op natuurlijke personen betrekking hebben. Deze gegevensverwerking is enkel rechtmatig indien er (i) een rechtmatige grondslag voor bestaat en (ii) de verwerking verenigbaar is met de doeleinden waarvoor de persoonsgegevens aanvankelijk door de cedent/pandgever zijn verkregen (art. 8 en 9 WBP).

847. Rechtmatige grondslag. Een rechtmatige grondslag voor de gegevensverwerking is aanwezig, indien de schuldenaren van de gecedeerde of verpande vorderingen voor de verstrekking van de persoons- en adresgegevens hun ondubbelzinnige toestemming hebben verleend (art. 8 (a) WBP). Deze toestemming zou bijvoorbeeld vooraf verkregen kunnen worden bij het afsluiten van de overeenkomst waaruit de te cederen of verpanden vordering voortvloeit.1

Indien dat niet het geval is, zal een rechtmatige grondslag in de regel nog enkel gevonden kunnen worden in het feit dat de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de “verantwoordelijke” (de cedent/pandgever) of van een derde aan wie de gegevens worden verstrekt (de cessionaris/pandhouder), tenzij het belang of de fundamentele rechten en vrijheden van de schuldenaren, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert (zie art. 8 (f) WBP). Volgens de toelichting is een gerechtvaardigd belang aanwezig in het geval de gegevensverwerking voor de verantwoordelijke noodzakelijk is voor de reguliere bedrijfsactiviteiten.2 De toelaatbaarheid van de gegevensverwerking wordt echter begrensd door het belang van de betrokkene (de schuldenaar). De gegevensverwerking is niet toegestaan, indien de belangen van de betrokkene prevaleren. In dit verband dient volgens de toelichting een antwoord te worden gevonden op de volgende vragen:3

Ook van gegevensverwerkingen die geen onderdeel uitmaken van de reguliere bedrijfsactiviteiten, maar deze wel in wezenlijke zin ondersteunen, kan in de regel worden gezegd dat de verantwoordelijke daarbij een gerechtvaardigd belang heeft. De gegevensverwerking kan plaatsvinden in het kader van activiteiten die nauw met de kernactiviteiten verweven zijn.

Daarnaast dient de gegevensverwerking volgens de toelichting noodzakelijk te zijn ten behoeve van het gerechtvaardigd belang van de verantwoordelijke of een derde. Hier zijn het proportionaliteits- en subsidiariteitsbeginsel van belang.4 De noodzaak van de gegevensverwerking dient te worden beoordeeld in de verhouding tot het doel daarvan. Gelet op alle belangen moet de gegevensverwerking als noodzakelijk voor het daarmee nagestreefde doel kunnen worden beschouwd.5 De belangen van de verantwoordelijke en de betrokkenen vergen een afweging. Bij deze afweging speelt volgens de toelichting een rol de mate van gevoeligheid van de gegevens die de verantwoordelijke wil verwerken en de maatregelen die daarbij zijn genomen om rekening te houden met de belangen van de betrokkene. Diens belangen zullen minder gewicht in de schaal leggen naarmate meer maatregelen zijn getroffen om een zorgvuldig gebruik van de persoonsgegevens te waarborgen.6

In de regel kan worden aangenomen dat de verstrekking van persoonsen adresgegevens aan de cessionaris/pandhouder noodzakelijk is voor de behartiging van zowel de gerechtvaardigde belangen van de cedent/pandgever (de verantwoordelijke) als die van de cessionaris/pandhouder (een derde). Zo de cessie of verpanding niet plaatsvindt in het kader van de reguliere bedrijfsactiviteiten van de cedent/pandgever,7 zal zij meestal onderdeel zijn van activiteiten die daarmee nauw verband houden, zoals financieringen. Een cessie of verpanding kan noodzakelijk zijn om de (financierings)transactie waarbinnen de cessie of verpanding plaatsvindt tegen gunstige voorwaarden te kunnen aangaan.8 Voor de cessie of verpanding bestaan in de regel goede bedrijfseconomische redenen.9 Voor het goed functioneren van een cessie of een pandrecht op een vordering op naam, is vereist dat de cessionaris of pandhouder zelfstandig mededeling van de cessie of het pandrecht kan doen, zodat hij de vordering kan innen en met de schuldenaar in contact kan treden. De bevoegdheid om mededeling te doen is een bevoegdheid die hem door de wet is toegekend.10 Het is evident dat de cessionaris/pandhouder daarbij een gerechtvaardigd en zwaarwegend belang heeft. Ook afgezien van de mogelijkheid om de vordering zelfstandig te kunnen innen, is het van belang, zowel voor de cessionaris/pandhouder als de schuldenaar, dat de cessionaris/pandhouder weet wie de schuldenaar is. Denk bijvoorbeeld aan kwesties betreffende het beheer van de vordering, zoals het treffen van een betalingsregeling.

Met de verstrekking van de persoons- en adresgegevens wordt geen inbreuk gemaakt op fundamentele rechten en vrijheden van de schuldenaar. Bovendien is het doel van de gegevensverstrekking – de cessionaris/pandhouder in staat stellen de cessie/verpanding zelfstandig mede te delen en, indien gewenst, het beheer over de vordering te voeren – niet op een andere manier te realiseren. De gegevensverstrekking is niet alleen noodzakelijk voor het goed functioneren van een cessie of verpanding, maar is ook evenredig aan het nagestreefde doel. Aan de hiervoor genoemde beginselen van subsidiariteit en proportionaliteit wordt voldaan.

848. Anonimisering van persoonsgegevens. Het feit dat het technisch mogelijk is om de persoons- en adresgegevens te anonimiseren, dusdanig dat de cessionaris/pandhouder deze gegevens eerst in handen krijgt of kan ontcijferen nadat de cedent/pandgever in verzuim komt te verkeren, maakt de analyse naar mijn mening niet anders. Gedacht zou kunnen worden aan een constructie waarbij de cessionaris/pandhouder enkel bepaalde technische gegevens van de vorderingen, zoals leningnummers, ter hand worden gesteld zonder dat aan de hand daarvan de identiteit van de schuldenaren kan worden achterhaald. De persoons- en adresgegevens worden vervolgens op grond van een escrowovereenkomst in bewaring gegeven bij een onafhankelijke derde, bijvoorbeeld een notaris, die deze gegevens enkel zal overhandigen aan de cessionaris/pandhouder nadat zich bepaalde gebeurtenissen hebben voorgedaan die de cessionaris/pandhouder bevoegd maken de cessie/verpanding mede te delen (de zogeheten ‘notification events’). Het gevolg van het anonimiseren van de persoonsgegevens is dat zij voor toepassing van de WBP niet meer als zodanig kunnen worden aangemerkt,11 zodat de WBP vooralsnog toepassing mist. Deze constructie wordt bijvoorbeeld toegepast bij de securitisation van vorderingen uit hypotheekleningen.

Naar mijn mening is het anonimiseren van de persoonsgegevens van de schuldenaren geen voorwaarde voor een proportionele, rechtmatige gegevensverwerking.12 Gelet op het feit dat de mededeling van een cessie of verpanding de uitoefening betreft van een bevoegdheid van de cessionaris/pandhouder die op de wet is gebaseerd en dat de mededeling, in geval van cessie, bovendien inhoudt dat de cessionaris de rechthebbende van de vordering is – een mededeling die een rechthebbende van een vordering mijns inziens te allen tijde aan de schuldenaar moet kunnen doen –, moet worden aangenomen dat het verstrekken van de persoons- en adresgegevens ook zonder anonimisering proportioneel is. Bovendien moet worden bedacht dat ook de cessionaris en de pandhouder de verkregen persoonsgegevens enkel in overeenstemming met de WBP verder mogen verwerken (zie hierna § 11.5.3).

849. Verenigbaarheid met doelomschrijving. Behalve dat er een rechtmatige grondslag voor de gegevensverwerking dient te zijn, moet de verstrekking van de persoons- en adresgegevens ook verenigbaar zijn met het doel waarvoor de gegevens door de cedent/pandgever zijn verkregen (art. 9 WBP). Persoonsgegevens mogen enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld (art. 7 WBP). Deze doelomschrijving dient voordat met de gegevensverwerking wordt begonnen, te worden gemeld bij het College Bescherming Persoonsgegevens (art. 27, 28 WBP).

Ook als de doelomschrijving niet duidelijk voorziet in de verstrekking van persoons- en adresgegevens ter uitvoering van cessie- en pandovereenkomsten – hetgeen vermoedelijk vaak zo zal zijn –, moet nog worden beoordeeld of deze verwerking van persoonsgegevens mogelijk toch verenigbaar is met het omschreven doel. Daarbij moet in elk geval rekening worden gehouden met: (i) de verwantschap tussen het doel van de beoogde verwerking en het doel waarvoor de gegevens zijn verkregen, (ii) de aard van de betreffende gegevens, (iii) de gevolgen van de beoogde verwerking voor de betrokkene (de schuldenaar), (iv) de wijze waarop de gegevens zijn verkregen en (v) de mate waarin jegens de betrokkene wordt voorzien in passende waarborgen (art. 9 lid 2 WBP).13

Indien de conclusie is dat de verstrekking van persoons- en adresgegevens aan de cessionaris/pandhouder niet verenigbaar is met het omschreven doel, dan is de gegevensverstrekking niet rechtmatig. Teneinde de gegevensverwerking rechtmatig te doen zijn, zou de cedent/pandgever in dat geval van de schuldenaren de ondubbelzinnige toestemming moeten verkrijgen voor de gegevensverstrekking.14 Het zal duidelijk zijn dat dit, zeker in geval van een stille cessie of verpanding, niet wenselijk en in geval van bulkcessie ook niet praktisch uitvoerbaar is, tenzij de schuldenaren hun ondubbelzinnige toestemming reeds hebben gegeven bij het afsluiten van de overeenkomst waaruit de te cederen of verpanden vorderingen voortvloeien. Een oplossing kan worden gevonden in de hiervoor beschreven anonimisering van de persoonsgegevens. In dat geval is er geen sprake van een verwerking van persoonsgegevens als bedoeld in de wet en zijn de bepalingen van de WBP (nog) niet van toepassing.15